DE102016105876A1

DE102016105876A1 - Electronic control unit for a vehicle with separate data connection, assistance system, vehicle and method

Info

Publication number: DE102016105876A1
Application number: DE102016105876.9A
Authority: DE
Inventors: Tomas Daujotas; Mutlu Aydin; John Tynan; Arturo Crespo
Original assignee: Connaught Electronics Ltd
Current assignee: Connaught Electronics Ltd
Priority date: 2016-03-31
Filing date: 2016-03-31
Publication date: 2017-10-05
Also published as: WO2017167820A1

Abstract

Die Erfindung betrifft ein elektronisches Steuergerät (9) für ein Fahrzeug (1), mit einer ersten Recheneinrichtung (14) zum Empfangen von Fahrzeugdaten des Fahrzeugs (1) und mit einer zweiten Recheneinrichtung (15) zum Empfangen von Sensordaten zumindest eines Sensors (3) des Fahrzeugs (1) und zum Bestimmen von sicherheitsrelevanten Daten für eine sicherheitsrelevante Komponente (12) des Fahrzeugs (1) anhand der Sensordaten, wobei die erste Recheneinrichtung (14) und die zweite Recheneinrichtung (15) zur Übertragung der Fahrzeugdaten und/oder der sicherheitsrelevanten Daten verbunden sind, wobei die erste Recheneinrichtung (14) und die zweite Recheneinrichtung (15) über eine erste Datenverbindung (30) zum Übertragen der Fahrzeugdaten und über eine zur ersten Datenverbindung (30) separate, zweite Datenverbindung (31) zur Übertragung der sicherheitsrelevanten Daten verbunden sind.The invention relates to an electronic control unit (9) for a vehicle (1), comprising a first computer (14) for receiving vehicle data of the vehicle (1) and a second computer (15) for receiving sensor data of at least one sensor (3). of the vehicle (1) and for determining safety-relevant data for a safety-relevant component (12) of the vehicle (1) on the basis of the sensor data, the first computer (14) and the second computer (15) for transmitting the vehicle data and / or the safety-related Data are connected, wherein the first computing device (14) and the second computing device (15) via a first data connection (30) for transmitting the vehicle data and a first data connection (30) separate, second data connection (31) for transmitting the security-relevant data are connected.

Description

Die vorliegende Erfindung betrifft ein elektronisches Steuergerät für ein Fahrzeug, mit einer ersten Recheneinrichtung zum Empfangen von Fahrzeugdaten des Fahrzeugs und mit einer zweiten Recheneinrichtung zum Empfangen von Sensordaten zumindest eines Sensors des Fahrzeugs und zum Bestimmen von sicherheitsrelevanten Daten für eine sicherheitsrelevante Komponente des Fahrzeugs anhand der Sensordaten, wobei die erste Recheneinrichtung und die zweite Recheneinrichtung zur Übertragung der Fahrzeugdaten und/oder der sicherheitsrelevanten Daten verbunden sind. Ferner betrifft die vorliegende Erfindung ein Assistenzsystem für ein Fahrzeug. Des Weiteren betrifft die Erfindung ein Fahrzeug mit einem solchen Assistenzsystem. Schließlich betrifft die vorliegende Erfindung ein Verfahren zum Betreiben eines elektronischen Steuergeräts für ein Fahrzeug. The present invention relates to an electronic control device for a vehicle, having a first computing device for receiving vehicle data of the vehicle and having a second computing device for receiving sensor data of at least one sensor of the vehicle and for determining safety-relevant data for a safety-relevant component of the vehicle based on the sensor data wherein the first computing device and the second computing device are connected for transmitting the vehicle data and / or the security-relevant data. Furthermore, the present invention relates to an assistance system for a vehicle. Furthermore, the invention relates to a vehicle with such an assistance system. Finally, the present invention relates to a method for operating an electronic control device for a vehicle.

Das Interesse richtet sich vorliegend auf elektronische Steuergeräte für Fahrzeuge, insbesondere für Kraftfahrzeuge. In modernen Kraftfahrzeugen wird eine Vielzahl von elektronischen Steuergeräten verwendet. Diese elektronischen Steuergeräte können beispielsweise unterschiedlichen Fahrerassistenzsystemen des Kraftfahrzeugs zugeordnet sein. Diese elektronischen Steuergeräte können einen oder mehrere Recheneinrichtungen umfassen, welche beispielsweise als Mikrocontroller, als digitaler Signalprozessor, als wählbare Ausgabesteuerung, als integrierte Schaltung oder dergleichen ausgebildet sein können. Mit diesen Recheneinrichtungen können Signale von einem Fahrzeugdatenbus empfangen werden oder Signale über den Fahrzeugdatenbus gesendet werden. Des Weiteren können die Recheneinrichtungen mit Sensoren des Kraftfahrzeugs bzw. Fahrerassistenzsystem verbunden sein, und Sensordaten von diesen Sensoren empfangen. The interest here is directed to electronic control devices for vehicles, especially for motor vehicles. Modern motor vehicles use a variety of electronic control devices. These electronic control units may for example be assigned to different driver assistance systems of the motor vehicle. These electronic control devices may include one or more computing devices, which may be configured, for example, as a microcontroller, as a digital signal processor, as a selectable output controller, as an integrated circuit or the like. With these computing devices, signals may be received from a vehicle data bus or signals may be transmitted via the vehicle data bus. Furthermore, the computing devices can be connected to sensors of the motor vehicle or driver assistance system, and receive sensor data from these sensors.

Anhand der empfangenen Sensordaten können mit Hilfe der Recheneinrichtungen auch sicherheitsrelevante Daten bestimmt werden. Solche sicherheitsrelevanten Daten können beispielsweise sicherheitsrelevanten Komponenten bzw. sicherheitsrelevanten Funktionen des Fahrzeugs zugeordnet sein. Wenn eine solche sicherheitsrelevante Komponente in dem Fahrzeug ausfällt, kann sich beispielsweise ein maßgebliches Risiko für die Fahrzeuginsassen und/oder die Umwelt ergeben. Um solche sicherheitsrelevanten Daten zu erzeugen, ist es erforderlich, dass die Recheneinrichtung gemäß einer Sicherheitsnorm ausgebildet ist. In gleicher Weise müssen die Datenverbindungen, über welche die sicherheitsrelevanten Daten übertragen werden, gemäß einer Sicherheitsnorm ausgebildet sein. Beispielsweise können die Recheneinrichtung und/oder die Datenverbindung gemäß einer vorbestimmten Sicherheitsanforderungsstufe ausgebildet sein. Eine solche Sicherheitsanforderungsstufe ist auch unter der Bezeichnung ASIL (Automotive Safety Integrity Level) bekannt. On the basis of the received sensor data, security-relevant data can also be determined with the aid of the computing devices. Such safety-relevant data can be assigned, for example, to safety-relevant components or safety-relevant functions of the vehicle. If such a safety-related component fails in the vehicle, for example, a significant risk for the vehicle occupants and / or the environment may result. To generate such security-relevant data, it is necessary that the computing device is designed according to a security standard. In the same way, the data connections over which the security-relevant data are transmitted must be designed in accordance with a security standard. For example, the computing device and / or the data connection can be designed in accordance with a predetermined security requirement level. Such a safety requirement level is also known as ASIL (Automotive Safety Integrity Level).

Hierzu beschreibt die US 2015/0057908 A1 ein elektronisches Steuergerät für einen Verbrennungsmotor eines Kraftfahrzeugs. Das elektronische Steuergerät umfasst einen Mikrocontroller und einen integrierten Schaltkreis, welche über eine Datenleitung miteinander kommunizieren können. Mit dem Mikrocontroller können sicherheitsrelevante Funktionen mit einer vorbestimmten Sicherheitsanforderungsstufe durchgeführt werden. Der integrierte Schaltkreis kann ebenfalls sicherheitsrelevante Funktionen mit einer im Vergleich zu dem Mikrocontroller geringeren Sicherheitsanforderungsstufe durchführen. Mit dem integrierten Schaltkreis kann für jede sicherheitskritische Funktion zudem eine Diagnosefunktion durchgeführt werden, um Fehler bei der Durchführung der sicherheitskritischen Funktion zu erkennen. This describes the US 2015/0057908 A1 an electronic control device for an internal combustion engine of a motor vehicle. The electronic control unit comprises a microcontroller and an integrated circuit, which can communicate with each other via a data line. With the microcontroller safety-related functions can be performed with a predetermined security requirement level. The integrated circuit can also perform safety-related functions with a lower safety requirement level compared to the microcontroller. With the integrated circuit, a diagnostic function can also be performed for each safety-critical function in order to detect errors in the performance of the safety-critical function.

Es ist Aufgabe der vorliegenden Erfindung, eine Lösung aufzuzeigen, wie ein elektronisches Steuergerät für ein Fahrzeug sicherer und zuverlässiger betrieben werden kann. It is an object of the present invention to provide a solution as to how an electronic control device for a vehicle can be operated in a safer and more reliable manner.

Diese Aufgabe wird erfindungsgemäß durch ein elektronisches Steuergerät, durch ein Assistenzsystem, durch ein Fahrzeug sowie durch ein Verfahren mit den Merkmalen gemäß den jeweiligen unabhängigen Ansprüchen gelöst. Vorteilhafte Weiterbildungen der vorliegenden Erfindung sind Gegenstand der abhängigen Ansprüche. This object is achieved by an electronic control unit, by an assistance system, by a vehicle and by a method with the features according to the respective independent claims. Advantageous developments of the present invention are the subject of the dependent claims.

Gemäß einer Ausführungsform umfasst ein elektronisches Steuergerät für ein Fahrzeug eine erste Recheneinrichtung zum Empfangen von Fahrzeugdaten des Fahrzeugs. Insbesondere umfasst das elektronische Steuergerät eine zweite Recheneinrichtung zum Empfangen von Sensordaten zumindest eines Sensors des Fahrzeugs. Bevorzugt ist die zweite Recheneinrichtung dazu ausgelegt, sicherheitsrelevante Daten für eine sicherheitsrelevante Komponente des Fahrzeugs anhand der Sensordaten zu bestimmen. Insbesondere sind die erste Recheneinrichtung und die zweite Recheneinrichtung zur Übertragung der Fahrzeugdaten und/oder der sicherheitsrelevanten Daten verbunden. Dabei ist es bevorzugt vorgesehen, dass die erste Recheneinrichtung und die zweite Recheneinrichtung über eine erste Datenverbindung zum Übertragen der Fahrzeugdaten und über eine zur ersten Datenverbindung separate, zweite Datenverbindung zur Übertragung der sicherheitsrelevanten Daten verbunden sind. According to one embodiment, an electronic control device for a vehicle comprises a first computing device for receiving vehicle data of the vehicle. In particular, the electronic includes Control unit, a second computing device for receiving sensor data of at least one sensor of the vehicle. Preferably, the second computing device is designed to determine safety-relevant data for a safety-relevant component of the vehicle on the basis of the sensor data. In particular, the first computing device and the second computing device are connected for transmitting the vehicle data and / or the security-relevant data. In this case, it is preferably provided that the first computing device and the second computing device are connected via a first data connection for transmitting the vehicle data and via a second data connection separate from the first data connection for transmitting the security-relevant data.

Ein erfindungsgemäßes elektronisches Steuergerät für ein Fahrzeug umfasst eine erste Recheneinrichtung zum Empfangen von Fahrzeugdaten des Fahrzeugs. Ferner umfasst das elektronische Steuergerät eine zweite Recheneinrichtung zum Empfangen von Sensordaten zumindest eines Sensors des Fahrzeugs und zum Bestimmen von sicherheitsrelevanten Daten für eine sicherheitsrelevante Komponente des Fahrzeugs anhand der Sensordaten. Dabei sind die erste Recheneinrichtung und die zweite Recheneinrichtung zur Übertragung der Fahrzeugdaten und/oder der sicherheitsrelevanten Daten verbunden. Des Weiteren sind die erste Recheneinrichtung und die zweite Recheneinrichtung über eine erste Datenverbindung zur Übertragung der Fahrzeugdaten und über eine zur ersten Datenverbindung separate, zweite Datenverbindung zur Übertragung der sicherheitsrelevanten Daten verbunden. An inventive electronic control device for a vehicle comprises a first computing device for receiving vehicle data of the vehicle. Furthermore, the electronic control unit comprises a second computing device for receiving sensor data of at least one sensor of the vehicle and for determining safety-relevant data for a safety-relevant component of the vehicle on the basis of the sensor data. In this case, the first computing device and the second computing device are connected for transmitting the vehicle data and / or the security-relevant data. Furthermore, the first computing device and the second computing device are connected via a first data connection for transmitting the vehicle data and via a second data connection separate from the first data connection for transmitting the security-relevant data.

Das elektronische Steuergerät kann in einem Fahrzeug, insbesondere in einem Kraftfahrzeug eingesetzt werden. Das elektronische Steuergerät kann beispielsweise Teil eines Assistenzsystems des Fahrzeugs sein, welches den Fahrer beim Führen des Fahrzeugs unterstützt. Das elektronische Steuergerät umfasst zwei Recheneinrichtungen, die beispielsweise als Mikrocontroller, als wählbare Ausgabesteuerung (SOC – Selectable Output Control), als integrierter Schaltkreis, als digitaler Signalprozess oder dergleichen ausgebildet sein können. Mit der ersten Recheneinrichtung können Fahrzeugdaten des Fahrzeugs empfangen werden. Diese Fahrzeugdaten können beispielsweise über einen Fahrzeugdatenbus, der beispielsweise als CAN-Bus oder als Ethernet-Verbindung ausgebildet ist, empfangen werden. Mit der zweiten Recheneinrichtung können Sensordaten von zumindest einem Sensor des Fahrzeugs empfangen werden. Hierzu kann die zweite Recheneinrichtung über entsprechende Datenleitungen mit dem zumindest einen Sensor verbunden sein. Diese Sensordaten können beispielsweise die Umgebung des Fahrzeugs beschreiben. The electronic control unit can be used in a vehicle, in particular in a motor vehicle. The electronic control unit may be part of an assistance system of the vehicle, for example, which assists the driver in guiding the vehicle. The electronic control unit comprises two computing devices, which may be designed, for example, as a microcontroller, as a selectable output control (SOC), as an integrated circuit, as a digital signal process or the like. With the first computing device vehicle data of the vehicle can be received. This vehicle data can be received, for example, via a vehicle data bus which is designed, for example, as a CAN bus or as an Ethernet connection. With the second computing device, sensor data from at least one sensor of the vehicle can be received. For this purpose, the second computing device can be connected to the at least one sensor via corresponding data lines. For example, this sensor data may describe the environment of the vehicle.

Mit Hilfe der zweiten Recheneinrichtung können dann die sicherheitsrelevanten Daten anhand der Sensordaten bestimmt werden. Solche sicherheitsrelevanten Daten können vorbestimmte sicherheitsrelevante Daten sein. Diese sicherheitsrelevanten Daten können für eine sicherheitsrelevante Komponente oder eine sicherheitsrelevante Funktion des Fahrzeugs bestimmt sein. Insbesondere können diese sicherheitsrelevanten Daten auch zur Ansteuerung der sicherheitsrelevanten Komponente oder der sicherheitsrelevanten Funktion des Fahrzeugs dienen. Eine sicherheitsrelevante Komponente oder eine sicherheitsrelevante Funktion sind dadurch definiert, dass diese bei einem Ausfall zu einem maßgeblichen Risiko für die Insassen des Fahrzeugs, für andere Verkehrsteilnehmer oder allgemein für die Umwelt bedeuten. Dabei können die sicherheitsrelevanten Komponenten oder die sicherheitsrelevanten Funktionen gemäß einer vorbestimmten Sicherheitsnorm, beispielsweise der Norm ISO 26262 , ausgebildet sein. With the help of the second computing device, the security-relevant data can then be determined on the basis of the sensor data. Such security-relevant data can be predetermined security-relevant data. This safety-relevant data can be determined for a safety-relevant component or a safety-relevant function of the vehicle. In particular, these safety-relevant data can also be used to control the safety-relevant component or the safety-relevant function of the vehicle. A safety-related component or safety-relevant function is defined by the fact that, in the event of a failure, they constitute a significant risk for the occupants of the vehicle, for other road users or in general for the environment. In this case, the safety-relevant components or the safety-relevant functions in accordance with a predetermined safety standard, for example the Standard ISO 26262 be trained.

Ferner ist es vorgesehen, dass die Fahrzeugdaten und/oder die sicherheitsrelevanten Daten zwischen der ersten Recheneinrichtung und der zweiten Recheneinrichtung ausgetauscht werden. Beispielsweise können die Fahrzeugdaten von der ersten Einrichtung zu der zweiten Recheneinrichtung übertragen werden und die sicherheitsrelevanten Daten können von der zweiten Recheneinrichtung zu der ersten Recheneinrichtung zu der ersten Recheneinrichtung übertragen werden. Hierzu wird im Stand der Technik eine einzige Datenverbindung verwendet. Dies bringt aber den Nachteil mit sich, dass eine zuverlässige Übertragung der sicherheitsrelevanten Daten und insbesondere die Übertragung der sicherheitsrelevanten Daten innerhalb einer bestimmten Übertragungszeit nicht zuverlässig gewährleistet werden kann. Furthermore, provision is made for the vehicle data and / or the safety-relevant data to be exchanged between the first computing device and the second computing device. For example, the vehicle data can be transmitted from the first device to the second computer, and the safety-relevant data can be transmitted from the second computer to the first computer to the first computer. For this purpose, a single data connection is used in the prior art. However, this entails the disadvantage that reliable transmission of the security-relevant data and in particular the transmission of the security-relevant data within a certain transmission time can not be reliably ensured.

Erfindungsgemäß ist es nun vorgesehen, dass die erste Recheneinrichtung und die zweite Recheneinrichtung über eine erste Datenverbindung zum Übertragen der Fahrzeugdaten verbunden sind. Die erste Recheneinrichtung und die zweite Recheneinrichtung sind also mit der ersten Datenverbindung zur Datenübertragung übertragen. Über diese erste Datenverbindung werden insbesondere nur die Fahrzeugdaten übertragen. Dabei ist es insbesondere vorgesehen, dass die Fahrzeugdaten von der ersten Recheneinrichtung zu der zweiten Recheneinrichtung über die erste Datenverbindung übertragen werden. Des Weiteren ist eine zweite Datenverbindung vorgesehen, welche separate zur ersten Datenverbindung ausgebildet ist. Die erste und die zweite Datenverbindung unterscheiden sich also voneinander. Über diese zweite Datenverbindung sind die erste und die zweite Recheneinrichtung zur Übertragung der sicherheitsrelevanten Daten verbunden. Über diese zweite Datenverbindung werden bevorzugt nur die sicherheitsrelevanten Daten übertragen. Insbesondere werden die sicherheitsrelevanten Daten von der zweiten Recheneinrichtung zu der ersten Recheneinrichtung übertragen. Damit kann erreicht werden, dass die sicherheitsrelevanten Daten zuverlässig und innerhalb bei einer vorbestimmten Übertragungszeit übertragen werden können. Auf diese Weise können diese sicherheitsrelevanten Daten zuverlässig an die sicherheitskritische Komponente des Fahrzeugs übertragen werden. Damit kann insgesamt ein sicherer Betrieb des Fahrzeugs gewährleistet werden. According to the invention, it is now provided that the first computing device and the second computing device are connected via a first data connection for transmitting the vehicle data. The first computing device and the second computing device are thus transferred to the first data connection for data transmission. In particular, only the vehicle data is transmitted via this first data connection. In this case, provision is made in particular for the vehicle data to be transmitted from the first computing device to the second computing device via the first data connection. Furthermore, a second data connection is provided which is designed to be separate from the first data connection. The first and the second data connection thus differ from each other. About this second data connection, the first and the second computing device for transmitting the security-related data are connected. By way of this second data connection, only the security-relevant data is preferably transmitted. In particular, the security-relevant data are transmitted from the second computing device to the first computing device. It can thus be achieved that the security-relevant data can be transmitted reliably and within a predetermined transmission time. In this way, these safety-relevant data can be reliably transmitted to the safety-critical component of the vehicle. This can be ensured overall safe operation of the vehicle.

Bevorzugt ist die zweite Datenverbindung gemäß einer vorbestimmten Sicherheitsanforderungsstufe ausgebildet. Diese vorbestimmte Sicherheitsanforderungsstufe kann insbesondere der sogenannte Automotive Safety Integrity Level (ASIL) sein. Dieser stellt ein Maß für die Sicherheitsrelevanz einer Fehlfunktion dar. Diese Sicherheitsanforderungsstufe kann beispielsweise in Stufen von A bis D klassifiziert sein. Ferner kann die Stufe nicht sicherheitsrelevant, welche auch als QM (Quality Management) bezeichnet werden kann, vorgesehen sein. Dazu kann für jede identifizierte Gefährdung einzeln die Schwere der Auswirkung, die Häufigkeit der Fahrsituation und die Beherrschbarkeit der Fehlfunktion in der jeweiligen Fahrsituation abgeschätzt werden. Insbesondere ist die zweite Datenverbindung gemäß der Sicherheitsanforderungsstufe ASIL B ausgebildet. Ferner kann es vorgesehen sein, dass die erste Datenverbindung gemäß der Sicherheitsanforderungsstufe QM ausgebildet ist. The second data connection is preferably designed in accordance with a predetermined security requirement level. This predetermined safety requirement level may in particular be the so-called Automotive Safety Integrity Level (ASIL). This represents a measure of the safety relevance of a malfunction. This safety requirement level can be classified, for example, in levels from A to D. Further, the stage can not security-relevant, which can also be referred to as QM (Quality Management) be provided. To this end, the severity of the impact, the frequency of the driving situation and the controllability of the malfunction in the respective driving situation can be estimated individually for each identified hazard. In particular, the second data connection is designed in accordance with the security request stage ASIL B. Furthermore, it can be provided that the first data connection is formed in accordance with the security requirement stage QM.

In einer Ausführungsform weist die zweite Recheneinrichtung einen ersten Prozessor und einen zweiten Prozessor auf, wobei der erste Prozessor mit einer ersten Datenleitung der ersten Datenverbindung und der zweite Prozessor mit einer zweiten Datenleitung der zweiten Datenverbindung verbunden sind. Die zweite Recheneinrichtung kann insbesondere einen Mehrkernprozessor umfassen. Der erste und der zweite Prozessor können durch Prozessorkerne des Mehrkernprozessors gebildet sein. Dabei können ein erster Prozessorkern über die erste Datenverbindung und der zweite Prozessorkern über die zweite Datenverbindung mit der ersten Recheneinrichtung verbunden sein. Die jeweiligen Prozessoren bzw. Prozessorkerne können jeweilige Schnittstellen aufweisen, an denen die Datenleitung angeordnet sein kann. Dabei können der erste Prozessor und der zweite Prozessor isoliert ausgebildet sein. Dies bedeutet, dass auf jeden der Prozessoren ein separates Programm zum Ablauf gebracht wird. Insbesondere kann der erste Prozessor und der zweite Prozessor unabhängig voneinander betrieben werden und es erfolgt kein Datenaustausch zwischen dem ersten Prozessor und dem zweiten Prozessor. Somit können auf zuverlässige Weise zwei separate Datenverbindungen bereitgestellt werden. In one embodiment, the second computing device has a first processor and a second processor, wherein the first processor is connected to a first data line of the first data connection and the second processor to a second data line of the second data connection. The second computing device may in particular comprise a multi-core processor. The first and second processors may be formed by processor cores of the multi-core processor. In this case, a first processor core can be connected via the first data connection and the second processor core can be connected to the first computing device via the second data connection. The respective processors or processor cores may have respective interfaces on which the data line can be arranged. In this case, the first processor and the second processor may be formed in isolation. This means that a separate program is run on each of the processors. In particular, the first processor and the second processor can be operated independently of each other and there is no data exchange between the first processor and the second processor. Thus, two separate data connections can be reliably provided.

In einer weiteren Ausgestaltung weist das elektronische Steuergerät eine Speichereinrichtung zum Speichern der Sensordaten auf und der zweite Prozessor ist dazu ausgelegt, die sicherheitsrelevanten Daten anhand der auf der Speichereinrichtung gespeicherten Sensordaten zu bestimmen. Die zweite Recheneinrichtung kann beispielsweise einen entsprechenden Dateneingang umfassen, mit dem die Sensordaten von dem zumindest einen Sensor empfangen werden können. Diese Dateneingang kann mit der Speichereinrichtung verbunden sein. Somit können die Sensordaten auf die Speichereinrichtung übertragen werden. Dabei kann es ferner vorgesehen sein, dass die jeweiligen Prozessoren unabhängig voneinander auf die Speichereinrichtung bzw. auf die gespeicherten Sensordaten zugreifen können. Der zweite Prozessor kann nun auf Grundlage dieser gespeicherten Sensordaten die sicherheitsrelevanten Daten bestimmen. Dies ermöglicht eine zuverlässige Bestimmung der sicherheitsrelevanten Daten. In a further refinement, the electronic control unit has a memory device for storing the sensor data, and the second processor is designed to determine the safety-relevant data on the basis of the sensor data stored on the memory device. By way of example, the second computing device can comprise a corresponding data input with which the sensor data can be received by the at least one sensor. This data input can be connected to the memory device. Thus, the sensor data can be transferred to the storage device. It can also be provided that the respective processors can access the memory device or the stored sensor data independently of each other. The second processor can now determine the safety-relevant data on the basis of this stored sensor data. This enables a reliable determination of the security-relevant data.

Weiterhin ist es vorteilhaft, wenn die zweite Recheneinrichtung einen dritten Prozessor aufweist, welcher dazu ausgelegt ist, Kalibrierdaten, welche eine Kalibrierung des zumindest einen Sensors beschreiben, und/oder Zustandsdaten, welche einen Zustand des zumindest einen Sensors beschreiben, auf der Speichereinrichtung zu speichern und dass der zweite Prozessor dazu ausgelegt ist, die sicherheitsrelevanten Daten zusätzlich anhand der auf der Speichereinrichtung gespeicherten Kalibrierdaten und/oder Zustandsdaten zu bestimmen. Der dritte Prozessor kann auch durch einen Prozessorkern des Mehrkernprozessors gebildet sein. Mit dem dritten Prozessor können die Kalibrierdaten bereitgestellt werden, die beispielsweise eine aktuelle Kalibrierung bzw. Einstellung des zumindest einen Sensors beschreiben. Ferner können die Zustandsdaten, die den aktuellen Zustand des zumindest einen Sensors beschreiben, von dem dritten Prozessor bereitgestellt werden. Die Zustandsdaten können beispielsweise die Funktionsfähigkeit des zumindest einen Sensors beschreiben. Beispielsweise können die Zustandsdaten beschreiben, ob der zumindest eine Sensor verschmutzt ist. Die Kalibrierdaten und/oder die Zustandsdaten können dazu genutzt werden, die auf der Speichereinheit abgelegten Sensordaten entsprechend zu verarbeiten. Dies ermöglicht dem zweiten Prozessor die sicherheitsrelevanten Daten zusätzlich anhand der aktuellen Kalibrierung und/oder des aktuellen Zustands des zumindest einen Sensors zu bestimmen. Furthermore, it is advantageous if the second computing device has a third processor which is designed to store calibration data, which describe a calibration of the at least one sensor, and / or state data, which describe a state of the at least one sensor, on the memory device and in that the second processor is designed to additionally determine the security-relevant data on the basis of the calibration data and / or status data stored on the memory device. The third processor may also be formed by a processor core of the multi-core processor. The calibration data which describe, for example, a current calibration or setting of the at least one sensor can be provided with the third processor. Further, the state data describing the current state of the at least one sensor may be provided by the third processor. The state data can describe, for example, the functionality of the at least one sensor. For example, the state data can describe whether the at least one sensor is dirty. The calibration data and / or the status data can be used to process the sensor data stored on the memory unit accordingly. This also allows the second processor to determine the safety-relevant data on the basis of the current calibration and / or the current state of the at least one sensor.

Weiterhin ist es vorteilhaft, wenn die erste Recheneinheit eine Kommunikationseinheit zum Empfangen der Fahrzeugdaten von einem Fahrzeugdatenbus des Fahrzeugs und zum Senden der von der zweiten Recheneinrichtung empfangenen sicherheitsrelevanten Daten über den Fahrzeugdatenbus des Fahrzeugs umfasst. Die Kommunikationseinheit kann eine Schnittstelle darstellen, welche die erste Recheneinrichtung mit dem Fahrzeugdatenbus verbindet. Über diese Kommunikationseinheit können einerseits die Fahrzeugdaten, die beispielsweise von anderen Steuergeräten bereitgestellt werden, empfangen werden. Zudem können die sicherheitsrelevanten Daten, die von der zweiten Recheneinrichtung an die erste Recheneinrichtung übertragen werden, über den Fahrzeugbus ausgesendet werden. Diese sicherheitsrelevanten Daten können dann von der sicherheitsrelevanten Komponente bzw. der sicherheitsrelevanten Funktion genutzt werden. Furthermore, it is advantageous if the first computing unit comprises a communication unit for receiving the vehicle data from a vehicle data bus of the vehicle and for transmitting the safety-relevant data received from the second computing device via the vehicle data bus of the vehicle. The communication unit may represent an interface which connects the first computing device to the vehicle data bus. On the one hand, the vehicle data, which are provided, for example, by other control devices, can be received via this communication unit. In addition, the security-relevant data, which are transmitted from the second computing device to the first computing device, can be transmitted via the vehicle bus. These safety-relevant data can then be used by the safety-relevant component or the safety-relevant function.

Dabei ist es insbesondere vorgesehen, dass die erste Recheneinrichtung eine separate Datenleitung zwischen der Kommunikationseinheit und der zweiten Datenverbindung aufweist. Die erste Recheneinrichtung kann eine erste Schnittstelle zur Übertragung der Fahrzeugdaten und eine separate, zweite Schnittstelle zur Übertragung der sicherheitsrelevanten Daten aufweisen. Diese zweite Schnittstelle kann direkt mit der Kommunikationseinheit über die separate Datenleitung verbunden sein. Diese Datenleitung ist insbesondere isoliert zu den übrigen Komponenten der ersten Recheneinheit ausgebildet. Dies ermöglicht eine zuverlässige Übertragung der sicherheitsrelevanten Daten innerhalb der ersten Recheneinrichtung. It is provided in particular that the first computing device has a separate data line between the communication unit and the second data connection. The first computing device may have a first interface for transmitting the vehicle data and a separate second interface for transmitting the security-relevant data. This second Interface can be connected directly to the communication unit via the separate data line. This data line is formed in particular isolated from the other components of the first arithmetic unit. This enables reliable transmission of the security-relevant data within the first computing device.

Bevorzugt ist die erste Recheneinrichtung dazu ausgelegt, als die Sensordaten Videodaten von zumindest einer Kamera des Fahrzeugs zu empfangen. In diesem Fall ist der zumindest eine Sensor eine Kamera. Mit dieser Kamera können Bildsequenzen bzw. Videodaten bereitgestellt werden, welche beispielsweise die Umgebung des Fahrzeugs beschreiben. Es kann auch vorgesehen sein, dass die zweite Recheneinrichtung dazu ausgelegt ist, die jeweiligen Videodaten von mehreren Kameras zu erfassen. The first computing device is preferably designed to receive video data from at least one camera of the vehicle as the sensor data. In this case, the at least one sensor is a camera. With this camera image sequences or video data can be provided, which describe, for example, the environment of the vehicle. It can also be provided that the second computing device is designed to capture the respective video data from a plurality of cameras.

Die zweite Recheneinrichtung ist bevorzugt dazu ausgelegt, in den Videodaten Fahrbahnmarkierungen der Fahrbahn zu erkennen und die sicherheitsrelevanten Daten anhand der erkannten Fahrbahnmarkierungen zu bestimmen. Mit Hilfe von entsprechenden Objekterkennungsalgorithmen kann der zweite Prozessor anhand der auf der Speichereinrichtung gespeicherten Videodaten dann die Fahrbahnmarkierungen in den Videodaten bzw. den Einzelbildern erkennen. Insbesondere kann die relative Lage des Fahrzeugs zu den Fahrbahnmarkierungen auf der Fahrbahn bestimmt werden. Somit kann beispielsweise bestimmt werden, ob sich das Fahrzeug aktuell auf einer Fahrspur der Fahrbahn, die durch die Fahrbahnmarkierungen begrenzt ist, oder zumindest teilweise außerhalb der Fahrspur befindet. Auf Grundlage der erkannten Fahrbahnmarkierungen können dann die sicherheitsrelevanten Daten bereitgestellt werden, welche beispielsweise beschreiben können, ob sich das Fahrzeug innerhalb der Fahrspur oder teilweise außerhalb befindet. Es kann auch in Abhängigkeit von der Zeit bestimmt werden, ob ein Verlassen der Fahrspur durch das Fahrzeug droht. Diese Daten können dann mit den sicherheitsrelevanten Daten von der zweiten Recheneinrichtung zu der ersten und von dieser über den Fahrzeugdatenbus an die sicherheitsrelevante Komponente übertragen werden. The second computing device is preferably designed to recognize in the video data lane markings of the road and to determine the safety-relevant data on the basis of the recognized lane markings. With the aid of corresponding object recognition algorithms, the second processor can then recognize the lane markings in the video data or in the individual images on the basis of the video data stored on the memory device. In particular, the relative position of the vehicle to the lane markings on the roadway can be determined. Thus, for example, it may be determined whether the vehicle is currently located on a lane of the lane which is bounded by the lane markings, or at least partially outside the lane. On the basis of the recognized lane markings, the safety-relevant data can then be provided, which can describe, for example, whether the vehicle is within the lane or partially outside. It can also be determined as a function of time, whether a lane departure from the vehicle threatens. These data can then be transmitted with the safety-relevant data from the second computing device to the first and from there via the vehicle data bus to the safety-relevant component.

In einer weiteren Ausführungsform ist die erste Recheneinrichtung dazu ausgelegt, als die Fahrzeugdaten Daten zu empfangen, welche eine aktuelle Position und/oder die aktuelle Bewegung des Fahrzeugs beschreiben. Diese Fahrzeugdaten können beispielsweise mit einem weiteren Sensor des Fahrzeugs oder einem weiteren elektronischen Steuergerät bereitgestellt werden. Bei den Fahrzeugdaten kann es sich insbesondere um Odometriedaten handeln, welche die aktuelle Position und/oder die aktuelle Bewegung des Fahrzeugs beschreiben. Diese Fahrzeugdaten können dann von der ersten Recheneinrichtung an die zweite Recheneinrichtung übertragen werden. In der zweiten Recheneinrichtung kann der zweite Prozessor dann die sicherheitsrelevanten Daten zusätzlich anhand der Fahrzeugdaten bzw. der Odometriedaten bestimmen. Beispielsweise kann anhand der erkannten Fahrbahnmarkierungen und der aktuellen Bewegung des Fahrzeugs erkannt werden, ob ein Verlassen der Fahrspur durch das Fahrzeug droht. In a further embodiment, the first computing device is configured to receive, as the vehicle data, data describing a current position and / or the current movement of the vehicle. This vehicle data can be provided for example with a further sensor of the vehicle or another electronic control unit. The vehicle data may in particular be odometry data describing the current position and / or the current movement of the vehicle. This vehicle data can then be transmitted from the first computing device to the second computing device. In the second computing device, the second processor can then additionally determine the security-relevant data on the basis of the vehicle data or the odometry data. For example, it can be detected on the basis of the recognized lane markings and the current movement of the vehicle, whether the lane is threatened by the vehicle.

Ein erfindungsgemäßes Assistenzsystem für ein Fahrzeug umfasst ein erfindungsgemäßes elektronisches Steuergerät und zumindest einen Sensor. Das Assistenzsystem ist insbesondere als Fahrerassistenzsystem ausgebildet. Das Assistenzsystem kann auch mehrere Sensoren umfassen, die beispielsweise verteilt an dem Fahrzeug angeordnet sind. Bei dem zumindest einen Sensor kann es sich insbesondere um eine Kamera handeln. An inventive assistance system for a vehicle comprises an electronic control device according to the invention and at least one sensor. The assistance system is designed in particular as a driver assistance system. The assistance system may also include a plurality of sensors, which are arranged distributed to the vehicle, for example. The at least one sensor may in particular be a camera.

Bevorzugt umfasst das Assistenzsystem die sicherheitskritische Komponente, welche dazu ausgelegt ist, die sicherheitsrelevanten Daten zu empfangen und Steuersignale zum Steuern einer Fahrzeugfunktion in Abhängigkeit von den sicherheitsrelevanten Daten auszugeben. Bei der sicherheitskritischen Komponente kann es sich beispielsweise um ein weiteres elektronisches Steuergerät handeln. In Folge des ausgesendeten Steuersignals kann beispielsweise in Eingriff in die Lenkung, einen Antriebsmotor und/oder eine Bremsanlage des Fahrzeugs erfolgen. Wenn beispielsweise – wie oben beschrieben – die sicherheitsrelevanten Daten anhand der Fahrbahnmarkierungen bestimmt wurden, kann ein Eingriff in die Lenkung vorgenommen werden, falls das Fahrzeug die Fahrspur verlässt oder ein Verlassen der Fahrspur droht. Preferably, the assistance system comprises the safety-critical component, which is designed to receive the safety-relevant data and to output control signals for controlling a vehicle function as a function of the safety-relevant data. The safety-critical component may be, for example, another electronic control unit. As a result of the emitted control signal can be carried out, for example, in engagement with the steering, a drive motor and / or a brake system of the vehicle. If, for example, as described above, the safety-related data were determined on the basis of the lane markings, an intervention in the steering can be undertaken if the vehicle leaves the lane or threatens to leave the lane.

Ein erfindungsgemäßes Fahrzeug umfasste in erfindungsgemäßes Assistenzsystem. Das Fahrzeug ist insbesondere als Kraftfahrzeug, besonders bevorzugt als Personenkraftwagen, ausgebildet. Es kann grundsätzlich auch vorgesehen sein, dass es sich bei dem Fahrzeug um ein Flugzeug handelt. An inventive vehicle included in assistance system according to the invention. The vehicle is designed in particular as a motor vehicle, particularly preferably as a passenger car. In principle, it can also be provided that the vehicle is an aircraft.

Ein erfindungsgemäßes Verfahren dient zum Betreiben eines elektronischen Steuergeräts eines Fahrzeugs. Dabei werden mittels einer ersten Recheneinrichtung Fahrzeugdaten des Fahrzeugs empfangen und mittels einer zweiten Recheneinrichtung werden Sensordaten zumindest eines Sensors des Fahrzeugs empfangen. Mit der zweiten Recheneinrichtung werden zudem sicherheitsrelevante Daten für eine sicherheitsrelevante Komponente des Fahrzeugs anhand der Sensordaten bestimmt. Ferner werden die Fahrzeugdaten und/oder die sicherheitsrelevanten Daten zwischen der ersten Recheneinrichtung und der zweiten Recheneinrichtung übertragen. Dabei ist es vorgesehen, dass die Fahrzeugdaten über eine erste Datenverbindung und die sicherheitsrelevanten Daten über eine zur ersten Datenverbindung separate, zweite Datenverbindung zwischen der ersten Recheneinrichtung und der zweiten Recheneinrichtung übertragen werden. An inventive method is used to operate an electronic control unit of a vehicle. In this case, vehicle data of the vehicle are received by means of a first computing device, and sensor data of at least one sensor of the vehicle is received by means of a second computing device. In addition, safety-relevant data for a safety-relevant component of the vehicle is determined with the aid of the sensor data with the second computing device. Furthermore, the vehicle data and / or the security-relevant data are transmitted between the first computing device and the second computing device. It is envisaged that the Vehicle data via a first data connection and the security-relevant data via a second data connection separate from the first data connection between the first computing device and the second computing device are transmitted.

Die mit Bezug auf das erfindungsgemäße elektronische Steuergerät vorgestellten bevorzugten Ausführungsformen und deren Vorteile gelten entsprechend für das erfindungsgemäße Assistenzsystem, das erfindungsgemäße Fahrzeug sowie das erfindungsgemäße Verfahren. The preferred embodiments presented with reference to the electronic control unit according to the invention and their advantages apply correspondingly to the assistance system according to the invention, the vehicle according to the invention and the method according to the invention.

Weitere Merkmale der Erfindung ergeben sich aus den Ansprüchen, den Figuren und der Figurenbeschreibung. Die vorstehend in der Beschreibung genannten Merkmale und Merkmalskombinationen, sowie die nachfolgend in der Figurenbeschreibung genannten und/oder in den Figuren alleine gezeigten Merkmale und Merkmalskombinationen sind nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar, ohne den Rahmen der Erfindung zu verlassen. Es sind somit auch Ausführungen von der Erfindung als umfasst und offenbart anzusehen, die in den Figuren nicht explizit gezeigt und erläutert sind, jedoch durch separierte Merkmalskombinationen aus den erläuterten Ausführungen hervorgehen und erzeugbar sind. Es sind auch Ausführungen und Merkmalskombinationen als offenbart anzusehen, die somit nicht alle Merkmale eines ursprünglich formulierten unabhängigen Anspruchs aufweisen. Es sind darüber hinaus Ausführungen und Merkmalskombinationen, insbesondere durch die oben dargelegten Ausführungen, als offenbart anzusehen, die über die in den Rückbezügen der Ansprüche dargelegten Merkmalskombinationen hinausgehen oder abweichen. Further features of the invention will become apparent from the claims, the figures and the description of the figures. The features and feature combinations mentioned above in the description, as well as the features and combinations of features mentioned below in the description of the figures and / or shown alone in the figures, can be used not only in the respectively specified combination but also in other combinations or in isolation, without the frame to leave the invention. Thus, embodiments of the invention are to be regarded as encompassed and disclosed, which are not explicitly shown and explained in the figures, however, emerge and can be produced by separated combinations of features from the embodiments explained. Embodiments and combinations of features are also to be regarded as disclosed, which thus do not have all the features of an originally formulated independent claim. Moreover, embodiments and combinations of features, in particular by the embodiments set out above, are to be regarded as disclosed, which go beyond or deviate from the combinations of features set out in the back references of the claims.

Die Erfindung wird nun anhand von bevorzugten Ausführungsbeispielen sowie unter Bezugnahme auf die beigefügten Zeichnungen näher erläutert. The invention will now be described with reference to preferred embodiments and with reference to the accompanying drawings.

Dabei zeigen: Showing:

1 ein Fahrzeug gemäß einer Ausführungsform der vorliegenden Erfindung, welches ein Assistenzsystem mit einer Mehrzahl von Sensoren sowie einem elektronischen Steuergerät aufweist; 1 a vehicle according to an embodiment of the present invention, which has an assistance system with a plurality of sensors and an electronic control unit;

2 eine schematische Darstellung des elektronischen Steuergeräts; und 2 a schematic representation of the electronic control unit; and

3 eine schematische Darstellung des elektronischen Steuergeräts gemäß einer weiteren Ausführungsform. 3 a schematic representation of the electronic control device according to another embodiment.

In den Figuren werden gleiche und funktionsgleiche Elemente mit den gleichen Bezugszeichen versehen. In the figures, identical and functionally identical elements are provided with the same reference numerals.

1 zeigt ein Fahrzeug 1 gemäß einer Ausführungsform der vorliegenden Erfindung in einer Draufsicht. Das Fahrzeug 1 ist vorliegend als Personenkraftwagen ausgebildet. Das Fahrzeug 1 umfasst ein Assistenzsystem 2, welches eine Mehrzahl von Sensoren 3 umfasst. Die jeweiligen Sensoren 3 sind vorliegend als Kameras 4 ausgebildet. Mit Hilfe der Sensoren 3 bzw. der Kameras 4 kann eine Umgebung 5 des Fahrzeugs 1 erfasst werden. Die Kameras 4 sind vorliegend verteilt an dem Fahrzeug 1 angeordnet. Dabei ist eine der Kameras 4 in einem Frontbereich 6, eine der Kameras 4 in einem Heckbereich 7 und zwei der Kameras 4 in jeweiligen Seitenbereichen 8 des Fahrzeugs 1 angeordnet. Mit den Kameras 4 können Videodaten bzw. Bildsequenzen, welche die Umgebung 5 beschreiben, als Sensordaten bereitgestellt werden. 1 shows a vehicle 1 according to an embodiment of the present invention in a plan view. The vehicle 1 is designed here as a passenger car. The vehicle 1 includes an assistance system 2 which has a plurality of sensors 3 includes. The respective sensors 3 are present as cameras 4 educated. With the help of the sensors 3 or the cameras 4 can be an environment 5 of the vehicle 1 be recorded. The cameras 4 are present distributed to the vehicle 1 arranged. It is one of the cameras 4 in a front area 6 one of the cameras 4 in a rear area 7 and two of the cameras 4 in respective page areas 8th of the vehicle 1 arranged. With the cameras 4 can video data or image sequences representing the environment 5 described as being provided as sensor data.

Darüber hinaus umfasst das Assistenzsystem 2 ein elektronisches Steuergerät 9, welches zur Datenübertragung mit den jeweiligen Kameras 4 verbunden ist. Das elektronische Steuergerät 9 ist ferner mit einer Anzeigeeinrichtung 10 des Assistenzsystems 2 verbunden. Das elektronische Steuergerät 9 kann anhand der jeweiligen Videodaten der Kameras 4 eine Anzeige auf der Anzeigeeinrichtung 10 bereitstellen. Beispielsweise kann einem Fahrer des Fahrzeugs 1 beispielsweise die Umgebung 5 des Fahrzeugs 1 angezeigt werden. Des Weiteren umfasst das Assistenzsystem 2 einen Fahrzeugdatenbus 11, welcher beispielsweise als CAN-Bus oder Ethernet-Bus ausgebildet sein kann. Dabei ist das elektronische Steuergerät 9 und die Anzeigeeinrichtung 10 mit dem Fahrzeugdatenbus 11 zur Datenübertragung verbunden. Darüber hinaus ist eine sicherheitsrelevante Komponente 12 mit dem Fahrzeugdatenbus 11 verbunden. Bei der sicherheitsrelevanten Komponente 12 kann es sich beispielsweise um ein weiteres elektronisches Steuergerät 13 handeln. In addition, the assistance system includes 2 an electronic control unit 9 , which is for data transmission with the respective cameras 4 connected is. The electronic control unit 9 is also with a display device 10 of the assistance system 2 connected. The electronic control unit 9 can be based on the respective video data of the cameras 4 a display on the display device 10 provide. For example, a driver of the vehicle 1 for example, the environment 5 of the vehicle 1 are displayed. Furthermore, the assistance system includes 2 a vehicle data bus 11 which can be configured, for example, as a CAN bus or Ethernet bus. This is the electronic control unit 9 and the display device 10 with the vehicle data bus 11 connected to the data transmission. In addition, a safety-related component 12 with the vehicle data bus 11 connected. For the safety-relevant component 12 For example, this could be another electronic control unit 13 act.

2 zeigt eine schematische Darstellung des elektronischen Steuergeräts 9. Zudem ist der Fahrzeugdatenbus 11 dargestellt, der vorliegend mit mehreren weiteren Steuergeräten 13 verbunden ist. Dabei stellt eines der Steuergeräte 13 die sicherheitsrelevante Komponente 12 dar. Das elektronische Steuergerät 9 umfasst eine erste Recheneinrichtung 14 und eine zweite Recheneinrichtung 15. Die erste Recheneinrichtung 14 ist unter Zwischenschaltung eines Kommunikationsmoduls 16 mit dem Fahrzeugdatenbus 11 verbunden. Über den Fahrzeugdatenbus 11 kann die erste Recheneinrichtung 14 Fahrzeugdaten empfangen. Diese Fahrzeugdaten können beispielsweise mit einem der Steuergeräte 13 bereitgestellt werden. Insbesondere beschreiben die Fahrzeugdaten die aktuelle Position und/oder die aktuelle Bewegung des Fahrzeugs 1. Bei den Fahrzeugdaten kann es sich insbesondere um Odometriedaten handeln. 2 shows a schematic representation of the electronic control unit 9 , In addition, the vehicle data bus 11 shown, the present with several other control units 13 connected is. It represents one of the control units 13 the safety-relevant component 12 dar. The electronic control unit 9 includes a first computing device 14 and a second computing device 15 , The first computing device 14 is with interposition of a communication module 16 with the vehicle data bus 11 connected. About the vehicle data bus 11 may be the first computing device 14 Vehicle data received. This vehicle data can, for example, with one of the control units 13 to be provided. In particular, the vehicle data describe the current position and / or the current movement of the vehicle 1 , The vehicle data may in particular be odometry data.

Die zweite Recheneinrichtung 15 ist mit den Kameras 4 zur Datenübertragung verbunden und kann die Sensordaten bzw. die Videodaten von den jeweiligen Kameras 4 empfangen. Die zweite Recheneinrichtung 15 kann insbesondere als wählbare Ausgabesteuerung (SOC – Selectable Output Control) ausgebildet sein. Die zweite Recheneinrichtung 15 umfasst einen Dateneingang 17, welcher als sogenannter Videoeingangsport ausgebildet sein kann. Der Dateneingang 17 kann die Videodaten bzw. Sensordaten empfangen und auf einem Pufferspeicher 18 einer Speichereinrichtung 19 des elektronischen Steuergeräts 9 ablegen. Des Weiteren umfasst die zweite Recheneinrichtung 15 eine Bildverarbeitungseinheit 23. Diese wird von dem Dateneingang 17 über die Datenleitung 24 darüber informiert, dass neue Videodaten empfangen wurden. The second computing device 15 is with the cameras 4 connected to the data transmission and can the sensor data or the video data from the respective cameras 4 receive. The second computing device 15 can be designed in particular as a selectable output control (SOC - Selectable Output Control). The second computing device 15 includes a data input 17 , which can be designed as a so-called video input port. The data input 17 can receive the video data or sensor data and on a buffer memory 18 a storage device 19 of the electronic control unit 9 lay down. Furthermore, the second computing device comprises 15 an image processing unit 23 , This is from the data input 17 over the data line 24 informed that new video has been received.

Die zweite Recheneinrichtung 15 umfasst ferner einen ersten Prozessor 20, der wie nachfolgend näher erläutert, zur Datenübertragung mit der ersten Recheneinrichtung 14 verbunden ist. Des Weiteren umfasst die zweite Recheneinrichtung 15 einen zweiten Prozessor 21, der beispielsweise einen digitalen Signalprozessor und einen sogenannte Embedded Video Engine (EVE) umfassen kann. Auch der zweite Prozessor 21 ist zur Datenübertragung mit der ersten Recheneinrichtung 14 verbunden. Des Weiteren weist die zweite Recheneinrichtung 15 einen dritten Prozessor 22 auf, mit dem Kalibrierdaten 25 und/oder Zustandsdaten 26 bereitgestellt werden können. Die Kalibrierdaten 25 können beispielsweise eine aktuelle Kalibrierung der Kameras 4 betreffen. Die Zustandsdaten 26 können beispielsweise beschreiben, ob eine Linse der jeweiligen Kameras 4 verschmutzt ist. Die Bildverarbeitungseinheit 23 steuert den zweiten Prozessor 21 über die Datenleitung 27 an und meldet, dass neue Videodaten eingetroffen sind. Der zweite Prozessor 21 kann nun auf die in der Speichereinheit 19 hinterlegten Videodaten sowie die Kalibrierdaten 25 und die Zustandsdaten 26 zugreifen. Darüber hinaus können die Fahrzeugdaten, die von der ersten Recheneinrichtung 14 empfangen wurden und an die zweite Recheneinrichtung 15 übertragen wurden, von dem ersten Prozessor 20 an den zweiten Prozessor 21 über die Datenleitung 28 übertragen werden. Die zweite Recheneinrichtung 15 umfasst zudem einen Zwischenspeicher 29. The second computing device 15 further includes a first processor 20 , which explains in more detail below, for data transmission with the first computing device 14 connected is. Furthermore, the second computing device comprises 15 a second processor 21 which may include, for example, a digital signal processor and a so-called Embedded Video Engine (EVE). Also the second processor 21 is for data transmission with the first computing device 14 connected. Furthermore, the second computing device 15 a third processor 22 on, with the calibration data 25 and / or status data 26 can be provided. The calibration data 25 For example, you can do a current calibration of the cameras 4 affect. The status data 26 For example, describe whether a lens of each camera 4 is dirty. The image processing unit 23 controls the second processor 21 over the data line 27 and announces that new video data has arrived. The second processor 21 can now access the in the storage unit 19 deposited video data as well as the calibration data 25 and the status data 26 access. In addition, the vehicle data provided by the first computing device 14 were received and to the second computing device 15 transmitted from the first processor 20 to the second processor 21 over the data line 28 be transmitted. The second computing device 15 also includes a cache 29 ,

Der zweite Prozessor 21 ist nun dazu ausgebildet, anhand der Videodaten gegebenenfalls unter Berücksichtigung der Kalibrierdaten 25 und der Zustandsdaten 26 Fahrbahnmarkierungen auf einer Fahrbahn zu erkennen, auf welcher sich das Fahrzeug 1 aktuell befindet. Dabei kann der zweite Prozessor 21 ferner die Bewegungsdaten bzw. die Odometriedaten heranziehen. Somit kann beispielsweise bestimmt werden, ob sich das Fahrzeug 1 aktuell auf einer Fahrspur der Fahrbahn befindet, die durch die Fahrbahnmarkierungen begrenzt ist. Es kann auch bestimmt werden, ob sich das Fahrzeug 1 zumindest bereichsweise außerhalb der Fahrspur befindet. Zudem kann auch bestimmt werden, ob ein Überfahren der Fahrbahnmarkierung durch das Fahrzeug 1 droht. Hierzu können von dem zweiten Prozessor 21 sicherheitsrelevante Daten bereitgestellt werden, welche anhand der Fahrbahnmarkierungen und gegebenenfalls der Bewegungsdaten bestimmt werden. Diese sicherheitsrelevanten Daten können zur Ansteuerung der sicherheitsrelevanten Komponente 12 genutzt werden. The second processor 21 is now designed to be based on the video data, if necessary, taking into account the calibration data 25 and the state data 26 Track markings to recognize on a roadway on which the vehicle 1 currently located. In this case, the second processor 21 furthermore, use the movement data or the odometry data. Thus, for example, it can be determined whether the vehicle 1 currently located on a lane of the roadway, which is limited by the lane markings. It can also be determined if the vehicle is 1 at least partially outside the lane. In addition, it can also be determined whether the vehicle is being driven over the lane marking 1 threatening. This can be done by the second processor 21 safety-relevant data are provided, which are determined on the basis of the lane markings and, where appropriate, the movement data. These safety-relevant data can be used to control the safety-relevant component 12 be used.

Vorliegend sind zwischen der ersten Recheneinrichtung 14 und der zweiten Recheneinrichtung 15 eine erste Datenverbindung 30 sowie eine separate, zweite Datenverbindung 31 vorgesehen. Die erste Datenverbindung 30 umfasst eine erste Datenleitung 32 und die zweite Datenverbindung 31 umfasst eine zweite Datenleitung 33. Die erste Datenleitung 32 und die zweite Danteleitung 33 können insbesondere als serielle Datenleitung bzw. als serieller Datenbus, beispielsweise als Serial Peripheral Interface (SPI), als Inter-Integrated Circuit (I2C), als System Management Bus (SMBus), als Zweidrahtleitung, als universal Asynchronous Reciever Transmitter (UART), als SSI-Bus oder dergleichen ausgebildet sein. In der ersten Recheneinrichtung 14 ist der ersten Datenleitung 32 eine erste Schnittstelle 34 zugeordnet und der zweiten Datenleitung 33 ist eine zweite Schnittstelle 35 zugeordnet. Ferner weist der erste Prozessor 20 eine erste Prozessorschnittstelle 40 auf, die mit der ersten Datenleitung 32 verbunden ist. Der zweite Prozessor 21 weist eine zweite Prozessorschnittstelle 41 auf, die mit der zweiten Datenleitung 33 verbunden ist. In the present case are between the first computing device 14 and the second computing device 15 a first data connection 30 and a separate, second data connection 31 intended. The first data connection 30 includes a first data line 32 and the second data connection 31 includes a second data line 33 , The first data line 32 and the second dumbbell 33 can be used in particular as a serial data line or as a serial data bus, for example as a serial peripheral interface (SPI), as an inter-integrated circuit (I2C), as a system management bus (SMBus), as a two-wire line, as a universal asynchronous receiver transmitter (UART) SSI bus or the like may be formed. In the first computing device 14 is the first data line 32 a first interface 34 assigned and the second data line 33 is a second interface 35 assigned. Furthermore, the first processor 20 a first processor interface 40 on that with the first data line 32 connected is. The second processor 21 has a second processor interface 41 on that with the second data line 33 connected is.

Die erste Recheneinrichtung 14, die bevorzugt als Mikrocontroller ausgebildet ist, umfasst zudem eine Kommunikationseinheit 36 zum Übertragen von Daten auf den Fahrzeugdatenbus 11 und/oder zum Empfangen von Daten von dem Fahrzeugdatenbus 11. Des Weiteren umfasst die erste Recheneinrichtung 14 eine Mehrzahl von Softwaremodulen 37. Dabei ist eines der Softwaremodule 38 mit einem Watchdog-Timer 38 verbunden. Innerhalb der ersten Recheneinrichtung 14 ist eine separate Datenleitung 39 vorgesehen, welche die zweite Schnittstelle 35 mit der Kommunikationseinheit 36 verbindet. Insgesamt können somit die sicherheitsrelevanten Daten von dem zweiten Prozessor 21 über die zweite Datenverbindung 31 und innerhalb der ersten Recheneinrichtung 14 über die Datenverbindung 39 an den Fahrzeugdatenbus 11 übertragen werden. The first computing device 14 , which is preferably designed as a microcontroller, also includes a communication unit 36 for transmitting data to the vehicle data bus 11 and / or for receiving data from the vehicle data bus 11 , Furthermore, the first computing device comprises 14 a plurality of software modules 37 , This is one of the software modules 38 with a watchdog timer 38 connected. Within the first computing device 14 is a separate data line 39 provided which the second interface 35 with the communication unit 36 combines. Overall, therefore, the security-relevant data from the second processor 21 over the second data connection 31 and within the first computing device 14 over the data connection 39 to the vehicle data bus 11 be transmitted.

Die Übertragung der sicherheitsrelevanten Daten bzw. die zweite Datenverbindung 31 entspricht somit einer vorbestimmten Sicherheitsanforderungsstufe, insbesondere der Stufe ASIL B. Die erste Datenverbindung 30 kann beispielsweise nach der Sicherheitsanforderungsstufe QM ausgebildet sein. Damit können die sicherheitsrelevanten Daten mit der sicherheitsrelevanten Komponente 12 empfangen werden. Wenn die sicherheitsrelevanten Daten beispielsweise ergeben, dass das ein Verlassen der Fahrspur durch das Fahrzeug 1, kann mit der sicherheitsrelevanten Komponente 12 bzw. dem Steuergerät 13 ein Steuersignal an eine Fahrzeugfunktion bzw. eine Funktionseinheit des Fahrzeugs 1 ausgegeben werden. Damit kann beispielsweise ein Eingriff in die Lenkung durchgeführt werden, sodass das Fahrzeug 1 wieder in die Fahrspur gelenkt wird. The transmission of the security-relevant data or the second data connection 31 thus corresponds to a predetermined security requirement level, in particular the level ASIL B. The first data connection 30 For example, it may be designed according to the security requirement level QM. This allows the safety-relevant data with the safety-relevant component 12 be received. For example, if the safety-relevant data indicates that the vehicle is leaving the lane 1 , can with the safety-related component 12 or the control unit 13 a control signal to a vehicle function or a functional unit of the vehicle 1 be issued. This can be done, for example, an intervention in the steering, so that the vehicle 1 is directed back into the lane.

3 veranschaulicht die Übertragung der Daten innerhalb des elektronischen Steuergeräts 9. Hierbei empfängt der Dateneingang 17 der zweiten Recheneinrichtung 15 die Sensordaten bzw. Videodaten von den vier Kameras 4 des Fahrzeugs 1. Die Videodaten werden auf der Speichereinrichtung 19 abgelegt. Auf der Speichereinrichtung 19 sind zudem die Kalibrierdaten 25 für die vier Kameras 4 und die Zustandsdaten 26 für die vier Kameras 4 abgelegt. Von einem weiteren Speicher 42 werden intrinsische Kameradaten 43 für die vier Kameras 4 bereitgestellt und an den zweiten Prozessor 21 übertragen. Auch die Videodaten, die Kalibrierdaten 25 und die Zustandsdaten 26 werden an den zweiten Prozessor 21 übertragen. Darüber hinaus empfängt der zweite Prozessor 21 die Fahrzeugdaten bzw. Odometriedaten, die über die Prozessorschnittstellen 40, 41 empfangen wurden und auf einem Speicher 44 zwischengespeichert wurden. Des Weiteren sind zwischen den Prozessorschnittstellen 40, 41 und den Schnittstellen 34, 35 der ersten Recheneinrichtung 14 die beiden Datenverbindungen 30 und 31 vorgesehen. Auch hier ist die Kommunikationseinheit 36 der ersten Recheneinrichtung über das Kommunikationsmodul 16 mit dem Fahrzeugdatenbus 11 verbunden. Der Fahrzeugdatenbus 11 ist wiederum mit der sicherheitsrelevanten Komponente 12 bzw. dem zumindest einen Steuergerät 13 verbunden. 3 illustrates the transfer of data within the electronic control unit 9 , Hereby the data input receives 17 the second computing device 15 the sensor data or video data from the four cameras 4 of the vehicle 1 , The video data is stored on the storage device 19 stored. On the storage device 19 are also the calibration data 25 for the four cameras 4 and the status data 26 for the four cameras 4 stored. From another store 42 become intrinsic camera data 43 for the four cameras 4 provided and to the second processor 21 transfer. Also the video data, the calibration data 25 and the status data 26 be to the second processor 21 transfer. In addition, the second processor receives 21 the vehicle data or Odometriedaten via the processor interfaces 40 . 41 were received and stored on a memory 44 cached. Furthermore, there are between the processor interfaces 40 . 41 and the interfaces 34 . 35 the first computing device 14 the two data connections 30 and 31 intended. Again, the communication unit 36 the first computing device via the communication module 16 with the vehicle data bus 11 connected. The vehicle data bus 11 is again with the safety-relevant component 12 or the at least one control unit 13 connected.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

US 2015/0057908 A1 [0004]

Zitierte Nicht-PatentliteraturCited non-patent literature

Standard ISO 26262 [0010]

Claims

Electronic control unit ( 9 ) for a vehicle ( 1 ), with a first computing device ( 14 ) for receiving vehicle data of the vehicle ( 1 ) and with a second computing device ( 15 ) for receiving sensor data of at least one sensor ( 3 ) of the vehicle ( 1 ) and for determining security-relevant data for a security-relevant component ( 12 ) of the vehicle ( 1 ) based on the sensor data, wherein the first computing device ( 14 ) and the second computing device ( 15 ) are connected to the transmission of the vehicle data and / or the security-relevant data, characterized in that the first computing device ( 14 ) and the second computing device ( 15 ) via a first data connection ( 30 ) for transmitting the vehicle data and via a to the first data connection ( 30 ) separate, second data connection ( 31 ) are connected to transmit the security-related data.

Electronic control unit ( 9 ) according to claim 1, characterized in that the second data connection ( 31 ) is formed according to a predetermined safety requirement level.

Electronic control unit ( 9 ) according to claim 1 or 2, characterized in that the second computing device ( 15 ) a first processor ( 20 ) and a second processor ( 21 ), wherein the first processor ( 20 ) with a first data line ( 32 ) of the first data connection ( 30 ) and the second processor ( 21 ) with a second data line ( 33 ) of the second data connection ( 31 ) are connected.

Electronic control unit ( 9 ) according to claim 3, characterized in that the electronic control unit ( 9 ) a memory device ( 19 ) to the memory of the sensor data and the second processor ( 21 ) is adapted to the safety-relevant data on the basis of the memory device ( 19 ) to determine sensor data stored.

Electronic control unit ( 9 ) according to claim 4, characterized in that the second computing direction ( 15 ) a third processor ( 22 ), which is designed to store calibration data ( 25 ), which calibration of the at least one sensor ( 3 ) and / or status data ( 26 ), which indicates a state of the at least one sensor ( 3 ) on the storage device ( 19 ) and that the second processor ( 21 ) is designed in addition to the security-relevant data on the basis of the memory device ( 19 ) stored calibration data ( 25 ) and / or status data ( 26 ).

Electronic control unit ( 9 ) according to one of the preceding claims, characterized in that the first computing device ( 14 ) a communication unit ( 36 ) for receiving the vehicle data from a vehicle bus ( 11 ) of the vehicle ( 1 ) and for sending the data from the second computing device ( 15 ) received safety-relevant data via the vehicle bus ( 11 ) of the vehicle ( 1 ).

Electronic control unit ( 9 ) according to claim 6, characterized in that the first computing device ( 14 ) a separate data line ( 39 ) between the communication unit ( 36 ) and the second data connection ( 31 ) having.

Electronic control unit ( 9 ) according to one of the preceding claims, characterized in that the second computing device ( 15 ) is designed as the sensor data video data from at least one camera ( 4 ) of the vehicle ( 1 ) to recieve.

Electronic control unit ( 9 ) according to claim 8, characterized in that the second computing device ( 15 ) is designed to recognize in the video data lane markings of a road and to determine the safety-relevant data on the basis of the recognized lane markings.

Electronic control unit ( 9 ) according to one of the preceding claims, characterized in that the first computing device ( 14 ) is adapted to receive, as the vehicle data, data representing a current position and / or movement of the vehicle ( 1 ).

Assistance system ( 2 ) for a vehicle ( 1 ) with an electronic control unit ( 9 ) according to one of the preceding claims and with at least one sensor.

Assistance system ( 2 ) according to claim 11, characterized in that the assistance system ( 2 ) the safety-critical component ( 12 ) configured to receive the safety-relevant data and to output a control signal for controlling a vehicle function in response to the safety-relevant data.

Vehicle ( 1 ) with an assistance system ( 2 ) according to claim 11 or 12.

Method for operating an electronic control unit ( 9 ) of a vehicle ( 1 ), in which by means of a first computing device ( 14 ) Vehicle data of the vehicle ( 1 ) and by means of a second computing device ( 15 ) Sensor data of at least one sensor ( 3 ) of the vehicle ( 1 ) and security-relevant data for a security-relevant component ( 12 ) of the vehicle ( 1 ) based on the sensor data be determined, wherein the vehicle data and / or the safety-related data between the first computing device ( 14 ) and the second computing device ( 15 ), characterized in that the vehicle data is transmitted via a first data connection ( 30 ) and the security-relevant data about a first data connection ( 30 ) separate, second data connection ( 31 ) between the first computing device ( 14 ) and the second computing device ( 15 ) be transmitted.