-
Stand der Technik
-
Der Betrieb eines Kraftfahrzeugs erfolgt heutzutage üblicherweise unter Verwendung einer elektronischen Steuereinheit, die verschiedene Aktuatoren des Kraftfahrzeugs ansteuert. Darüber hinaus sind vom Markt her eine Vielzahl von Fahrerassistenzsystemen bekannt, die über Kraftfahrzeugsensoren die Umgebung wahrnehmen und Aktuatoren ansteuern. Zu diesen Fahrerassistenzsystemen zählen z. B. eine Adative Cruise Control (ACC), ein Kurvenassistent, ein Einparkassistenz, ein Spurhalterassistenz, eine Berganfahrhilfe und dergleichen. Diese Fahrerassistenzsysteme zeichnen sich dadurch aus, dass sie aus, mittels Sensoren erfassten Umgebungsdaten des Kraftfahrzeugs, eine Ansteueranforderung an die Aktuatoren des Kraftfahrzeugs berechnen. Neben den dafür benötigten Sensoren bestehen diese Fahrerassistenzsysteme daher üblicherweise aus Softwaremodulen.
-
Die zu den Fahrerassistenzsystemen gehörenden Softwaremodule können entweder am Bandende, also bei der Produktion des Kraftfahrzeugs auf das elektronische Steuergerät aufgespielt werden, oder zu einem späteren Zeitpunkt entweder auf das Steuergerät aufgespielt werden oder auf einer weiteren Recheneinheit ablaufen, die mit dem Steuergerät in Verbindung steht. In letzterem Fall handelt es sich hierbei also um nachladbare Softwaremodule. Bei den weiteren Steuergeräten kann es sich beispielsweise um fahrzeugexterne Rechner handeln, die über eine Internetverbindung mit dem Kraftfahrzeug verbunden sind. Es kann sich bei der fahrzeugexternen Rechnereinheit allerdings auch um ein Endgerät handeln wie beispielsweise ein Smartphone, das über eine geeignete Schnittstelle mit dem Steuergerät des Kraftfahrzeugs in Verbindung steht.
-
Bei der Verwendung von nachladbaren Softwaremodulen ist auf der einen Seite sicherzustellen, dass die Verwendung der nachladbaren Softwaremodule nicht zu einem unsicheren Betriebszustand des Kraftfahrzeugs führt, auf der anderen Seite aber eine möglichst hohe Kompatibilität von Fahrzeugsteuereinheit und externer Recheneinheit bzw. nachladbaren Softwaremodulen gegeben ist.
-
Eine Möglichkeit, sicherzustellen, dass eine Verwendung der nachladbaren Softwaremodule nicht zu einer unsicheren Betriebssituation des Kraftfahrzeugs führen kann, wäre, die nachladbaren Softwaremodule bereits zum Zeitpunkt der Produktion des Kraftfahrzeugs herzustellen und vom Kraftfahrzeughersteller für die Verwendung im Kraftfahrzeug zertifizieren zu lassen. Hierfür wären umfangreiche Tests des Zusammenspiels zwischen nachladbarem Softwaremodul und fahrzeuginterner Steuereinheit nötig. Diese umfangreichen Tests würden üblicherweise mit einem Kraftfahrzeugprototyp durchgeführt werden müssen. Dies hat den Nachteil, dass während der Lebensdauer des Kraftfahrzeugs keine neuen, nicht an einem Prototyp des Kraftfahrzeugs getesteten, nachladbaren Softwaremodule vom Kraftfahrzeug verwendet werden können.
-
Aus der
DE 10 2014 209 489 A1 ist eine Vorrichtung zum sicheren Einbinden einer Softwarekomponente in einem Kraftfahrzeug bekannt, wobei die Vorrichtung eingerichtet ist, zu bewerten, ob eine Aktuatoransteuerung durch die Softwarekomponente das Fahrzeug in einen unsicheren Zustand versetzt.
-
Aus der
DE 10 2015 201 010 A1 ist eine Vorrichtung zum Ansteuern eines Kraftfahrzeugs bekannt. Hierbei ist ein Kommunkationsmodul offenbart, das eine Möglichkeit für fahrzeugunabhängige Programme zu Verfügung stellt, so dass diese das Fahrzeug ansteuern können.
-
-
Offenbarung der Erfindung
-
Das erfindungsgemäße Verfahren zum Betreiben eines Kraftfahrzeugs, das eine Recheneinheit und einen Aktuator umfasst, wobei die Recheneinheit eine Anforderung zur Ansteuerung des Aktuators eines nachladbaren Softwaremoduls empfängt, wobei die Anforderung zum Ansteuern eines Aktuators eine Betriebssituation des Kraftfahrzeugs beeinflusst, hat demgegenüber den Vorteil, dass eine Umsetzung der Anforderung zur Ansteuerung des Aktuators abhängig von einer Zulänglichkeitsprüfung des nachladbaren Softwaremoduls erfolgt. Mittels der Zulänglichkeitsprüfung kann insbesondere zu einem beliebigen Zeitpunkt innerhalb der Lebensdauer des Kraftfahrzeugs sichergestellt werden, dass der Betrieb des nachladbaren Softwaremoduls nicht zu unsicheren Fahrsituationen führt.
-
Eine Anforderung zur Ansteuerung eines Aktuators eines nachladbaren Softwaremoduls meint insbesondere, dass die Anforderung zur Ansteuerung des Aktuators durch das nachladbare Softwaremodul gebildet und von diesem ausgegeben wird. Das erfindungsgemäße Verfahren auf Anforderungen zu Ansteuern eines Aktuators anzuwenden, die eine Betriebssituation des Kraftfahrzeugs beeinflusst, hat den Vorteil, dass gerade solche Anforderungen auf Sicherheitsaspekte hin überwacht werden sollten. Unter Betriebssituation des Kraftfahrzeugs sind dabei insbesondere fahrdynamische Situationen zu verstehen. Also Lenkwinkel, anliegende Bremskräfte, Momentenabgabe einer Antriebseinheit und dergleichen. Anforderungen zum Ansteuern eines Aktuators, die eine Betriebssituation des Kraftfahrzeugs beeinflussen, sind im Sinne der vorliegenden Erfindung also insbesondere Anforderungen, die eine Änderung einer Längs- und/oder Querdynamik des Kraftfahrzeugs oder eines Lenkwinkels des Kraftfahrzeugs mit sich bringen. Die Anwendung des erfindungsgemäßen Verfahrens auf Anforderungen zur Ansteuerung eines Aktuators, die lediglich Komfortfunktionen betreffen, wie z.B. Ansteuerung eines Infotainmentsystems oder einer Klimaanlage, sind weniger bedeutend.
-
Vorteilhaft ist, wenn die Recheneinheit die Betriebssituation des Kraftfahrzeugs beeinflusst, indem sie mittelbar oder unmittelbar den Aktuator des Kraftfahrzeugs ansteuert. Unter unmittelbarer Ansteuerung ist hierbei insbesondere zu verstehen, dass ein Ausgangssignal der Recheneinheit direkt als Eingangssignal des Aktuators dient. Unter mittelbarer Ansteuerung ist dabei insbesondere zu verstehen, dass die Recheneinheit eine Anforderung zur Ansteuerung des Aktuators erstellt und an eine weitere Recheneinheit, beispielsweise ein Aktuatorsteuergerät, übermittelt. Die Umsetzung der Anforderung, also insbesondere das Erzeugen eines Eingangssignals für den Aktuator, erfolgt dann durch das Aktuatorsteuergerät.
-
Vorteilhaft ist, wenn es sich bei dem nachladbaren Softwaremodul um ein Softwaremodul handelt, das auf einem tragbaren Endgerät abläuft, wobei das tragbare Endgerät mit der Recheneinheit in Verbindung steht. Bei dem tragbaren Endgerät kann es sich hierbei insbesondere um ein Smartphone handeln, das sich im Kraftfahrzeuginnenraum befindet und beispielsweise über eine drahtlose Verbindung unmittelbar oder mittelbar mit der Recheneinheit des Kraftfahrzeugs in Verbindung steht. Zur Herstellung einer Verbindung zwischen Smartphone und Recheneinheit des Kraftfahrzeugs können insbesondere vom Markt her bekannte Adapter oder Funkschnittstellen verwendet werden.
-
Vorteilhaft ist, wenn es sich bei dem nachladbaren Softwaremodul um ein Softwaremodul handelt, das auf einer fahrzeugexternen Recheneinheit abläuft, wobei die fahrzeugexterne Recheneinheit über eine Internetverbindung mit der Recheneinheit in Verbindung steht. Bei der fahrzeugexternen Recheneinheit kann es sich dabei insbesondere um einen Server oder eine sogenannte Cloud handeln. In diesem Fall wird die Internetverbindung mit dem Kraftfahrzeug über ein Verbindungsmodul hergestellt, das sich an Bord des Kraftfahrzeugs befindet und mit der Recheneinheit des Kraftfahrzeugs in Verbindung steht.
-
Vorteilhaft ist, wenn es sich bei dem nachladbaren Softwaremodul um ein Softwaremodul handelt, das auf der Recheneinheit abläuft.
-
Vorteilhaft ist, wenn die Zulänglichkeitsprüfung des nachladbaren Softwaremoduls von der Recheneinheit vorgenommen wird.
-
Vorteilhaft ist, wenn die Zulänglichkeitsprüfung des nachladbaren Softwaremoduls von einem Aktuatorsteuergerät vorgenommen wird. Besonders vorteilhaft ist es, wenn es sich bei dem Aktuatorsteuergerät um dasjenige Aktuatorsteuergerät handelt, das demjenigen Aktuator zugeordnet ist, der über die Anforderung des nachladbaren Softwaremoduls angesteuert werden soll.
-
Erfindungsgemäß vorgesehen ist, dass die Zulänglichkeitsprüfung umfasst, zu überprüfen, ob die Anforderung zum Ansteuern des Aktuators den Aktuator zumindest mittelbar erreicht. Dies bietet den Vorteil, dass auf besonders einfache Art und Weise erkannt werden kann, ob die Anforderung zum Ansteuern des Aktuators zumindest prinzipiell umgesetzt werden könnte. Erreicht die Anforderung zum Ansteuern des Aktuators nicht zumindest mittelbar den Aktuator, ist eine Ansteuerung des Aktuators nicht möglich. Das Erzeugen der Anforderung zum Ansteuern des Aktuators durch das nachladbare Softwaremodul ist in dem Fall unnötig und blockiert gegebenenfalls die Rechenleistung der Recheneinheit oder eine Bandbreite auf Signalleitungen, beispielsweise einem CAN-Bus, über den die Aktuatoren bzw. das Aktuatorsteuergerät mit der Recheneinheit in Verbindung steht. In besonders vorteilhafter Ausgestaltung wird das Aussenden der Anforderung zur Ansteuerung des Aktuators unterbunden, wenn im Rahmen der Zulänglichkeitsprüfung erkannt wird, dass die Anforderung zum Ansteuern des Aktuators den Aktuator nicht erreicht. Somit kann eine unnötige Belastung des kraftfahrzeuginternen Kommunikationsnetzes vermieden werden.
-
In einer weiteren vorteilhaften Ausgestaltung wird eine Ausführung des nachladbaren Softwaremoduls unterbunden, wenn im Rahmen der Zulänglichkeitsprüfung erkannt wird, dass die Anforderung zum Ansteuern des Aktuators den Aktuator nicht erreicht. Somit kann Rechenkapazität auf der Recheneinheit eingespart werden, auf der das nachladbare Softwaremodul ausgeführt wird.
-
Vorteilhaft ist, wenn die Zulänglichkeitsprüfung umfasst zu überprüfen, ob die Anforderung zum Ansteuern des Aktuators einen durch das nachladbare Softwaremodul beabsichtigten Effekt auf die Betriebssituation des Kraftfahrzeugs hat, d. h. es wird insbesondere überprüft, ob sich die Betriebssituation des Kraftfahrzeugs durch die Anforderung zur Ansteuerung des Aktuators in der Art ändert, wie dies durch das nachladbare Softwaremodul beabsichtigt war. Zeigt die Betriebssituation des Kraftfahrzeugs nicht die gewünschte Änderung, ist davon auszugehen, dass das nachladbare Softwaremodul nicht in gewünschter Weise ausgeführt werden kann und somit auf dessen Ausführung verzichtet werden kann. In einer vorteilhaften Weiterbildung wird daher die Ausführung des nachladbaren Softwaremoduls unterbunden, falls erkannt wird, dass die Anforderung zum Ansteuern des Aktuators nicht den beabsichtigten Effekt auf die Betriebssituation des Kraftfahrzeugs hat. Somit kann ebenfalls Rechenleistung auf der ausführenden Recheneinheit eingespart werden und eine unnötige Belastung des Kraftfahrzeuginternen Kommunikationsnetzes verhindert werden.
-
Vorteilhaft ist, wenn die Zulänglichkeitsprüfung umfasst, zu überprüfen, ob die Anforderung zum Ansteuern des Aktuators mit einer aktuellen Fahrsituation vereinbar ist.
-
Vorteilhaft ist, wenn die Anforderung zum Ansteuern des Aktuators als mit der aktuellen Fahrsituation unvereinbar eingeschätzt wird, wenn die aktuelle Fahrsituation einer zuvor definierten sicherheitsrelevanten Fahrsituation entspricht. Somit kann besonders effizient verhindert werden, dass eine Anforderung des nachladbaren Softwaremoduls zu einem unsicheren Fahrzustand des Kraftfahrzeugs führt. Befindet sich das Kraftfahrzeug in einer Fahrsituation, die einer zuvor definierten sicherheitsrelevanten Fahrsituation entspricht, kann somit auf eine Beeinflussung der Betriebssituation des Kraftfahrzeugs durch nachladbare Softwaremodule verzichtet werden, insbesondere dann, wenn die nachladbaren Softwaremodule die Betriebssituation des Kraftfahrzeugs derart beeinflussen, dass ein Eingriff in die Fahrdynamik des Kraftfahrzeugs erfolgt. Insbesondere ist in sicherheitsrelevanten Fahrsituationen nicht erwünscht, dass das nachladbare Softwaremodul eine Momentenabgabe einer Antriebseinheit des Kraftfahrzeugs erhöht, in eine elektronische Lenkung des Kraftfahrzeugs eingreift oder zu einer Abbremsung der Räder des Kraftfahrzeugs führt.
-
Vorteilhaft ist, wenn die Anforderung zum Ansteuern des Aktuators als mit der aktuellen Fahrsituation unvereinbar eingeschätzt wird, wenn eine Datenbankabfrage ergibt, dass entweder die Anforderung zum Ansteuern des Aktuators oder das nachladbare Softwaremodul als mit der aktuellen Fahrsituation unvereinbar hinterlegt ist. Auf diese Weise kann die Zulänglichkeitsprüfung des nachladbaren Softwaremoduls erheblich vereinfacht werden, da in der Datenbank abgefragt werden kann, ob bereits hinterlegt ist, dass das nachladbare Softwaremodul oder die Anforderung zum Ansteuern des Aktuators als mit der aktuellen Fahrsituation unvereinbar bekannt ist.
-
Die Einträge in der Datenbank können hierbei beispielsweise von anderen Kraftfahrzeugen zur Verfügung gestellt werden oder auf der Durchführung von Testreihen beruhen. Durch die Datenbankabfrage kann insbesondere Rechenleistung eingespart werden, da die Recheneinheit des Kraftfahrzeugs die Zulänglichkeitsprüfung nicht anhand aufwändiger Algorithmen gestalten muss, sondern lediglich durch einen einfachen Vergleich mit der Datenbank.
-
Vorteilhaft ist eine Vorrichtung, die eingerichtet zur Durchführung jedes Schritts des erfindungsgemäßen Verfahrens ist.
-
Vorteilhaft ist ein Computerprogramm, das zur Durchführung jedes Schritts des erfindungsgemäßen Verfahrens eingerichtet ist.
-
Vorteilhaft ist außerdem eine Recheneinheit, die einen Speicher umfasst, auf dem das Computerprogramm gespeichert ist.
-
Nachfolgend wird ein Ausführungsbeispiel der vorliegenden Erfindung anhand der beiliegenden Zeichnung näher erläutert. Dabei zeigt:
-
Figurenliste
-
- 1 eine schematische Darstellung eines Kraftfahrzeugs, das zur Ausführung eines ersten Ausführungsbeispiels des erfindungsgemäßen Verfahrens eingerichtet ist.
-
1 zeigt eine schematische Darstellung eines Kraftfahrzeugs, das eingerichtet ist, eine Ausführungsform des erfindungsgemäßen Verfahrens durchzuführen. Das Kraftfahrzeug (10) umfasst eine Recheneinheit (12), die wiederum einen Speicher (14) umfasst. Das Kraftfahrzeug (10) umfasst ferner ein Aktuatorsteuergerät (18), das mit der Recheneinheit (12) in Verbindung steht und eingerichtet ist, einen Aktuator (16) anzusteuern. Das Kraftfahrzeug (10) umfasst außerdem ein Verbindungsmodul (22), das über eine Signalleitung mit der Recheneinheit (12) in Verbindung steht. Bei dem Verbindungsmodul (22) kann es sich insbesondere um eine Vorrichtung handeln, die eingerichtet ist, eine Verbindung mit dem Internet herzustellen.
-
1 zeigt außerdem ein tragbares Endgerät (20), bei dem es sich beispielsweise um ein Smartphone handeln kann. Das tragbare Endgerät (20) befindet sich im Innenraum des Kraftfahrzeugs (10) und steht über eine Funkverbindung mit der Recheneinheit (12) in Verbindung. 1 zeigt außerdem eine fahrzeugexterne Recheneinheit (30), die über eine Internetverbindung mit dem Verbindungsmodul (22) in Verbindung steht.
-
Ein nachladbares Softwaremodul kann zu einem gegebenen Zeitpunkt auf die Recheneinheit (12) aufgespielt werden, oder sich auf dem tragbaren Endgerät (20) oder der fahrzeugexternen Recheneinheit (30) befinden. In allen drei zuvor genannten Fällen ist vorgesehen, das nachladbare Softwaremodul beim Betrieb des Kraftfahrzeugs auszuführen. Das nachladbare Softwaremodul ist dabei derart gestaltet, dass es Anforderungen zum Ansteuern des Aktuators (16) erzeugt. Bei dem nachladbaren Softwaremodul kann es sich insbesondere um ein Softwaremodul eines Fahrerassistenzsystems handeln. Befindet sich das nachladbare Softwaremodul auf der fahrzeugexternen Recheneinheit (30) oder dem tragbaren Endgerät (20), erfolgt eine Umsetzung der Anforderung zum Ansteuern des Aktuators (16) mittels der Recheneinheit (12).
-
Das erfindungsgemäße Verfahren sieht vor, eine Umsetzung der Anforderung zum Ansteuern des Aktuators (16) in Abhängigkeit einer Zulänglichkeitsprüfung des nachladbaren Softwaremoduls durchzuführen. Die Zulänglichkeitsprüfung kann dabei entweder von der Recheneinheit (12) oder dem Aktuatorsteuergerät (18) durchgeführt werden.
-
Die Zulänglichkeitsüberprüfung umfasst in einem ersten Schritt, zu überprüfen, ob eine Anforderung zum Ansteuern des Aktuators (16) den Aktuator (16) zumindest mittelbar erreicht. D. h. es wird überprüft, ob eine durch das nachladbare Softwaremodul erzeuge Anforderung zur Ansteuerung des Aktuators (16) das Aktuatorsteuergerät (18) erreicht. Ist dies nicht der Fall, wird das Aussenden der Anforderung zum Ansteuern des Aktuators (16) durch das nachladbare Softwaremodul blockiert. Zusätzlich oder alternativ wird die Ausführung des nachladbaren Softwaremoduls blockiert.
-
In einem zweiten Schritt wird überprüft, ob die Anforderung zum Ansteuern des Aktuators (16) den durch das nachladbare Softwaremodul beabsichtigten Effekt auf die Betriebssituation des Kraftfahrzeugs (10) hat. Hierfür können fahrzeuginterne Sensoren, die die Betriebssituation des Kraftfahrzeugs erfassen, ausgelesen werden oder auf Daten der Recheneinheit (12) zurückgegriffen werden. Hat die Anforderung zum Ansteuern des Aktuators (16) durch das nachladbare Softwaremodul nicht den beabsichtigten Effekt auf die Betriebssituation des Kraftfahrzeugs (10), wird das Aussenden der Anforderung zum Ansteuern des Aktuators (16) blockiert. Alternativ oder zusätzlich kann die Ausführung des nachladbaren Softwaremoduls blockiert werden.
-
In einem dritten Schritt wird überprüft, ob die Anforderung zum Ansteuern des Aktuators (16) mit einer aktuellen Fahrsituation des Kraftfahrzeugs (10) vereinbar ist. Hierbei wird insbesondere überprüft, ob die aktuelle Fahrsituation des Kraftfahrzeugs (10) einer zuvor definierten sicherheitsrelevanten Fahrsituation entspricht. Die zuvor definierten sicherheitsrelevanten Fahrsituationen können beispielsweise aus dem Speicher (14) der Recheneinheit (12) ausgelesen werden, wo diese vorher hinterlegt wurden. Liegt eine solche sicherheitsrelevante Fahrsituation vor, wird das Aussenden der Anforderung zum Ansteuern des Aktuators (16) durch das nachladbare Softwaremodul unterbunden. Zusätzlich oder alternativ kann die Ausführung des nachladbaren Softwaremoduls unterbunden werden.
-
In einer alternativen Ausgestaltung wird anstelle der Prüfung, ob eine zuvor als sicherheitsrelevante Fahrsituation vorliegt, überprüft, ob die Anforderung zum Ansteuern des Aktuators (16), die von dem nachladbaren Softwaremodul initiiert wurde, mit der aktuellen Fahrsituation als unvereinbar eingeschätzt wird. Hierfür wird eine Datenbank abgefragt, die beispielsweise auf der fahrzeugexternen Recheneinheit (30) abgelegt sein kann. Bei der Datenbankabfrage wird insbesondere abgefragt, ob entweder die Anforderung zum Ansteuern des Aktuators (16) oder das nachladbare Softwaremodul als mit der aktuellen Fahrsituation des Kraftfahrzeugs (10) unvereinbar hinterlegt ist. Ist dies der Fall, wird das Aussenden der Anforderung zum Ansteuern des Aktuators (16) durch das nachladbare Softwaremodul unterbunden. Zusätzlich oder alternativ kann die Ausführung des nachladbaren Softwaremoduls unterbunden werden.
-
In einer weiteren Ausgestaltung ist vorgesehen, die ersten, zweiten und dritten Verfahrensschritte nicht, wie voranstehend beschrieben, in dieser Reihenfolge durchzuführen, sondern im Rahmen der Zulänglichkeitsprüfung des nachladbaren Softwaremoduls lediglich eine Teilmenge der ersten, zweiten und dritten Überprüfungsschritte durchzuführen. So kann beispielsweise vorgesehen sein, nur den dritten Überprüfungsschritt durchzuführen oder beispielsweise zunächst den dritten Überprüfungsschritt und im Anschluss daran den ersten oder zweiten Überprüfungsschritt.
