-
Die vorliegende Erfindung betrifft ein Verfahren zum Überwachen einer Steuereinheit für eine Fahrzeug-Anwendung mittels einer über einen Datenübertragungspfad mit der Steuereinheit verbundenen steuereinheitsexternen Watchdog-Komponente, wobei diese Watchdog-Komponente die Steuereinheit in einen definierten Zustand versetzt, der einen Normalbetrieb der Steuereinheit ermöglicht, wenn ein von einer Sendeeinheit der Steuereinheit über den Datenübertragungspfad regelmäßig versandtes Kontrollsignal, welches den Normalbetrieb der Steuereinheit anzeigt, bei der steuereinheitsexternen Watchdog-Komponente ausbleibt.
-
Die vorliegende Erfindung betrifft weiterhin ein entsprechendes Computerprogrammprodukt zur Durchführung des Verfahrens und ein System zum Überwachen einer Steuereinheit für eine Fahrzeug-Anwendung mit einer über einen Datenübertragungspfad mit der Steuereinheit verbundenen steuereinheitsexternen Watchdog-Komponente, wobei diese Watchdog-Komponente eingerichtet ist, die Steuereinheit in einen definierten Zustand zu versetzen, der einen Normalbetrieb dieser Steuereinheit ermöglicht, wenn ein von einer Sendeeinheit der Steuereinheit über den Datenübertragungspfad regelmäßig versandtes Kontrollsignal, welches den Normalbetrieb der Steuereinheit anzeigt, bei der steuereinheitsexternen Watchdog-Komponente ausbleibt.
-
Derartige Überwachungs- und Sicherheitsverfahren und -systeme mit externer Watchdog-Komponente sind für diverse Anwendungen bekannt. Im deutschsprachigen Wikipedia-Eintrag zum Thema Watchdog ist zu dessen Einsatz in Elektrotechnik und Informatik ausgeführt: „Im Speziellen werden Watchdogs in von Mikrocontrollern gesteuerten elektrischen Geräten eingesetzt, um einem Komplettausfall des Gerätes durch Softwareversagen über einen vom Watchdog initiierten RESET zuvorzukommen. Verhindert wird der RESET eines automatischen Mikrocomputersystems, indem die Software in regelmäßigen Abständen dem Watchdog mitteilt, dass sie noch ordnungsgemäß arbeitet.“
-
Bei Steuereinheiten für sicherheitsrelevante Fahrzeuganwendungen, wie beispielsweise Anwendungen in Verbindung mit Lenkung, Bremsen, etc., ist ein derartiges System mit externer Watchdog-Komponente in vielen Ländern vorgeschrieben.
-
Ausgehend von dem oben genannten Stand der Technik liegt der Erfindung somit die Aufgabe zugrunde, Maßnahmen anzugeben, die die Ausfallsicherheit der Steuereinheit für die Fahrzeuganwendung erhöht.
-
Die Lösung der Aufgabe erfolgt erfindungsgemäß durch die Merkmale der unabhängigen Ansprüche. Vorteilhafte Ausgestaltungen der Erfindung sind in den Unteransprüchen angegeben.
-
Erfindungsgemäß ist somit ein Verfahren zum Überwachen einer Steuereinheit, insbesondere eines Mikrocontrollers, für eine Fahrzeug-Anwendung mittels einer über einen Datenübertragungspfad mit der Steuereinheit verbundenen steuereinheitsexternen Watchdog-Komponente angegeben, bei dem diese Watchdog-Komponente die Steuereinheit in einen definierten Zustand versetzt, der einen Normalbetrieb der Steuereinheit ermöglicht, wenn ein von einer Sendeeinheit der Steuereinheit über den Datenübertragungspfad regelmäßig versandtes Kontrollsignal, welches den Normalbetrieb der Steuereinheit anzeigt, bei der steuereinheitsexternen Watchdog-Komponente ausbleibt. Dabei ist vorgesehen, dass die Steuereinheit eine andere Watchdog-Komponente aufweist, welche die Steuereinheit ebenfalls in den definierten Zustand versetzt, wenn das von der Sendeeinheit regelmäßig auch an die andere Watchdog-Komponente versandte Kontrollsignal bei dieser anderen Watchdog-Komponente ausbleibt. Durch diese zusätzliche Watchdog-Schaltung mit der anderen Watchdog-Komponente wird die Ausfallsicherheit der Steuereinheit für die Fahrzeuganwendung erhöht.
-
Die Sendeeinheit ist insbesondere ein Watchdog-Managermodul oder Teil eines Watchdog- Managermoduls.
-
Gemäß einer bevorzugten Ausgestaltung der Erfindung wird zumindest ein Abschnitt des Datenübertragungspfades von einem Bussystem gebildet, wobei die Steuereinheit insbesondere einen Kommunikationstreiber (Communication Driver) für das Bussystem aufweist. Das Bussystem ist insbesondere ein Fahrzeug-Bussystem.
-
Dabei ist insbesondere vorgesehen, dass das Bussystem ein SPI-System ist und der Kommunikationstreiber als ein als SPI-Handler-Driver bezeichneter SPI-Kommunikationstreiber ausgebildet ist.
-
Gemäß einer weiteren bevorzugten Ausgestaltung der Erfindung ist vorgesehen, dass die andere Watchdog-Komponente in einem steuereinheitsinternen anderen Abschnitt des Datenübertragungspfades zwischen der Sendeeinheit und dem Kommunikationstreiber angeordnet ist. Der andere Abschnitt ist also ein von dem durch das Bussystem gebildeten Abschnitt unterschiedlicher Abschnitt.
-
Gemäß noch einer weiteren bevorzugten Ausgestaltung der Erfindung ist vorgesehen, dass der definierte Zustand der Steuereinheit ein Anfangszustand dieser Steuereinheit ist. Dies ist der übliche Zustand, in den eine Watchdog-Komponente eine durch sie überwachte Steuereinheit bei Ausbleiben des Kontrollsignals versetzt.
-
Dabei ist insbesondere vorgesehen, dass das Versetzen der Steuereinheit in den Anfangszustand mittels eines RESETs erfolgt, der als Restart oder als Hardware-RESET oder als Kaltstart durch die eine und/oder die andere Watchdog-Komponente initiiert ausgeführt wird.
-
In diesem Zusammenhang ist bevorzugt vorgesehen, dass die anderen Watchdog-Komponente oder eine andere im anderen Abschnitt des Datenübertragungspfades verschaltete Kontrolleinheit anhand des Auftretens bzw. Ausbleibens des Kontrollsignals in einem vorgegebenen Zeitfenster überprüft, ob der von der steuereinheitsexternen Watchdog-Komponente initiierte RESET erwartungsgemäß erfolgt ist. Dieser Aufbau kann somit zur Überprüfung des Bus-Systems, insbesondere des Kommunikationstreibers, bezüglich der Watchdog-Funktion genutzt werden. Ist der RESET nicht erwartungsgemäß erfolgt, so liegt eine Störung im Bus-System, insbesondere im Kommunikationstreiber vor. Der RESET muss dann anschließend über die andere Watchdog-Komponente 24 initiiert erfolgen. Das Zeitfenster ΔT, mittels dessen das Erfolgen des RESETS überprüft wird, ist dabei weiter als die Periodendauer T des regelmäßig abgegebenen Kontrollsignals (ΔT > T).
-
Gemäß einer bevorzugten Ausführungsform der Erfindung ist vorgesehen, dass ein Teil der Steuereinheit, der die andere Watchdog-Komponente und die Sendeeinheit umfasst, ein definiertes Sicherheitsniveau bezüglich einer Norm für sicherheitsrelevante elektrische/elektronische Systeme in Kraftfahrzeugen, insbesondere das ASIL-B Niveau des ASIL (Automotive Safety Integrity Level) Sicherheits-Klassifikationsschemas, aufweist. Die entsprechende durch die andere Watchdog-Komponente gebildete Watchdog-Schaltung ist in diesem Teil der Steuereinheit lokalisiert und weist das besagte Sicherheits-Niveau auf. Selbst wenn nun die Watchdog-Schaltung mit der steuereinheitsexternen Watchdog-Komponente - aus welchen Gründen auch immer - diesem Sicherheits-Niveau nicht genügt, so ist immer eine Watchdog-Schaltung vorhanden, die diesem Niveau, also insbesondere dem ASIL-B Niveau, genügt. Einer der möglichen Gründe dafür, dass die Watchdog-Schaltung mit der steuereinheitsexternen Watchdog-Komponente dem besagten Sicherheits-Niveau nicht genügt, ist beispielsweise der, dass das beteiligte Bussystem und insbesondere der Kommunikationstreiber für das Bussystem dem Sicherheits-Niveau nicht genügt, also insbesondere nicht das ASIL-B Niveau erreicht.
-
Bei dem Computerprogrammprodukt ist vorgesehen, dass dieses Programmteile umfasset, die in der Steuereinheit geladen zur Durchführung des vorstehend genannten Verfahrens eingerichtet sind.
-
Erfindungsgemäß ist weiterhin ein System zum Überwachen einer Steuereinheit, insbesondere eines Mikrocontrollers, für eine Fahrzeug-Anwendung mit einer über einen Datenübertragungspfad mit der Steuereinheit verbundenen steuereinheitsexternen Watchdog-Komponente vorgesehen. Dabei ist diese Watchdog-Komponente eingerichtet, die Steuereinheit in einen definierten Zustand zu versetzen, der einen Normalbetrieb dieser Steuereinheit ermöglicht, wenn ein von einer Sendeeinheit der Steuereinheit über den Datenübertragungspfad regelmäßig versandtes Kontrollsignal, welches den Normalbetrieb der Steuereinheit anzeigt, bei der steuereinheitsexternen Watchdog-Komponente ausbleibt. Es ist vorgesehen, dass die Steuereinheit eine andere Watchdog-Komponente aufweist, welche ebenfalls eingerichtet ist, die Steuereinheit in den definierten Zustand zu versetzen, wenn das von der Sendeeinheit regelmäßig auch an die andere Watchdog-Komponente versandte Kontrollsignal bei dieser anderen Watchdog-Komponente ausbleibt.
-
Gemäß einer bevorzugten Ausführungsform des erfindungsgemäßen Systems ist vorgesehen, dass dieses System ein Bussystem, insbesondere ein SPI-System, umfasst, das zumindest einen Abschnitt des Datenübertragungspfades bildet. , Die Steuereinheit weist insbesondere einen Kommunikationstreiber (Communication Driver) für das Bussystem auf. Dabei ist insbesondere vorgesehen, dass das Bussystem ein SPI-System ist und der Kommunikationstreiber als ein als SPI-Handler-Driver bezeichneter SPI-Kommunikationstreiber ausgebildet ist.
-
Nachfolgend wird die Erfindung unter Bezugnahme auf die anliegende Zeichnung anhand einer bevorzugten Ausführungsform näher erläutert.
-
Es zeigt die
- 1 ein System zum Überwachen einer Steuereinheit für eine Fahrzeug-Anwendung mit einer Watchdog-Komponente gemäß einer bevorzugten Ausführungsform der Erfindung.
-
Die 1 zeigt eine Prinzipdarstellung einer Steuereinheit 10 für eine (nicht gezeigte) Kraftfahrzeug-Anwendung sowie eines Systems 12 zum Überwachen dieser Steuereinheit 10. Eine solche Steuereinheit 10 wird oft auch als Controller oder Steuergerät bezeichnet, wobei die hier gezeigte Steuereinheit als Mikrocontroller (µC) ausgebildet ist. Das System 12 zum Überwachen der Steuereinheit 10 weist eine über einen Datenübertragungspfad 14 mit der Steuereinheit 10 verbundene steuereinheitsexterne Watchdog-Komponente 16 auf. Die Steuereinheit 10 weist eine Sendeeinheit 18 auf, die ein Kontrollsignal, im Englischen auch „Heartbeat“ genannt, periodisch erzeugt und über den Datenübertragungspfad 14 an die steuereinheitsexterne Watchdog-Komponente 16 übersendet. Die Sendeeinheit 18 ist dabei Teil eines Watchdog-Managermoduls. Das Kontrollsignal zeigt der steuereinheitsexternen Watchdog-Komponente 16 einen Normalbetrieb der Steuereinheit 10 an. Wenn dieses von der Steuereinheit 10 über den Datenübertragungspfad 14 regelmäßig versandte Kontrollsignal von der Watchdog-Komponente 16 nicht mehr empfangen wird, also wenn dieses Signal ausbleibt, sendet die steuereinheitsexterne Watchdog-Komponente 16 ein RESET-Signal über einen entsprechende Signalpfad, der zum Beispiel ebenfalls vom Datenübertragungspfad 14 gebildet wird, an die Steuereinheit 10, sodass diese in einen Anfangszustand oder einen anderen wohldefinierten Zustand, der einen Normalbetrieb ermöglicht, versetzt wird. Ein Teil des Datenübertragungspfades 14 wird von einem Bussystem 20, genauer gesagt einem SPI-System, gebildet. Dieser Teil ergibt sich zwischen einem Kommunikationstreiber 22 der Steuereinheit 10 und der steuereinheitsexterne Watchdog-Komponente 16. Der Kommunikationstreiber 22 eines solchen SPI-Systems wird auch als SPI-Kommunikationstreiber oder kurz SDI-Treiber (engl. SDI-Driver/SDI-Handler-Driver) bezeichnet. Die hier gezeigte steuereinheitsexterne Watchdog-Komponente 16 arbeitet beispielsweise als sogenannter Fenster-Watchdog (Window-Watchdog).
-
Bei Steuereinheiten 10 für sicherheitsrelevante Fahrzeuganwendungen, wie beispielsweise Anwendungen in Verbindung mit Lenkung, Bremsen, etc., ist ein derartiges System 10 mit externer Watchdog-Komponente 16 in vielen Ländern vorgeschrieben. Eine typische sicherheitsrelevante Kraftfahrzeuganwendung ist ein Fahrerassistenzsystem.
-
Das System 12 umfasst weiterhin eine steuereinheitsinterne andere Watchdog-Komponente 24, welche die Steuereinheit 10 ebenfalls in den Anfangszustand oder einen anderen einen Normalbetrieb ermöglichenden wohldefinierten Zustand versetzt, wenn das von der Signaleinheit 18 regelmäßig an diese andere Watchdog-Komponente 26 versandte Kontrollsignal, welches einen Normalbetrieb der Steuereinheit anzeigt, ausbleibt. Mit anderen Worten weist die Steuereinheit 10 diese andere Watchdog-Komponente 24 also selbst auf. Die andere Watchdog-Komponente 24 ist im gezeigten Beispiel in einem steuereinheitsinternen anderen Abschnitt 26 des Datenübertragungspfades 14 zwischen der Sendeeinheit 18 und dem Kommunikationstreiber 22 verschaltet.
-
Die Komponenten von Steuereinheiten 10 für sicherheitsrelevante Fahrzeuganwendungen werden bezüglich ihres Sicherheitsniveaus klassifiziert. Eine derartige Klassifikation erfolgt beispielsweise gemäß ASIL (Automotive Safety Integrity Level), einem Sicherheits-Klassifikationsschema welches insbesondere in der Norm ISO 26262 festgelegt ist.
-
Zumindest ein Teil 28 der Steuereinheit 10, nämlich der der die andere Watchdog-Komponente 24 und die Sendeeinheit 18 umfasst, weist ein definiertes Sicherheitsniveau bezüglich einer Norm für sicherheitsrelevante elektrische/ elektronische Systeme in Kraftfahrzeugen auf. Im vorliegenden Fall ist dies das ASIL-B Sicherheitsniveau gemäß der erwähnten ASIL Klassifikation. Ein so ausgestalteter Teil 28 der Steuereinheit kann auch als ASIL B-Modul bezeichnet werden.
-
Eine falsche Watchdog-Auslösung aufgrund systematischer Ausfälle im SPI-Handler-Driver, im Folgenden auch einfach SPI-Modul genannt, kann zu Verletzungen des Sicherheitsziels führen. Aufgrund des falschen Triggers erzeugt das externe Watchdog-Modul 16 kein RESET-Signal. Ohne die gezeigten zusätzlichen Maßnahmen würde die Steuereinheit (der Controller) 10 trotz Fehlfunktionen weiter arbeiten.
-
Die zusätzlichen Maßnahmen sorgen nun dafür, dass ein Watchdog RESET auch im Falle von solchen systematischen Ausfällen im SPI-Handler-Driver 22 gewährleistet wird, die zu falschen Watchdog-Triggern führen können.
-
Der Hauptvorteil der Ausgestaltung der 1 ist, dass nun ein QM-Watchdog-Kommunikationsmodul (kurz: QM-Modul) verwendet werden kann, um eine Watchdog-Überwachung durchzuführen. Mit dem QM-Watchdog-Kommunikationsmodul werden die Entwicklungskosten des Projekts reduziert.
-
Mittels des gezeigten Aufbaus mit den beiden Watchdog-Schaltungen ist es möglich, eine Plausibilitätsprüfung der Watchdog-Schaltung mit der externen Watchdog-Komponente 16 durchzuführen. Dies erfolgt über eine redundante Erkennung eines Ausfalls mittels der Watchdog-Schaltung mit dem anderen Watchdog-Modul.
-
Der gezeigte Aufbau kann auch zur Überprüfung des SPI-Systems, insbesondere des SPI-Handler-Drivers, bezüglich der Watchdog-Funktion genutzt werden. Dazu erfolgt ein von der anderen Watchdog-Komponente
24 potentiell initiierter RESET später als ein von der externen Watchdog-Komponente
16 initiierter RESET und die anderen Watchdog-Komponente
24 oder eine andere im anderen Abschnitt
26 des Datenübertragungspfades
14 verschaltete Kontrolleinheit (hier nicht gezeigt) überprüft anhand des Auftretens bzw. Ausbleibens des Kontrollsignals in einem Zeitfenster, ob der von der externen Watchdog-Komponente
16 initiierte RESET erwartungsgemäß erfolgt ist. Ist er nicht erfolgt, so liegt eine Störung im SPI-System, insbesondere im SDI-Treiber vor. Der RESET muss also über die andere Watchdog-Komponente
24 initiiert erfolgen. Das Zeitfenster ΔT, mittels dessen das Erfolgen des RESETS überprüft wird, ist dabei weiter als die Periodendauer T des periodisch abgegebenen Kontrollsignals
-
Bezugszeichenliste
-
| Steuereinheit |
10 |
| System |
12 |
| Datenübertragungspfad |
14 |
| steuereinheitsexterne Watchdog-Komponente |
16 |
| Sendeeinheit |
18 |
| Bussystem |
20 |
| Kommunikationstreiber |
22 |
| andere Watchdog-Komponente |
24 |
| Abschnitt des Datenübertragungspfads |
26 |
| Teil der Steuereinheit |
28 |
