DE102018100808A1

DE102018100808A1 - Verfahren zur Überprüfung eines Vorhandenseins einer Software in einem für diese Software vorgesehenen nicht-flüchtigen Speicherbereich eines Steuergerätes in einem Fahrzeug

Info

Publication number: DE102018100808A1
Application number: DE102018100808.2A
Authority: DE
Inventors: Werner Schmitt
Original assignee: Schaeffler Technologies AG and Co KG
Current assignee: Schaeffler Technologies AG and Co KG
Priority date: 2017-11-29
Filing date: 2018-01-16
Publication date: 2019-05-29

Abstract

Die Erfindung betrifft ein Verfahren zur Überprüfung eines Vorhandenseins einer Software in einem für diese Software vorgesehenen nicht-flüchtigen Speicherbereich eines Steuergerätes in einem Fahrzeug. Bei einem Verfahren, bei welchem sicher darauf geschlossen werden kann, dass die gewünschte Software auch wirklich in dem vorgesehenen nicht-flüchtigen Speicherbereich abgelegt ist, wird von dem Steuergerät ein das Nichtvorhandensein der Software repräsentierender Fehlercode gesetzt, solange die Software nicht erfolgreich in den Speicherbereich abgespeichert wurde.

Description

Die Erfindung betrifft ein Verfahren zur Überprüfung eines Vorhandenseins einer Software in einem für diese Software vorgesehenen nicht-flüchtigen Speicherbereich eines Steuergerätes in einem Fahrzeug.
Die DE 10 2015 216 667 A1 offenbart ein zeitoptimiertes Flashen eines Getriebesteuergerätes in der Produktion, bei welchem eine Funktionssoftware in einem Steuergerät des Fahrzeuges installiert wird, wobei die Funktionssoftware über einen Kommunikationskanal an das Steuergerät übertragen und in diesen nicht-flüchtig abgespeichert wird. Der Vorgang der Installation einer Software in dem Steuergerät wird im Allgemeinen als Flashen bezeichnet.
Aus der DE 10 2013 211 772 A1 ist ein Verfahren zum Austausch von Daten in einem Kraftfahrzeug zum Betreiben eines Aktors bekannt. Dabei sind zwei Aktoren vorhanden, die jeweils eine eigene Steuereinheit aufweisen, die mit einer externen Testeinheit Daten austauschen, wobei zur Erkennung der Steuereinheit ein Identifikationscode genutzt wird. Die Steuereinheiten weisen dabei jeweils eine nicht-flüchtige Speichereinheit auf, wobei in der ersten nicht-flüchtigen Speichereinheit ein als CAN-Identifizierung dienender erster Anfrage-Identifikationscode und ein erster Antwort-Identifikationscode abgespeichert sind. In der zweiten nicht-flüchtigen Speichereinheit sind ein zweiter Anfrage-Identifikationscode und ein zweiter Antwort-Identifikationscode abgespeichert. Der erste und der zweite Anfrage-Identifikationscode bzw. der erste und der zweite Antwort-Identifikationscode werden dazu genutzt, um den Steuereinheiten bekanntzugeben, dass eine Applikationssoftware in die erste bzw. in die zweite nicht-flüchtige Speichereinheit übertragen wird.
Insbesondere bei Serienanwendung müssen sehr viele Steuergeräte geflasht werden, was sehr zeitaufwändig ist. Um einen schnelleren Flash-Vorgang während des Inbetriebnahmeablaufs am Bandende zu erzielen, wird der Flashvorgang unterteilt.
Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren zur Überprüfung eines Vorhandenseins einer Software in einem für diese Software vorgesehenen nicht-flüchtigen Speicherbereich eines Steuergerätes in einem Fahrzeug anzugeben, bei welchem vor Auslieferung des Fahrzeuges sichergestellt wird, dass die gewünschte Software in dem nicht-flüchtigen Speicherbereich gespeichert ist.
Erfindungsgemäß ist die Aufgabe dadurch gelöst, dass von dem Steuergerät ein das Nichtvorhandensein der Software repräsentierender Fehlercode gesetzt wird, solange die Software nicht erfolgreich in dem Speicherbereich abgespeichert wurde. Damit wird gewährleistet, dass keine Fahrzeuge ausgeliefert werden, bei denen das Flashen der gewünschten Software nicht erfolgt ist.
Vorteilhafterweise wird bei aktiviertem Fehlercode ein Fahrverhalten des Fahrzeuges eingeschränkt. Um sicherzugehen, dass auch bei fehlerhaft ausgelieferten Fahrzeugen Gefahrensituationen unterbunden werden, wird das Fahrverhalten eingeschränkt.
Vorteilhafterweise erfolgt die Einschränkung des Fahrverhaltens des Fahrzeuges durch eine Limitierung eines maximal übertragenen Motormomentes. Dadurch wird die Bewegung des Fahrzeuges nur bis zu einer bestimmten Geschwindigkeit erlaubt.
In einer Variante wird die Aktivierung des Fehlercodes durch eine optische Signalisierung angezeigt. Da diese optische Signalisierung vorzugsweise in einem Instrumentenpanel erfolgt, wird der Fahrer des Fahrzeuges darauf hingewiesen, dass ein Fehlerfall vorliegt. Zusätzlich übermittelt die optische Signalisierung die Information über die Einschränkung des Fahrverhaltens des Fahrzeuges.
In einer Weiterbildung wird die Software von einem externen Tester über eine Diagnoseschnittstelle in den nicht-flüchtigen Speicherbereich des Steuergerätes eingetragen. Das hat den Vorteil, dass die Software auch dann in das Steuergerät eingelesen werden kann, wenn dieses bereits im Fahrzeug verbaut ist. Dies ist insbesondere für Updates der Software von besonderer Bedeutung.
In einer Ausführungsform wird als Software eine fahrzeugabhängige Kalibriersoftware für Sensoren eines durch das Steuergerät angesteuerten Aktors verwendet. Da insbesondere solche Sensoren an die Gegebenheiten des Aktors, beispielsweise einer Reibungskupplung oder eines Getriebes des Fahrzeuges, angepasst werden müssen, ist es für einen gefahrenlosen Betrieb des Fahrzeuges von besonderer Bedeutung, dass sichergestellt ist, dass eine solche Kalibriersoftware wirklich im Steuergerät des Fahrzeuges vorhanden ist.
In einer Ausgestaltung wird eine fahrzeugunabhängige Applikationssoftware in das Steuergerät vor dessen Einbau in das Fahrzeug eingetragen und nach dem Einbau des Steuergerätes in das Fahrzeug die fahrzeugabhängige Kalibriersoftware in dem nicht-flüchtigen Speicherbereich des Steuergerätes abgespeichert. Durch diese Einteilung in zwei Schritte, wovon die Applikationssoftware bereits in dem verbauten Steuergerät abgespeichert ist und nur noch die Kalibriersoftware nach dem Einbau des Steuergerätes in das Fahrzeug übertragen werden muss, wird die für den Flashvorgang benötigte Zeit während eines Inbetriebnahmeablaufes am Bandende des Fahrzeuges reduziert. Dadurch wird der Montageprozess verkürzt.
In einer Ausführungsform wird bei einem Start des Steuergerätes der nicht-flüchtige Speicherbereich auf Vorhandensein der Software überprüft. Unter dem Start des Steuergerätes ist dabei zu verstehen, dass das Steuergerät mit einer Batteriespannung verbunden und die Zündung des Fahrzeuges aktiviert wurde. Durch die regelmäßige Überprüfung, ob ein Fehlercode vorliegt oder nicht, kann sichergestellt werden, dass keine fehlerhafte Aktorbetätigung erfolgt.
In einer Ausgestaltung erfolgt die Überprüfung des nichtflüchtigen Speicherbereiches auf Vorhandensein der Software durch einen Checksummenvergleich zwischen einer sich aus dem nicht-flüchtigen Speicherbereich nach Abspeicherung der Software ergebenden Checksumme mit einer bei Übertragung der Software in das Steuergerät mit übertragenen, vorgegebenen Checksumme. Stimmen diese beiden Checksummen überein, so wird ein einmal eingetragener Fehlercode gelöscht und das Fahrzeug kann wieder uneingeschränkt sein Fahrverhalten ausführen.
In einer Ausführungsform wird der Fehlercode nur nach einer erfolgreichen Abspeicherung der Software in dem nicht-flüchtigen Fehlerspeicher gelöscht.
Die Erfindung lässt zahlreiche Ausführungsformen zu. Eine davon soll im Weiteren erläutert werden.
In vielen Fahrzeugen, die eine automatisch gesteuerte Reibungskupplung und/oder ein automatisch gesteuertes Getriebe aufweisen, gibt es eine hohe Anzahl ähnlicher Applikationen. Um diese zu unterscheiden, muss in das Steuergerät für die Aktoren der Reibungskupplung bzw. des Getriebes eine eigene applikationsspezifische Software geflasht werden. Unter dem Begriff „Flashen“ soll im Weiteren verstanden werden, dass eine Software in einem nicht-flüchtigen Speicher des Steuergerätes installiert wird. Um das Flashen der jeweiligen Steuergeräte-Software in einen Bandablauf der Produktion des Fahrzeuges zu integrieren, wird eine zeitliche Beschleunigung des Flashvorganges erreicht, wenn die Software in eine Applikationssoftware, die fahrzeugabhängig ist und eine Kalibriersoftware, die fahrzeugspezifisch ist, unterteilt wird. Dabei wird das Steuergerät während der Steuergerätefertigung, z.B. beim Steuergerätehersteller, am Bandende mit der Applikationssoftware ausgerüstet. Anschließend wird das die Applikationssoftware umfassende Steuergerät in ein Getriebe- oder Fahrzeugproduktionswerk geliefert und in diesem Zustand in das Getriebe bzw. in das Fahrzeug verbaut. Nachdem die Batterie des Fahrzeuges an das Steuergerät angeschlossen ist und die Zündung aktiviert wurde, wird überprüft, ob eine Kalibriersoftware schon in dem Steuergerät installiert ist. Ist dies nicht der Fall, so wählt ein übergeordnetes Leitsystem im Produktionswerk die für das Steuergerät korrekte Kalibriersoftware aus. Diese ausgewählte Kalibriersoftware wird über einen externen Tester vor Ort über eine Diagnoseschnittstelle in einen nicht-flüchtigen, dafür vorgesehenen Speicherbereich des Steuergerätes geflasht.
Solange die Kalibriersoftware nicht erfolgreich geflasht wurde, wird von dem Steuergerät ein entsprechender Fehlercode in einem Fehlerspeicher gesetzt, der auf die fehlende Kalibriersoftware hinweist. Eine solche fahrzeugabhängige Kalibriersoftware ist insbesondere deshalb notwendig, da diese eine korrekte Einstellung von Sensoren der Kupplungs- bzw. Getriebeaktoren im Fahrzeug erlaubt. Bei aktivem Fehlereintrag wird das Fahrverhalten des Fahrzeuges eingeschränkt, was z.B. in einer Limitierung des maximal übertragenen Motormomentes besteht. Weiterhin ist eine optische Signalisierung in einem Instrumentenpanel sinnvoll, um den Fahrer über diesen Fehlereintrag zu informieren. Ein solcher Fehlereintrag lässt sich erst dann löschen, wenn die Kalibriersoftware erfolgreich geflasht wurde. Nach dem Löschen des Fehlereintrages werden auch die Einschränkungen im Fahrverhalten des Fahrzeuges aufgehoben.
Um sicherzustellen, dass die Kalibriersoftware in dem nicht-flüchtigen Speicherbereich des Steuergerätes installiert wurde, wird bei jedem Steuergeräte-Hochlauf der nicht-flüchtige Speicherbereich, der für die Kalibriersoftware vorhanden ist, geprüft. Die Prüfung erfolgt dabei durch die Berechnung von Checksummen, die über den nicht-flüchtigen Speicherbereich gebildet wird, wenn die Kalibriersoftware in diesem Speicherbereich gespeichert ist. Im Zuge des erfolgreichen Flashens der Kalibriersoftware wird eine vorgegebene Checksumme dem Steuergerät mitgeteilt und in diesem hinterlegt. Kommt nun die beim Einschalten des Steuergerätes durchgeführte Checksummenprüfung auf eine andere Checksumme als die in dem Steuergerät hinterlegte Checksumme, so ist davon auszugehen, dass die Kalibriersoftware entweder nicht geflasht oder verändert wurde. In diesem Fall werden die oben genannten Maßnahmen in Form der Reduzierung des übertragenen Motormomentes und der Signalisierung in einem Instrumentenpanel ausgeführt.
Bei neuen Steuergeräten, bei denen noch nie eine Kalibrationssoftware geflasht wurde, ist noch keine Checksumme hinterlegt, wodurch die Checksummenprüfung fehlschlägt und die oben genannten Einschränkungen aktiviert werden.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102015216667 A1 [0002]
DE 102013211772 A1 [0003]

Claims

Verfahren zur Überprüfung eines Vorhandenseins einer Software in einem für diese Software vorgesehenen nicht-flüchtigen Speicherbereich eines Steuergerätes in einem Fahrzeug, dadurch gekennzeichnet, dass von dem Steuergerät ein das Nichtvorhandensein der Software repräsentierender Fehlercode gesetzt wird, solange die Software nicht erfolgreich in den Speicherbereich abgespeichert wurde.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass bei aktiviertem Fehlercode ein Fahrverhalten des Fahrzeuges eingeschränkt wird.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass die Einschränkung des Fahrverhaltens des Fahrzeuges durch eine Limitierung eines maximal übertragenen Motormomentes erfolgt.
Verfahren nach Anspruch 1, 2 oder 3, dadurch gekennzeichnet, dass die Aktivierung des Fehlercodes durch eine optische Signalisierung angezeigt wird.
Verfahren nach mindestens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Software von einem externen Tester über eine Diagnoseschnittstelle in den nicht-flüchtigen Speicherbereich des Steuergerätes eingetragen wird.
Verfahren nach mindestens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass als Software eine fahrzeugabhängige Kalibriersoftware für Sensoren eines durch das Steuergerät angesteuerten Aktors verwendet wird.
Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass eine fahrzeugunabhängige Applikationssoftware in das Steuergerät vor dessen Einbau in das Fahrzeug eingetragen wird und nach dem Einbau des Steuergerätes in das Fahrzeug die fahrzeugabhängige Kalibriersoftware in dem nicht-flüchtigen Speicherbereich des Steuergerätes abgespeichert wird.
Verfahren nach mindestens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass bei jedem Start des Steuergerätes der nicht-flüchtige Speicherbereich auf Vorhandensein der Software überprüft wird.
Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass die Überprüfung des nicht-flüchtigen Speicherbereiches auf Vorhandensein der Software durch einen Checksummenvergleich zwischen einer sich aus dem nicht-flüchtigen Speicherbereich nach Abspeicherung der Software ergebenden Checksumme mit einer bei Übertragung der Software in das Steuergerät mitübertragenen, vorgegebenen Checksumme erfolgt.
Verfahren nach mindestens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Fehlercode nur nach einer erfolgreichen Abspeicherung der Software in dem nicht-flüchtigen Speicher gelöscht wird.