DE102018220605B4

DE102018220605B4 - Kraftfahrzeugnetzwerk und Verfahren zum Betreiben eines Kraftfahrzeugnetzwerks

Info

Publication number: DE102018220605B4
Application number: DE102018220605.8A
Authority: DE
Inventors: Maximilian Eger; Christoph Vogl
Original assignee: Audi AG
Current assignee: Audi AG
Priority date: 2018-11-29
Filing date: 2018-11-29
Publication date: 2024-04-18
Anticipated expiration: 2038-11-30
Also published as: DE102018220605A1

Abstract

Kraftfahrzeugnetzwerk (100) mit einem Primärnetz (102), wenigstens folgende Komponenten umfassend: eine erste Sensoreinrichtung (108, 302), eine erste Verarbeitungseinrichtung (110, 304), eine erste Aktoreinrichtung (112, 306), und eine erste Kommunikationseinrichtung (114, 314), die ausgebildet ist, die erste Sensoreinrichtung (108, 302), die erste Verarbeitungseinrichtung (110, 304) und die erste Aktoreinrichtung (112, 306) zur Datenübertragung miteinander zu koppeln,dadurch gekennzeichnet, dassdas Kraftfahrzeugnetzwerk (100) weiterhin umfasst:- ein Sekundärnetz (104), das als Komponenten wenigstens aufweist:eine zweite Sensoreinrichtung (116, 308), eine zweite Verarbeitungseinrichtung (118, 310), eine zweite Aktoreinrichtung (120, 312), undeine zweite Kommunikationseinrichtung (122, 316), die ausgebildet ist, die zweite Sensoreinrichtung (116, 308), die zweite Verarbeitungseinrichtung (118, 310), und die zweite Aktoreinrichtung (120, 312) zur Datenübertragung miteinander zu koppeln, wobei die Komponenten des Sekundärnetzes (104) hinsichtlich ihrer Funktion redundant zu den Komponenten des Primärnetzes (102) ausgebildet sind,- eine erste Energieversorgungseinrichtung (124), die ausgebildet ist, nur das Primärnetz (102) mit Energie zu versorgen, und- eine zu der ersten Energieversorgungseinrichtung (124) separate zweite Energieversorgungseinrichtung (126), die ausgebildet ist, nur das Sekundärnetz (104) mit Energie zu versorgen, wobei die zweite Energieversorgungeinrichtung (126) redundant zu der ersten Energieversorgungseinrichtung (124) ausgebildet ist, und- wenigstens eine Überwachungseinrichtung (106), die ausgebildet ist, wenigstens eine der Komponenten des Primärnetzes (102) zu überwachen, wobei für den Fall, dass die Überwachungseinrichtung (106) eine Funktionsstörung der wenigstens einen überwachten Komponente des Primärnetzes (102) erfasst, die wenigstens eine dazu redundant ausgebildete Komponente des Sekundärnetzes (104) ausgebildet ist, die Funktion der wenigstens einen funktionsgestörten Komponente des Primärnetzes (102) zu übernehmen, wobei- die Überwachungseinrichtung (106) weiterhin dazu ausgebildet ist, auch die erste Energieversorgungseinrichtung (124) zu überwachen und für den Fall, dass die Überwachungseinrichtung (106) eine Funktionsstörung der ersten Energieversorgungseinrichtung (124) feststellt, alle Komponenten des Sekundärnetzes (104) zum Übernehmen der Funktion aller Komponenten des Primärnetzes (102) anzusteuern.

Description

Die Erfindung betrifft ein Kraftfahrzeugnetzwerk und ein Verfahren zum Betreiben des Kraftfahrzeugnetzwerks nach dem Oberbegriff der unabhängigen Patentansprüche.
Als Kraftfahrzeugnetzwerk ist dabei insbesondere eine Vernetzungsarchitektur für einzelne Komponenten, insbesondere elektronische Komponenten, eines Kraftfahrzeugs zu verstehen. Zu den Komponenten können beispielsweise Sensoreinrichtungen, Verarbeitungseinrichtungen und Aktoreinrichtungen zählen, die über eine Kommunikationseinrichtung miteinander gekoppelt sind. Insbesondere bei selbstfahrenden Kraftfahrzeugen, also bei Kraftfahrzeugen mit einer hochautomatisierten Fahrfunktion (HAF-Funktion), insbesondere mit einer Autonomiestufe größer oder gleich drei, nach der Norm SAE J3016, im Folgenden auch autonome Kraftfahrzeuge genannt, bei denen ein Fahrer des Kraftfahrzeugs in der Regel nicht mehr in die Fahrfunktion eingreift beziehungsweise das Kraftfahrzeug selbst nicht mehr führen braucht, ist es wichtig, dass das Kraftfahrzeugnetzwerk möglichst ausfallsicher ausgebildet ist. Fällt nämlich während der Fahrt eine der Komponenten des Kraftfahrzeugnetzwerks aus, kann die HAF-Funktion nicht mehr gewährleistet werden. In diesem Fall führt das Kraftfahrzeug üblicherweise eine Notbremsung aus, oder der Fahrer wird aufgefordert, eine Führung des Kraftfahrzeugs zu übernehmen. Besonders bei Geschwindigkeiten über 60 km/h kann die Notbremsung jedoch andere Verkehrsteilnehmer überraschen und so das Risiko für einen Unfall steigern. Häufig ist bei diesen Geschwindigkeiten der Fahrer auch nicht mehr in der Lage, selbst die Führung des Kraftfahrzeugs schnell genug zu übernehmen, um beispielsweise einem Hindernis auszuweichen.
Eine Möglichkeit zur Gestaltung einer Ausfallsicherung ist beispielsweise in der GB 2 419 430 A offenbart.
Des Weiteren ist in der EP 0 913 751 A1 ein autonomes Fahrzeug und ein Verfahren zur Steuerung eines autonomen Fahrzeugs bekannt.
Zudem ist aus der DE 10 2006 062 300 A1 eine Schaltung zur Ansteuerung eines Beschleunigungs-, Brems- und Lenksystems eines Fahrzeugs bekannt, welches eine höhere Sicherheit gegen Ausfälle des Beschleunigungs-, Brems- und Lenksystems aufweist.
Außerdem ist aus der DE 10 2017 122 519 A1 ein Fahrzeugsystem für ein ausfallfunktionelles autonomes Fahren bekannt.
Schließlich ist aus der DE 10 2015 104 104 A1 noch eine redundante Elektrizität für autonome Fahrzeuge bekannt.
Bei dem genannten Stand der Technik ergibt sich der Nachteil, dass ein Ausfall einer der Komponenten des Kraftfahrzeugnetzwerks, trotz Ausfallsicherung, dennoch eine Funktionsstörung in dem gesamten Kraftfahrzeugnetzwerk hervorrufen kann.
Der Erfindung liegt nun die Aufgabe zugrunde, eine Fahrsicherheit von autonomen Kraftfahrzeugen im Straßenverkehr weiter zu verbessern.
Die Aufgabe wird durch die Gegenstände der unabhängigen Patentansprüche gelöst. Vorteilhafte Weiterbildungen der Erfindung sind durch die abhängigen Patentansprüche, die folgende Beschreibung sowie die Figuren offenbart.
Durch die Erfindung ist ein Kraftfahrzeugnetzwerk mit einem Primärnetz bereitgestellt. Das Primärnetz umfasst dabei folgende Komponenten: Eine erste Sensoreinrichtung, eine erste Verarbeitungseinrichtung, eine erste Aktoreinrichtung und eine erste Kommunikationseinrichtung, die ausgebildet ist, die erste Sensoreinrichtung, die erste Verarbeitungseinrichtung und die erste Aktoreinrichtung zur Datenübertragung miteinander zu koppeln. Weiterhin umfasst das Kraftfahrzeugnetzwerk auch ein Sekundärnetz, das folgende Komponenten umfasst: Eine zweite Sensoreinrichtung, eine zweite Verarbeitungseinrichtung, eine zweite Aktoreinrichtung und eine zweite Kommunikationseinrichtung, die ausgebildet ist, die zweite Sensoreinrichtung, die zweite Verarbeitungseinrichtung und die zweite Aktoreinrichtung zur Datenübertragung miteinander zu koppeln. Dabei sind die Komponenten des Sekundärnetzes hinsichtlich ihrer Funktion redundant zu den Komponenten des Primärnetzes ausgebildet. Schließlich umfasst das Kraftfahrzeugnetzwerk auch wenigstens eine Überwachungseinrichtung, die ausgebildet ist, wenigstens eine der Komponenten des Primärnetzes zu überwachen, wobei für den Fall, dass die Überwachungseinrichtung eine Funktionsstörung der wenigstens einen überwachten Komponente des Primärnetzes erfasst, die wenigstens eine dazu redundant ausgebildete Komponente des Sekundärnetzes ausgebildet ist, die Funktion der wenigstens einen funktionsgestörten Komponente des Primärnetzes zu übernehmen.
Mit anderen Worten umfasst das Kraftfahrzeugnetzwerk zwei sozusagen separat ausgebildete Netze, nämlich das Primärnetz und das Sekundärnetz. Beide Netze beziehungsweise die Komponenten beider Netze sind dabei redundant zueinander aufgebaut. Das heißt, beide Netze beziehungsweise die Komponenten beider Netze können unabhängig voneinander eine gleiche Funktion ausführen. Dazu sind vorzugsweise die Komponenten des Sekundärnetzes funktional gleich zu den Komponenten des Primärnetzes ausgestaltet. Somit ist für jede Komponente in dem Primärnetz eine redundante beziehungsweise funktionsgleiche Komponente in dem Sekundärnetz vorgesehen, und umgekehrt. Das heißt, die erste Sensoreinrichtung ist redundant zu der zweiten Sensoreinrichtung ausgebildet, die erste Verarbeitungseinrichtung ist redundant zu der zweiten Verarbeitungseinrichtung ausgebildet, die erste Aktoreinrichtung ist redundant zu der zweiten Aktoreinrichtung ausgebildet, und die erste Kommunikationseinrichtung ist redundant zu der zweiten Kommunikationseinrichtung ausgebildet. Dies gilt natürlich jeweils auch umgekehrt.
Zusätzlich ist auch eine erste Energieversorgungseinrichtung vorgesehen, die ausgebildet ist, das Primärnetz mit Energie zu versorgen und eine zweite Energieversorgungseinrichtung vorgesehen ist, die ausgebildet ist, das Sekundärnetz mit Energie zu versorgen, wobei die zweite Energieversorgungseinrichtung redundant zu der ersten Energieversorgungseinrichtung ausgebildet ist.
Das bedeutet, sowohl das Primärnetz als auch das Sekundärnetz weisen jeweils eine separate Energieversorgungseinrichtung auf Dabei ist die wenigstens eine Überwachungseinrichtung dazu ausgebildet, auch die erste Energieversorgungseinrichtung zu überwachen und für den Fall, dass die Überwachungseinrichtung eine Funktionsstörung der ersten Energieversorgungseinrichtung feststellt, alle Komponenten des Sekundärnetzes zum Übernehmen der Funktion aller Komponenten des Primärnetzes anzusteuern.
Hierdurch ergibt sich der Vorteil, dass auch bei Ausfall einer Energieversorgung des Primärnetzes durch das Sekundärnetz und die Energieversorgung des Sekundärnetzes eine Ausfallsicherung vorgesehen ist.
Der Erfindung liegt die Erkenntnis zugrunde, dass ein redundantes Ausbilden lediglich einzelner Komponenten eines Kraftfahrzeugnetzwerks, wie es im Stand der Technik vorgesehen ist, nicht ausreicht, um die Ausfallsicherheit der HAF-Funktion eines autonomen Kraftfahrzeugs zu gewährleisten. Eine Funktionsstörung in Form eines Single Point of Failure (SPoF, einzelne Fehlerstelle) ist nämlich im Stand der Technik nicht abgedeckt. Ein SpoF beschreibt dabei eine Funktionsstörung einer der Komponenten des Kraftfahrzeugnetzwerks, durch die in der Regel eine Kettenreaktion ausgelöst wird, sodass zumindest weitestgehend das gesamte Kraftfahrzeugnetzwerk ausfällt. Dabei können Funktionsstörungen allgemein in Hardware- und Softwarefehler unterteilt werden. Ein Hardwarefehler kann beispielsweise durch einen Kurzschluss, durch Wassereintritt, durch einen Konstruktionsfehler oder durch einen defekten Anschluss einer der Komponenten des Kraftfahrzeugnetzwerks auftreten. Ein Softwarefehler kann insbesondere ein Fehler in der Programmierung einer der Komponenten des Kraftfahrzeugnetzwerks sein, sodass die Komponente beispielsweise als Babbling Idiot (plappernder Idiot) Daten verfälscht und an die übrigen Komponenten somit falsche Daten überträgt.
Durch die Erfindung ergibt sich der Vorteil, dass die HAF-Funktion trotz Ausfalls einer der Komponenten des Primärnetzes oder sogar des gesamten Primärnetzes weiter zum Führen des Kraftfahrzeugs genutzt werden kann. Das heißt, egal welche oder wie viele der Komponenten des Primärnetzes ausfallen, für jede der Komponenten des Primärnetzes ist sozusagen eine Ersatzkomponente in dem Sekundärnetz vorgesehen, sodass die Ausfallsicherheit der HAF-Funktion gewährleistet ist.
Zusätzlich ergibt sich noch der Vorteil, dass insbesondere bei höheren Geschwindigkeiten, beispielsweise über 60 km/h, bei Feststellen der Funktionsstörung einer der Komponenten des Primärnetzes, keine Notbremsung des autonomen Kraftfahrzeugs eingeleitet werden braucht, und auch der Fahrer des autonomen Kraftfahrzeugs in Abhängigkeit der Autonomiestufe der HAF-Funktion nicht zum Übernehmen der Lenkung aufgefordert werden braucht. Insbesondere bei erhöhtem Verkehrsaufkommen, wie beispielsweise in einer Stadt oder auf einer Autobahn, könnte die Notbremsung nämlich andere Verkehrsteilnehmer überraschen, sodass das Risiko für einen Unfall steigt. Auch reicht bei erhöhtem Verkehrsaufkommen eine Reaktionszeit des Fahrers häufig nicht aus, um die Führung des autonomen Kraftfahrzeugs im Fall der Funktionsstörung zu übernehmen, insbesondere dann nicht, wenn beispielsweise ein voranfahrendes Fahrzeug plötzlich bremst.
Weiterhin ergibt sich bei Geschwindigkeiten über 60 km/h bei Feststellen der Funktionsstörung einer der Sensoreinrichtungen das Problem, dass sich das autonome Kraftfahrzeug aufgrund der Geschwindigkeit und der Reichweite der Sensoreinrichtung nach dem Stand der Technik aus dem Bereich des zum Zeitpunkt des Eintritts der Funktionsstörung erfassten Umfelds, hinausbewegen wird. Darüber hinaus ist bei Geschwindigkeiten über 60 km/h die benötigte Zeit für die Reaktion bei Feststellen der Funktionsstörung einer Sensoreinrichtung bis zum Stillstand des autonomen Kraftfahrzeugs so groß, dass die dynamischen Veränderungen des Umfelds, die Reaktion der HAF-Funktion bis zur Beendigung der HAF-Funktion, beeinflussen können müssen.
Durch das Bereitstellen eines Ersatznetzes, also des Sekundärnetzes, ergibt sich somit der Vorteil, dass das Notbremsen zunächst unnötig ist. Außerdem kann der Fahrer frühzeitig informiert werden, dass das Sekundärnetz die Führung des autonomen Kraftfahrzeugs übernommen hat. Somit hat der Fahrer gegebenenfalls ausreichend Zeit hat, um zu entscheiden, ob er die Führung des Kraftfahrzeugs selbst übernehmen möchte oder nicht. Dadurch wird insgesamt das Risiko eines Unfalls aufgrund des Ausfalls einer Komponente des Kraftfahrzeugnetzwerks reduziert und folglich die Fahrsicherheit eines autonomen Kraftfahrzeugs im Straßenverkehr verbessert.
Bevorzugt kann die jeweilige Sensoreinrichtung Umfelddaten aus einem Umfeld des autonomen Kraftfahrzeugs und/oder aus einem Kraftfahrzeuginnenraum erfassen. Dabei kann die Sensoreinrichtung eine Vielzahl an Sensorelementen umfassen. Die Sensorelemente können beispielsweise als wenigstens eine Kamera und/oder wenigstens ein Radarsensor und/oder wenigstens ein Laserscanner zum Erfassen der Umfelddaten ausgebildet sein.
Des Weiteren kann die jeweilige Verarbeitungseinrichtung dazu ausgelegt sein, die erfassten Umfelddaten zu analysieren und zu verarbeiten, um Steuerbefehle für die jeweilige Aktoreinrichtung zu generieren. Außerdem kann die jeweilige Verarbeitungseinrichtung auch dazu ausgebildet sein, die Sensoreinrichtung zum Erfassen der Umfelddaten anzusteuern. Bevorzugt kann die jeweilige Verarbeitungseinrichtung dabei wenigstens ein Steuergerät mit einer Recheneinheit, wie beispielsweise einen Mikrocontroller, aufweisen. Die jeweilige Verarbeitungseinrichtung kann dabei mehrere Verarbeitungselemente umfassen, wie zum Beispiel ein Energiemanagementsteuergerät und/oder ein Fahrwerksteuergerät und/oder ein Sensoreinrichtung-Steuergerät.
Weiterhin kann die jeweilige Aktoreinrichtung ausgebildet sein, die Steuerbefehle der jeweiligen Verarbeitungseinrichtung auszuführen. Die jeweilige Aktoreinrichtung kann dabei wenigstens ein Aktorelement, wie beispielweise eine Bremseinrichtung und/oder ein Lenksystem und/oder eine Karosserieelektronik, wie etwa eine Lichtmaschine, umfassen. Dabei braucht jedoch nicht jede der Komponenten des Primärnetzes durch eine Ersatzkomponente im Sekundärnetz in doppelter Ausführung in dem Kraftfahrzeug verbaut sein. Es reicht aus, nur für diejenigen Komponenten des Primärnetzes eine Ersatzkomponente auszubilden, die für eine möglichst sichere Fahrt mit dem autonomen Kraftfahrzeug unbedingt nötig sind. Zum Beispiel kann eine Lichtmaschine im Sekundärnetz nur ausgebildet sein, wenn die Lichtmaschine ausgebildet ist, Scheinwerfer des Kraftfahrzeugs zu betreiben. Eine Lichtmaschine, die zum Beispiel für eine Innenraumbeleuchtung des Kraftfahrzeugs ausgebildet ist, braucht nicht unbedingt redundant in dem Sekundärnetz ausgebildet sein.
Vorzugsweise kann die jeweilige Kommunikationseinrichtung als Datenbus, wie zum Beispiel als CAN-Bus und/oder als Flexray-Bus und/oder als Ethernet, ausgebildet sein. Dabei kann die erste Kommunikationseinrichtung insbesondere derart ausgebildet sein, dass eine Datenübertragung von der ersten Sensoreinrichtung zu der ersten Verarbeitungseinrichtung und umgekehrt, sowie zwischen der ersten Verarbeitungseinrichtung und der ersten Aktoreinrichtung und umgekehrt ermöglicht wird. Weiterhin kann die erste Kommunikationseinrichtung auch ausgebildet sein, die einzelnen Sensorelemente der ersten Sensoreinrichtung, also beispielsweise die Kamera, den Radar- und den Laserscanner, zur Datenübertragung miteinander zu koppeln. Analog kann dies auch für die einzelnen Verarbeitungselemente der ersten Verarbeitungseinrichtung und die einzelnen Aktorelemente der ersten Aktoreinrichtung gelten. Dementsprechend kann die zweite Kommunikationseinrichtung dazu ausgebildet sein, eine Datenübertragung von der zweiten Sensoreinrichtung zu der zweiten Verarbeitungseinrichtung und umgekehrt, sowie eine Datenübertragung von der zweiten Verarbeitungsvorrichtung zu der zweiten Aktoreinrichtung und umgekehrt, zu ermöglichen. Entsprechend kann auch die zweite Kommunikationseinrichtung ausgebildet sein, die einzelnen Sensorelemente der zweiten Sensoreinrichtung miteinander zu koppeln, die einzelnen Verarbeitungselemente der zweiten Verarbeitungseinrichtung miteinander zu koppeln und die einzelnen Aktorelemente der zweiten Aktoreinrichtung miteinander zu koppeln.
Zu der Erfindung gehören auch Ausführungsformen, durch die sich zusätzliche Vorteile ergeben.
Eine Ausführungsform sieht vor, dass die wenigstens eine Überwachungseinrichtung ausgebildet ist, bei Feststellen der Funktionsstörung der wenigstens einen überwachten Komponenten des Primärnetzes, die wenigstens eine redundant ausgebildete Komponente des Sekundärnetzes zum Übernehmen der Funktion der funktionsgestörten Komponente des Primärnetzes anzusteuern.
Stellt die wenigstens eine Überwachungseinrichtung eine Funktionsstörung, also beispielsweise den Ausfall einer der Komponenten des Primärnetzes, fest, kann die wenigstens eine Überwachungseinrichtung wenigstens eine Komponente des Sekundärnetzes ansteuern, damit die wenigstens eine Komponente des Sekundärnetzes die Funktion der wenigstens einen Komponente des Primärnetzes übernehmen kann. Dabei steuert die wenigstens eine Überwachungseinrichtung diejenige Komponente des Sekundärnetzes an, die redundant zu der Komponente des Primärnetzes ausgebildet ist, die eine Funktionsstörung aufweist.
Fällt zum Beispiel die erste Sensoreinrichtung aus, kann die wenigstens eine Überwachungseinrichtung die zweite Sensoreinrichtung ansteuern, damit die zweite Sensoreinrichtung anstelle der ersten Sensoreinrichtung die Umfelddaten des autonomen Kraftfahrzeugs erfassen kann. Dabei können die erste Sensoreinrichtung und die zweite Sensoreinrichtung zwar funktionsgleich ausgebildet sein, brauchen aber nicht zwangsweise von einem gleichen Typ sein. Mit funktionsgleich kann in diesem Fall gemeint sein, dass die beiden Sensoreinrichtungen hinsichtlich ihrer Funktion gleich sind. Das heißt, dass beide Sensoreinrichtungen zum Beispiel als Kamera ausgebildet sind, und beide Sensoreinrichtung beispielweise ausgebildet sind, Bilder beziehungsweise Bildsequenzen der Umgebung des Kraftfahrzeugs zu erfassen. Jedoch kann die erste Bilderfassungseinrichtung zum Beispiel von einem ersten Hersteller hergestellt werden. Hingegen kann die zweite Bildererfassungseinrichtung beispielsweise von einem zweiten Hersteller hergestellt werden. Bevorzugt kann der erste Hersteller dabei unterschiedliche Bauteile für die erste Bilderfassungseinrichtung verwenden, als der zweite Hersteller für die zweite Bilderfassungseinrichtung.
Eine weitere Ausführungsform sieht vor, dass das Kraftfahrzeugnetzwerk eine dritte Kommunikationseinrichtung umfasst, die ausgebildet ist, wenigstens eine der Komponenten des Primärnetzes direkt mit wenigstens einer der Komponenten des Sekundärnetzes zur Datenübertragung zu koppeln.
Die dritte Kommunikationseinrichtung kann dabei sozusagen einen Interconnect, also eine sogenannte Zwischenverbindungseinrichtung zwischen jeweils einer der Komponenten des Primärnetzes und einer der Komponenten des Sekundärnetzes darstellen. Dabei kann die dritte Kommunikationseinrichtung derart ausgebildet sein, dass eine Datenübertragung zwischen den jeweils redundant ausgebildeten Komponenten des Primärnetzes und des Sekundärnetzes ermöglicht wird. Zum Beispiel kann eine eigentliche Funktion einer der Komponenten des Primärnetzes gestört, aber eine Datenverarbeitung und Datenübertragung in der Komponente selbst kann noch funktionsfähig sein. In diesem Fall kann über die dritte Kommunikationseinrichtung eine Datenübertragung zwischen den beiden redundant ausgebildeten Komponenten erfolgen. Die Komponente des Sekundärnetzes kann dabei die eigentliche Funktion der funktionsunfähigen Komponente des Primärnetzes übernehmen und die erfassten Daten anschließend an die redundant dazu ausgebildete Komponente des Primärnetzes übertragen. Dadurch ist die Komponente des Sekundärnetzes sozusagen direkt mit der redundant ausgebildeten Komponente des Primärnetzes gekoppelt. Folglich ist die die Komponente des Sekundärnetzes aber sozusagen auch indirekt, und zwar über die redundant ausgebildeten Komponente des Primärnetzes, mit den übrigen Komponenten des Primärnetzes gekoppelt. So kann beispielsweise die erste Verarbeitungseinrichtung über die dritte Kommunikationseinrichtung direkt mit der zweiten Verarbeitungseinrichtung gekoppelt, also insbesondere verbunden, sein. Gleichzeitig kann die zweite Verarbeitungseinrichtung auch über die erste Verarbeitungseinrichtung indirekt mit der ersten Sensoreinrichtung beziehungsweise der ersten Aktoreinrichtung gekoppelt sein.
Zusätzlich oder alternativ kann die dritte Kommunikationseinrichtung auch ausgebildet sein, eine Datenübertragung zwischen einer der Komponenten des Primärnetzes und einer dazu nicht redundant ausgebildeten Komponente des Sekundärnetzes zu ermöglichen. Somit wird dann quasi die funktionsunfähige Komponente in der Datenübertragung übergangen. Die Datenübertragung kann also direkt zwischen wenigstens einer funktionsfähigen Komponenten des Primärnetzes und einer nicht dazu redundant ausgebildeten Komponente des Sekundärnetzes erfolgen. Das heißt, beispielsweise kann die erste Sensoreinrichtung über die dritte Kommunikationseinrichtung mit der zweiten Verarbeitungseinrichtung gekoppelt, insbesondere also verbunden, sein.
Die dritte Kommunikationseinrichtung kann somit also eine Vernetzung der einzelnen Komponenten des Primärnetzes mit den einzelnen Komponenten des Sekundärnetzes darstellen. Dabei kann die dritte Kommunikationseinrichtung wenigstens einen Interconnect zum Koppeln wenigstens einer Komponente des Primärnetzes mit wenigstens einer Komponente des Sekundärnetzes umfassen. Besonders bevorzugt weist die dritte Kommunikationseinrichtung jedoch eine Vielzahl an Interconnects auf, sodass die jede der Komponenten des Primärnetzes mit wenigstens einer Komponente des Sekundärnetzes gekoppelt ist, und umgekehrt.
Hierdurch ergibt sich der Vorteil, dass nicht nur eine Datenübertragung zwischen den einzelnen Komponenten des Primärnetzes ermöglicht wird, sondern auch eine Datenübertragung zwischen den Komponenten des Primärnetzes und den Komponenten des Sekundärnetzes möglich ist.
Bevorzugt kann die dritte Kommunikationseinrichtung dabei ebenfalls als Datenbus, also beispielsweise als CAN-Bus und/oder als Flexray und/oder als Ethernet, realisiert sein. Weiterhin kann vorgesehen sein, dass die dritte Kommunikationseinrichtung, also insbesondere jeder der Interconnects, der wenigstens eine Komponente des Primärnetzes mit wenigstens einer Komponente des Sekundärnetzes koppelt, zum Beispiel über einen Optokoppler oder eine Sicherung galvanisch getrennt bzw. trennbar ausgebildet ist. So kann das Sekundärnetz im Fall einer Funktionsstörung einer der Komponenten des Primärnetzes von dem Primärnetz entkoppelt werden.
Eine weitere Ausführungsform sieht vor, dass die wenigstens eine Überwachungseinrichtung ausgebildet ist, bei Feststellen der Funktionsstörung der wenigstens einen überwachten Komponente des Primärnetzes, die dritte Kommunikationseinrichtung anzusteuern, um eine direkte Datenübertragung zwischen wenigstens einer der funktionsfähigen Komponenten des Primärnetzes und wenigstens einer der funktionsfähigen Komponenten des Sekundärnetzes zu ermöglichen.
Fällt also nun beispielsweise eine Komponente des Primärnetzes aus, kann die wenigstens eine Überwachungseinrichtung die dritte Kommunikationseinrichtung ansteuern, und insbesondere nutzen. Dabei kann die dritte Kommunikationseinrichtung von der wenigstens einen Überwachungseinrichtung derart angesteuert werden, dass Daten direkt zwischen einer noch funktionsfähigen Komponente des Primärnetzes und einer noch funktionsfähigen des Sekundärnetzes übertragen werden können. Das heißt, fällt beispielsweise die erste Sensoreinrichtung aus, kann die zweite Sensoreinrichtung die Funktion der ersten Sensoreinrichtung übernehmen. Die wenigstens eine Überwachungseinrichtung kann dann die dritte Kommunikationseinrichtung und insbesondere einen Interconnect zwischen der ersten Verarbeitungseinrichtung und der zweiten Verarbeitungseinrichtung nutzen, sodass die erfassten Umfelddaten der zweiten Sensoreinrichtung über die zweite Verarbeitungseinrichtung an die erste Verarbeitungseinrichtung übertragen werden können.
Eine weitere Ausführungsform sieht vor, dass die wenigstens eine Überwachungseinrichtung ausgebildet ist, bei Feststellen der Funktionsstörung der wenigstens einen überwachten Komponente des Primärnetzes die dritte Kommunikationseinrichtung anzusteuern, um eine Datenübertragung zwischen der wenigstens einen Komponente des Sekundärnetzes, die die Funktion der wenigstens einen funktionsgestörten Komponente des Primärnetzes übernimmt, und wenigstens einer funktionsfähigen Komponente des Primärnetzes zu ermöglichen.
Das bedeutet im Fall der Funktionsstörung einer der Komponenten des Primärnetzes, dass die wenigstens eine Überwachungseinrichtung die dritte Kommunikationseinrichtung, insbesondere also einen Interconnect der dritten Kommunikationseinrichtung, ansteuern beziehungsweise nutzen kann, sodass die Komponente des Sekundärnetzes, die redundant zu der funktionsgestörten Komponente des Primärnetzes ausgebildet ist, mit einer der funktionsfähigen Komponenten des Primärnetzes zur Datenübertragung gekoppelt wird. Fällt also beispielsweise die erste Sensoreinrichtung aus, kann die wenigstens eine Überwachungseinrichtung einen Interconnect zwischen der zweiten Sensoreinrichtung und der ersten Verarbeitungseinrichtung ansteuern. Somit kann die zweite Sensoreinrichtung die erfassten Umfelddaten direkt an die erste Verarbeitungseinrichtung übertragen.
Eine weitere Ausführungsform sieht vor, dass die wenigstens eine Überwachungseinrichtung ausgebildet ist, bei Feststellen der Funktionsstörung der wenigstens einen überwachten Komponente des Primärnetzes, alle Komponenten des Sekundärnetzes zum Übernehmen der Funktion aller Komponenten des Primärnetzes anzusteuern.
Das heißt, für den Fall, dass die wenigstens eine Überwachungseinrichtung eine Funktionsstörung einer der Komponenten des Primärnetzes feststellt, steuert die wenigstens eine Überwachungseinrichtung die Komponenten des Sekundärnetzes derart an, dass die Komponenten des Sekundärnetzes die Funktionen der Komponenten des Primärnetzes übernehmen. Die wenigstens eine Überwachungseinrichtung kann somit sozusagen ein Umschalten von dem Primärnetz auf das Sekundärnetz ermöglichen. Fällt also zum Beispiel die erste Kommunikationseinrichtung aus, übernimmt in diesem Fall nicht die zweite Kommunikationseinrichtung die Funktion der ersten Kommunikationseinrichtung, sondern das gesamte Primärnetz wird sozusagen abgeschaltet und das Sekundärnetz übernimmt nun die Führung des autonomen Kraftfahrzeugs.
Eine weitere Ausführungsform sieht vor, dass die Komponenten des Sekundärnetzes hinsichtlich ihrer Ausgestaltung diversitär zu den Komponenten des Primärnetzes ausgebildet sind.
Mit anderen Worten ist das Kraftfahrzeugnetzwerk nicht nur redundant, sondern redundant diversitär ausgebildet. Somit kann jede der Komponenten des Kraftfahrzeugnetzwerks sowohl mehrfach vorhanden als auch auf unterschiedliche Art und Weise ausgebildet sein.
Dabei können die Komponenten des Primärnetzes im Vergleich zu den Komponenten des Sekundärnetzes Bauteile eines unterschiedlichen Herstellers umfassen. Somit können beispielsweise Bauteile der ersten Verarbeitungseinrichtung von einem ersten Hersteller bereitgestellt werden und Bauteile der zweiten Verarbeitungseinrichtung von einem zweiten Hersteller bereitgestellt werden. Zudem oder alternativ können auch unterschiedliche Technologien für die Komponenten des Primärnetzes im Vergleich zu den Komponenten des Sekundärnetzes verwendet werden. So kann zum Beispiel die erste Sensoreinrichtung als Kamera realisiert sein, während die zweite Sensoreinrichtung als Radarsensor ausgebildet sein kann. Analog kann auch mit der ersten und zweiten Kommunikationseinrichtung verfahren werden. Zum Beispiel können beide Kommunikationseinrichtungen als elektrischer Datenbus ausgebildet sein, wobei die erste Kommunikationseinrichtung zum Beispiel als CAN-Bus realisiert sein kann, während die zweite Kommunikationseinrichtung zum Beispiel als Flexray-Bus realisiert sein kann. Alternativ kann die erste Kommunikationseinrichtung auch als elektrischer Datenbus, wie beispielsweise als CAN-Bus, realisiert sein, wohingegen die zweite Kommunikationseinrichtung als optischer Datenbus, wie beispielsweise als MOST-Bus realisiert sein kann, oder umgekehrt. In beiden Fällen weisen die jeweiligen Datenbusse nämlich unterschiedliche Frequenzen für die Datenübertragung auf.
Hierdurch ergibt sich der Vorteil, dass eine Funktionsstörung des gesamten Kraftfahrzeugnetzwerks, also insbesondere des Primärnetzes und des Sekundärnetzes, beispielsweise aufgrund systematischer Fehler, verhindert wird.
Eine weitere Ausführungsform sieht vor, dass das Primärnetz, das Sekundärnetz und die dritte Kommunikationseinrichtung als wenigstens eine Ringtopologie angeordnet sind.
Besonders bevorzugt sind die Komponenten des Primärnetzes, des Sekundärnetzes und die dritte Kommunikationseinrichtung dabei als vermaschte Ringtopologie ausgebildet. Dabei ist jedoch in jedem Fall sicherzustellen, dass sowohl keine Komponente des Primärnetzes sowie keine Komponente des Sekundärnetzes gleichzeitig mit einem für das Primärnetz und einem für das Sekundärnetz essentiellen Datenbus, welcher für die fehlerfreie Funktionalität des jeweiligen Netzes vorgesehen ist (wie zum Beispiel CAN-Bus und/oder Flexray), angebunden ist. Somit wird verhindert, dass die Funktionsstörung einer beliebigen Komponente sowohl das Primärnetz als auch das Sekundärnetz gleichzeitig beeinträchtigt und einen SPoF ausbildet.
Durch die Erfindung ist auch ein Verfahren zum Betreiben eines Kraftfahrzeugnetzwerks bereitgestellt, wobei das Kraftfahrzeugnetzwerk ein Primärnetz und ein Sekundärnetz aufweist. Das Primärnetz umfasst dabei wenigstens folgende Komponenten: Eine erste Sensoreinrichtung, eine erste Verarbeitungseinrichtung, eine erste Aktoreinrichtung und eine erste Kommunikationseinrichtung, die ausgebildet ist, die erste Sensoreinrichtung, die erste Verarbeitungseinrichtung und die erste Aktoreinrichtung zur Datenübertragung miteinander zu koppeln. Entsprechend umfasst das Sekundärnetz wenigstens folgende Komponenten: Eine zweite Sensoreinrichtung, eine zweite Verarbeitungseinrichtung, eine zweite Aktoreinrichtung und eine zweite Kommunikationseinrichtung, die ausgebildet ist, die zweite Sensoreinrichtung, die zweite Verarbeitungseinrichtung und die zweite Aktoreinrichtung zur Datenübertragung miteinander zu koppeln. Dabei sind die Komponenten des Sekundärnetzes hinsichtlich ihrer Funktion redundant zu den Komponenten des Primärnetzes ausgebildet. Das Verfahren umfasst dabei in einem Schritt a) ein Überprüfen, ob wenigstens eine der Komponenten des Primärnetzes eine Funktionsstörung aufweist, und in einem Schritt b) für den Fall, dass das Überprüfen positiv ausfällt: Das Ansteuern einer der zu der wenigstens einen funktionsgesteuerten Komponente des Primärnetzes redundant ausgebildeten Komponente des Sekundärnetzes derart, dass die Komponente des Sekundärnetzes die Funktion der wenigstens einen funktionsgesteuerten Komponente des Primärnetzes übernimmt.
Als positives Überprüfen ist dabei zu verstehen, dass festgestellt wird, dass wenigstens eine der Komponenten des Primärnetzes eine Funktionsstörung aufweist.
Die Erfindung umfasst auch die Kombinationen der Merkmale der beschriebenen Ausführungsformen. Die für das erfindungsgemäße Kraftfahrzeugnetzwerk beschriebenen Ausführungsformen und Vorteile gelten analog auch für das erfindungsgemäße Verfahren und umgekehrt. Im Folgenden sind Ausführungsbeispiele der Erfindung beschrieben. Hierzu zeigt:

1 eine schematische Darstellung einer Topologie einer Ausführungsform eines Kraftfahrzeugnetzwerkes,
2 eine schematische Darstellung der Topologie einer Ausführungsform des Kraftfahrzeugnetzwerkes und eine mögliche Datenübertragung zwischen einzelnen Komponenten des Kraftfahrzeugnetzwerkes im Fall einer Funktionsstörung:
1. a) einer ersten Sensoreinrichtung,
2. b) einer ersten Verarbeitungseinrichtung,
3. c) einer ersten Aktoreinrichtung, und
4. d) einer ersten Kommunikationseinrichtung; und
3 eine schematische Darstellung eines Kraftfahrzeugs mit einem Kraftfahrzeugnetzwerk gemäß einer Ausführungsform der Erfindung.

Bei den im Folgenden erläuterten Ausführungsbeispielen handelt es sich um bevorzugte Ausführungsformen der Erfindung. Bei den Ausführungsbeispielen stellen die beschriebenen Komponenten der Ausführungsformen jeweils einzelne, unabhängig voneinander zu betrachtende Merkmale der Erfindung dar, welche die Erfindung jeweils auch unabhängig voneinander weiterbilden und somit auch einzeln oder in einer anderen als der gezeigten Kombination als Bestandteil der Erfindung anzusehen sind. Des Weiteren sind die beschriebenen Ausführungsformen auch durch weitere der bereits beschriebenen Merkmale der Erfindung ergänzbar.
In den Figuren bezeichnen gleiche Bezugszeichen jeweils funktionsgleiche Elemente.
1 zeigt ein Kraftfahrzeugnetzwerk 100 mit einem Primärnetz 102 und einem Sekundärnetz 104. Weiterhin umfasst das Kraftfahrzeugnetzwerk 100 als erste Energieversorgungseinrichtung eine erste Energieversorgung 124, als zweite Energieversorgungseinrichtung eine zweite Energieversorgung 126, eine Überwachungseinrichtung 106 und als eine dritte Kommunikationseinrichtung einen Tertiärbus 128. Das Primärnetz 102 umfasst als Komponenten eine erste Sensoreinrichtung mit einem ersten Sensor 108, eine erste Verarbeitungseinrichtung mit einem ersten Controller 110, und eine erste Aktoreinrichtung, mit einen ersten Aktor 112. Als weitere Komponente umfasst das Primärnetz 102 auch eine erste Kommunikationseinrichtung, einen Primärbus 114, der die übrigen Komponenten des Primärnetzes 102 zur Datenübertragung miteinander verbindet. Das heißt, der erste Sensor 108 kann über den Primärbus 114 Daten an den ersten Controller 110 übertragen und umgekehrt, und der erste Controller 110 kann über den Primärbus 114 Daten an den ersten Aktor 112 übertragen und umgekehrt.
Analog zu dem Primärnetz 102 umfasst das Sekundärnetz 104 im vorliegenden Beispiel eine zweite Sensoreinrichtung mit einem zweiten Sensor 116, eine zweite Verarbeitungseinrichtung mit einem zweiten Controller 118 und eine zweite Aktoreinrichtung mit einem zweiten Aktor 120. Weiterhin umfasst das Sekundärnetz 104 als zweite Kommunikationseinrichtung einen Sekundärbus 122 als weitere Komponente. Der Sekundärbus 122 verbindet dabei die übrigen Komponenten des Sekundärnetzes 104 für eine Datenübertragung. Das heißt, von dem zweiten Sensor 116 können Daten über den Sekundärbus 122 an den zweiten Controller 118 übertragen werden, und umgekehrt und von dem zweiten Controller 118 können ebenfalls über den Sekundärbus 122 Daten an den zweiten Aktor 120 übertragen werden, und umgekehrt.
Dabei sind das Primärnetz 102 und das Sekundärnetz 104 redundant zueinander ausgebildet. Das heißt, die Komponenten des Sekundärnetzes 104 sind hinsichtlich ihrer Funktion redundant zu den Komponenten des Primärnetzes 102 ausgebildet, sodass das Sekundärnetz 104 sozusagen als Ersatznetz für das Primärnetz 102 verwendet werden kann.
Analog sind in der 1 auch die erste Energieversorgung 124 und die zweite Energieversorgung 126 redundant zueinander ausgebildet. Dabei versorgt die erste Energieversorgung 124 das Primärnetz 102, insbesondere den ersten Sensor 108, den ersten Controller 110 und den ersten Aktor 112 mit Energie und die zweite Energieversorgung 126 versorgt das Sekundärnetz 104, insbesondere den zweiten Sensor 116, den zweiten Controller 118 und den zweiten Aktor 120 mit Energie.
In 1 ist auch ein optionaler Tertiärbus 128 dargestellt, der in diesem Ausführungsbeispiel jeweils eine Komponente des Primärnetzes 102 und die dazu redundant ausgebildete Komponente des Sekundärnetzes 104 miteinander zur Datenübertragung verbindet. Dazu weist der Tertiärbus 128 einen ersten Interconnect 130, einen zweiten Interconnect 132 und einen dritten Interconnect 134 auf. Mit Interconnect ist dabei eine Zwischenverbindungseinrichtung zur Daten- beziehungsweise Signalübertragung gemeint. Der erste Interconnect 130 verbindet in der 1 den ersten Sensor 108 mit dem zweiten Sensor 116. Der zweite Interconnect 132 verbindet den ersten Controller 110 mit dem zweiten Controller 118. Der dritte Interconnect 134 verbindet den ersten Aktor 112 mit dem zweiten Aktor 120.
Aufgabe der Überwachungseinrichtung 106 ist es, in dem in 1 gezeigten Ausführungsbeispiel, die Komponenten des Primärnetzes 102 und die Komponenten des Sekundärnetzes 104 auf ihre Funktionsfähigkeit hin zu überwachen, was in der 1 als strichpunktierte Pfeile dargestellt ist. Neben den Komponenten des Primärnetzes 102 und den Komponenten des Sekundärnetzes 104 kann die Überwachungseinrichtung 106 auch ausgebildet sein, die erste Energieversorgung 124 und die zweite Energieversorgung 126 auf ihre Funktionsfähigkeit hin zu überwachen. Stellt die Überwachungseinrichtung 106 nämlich fest, dass beispielsweise eine der Komponenten des Primärnetzes 102 eine Funktionsstörung aufweist, kann die Überwachungseinrichtung 106 die zu der funktionsgestörten Komponente des Primärnetzes 102 redundant ausgebildete Komponente des Sekundärnetzes 104 ansteuern, sodass die angesteuerte Komponente des Sekundärnetzes 104 die Funktion der funktionsgestörten Komponente des Primärnetzes 102 übernimmt.
In der 1 ist die Überwachungseinrichtung 106 als globale Überwachungseinrichtung für das gesamte Kraftfahrzeugnetzwerk 100 ausgebildet. Alternativ könnte auch jeweils das Primärnetz 102 und das Sekundärnetz 104 eine eigene Überwachungseinrichtung aufweisen, oder es könnte sogar jede Komponente des Primärnetzes 102 beziehungsweise des Sekundärnetzes 104 eine eigene Überwachungseinrichtung aufweisen.
Die Ausgestaltung des Kraftfahrzeugnetzwerks 100 in 1, also insbesondere die Vernetzung der Komponenten des Primärnetzes 102 mit den Komponenten des Sekundärnetzes 104 über den Tertiärbus 128 stellt vorzugsweise eine sogenannte Ringtopologie 136 dar. Die Knoten K der Ringtopologie bilden dabei im ersten Fall der erste und zweite Sensor 108 und 116 sowie der erste Controller 110 und der zweite Controller 118, wohingegen die Verbindungskanten V der Ringtopologie in diesem Fall durch den Primärbus 114, den Sekundärbus 122 und den ersten und zweiten Interconnect 130, 132 gebildet sind. Im zweiten Fall bilden die Kanten der Ringtopologie der erste Controller 110, der zweite Controller 118 sowie der erste Aktor 112 und der zweite Aktor 120, wohingegen die Verbindungskanten V der Ringtopologie 136 durch den Primärbus 114, den Sekundärbus 122, den zweiten Interconnect 132 und den dritten Interconnect 134 gebildet sind. In einem anderen als dem in 1 gezeigten Ausführungsbeispiel kann durch Hinzufügen von Querverbindungen zwischen den Komponenten des Primärnetzes 102 und den Komponenten des Sekundärnetzes 104 über den Tertiärbus 128 auch eine vermaschte Ringtopologie vorgesehen sein.
Eine mögliche Datenübertragung zwischen den Komponenten des Primärnetzes 102 und den Komponenten des Sekundärnetzes 104 für den Fall einer Funktionsstörung einer der Komponenten des Primärnetzes 102 ist in 2 dargestellt. 2 zeigt dazu erneut das Kraftfahrzeugnetzwerk 100 mit dem Primärnetz 102 und dem Sekundärnetz 104. Das Primärnetz 102 umfasst dabei den ersten Sensor 108, den ersten Controller 110 und den ersten Aktor 112. Entsprechend umfasst das Sekundärnetz 104 den zweiten Sensor 116, den zweiten Controller 118 und den zweiten Aktor 120. Im Vergleich zu 1 sind in 2 jedoch nur diejenigen Verbindungen des Primärbusses 114, des Sekundärbusses 122 und des Tertiärbusses 128 dargestellt, die im Fall der jeweiligen Funktionsstörung für eine Datenübertragung durch die Überwachungseinrichtung 106 genutzt werden könnten. In der 2 sind die jeweils funktionsgestörten Komponenten des Primärnetzes durchgestrichen dargestellt.
2a zeigt die Datenübertragung zwischen den einzelnen Komponenten des Primärnetzes 102 und des Sekundärnetzes 104 für den Fall der Funktionsstörung der ersten Sensoreinrichtung. Fällt der erste Sensor 108 der ersten Sensoreinrichtung aus, kann die Überwachungseinrichtung 106, die in 2 nicht dargestellt ist, den zweiten Sensor 116 zum Übernehmen der Funktion des ersten Sensors 108 ansteuern. Weiterhin kann die Überwachungseinrichtung 106 auch den Tertiärbus 128 und/oder den Primärbus 114 und/oder den Sekundärbus 122 nutzen lassen.
In einem ersten Fall könnte dann eine Datenübertragung von dem zweiten Sensor 116 über einen vierten Interconnect 138 zu dem ersten Controller 110 erfolgen. Von dem ersten Controller 110 kann dann entweder eine Datenübertragung über den Primärbus 114 zu dem ersten Aktor 112 erfolgen.
Alternativ kann auch eine Datenübertragung über einen fünften Interconnect 140 zu dem zweiten Aktor 120 erfolgen.
In einem zweiten Fall könnte eine Datenübertragung über den Sekundärbus 122 von dem zweiten Sensor 116 zu dem zweiten Controller 118 erfolgen. Von dem zweiten Controller 118 könnte anschließend entweder eine Datenübertragung über einen sechsten Interconnect 144 zu dem ersten Aktor 112, oder über den Sekundärbus 122 zu dem zweiten Aktor 120 erfolgen.
2b zeigt eine mögliche Datenübertragung zwischen den einzelnen Komponenten des Primärnetzes 102 und des Sekundärnetzes 104 für den Fall einer Funktionsstörung des ersten Controllers 110. Dabei könnte die Überwachungseinrichtung 106 den zweiten Controller 118 zum Übernehmen der Funktion des ersten Controllers 110 ansteuern und zusätzlich den Sekundärbus 122 und/oder den Tertiärbus 128 nutzen lassen.
Gemäß dem Ausführungsbeispiel in 2b könnte in einem ersten Fall eine Datenübertragung von dem ersten Sensor 108 über einen siebten Interconnect 142 zu dem zweiten Controller 118 erfolgen. Von dem zweiten Controller 118 aus könnte dann entweder der sechste Interconnect 144 genutzt werden für eine Datenübertragung zwischen dem zweiten Controller 118 und dem ersten Aktor 112. Alternativ könnte auch der Sekundärbus 122 genutzt werden für eine Datenübertragung zwischen dem zweiten Controller 118 und dem zweiten Aktor 120.
In einem zweiten Fall könnte anstelle des ersten Sensors 108 der zweite Sensor 116 angesteuert werden und eine Datenübertragung über den Sekundärbus 122 zwischen dem zweiten Sensor 116 und dem zweiten Controller 118 erfolgen. Von dem zweiten Controller 118 aus würden sich dann die gleichen Möglichkeiten zur Datenübertragung zu dem ersten Aktor 112 beziehungsweise dem zweiten Aktor 120 ergeben, wie zu Fall 1 beschrieben., 2c zeigt eine mögliche Datenübertragung zwischen den einzelnen Komponenten des Primärnetzes 102 und des Sekundärnetzes 104 für den Fall der Funktionsstörung der ersten Aktoreinrichtung 112. In diesem Fall könnte die Überwachungseinrichtung den zweiten Aktor 120 zum Übernehmen der Funktion des ersten Aktors 112 ansteuern. Weiterhin könnte die Überwachungseinrichtung auch den Primärbus 114 und/oder den Sekundärbus 122 und/oder den Tertiärbus 128 für eine Datenübertragung zwischen den funktionsfähigen Komponenten des Primärnetzes 102 und des Sekundärnetzes 104 nutzen.
In einem ersten Fall könnte dabei eine Datenübertragung von dem ersten Sensor 108 über den Primärbus 114 zu dem ersten Controller 110 erfolgen. Von dem zweiten Controller 110 aus kann dann über den fünften Interconnect 140 eine Datenübertragung zwischen dem ersten Controller 110 und dem zweiten Aktor 120 erfolgen.
In einem zweiten Fall könnte die Überwachungseinrichtung 106 den sechsten Interconnect 142 nutzen lassen, sodass eine Datenübertragung zwischen dem ersten Sensor 108 und dem zweiten Controller 118 erfolgen kann. Von dort aus könnte dann durch Nutzung des Sekundärbusses 122 eine Datenübertragung zwischen dem zweiten Controller 118 und dem zweiten Aktor 120 erfolgen.
In einem dritten Fall könnte von dem zweiten Sensor 116 aus eine Datenübertragung durch Nutzung des vierten Interconnects 138 zu dem ersten Controller 110 erfolgen. Anschließend könnte erneut der fünfte Interconnect 140 genutzt werden, sodass eine Datenübertragung zwischen dem ersten Controller 110 und dem zweiten Aktor 120 erfolgen kann.
In einem vierten Fall könnte nur der Sekundärbus 122 genutzt werden, sodass eine Datenübertragung zwischen dem zweiten Sensor 116 und dem zweiten Controller 118, sowie dem zweiten Controller 118 und dem zweiten Aktor 120 erfolgen kann. In dem vierten Fall würden dann die Komponenten des Sekundärnetzes 104 jeweils die Funktionen der Komponenten des Primärnetzes 102 übernehmen, selbst wenn nur eine Komponente des Primärnetzes, nämlich der erste Aktor 112, aufgrund einer Funktionsstörung ausgefallen ist.
2d zeigt eine mögliche Datenübertragung in dem Kraftfahrzeugnetzwerk 100, für den Fall einer Funktionsstörung der ersten Kommunikationseinrichtung, also des Primärbusses 114. In diesem Fall werden von der Überwachungseinrichtung alle Komponenten des Sekundärnetzes 104 zur Übernahme aufgefordert, sodass diese die Funktionen der Komponenten des Primärnetzes 102 übernehmen. Das bedeutet, wenn der Primärbus 114 ausfällt, wird der Sekundärbus 122 genutzt, sodass eine Datenübertragung von dem zweiten Sensor 116 zu dem zweiten Controller 118, sowie von dem zweiten Controller 118 zu dem zweiten Aktor 120 erfolgen kann.
Analog hierzu können auch Komponenten des Sekundärnetzens 104 oder auch Teile der Komponenten ausfallen und durch entsprechende Komponenten des Primärnetzens ersetzt werden.
3 zeigt nun eine konkrete Ausgestaltung für eine beispielhafte Ausführungsform des Kraftfahrzeugnetzwerks 100. In 3 ist dazu schematisch ein Kraftfahrzeug 300 mit dem Kraftfahrzeugnetzwerk 100, welches das Primärnetz 102 und das Sekundärnetz 104 umfasst, dargestellt. Das Kraftfahrzeug 300 ist dabei insbesondere als autonom fahrendes Kraftfahrzeug, also ein Kraftfahrzeug mit einer hochautomatisierten Fahrfunktion (HAF-Funktion), insbesondere mit einer Autonomiestufe größer oder gleich drei, ausgebildet.
In diesem Ausführungsbeispiel ist die erste Sensoreinrichtung als Kamera 302 ausgebildet, die erste Verarbeitungseinrichtung ist als erster Mikrocontroller 304 eines ersten Herstellers dargestellt und die erste Aktoreinrichtung ist als Primärbremse 306 ausgebildet. Weiterhin ist die erste Kommunikationseinrichtung in dem Ausführungsbeispiel in 3 als CAN-Bus 314 ausgebildet.
Im Gegensatz dazu ist die zweite Sensoreinrichtung in 3 als Radarsensor 308 ausgebildet, die zweite Verarbeitungseinrichtung ist als zweiter Mikrocontroller 310 eines zweiten Herstellers ausgebildet und die zweite Aktoreinrichtung ist als Sekundärbremse 312 ausgebildet. Des Weiteren ist die zweite Kommunikationseinrichtung in diesem Ausführungsbeispiel als Flexray-Bus 316 ausgebildet.
Wie in 3 gezeigt, sind in diesem Fall die Komponenten des Primärnetzes 102 im Vergleich zu den Komponenten des Sekundärnetzes 104 nicht nur redundant, sondern redundant diversitär ausgebildet. Das heißt, die Komponenten des Primärnetzes 102 sind zu den Komponenten des Sekundärnetzes 104 zwar funktionsgleich ausgebildet, erfüllen also die gleiche Funktion, sind in ihrer Ausgestaltung und in ihrer Funktion selbst verschieden zueinander.
Dem Ausführungsbeispiel in 3 könnte folgende Situation beispielhaft zugrundeliegen. Das autonome Kraftfahrzeug 300 befindet sich im normalen Fahrbetrieb, also insbesondere im Normalbetrieb, und wird dabei von dem Primärnetz 102 unterstützt. Die Kamera 302 ist als Frontkamera ausgebildet und kann Bilder beziehungsweise Bildsequenzen frontal in Fahrtrichtung des autonomen Kraftfahrzeugs 300 erfassen. Die erfassten Bilder können von der Kamera 302 über den CAN-Bus 314 an den ersten Mikrocontroller 304 übermittelt werden. Der erste Mikrocontroller 304 könnte die übermittelten Bilddaten auswerten und gegebenenfalls einen Steuerbefehl für die Primärbremse 306 generieren. Der Steuerbefehl könnte dann von dem ersten Mikrocontroller 304 über den CAN-Bus 314 an die Primärbremse 306 übermittelt werden. Der Steuerbefehl könnte zum Beispiel dann generiert werden, wenn durch die Kamera 302 erfasst werden würde, dass ein voranfahrendes Fahrzeug vor dem autonomen Kraftfahrzeug 300 bremst.
Nun könnte das autonome Kraftfahrzeug 300 beispielsweise an einem Sendemasten vorbeifahren, der beispielsweise Funkwellen einer bestimmten Bandbreite aussendet. Eine der Frequenzen in der Bandbreite könnte dabei beispielsweise den CAN-Bus 314, insbesondere eine Datenübertragung über den CAN-Bus 314 stören. Entsprechend würde in diesem Fall der CAN-Bus 314 entweder ausfallen oder die Datenübertragung über den CAN-Bus 314 würde verfälscht werden.
Würde nun, wie in dem zuvor genannten Beispiel, ein voranfahrendes Fahrzeug bremsen, könnte die Kamera 302 die Situation zwar noch richtig erfassen, jedoch würde aufgrund der verfälschten Datenübertragung über den CAN-Bus 314 der erste Mikrocontroller 304 verfälschte Daten übermittelt bekommen, sodass der erste Mikrocontroller 304 im schlimmsten Fall die Primärbremse 306 gar nicht mit einem Steuerbefehl zum Bremsen ansteuern würde.
Umfasst das Kraftfahrzeugnetzwerk 100 nun wenigstens eine Überwachungseinrichtung 106 könnte die Überwachungseinrichtung 106 einen Fehler in der Datenübertragung über den CAN-Bus 314 feststellen. Bevorzugt kann die Überwachungseinrichtung 106 zum Beispiel eine Komponente des ersten Mikrocontrollers 304 darstellen. Ein Fehler in der Datenübertragung zwischen der Kamera 302 und dem ersten Mikrocontroller 304 kann dann beispielsweise auf Softwareebene durch eine Prüfsummenberechnung mittels der Überwachungseinrichtung 106 in dem ersten Mikrocontroller 304 erfolgen.
Die Überwachungseinrichtung 106 könnte anschließend die Nutzung des gesamten Primärnetzes 102 untersagen und somit sozusagen indirekt, durch die Degradation des gesamten Primärnetzes 102, das Sekundärnetz 104 zum Übernehmen der Funktion des Primärnetzes 102 auffordern. Alternativ könnte die Überwachungseinrichtung 106 in dem ersten Mikrocontroller 304 auch ein Steuersignal an den zweiten Mikrocontroller 310 des Sekundärnetzes 104 übermitteln. Daraufhin könnt der zweite Mikrocontroller 310 den Radarsensor 308 zum Erfassen von Radardaten frontal in Fahrtrichtung des autonomen Kraftfahrzeugs 300 ansteuern.
In diesem Fall könnte somit das redundant ausgebildete Sekundärnetz 104 die Funktion des Primärnetzes 102 übernehmen. Da der Flexray-Bus 316 zur Datenübertragung eine andere Frequenz nutzt, würde dieser nicht durch die Frequenz des Funksenders in seiner Funktion gestört werden. Dementsprechend könnte durch die Überwachungseinrichtung 106 von dem Primärnetz 102 auf das Sekundärnetz 104 umgeschaltet werden, sodass nun der Radarsensor 308 die Fahrbahn in Fahrtrichtung des autonomen Kraftfahrzeugs 300 erfasst und die erfassten Radardaten an den zweiten Mikrocontroller 310 über den Flexray-Bus 316 übermittelt. Daraufhin kann der zweite Mikrocontroller 310 die Radardaten analysieren und einen Steuerbefehl für die Sekundärbremse 312 generieren, der anschließend erneut über den Flexray-Bus 316 an die Sekundärbremse 312 übermittelt wird.
Durch die redundant diversitäre Ausgestaltung des Kraftfahrzeugnetzwerks 100 könnte so die Fahrsicherheit des autonomen Kraftfahrzeugs 300 im Straßenverkehr verbessert werden, da die Ausfallwahrscheinlichkeit des Kraftfahrzeugnetzwerks 100 insgesamt reduziert werden würde.
Insgesamt ist durch die Erfindung also eine Vernetzungsarchitektur für autonomes Fahren gezeigt.

Claims

Kraftfahrzeugnetzwerk (100) mit einem Primärnetz (102), wenigstens folgende Komponenten umfassend: eine erste Sensoreinrichtung (108, 302), eine erste Verarbeitungseinrichtung (110, 304), eine erste Aktoreinrichtung (112, 306), und eine erste Kommunikationseinrichtung (114, 314), die ausgebildet ist, die erste Sensoreinrichtung (108, 302), die erste Verarbeitungseinrichtung (110, 304) und die erste Aktoreinrichtung (112, 306) zur Datenübertragung miteinander zu koppeln, dadurch gekennzeichnet, dass das Kraftfahrzeugnetzwerk (100) weiterhin umfasst: - ein Sekundärnetz (104), das als Komponenten wenigstens aufweist: eine zweite Sensoreinrichtung (116, 308), eine zweite Verarbeitungseinrichtung (118, 310), eine zweite Aktoreinrichtung (120, 312), und eine zweite Kommunikationseinrichtung (122, 316), die ausgebildet ist, die zweite Sensoreinrichtung (116, 308), die zweite Verarbeitungseinrichtung (118, 310), und die zweite Aktoreinrichtung (120, 312) zur Datenübertragung miteinander zu koppeln, wobei die Komponenten des Sekundärnetzes (104) hinsichtlich ihrer Funktion redundant zu den Komponenten des Primärnetzes (102) ausgebildet sind, - eine erste Energieversorgungseinrichtung (124), die ausgebildet ist, nur das Primärnetz (102) mit Energie zu versorgen, und - eine zu der ersten Energieversorgungseinrichtung (124) separate zweite Energieversorgungseinrichtung (126), die ausgebildet ist, nur das Sekundärnetz (104) mit Energie zu versorgen, wobei die zweite Energieversorgungeinrichtung (126) redundant zu der ersten Energieversorgungseinrichtung (124) ausgebildet ist, und - wenigstens eine Überwachungseinrichtung (106), die ausgebildet ist, wenigstens eine der Komponenten des Primärnetzes (102) zu überwachen, wobei für den Fall, dass die Überwachungseinrichtung (106) eine Funktionsstörung der wenigstens einen überwachten Komponente des Primärnetzes (102) erfasst, die wenigstens eine dazu redundant ausgebildete Komponente des Sekundärnetzes (104) ausgebildet ist, die Funktion der wenigstens einen funktionsgestörten Komponente des Primärnetzes (102) zu übernehmen, wobei - die Überwachungseinrichtung (106) weiterhin dazu ausgebildet ist, auch die erste Energieversorgungseinrichtung (124) zu überwachen und für den Fall, dass die Überwachungseinrichtung (106) eine Funktionsstörung der ersten Energieversorgungseinrichtung (124) feststellt, alle Komponenten des Sekundärnetzes (104) zum Übernehmen der Funktion aller Komponenten des Primärnetzes (102) anzusteuern.
Kraftfahrzeugnetzwerk (100) nach Anspruch 1, dadurch gekennzeichnet, dass die wenigstens eine Überwachungseinrichtung (106) ausgebildet ist, bei Feststellen der Funktionsstörung der wenigstens einen überwachten Komponente des Primärnetzes (102), die wenigsten eine redundant ausgebildete Komponente des Sekundärnetzes (104) zum Übernehmen der Funktion der funktionsgestörten Komponente des Primärnetzes (102) anzusteuern.
Kraftfahrzeugnetzwerk (100) nach Anspruch 2, dadurch gekennzeichnet, dass das Kraftfahrzeugnetzwerk (100) eine dritte Kommunikationseinrichtung (128) umfasst, die ausgebildet ist, wenigstens eine der Komponenten des Primärnetzes (102) direkt mit wenigstens einer der Komponenten des Sekundärnetzes (104) zur Datenübertragung zu koppeln.
Kraftfahrzeugnetzwerk (100) nach Anspruch 3, dadurch gekennzeichnet, dass die wenigstens eine Überwachungseinrichtung (106) ausgebildet ist, bei Feststellen der Funktionsstörung der wenigstens einen überwachten Komponente des Primärnetzes (102), die dritte Kommunikationseinrichtung (128) anzusteuern, um eine direkte Datenübertragung zwischen wenigstens einer der funktionsfähigen Komponenten des Primärnetzes (102) und wenigstens einer der funktionsfähigen Komponenten des Sekundärnetzes (104) zu ermöglichen.
Kraftfahrzeugnetzwerk (100) nach Anspruch 3 oder 4, dadurch gekennzeichnet, dass die wenigstens eine Überwachungseinrichtung (106) ausgebildet ist, bei Feststellen der Funktionsstörung der wenigstens einen überwachten Komponente des Primärnetzes (102), die dritte Kommunikationseinrichtung (128) anzusteuern, um eine Datenübertragung zwischen der wenigstens einen Komponente des Sekundärnetzes (104), die die Funktion der wenigstens einen funktionsgestörten Komponente des Primärnetzes (102) übernimmt, und wenigstens einer funktionsfähigen Komponente des Primärnetzes (102) zu ermöglichen.
Kraftfahrzeugnetzwerk (100) nach Anspruch 2, dadurch gekennzeichnet, dass die wenigstens eine Überwachungseinrichtung (106) ausgebildet ist, bei Feststellen der Funktionsstörung der wenigstens einen überwachten Komponente des Primärnetzes (102), alle Komponenten des Sekundärnetzes (104) zum Übernehmen der Funktion aller Komponenten des Primärnetzes (102) anzusteuern.
Kraftfahrzeugnetzwerk (100) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Komponenten des Sekundärnetzes (104) hinsichtlich ihrer Ausgestaltung diversitär zu den Komponenten des Primärnetzes (102) ausgebildet sind.
Kraftfahrzeugnetzwerk (100) nach einem der Ansprüche 3 bis 7, dadurch gekennzeichnet, dass das Primärnetz (102), das Sekundärnetz (104) und die dritte Kommunikationseinrichtung (128) als wenigstens eine Ringtopologie (136) angeordnet sind.
Verfahren zum Betreiben eines Kraftfahrzeugnetzwerks (100) mit -einem Primärnetz (102) wenigstens folgende Komponenten umfassend: eine erste Sensoreinrichtung (108, 302), eine erste Verarbeitungseinrichtung (110, 304), eine erste Aktoreinrichtung (112, 306), und eine erste Kommunikationseinrichtung (114, 314), die ausgebildet ist, die erste Sensoreinrichtung (108, 302), die erste Verarbeitungseinrichtung (110, 304) und die erste Aktoreinrichtung (112, 306) zur Datenübertragung miteinander zu koppeln, - einem Sekundärnetz (104) wenigstens folgende Komponenten umfassend: eine zweite Sensoreinrichtung (116, 308), eine zweite Verarbeitungseinrichtung (118, 310), eine zweite Aktoreinrichtung (120, 312), und eine zweite Kommunikationseinrichtung (122, 316), die ausgebildet ist, die zweite Sensoreinrichtung (116, 308), die zweite Verarbeitungseinrichtung (118, 310), und die zweite Aktoreinrichtung (120, 312) zur Datenübertragung miteinander zu koppeln, wobei die Komponenten des Sekundärnetzes (104) hinsichtlich ihrer Funktion redundant zu den Komponenten des Primärnetzes (102) ausgebildet sind, und -einer ersten Energieversorgungseinrichtung (124), die ausgebildet ist, nur das Primärnetz (102) mit Energie zu versorgen, und -einer zu der ersten Energieversorgungseinrichtung (124) separate zweite Energieversorgungseinrichtung (126), die ausgebildet ist, nur das Sekundärnetz (104) mit Energie zu versorgen, wobei die zweite Energieversorgungeinrichtung (126) redundant zu der ersten Energieversorgungseinrichtung (124) ausgebildet ist, folgende Schritte umfassend: a) Überprüfen, ob wenigstens eine der Komponenten des Primärnetzes (102) eine Funktionsstörung aufweist, wobei b) Für den Fall, dass das Überprüfen positiv ausfällt: Ansteuern einer der zu der wenigstens einen funktionsgestörten Komponente des Primärnetzes (102) redundant ausgebildeten Komponente des Sekundärnetzes (104) derart, dass die Komponente des Sekundärnetzes (104) die Funktion der wenigstens einen funktionsgestörten Komponente des Primärnetzes (102) übernimmt, und c) Überprüfen, ob die erste Energieversorgungseinrichtung (124) eine Funktionsstörung aufweist, wobei d) Für den Fall, dass das Überprüfen positiv ausfällt: Ansteuern aller Komponenten des Sekundärnetzes (104) zum Übernehmen der Funktion aller Komponenten des Primärnetzes (102).