-
Die Erfindung betrifft ein Verfahren zur Verwendung der Fehlerfortpflanzung hinsichtlich an das System gestellte Anforderungen (Requirements). Die nachfolgende Betrachtung ist auf die Systementwicklung von komplexen technischen Systemen, insbesondere auf Steuerungssysteme von Fahrzeugen, bezogen, lässt sich jedoch allgemein auf die Entwicklung von (eingebetteten) Systemen übertragen.
-
Im Rahmen der Entwicklung von Steuerungen für Fahrzeuge ist ein wichtiger Aspekt die Umsetzung der funktionalen Sicherheit. Die funktionale Sicherheit dient dazu, die Sicherheit von technischen Systemen zu erhöhen, um das Risiko beim Einsatz der Systeme zu reduzieren. Für Fahrzeuge, die auf der Straße betrieben werden ist die funktionale Sicherheit nach ISO 26262 geregelt.
-
Zusätzlich werden durch die Entwicklungstendenz hin zum autonom fahrenden Fahrzeug die Anforderungen an die funktionale Sicherheit drastisch erhöht. Wo bisher oft der Fahrer in sicherheitsrelevanten Situationen die letzte Entscheidung zu treffen hatte, verlagert sich diese Entscheidung durch den Einsatz zahlreicher Fahrerassistenzsysteme immer mehr hin zum Fahrzeug, beziehungsweise der Fahrzeugsteuerung selbst.
-
Ein weiterer wichtiger Aspekt ist, dass bei der Umsetzung der funktionalen Sicherheit bisher der Fokus darauf liegt, beim Erkennen eines Fehlerfalls des Systems das System inaktiv zu schalten („fail-safe“). Jedoch bei Systemen für autonom fahrende Fahrzeuge ist es verstärkt notwendig, eine deutlich komplexere Fehlerreaktion umzusetzen, um den risikoärmsten Zustand des Fahrzeugs zu erreichen („fail-operational“).
-
Die an das System gestellten Anforderungen (Requirements) werden zum einen während des Entwicklungsprozesses, z.B. hierarchisch oder entlang des Wirkflusses d. h. an den für das jeweilige System charakteristischen Übertragungs-funktionen heruntergebrochen und detailliert. Zum anderen können sich die Anforderungen durch Ereignisse wie eine Gesetzesänderung oder eine nachträgliche Verbesserung bzw. Update ändern.
-
Zur Umsetzung der Anforderungen, die in ISO 26262 an den Entwicklungsprozess gestellt werden, wird dieser oft nach den Vorgaben aus „ISO 15288 - Systems and Software Engineering“ strukturiert. Einen wichtigen Aspekt im Rahmen des Systems Engineering stellen dabei die Prozesse dar, die sich mit Requirements Engineering beschäftigen.
-
Eine Art von Anforderungen bezieht sich auf die Genauigkeit von Signalen. Die geforderte Signalgenauigkeit verändert sich im System mit dem Detaillieren der Anforderungen. Die einzelnen Genauigkeitsanforderungen an die Signale sind nicht voneinander unabhängig, sondern beeinflussen sich durch die physikalischen Zusammenhänge im System gegenseitig entlang der Kette der Systemwirkungen (Wirkkette).
-
Diese Abhängigkeit der Signalgenauigkeiten muss im Rahmen des Requirements Engineering bzw. Gesamtsystemkonzept berücksichtigt werden, um die geforderten Genauigkeiten an den entsprechenden Stellen richtig zu ermitteln.
-
Im Rahmen der Funktionalitäten, die auf Steuergeräten eines Steuersystems, insbesondere Motor- und Antriebssteuergeräten eines Kraftfahrzeug-Steuersystems, gerechnet und durchgeführt werden, werden zahlreiche Signale verarbeitet. Diese Signale können zum Beispiel zwischen einzelnen Steuergeräten oder Software-Komponenten kommuniziert werden. Für die diese Signale konsumierenden Signalverarbeitungs-Komponenten kann dabei auch eine Anpassung oder Adaptierung des Signals von Vorteil sein, insbesondere um die Qualität, beziehungsweise Signalgenauigkeit, mit der ein Steuersignal verfügbar ist, zu gewährleisten.
-
Beispielsweise kann bei der Erfassung eines Sensorsignals dieses unter verschiedenen Betriebsbedingungen mit unterschiedlicher Signalgenauigkeit von einem Sensor zur Verfügung gestellt werden. Beispielsweise hängt bei einer Lambda-Sonde die Genauigkeit des ermittelten Wertes von der Betriebstemperatur des Sensors ab. Auch bei der Übertragung von Signalen zwischen zwei Steuergeräten hängt die Qualität beziehungsweise Signalgenauigkeit des übertragenen Signals vom Zustand der Kommunikation zwischen den Steuergeräten ab.
-
Im Rahmen des Requirements Engineering werden die Anforderungen an Signalgenauigkeiten von den Ingenieuren ermittelt und über das System berechnet. Diese Arbeit erfolgt oft parallel bzw. unabhängig zur Entwicklung der Systemarchitektur und ist mit viel zusätzlicher Aufwand bzw. Zeitverzögerung verbunden.
-
Für zukünftige funktionale Sicherheitskonzepte, insbesondere für immer höher automatisierte Systeme, wird es zudem nötig sein, Fehler nicht nur zu erkennen, sondern auch qualitative Aussagen über den Fehlerfall zu treffen, sowie quantitative Aussagen über die Auswirkungen des Fehlers machen zu können und die Fehlerreaktion des Fahrzeugs an den entsprechenden Fehler anzupassen.
-
Durch physikalischen Zusammenhänge des Systems werden die Freiheiten, die sich für einzelne Signalgenauigkeiten ergeben, sichtbar gemacht. Hierfür müssen die Fehlerfortpflanzung und die Fehlerfortpflanzungskette bestimmt werden, so dass die physikalischen Zusammenhänge dann für die Gesamtermittlung der Genauigkeitsanforderungen verwendet werden können.
-
Die Verwendung von Genauigkeitsanforderungen im Rahmen des funktionalen Sicherheitskonzeptes kann zu einer deutlich reduzierten Anzahl der auszuwertenden systemübergreifenden Informationen, die für die Entscheidung über die Aktivierung einer Überwachungsfunktion herangezogen werden müssen, führen, da alle Anforderungen, z.B. über die Fehlerfortpflanzung, in der Genauigkeitsanforderung ausgedrückt werden können. Dadurch wird eine deutlich bessere Kapselung von einzelnen Funktionalitäten ermöglicht und der Wartungsaufwand bei Systemänderungen entsprechend gesenkt. Des Weiteren ermöglicht die Kommunikation über Genauigkeitsanforderungen eine deutlich gezieltere Entscheidung über die Aktivierung von Überwachungsfunktionen.
-
Die konsumierenden Funktionen können über die Übermittlung von Genauigkeitsanforderungen außerdem eine deutlich höherwertige Information zur Verfügung stellen, da nicht nur Zustände definiert werden, in denen eine Überwachungsfunktion aktiviert bzw. deaktiviert wird, sondern quantitative Werte als Entscheidungskriterium zur Verfügung gestellt werden.
-
Es ist Aufgabe der vorliegenden Erfindung, die funktionale Sicherheit bei Fahrzeugen zu erhöhen durch die Bestimmung der Genauigkeitsanforderungen an Signale, anhand der automatisierten Berechnung der Fehlerfortpflanzung welche eine Vielzahl von Sensoren ausweisen und unter Berücksichtigung von Genauigkeitsanforderungen für das Gesamtsystem.
-
Die Aufgabe wird in einem ersten Aspekt durch ein Verfahren zur Verwendung von Genauigkeitsanforderungen um die benötigten Genauigkeiten der Signale an allen Stellen des Systems über die physikalischen Zusammenhänge zu berechnen.
-
In eine weitere Ausführung wird der Einfluss einzelner Genauigkeiten auf das Gesamtsystem berechnet.
-
Die obige Aufgabe wird in einem weiteren Aspekt durch eine Echtzeit-Berechnung der benötigten Genauigkeiten der Signale und der Einfluss einzelner Genauigkeiten auf das Gesamtsystem gelöst.
-
Es zeigen:
- 1 ein schematisiertes Blockschaltbild diverser Funktionsblöcke zur Berechnung eines Gesamt-Genauigkeitssignals aus mehreren einzelnen Genauigkeitssignalen;
- 2 ein schematisiertes Blockschaltbild der Wertung von Genauigkeitsanforderungen;
- 3 ein schematisiertes Bild von dem Aufbau eines Anforderungsprofils;
- 4 ein Flussdiagramm zur Bestimmung von Genauigkeitsanforderungen.
-
1 zeigt ein schematisiertes Blockschaltbild diverser Funktionsblöcke zur Durchführung eines oben erläuterten Verfahrens zur Vereinheitlichung der Genauigkeitsanforderungen für eine oder mehrere, das Steuersignal empfangende, konsumierende Signalverarbeitungs-Komponenten eines Steuersystems unter Berücksichtigung von Signalgenauigkeiten und einzelne Genauigkeitsanforderungen. Ein solches System wäre z.B. für Kraftfahrzeuge von Relevanz.
-
Die in der 1 dargestellten Funktionsblöcke sind beispielsweise Bestandteil einer Implementierung innerhalb des Steuersystems, oder sind über kommunizierende Steuersysteme verteilt.
-
Zunächst werden mehrere Steuersignale 1a und 1b einer bestimmten Art sowie mehrere Genauigkeitssignale 2a und 2b erzeugt. Dies geschieht in der Sphäre einer Signalerzeugungs-Komponente I des Steuersystems. Die jeweiligen Genauigkeitssignale 2a und 2b repräsentieren jeweils eine Signalgenauigkeit der korrespondierenden Steuersignale 1a und 1b. Das bedeutet, dass das Genauigkeitssignal 2a eine Signalgenauigkeit des Steuersignals 1a repräsentiert, während das Genauigkeitssignal 2b eine Signalgenauigkeit des Steuersignals 1b repräsentiert.
-
Die Signalerzeugungs-Komponente I arbeitet beispielsweise als Auswerte-Einheit zur Auswertung von Messsignalen, die über mehrere Messsignal-Erzeugungseinheiten erzeugt werden, wobei die Signalerzeugungs-Komponente I aus den erfassten Messsignalen jeweils die Steuersignale 1a und 1b sowie deren Genauigkeitssignale 2a und 2b ableitet. Die 1 zeigt beispielhaft die Ermittlung einer Motoröltemperatur, wobei zum Beispiel ein Temperatursensor als erste Messsignal-Erzeugungseinheit und ein System-Modell als zweite Messsignal-Erzeugungseinheit Anwendung finden. Der Temperatursensor erzeugt ein erstes Messsignal und das System-Modell erzeugt ein zweites Messsignal. Somit stehen zwei Signalquellen zur Verfügung, die jeweils ein alternatives Messsignal einer bestimmten Art (hier zur Bestimmung der Motoröltemperatur) bereitstellen. Die Signalerzeugungs-Komponente I erzeugt aus dem ersten Messsignal des Temperatursensors das erste Steuersignal 1a und aus dem Messsignal des System-Modells das zweite Steuersignal 1b. Beispielsweise werden die jeweiligen Steuersignale 1a und 1b als Temperatursignale aus elektrischen Spannungssignalen des Temperatursensors, beziehungsweise des System-Modells gewonnen.
-
Zusätzlich erzeugt die Signalerzeugungs-Komponente I in Abhängigkeit vom Messsignal des Temperatursensors beziehungsweise in Abhängigkeit von einem Zustand oder von einem Verhalten des Temperatursensors das erste Genauigkeitssignal 2a, während die Signalerzeugungs-Komponente I in Abhängigkeit vom Messsignal des System-Modells beziehungsweise in Abhängigkeit von einem Zustand oder von einem Verhalten des System-Modells das zweite Genauigkeitssignals 2b erzeugt. Eine jeweilige Erzeugung der Genauigkeitssignale 2a und 2b erfolgt zum Beispiel aufgrund einer Kenntnis eines Zustands oder eines Verhaltens des Temperatursensors beziehungsweise des System-Modells durch die Signalerzeugungs-Komponente I. Zum Beispiel kann ein Genauigkeitssignal 2a beziehungsweise 2b aus einem Kennlinienverhalten des Temperatursensors beziehungsweise des System-Modells gewonnen werden, das der Signalerzeugungs-Komponente I bekannt ist. Weist der Temperatursensor beispielsweise in einem ersten Arbeitspunkt eine Messgenauigkeit mit einer Bandbreite von +/- 5 % auf und in einem anderen Arbeitspunkt eine Messgenauigkeit mit einer Bandbreite von +/- 10 %, so kann die Signalerzeugungs-Komponente I das Genauigkeitssignal ermitteln, je nachdem, ob sich der Sensor im ersten Arbeitspunkt oder im zweiten Arbeitspunkt befindet. Entsprechendes gilt für das System-Modell.
-
Anschließend erfolgt eine Evaluierung der beiden Genauigkeitssignale 2a und 2b hinsichtlich ihrer Signalgenauigkeiten. Dies geschieht in der Sphäre einer Evaluierungs-Komponente II des Steuersystems. Hierzu ist ein Evaluierungs-Block 5 innerhalb der Evaluierungs-Komponente II eingerichtet, dem die von der Signalerzeugungs-Komponente I erzeugten Genauigkeitssignale 2a und 2b übergeben werden.
-
Beispielsweise beschreibt das Genauigkeitssignal eine Bandbreite oder Varianz des Steuersignals, z.B. eine mögliche Abweichung in % von einem erwarteten Wert des Steuersignals. Das Genauigkeitssignal kann für unterschiedliche Werte des Steuersignals unterschiedliche Werte annehmen. Beispielsweise kann das Genauigkeitssignal eine unterschiedliche Bandbreite des Steuersignals für unterschiedliche Werte des Steuersignals repräsentieren.
-
Die Entscheidung des Evaluierungs-Blocks 5 steuert jeweils einen Umschalter 6a und einen Umschalter 6b. In Abhängigkeit von einer Entscheidung des Evaluierungs-Blocks 5 wird durch den Umschalter 6a entweder das Steuersignal 1a, gewonnen aus dem Temperatursensor, ausgewählt oder das Steuersignal 1b, gewonnen aus dem System-Modell, ausgewählt. In der 1 ist beispielhaft dem Umschalter 6a das Steuersignal 1a für eine weitere Verarbeitung ausgewählt. Dadurch wird das Steuersignal 1a als ausgewähltes Steuersignal 3 einer oder mehreren, das Steuersignal 3 konsumierenden Signalverarbeitungs-Komponenten III übergeben. Alternativ oder zusätzlich, kann auf Basis von einem fehlerhaften Signalwert und einem Genauigkeitssignal eine angepasste Fehlerreaktion ausgelöst werden.
-
In Abhängigkeit von einer Entscheidung des Evaluierungs-Blocks 5 wird im Umschalter 6b entweder das Genauigkeitssignal 2a, das die Signalgenauigkeit des Steuersignals 1a repräsentiert, ausgewählt oder das Genauigkeitssignal 2b, das eine Signalgenauigkeit des Steuersignals 1b repräsentiert, ausgewählt. In der 1 ist beispielhaft das Genauigkeitssignal 2a ausgewählt. Dieses wird nachfolgend als ausgewähltes Genauigkeitssignal 4 der Sphäre der einen oder mehreren, das Genauigkeitssignal konsumierenden Signalverarbeitungs-Komponenten III übergeben. Die Signalverarbeitungs-Komponenten III können im weiteren Betrieb des Steuersystems das Steuersignal 3 und das zugehörige Genauigkeitssignal 4 weiterverarbeiten. Hierbei wird die Adaption des Steuersignals 3 unter Berücksichtigung des Genauigkeitssignals 4 erfolgen. Das Genauigkeitssignal untersteht einer laufenden oder ständigen Überprüfung, und bei Vorliegen der Bedingungen für eine Adaption des Steuersignals wird ein Adaptionsvorgang durchgeführt. Wird die Motoröltemperatur nicht über einen Sensor ermittelt, sondern über ein Modell, z.B. auf Basis eines empirischen Modells, können analog die Modelldaten adaptiert werden.
-
Der Zustand oder das Verhalten der Messsignal-Erzeugungseinheit ist für die Signalerzeugungs-Komponente zum Erzeugen des Genauigkeitssignals entweder zugänglich oder der Signalerzeugungs-Komponente bekannt. Beispielsweise kann die Signalerzeugungs-Komponente aus einer ihr bekannten Kennlinie eines verwendeten Sensors ein bestimmtes Verhalten des Sensors oder einen bestimmten Zustand des Sensors an einem bestimmten Arbeitspunkt und damit einhergehend auch eine bestimmte Messgenauigkeit bzw. Messungenauigkeit des Sensors entnehmen. In dem Falle, dass die Messsignal-Erzeugungseinheit ein Sensor-Modell oder ein System-Modell ist, kann die Signalerzeugungs-Komponente z.B. aus ihr bekannten Modell-Größen oder Modell-Parametern ein bestimmtes Verhalten oder einen bestimmten Zustand des Sensor-Modells oder des System-Modells und damit einhergehend auch eine bestimmte Messgenauigkeit bzw. Messungenauigkeit, Störgrößenverhalten, usw. entnehmen. Dieser Zustand beziehungsweise dieses Verhalten der Messsignal-Erzeugungseinheit wird dann einerseits für die Erzeugung des Steuersignals aus dem von der Messsignal-Erzeugungseinheit gelieferten Messsignal herangezogen und andererseits für die Erzeugung des parallel erzeugten Genauigkeitssignals herangezogen, das eine Signalgenauigkeit des Steuersignals repräsentiert.
-
Das Genauigkeitssignal kann entsprechend geändert oder angepasst werden abhängig davon, ob sich das Messsignal beziehungsweise der Zustand oder das Verhalten der Messsignal-Erzeugungseinheit über die Zeit ändert. Verändert sich beispielsweise die Betriebstemperatur an einem Sensor, der ein temperaturabhängiges Verhalten zeigt, so ändert sich auch der Zustand beziehungsweise das Verhalten des Sensors, was Auswirkungen auf das von dem Sensor gelieferte Messsignal hat. Beispielsweise steigt ein vom Sensor geliefertes Spannungssignal proportional mit einer ansteigenden Temperatur am Sensor an. Ferner ist denkbar, dass der Sensor eine von der Temperatur abhängige Messgenauigkeit aufweist. Mit zunehmender Temperatur verändert sich somit auch die Signalgenauigkeit des vom Sensor gelieferten Messsignals und damit konsequenterweise die Signalgenauigkeit des aus dem Messsignal ermittelten Steuersignals. Diese Änderung der Signalgenauigkeit wird durch die Signalerzeugungs-Komponente bei der Erzeugung des Genauigkeitssignals erfasst und berücksichtigt. Auf diese Weise kann ein Genauigkeitssignal erzeugt werden, das sich mit einem zeitlich veränderlichen Verhalten des Sensors entsprechend ändert. Das Genauigkeitssignal spiegelt somit eine durch ein zeitlich veränderliches Sensorverhalten ausgelöste veränderte Signalgenauigkeit des Steuersignals wider. Diese Information kann zur Bestimmung von geeigneten Zeitpunkten zur Durchführung eines Adaptionsvorgangs verwendet werden.
-
Hat sich z.B. während des Betriebs die Genauigkeit eines Temperatursensors aufgrund der vorherrschenden Betriebsbedingungen verschlechtert, so kann die Sensorkennlinie adaptiert werden, sofern ein weiterer Wert vorhanden ist, der eine Information über die Temperatur zur Verfügung stellt.
-
Die Adaption der Signale kann, abhängig von der jeweiligen Genauigkeit, in beide Richtungen durchgeführt werden.
-
Auch kann die Signalerzeugungs-Komponente einen Zustand oder ein Verhalten einer Signalübertragung zwischen der Signalerzeugungs-Komponente und der einen oder den mehreren, das Steuersignal konsumierenden, Signalverarbeitungs-Komponenten überwachen. Dabei erzeugt die Signalerzeugungs-Komponente das Genauigkeitssignal in Abhängigkeit vom Zustand oder vom Verhalten der Signalübertragung.
-
Die Signalübertragung kann beispielsweise vermittels eines Steuer-Busses, wie eines CAN-Busses oder sonstigen Feldbusses, oder vermittels eines oder mehrerer Netzwerke erfolgen. Beispielsweise ist die Signalerzeugungs-Komponente in einem ersten Steuergerät des Steuersystems eingerichtet, während die eine oder die mehreren Signalverarbeitungs-Komponenten in einem zweiten Steuergerät eingerichtet sind. Dazwischen erfolgt die Signalübertragung über einen oder mehrere der genannten Übertragungswege.
-
In diversen Implementierungen des Verfahrens werden mehrere Steuersignale und mehrere Genauigkeitssignale einer bestimmten Art von der Signalerzeugungs-Komponente oder von mehreren Signalerzeugungs-Komponenten erzeugt. Dabei kann jeweils ein Genauigkeitssignal zu einem Steuersignal korrespondieren, oder ein Genauigkeitssignal kann zu mehreren Steuersignalen korrespondieren.
-
Anhand von 2 werden die Möglichkeiten zur Vereinheitlichung eine Vielzahl von Genauigkeitsanforderungen an Steuersignale (1a, 1b) für eine oder mehrere, das Steuersignal (1a, 1b) konsumierende, Signalverarbeitungs-Komponenten (III) eines Steuersystems unter Berücksichtigung einen physikalischen Zusammenhang graphisch dargestellt.
-
Wird im Rahmen des Requirements Engineering die Übertragungsfunktion eines Systems aus der Systemarchitektur zur Verfügung gestellt, so kann z. B. für das Subsystem „Getriebe“ anhand der Übertragungsfunktion die Genauigkeit des ermittelten Drehmomentwertes an der Getriebeabtriebsseite abhängig von der Genauigkeit des Drehmomentwertes an der Getriebeantriebsseite und der Genauigkeit des Getriebeübersetzungswertes über die Fehlerfortpflanzung direkt berechnet werden. Neben der Bestimmung einzelner Genauigkeitswerte werden über die physikalischen Zusammenhänge des Systems außerdem die Freiheiten, die sich für einzelne Signalgenauigkeiten ergeben, sichtbar. Hierfür muss die um die Fehlerfortpflanzungskette angereicherte Requirements Engineering für ein System zusammen mit der Architektur-Entwicklung für das System bearbeitet werden, so dass die Wirkflüsse durch das System, beziehungsweise die physikalischen Zusammenhänge, direkt für die Ermittlung der Genauigkeitsanforderungen verwendet werden können.
-
Der physikalische Zusammenhang zwischen Abtriebs-Drehmoment (MAb, 230) und Antriebs-Drehmoment (Man, 210) ergibt sich abhängig von der Übersetzung (i, 220) nach folgender Formel:
-
Wenn die Anforderung an die Genauigkeit des Abtriebs-Drehmoments (Output_Torque) 5 % ist, dann ergeben sich daraus die abgeleiteten Anforderungen an die Genauigkeit des Antriebs-Drehmoments und die Genauigkeit der Übersetzung.
-
Unter der Annahme, dass die Genauigkeiten der beiden Größen unabhängig voneinander sind, können diese nach folgender Formel über die Berechnung der Fehlerfortpflanzung ermittelt werden:
-
Liegt die Genauigkeit des Antriebs-Drehmoments (Input_Torque) bei 3 %, so ergibt sich aus der Berechnung der Fehlerfortpflanzung für die Genauigkeitsanforderung an die Übersetzung (Ratio) aus der Berechnung der Fehlerfortpflanzung 4 %.
-
Bei der stark steigenden Anzahl an Systemvarianten bspw. in der Automobilindustrie entsteht dadurch ein deutlicher Mehrwert. Wenn z.B. kein konventioneller Antriebsstrang mit Verbrennungsmotor im Fahrzeug verwendet wird, sondern ein Hybrid-Antrieb, bei dem zwischen Getriebe und Verbrennungsmotor noch eine Elektromaschine verbaut ist, kann es sein, dass eine Getriebeüberwachungsfunktion nicht benötigt wird, obwohl ein Automatikgetriebe verbaut ist, da die dazwischenliegende Elektromaschine die Information für den Verbrennungsmotor bereits genau genug ermittelt.
-
Die Schritte aus 2 müssen nicht sequenziell abgearbeitet werden, und es kann von Vorteil sein, wenn mehrere oder alle Schritte parallel ablaufen.
-
3 veranschaulicht die Auswirkung und Wechselwirkung von gewertete Signaleingänge und Genauigkeitssignale, die als Abhängigkeitsdiagramm dargestellt wird. Das maschinenlesbares Anforderungsprofil (320) ist von einer Vielzahl von Parameter der Anforderungen (310, 311, 312, 315) abhängig. Das Profil wird automatisiert aus die physikalischen Zusammenhänge, die für die Bestimmung der Genauigkeitsanforderungen verwendet werden, ermittelt.
-
Anhand von 4 wird ein Ausführungsbeispiel zur Bestimmung der Genauigkeitsanforderungen an Signale 450 veranschaulicht. Notwendige Daten sind ein maschinenlesbares Anforderungsprofil 410 sowie die Genauigkeitsanforderungen für das Gesamtsystem 420. Die Fehlerfortpflanzungsberechnung 430 wird anhand von den Übertragungsfunktionen 440 ausgeführt. Hiermit kann z. B. für das Subsystem „Getriebe“ anhand der Übertragungsfunktion die Genauigkeit des ermittelten Drehmomentwertes auf der Getriebeabtriebsseite abhängig von der Genauigkeit des Drehmomentwertes an der Getriebeantriebsseite und der Genauigkeit des Getriebeübersetzungswertes über die Fehlerfortpflanzung direkt berechnet werden.
-
Neben der Bestimmung einzelner Genauigkeitswerte können, in einer weiteren Ausführungsform, über die physikalischen Zusammenhänge des Systems die Freiheiten, die sich für einzelne Signalgenauigkeiten ergeben, festgestellt werden.
-
In einer Ausführungsform können die Genauigkeitsanforderungen während des Betriebs laufend oder anhand bestimmten Ereignisse angepasst werden. Die Genauigkeitsanforderungen können anhand eines funktionalen Sicherheitsprofils festgelegt werden, oder aber durch eine Tabelle mit Zustände und entsprechende Übertragungsfunktionen. Die Anpassung der Genauigkeitsanforderung könnte anhand eines Betriebsmodus festgelegt werden, oder aber anhand eines vorübergehenden Betriebsmodus, welches die Fehlerfortpflanzung bestimmt. Als Beispiel könnte der Betriebsmodus ein OTA („Over the Air“) Software-Update sein.
-
Als weiteres Beispiel könnte ein Ereignis das Zufügen oder Entfernen oder Austauschen einer Systemkomponente sein.
-
Im Falle eines Fahrzeuges könnte ein Getriebe ersetzt werden, wodurch die Übertragungsfunktion oder bestimmte Anforderungen sich ändern. Demnach müssen sämtliche Genauigkeitsanforderungen angepasst werden, welches anhand des Systems von 4 erfolgen könnte.
-
Eine Genauigkeitsanforderung an ein Signal kann z.B. durch eine Anforderung an ein Gesamtsystem, eine verbesserte Genauigkeit zu liefern, bestimmt werden. Eine Anpassung der Genauigkeitsanforderung könnte auch durch die Verwendung eines anderen Sensorfusion Konzepts herbeigerufen werden, oder durch ein geändertes Verfahren um Umgebungszustände zu berechnen, oder durch eine Kombination aus mehreren Gründen. Eine geänderte Genauigkeitsanforderung an einen Signalwert kann für eine begrenzte Zeit eine erhöhte Anforderung darstellen, oder für länger oder fortwährend.
-
Ebenso könnten der Möglichkeit, eine Übertragungsfunktion anzupassen oder zu ändern, Grenzen gesetzt werden durch Limitierungen an die Genauigkeitsanforderungen. Insbesondere bei sicherheitskritischen Systemen könnten bestimmten Übertragungsfunktionen wegen dadurch entstehenden Genauigkeitsanforderungen ausgeschlossen sein. Wenn eine höhere Genauigkeit gefordert werden müsste, als ein Sensor oder Signalgeber liefern kann, dann ist eine solche Übertragungsfunktion deshalb nicht zulässig.
-
Bei der stark steigenden Anzahl an Systemvarianten bspw. in der Automobilindustrie entsteht durch die automatisierte Bestimmung von Genauigkeitsanforderungen ein deutlicher Mehrwert. Wenn z.B. kein konventioneller Antriebsstrang mit Verbrennungsmotor im Fahrzeug verwendet wird, sondern ein Hybrid-Antrieb, bei dem zwischen Getriebe und Verbrennungsmotor noch eine Elektromaschine verbaut ist, dann müssen die Genauigkeitsanforderungen für sämtliche Signalen bei jeder Systemänderung angepasst werden.
