DE102020005352A1

DE102020005352A1 - Verfahren zur Validierung eines neuen Software-Standes in einem redundanten System

Info

Publication number: DE102020005352A1
Application number: DE102020005352.1A
Authority: DE
Inventors: Philipp Schindler; Oliver Pöllny
Original assignee: Daimler AG
Current assignee: Mercedes Benz Group AG
Priority date: 2020-08-31
Filing date: 2020-08-31
Publication date: 2022-03-03
Also published as: JP2023539641A; CN115968343A; WO2022042923A1; KR20230043194A; EP4204969A1; US20230305832A1

Abstract

Die Erfindung betrifft ein Verfahren zur Validierung eines Software-Standes eines Fahrzeugs in einem System und ein Computerprogrammprodukt umfassend eine Codeeinrichtung, die geeignet zum Ausführen der Schritte des Verfahrens ist. Bei dem System wird die Software auf dem Fahrzeug geprüft, wobei das System das Fahrzeug entsprechend von Eingangsdaten steuert und anschließend Ausgangsdaten des Fahrzeugs aufzeichnet, und wobei in einem inaktivem Zustand des Systems ein paralleler Vergleich von jeweils nicht produktivem, alten und neuen Software-Stand erfolgt, und durch Aktivierung des Systems zu einem aktiven Zustand ein Wechsel auf den produktiven Software-Stand erfolgt.

Description

Die Erfindung betrifft ein Verfahren zur Validierung eines Software-Standes eines Fahrzeugs und ein Computerprogrammprodukt umfassend eine Codeeinrichtung, die geeignet zum Ausführen der Schritte des Verfahrens ist, wenn es auf einem Computer ausgeführt wird.
Aus der WO 2007/100292 A1 ist ein Verfahren zum Bewerten einer Anwendung zum Steuern eines Prozesses innerhalb eines Automatisierungssystems und eine Steuerung eines solchen Automatisierungssystems bekannt. Die Anwendung wird in einem Controller gespeichert, und mindestens zwei Versionen davon sind im Controller vorhanden. Das Verfahren umfasst die folgenden Schritte: Eingeben eines aus dem Prozess erhaltenen Eingangssignals in die verschiedenen Versionen der Anwendung, Ausführen von Aufgaben, die auf diesem Eingangssignal basieren, in der Steuerung für die verschiedenen Versionen, Erzeugen eines Berichts, der Vergleiche der Ausgaben aus den verschiedenen Versionen der Anwendung umfasst, und Auswerten der Version(en), die nicht zur Steuerung des Prozesses verwendet werden, basierend auf dem generierten Bericht.
Die kontinuierliche Weiterentwicklung von Software und von Systemen für automatisiertes Absichern der Software sowie das überlappende Bestehen mehrerer Generationen erhöhen den Absicherungsaufwand enorm, da die Funktionalitäten der Software bzw. des Systems sicherheitskritisch sind.
Für diese Absicherung müssen dann entsprechend Fahrzeuge vorgehalten werden auf denen die neue Software geprüft wird. Wenn ein „closed-loop System“, also ein System, welches das Fahrzeug entsprechend den Input- bzw. Eingangsdaten steuert, betrieben und getestet wird, so kann nur sehr eingeschränkt auf alte Daten und Aufzeichnungen zurückgegriffen werden und daher müssen tatsächlich neue Daten aufgenommen bzw. eingefahren werden. Dies ist mit hohen Kosten und mit relativ viel Aufwand verbunden.
Typischerweise wird versucht, Daten in der Software-Entwicklung aufzuzeichnen und bei Änderungen über die Lebensdauer mit neuer Software lediglich nach zu simulieren. Dies funktioniert solange gut, wie die Reaktion des Systems sich nicht verändert.
Die Aufgabe der hier vorliegenden Erfindung besteht darin, eine Möglichkeit bereitzustellen, einen Software-Stand zu validieren und bei einem Wechsel von Software-Ständen uneingeschränkt auf alte Daten und Aufzeichnungen zurückgreifen zu können, wobei die Kosten und der Aufwand gering gehalten werden.
Diese Aufgabe wird durch den Gegenstand der unabhängigen Patentansprüche gelöst. Vorteilhafte Ausgestaltungen und Weiterbildungen ergeben sich insbesondere aus den hiervon abhängigen Unteransprüchen.
Gemäß einem ersten Aspekt der Erfindung wird diese Aufgabe durch ein Verfahren zur Validierung eines Software-Standes eines Fahrzeugs in einem System gelöst, bei dem die Software auf dem Fahrzeug geprüft wird, wobei das System das Fahrzeug entsprechend von Eingangsdaten steuert und anschließend Ausgangsdaten des Fahrzeugs aufzeichnet, und wobei in einem inaktivem Zustand des Systems ein paralleler Vergleich von jeweils nicht produktivem, alten und neuen Software-Stand erfolgt, und durch Aktivierung des Systems zu einem aktiven Zustand ein Wechsel auf den produktiven Software-Stand erfolgt.
Es ist eine Idee der vorliegenden Erfindung bei einem Wechsel von Software-Ständen den alten Software-Stand mit dem neuen Software-Stand abzugleichen. Dabei werden vorzugsweise die Fähigkeiten zur parallelen Software-Ausführung und ein Vergleich multipler Softwarepfade verwendet, um einen alten Software-Stand gegen einen neuen Software-Stand abzugleichen.
Gemäß einem bevorzugten Ausführungsbeispiel der Erfindung wird die in einem ersten Pfad aus der Mehrzahl von Softwarepfaden die aus der Aufzeichnung der Ausgangsdaten des Fahrzeugs gewonnene Information mit einem alten Software-Stand verarbeitet.
Gemäß dem bevorzugten Ausführungsbeispiel der Erfindung wird in einem zweiten Pfad aus der Mehrzahl von Softwarepfaden basierend auf den Eingangsdaten des Fahrzeugs ein neuer Software-Stand angewendet und in einem Vergleichspfad werden Abweichungen zwischen dem alten und dem neuen Software-Stand erfasst und gespeichert. Vorzugsweise werden die Anwendung, Erfassung und Speicherung während eines Fahrzeugbetriebs in dem inaktiven Zustand des Systems ausgeführt. Insbesondere ist das System verbaut, dennoch nicht freigeschaltet, oder das System wird aktuell nicht verwendet.
Bei dem Wechsel zu dem aktiven Zustand des Systems wird der zu prüfende Softwareanteil vorzugsweise auf den Serienstand konfiguriert und das System ist nach einem vordefinierten Zeitintervall verfügbar. Im Falle von Adaptionen bestehender Algorithmen ist dieser Vorgang vorteilhafterweise schnell ausführbar, da ausschließlich die Gewichte eines neuronalen Netzes neu geladen werden müssen, was innerhalb von wenigen Sekunden durchführbar ist.
Gemäß einem anderen bevorzugten Ausführungsbeispiel der Erfindung werden Systemreaktionen des alten und des neuen Software-Standes mit der Reaktion eines Fahrers des Fahrzeugs abgeglichen. Somit wird vorteilhafterweise ein weiterer Input für „natürliches“ bzw. für korrektes Fahren bereitgestellt.
Gemäß einem zweiten Aspekt der Erfindung wird die Aufgabe durch ein Computerprogrammprodukt umfassend eine Codeeinrichtung gelöst, die geeignet zum Ausführen der Schritte eines Verfahrens nach dem ersten Aspekt der Erfindung ist, wenn es auf einem Computer ausgeführt wird.
Vorteilhafterweise werden durch die Idee der Erfindung ein alter mit einem neuen Software-Stand auf bestehender Hardware verglichen. Dies wird vorzugsweise online ausgeführt, wodurch neue Szenen geprüft werden. Hierdurch wird ein „Overfitting“ auf bestehende Daten vermieden. Darüber hinaus kann diese Absicherung mittels einer Kundenflotte realisiert werden, welche die Hardware verbaut, aber noch nicht freigeschaltet haben oder aktuell nicht verwenden.
Des Weiteren ist durch den Vergleich mit einem alten, bekannten Software-Stand direkt ein Feldvergleich mit bekannter Qualität vorhanden. Außerdem können vorzugsweise ausschließlich Abweichungen vom neuen zum alten Software-Stand übermittelt werden und damit findet eine automatische Selektion der kritischen bzw. interessanten Szenen statt.
Somit wird eine Möglichkeit bereitgestellt, einen Software-Stand zu validieren und bei einem Wechsel von Software-Ständen uneingeschränkt auf alte Daten und Aufzeichnungen zurückgreifen zu können, wobei die Kosten und der Aufwand gering gehalten werden.
Nachfolgend wird die Erfindung anhand eines bevorzugten Ausführungsbeispiels unter Bezugnahme auf die Zeichnung weiter im Detail erläutert.
Dabei zeigt:

1 eine Software-basierte Implementierung gemäß einem bevorzugten Ausführungsbeispiel der Erfindung.

In einem bevorzugten Ausführungsbeispiel der Erfindung zur Validierung eines Software-Standes eines Fahrzeugs in einem System, bei dem die Software auf dem Fahrzeug geprüft wird, erfolgt eine parallele Software-Ausführung und ein Vergleich multipler Softwarepfade, um einen alten Software-Stand gegen einen neuen Software-Stand abzugleichen. Das System steuert das Fahrzeug entsprechend von Eingangsdaten und anschließend werden Ausgangsdaten des Fahrzeugs aufgezeichnet.
In einem Pfad eines Steuergerätes wird die Information mit einem alten Software-Stand verarbeitet. Auf einem anderen Pfad aus der Mehrzahl der Softwarepfade wird basierend auf den Eingangsdaten ein neuer Software-Stand angewendet und dann werden in einem Vergleichspfad Abweichungen detektiert und gespeichert.
In dem bevorzugten Ausführungsbeispiel der Erfindung erfolgt dies während des Betriebs des Fahrzeuges, jedoch ohne aktiviertes System. Möchte der Kunde das System aktivieren, so wird der Softwareanteil, der gerade überprüft werden soll, auf den Serienstand zurückkonfiguriert und das System nach kurzer Zeit dem Fahrer des Fahrzeugs wieder bereitgestellt.
1 zeigt ein schematisches Blockschaltbild einer Software-basierten Implementierung gemäß einem anderen bevorzugten Ausführungsbeispiel der Erfindung. Gemäß diesem bevorzugten Ausführungsbeispiel der Erfindung umfasst die bereitgestellte Einheit 1 eine Verarbeitungseinheit 2, auch als Processing Unit (PU) bezeichnet, die auf einem einzelnen Chip oder auf einem Chipmodul bereitgestellt wird. Die Verarbeitungseinheit 2 umfasst jegliche Prozessoreinheit oder jegliche Computereinheit, die eine Steuereinheit umfasst, welche eine Steuerung mithilfe von Software-Routinen eines Steuerprogramms ausführt, wobei die Software-Routinen in einer Speichereinheit 3, auch als Memory (MEM) bezeichnet, gespeichert sind. Programmcodeanweisungen werden von der MEM 3 geholt und in die Steuereinheit der PU 2 geladen, um die einzelnen Verfahrensschritte des erfindungsgemäßen Verfahrens auszuführen. Die Verarbeitungsschritte der Blöcke 1 und 2 können auf der Basis von Eingangsdaten, auch als Data Input (DI) bezeichnet, ausgeführt werden und können Ausgangsdaten, auch als Data Output (DO) bezeichnet, erzeugen, wobei die Eingangsdaten DI Daten oder Signalen entsprechen, die kommuniziert und/oder erfasst wurden, und die Ausgangsdaten DO können Daten oder Signalen entsprechen, die mit anderen Einheiten kommuniziert werden oder kommuniziert werden sollen.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

WO 2007/100292 A1 [0002]

Claims

Verfahren zur Validierung eines Software-Standes eines Fahrzeugs in einem System, bei dem die Software auf dem Fahrzeug geprüft wird, wobei das System das Fahrzeug entsprechend von Eingangsdaten steuert und anschließend Ausgangsdaten des Fahrzeugs aufzeichnet dadurch gekennzeichnet, dass in einem inaktivem Zustand des Systems ein paralleler Vergleich von jeweils nicht produktivem, alten und neuen Software-Stand erfolgt, und durch Aktivierung des Systems zu einem aktiven Zustand ein Wechsel auf den produktiven Software-Stand erfolgt.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass in einem ersten Pfad aus der Mehrzahl von Softwarepfaden die aus der Aufzeichnung der Ausgangsdaten des Fahrzeugs gewonnene Information mit einem alten Software-Stand verarbeitet wird.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass in einem zweiten Pfad aus der Mehrzahl von Softwarepfaden basierend auf den Eingangsdaten des Fahrzeugs ein neuer Software-Stand angewendet wird und in einem Vergleichspfad Abweichungen zwischen dem alten und dem neuen Software-Stand erfasst und gespeichert werden.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die Anwendung, Erfassung und Speicherung während eines Fahrzeugbetriebs in dem inaktiven Zustand des Systems ausgeführt werden.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass bei dem Wechsel zu dem aktiven Zustand des Systems der zu prüfende Softwareanteil auf den Serienstand konfiguriert wird und das System nach einem vordefinierten Zeitintervall verfügbar ist.
Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass Systemreaktionen des alten und des neuen Software-Standes mit der Reaktion eines Fahrers des Fahrzeugs abgeglichen werden.
Computerprogrammprodukt umfassend eine Codeeinrichtung, die geeignet zum Ausführen der Schritte eines Verfahrens nach einem der Ansprüche 1 bis 6 ist, wenn es auf einem Computer ausgeführt wird.