-
Die vorliegende Erfindung betrifft ein Steuergerät mit der Möglichkeit einer Fehlerabschaltung, ein Verfahren zum Betreiben eines solchen Steuergeräts sowie ein Computerprogramm zu dessen Durchführung.
-
Stand der Technik
-
Bei Steuergeräten wie sie insbesondere in Fahrzeugen bzw. Kraftfahrzeugen zum Einsatzkommen, dort meist in deren Mikrocontroller, kann ein sog. „Error Management Module“ (EMM) vorgesehen sein, mit dem Fehler, die während des Betriebs des Steuergeräts auftreten bzw. auftreten können, verwaltet werden. Hierbei kann z.B. für bestimmte Fehler eine bestimmte Reaktion vorgegeben werden. Typische Fehler, die an dieses Modul gemeldet werden können, sind z.B. solche aus einer Überspannungsüberwachung des Mikrocontrollers, Lockstepfehler oder sog. „Error Correction Code“-Fehler.
-
Ein solches Modul kann als Reaktion einen, zu einem externen Watchdog (vgl. hierzu auch das sog. 3-Ebenen-Überwachungskonzept), redundanten, schnelleren Abschaltpfad ansteuern, um somit je nach Anwendung z.B. momentengebende Endstufen z.B. für Einspritzung, Drosselklappe, oder sicherheitsrelevante Kommunikation (z.B. berechneter Momentenwunsch, Starteranforderung) abzuschalten. Zusätzlich können Verfügbarkeitsmaßnahmen wie z.B. ein Reset oder NMI (Non Maskable Interrupt) konfiguriert werden.
-
Hierzu ist im Steuergerät bzw. am Mikrocontroller typischerweise eine (physische) Fehlerabschaltschnittstelle bzw. ein sog. „Errorpin“ vorgesehen, der bei Bedarf aktiviert wird, wodurch dann eine entsprechende Komponente wie z.B. eine Endstufe, abgeschaltet wird.
-
Außerdem kann für aus einer Software (die auf dem Steuergerät läuft) heraus erkannte Fehler eine Reaktion dieses Moduls angefordert werden. Hierfür kann eine Softwareabstraktionsschicht vorgesehen sein, um verschiedene Software-Anforderungen zu koordinieren und um zu verhindern, dass einzelne Software-Anteile die Fehlerabschaltschnittstelle bzw. den Errorpin ungewollt freigeben können, was zu einem nicht plausiblen Zustand führen könnte.
-
Bei einem typischen Steuergerät kann eine Funktionalität bzw. Anwendung, die bereitgestellt wird, z.B. nur vollständig auf Steuergeräteebene abgeschaltet werden. So kann z.B. in einem dedizierten Benzin-Motorsteuergerät die Brennkraftmaschine gestoppt werden, indem über die Fehlerabschaltschnittstelle die Einspritzung und die Drosselklappe abgeschaltet werden. Beispielsweise ist in der
DE 10 2015 213 831 A1 beschrieben, bei einem Motorsteuergerät eine Endstufe für ein Druckregelventil und eine Ansteuerschaltungen für Injektoren abzuschalten.
-
In Steuergeräten, die mehrere Anwendungen bereitstellen, z.B. ein Motor- und Getriebesteuergerät, ist die Unabhängigkeit einer Anwendung noch weiter eingeschränkt, da die Fehlerabschaltschnittstelle alle sicherheitsrelevanten Endstufen (z.B. für die Einspritzung des Motorsteuergeräts und die Ventilansteuerung des Getriebesteuergeräts) abschaltet, obwohl der Fehler z.B. nur im Ansteuerpfad des Motorsteuergeräts vorliegt. Beide Szenarien führen zu einer Einschränkung der Verfügbarkeit bis hin zu einem Liegenbleiber.
-
Zusätzlich ist das Hardwarelayout in einem Steuergerät in aller Regel festgelegt und kann nachträglich nicht geändert werden. Stellt ein Steuergerät mehrere Anwendungen bereit, müssen diese konkret an die vorhandenen Fehlerabschaltschnittstellen angepasst werden. Somit ist eine Verschiebung einer Anwendung auf ein anderes Steuergerät mit unterschiedlicher Hardwarebeschaltung (der grundsätzliche Abschaltpfad ist dennoch gleich) nicht ohne Anpassung möglich.
-
Offenbarung der Erfindung
-
Erfindungsgemäß werden ein Steuergerät, ein Verfahren zum Betreiben eines Steuergeräts sowie ein Computerprogramm zu dessen Durchführung mit den Merkmalen der unabhängigen Patentansprüche vorgeschlagen. Vorteilhafte Ausgestaltungen sind Gegenstand der Unteransprüche sowie der nachfolgenden Beschreibung.
-
Die Erfindung beschäftigt sich mit einem Steuergerät bzw. dessen Betrieb. Ein solches Steuergerät, insbesondere dessen Mikrocontroller, weist mehrere (physische) Fehlerabschaltschnittstellen, die schon erwähnten „Errorpins“, auf, mittels welcher, bei Aktivierung, jeweils wenigstens eine mittels des Steuergeräts anzusteuernde Komponente abschaltbar ist. Bei den Komponenten kann es sich insbesondere um eine in dem Steuergerät vorhandene Einrichtung wie eine Ansteuerschaltung (z.B. ASIC), Endstufe usw. handeln, denkbar ist aber auch, dass damit eine externe, an das Steuergerät - und dort dann auch an die Fehlerabschaltschnittstelle - angebundene Komponente handelt.
-
Das Steuergerät ist dazu eingerichtet, eine oder mehrere verschiedene Anwendungen auszuführen, die jeweils dazu eingerichtet sind, bei Bedarf eine Fehlerabschaltung auszulösen. Solche Anwendungen können einen Software-Teil umfassen, der z.B. speziell für den Betrieb einer bestimmten Komponente oder Einheit in einem Fahrzeug vorgesehen ist, wie z.B. eine Brennkraftmaschine, eine elektrische Maschine oder ein Getriebe. Sie können auch einen Hardware-Teil umfassen, z.B. spezielle Anwendungsbausteine zur Ausführung bestimmter Funktionen der Anwendung (z.B. ICs, ASIC usw.). Sie können auch auf mehrere Steuergeräte verteilt sein, d.h. Teile umfassen, die nicht auf dem betreffenden Steuergerät realisiert sind. Wie eingangs schon erwähnt, sind solche Anwendungen derart ausgebildet bzw. eingerichtet, bei Bedarf, d.h. wenn z.B. ein Fehler erkannt wurde, eine Fehlerabschaltung auszulösen (bzw. zunächst anzufordern). Die Anwendungen können dabei z.B. auf ihnen jeweils zugeordneten Partitionen des Steuergeräts ausgeführt werden.
-
Weiterhin ist das Steuergerät dazu eingerichtet ist, interne Schnittstellen für die eine oder die mehreren Anwendungen bereitzustellen, wobei die internen Schnittstellen und die Fehlerabschaltschnittstellen vorgebbar einander zuordenbar sind, sodass bei einem Aufruf einer der internen Schnittstellen die eine oder die mehreren ihr zugeordneten Fehlerabschaltschnittstellen aktiviert werden. Zweckmäßigerweise sind die internen Schnittstellen und die Fehlerabschaltschnittstellen mittels Software-Konfiguration, z.B. unter Verwendung einer geeigneten Konfigurationstabelle, vorgebbar einander zuordenbar. Vor einem Einsatz des Steuergeräts z.B. in einem Fahrzeug, zweckmäßigerweise bei dessen Herstellung, kann die die Konfiguration dann entsprechend den Bedürfnissen oder Anforderungen vorgenommen werden, und zwar insbesondere auch in Abhängigkeit von den auf dem Steuergerät auszuführenden Anwendungen.
-
Vorzugsweise ist das Steuergerät weiterhin dazu eingerichtet, dass eine oder mehrere Hardwarefehlerquellen und die Fehlerabschaltschnittstellen vorgebbar einander zuordenbar sind, sodass bei Auftreten eines Fehlers bei der oder einer der Hardwarefehlerquellen die eine oder die mehreren ihr zugeordneten Fehlerabschaltschnittstellen aktiviert werden. Zweckmäßigerweise sind die eine oder die mehreren Hardwarefehlerquellen und die Fehlerabschaltschnittstellen mittels Hardware-Konfiguration, z.B. mittels konfigurierbarer Logikgatter mit z.B. ebenfalls einer geeigneten Konfigurationstabelle, vorgebbar einander zuordenbar. Vor einem Einsatz des Steuergeräts z.B. in einem Fahrzeug, zweckmäßigerweise bei dessen Herstellung, kann die Konfiguration dann entsprechend den Bedürfnissen oder Anforderungen vorgenommen werden. Die Hardware-Fehlerquellen sind dabei zweckmäßigerweise verschiedenen Partitionen, auf denen auch Anwendungen ausgeführt werden können, zugeordnet.
-
Auf diese Weise wird eine flexible Zuordnung zwischen den Fehlerabschaltschnittstellen bzw. Errorpins und den Anwendungen möglich, wobei die Anwendungen vom Hardwarelayout abstrahiert bleiben. Anwendungen können damit unterschiedliche Abschaltpfade haben. Zudem ergibt sich eine Erhöhung der Verfügbarkeit durch die Möglichkeit der Teilabschaltung für hochverfügbare Systeme (bis hin zum autonomen bzw. automatisierten Fahren). Letztlich für dies auch zur Vermeidung von Interferenzen zwischen einzelnen Anwendungen, da separate Abschaltpfade bzw. Fehlerabschaltschnittstellen zugeordnet werden können. Außerdem ergibt sich eine gewisse Kostenersparnis durch die Darstellung von mehreren unabhängigen Anwendungen in einem Steuergerät, die unabhängig voneinander abschaltbar sind. Eine weitere Kostenersparnis ergibt sich auch durch geringeren Entwicklungsaufwand, da Anwendungen in unterschiedlichen Steuergeräten unverändert einsetzbar sind.
-
Bevorzugt ist das Steuergerät weiterhin dazu eingerichtet, bei einem Aufruf einer der internen Schnittstellen den Aufruf in einen Pufferspeicher der zugeordneten Fehlerabschaltschnittstelle einzutragen, wenn ein solcher noch nicht vorhanden ist, und bei einer Deaktivierungsanforderung den Aufruf aus dem Pufferspeicher auszutragen, und die Fehlerabschaltschnittstelle zu aktivieren, wenn ein Aufruf im Pufferspeicher eingetragen ist, und die Fehlerabschaltschnittstelle zu deaktivieren, wenn kein Aufruf im Pufferspeicher eingetragen und kein Fehler der Hardwarefehlerquelle, der der Fehlerabschaltschnittstelle zugeordnet ist, vorliegt. Damit ist eine einfache und sichere Umsetzung der Aktivierung und ggf. Deaktivierung der Fehlerabschaltschnittstellen möglich.
-
Vorteilhafterweise weist das Steuergerät eine sicherheitsrelevante Fehlerabschaltschnittstelle auf und ist dazu eingerichtet, dass einer vorgebbaren Fehlerabschaltschnittstelle der mehreren Fehlerabschaltschnittstellen die sicherheitsrelevante Fehlerabschaltschnittstelle zuordenbar ist, sodass, wenn die vorgebbare Fehlerabschaltschnittstelle aktiviert wird, auch die sicherheitsrelevante Fehlerabschaltschnittstelle aktiviert wird. Zweckmäßigerweise sind die sicherheitsrelevante Fehlerabschaltschnittstelle und die Fehlerabschaltschnittstellen mittels Hardware-Konfiguration, z.B. wie zuvor erläutert, einander zuordenbar. Vor einem Einsatz des Steuergeräts z.B. in einem Fahrzeug, zweckmäßigerweise bei dessen Herstellung, kann die Konfiguration dann entsprechend den Bedürfnissen oder Anforderungen vorgenommen werden. Die sicherheitsrelevante Fehlerabschaltschnittstelle kann grundsätzlich wie die übrigen Fehlerabschaltschnittstellen ausgebildet sein, jedoch derart verschaltet werden bzw. sein, dass damit eine sicherheitsrelevante Komponente abgeschaltet wird (oder werden kann), wenn ein anderer Fehler auftrifft, der an sich möglicherweise nicht direkt etwas mit dieser sicherheitsrelevanten Komponente zu tun hat. Es versteht sich, dass auch noch weitere solche sicherheitsrelevanten Fehlerabschaltschnittstellen vorgesehen sein können, die dann auf die gleiche Weise zuordenbar sind.
-
Vorzugsweise ist das Steuergerät weiterhin dazu eingerichtet, dass bei Auftreten eines Fehlers in einem Modul, in dem die Fehlerabschaltschnittstellen zugeordnet sind oder werden, alle Fehlerabschaltschnittstellen aktiviert werden. Damit wird sichergestellt, dass nicht später ein Fehler in einer Anwendung (Software und/oder Hardware) auftritt, der aber aufgrund des Fehlers in dem Modul nicht mehr zur Aktivierung der Fehlerabschaltschnittstelle führt. Dies stellt damit also eine Art Vorsichtsmaßnahme dar.
-
Zusammengefasst stellt die vorliegende Erfindung also eine Möglichkeit bereit, die das bestehende Errorpinhandling (d.h. die Verwaltung von Fehlerabschaltschnittstellen), wie es eingangs erläutert wurde, um eine skalierbare Anzahl an Fehlerabschaltschnittstellen bzw. Errorpins (meist hardwareabhängig) erweitert, wobei diese flexibel verschiedenen Anwendungen zugeordnet werden können und somit eine Teilabschaltung einer Anwendung innerhalb eines Steuergeräts möglich ist. Dies führt zu einer Erhöhung der Verfügbarkeit und geringerem Entwicklungsaufwand.
-
In einem Hybridsystem, in dem in das Steuergerät der Brennkraftmaschine z.B. auch dasjenige des Elektromotors (bzw. allgemein der elektrischen Maschine) integriert ist, lässt sich damit z.B. bei einem Fehler im Ansteuerpfad des Elektromotors das Fahrzeug immer noch nach Hause oder in die Werkstatt fahren, wenn nur die Endstufen des Elektromotors abgeschaltet werden (dies gilt natürlich auch umgekehrt für die Endstufen der Brennkraftmaschine).
-
In Systemen (bzw. Steuergeräten) mit einer Motorsteuerung und integrierter Getriebesteuerung, gibt es z.B. Systemauslegungen, in denen die Abschaltung des Getriebes zum Einlegen eines niedrigen Gangs führt. Auch hier ermöglicht es die Erfindung, dass z.B. ein Fehler im Stellpfad des Getriebesteuergeräts eine Fahrt zur Werkstatt ermöglicht, ohne dass die Brennkraftmaschine (bzw. allgemein der Antrieb) ebenfalls abgeschaltet werden muss.
-
In einem Kommunikationssteuergerät mit mehreren Kommunikationskanälen, ergibt sich z.B. die Möglichkeit, nur den fehlerhaften Kommunikationskanal abzuschalten (Fail Silent), während die anderen nicht betroffenen Kommunikationskanäle weiterhin senden können.
-
Daneben ist das Steuergerät bevorzugt zum Betrieb wenigstens einer, insbesondere von wenigstens zwei, der folgenden Einheiten eingerichtet: einer Brennkraftmaschine, eines Getriebes, einer elektrischen Maschine, einer Energiespeichervorrichtung, eines Bremssystems, und Datenübertragungs- oder Kommunikationseinrichtungen, einer Brennstoffzelle, eines Gleichspannungs- oder DC/DC-Wandlers, einer Lenkung, eines Fahrerassistenzsystems, und eines Harnstoffdosierungssystems. Das Steuergerät kann damit also z.B. ein Motosteuergerät, ein Getriebesteuergerät, ein Batteriesteuergerät, ein Brennstoffzellensteuergerät, ein Bordnetzsteuergerät, ein Lenkungssteuergerät, oder ein Steuergerät zur Harnstoffdosierung sein. Ebenso kann das Steuergerät z.B. als zwei dieser Steuergeräte zugleich dienen.
-
Gegenstand der Erfindung ist zudem ein Verfahren zum Betreiben eines, insbesondere erfindungsgemäßen, Steuergeräts mit mehreren Fehlerabschaltschnittstellen, mittels welcher, bei Aktivierung, jeweils wenigstens eine mittels des Steuergeräts anzusteuernde Komponente abschaltbar ist. Hierbei werden eine oder mehrere verschiedene Anwendungen auf dem Steuergerät ausgeführt, wobei mit der oder einer der Anwendungen bei Bedarf eine Fehlerabschaltung ausgelöst wird, indem eine der Anwendung zugeordnete, interne Schnittstelle aufgerufen wird. Dabei wird die interne Schnittstelle einer der Fehlerabschaltschnittstellen zugeordnet und diese (d.h. die Fehlerabschaltschnittstelle) aktiviert. Zweckmäßigerweise wird auch ein Fehler in bzw. bei einer oder mehrerer Hardwarefehlerquellen einer der Fehlerabschaltschnittstellen zugeordnet und diese dann aktiviert.
-
Wenn eine solche Anwendung auf zwei verschiedenen Steuergeräten ausgeführt wird, dann können über die interne Schnittstelle der Anwendung zwei verschiedene Fehlerabschaltschnittstellen zugeordnet werden, also zwar jeweils eine Fehlerabschaltschnittstelle in jeweils einem Steuergerät, die sich aber nicht entsprechen, also z.B. eine andere, konkrete Spezifizierung aufweisen.
-
Ein erfindungsgemäßes Steuergerät, z.B. ein Steuergerät eines (Kraft-)Fahrzeugs, ist, insbesondere programmtechnisch, dazu eingerichtet, ein erfindungsgemäßes Verfahren durchzuführen.
-
Auch die Implementierung eines erfindungsgemäßen Verfahrens in Form eines Computerprogramms oder Computerprogrammprodukts mit Programmcode zur Durchführung aller Verfahrensschritte ist vorteilhaft, da dies besonders geringe Kosten verursacht, insbesondere wenn ein ausführendes Steuergerät noch für weitere Aufgaben genutzt wird und daher ohnehin vorhanden ist. Geeignete Datenträger zur Bereitstellung des Computerprogramms sind insbesondere magnetische, optische und elektrische Speicher, wie z.B. Festplatten, Flash-Speicher, EEPROMs, DVDs u.a.m. Auch ein Download eines Programms über Computernetze (Internet, Intranet usw.) ist möglich.
-
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und der beiliegenden Zeichnung.
-
Die Erfindung ist anhand von Ausführungsbeispielen in der Zeichnung schematisch dargestellt und wird im Folgenden unter Bezugnahme auf die Zeichnung beschrieben.
-
Figurenliste
-
- 1 zeigt schematisch ein Fahrzeug mit einem erfindungsgemäßen Steuergerät in einer bevorzugten Ausführungsform.
- 2 zeigt schematisch ein erfindungsgemäßes Steuergerät in einer weiteren bevorzugten Ausführungsform.
- 3 zeigt das Steuergerät aus 2 in einer detaillierten, aber schematischen Ansicht.
- 4 zeigt schematisch zwei erfindungsgemäße Steuergeräte in verschiedenen bevorzugten Ausführungsformen.
-
Ausführungsform(en) der Erfindung
-
In 1 ist schematisch ein Fahrzeug 100 mit einem erfindungsgemäßen Steuergerät 120 in einer bevorzugten Ausführungsform dargestellt. Das Steuergerät 120 dient beispielhaft zum Betrieb bzw. zur Ansteuerung einer Brennkraftmaschine 110 sowie einer elektrischen Maschine 115 als Antriebseinheiten in dem Fahrzeug 100. Dies stellt jedoch nur beispielhaft eine mögliche Ausgestaltung und Anwendung eines solchen Steuergeräts zu Illustrationszwecken dar.
-
In 2 ist schematisch ein erfindungsgemäßes Steuergerät 120 in einer weiteren bevorzugten Ausführungsform dargestellt, anhand dessen der Aufbau, sowohl hinsichtlich Hardware als auch Software, näher erläutert werden soll, ebenso wie der Ablauf beim Betrieb.
-
Bei dem Steuergerät 120 kann es sich um das in 1 gezeigte Steuergerät handeln, wobei hier beispielhaft vier Anwendungen P0, P1, P2 und P3 auf dem Steuergerät 120 ausgeführt werden, denen jeweils eine von vier Fehlerabschaltschnittstellen bzw. Errorpins EP0, EP1, EP2 und EP3 zugeordnet ist. Das Auslösen des Fehlers erfolgt z.B. über eine Laufzeitumgebung (Runtime Environment, RTE) 121, welche als Schnittstelle zwischen den Software-Komponenten und der sog. Basis-Software (Basic Software, BSW) 122 dient. Eine solche Schnittstelle zum Auslösen kann aber auch anderweitig realisiert werden.
-
Die Zuordnung erfolgt über Konfigurationstabelle(n) in einem Modul 125. Beispielhaft sind in dem Steuergerät 120 Endstufen 110', 111', 112' und 113' zur Ansteuerung bzw. zum Betrieb der Einheiten Brennkraftmaschine 110, Bremssystem 111, Energiespeichervorrichtung bzw. Batterie 112 und Kommunikationseinrichtung für Ladesäule 113 und externen Einheiten 114 (sog. Cloud oder sonstige Server.
-
Über eine in Software ausgebildete Konfigurationstabelle 130 ist die Zuordnung der Anwendungen P0, P1, P2 und P3 zu ihrer physikalischen Fehlerabschaltschnittstelle abstrahiert. So ist z.B. der Anwendung P3 die Fehlerabschaltschnittstelle EPO zugeordnet. Im Fehlerfall werden nur die Endstufen und Kommunikation abgeschaltet, die an ihre Fehlerabschaltschnittstelle EPO gekoppelt sind (hier Motorendstufe 110').
-
Zusätzlich sind jeder Fehlerabschaltschnittstelle über eine in Hardware ausgebildete (und über Software zu ladende) Konfigurationstabelle 150 verschiedene Hardware-Fehlerquellen HW0, HW1, HW2 und HW3 zugeordnet. Ein Fehler bzw. Hardwarefehler in einer solchen Hardwarefehlerquelle muss z.B. nur zur Abschaltung der Fehlerabschaltschnittstelle EPO führen (hier wird angenommen, dass der Fehler nur im Kontrollpfad der Anwendung P3 liegt z.B. ECC-Fehler im Speicher der Anwendung P3).
-
Ebenfalls können zusätzliche sicherheitsrelevante Fehlerabschaltschnittstellen bzw. sicherheitskritische Pins SP0, SP1, SP2 und SP3 vorgesehen sein, die über eine in Hardware ausgebildete (und über Software zu ladende) Konfigurationstabelle 140 auf die Abschaltung einer zugeordneten Fehlerabschaltschnittstelle reagieren und ebenfalls abschalten können.
-
Dadurch hat ein Hardware-Fehler direkte Auswirkung auf die ihm zugewiesene Fehlerabschaltschnittstelle und seine zugeordneten sicherheitskritischen Pins. Bei Hardware-Fehlern, die im Wirkpfad PM des Moduls 125 (beinhaltend eine Errorhandling-SW) liegen, aktiviert der entsprechende Fehler alle Fehlerabschaltschnittstellen (inklusive aller sicherheitskritischen Pins), da eine Ausführung nicht mehr sichergestellt ist.
-
In 3 ist das Steuergerät aus 2 in einer detaillierten, aber schematischen Ansicht dargestellt. Am Beispiel der Anwendung P0 ist hier eine Anforderung einer Aktivierung einer Fehlerabschaltschnittstelle aus dem Software-Teil der Anwendung heraus dargestellt
-
Die Verwaltung der jeweiligen Anforderungen erfolgt in Puffern bzw. in einem Pufferspeicher 126, wobei jeder Fehlerabschaltschnittstelle ein Puffer mit einer bestimmten Anzahl an möglichen Einträgen zugewiesen ist (durch die 16 Rechtecke dargestellt). Die Anwendung P0 fordert nun über die interne bzw. generische Schnittstelle 122 mit einer eindeutigen Kennung IDX (diese ist nur innerhalb einer Anwendung gültig) ihre Fehlerabschaltschnittstelle bzw. deren Aktivierung an.
-
Die Schnittstelle ist in der Software auf dem Steuergerät generisch, d.h. der Aufruf ist für eine andere Anwendung exakt gleich, wenn die Kennung IDX in der anderen Anwendung ebenfalls vergeben ist. Das Modul 125 nimmt den Aufruf entgegen und ermittelt, aus welcher Partition der Aufruf kommt. Dies kann z.B. über eine Corenummer erfolgen, auf der die Anwendung P0 läuft, oder über eine Tasknummer aus dem Betriebssystem.
-
Über die Konfigurationstabelle kann das Modul 125 anschließend die zugehörige Fehlerabschaltschnittstelle ermitteln. Dies können auch mehrere Fehlerabschaltschnittstellen sein oder auch gar keine Fehlerabschaltschnittstelle, wenn eine Anwendung in einem Szenario keine Sicherheitslast trägt.
-
Bei einer Aktivierungsanforderung trägt das Modul 125 die Kennung IDX und die aufrufende Anwendung in den Puffer der ermittelten Fehlerabschaltschnittstelle ein, wenn der Aufruf nicht bereits eingetragen ist. Bei einer Deaktivierungsanforderung wird der Eintrag im Puffer gelöscht. Sobald ein Puffer einen Eintrag enthält wird die zugehörige Fehlerabschaltschnittstelle aktiviert. Wenn ein Puffer keinen Eintrag mehr enthält, wird die zugehörige Fehlerabschaltschnittstelle deaktiviert, sobald kein Hardware-Fehler, der der Fehlerabschaltschnittstelle zugeordnet ist, mehr aktiv ist.
-
Der Ermittlung des Zustandes einzelner Hardware-Fehler lässt sich im Modul 125 auslesen. Die Aktivierung und Deaktivierung der jeweiligen Fehlerabschaltschnittstelle erfolgt über das Modul, wobei hierfür eine separate Hardware-Quelle über Software angesprochen wird.
-
Eine Nachbildung einer zusätzlichen Fehlerabschaltschnittstelle kann über Software erfolgen, wenn z.B. die Hardware limitierte Ressourcen hat. Dafür übernimmt das Modul (die Errorpinhandler-SW) die Abschaltung eines beliebigen Pins eines Mikrocontrollers, wenn ein Fehler erkannt wurde. Dies kann für Hardware-Fehler z.B. durch Pollen der jeweiligen Stati des Moduls erfolgen, oder auch interruptgesteuert, ausgehend vom Modul. Bei Anforderungen aus der Anwendung bzw. Software heraus (Anforderung des in SW nachgebildeten Errorpins), ist das Handling äquivalent zur vorhergehenden Beschreibung, in dem auch der in SW nachgebildeten Fehlerabschaltschnittstelle ein entsprechender Puffer zugewiesen ist.
-
Ein Fehler im Wirkpfad der Errorpinhandler-SW führt automatisch zur Abschaltung aller Fehlerabschaltschnittstellen inklusive der in Software nachgebildeten Fehlerabschaltschnittstellen, da hierfür eine zentrale Fehlerabschaltschnittstelle für das Modul bzw. die Errorpinhandling-SW benutzt wird, welche zur Abschaltung aller sicherheitskritischen Pins führt.
-
In 4 sind schematisch zwei erfindungsgemäße Steuergeräte 120' und 120" in verschiedenen bevorzugten Ausführungsformen dargestellt. Der grundlegende Aufbau bzw. die grundlegende Funktion der Steuergeräte 120' und 120" entspricht derjenigen des Steuergeräts 120 gemäß 2, sodass auch auf die dortige Beschreibung verwiesen wird.
-
Beispielhaft weist das Steuergerät 120' nur die Anwendungen P0, P2 und P3 auf sowie die Fehlerabschaltschnittstellen EP0, EP1 und EP 2. Über eine Konfigurationsschicht, umfassend die in Bezug auf 2 erläuterten Konfigurationstabellen (130, 140 und 150), wird die Umsetzung auf die zugehörigen Fehlerabschaltschnittstellen zwischen den Anwendungen und der Hardware abstrahiert. Ebenfalls denkbar sind Szenarien, bei denen aus hardwaretechnischen Gründen (z.B. Entkopplungen) eine Anwendung mehrere Fehlerabschaltschnittstellen benötigt oder die Anwendung in anderen Steuergeräten auf dieselbe Fehlerabschaltschnittstelle einer anderen Anwendung zugreift, wenn Hardware-Ressourcen beschränkt sind oder eine Hochverfügbarkeit nicht notwendig ist.
-
Dies führt dazu, dass die Anwendung in der Software nur die generischen bzw. internen Schnittstellen zur Aktivierung und/oder Deaktivierung der Fehlerabschaltschnittstellen aufrufen muss, wodurch eine schnellere Entwicklung ohne Anpassung auf verschiedene Steuergeräte möglich ist. So lässt sich zum Beispiel die Anwendung P0 im einem Steuergerät 120' einfach auf das Steuergerät 120" verschieben, obwohl hier eine andere Anwendung P1 ausgeführt wird und die Hardwareschaltung im Steuergerät 120" anders ausgelegt ist. So ist der Anwendung P0 im Steuergerät 120' die Fehlerabschaltschnittstelle EP1 zugeordnet, im Steuergerät 120" hingegen die Fehlerabschaltschnittstellen EP2. (Fehlerabschaltschnittstelle EP1 ist im Steuergerät 120" nicht angeschlossen).
-
Insgesamt kann auf diese Weise ein Steuergerät bereitgestellt werden, auf dem verschiedenen Anwendungen laufen können, die jedoch separat und verschiedene Komponenten, die durch sie angesteuert bzw. betrieben werden, im Falle eines Fehlers abgeschaltet werden können.
-
Unter weiterer Bezugnahme auf 4 sind auch Ausführungsformen bevorzugt, bei denen eine Anwendung, hier beispielsweise P0, auf mehrere Steuergeräte verteilt ist. In diesem Sinne umfasst eine Anwendung auf einem Steuergerät auch nur einen Anwendungsteil.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102015213831 A1 [0006]
