DE102020208370A1

DE102020208370A1 - Elektronische Steuereinheit

Info

Publication number: DE102020208370A1
Application number: DE102020208370.3A
Authority: DE
Inventors: Bernhard Bieg; Alfons Fisch; Andreas Wunderlich
Original assignee: Vitesco Technologies GmbH
Current assignee: Vitesco Technologies GmbH
Priority date: 2020-07-03
Filing date: 2020-07-03
Publication date: 2022-01-05
Also published as: WO2022002913A1

Abstract

Die Erfindung betrifft eine elektronische Steuereinheit (1) mit einem Mikrocontroller (2) und zumindest zwei mit diesem zusammenwirkenden integrierten Halbleiterbausteinen (3) mit den Merkmalen:
sowohl der Mikrocontroller (2) als auch die Halbleiterbausteine (3) weisen Überwachungs-Anschlüsse (4) auf, die über einen seriellen Überwachungsbus (5) miteinander verbunden sind,
sowohl der Mikrocontroller (2) als auch die Halbleiterbausteine (3) sind mit einem Abschaltbus (6) verbunden, durch dessen Beaufschlagung mit einem Aktivierungssignal durch entweder den Mikrocontroller (2) oder einen der Halbleiterbausteine (3) die Steuereinheit (1) in einen sicheren Zustand gebracht werden kann,
sowohl der Mikrocontroller (2) als auch die Halbleiterbausteine (3) weisen Ansteuerein- und Ansteuerausgänge auf, die alle über einen seriellen Ansteuerbus (7), sowie Systemein- und Systemausgänge auf, die alle über einen seriellen Systembus (8) miteinander verbunden sind,
sowohl der Mikrocontroller (2) als auch die Halbleiterbausteine (3) sind eingerichtet, Ansteuer- und Systemsignale auf dem Ansteuerbus (7) und dem Systembus (8) zu verarbeiten und zu plausibilisieren.

Description

Die Erfindung betrifft eine elektronische Steuereinheit mit einem Mikrocontroller und zumindest zwei mit diesem zusammenwirkenden integrierten Halbleiterbausteinen.
Eine solche elektronische Steuereinheit ist aus der DE 10 2004 020 539 B3 bekannt. Solche bekannten elektronischen Steuereinheiten werden häufig als „Steuergerät“ bezeichnet und als elektronische Baueinheit realisiert, in welcher vielfältige Steuer- und/oder Überwachungsfunktionen für elektronische bzw. elektrische Komponenten zusammengefasst sind und zur Anwendung in einem Kraftfahrzeug, insbesondere in einem Motorsteuergerät oder einem Getriebesteuergerät, dienen.
Die in der Vergangenheit stetig gestiegenen Anforderungen hinsichtlich der Funktionalitäten solcher Steuereinheiten haben dazu geführt, dass die gewünschten Funktionen heutzutage größtenteils durch Einsatz eines Mikrocontrollers implementiert werden. Der Begriff „Mikrocontroller“ bezeichnet hierbei z. B. eine elektronische programmgesteuerte Steuereinrichtung, die typischerweise zumindest eine CPU (Central Processing Unit), ein RAM, ein ROM und I/O-Ports aufweist, jedoch bei einer Anwendung in einem Kraftfahrzeug sehr speziell ausgelegt ist, beispielsweise A/D-Wandler, Timer usw. aufweist. Alternativ kann die Funktion eines Mikrocontrollers auch durch eine festverdrahtete oder anwendungsspezifisch konfigurierbare elektronische Komponente (z. B. ASIC, FPGA etc.) implementiert sein.
Bei den von der Steuereinheit zu steuernden Komponenten kann es sich neben unmittelbar einer Brennkraftmaschine zuzuordnenden Komponenten wie einer Kraftstoffpumpe, einem Drosselklappenventil, einem Kraftstoffinjektor oder einer Lambdasonde auch um andere Komponenten des Fahrzeugs handeln. Eingangsseitig werden der Steuereinheit zur Steuerung benötigte Sensorsignale bzw. Messgrößen als Eingangssignale eingegeben, z. B. betreffend die Kurbelwellendrehgeschwindigkeit und -stellung, die Motortemperatur, die Einlasslufttemperatur und -menge, die Fahrpedalstellung etc. Diese Aufzählung der zu steuernden bzw. sensierenden Komponenten ist keineswegs abschließend und dient lediglich der Veranschaulichung der Vielzahl denkbarer Funktionen einer Steuereinrichtung.
Da ein Mikrocontroller bzw. dessen I/O-Ports technologiebedingt zumeist nicht zur direkten Ansteuerung der hier interessierenden Fahrzeugkomponenten geeignet sind, werden diese Komponenten üblicherweise durch zugeordnete Endstufen gesteuert, welche zu diesem Zweck eingangsseitig entsprechende Steuersignale des Mikrocontrollers -als dessen Ausgangssignale - erhalten und ausgangsseitig die zur Aktivierung und Deaktivierung der Komponenten erforderlichen Spannungen oder Ströme bereitstellen oder steuern, beispielsweise den Lade- und Entladestrom eines piezo- oder magnetisch betätigten Kraftstoffeinspritzventils.
Insbesondere im Hinblick auf die sicherheitskritischen Funktionen wird den Endstufen üblicherweise neben den Steuersignalen auch ein digitales, so genanntes Freigabesignal zugeführt, mittels welchem je nach Freigabesignalzustand eine Sperrung („Disable“ ) oder eine Freigabe („Enable“) der Aktivierung signalisiert wird. Diese von der eigentlichen Ansteuerung der Endstufe unabhängige Freigabe wird hierbei von einer Freigabesteuereinrichtung gegeben.
Eine solche Freigabesteuereinrichtung ist bei bekannten Steuereinrichtungen Teil einer so genannten Überwachungseinheit, welche den ordnungsgemäßen Betrieb des Mikrocontrollers überwacht, um im Falle eines Fehlers geeignete Maßnahmen zu treffen, beispielsweise den Mikrocontroller zurückzusetzen (Reset) und/oder mittels der Freigabesteuereinrichtung ein oder mehrere der erwähnten Freigabesignale auf denjenigen Freigabesignalzustand zu setzen, mit welchem jede zugeordnete Endstufe gesperrt bzw. abgeschaltet wird.
Eine solche Überwachungseinheit, oftmals als „Watchdog“ bezeichnet, kann hierbei im Mikrocontroller integriert oder separat von diesem angeordnet sein. Die Funktion einer solchen Überwachungseinheit beruht beispielsweise darauf, dass diese dem Mikrocontroller von Zeit zu Zeit Aufgaben stellt und anhand der vom Mikrocontroller zurückgelieferten Resultate feststellt, ob der Mikrocontroller korrekt arbeitet oder nicht.
Wenn eine solche Überwachungseinheit eine gewisse Komplexität übersteigt, so ist es in der Praxis wirtschaftlich sinnvoll, diese Einheit (wie auch den Mikrocontroller) in einer von den Endstufen, bei denen es sich zumeist um Leistungsendstufen handelt, verschiedenen Technologie auszuführen, nämlich zweckmäßigerweise in einer Niedervolt-Technologie.
Die elektrischen Verbindungen, welche zur Übertragung von Freigabesignalen zu den relevanten Endstufen vorgesehen sind (Abschaltpfade), können aus Gründen erhöhter Sicherheit mehrfach (redundant) ausgelegt werden. Ferner kann die Fähigkeit zur Abschaltung von Endstufen mittels der digitalen Freigabesignale anhand eines Selbsttests im inaktiven Systemzustand überprüft werden.
Wenn im Betrieb der Steuereinheit ein Fehler auftritt, der durch die Überwachungseinheit erkannt werden sollte, und Endstufen mittels des digitalen Freigabesignals in einen als „sicher“ definierten Zustand überführt werden sollten, so ergeben sich bei den bekannten Steuereinheiten in der Praxis im Falle von Überspannungen jedoch Unzulänglichkeiten.
Jegliches Verhalten der in der Steuereinheit verwendeten elektronischen Bauteile kann nur innerhalb eines begrenzten, technologiebedingten Betriebsbereiches garantiert werden. Sobald dieser Bereich verlassen wird, z. B. bei Vorliegen unzulässig hoher Spannungen (z. B. Versorgungs- und/oder Signalspannungen) an irgendeiner Stelle des Systems, ist jede beliebige Konfiguration der Freigabesignale vorstellbar. Die Anschlusspins eines Steuergeräts sind in der Zielumgebung Spannungen ausgesetzt, die sich in der Regel außerhalb des für die Logikschaltkreise des Mikrocontrollers und ggf. der Überwachungseinheit spezifizierten Betriebsspannungsbereichs befinden und daher prinzipiell zur Störung oder sogar Zerstörung dieser Schaltkreise führen können.
Wenn die erwähnte Überwachungseinheit auch die Aufgabe einer Überspannungserkennung übernimmt, so kann der Fall eintreten, dass die überwachte Spannung selbst den zulässigen Betriebsspannungsbereich der Überwachungseinheit überschreitet, so dass ein Versetzen der Endstufen in den gewünschten vorbestimmten Fehlerfallzustand nicht mehr gewährleistet werden kann.
Beispielsweise kann es vorkommen, dass im Überspannungsfall ein Freigabesignal deshalb nicht in den eine Sperrung der zugeordneten Endstufe bewirkenden Disable-Zustand überführt wird, weil die Überspannung die ordnungsgemäße Funktion der Überwachungseinheit bzw. deren Freigabesteuereinrichtung selbst beeinträchtigt.
Außerdem kann ein Überschreiten der zulässigen Spannungen an den Schaltkreisen des Steuergeräts, welche in einer Niedervolt-Technologie (z. B. 5V und/oder 3,3V) implementiert sind, auf Grund der hohen Sensibilität dieser Schaltkreise zu einer undefinierten Anzahl an Folgefehlern führen.
Zur Lösung dieses Problems der oftmals unzulänglichen Sicherheit im Falle einer Überspannung ist es zwar denkbar, den Mikrocontroller und/oder die Überwachungseinheit robuster auszuführen. Solche Lösungen wären jedoch sehr teuer.
Die DE10 2008 004 208 A1 offenbart zum Problem der Sicherheit solcher Steuereinheiten eine Einrichtung zum Überführen eines Apparats eines Kraftfahrzeugs in einen sicheren Zustand welche wenigstens zwei Steuergeräte umfasst, wobei mindestens eine zum Betrieb des Apparats erforderliche Komponente vorgesehen ist, wobei das erste Steuergerät ausgebildet ist, um abhängig von einem ersten Fehlerzustand die mindestens eine Komponente des Apparats so anzusteuern, dass der Apparat den sicheren Zustand einnimmt; und das zweite Steuergerät ausgebildet ist, um abhängig von einem zweiten Fehlerzustand die mindestens eine Komponente des Apparats so anzusteuern, dass der Apparat den sicheren Zustand einnimmt. Das erste Steuergerät kann dabei ausgebildet sein, mindestens ein erstes Fehlersignal zu empfangen, das den ersten Fehlerzustand anzeigt, wobei das zweite Steuergerät ausgebildet sein kann, mindestens ein zweites Fehlersignal zu empfangen, das den zweiten Fehlerzustand anzeigt. Eine Prüfeinrichtung kann ausgebildet sein, bei einer Fehlfunktion des ersten Steuergeräts das mindestens eine zweite Fehlersignal bereitzustellen, und bei einer Fehlfunktion des zweiten Steuergeräts das mindestens eine erste Fehlersignal bereitzustellen.
In der ISO 26262 sind Anforderungen bezüglich der Durchführung einer Gefährdungsanalyse und Risikoabschätzung definiert. Dazu müssen zunächst die potentiellen Gefährdungen des Systems identifiziert werden. Dies geschieht durch Betrachtung der Fehlfunktionen des untersuchten Systems in spezifischen Fahrsituationen. Anschließend wird jede Gefährdung mit einer Sicherheitsanforderungsstufe (ASIL) von A bis D klassifiziert oder als nicht sicherheitsrelevant QM eingeordnet. Anders als zum Beispiel in der IEC 61508 geschieht die Risikoanalyse in der ISO 26262 mittels einer festgelegten, qualitativen Methodik. Dazu muss für jede identifizierte Gefährdung einzeln die Schwere der Auswirkung, die Häufigkeit der Fahrsituation und die Beherrschbarkeit der Fehlfunktion in der jeweiligen Fahrsituation z. B. durch den Fahrer abgeschätzt werden. Aus einer vorgegebenen Tabelle lässt sich dann für jede Gefährdung die Einstufung QM oder ASIL A bis D ablesen.
Es ist die Aufgabe der Erfindung, eine elektronische Steuereinheit anzugeben, die auch für höhere ASIL-Level geeignet ist.
Die Aufgabe wird gelöst durch eine elektronische Steuereinheit mit einem Mikrocontroller und zumindest zwei mit diesem zusammenwirkenden integrierten Halbleiterbausteinen, bei der sowohl der Mikrocontroller als auch die Halbleiterbausteine Überwachungs-Anschlüsse aufweisen, die über einen seriellen Überwachungsbus miteinander verbunden sind, bei der sowohl der Mikrocontroller als auch die Halbleiterbausteine mit einem Abschaltbus verbunden sind, durch dessen Beaufschlagung mit einem Aktivierungssignal durch entweder den Mikrocontroller oder einen der Halbleiterbausteine die Steuereinheit in einen sicheren Zustand gebracht werden kann, bei der sowohl der Mikrocontroller als auch die Halbleiterbausteine Ansteuerein- und Ansteuerausgänge aufweisen, die alle über einen seriellen Ansteuerbus, sowie Systemein- und Systemausgänge aufweisen, die alle über einen seriellen Systembus miteinander verbunden sind, und bei der sowohl der Mikrocontroller als auch die Halbleiterbausteine eingerichtet sind, Ansteuer- und Systemsignale auf dem Ansteuerbus und dem Systembus zu verarbeiten und zu plausibilisieren.
Hierdurch ist es in vorteilhafter Weise möglich, dass sowohl der Mikrocontroller als auch die Halbleiterbauteile über alle wesentlichen, möglicherweise sicherheitsrelevanten Informationen verfügen und eine Sicherheitsabschaltung oder eine sonstige Maßnahme, um die Steuereinheit in einen sicheren Zustand zu versetzen, durchführen können. Die Halbleiterbauteile sind dabei übliche, in elektronischen Steuereinheiten benutzte periphere integrierte Schaltungsanordnungen.
In einer vorteilhaften Ausführung weisen die Halbleiterbausteine der elektronischen Steuereinheit auch eine Überwachungsfunktionalität für den Mikrocontroller aufweisen.
Sie können damit neben einer herkömmlichen Überwachungsschaltung - oft als Watchdog bezeichnet - die ordnungsgemäße Funktion des Mikrocontrollers überprüfen und diesen ggf. zurücksetzen oder abschalten.
In einer vorteilhaften Ausbildung der Erfindung sind der Mikrocontroller als auch die Halbleiterbausteine ausgebildet, Eingangssignale auf dem Ansteuerbus zu vergleichen und zu plausibilisieren.
Damit werden Eingangssignale nicht nur in einer Schaltungseinrichtung, wie beispielsweise dem Mikrocontroller, überprüft oder verarbeitet, sondern auch in den Halbleiterbausteinen, die dafür entsprechend ausgebildet sein müssen, also entsprechende Hardware- und/oder Softwareausrüstung aufweisen müssen.
In entsprechender Weise können der Mikrocontroller als auch die Halbleiterbausteine ausgebildet sein, Ausgangssignale redundant zu berechnen und zu vergleichen und zu plausibilisieren und an den Ansteuerbus anzulegen.
In einer weiteren vorteilhaften Ausbildung der elektronischen Steuereinheit weist diese außerdem zumindest einen Überwachungsbaustein auf, der mit dem Überwachungsbus, dem Ansteuerbus, sowie dem Systembus verbunden ist und eingerichtet ist, die Steuereinheit bei erkannten Unstimmigkeiten bei den Plausibilisierungsvorgängen in einen sicheren Zustand zu versetzen.
Die Erfindung soll nachfolgend anhand eines Ausführungsbeispiels mit Hilfe einer Figur näher erläutert werden.
Die Figur zeigt eine elektronische Steuereinheit 1 mit einem Mikrocontroller 2 und zumindest zwei mit diesem zusammenwirkenden integrierten Halbleiterbausteinen 3. Sowohl der Mikrocontroller 2 als auch die Halbleiterbausteine 3 weisen Überwachungs-Anschlüsse 4 auf, die über einen seriellen Überwachungsbus 5 miteinander verbunden sind. Außerdem sind sowohl der Mikrocontroller 2 als auch die Halbleiterbausteine 3 mit einem Abschaltbus 6 verbunden, durch dessen Beaufschlagung mit einem Aktivierungssignal durch entweder den Mikrocontroller 2 oder einen der Halbleiterbausteine 3 die Steuereinheit 1 in einen sicheren Zustand gebracht werden kann.
Sowohl der Mikrocontroller 2 als auch die Halbleiterbausteine 3 weisen zudem Ansteuerein- und Ansteuerausgänge, die alle über einen seriellen Ansteuerbus 7, sowie Systemein- und Systemausgänge auf, die alle über einen seriellen Systembus 8 miteinander verbunden sind.
Sowohl der Mikrocontroller 2 als auch die Halbleiterbausteine 3 sind eingerichtet, Ansteuer- und Systemsignale auf dem Ansteuerbus 7 und dem Systembus 8 zu verarbeiten und zu plausibilisieren.
In vorteilhafter Weise können die Halbleiterbausteine 3 auch eine Überwachungsfunktionalität für den Mikrocontroller 2 aufweisen.
In einer vorteilhaften Ausführung der elektronische Steuereinheit 1 können der Mikrocontroller 2 als auch die Halbleiterbausteine 3 ausgebildet sein, Eingangssignale auf dem Ansteuerbus 7 zu vergleichen und zu plausibilisieren.
Außerdem können sowohl der Mikrocontroller 2 als auch die Halbleiterbausteine 3 ausgebildet sein, Ausgangssignale redundant zu berechnen und zu vergleichen und zu plausibilisieren und an den Ansteuerbus 7 anzulegen.
Im Ausführungsbeispiel der 1 weist die elektronische Steuereinheit 1 außerdem zumindest einen Überwachungsbaustein 9 auf, der mit dem Überwachungsbus 5, dem Ansteuerbus 7, sowie dem Systembus 8 verbunden ist und eingerichtet ist, die Steuereinheit 1 bei erkannten Unstimmigkeiten bei den Plausibilisierungsvorgängen in einen sicheren Zustand zu versetzen.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102004020539 B3 [0002]
DE 102008004208 A1 [0017]

Claims

Elektronische Steuereinheit (1) mit einem Mikrocontroller (2) und zumindest zwei mit diesem zusammenwirkenden integrierten Halbleiterbausteinen (3) mit den Merkmalen: sowohl der Mikrocontroller (2) als auch die Halbleiterbausteine (3) weisen Überwachungs-Anschlüsse (4) auf, die über einen seriellen Überwachungsbus (5) miteinander verbunden sind, sowohl der Mikrocontroller (2) als auch die Halbleiterbausteine (3) sind mit einem Abschaltbus (6) verbunden, durch dessen Beaufschlagung mit einem Aktivierungssignal durch entweder den Mikrocontroller (2) oder einen der Halbleiterbausteine (3) die Steuereinheit (1) in einen sicheren Zustand gebracht werden kann, sowohl der Mikrocontroller (2) als auch die Halbleiterbausteine (3) weisen Ansteuerein- und Ansteuerausgänge auf, die alle über einen seriellen Ansteuerbus (7), sowie Systemein- und Systemausgänge auf, die alle über einen seriellen Systembus (8) miteinander verbunden sind, sowohl der Mikrocontroller (2) als auch die Halbleiterbausteine (3) sind eingerichtet, Ansteuer- und Systemsignale auf dem Ansteuerbus (7) und dem Systembus (8) zu verarbeiten und zu plausibilisieren.
Elektronische Steuereinheit (1) nach Anspruch 1, bei der die Halbleiterbausteine (3) auch eine Überwachungsfunktionalität für den Mikrocontroller (2) aufweisen.
Elektronische Steuereinheit (1) nach einem der vorhergehenden Ansprüche, bei der der Mikrocontroller (2) als auch die Halbleiterbausteine (3) ausgebildet sind, Eingangssignale auf dem Ansteuerbus (7) zu vergleichen und zu plausibilisieren.
Elektronische Steuereinheit (1) nach einem der vorhergehenden Ansprüche, bei der der Mikrocontroller (2) als auch die Halbleiterbausteine (3) ausgebildet sind, Ausgangssignale redundant zu berechnen und zu vergleichen und zu plausibilisieren und an den Ansteuerbus (7) anzulegen.
Elektronische Steuereinheit (1) nach einem der vorhergehenden Ansprüche, die außerdem zumindest einen Überwachungsbaustein (9) aufweist, der mit dem Überwachungsbus (5), dem Ansteuerbus (7), sowie dem Systembus (8) verbunden ist und eingerichtet ist, die Steuereinheit (1) bei erkannten Unstimmigkeiten bei den Plausibilisierungsvorgängen in einen sicheren Zustand zu versetzen.