-
Die vorliegende Erfindung betrifft ein Verfahren zum Überwachen wenigstens einer Recheneinheit sowie eine Recheneinheit, ein System aus Recheneinheiten und ein Computerprogramm zu dessen Durchführung.
-
Stand der Technik
-
Zum Überwachen von Recheneinheiten bzw. von Prozessen, die von einer Recheneinheit ausgeführt werden, können Überwachungsmodule vorgesehen sein, beispielsweise sog. Watchdogs, welche durch einen Datenaustausch beispielsweise in Form einer Frage-/Antwort-Kommunikation Fehler erkennen können. Beispielsweise kann von einem derartigen Watchdog zu diesem Zweck überprüft werden, ob der Datenaustausch bzw. die erhaltenen Antworten richtig sind und ob sie zu einem richtigen Zeitpunkt bzw. innerhalb eines vorgegebenen Zeitfensters eintreffen. Wenn dies nicht der Fall ist, kann auf einen Fehler der Recheneinheit bzw. des jeweiligen Prozesses rückgeschlossen werden. Derartige Überwachungsmodule bzw. Watchdogs können in Hardware als ein separates Hardwareelement realisiert sein oder auch in Software, welche von einer Prozessoreinheit ausgeführt wird.
-
Aus der
DE 10 2018 210 733 A1 ist ein System aus Überwachungsmodulen bekannt, die in verschiedene Hierarchieebenen eingeteilt sind. In einer obersten Hierarchieebene ist ein oberstes Überwachungsmodul als ein Hardwareüberwachungsmodul vorgesehen, z.B. ein Hardware-Watchdog. In wenigstens einer der obersten Hierarchieebene untergeordneten Hierarchieebene ist jeweils wenigstens ein Softwareüberwachungsmodul vorgesehen, beispielsweise jeweils ein Software-Watchdog. Jedes Softwareüberwachungsmodul einer Hierarchieebene überwacht jeweils wenigstens einen zugewiesenen Prozess und wird wiederum von einem übergeordneten Überwachungsmodul einer übergeordneten Hierarchieebene überwacht. Wenn ein Softwareüberwachungsmodul einen Fehler des jeweiligen zugewiesenen Prozesses erkennt, wird eine vorgegebene Maßnahme durchgeführt, beispielsweise eine Fehlerreaktion, um den erkannten Fehler zu beheben. Beispielsweise kann als derartige Fehlerreaktion ein Reset, ein Neustart oder ein Deaktivieren des jeweiligen Prozesses oder der jeweiligen Recheneinheit durchgeführt werden.
-
Offenbarung der Erfindung
-
Vor diesem Hintergrund werden ein Verfahren zum Überwachen wenigstens einer Recheneinheit, in welcher eine Vielzahl von Prozessen ausgeführt wird, sowie eine Recheneinheit, ein System aus Recheneinheiten und ein Computerprogramm zu dessen Durchführung mit den Merkmalen der unabhängigen Patentansprüche vorgeschlagen. Vorteilhafte Ausgestaltungen sind Gegenstand der Unteransprüche sowie der nachfolgenden Beschreibung.
-
Wenigstens ein untergeordnetes, prozessspezifisches bzw. anwendungsspezifisches Softwareüberwachungsmodul überwacht wenigstens einen in der wenigstens einen Recheneinheit ausgeführten Prozess. Ein derartiges untergeordnetes Softwareüberwachungsmodul kann beispielsweise von einem Prozessor bzw. einem Prozessorkern der jeweiligen Recheneinheit ausgeführt werden. Beispielsweise kann für verschiedene Domänen einer Recheneinheit jeweils ein derartiges untergeordnetes Softwareüberwachungsmodul vorgesehen sein. Das untergeordnete Softwareüberwachungsmodul ist insbesondere in den regulären Programmablauf der jeweiligen Recheneinheit eingebunden.
-
Ein diesem wenigstens einen untergeordneten Softwareüberwachungsmodul übergeordnetes Softwareüberwachungsmodul überwacht das wenigstens eine untergeordnete Softwareüberwachungsmodul. Insbesondere kann pro Recheneinheit ein derartiges untergeordnetes Softwareüberwachungsmodul vorgesehen sein, welches sämtliche in dieser Recheneinheit ausgeführten untergeordneten Softwareüberwachungsmodule überwacht. Dieses übergeordnete Softwareüberwachungsmodul kann beispielsweise in einer Sicherheitsrecheneinheit („safety backbone“) vorgesehen sein, insbesondere in einem Sicherheitsprozessor bzw. einem Sicherheitsprozessorkern. Insbesondere ist das übergeordnete Softwareüberwachungsmodul als ein recheneinheitenspezifisches bzw. als ein zentrales, internes Softwareüberwachungsmodul vorgesehen.
-
Ein diesem übergeordneten Softwareüberwachungsmodul übergeordnetes Hardwareüberwachungsmodul überwacht das übergeordnete Softwareüberwachungsmodul. Das Hardwareüberwachungsmodul ist insbesondere als ein externes Hardwaremodul vorgesehen unabhängig von der wenigstens einen Recheneinheit. Insbesondere überwacht das Hardwareüberwachungsmodul eine Vielzahl entsprechender übergeordneter Softwareüberwachungsmodule, welche jeweils zum Überwachen einer Vielzahl untergeordneter Softwareüberwachungsmodul in einer jeweiligen Recheneinheit vorgesehen sind.
-
Jedes der Software- bzw. Hardwareüberwachungsmodule ist insbesondere als ein entsprechender Watchdog vorgesehen. Beispielsweise kann jedes der Überwachungsmodule die jeweilige Überwachung mit Hilfe einer Frage-/Antwort-Kommunikation oder einer Gut-/Schlecht-Prüfung durchführen.
-
Wenn das wenigstens eine untergeordnete Softwareüberwachungsmodul oder das übergeordnete Softwareüberwachungsmodul oder das übergeordnete Hardwareüberwachungsmodul im Zuge der jeweiligen Überwachung einen Fehler erkennt, wird eine vorgegebene Fehlermaßnahme durchgeführt, beispielsweise eine Fehlerreaktion zum Beheben des erkannten Fehlers. Bei einem derartigen Fehler kann es sich um einen Fehler bzw. eine Fehlfunktion eines ausgeführten Prozesses oder auch eines der Überwachungsmodule handeln. Beispielsweise kann diese Fehlermaßnahme von demjenigen Überwachungsmodul durchgeführt werden, welches den entsprechenden Fehler erkannt hat, oder auch von einem diesem Modul übergeordneten Überwachungsmodul.
-
Im Rahmen des vorliegenden Verfahrens wird überprüft, ob die vorgegebene Fehlermaßnahme korrekt durchgeführt wird. Wenn im Zuge dieser Überprüfung erkannt wird, dass die vorgegebene Fehlermaßnahme nicht korrekt durchgeführt wird, wird eine übergeordnete Fehlermaßnahme durchgeführt. Eine derartige nicht korrekt durchgeführte Fehlermaßnahme kann beispielsweise auf einen Fehler des jeweiligen diese Fehlermaßnahme durchführenden Überwachungsmoduls hindeuten. Ebenso kann eine nicht korrekt durchgeführte Fehlermaßnahe insbesondere bedeuten, dass der jeweilige erkannte Fehler durch die Fehlermaßnahme nicht wie gewünscht behoben oder eingedämmt werden konnte, beispielsweise weil der Fehler schwerwiegender oder komplexer ist, als ursprünglich angenommen.
-
Das vorliegende Verfahren schlägt somit vor, ein mehrstufiges System aus einander übergeordneten Überwachungsmodulen bzw. Watchdogs für mehrstufige Fehlerreaktionen bzw. für eine mehrstufige Überwachung von Fehlerreaktionen zu verwenden. Das Überwachungsmodulsystem ermöglicht einerseits eine mehrstufige Überwachung von Recheneinheiten bzw. von in Recheneinheiten ausgeführten Prozessen sowie ferner eine mehrstufige Überwachung, ob bei einem erkannten Fehler korrekt auf diesen reagiert werden kann. Das Verfahren ermöglicht es somit, individuell und schnell reagieren zu können, wenn eine Fehlermaßnahme nicht korrekt durchgeführt wird oder wenn die Fehlermaßnahme beispielsweise nicht ausreicht, um einen erkannten Fehler zu beheben. Sicherheit und Integrität der Recheneinheit bzw. des Recheneinheitensystems können somit erhöht werden.
-
In herkömmlichen Überwachungskonzepten wird bei einem erkannten Fehler üblicherweise eine entsprechende Fehlermaßnahme durchgeführt. Eine weitere Überwachung dieser Fehlermaßnahme erfolgt dabei zumeist nicht. Wenn diese Fehlermaßnahme nicht korrekt ausgeführt wird oder wenn durch die Fehlermaßnahme nicht ausreichend auf den erkannten Fehler reagiert werden kann, kann dies herkömmlicherweise wenn überhaupt erst dann erkannt werden, wenn ein neuer Fehler detektiert wird. Im Gegensatz dazu ermöglicht es das vorliegende Verfahren, durchgeführte Fehlermaßnahmen explizit zu überwachen und individuell reagieren zu können, wenn bestimmte Fehlermaßnahmen nicht korrekt durchgeführt werden.
-
Das vorliegende Verfahren stellt besonders zweckmäßig eine Erweiterung des in der
DE 10 2018 210 733 A1 gezeigten Überwachungskonzepts dar. Wie eingangs erläutert, betrifft die
DE 10 2018 210 733 A1 ein System aus Hardware- und Softwareüberwachungsmodulen, die in verschiedene Hierarchieebenen eingeteilt sind. Das vorliegende Verfahren erweitert das in der
DE 10 2018 210 733 A1 gezeigte Überwachungskonzept besonders zweckmäßig um eine mehrstufige Fehlerüberwachung bzw. eine mehrstufige Überwachung von Fehlermaßnahmen. Das System aus einander übergeordneten Hardware- und Softwareüberwachungsmodulen gemäß dem vorliegenden Verfahren kann insbesondere gemäß einem derartigen Überwachungsmodulsystem der
DE 10 2018 210 733 A1 ausgestaltet sein. Die einander übergeordneten Überwachungsmodule gemäß dem vorliegenden Verfahren können insbesondere als ein System aus Überwachungsmodulen in drei Hierarchieebenen bzw. drei einander übergeordneten Instanzen gemäß der
DE 10 2018 210 733 A1 ausgestaltet sein. Für eine detaillierte Erläuterung des derartigen Systems aus Überwachungsmodulen verschiedener Hierarchieebenen sei insbesondere vollumfänglich auf die
DE 10 2018 210 733 A1 verwiesen, deren Offenbarung auch zum Inhalt dieser Anmeldung gemacht wird.
-
Gemäß einer vorteilhaften Ausführungsform wird überprüft, ob die übergeordnete Fehlermaßnahme korrekt durchgeführt wird. Wenn im Zuge dieser Überprüfung erkannt wird, dass die übergeordnete Fehlermaßnahme nicht korrekt durchgeführt wird, wird vorteilhafterweise erneut eine übergeordnete Fehlermaßnahme bzw. eine weitere übergeordnete Fehlermaßnahme durchgeführt und es wird erneut überprüft, ob diese weitere übergeordnete Fehlermaßnahme korrekt durchgeführt wird. Insbesondere wird somit jede durchgeführte Fehlermaßnahme überprüft und bei einer nicht korrekt durchgeführten Fehlermaßnahme wird zweckmäßigerweise jeweils eine weitere Fehlermaßnahme durchgeführt. Somit können insbesondere kaskadiert übergeordnete Fehlermaßnahmen durchgeführt werden, um individuell auf nicht korrekt durchgeführte Fehlermaßnahmen reagieren zu können. Insbesondere können wenn nötig so lange weitere übergeordnete Fehlermaßnahmen durchgeführt werden, bis eine finale, oberste Fehlermaßnahme durchgeführt wird, beispielsweise eine Deaktivieren der kompletten Recheneinheit bzw. des kompletten Recheneinheitensystems.
-
Vorzugsweise wird die vorgegebene Fehlermaßnahme in Abhängigkeit von dem erkannten Fehler gemäß einer vorgegebenen Fehlerreaktionszeit durchgeführt. Je nach Schwere bzw. Grad des jeweiligen Fehlers, kann somit unterschiedlich schnell auf diesen reagiert werden. Beispielsweise kann bei einem Fehler eines sicherheitskritischen Prozesses mit einer kurzen Fehlerreaktionszeit reagiert werden, so dass dieser schnellstmöglich behoben werden kann.
-
Bevorzugt wird, wenn die vorgegebene Fehlermaßnahme nicht korrekt durchgeführt wird und/oder wenn ferner die übergeordnete Fehlermaßnahme nicht korrekt durchgeführt wird, in Abhängigkeit von der nicht korrekt durchgeführten Fehlermaßnahme die entsprechende übergeordnete Fehlermaßnahme gemäß einer jeweiligen vorgegebenen Fehlerreaktionszeit durchgeführt. Somit kann mit einer individuellen Fehlerreaktionszeit auf eine nicht korrekt durchgeführte Fehlermaßnahme reagiert werden. Zweckmäßigerweise wird somit ein dediziertes Reagieren auf verschiedene Arten von Fehlern bzw. Fehlerquellen ermöglicht, um mit individuellen Fehlerreaktionszeiten auf individuelle Fehler eines Prozesses, eines Überwachungsmoduls oder einer Fehlerreaktion reagieren zu können.
-
Vorzugsweise überprüft das Überwachungsmodul, welches den Fehler erkennt, und/oder das diesem Überwachungsmodul übergeordnete Überwachungsmodul, ob die vorgegebene Fehlermaßnahme korrekt durchgeführt wird. Die Fehlermaßnahme kann somit von derselben Instanz bzw. in derselben Hierarchieebene durchgeführt werden, in welcher der zugrunde liegende Fehler erkannt wird, oder zweckmäßigerweise auch von einer übergeordneten Instanz bzw. in einer übergeordneten Hierarchieebene.
-
Bevorzugt führt das Überwachungsmodul, welches erkennt, dass die vorgegebene Fehlermaßnahme nicht korrekt durchgeführt wird, und/oder das diesem Überwachungsmodul übergeordnete Überwachungsmodul die übergeordnete Fehlermaßnahme durch. Bei nicht korrekter Fehlermaßnahme kann die entsprechende übergeordnete Fehlermaßnahme somit von derselben Instanz bzw. in derselben Hierarchieebene erfolgen, in welcher die auch die Fehlermaßnahme ausgeführt wird, oder zweckmäßigerweise auch von einer übergeordneten Instanz bzw. in einer übergeordneten Hierarchieebene.
-
Gemäß einer besonders vorteilhaften Ausführungsform wird, wenn ein Fehler eines Prozesses erkannt wird, als vorgegebene Fehlermaßnahme dieser als fehlerhaft erkannte Prozess deaktiviert oder neugestartet. Insbesondere kann das untergeordnete Softwaremodul, welchem dieser Prozess zugeordnet ist, das Deaktivieren bzw. den Neustart selbst durchführen oder veranlassen.
-
Vorzugsweise wird überprüft, ob das Deaktivieren des als fehlerhaft erkannten Prozesses als Fehlermaßnahme korrekt durchgeführt wird, indem überprüft wird, ob Übertragungen, welche im Zuge eines fehlerfreien Ausführens des Prozesses durchgeführt werden, nicht mehr durchgeführt werden. Insbesondere kann dieser Prozess im fehlerfreien Zustand spezielle Daten, Werte, Nachrichten usw. an weitere Prozessoren oder Komponenten der Recheneinheit übertragen. Wenn der Prozess nun fehlerhaft ist und deaktiviert werden soll, überprüft insbesondere das untergeordnete Softwaremodul, welchem dieser Prozess zugeordnet ist, ob diese Übertragungen tatsächlich ausbleiben. Werden diese Übertragungen dennoch weiterhin ausgesendet, deutet dies darauf hin, dass der Prozess nicht deaktiviert ist und dass die Fehlermaßnahme somit nicht korrekt durchgeführt wird.
-
Bevorzugt wird, wenn erkannt wird, dass das Deaktivieren oder der Neustart des als fehlerhaft erkannten Prozesses als Fehlermaßnahme nicht korrekt durchgeführt wird, als übergeordnete Fehlermaßnahme eine Hardwarekomponente deaktiviert oder neugestartet, auf welcher der als fehlerhaft erkannte Prozess ausgeführt wird. Insbesondere kann es sich bei dieser Hardwarekomponente um einen Prozessor bzw. einen Prozessorkern der jeweiligen Recheneinheit handeln oder zweckmäßigerweise auch um die gesamte Recheneinheit. Insbesondere wird von dieser Hardwarekomponente auch das untergeordnete Softwareüberwachungsmodul ausgeführt, welchem der fehlerhafte Prozess zugeordnet ist. Ferner kann von der Hardwarekomponente zweckmäßigerweise auch das entsprechende übergeordnete Softwareüberwachungsmodul ausgeführt werden. Zweckmäßigerweise informiert das untergeordnete Softwareüberwachungsmodul das ihm übergeordnete Softwareüberwachungsmodul und/oder das Hardwareüberwachungsmodul über die nicht korrekt durchgeführte Fehlermaßnahme. Zweckmäßigerweise kann das übergeordnete Softwareüberwachungsmodul bzw. das Hardwareüberwachungsmodul auch indirekt über die nicht korrekt durchgeführte Fehlermaßnahme informiert werden, beispielsweise wenn ein Fehlerzähler einen Schwellwert erreicht. Das übergeordnete Softwareüberwachungsmodul und/oder das Hardwareüberwachungsmodul führt daraufhin zweckmäßigerweise die übergeordnete Fehlermaßnahme durch und deaktiviert die Hardwarekomponente bzw. startet diese neu. Besonders zweckmäßig führt das Hardwareüberwachungsmodul als oberste Instanz den Neustart bzw. die Deaktivierung der Hardwarekomponente durch.
-
Gemäß einer bevorzugten Ausführungsform ist das wenigstens eine untergeordnete Softwareüberwachungsmodul über eine erste Schnittstelle mit dem übergeordneten Softwareüberwachungsmodul verbunden. Alternativ oder zusätzlich ist das übergeordnete Softwareüberwachungsmodul vorzugsweise über eine zweite Schnittstelle mit dem übergeordneten Hardwareüberwachungsmodul verbunden. Insbesondere kann es sich bei diesen Schnittstellen jeweils um eine in Software und/oder in Hardware implementierte Schnittstelle handeln. Zweckmäßigerweise ist die erste Schnittstelle zwischen den untergeordneten und dem übergeordneten Softwareüberwachungsmodul als eine Software-Schnittstelle ausgebildet. Die zweite Schnittstelle zwischen übergeordnetem Softwareüberwachungsmodul und übergeordnetem Hardwareüberwachungsmodul ist zweckmäßigerweise als eine Hardware-Schnittstelle ausgebildet. Insbesondere sind die erste und die zweite Schnittstelle jeweils standardisierte Schnittstellen. Die Überwachungsmodule sind zweckmäßigerweise auf diese standardisierten Schnittstellen ausgelegt, so dass ein flexibler Austausch einzelner Überwachungsmodule ermöglicht wird.
-
Vorteilhafterweise wird als die Fehlermaßnahme und/oder als die übergeordnete Fehlermaßnahme das wenigstens eine untergeordnete Softwareüberwachungsmodul über die erste Schnittstelle ausgetauscht. Über die erste Schnittstelle kann das jeweilige ausgetauschte untergeordnete Softwareüberwachungsmodul mit dem übergeordneten Softwareüberwachungsmodul verbunden werden. Alternativ oder zusätzlich wird bevorzugt das übergeordnete Softwareüberwachungsmodul über die erste Schnittstelle und die zweite Schnittstelle ausgetauscht. Über die beiden Schnittstellen kann das übergeordnete Softwareüberwachungsmodul flexibel mit den untergeordneten Softwareüberwachungsmodulen sowie dem übergeordneten Hardwareüberwachungsmodul verbunden werden. Alternativ oder zusätzlich wird das übergeordnete Hardwareüberwachungsmodul vorzugsweise über die zweite Schnittstelle ausgetauscht. Das Hardwareüberwachungsmodul kann über die zweite Schnittstelle mit den entsprechenden übergeordneten Softwareüberwachungsmodulen verbunden werden. Die standardisierten Schnittstellen ermöglichen es somit, auf aufwandsarme Weise andere Prozesse und Softwareüberwachungsmodule einzubinden bzw. auf ein anderes Hardwareüberwachungsmodul umzustellen.
-
Besonders bevorzugt eignet sich das Verfahren zur Anwendung im Fahrzeugbereich. Die zu überwachenden Recheneinheiten können jeweils insbesondere als ein Steuergerät bzw. als ein Mikrocontroller oder Mikroprozessor in einem (Kraft-) Fahrzeug ausgebildet sein. Von der Recheneinheit ausgeführte, zu überwachende Prozesse können insbesondere sicherheitskritische Funktionen sein, welche zum sicheren Betrieb und zur Steuerung des Fahrzeugs ausgeführt werden, beispielsweise im Zuge einer Motorsteuerung oder im Zuge von Fahrassistenzfunktionen usw. Durch die Überwachung derartiger Recheneinheiten im Rahmendes vorliegenden Verfahrens können insbesondere Sicherheitsanforderungen im (Kraft-) Fahrzeugbereich erfüllt werden, wie sie beispielsweise in der Norm ISO 26262 vorgegeben werden oder insbesondere von dem sog. Automotive Safety Integrity Level (ASIL), eine von der ISO 26262 spezifizierte Sicherheitsanforderungsstufe für sicherheitsrelevante Systeme in Kraftfahrzeugen.
-
Eine erfindungsgemäße Recheneinheit bzw. ein erfindungsgemäßes System aus wenigstens zwei derartigen Recheneinheiten ist, insbesondere programmtechnisch, dazu eingerichtet, ein erfindungsgemäßes Verfahren durchzuführen. Besonders bevorzugt ist die Recheneinheit bzw. das System aus Recheneinheiten in ein Steuergerät eines Kraftfahrzeugs implementiert.
-
Auch die Implementierung eines erfindungsgemäßen Verfahrens in Form eines Computerprogramms oder Computerprogrammprodukts mit Programmcode zur Durchführung aller Verfahrensschritte ist vorteilhaft, da dies besonders geringe Kosten verursacht, insbesondere wenn ein ausführendes Steuergerät noch für weitere Aufgaben genutzt wird und daher ohnehin vorhanden ist. Geeignete Datenträger zur Bereitstellung des Computerprogramms sind insbesondere magnetische, optische und elektrische Speicher, wie z.B. Festplatten, Flash-Speicher, EEPROMs, DVDs u.a.m. Auch ein Download eines Programms über Computernetze (Internet, Intranet usw.) ist möglich.
-
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und der beiliegenden Zeichnung.
-
Die Erfindung ist anhand von Ausführungsbeispielen in der Zeichnung schematisch dargestellt und wird im Folgenden unter Bezugnahme auf die Zeichnung beschrieben.
-
Figurenliste
-
- 1a bis 1d zeigen schematisch Steuergeräte eines Fahrzeugs, die jeweils dazu eingerichtet sind, eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens durchzuführen.
- 2 zeigt schematisch eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens als ein Blockdiagramm.
-
Ausführungsform(en) der Erfindung
-
In 1a ist ein Steuergerät 100 eines (Kraft-) Fahrzeugs schematisch dargestellt, beispielsweise ein Steuergerät zum Ausführen von Fahrassistenzfunktionen.
-
Das Steuergerät 100 weist einen Mikrocontroller 110 auf, welcher wiederum eine Vielzahl von Prozessorkernen 111, 112 aufweist. In jedem Prozessorkern 111, 112 wird jeweils eine Vielzahl von Prozessen 131, 132, 141, 142 ausgeführt. Ferner ist in dem Mikrocontroller 110 eine als Sicherheitskern ausgebildete Sicherheitsrecheneinheit 113 vorgesehen.
-
Um das Steuergerät 100 auf Fehler zu überwachen ist ein System 200 aus Überwachungsmodulen bzw. Watchdogs vorgesehen mit einer Vielzahl von untergeordneten Softwareüberwachungsmodulen 231, 232, einem übergeordneten Softwareüberwachungsmodul 221 und einem übergeordneten Hardwareüberwachungsmodul 211.
-
In jedem der Prozessorkerne 111, 112 ist jeweils ein untergeordnetes, prozess- bzw. anwendungsspezifisches Softwareüberwachungsmodul 231, 232 vorgesehen. Diese untergeordneten Softwareüberwachungsmodule 231, 232 werden jeweils als ein Programm bzw. Prozess von dem jeweiligen Prozessorkern 111, 112 ausgeführt und sind in dessen Programmablauf eingebunden. Jedes dieser Softwareüberwachungsmodule 231, 232 überwacht die in dem jeweiligen Prozessorkern 111, 112 ausgeführten Prozesse 131, 132, 141, 142,.
-
Ferner ist ein übergeordnetes, internes, zentrales Softwareüberwachungsmodul 221 vorgesehen, welches beispielsweise als ein Programm bzw. Prozess in der Sicherheitsrecheneinheit 113 des Mikrocontrollers 110 ausgeführt wird. Jedes untergeordnete Softwareüberwachungsmodul 231, 232 ist über eine erste Schnittstelle 261, 262 mit dem übergeordneten Softwareüberwachungsmodul 221 verbunden und wird von diesem überwacht.
-
Das übergeordnete Hardwareüberwachungsmodul 211 ist als eine externe, von dem Steuergerät 100 unabhängige Hardwareeinheit vorgesehen. Das übergeordnete Softwareüberwachungsmodul 221 ist über eine zweite Schnittstelle 251 mit dem übergeordneten Hardwareüberwachungsmodul 211 verbunden und wird von diesem überwacht.
-
Das Steuergerät 100 kann ferner auch als ein System aus mehreren Recheneinheiten ausgebildet sein und beispielsweise mehrere Mikrocontroller umfassen, wie es schematisch in den 1b, 1c und 1d dargestellt ist.
-
Im Beispiel der 1b, 1c und 1d weist das Steuergerät 100 jeweils ferner einen zweiten Mikrocontroller 120 auf, welcher wiederum eine Vielzahl von Prozessorkernen 121, 122 aufweist, wobei in jedem dieser Prozessorkerne 121, 122 jeweils eine Vielzahl von Prozessen 151, 152, 161, 162 ausgeführt wird.
-
Auch in den Prozessorkernen 121, 122 ist jeweils ein untergeordnetes, prozess- bzw. anwendungsspezifisches Softwareüberwachungsmodul 233, 234 vorgesehen, um die in dem jeweiligen Prozessorkern 121, 122 ausgeführten Prozesse 151, 152, 161, 162 zu überwachen.
-
Im Beispiel von 1b ist das in der Sicherheitsrecheneinheit 113 des ersten Mikrocontrollers 110 ausgeführte, übergeordnete Softwareüberwachungsmodul 221 ferner auch zur Überwachung der untergeordneten Softwareüberwachungsmodule 233, 234 des zweiten Mikrocontrollers 120 vorgesehen. Zu diesem Zweck sind die untergeordneten Softwareüberwachungsmodule 233, 234 jeweils über eine entsprechende Schnittstelle 263, 264 mit dem übergeordneten Softwareüberwachungsmodul 221 verbunden, so dass dieses Überwachungsmodul 221 direkt über eine Inter-Prozessor-Kommunikation 115 mit den untergeordneten Modulen 233, 234 kommunizieren kann.
-
Ferner ist es auch denkbar, in dem zweiten Mikrocontroller 120 ein eigenes übergeordnetes Softwareüberwachungsmodul 222 vorzusehen, wie es in 1c dargestellt ist. Beispielsweise weist zu diesem Zweck auch der zweite Mikrocontroller 120 eine als Sicherheitskern ausgebildete Sicherheitsrecheneinheit 123 auf, in welcher das übergeordnete Softwareüberwachungsmodul 222 als ein als ein Programm bzw. Prozess ausgeführt wird. Die untergeordneten Softwareüberwachungsmodule 233, 234 sind jeweils über die entsprechende Schnittstelle 263, 264 mit diesem übergeordneten Softwareüberwachungsmodul 222 verbunden und werden von diesem überwacht. Das übergeordnete Softwareüberwachungsmodul 222 des zweiten Mikrocontrollers 120 steht ferner über eine Inter-Prozessor-Kommunikation 115 mit dem übergeordneten Softwareüberwachungsmodul 221 des ersten Mikrocontrollers 110 in Verbindung. In diesem Fall ist das übergeordneten Softwareüberwachungsmodul 221 des ersten Mikrocontrollers 110 ferner insbesondere vorgesehen, um eine Kommunikation zwischen den übergeordneten Softwareüberwachungsmodul 222 des zweiten Mikrocontrollers 120 und dem übergeordneten Hardwareüberwachungsmodul 211 zu vermitteln bzw. zu koordinieren.
-
Alternativ ist es auch denkbar, dass das übergeordnete Softwareüberwachungsmodul 222 des zweiten Mikrocontrollers 120 und das Hardwareüberwachungsmodul 211 direkt miteinander kommunizieren können, wie es in 1d dargestellt ist. Dabei ist Softwareüberwachungsmodul 222 über eine entsprechende Schnittstelle 252 direkt mit dem Hardwareüberwachungsmodul 211 verbunden. In diesem Fall ist eine Inter-Prozessor-Kommunikation zwischen den übergeordneten Softwareüberwachungsmodulen 221 und 222 der beiden Mikrocontroller 110, 120 für die Kommunikation zwischen dem Softwareüberwachungsmodul 222 und dem Hardwareüberwachungsmodul 211 nicht nötig. Es versteht sich, dass die Mikrocontroller 110 und 120 aber dennoch über eine Inter-Prozessor-Kommunikation miteinander verbunden sein können.
-
In den Beispielen der 1b, 1c und 1d ist das Hardwareüberwachungsmodul 211 somit allen übergeordneten Softwareüberwachungsmodulen 221, 222 und ferner allen untergeordneten Softwareüberwachungsmodulen 231, 232, 233, 234 der beiden Mikrocontroller 110, 120 gemeinsam übergeordnet. Alternativ ist es auch denkbar, ein zweites Hardwareüberwachungsmodul zu verwenden, so dass ein erstes Hardwareüberwachungsmodul dem ersten Mikrocontroller 110 zugewiesen ist und ein zweites Hardwareüberwachungsmodul dem zweiten Mikrocontroller 120.
-
Ferner können über die Schnittstellen 251,252, 261, 262, 263, 264 einzelne der Überwachungsmodule bei Bedarf flexibel und individuell ausgetauscht werden.
-
Es versteht sich ferner, dass das Steuergerät 100 noch weitere Komponenten aufweisen kann, beispielsweise weitere Mikrocontroller oder Mikroprozessoren sowie beispielsweise Analog-Digital-Wandler (ADC), Digital-Analog-Wandler (DAC), Ein/-Ausgänge (E/A) usw.
-
Mit dem System 200 aus einander übergeordneten Überwachungsmodulen bzw. Watchdogs, wie es in den 1a, 1b, 1c und 1d gezeigt ist, wird eine mehrstufige Überwachung des Steuergeräts 100 sowie ferner eine mehrstufige Fehlerreaktion bzw. eine mehrstufige Überwachung von Fehlerreaktionen ermöglicht. Zu diesem Zweck ist das Steuergerät 100 dazu eingerichtet, eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens durchzuführen bzw. gemäß einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens überwacht zu werden.
-
Eine bevorzugte Ausführungsform eines erfindungsgemäßen Verfahrens ist in 2 als ein Blockdiagramm dargestellt und wird nachfolgend beispielhaft anhand von 2 in Bezug auf das in 1c gezeigte Steuergerät erläutert.
-
In einem Schritt 301 wird das Steuergerät 100 regulär betrieben und die einzelnen Prozessorkerne 111, 112, 121, 122 führen ihre jeweiligen Prozesse 131, 132, 141, 142, 151, 152, 161, 162 aus.
-
In Schritt 302 wird eine mehrstufige Überwachung des Steuergeräts 100 durchgeführt. Dabei überwachen die einzelnen untergeordneten Softwareüberwachungsmodule 231, 232, 233, 234 die jeweiligen Prozesse 131, 132, 141, 142, 151, 152, 161, 162. Die übergeordneten Softwareüberwachungsmodule 221, 222 überwachen wiederum die untergeordneten Softwareüberwachungsmodule 231, 232, 233, 234 und das Hardwareüberwachungsmodul 211 überwacht die übergeordneten Softwareüberwachungsmodule 221, 222. Diese einzelnen Überwachungen können jeweils beispielsweise mit Hilfe einer Frage-/Antwort-Kommunikation durchgeführt werden.
-
Als Prozesse 131, 132, 141, 142, 151, 152, 161, 162 können in den verschiedenen Prozessorkernen 111, 112, 121, 122 jeweils beispielsweise Tasks unterschiedlicher ASI L-Stufen ausgeführt werden. Dabei werden die einzelnen Tasks in den verschiedenen Prozessorkernen 111, 112, 121, 122 jeweils beispielsweise mittels eines Ringspeichers („ring buffer“) abgearbeitet und von dem jeweiligen untergeordneten Softwareüberwachungsmodul 231, 232, 233, 234 überwacht. Die Größe dieser einzelnen Ringspeicher kann jeweils insbesondere in Abhängigkeit von einem Raster des jeweiligen untergeordneten Softwareüberwachungsmoduls 231, 232, 233, 234 sowie ferner insbesondere in Abhängigkeit von einer Fehlertoleranzzeit des jeweiligen Tasks gewählt werden.
-
Die applikationsspezifischen, untergeordneten Softwareüberwachungsmodule 231, 232, 233, 234 lesen die jeweiligen Ringspeicher insbesondere kontinuierlich aus und überprüfen deren Einträge auf Richtigkeit und Aktualität. Ferner überprüfen die übergeordneten Softwareüberwachungsmodule 221, 222 zweckmäßigerweise die untergeordneten Softwareüberwachungsmodule 231, 232, 233, 234 auf Richtigkeit und Aktualität.
-
Zweckmäßigerweise können die Ringspeicher der verschiedenen Prozessorkernen 111, 112, 121, 122 jeweils applikationsspezifisch und ASILspezifisch unterschieden werden, so dass es insbesondere nicht zu Störungen oder Beeinflussungen zwischen verschiedenen Applikationen und verschiedenen ASIL-Stufen einer Applikation kommt.
-
In Schritt 303 wird ein Fehler erkannt. Beispielsweise erkennt das untergeordnete Softwareüberwachungsmodul 231, dass der Prozess 131 in dem Prozessorkern 111 nicht mehr korrekt ausgeführt wird.
-
In Schritt 304 wird eine vorgegebene Fehlermaßnahme gemäß einer vorgegebenen Fehlerreaktionszeit durchgeführt, um diesen erkannten Fehler zu beheben. Beispielsweise führt zu diesem Zweck das untergeordnete Softwareüberwachungsmodul 231 einen Neustart des fehlerhaften Prozesses 131 durch.
-
In Schritt 305 wird überprüft, ob diese vorgegebene Fehlermaßnahme korrekt durchgeführt wird. Zu diesem Zweck überprüft das untergeordnete Softwareüberwachungsmodul 231, ob der fehlerhafte Prozess 131 neugestartet wurde und nun korrekt funktioniert. Wenn dies der Fall ist, wird mit dem regulären Betrieb 301 des Steuergeräts 100 fortgefahren.
-
Wenn im Zuge der Überprüfung 305 jedoch erkannt wird, dass die vorgegebene Fehlermaßnahme nicht korrekt durchgeführt wird, wird in Schritt 306 eine übergeordnete, zweite Fehlermaßnahme gemäß einer zweiten vorgegebenen Fehlerreaktionszeit durchgeführt. Wenn beispielsweise das untergeordnete Softwareüberwachungsmodul 231 in Schritt 305 erkennt, dass der fehlerhafte Prozess 131 nicht neugestartet werden kann, wird dies dem übergeordneten Softwareüberwachungsmodul 221 mitgeteilt, welches in Schritt 306 als übergeordnete, zweite Fehlermaßnahme einen Neustart des Prozessorkerns 111 durchführt oder den fehlerhaften Prozess 131 deaktiviert.
-
In Schritt 307 wird nun überwacht, ob diese übergeordnete Fehlermaßnahme korrekt durchgeführt wird. Zu diesem Zweck überwacht das übergeordnete Softwareüberwachungsmodul 221 beispielsweise, ob der Prozessorkern 111 neugestartet wurde oder die Deaktivierung des Prozesses 131 erfolgreich war. Sofern dies der Fall ist, wird wieder der reguläre Betrieb 301 des Steuergeräts 100 gestartet.
-
Wenn jedoch im Zuge dieser Überprüfung 307 erkannt wird, dass die übergeordnete, zweite Fehlermaßnahme nicht korrekt durchgeführt wird, wird erneut eine übergeordnete, dritte Fehlermaßnahme gemäß einer dritten vorgegebenen Fehlerreaktionszeit durchgeführt.
-
Das übergeordnete Softwareüberwachungsmodul 221 teilt in diesem Fall dem Hardwareüberwachungsmodul 211 mit, dass der Prozessorkern 111 nicht neugestartet werden kann oder dass der Prozess 131 nicht deaktiviert werden kann. Dieses Mitteilen kann beispielsweise auch dadurch erfolgen, dass Fragen im Rahmen einer Frage/Antwort-Kommunikation mit dem Hardwareüberwachungsmodul nicht richtig beantwortet werden.
-
Wenn beispielsweise ein Fehlerzähler bzw. ein Frage-Antwort-Zähler im Rahmen dieser Frage/Antwort-Kommunikation einen Schwellwert erreicht, deaktiviert das Hardwareüberwachungsmodul 211 in Schritt 308 als übergeordnete, dritte Fehlermaßnahme Ausgänge, Endstufen und Schnittstellen des Steuergeräts 100. Zusätzlich kann beispielsweise ein Neustart des Steuergeräts 100 durch das Hardwareüberwachungsmodul 211 ausgelöst werden. Die Deaktivierung der Ausgänge, Endstufen und Schnittstellen des Steuergeräts 100 überdauert dabei zweckmäßigerweise Neustarts und kann besonders zweckmäßig nur durch das Hardwareüberwachungsmodul 211 rückgängig gemacht werden.
-
In Schritt 309 wird daraufhin überprüft, ob der Fehlerzähler sich verringert und wieder unter den vorgegebenen Schwellwert fällt. Sofern dies nicht der Fall ist, deutet dies daraufhin, dass der Fehler des Prozesses 131 nach wie vor vorliegt. Die Ausgänge, Endstufen und Schnittstellen des Steuergeräts 100 bleiben deaktiviert.
-
Wenn der Fehlerzähler jedoch wieder unter den Schwellwert fällt, deutet dies darauf hin, dass der Prozess 131 wieder fehlerfrei funktioniert. In diesem Fall aktiviert das Hardwareüberwachungsmodul 211 in Schritt 310 die Ausgänge, Endstufen und Schnittstellen des Steuergeräts 100. Daraufhin kann wieder der reguläre Betrieb 301 des Steuergeräts 100 gestartet werden.
-
Das vorliegende Verfahren ermöglicht es mit Hilfe des Systems 200 aus Überwachungsmodulen eine mehrstufige Überwachung der Recheneinheit 100 sowie eine mehrstufige Fehlerreaktion bzw. eine mehrstufige Überwachung von Fehlerreaktionen durchzuführen. Auf nicht korrekt durchführbare Fehlermaßnahmen kann somit individuell mit individuellen Fehlerreaktionszeiten reagiert werden.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102018210733 A1 [0003, 0013]
