DE102022206080A1

DE102022206080A1 - Verfahren zum Betreiben einer Rechenanordnung

Info

Publication number: DE102022206080A1
Application number: DE102022206080.6A
Authority: DE
Inventors: Ibrahim Duran; Philipp Brechel; Christoph Senneka; Manuela Niekisch; Silke Bobka; Thomas Tietjen; Wei Ling; Adrian Haug; Martin Karle; Daniel Wettach; Stefan Kummler; Dieter Bruss
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2022-06-15
Filing date: 2022-06-15
Publication date: 2023-12-21
Also published as: CN117234121A; US20230409449A1

Abstract

Verfahren zum Betreiben einer Rechenanordnung (10), wobei die Rechenanordnung (10) umfasst: mehrere Ein-Chip-Systeme (12, 14), wobei die Ein-Chip-Systeme (12, 14) dazu eingerichtet sind, gleiche Sensordaten zu erhalten, und mindestens einen Degradationsmechanismus, der dazu eingerichtet ist, Funktionen eines ausgefallenen Ein-Chip-Systems (12, 14) auf einem anderen Ein-Chip-System (12, 14) durchzuführen, wobei bei dem Verfahren, wenn ein Ausfall zumindest eines der Ein-Chip-Systeme (12, 14) erfasst wird, zum Ausführen einer Funktion, die dem ausgefallenen Ein-Chip-System (12, 14) zugeordnet ist, auf ein anderes Ein-Chip-System (12, 14) umgeschaltet wird, wobei zusätzlich ein Degradationsmechanismus durchgeführt wird.

Description

Die Erfindung betrifft ein Verfahren zum Betreiben einer Rechenanordnung und eine solche Rechenanordnung, insbesondere eine Rechenanordnung, die für einen Einsatz in einem Kraftfahrzeug eingerichtet ist.
Stand der Technik
In automotiven Steuergeräten (ECU: Electronic Control Unit) ist es bekannt, einen Hauptrechner, bspw. ein Ein-Chip-System (SoC: System-on-Chip) oder einen Mikrocontroller, in Verbindung mit einem Überwachungsrechner zu verwenden. Die Aufgabe des Hauptrechners besteht darin, die Algorithmen bzw. Funktionen des Steuergeräts zu rechnen. Die Aufgabe des Überwachungsrechners ist es, den richtigen Betrieb, bspw. hinsichtlich Spannungsversorgung, Temperatur, Watchdog usw., des Hauptrechners zu überwachen und im Fehlerfall ein Abschalten oder ein Rücksetzen bzw. ein Reset zu bewirken. Unter einem SoC versteht man einen Baustein bzw. Chip, d. h. einen integrierten Schaltkreis auf einem Halbleitersubstrat, in dem alle oder ein großer Teil der Funktionen eines elektronischen Systems integriert sind.
Steuergeräte, die verstärkt im Bereich der Zentralsteuergeräte eingesetzt werden, verwenden mehrere Hauptrechner (Multi-SoC). Hierbei rechnet jeder Hauptrechner die Daten der am jeweiligen Rechner angeschlossenen Sensoren. Diese Hauptrechner werden, wie dies bereits bekannt ist, von einem Überwachungsrechner überwacht und im Fehlerfall abgeschaltet oder zurückgesetzt. Dabei ist jedoch zu beachten, dass für den Fall, dass einer der Hauptrechner ausfällt, die Daten der angeschlossenen Sensoren nicht mehr ausgewertet werden können.
Daneben ist zu berücksichtigen, dass z. B. in Videosteuergeräten heutzutage bereits sicherheitsrelevante Funktionen, wie bspw. die Notbremsfunktionalität (AEB: Autonomous Emergency Braking), bis Level 2 realisiert werden. Darüber hinaus werden Steuergeräte für das autonome Fahren bzw. für Level 3, Level 4 und Level 5 zur Zeit entwickelt.
Ausfälle von einzelnen Komponenten, den Hauptrechnern bzw. SoC, und folglich der verbundenen Sensoren haben jedoch einen erheblichen Einfluss auf die Funktion des Systems. Für solche Fälle muss auf den verantwortlichen Fahrer des Fahrzeugs zurückgegriffen werden. Allerdings ist die Rückfalllösung Fahrer in den Systemen mit Level 3 bis Level 5 nicht mehr oder nur eingeschränkt möglich.
Um ein fehlertoleranteres System zu entwickeln, wird deswegen bereits auf vollständig redundante Architekturen gesetzt. Redundante Architekturen bedeuten jedoch auch eine Verdoppelung der Bauelemente und des Platzbedarfs auf der Leiterplatte. Außerdem muss im Fehlerfall vollständig von einem Chip auf einen anderen gleichwertigen Chip umgeschaltet werden, im Sinne der Dekomposition nach ISO26262.
Dieses Konzept lässt sich im Rahmen von massentauglichen ADAS- (Advanced Driver Assistance Systems) Steuergeräten nur schwer umsetzen, da ADAS-Steuergeräte kostengetrieben sind und anwendungsspezifisch entwickelt werden. Gründe hierfür sind bspw.: Kosten, Platzbedarf im Fahrzeug, insbesondere Leiterplatte/Gehäuse, Thermik, d. h. Verlustleistung, usw. Aufgrund der anwendungsspezifischen Entwicklung werden die verwendeten Hauptrechner stark ausgelastet, weshalb kaum weitere oder sogar keine weiteren Funktionen auf den Hauptrechnern realisiert werden können.
Offenbarung der Erfindung
Vor diesem Hintergrund werden ein Verfahren mit den Merkmalen des Anspruchs 1 und eine Rechenanordnung gemäß Anspruch 13 vorgeschlagen.
Ausführungsformen ergeben sich aus den abhängigen Ansprüchen und aus der Beschreibung.
Das vorgestellte Verfahren dient zum Betreiben einer Rechenanordnung, wobei die Rechenanordnung mehrere Ein-Chip-Systeme, die dazu eingerichtet sind, gleiche Sensordaten zu erhalten, und mindestens einen Degradationsmechanismus, der dazu eingerichtet ist, Funktionen eines ausgefallenen Ein-Chip-Systems auf einem anderen Ein-Chip-System durchzuführen, umfasst. Bei dem Verfahren wird, wenn ein Ausfall zumindest eines der Ein-Chip-Systeme erfasst wird, zum Ausführen einer Funktion, die dem ausgefallenen Ein-Chip-System zugeordnet ist, auf ein anderes Ein-Chip-System umgeschaltet, wobei zusätzlich ein Degradationsmechanismus durchgeführt wird.
Umschalten bedeutet in diesem Zusammenhang, dass die Funktion auf dem anderen Ein-Chip-System zum Teil oder zusätzlich mit abgedeckt wird.
Die vorgestellte Rechenanordnung ist zum Durchführen des hierin vorgestellten Verfahrens eingerichtet und stellt somit ein fehlertolerantes System dar, das mehrere Ein-Chip-Systeme (SoC) aufweist, mit denen ein Degradationsmechanismus durchgeführt werden kann.
In Ausgestaltung verwendet die Rechenanordnung Multi-SoC-Architekturen, um mithilfe von Degradationsmechanismen ein fehlertolerantes System zu realisieren. Hierzu umfasst die Rechenanordnung mehrere SoCs, die die gleichen Sensordaten erhalten, und Degradationsmechanismen, um die Funktionen des ausgefallenen SoCs in einem anderen SoC berechnen zu können. Weiterhin können Mechanismen zur kurzzeitigen, insbesondere thermischen, Überlastung eines SoCs vorgesehen sein, um eine Notfallreaktion ausführen zu können.
Der Degradationsmechanismus basiert auf dem Vorhandensein mehrerer SoCs, die im Fehlerfall die Daten bzw. Funktionen des jeweiligen anderen SoCs zum Teil oder zusätzlich berechnen.
Der Degradationsmechanismus kann in einem Zentralsteuergerät implementiert werden. Er hängt aber einerseits von der Konfiguration der Systeme, wie viele Kameras, nötige Farbtiefe für die Algorithmen usw., und andererseits von den notwendigen Minimalfunktionen für einen sicheren Zustand ab.
Außerdem können unwichtigere Sensoren verworfen werden, um die Hauptsensordaten auswerten zu können. Darüber hinaus können weniger relevante Funktionen im SoC abgeschaltet werden, um die wichtigsten Funktionen aufrechtzuerhalten.
In weiteren Ausführungsformen kann vorgesehen sein:

Es können mehrere SoCs verwendet werden, die jeweis nur einen Teil der Sensordaten verarbeiten können. Dadurch wird ein kostengünstiges und kompaktes Design ermöglicht.

Die Degradationsmechanismen können eine Reduktion der Bildwiederholrate, bspw. auf 50%, vornehmen, um alle Sensoren verarbeiten zu können. Außerdem kann eine Reduktion der Auflösung, bspw. auf 50%, vorgenommen werden, um alle Sensoren verarbeiten zu können.
Daneben kann das Sichtfeld (Field of View) reduziert werden, so können bspw. Kameras nur noch eine Unter- bzw. Submenge des Gesamtbildes auswerten. Darüber hinaus kann die Farbtiefe reduziert werden, bspw. auf 50%, um alle Sensoren verarbeiten zu können.
Diese oder ähnliche Degradationen sind auch bei nicht videobasierten Sensoren wie Radar oder Ultraschall bzw. Lidar möglich.
Die Mechanismen zur kurzzeitigen thermischen Überlastung können dazu vorgesehen sein, um eine Notfallreaktion abfahren zu können, bspw. an den Straßenrand fahren und anhalten.
Unwichtigere Sensordaten können verworfen werden, wobei insbesondere Kameraströme von Nahfeldkameras abgeworfen und Fernfeldkameras weiter genutzt werden.
Ein Abschalten von Funktionen im SoC kann bei unterschiedlichen Anwendungsfällen vorgenommen werden:

- Auf der Autobahn können bspw. Funktionen für Überholmanöver abgeschaltet werden.
- In der Stadt werden Fernfeldkameras abgeworfen und es werden nur noch Nahfeldkameras verwendet.
- Es können redundante Berechnungen von Videofunktionen, die dafür verwendet werden, um zu plausibilisieren und fehler- bzw. ausfallsichere Reaktionen einzunehmen, abgeschaltet werden.
- Sind Diagnosedaten von einem SoC nicht erreichbar, können bzw. kann trotzdem noch Backupdaten bzw. eine Ersatzdiagnose von einem anderen SoC verfügbar sein.

Durch die Degradation wird ermöglicht, dass ein kompakteres und ein in der thermischen Leistung reduziertes Steuergerät entwickelt werden kann.
Die Möglichkeit, kurzzeitig Fehlerreaktionen auf einem SoC rechnen zu können, diesen jedoch nicht vollständig redundant in einem weiteren SoC im Steuergerät ausführen zu müssen, bringt einen erheblichen Kostenvorteil im Vergleich zu voll redundanten Designs.
Insbesondere kann auf diese Weise der Nachteil bekannter Rechenanordnungen, entweder kein fehlertolerantes System zu erhalten oder eine vollständige Hardwareredundanz aufzubauen, vermieden werden.
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und den beiliegenden Zeichnungen.
Es versteht sich, dass die voranstehend genannten und die nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.
Kurze Beschreibung der Zeichnungen

1 zeigt in einem Blockdiagramm eine Ausführungsform der vorgestellten Rechenanordnung.
2 zeigt die Rechenanordnung aus 1 im Fehlerfall.
3 zeigt in einem Flussdiagramm einen möglichen Ablauf eines Verfahrens zum Durchführen eines Degradationsmechanismus.

Ausführungsformen der Erfindung
Die Erfindung ist anhand von Ausführungsformen in den Zeichnungen schematisch dargestellt und wird im Folgenden unter Bezugnahme auf die Zeichnungen ausführlich beschrieben.
In 1 ist in schematischer Darstellung eine Rechenanordnung dargestellt, die insgesamt mit der Bezugsziffer 10 bezeichnet ist. Die Rechenanordnung 10 weist ein erstes Ein-Chip-System SoC 112 und ein zweites Ein-Chip-System SoC 2 14 auf. Weiterhin sind exemplarisch acht Sensoren 16, in zwei Blöcken 18 und 20 gruppiert, dargestellt, die über erste Verbindungen 22 an alle SoCs 12, 14 angeschlossen werden. Die Sensordaten liegen den Ein-Chip-Systemen SoC 1 12 und SoC 2 14 vor.
Im normalen Betriebszustand verarbeitet SoC 1 12 die jeweils zugeordneten Sensoren 16 aus dem ersten Block 18 und SoC 2 14 die jeweils zugeordneten Sensoren 16 aus dem zweiten Block 20. Über zweite Verbindungen 24 werden erfasste Daten an eine Ausgabe 26 gegeben.
Tritt ein Fehler 30 an einem der SoCs 12 bzw. 14 auf, in 2 an SoC 2 14, so übernimmt der jeweils andere SoC 12 bzw. 14, in diesem Fall SoC 112, die am fehlerhaften SoC 12 bzw. 14, in diesem Fall SoC 2 14, zugeordneten Sensoren 16, in diesem Fall die Sensoren 16 im zweiten Block 20, und verarbeitet die Daten durch Anwendung der vorstehend beschriebenen Mechanismen.
Durch die gemeinsam verbundene Ausgabe 26 ist sichergestellt, dass die Daten erhalten bleiben bzw. vom jeweils funktionsfähigen SoC 12 bzw. 14 realisiert werden können.
In 3 ist in einem Flussdiagramm ein möglicher Ablauf zum Durchführen eines Verfahrens der hierin vorgestellten Art zum Betreiben einer Rechenanordnung beschrieben. Diese Rechenanordnung umfasst mehrere Ein-Chip-Systeme und mindestens einen Degradationsmechanismus. Dieser ist typischerweise in einer Hard- und/oder Software implementiert.
In einem ersten Schritt 50 wird ein Ausfall eines der Ein-Chip-Systeme festgestellt. Die Funktion des ausgefallenen Ein-Chip-Systems wird dann in einem Schritt 52 auf ein anderes Ein-Chip-System übertragen. Weiterhin wird in einem Schritt 54 ein Degradationsmechanismus durchgeführt, um den weiteren Betrieb der Rechenanordnung zu unterstützen bzw. zu gewährleisten.
Von Bedeutung ist, dass die Rechenanordnung dazu eingerichtet ist, einen Ausfall eines der Ein-Chip-System zu erfassen und dann ein geeignetes anderes Ein-Chip-System auszuwählen, das die Funktion(en), die dem ausgefallenen Ein-Chip-System zugeordnet ist bzw. sind, ausführen kann.

Claims

Verfahren zum Betreiben einer Rechenanordnung (10), wobei die Rechenanordnung (10) umfasst: - mehrere Ein-Chip-Systeme (12, 14), wobei die Ein-Chip-Systeme (12, 14) dazu eingerichtet sind, gleiche Sensordaten zu erhalten, und - mindestens einen Degradationsmechanismus, der dazu eingerichtet ist, Funktionen eines ausgefallenen Ein-Chip-Systems (12, 14) auf einem anderen Ein-Chip-System (12, 14) durchzuführen, wobei bei dem Verfahren, wenn ein Ausfall zumindest eines der Ein-Chip-Systeme (12, 14) erfasst wird, zum Ausführen einer Funktion, die dem ausgefallenen Ein-Chip-System (12, 14) zugeordnet ist, auf ein anderes Ein-Chip-System (12, 14) umgeschaltet wird, wobei zusätzlich ein Degradationsmechanismus durchgeführt werden kann.
Verfahren nach Anspruch 1, bei dem der Degradationsmechanismus eine Reduktion der Bildwiederholrate bewirkt.
Verfahren nach Anspruch 1, bei dem der Degradationsmechanismus eine Reduktion des Datendurchsatzes bewirkt.
Verfahren nach einem der Ansprüche 1 bis 3, bei dem der Degradationsmechanismus eine Reduktion der Auflösung bewirkt.
Verfahren nach einem der Ansprüche 1 bis 4, bei dem der Degradationsmechanismus eine Reduktion des Sichtfelds bewirkt.
Verfahren nach einem der Ansprüche 1 bis 5, bei dem der Degradationsmechanismus eine Reduktion der Farbtiefe bewirkt.
Verfahren nach einem der Ansprüche 1 bis 6, bei dem eine kurzzeitige Überlastung zumindest eines der Ein-Chip-Systeme (12, 14) bewirkt wird, um eine Notfallreaktion ausführen zu können.
Verfahren nach einem der Ansprüche 1 bis 7, bei dem Kameraströme von Nahfeldkameras abgeworfen werden und Kameraströme von Fernfeldkameras weitergenutzt werden.
Verfahren nach einem der Ansprüche 1 bis 7, bei dem Kameraströme von Fernfeldkameras abgeworfen werden und Kameraströme von Nahfeldkameras weitergenutzt werden.
Verfahren nach einem der Ansprüche 1 bis 9, bei dem Funktionen für Überholmanöver abgeschaltet werden.
Verfahren nach einem der Ansprüche 1 bis 10, bei dem eine redundante Rechnung von Videofunktionen abgeschaltet wird.
Verfahren nach einem der Ansprüche 1 bis 11, bei dem die genannten Degradationsmechanismen auf nicht videobasierte Sensoren wie Radar, Ultraschall oder Lidar angewendet werden.
Rechenanordnung mit mehreren Ein-Chip-Systemen und mindestens einem Degradationsmechanismus, die zum Durchführen eines Verfahrens nach einem der Ansprüche 1 bis 12 eingerichtet ist.