-
Technisches Gebiet
-
Die vorliegende Erfindung betrifft das Gebiet der Fahrzeugdiagnose, insbesondere ein Verfahren und ein Gerät zur Fahrzeugdiagnoseprüfung, ein Computerspeichermedium und ein Computerprogrammprodukt.
-
Stand der Technik
-
Bei einer Diagnoseprüfung eines Fahrzeugs führen einige Softwares (beispielsweise Softwares in einer elektronischen Steuereinheit ECU zur Steuerung eines Radarsensors / eines Domänencontrollers / eines visuellen Sensors) eine Ende-zu-Ende-Kommunikationsschutzüberprüfung (E2E check) an einer anderen ECU durch. Wenn eine Meldung einer anderen ECU die Überprüfung nicht bestehen kann, melden die Softwares die Angelegenheit und dementsprechend wird ein Diagnosefehler-Code DTC erzeugt. Aufgrund dieser Angelegenheit werden die Funktionen solcher Softwares beeinträchtigt und dadurch könnten die Prüfung und die Inbetriebnahme einer Anwendung des Fahrzeugs beeinflusst werden. Erst wenn die E2E-Überprüfung der anderen ECU die Anforderung erfüllt, kann die Prüfung des Fahrzeugs fortgesetzt werden. Während des Forschungs- und Entwicklungsstadiums der ECU wird dadurch eine große Zeitverschwendung verursacht und der Softwareentwicklungsplan wird verzögert.
-
Offenbarung der Erfindung
-
Gemäß einem Aspekt der vorliegenden Erfindung wird ein Verfahren zur Fahrzeugdiagnoseprüfung bereitgestellt, das umfasst: Überprüfen eines Fahrzeugs, um festzustellen, ob mehrere Ereignisse fehlgeschlagener Ende-zu-Ende-Kommunikationsschutzüberprüfung vorhanden sind; Konfigurieren eines Datenbezeichners, um die Ende-zu-Ende-Kommunikationsschutzüberprüfung zu deaktivieren, wenn dies der Fall „ja“ ist; und Fortfahren mit der Diagnoseprüfung und einer funktionalen Verifikation für das Fahrzeug.
-
Zusätzlich oder alternativ zu der obigen Ausgestaltung ist bei dem oben genannten Verfahren vorgesehen, dass die Ende-zu-Ende-Kommunikationsschutzüberprüfung durch eine erste elektronische Steuereinheit ECU A in dem Fahrzeug an einer zweiten elektronischen Steuereinheit ECU B in dem Fahrzeug durchgeführt wird.
-
Zusätzlich oder alternativ zu der obigen Ausgestaltung ist bei dem oben genannten Verfahren vorgesehen, dass der Datenbezeichner dazu konfiguriert ist, die Kommunikation zwischen der ersten elektronischen Steuereinheit ECU A und der zweiten elektronischen Steuereinheit ECU B zu deaktivieren.
-
Zusätzlich oder alternativ zu der obigen Ausgestaltung ist bei dem oben genannten Verfahren vorgesehen, dass das Konfigurieren eines Datenbezeichners, um die Ende-zu-Ende-Kommunikationsschutzüberprüfung zu deaktivieren, umfasst: Deaktivieren der Ende-zu-Ende-Kommunikationsschutzüberprüfung durch ein Diagnosesteuermodul DCM mittels des Datenbezeichners.
-
Zusätzlich oder alternativ zur oben genannten Ausgestaltung kann das oben genannte Verfahren ferner umfassen: Aktivieren der Ende-zu-Ende-Kommunikationsschutzüberprüfung durch ein nochmaliges Konfigurieren des Datenbezeichners.
-
Gemäß einem anderen Aspekt der vorliegenden Erfindung wird ein Gerät zur Fahrzeugdiagnoseprüfung bereitgestellt, das umfasst: eine Überprüfungsvorrichtung, die zur Überprüfung eines Fahrzeugs dient, um festzustellen, ob mehrere Ereignisse fehlgeschlagener Ende-zu-Ende-Kommunikationsschutzüberprüfung vorhanden sind; eine erste Konfigurationsvorrichtung, die dazu dient, einen Datenbezeichner zu konfigurieren, um die Ende-zu-Ende-Kommunikationsschutzüberprüfung zu deaktivieren, wenn das Vorhandensein mehrerer Ereignisse fehlgeschlagener Ende-zu-Ende-Kommunikationsschutzüberprüfung festgestellt wird; und eine Diagnoseprüfungsvorrichtung, die zum Fortfahren mit der Diagnoseprüfung und einer funktionalen Verifikation für das Fahrzeug dient.
-
Zusätzlich oder alternativ zu der obigen Ausgestaltung ist bei dem oben genannten Gerät vorgesehen, dass die Ende-zu-Ende-Kommunikationsschutzüberprüfung durch eine erste elektronische Steuereinheit ECU A in dem Fahrzeug an einer zweiten elektronischen Steuereinheit ECU B in dem Fahrzeug durchgeführt wird.
-
Zusätzlich oder alternativ zu der obigen Ausgestaltung ist bei dem oben genannten Gerät vorgesehen, dass der Datenbezeichner dazu konfiguriert ist, die Kommunikation zwischen der ersten elektronischen Steuereinheit ECU A und der zweiten elektronischen Steuereinheit ECU B zu deaktivieren.
-
Zusätzlich oder alternativ zu der obigen Ausgestaltung ist bei dem oben genannten Gerät vorgesehen, dass die erste Konfigurationsvorrichtung dazu konfiguriert ist: die Ende-zu-Ende-Kommunikationsschutzüberprüfung durch ein Diagnosesteuermodul DCM mittels des Datenbezeichners zu deaktivieren.
-
Zusätzlich oder alternativ zu der obigen Ausgestaltung kann das oben genannte Gerät ferner umfassen: eine zweite Konfigurationsvorrichtung, die zum Aktivieren der Ende-zu-Ende-Kommunikationsschutzüberprüfung durch ein nochmaliges Konfigurieren des Datenbezeichners dient.
-
Gemäß einem weiteren Aspekt der vorliegenden Erfindung wird ein Computerspeichermedium bereitgestellt, das einen Befehl umfasst, der beim Ausführen das vorstehend beschriebene Verfahren durchführt.
-
Gemäß einem weiteren Aspekt der vorliegenden Erfindung wird ein Computerprogrammprodukt bereitgestellt, das ein Computerprogramm umfasst, das beim Ausführen durch einen Prozessor das vorstehend beschriebene Verfahren verwirklicht.
-
Bei der Ausgestaltung zur Fahrzeugdiagnoseprüfung nach einem Ausführungsbeispiel der vorliegenden Erfindung wird durch eine Überprüfung (Vorprüfung) des Fahrzeugs vor einer Anwendungsprüfung und einer Verifikation des Fahrzeugs festgestellt, ob mehrere Ereignisse fehlgeschlagener Ende-zu-Ende-Kommunikationsschutzüberprüfung vorhanden sind. Beim Vorhandensein mehrerer Ereignisse fehlgeschlagener Ende-zu-Ende-Kommunikationsschutzüberprüfung wird ein Datenbezeichner konfiguriert, um die Ende-zu-Ende-Kommunikationsschutzüberprüfung zu deaktivieren und die Diagnoseprüfung und eine funktionale Verifikation des Fahrzeugs fortzusetzen. Damit können eine funktionale Beeinträchtigung und eine Behinderung der funktionalen Inbetriebnahme einer Software (einer ECU), deren Entwicklung bereits abgeschlossen ist, infolge der noch nicht abgeschlossenen Entwicklung einiger Softwares (beispielsweise Softwares in einer ECU) vermieden oder verringert werden.
-
Figurenliste
-
Die folgende detaillierte Beschreibung in Verbindung mit den beigefügten Zeichnungen macht die oben genannten und weitere Aufgaben sowie Vorteile der vorliegenden Erfindung vollständiger und klarer, wobei dieselben oder ähnliche Elemente durch dieselben Bezugszeichen dargestellt werden. Darin zeigen:
- 1 ein schematisches Ablaufdiagramm eines Verfahrens zur Fahrzeugdiagnoseprüfung nach einem Ausführungsbeispiel der vorliegenden Erfindung; und 2 eine schematische Strukturansicht eines Geräts zur Fahrzeugdiagnoseprüfung nach einem Ausführungsbeispiel der vorliegenden Erfindung.
-
Ausführliche Ausführungsformen
-
Nachfolgend wird unter Bezugnahme auf die beiliegenden Zeichnungen auf die Ausgestaltung zur Fahrzeugdiagnoseprüfung nach verschiedenen beispielhaften Ausführungsbeispielen der vorliegenden Erfindung näher eingegangen.
-
1 zeigt ein schematisches Ablaufdiagramm eines Verfahrens 1000 zur Fahrzeugdiagnoseprüfung nach einem Ausführungsbeispiel der vorliegenden Erfindung. Wie in 1 gezeigt, umfasst das Verfahren 1000 zur Fahrzeugdiagnoseprüfung die folgenden Schritte:
- in Schritt S110 wird ein Fahrzeug überprüft, um festzustellen, ob mehrere Ereignisse fehlgeschlagener Ende-zu-Ende-Kommunikationsschutzüberprüfung vorhanden sind;
- in Schritt S120 wird ein Datenbezeichner konfiguriert, um die Ende-zu-Ende-Kommunikationsschutzüberprüfung zu deaktivieren, wenn dies der Fall „ja“ ist; und
- in Schritt S130 werden die Diagnoseprüfung und eine funktionale Verifikation für das Fahrzeug fortgesetzt.
-
Im Rahmen der vorliegenden Erfindung wird die „Ende-zu-Ende-Kommunikationsschutzüberprüfung“ auch als E2E-Überprüfung (End to End) bezeichnet und dabei handelt es sich um ein Protokoll / einen Mechanismus zum Datenschutz für sicherheitsrelevante Daten, das oder der zwischen Kommunikationsknoten durchgeführt wird, um eventuelle Störungen (HW/SW) in einer Kommunikationsverbindung zu verhindern. Sie findet Anwendung bei verschiedenen Netzwerkstrukturen: CAN, CAN FD, FlexRay, Ethernet usw.
-
Es wird angenommen, dass zwei ECUs, nämlich ECU 1 und ECU 2, vorgesehen sind. Die zwei Knoten kommunizieren miteinander über einen CAN-Bus. ECU 1 soll ein bestimmtes Sicherheitssignal an ECU 2 übertragen. Wenn das Schutzprotokoll E2E profile1 (AutoSAR E2E Library) verwendet wird, soll ECU 1 neben den nötigen Informationen und Daten zusätzlich auch CRC-Informationen (zyklische Redundanzprüfung) und Counter-Informationen (Zähler) an ECU 2 übertragen. Nach Empfangen dieses Datenframes berechnet ECU 2 die CRC und vergleicht diese mit der empfangenen CRC. In Abhängigkeit von dem Prüfungsergebnis führt ECU 2 eine nächste Aktion durch.
-
In einem Ausführungsbeispiel der vorliegenden Erfindung wird die Ende-zu-Ende-Kommunikationsschutzüberprüfung durch eine erste elektronische Steuereinheit ECU A in dem Fahrzeug an einer zweiten elektronischen Steuereinheit ECU B in dem Fahrzeug durchgeführt.
-
Der Kern der Ende-zu-Ende-Kommunikationsschutzüberprüfung besteht darin, den Austausch sicherheitsrelevanter Daten während des Betriebs zu schützen, um den Einfluss eventueller Ausfälle in der Kommunikationsverbindung zu beseitigen. Im Detail können eventuelle Ausfallmodi während des Datenaustauschvorgangs Folgendes umfassen: wiederholtes Senden einer Information, bei dem ein und dieselbe Information mehrmals empfangen wird; Verlust einer Information, bei dem eine ganze Information oder ein Teil davon während der Kommunikation verloren geht; Verzögerung einer Information, bei der die Zeit, zu der die Information empfangen wird, von der erwarteten Zeit abweicht; Einfügen einer Information, bei dem ein überflüssiger Inhalt in die Information eingefügt wird; gefälschte oder falsche Adressierung, Empfangen einer nicht authentifizierten Information, die von einem gefälschten Sender gesendet wird, durch ein Empfangsterminal, oder Empfangen einer richtigen Information durch ein falsches Empfangsterminal; falsche Reihenfolge der Information, bei der die Reihenfolge der Information in einem Datenstrom falsch ist; beschädigte Information, manipulierter Inhalt der Information; Senden einer asymmetrischen Information an mehrere Empfangsterminals, inkonsistente Daten, die von Empfangsterminals empfangen werden; Empfangen einer Information eines Senders nur durch einige der Empfangsterminals; und Sperren eines Kommunikationskanals.
-
Datenaustauschszenarien, bei denen solche Ausfälle auftreten können, umfassen: Kommunikation mit einer I/O-Peripherie, Kommunikation basierend auf einem Datenbus usw. Ursachen der Ausfälle umfassen systematische Ausfälle und Zufallsausfälle, softwareseitige Fehler, die beispielsweise während der Codegenerierung auftreten, Fehler, die durch manuelle Codierung entstehen, Fehler eines Netzwerkprotokoll-Stacks usw.; hardwareseitige Ausfälle, beispielsweise Störungen eines Prozessors, Störungen an Netzwerkhardware, elektromagnetische Strahlung usw.
-
Daher wird beim Durchführen der Ende-zu-Ende-Kommunikationsschutzüberprüfung zunächst die Datenstruktur erweitert, indem ein Steuerfeld durch ein Sendeterminal hinzugefügt wird. Das Steuerfeld enthält in der Regel: checksum, counter usw. Ein Feld des erweiterten Teils wird durch RTE gesendet. Danach erfolgt eine Verifizierung der Daten innerhalb des ganzen oben genannten Feldes durch das Empfangsterminal. Bei erfolgreich bestandener Verifizierung wird das Steuerfeld davon entfernt und die Anwendungsdaten werden zur Verarbeitung an SWC weitergeleitet. Bei nicht bestandener Verifizierung wird ein Sicherheitsschutzmechanismus durchgeführt.
-
Während der Entwicklung verschiedener ECUs ist ein einheitlicher Entwicklungsfortschritt unterschiedlicher ECUs kaum zu erwarten. Beispielsweise ist die Entwicklung mancher ECUs bereits abgeschlossen, während andere ECUs noch in der Entwicklung befindlich sind. Daher wird in Schritt S120 der vorliegenden Erfindung durch Konfigurieren eines Datenbezeichners die Ende-zu-Ende-Kommunikationsschutzüberprüfung deaktiviert, wenn in Schritt S110 durch eine Vorprüfung des Fahrzeugs festgestellt wird, dass mehrere Ereignisse (event) fehlgeschlagener E2E-Überprüfung vorhanden sind. Somit wird bei ECUs, deren Entwicklung bereits abgeschlossen ist, eine geringe Abhängigkeit ihrer funktionalen Prüfung und Verifizierung von anderen ECUs (die eventuell noch in der Entwicklung befindlich sind) erreicht.
-
In einem Ausführungsbeispiel ist der Datenbezeichner dazu konfiguriert, die Kommunikation zwischen der ersten elektronischen Steuereinheit ECU A und der zweiten elektronischen Steuereinheit ECU B zu deaktivieren. Beispielsweise kann der Datenbezeichner (DataID) ein Datenfeld enthalten. Ein Wert des Feldes von 0 weist darauf hin, dass die E2E-Überprüfung deaktiviert ist, während ein Wert des Feldes von 1 darauf hinweist, dass die E2E-Überprüfung aktiviert ist.
-
In einem Ausführungsbeispiel umfasst Schritt S120: Deaktivieren der Ende-zu-Ende-Kommunikationsschutzüberprüfung durch ein Diagnosesteuermodul DCM mittels des Datenbezeichners.
-
Ein AUTOSAR-Diagnoseprotokoll-Stack enthält zwei Module, nämlich DCM und DEM. Dabei dient DEM zum Verwirklichen DTC-relevanter Parameter, während durch das DCM-Modul vor allem ein Diagnosedienst für UDS und OBD verwirklicht wird. Beispielsweise kann das DCM-Modul überprüfen, ob eine Anfrage eines Diagnosediensts eine Bedingung erfüllt.
-
In einem Ausführungsbeispiel besteht das DCM-Modul aus drei Untermodulen, nämlich DSL (Diagnosevorgangsschicht-Modul), DSD (Diagnosedienstdispatcher-Modul) und DSP (Diagnosedienstverarbeitungs-Modul). Dabei dient DSL dazu, eine Diagnosedatenanfrage und einen darauf reagierenden Datenstrom zu bestimmen; den Zeitablauf der Diagnoseanfrage und der Reaktion zu überwachen und sicherzustellen, und den Diagnosezustand (insbesondere Diagnosevorgangs- und Sicherheitszustand) zu verwalten. DSD dient dazu, einen Diagnosedatenstrom zu verarbeiten; eine empfangene Diagnoseanfrage an einen Datenprozessor weiterzuleiten; bei ausgelöstem Datenprozessor eine Diagnosereaktion über PDUR zu übermitteln. DSP dient zum Verarbeiten einer tatsächlichen Diagnoseanfrage.
-
Obwohl es in 1 nicht dargestellt ist, kann in einem Ausführungsbeispiel das oben genannte Verfahren 1000 ferner umfassen: Aktivieren der Ende-zu-Ende-Kommunikationsschutzüberprüfung durch ein nochmaliges Konfigurieren des Datenbezeichners. Wie oben erwähnt, kann der Datenbezeichner (DataID) ein Datenfeld enthalten. Ein Wert des Feldes von 0 weist darauf hin, dass die E2E-Überprüfung deaktiviert ist, während ein Wert des Feldes von 1 darauf hinweist, dass die E2E-Überprüfung aktiviert ist. Daher kann durch Ändern des Werts eines betroffenen Feldes in dem Datenbezeichner auf 1 die E2E-Überprüfung aktiviert werden.
-
Des Weiteren versteht es sich für den Fachmann auf diesem Gebiet, dass das Verfahren zur Fahrzeugdiagnoseprüfung nach einem oder mehreren der oben genannten Ausführungsbeispiele der Erfindung durch ein Computerprogramm verwirklicht werden kann. Beispielsweise ist das Computerprogramm in einem Computerprogrammprodukt enthalten, wobei das Computerprogramm beim Ausführen durch einen Prozessor das Verfahren zur Fahrzeugdiagnoseprüfung nach einem oder mehreren Ausführungsbeispiel(en) der vorliegenden Erfindung verwirklicht. Wenn beispielsweise ein Computerspeichermedium (z.B. eine USB-Platte), in dem das Computerprogramm gespeichert ist, mit einem Computer verbunden ist, kann durch Ausführen des Computerprogramms das Verfahren zur Fahrzeugdiagnoseprüfung nach einem oder mehreren Ausführungsbeispielen der Erfindung durchgeführt werden.
-
Es wird auf 2 hingewiesen. 2 zeigt ein Gerät 2000 zur Fahrzeugdiagnoseprüfung nach einem Ausführungsbeispiel der vorliegenden Erfindung. Wie in 2 gezeigt, umfasst das Gerät 2000 zur Fahrzeugdiagnoseprüfung: eine Überprüfungsvorrichtung 210, eine erste Konfigurationsvorrichtung 220 und eine Diagnoseprüfungsvorrichtung 230. Dabei dient die Überprüfungsvorrichtung 210 zur Überprüfung eines Fahrzeugs, um festzustellen, ob mehrere Ereignisse fehlgeschlagener Ende-zu-Ende-Kommunikationsschutzüberprüfung vorhanden sind; die erste Konfigurationsvorrichtung 220 dient dazu, einen Datenbezeichner zu konfigurieren, um die Ende-zu-Ende-Kommunikationsschutzüberprüfung zu deaktivieren, wenn das Vorhandensein mehrerer Ereignisse fehlgeschlagener Ende-zu-Ende-Kommunikationsschutzüberprüfung festgestellt wird; und die Diagnoseprüfungsvorrichtung 230 dient zum Fortfahren mit der Diagnoseprüfung und einer funktionalen Verifikation für das Fahrzeug.
-
Im Rahmen der vorliegenden Erfindung wird die „Ende-zu-Ende-Kommunikationsschutzüberprüfung“ auch als E2E-Überprüfung (End to End) bezeichnet und dabei handelt es sich um ein Protokoll / einen Mechanismus zum Datenschutz für sicherheitsrelevante Daten, das oder der zwischen Kommunikationsknoten durchgeführt wird, um eventuelle Störungen (HW/SW) in einer Kommunikationsverbindung zu verhindern. Sie findet Anwendung bei verschiedenen Netzwerkstrukturen: CAN, CAN FD, FlexRay, Ethernet usw.
-
Es wird angenommen, dass zwei ECUs, nämlich ECU 1 und ECU 2, vorgesehen sind. Die zwei Knoten kommunizieren miteinander über einen CAN-Bus. ECU 1 soll ein bestimmtes Sicherheitssignal an ECU 2 übertragen. Wenn das Schutzprotokoll E2E profile1 (AutoSAR E2E Library) verwendet wird, soll ECU 1 neben den nötigen Informationen und Daten zusätzlich auch CRC-Informationen (zyklische Redundanzprüfung) und Counter-Informationen (Zähler) an ECU 2 übertragen. Nach Empfangen dieses Datenframes berechnet ECU 2 die CRC und vergleicht diese mit der empfangenen CRC. In Abhängigkeit von dem Prüfungsergebnis führt ECU 2 eine nächste Aktion durch.
-
In einem Ausführungsbeispiel der vorliegenden Erfindung wird die Ende-zu-Ende-Kommunikationsschutzüberprüfung durch eine erste elektronische Steuereinheit ECU A in dem Fahrzeug an einer zweiten elektronischen Steuereinheit ECU B in dem Fahrzeug durchgeführt.
-
Der Kern der Ende-zu-Ende-Kommunikationsschutzüberprüfung besteht darin, den Austausch sicherheitsrelevanter Daten während des Betriebs zu schützen, um den Einfluss eventueller Ausfälle in der Kommunikationsverbindung zu beseitigen. Im Detail können eventuelle Ausfallmodi während des Datenaustauschvorgangs Folgendes umfassen: wiederholtes Senden einer Information, bei dem ein und dieselbe Information mehrmals empfangen wird; Verlust einer Information, bei dem eine ganze Information oder ein Teil davon während der Kommunikation verloren geht; Verzögerung einer Information, bei der die Zeit, zu der die Information empfangen wird, von der erwarteten Zeit abweicht; Einfügen einer Information, bei dem ein überflüssiger Inhalt in die Information eingefügt wird; gefälschte oder falsche Adressierung, Empfangen einer nicht authentifizierten Information, die von einem gefälschten Sender gesendet wird, durch ein Empfangsterminal, oder Empfangen einer richtigen Information durch ein falsches Empfangsterminal; falsche Reihenfolge der Information, bei der die Reihenfolge der Information in einem Datenstrom falsch ist; beschädigte Information, manipulierter Inhalt der Information; Senden einer asymmetrischen Information an mehrere Empfangsterminals, inkonsistente Daten, die von Empfangsterminals empfangen wird; Empfangen einer Information eines Senders nur durch einige der Empfangsterminals; und Sperren eines Kommunikationskanals.
-
Datenaustauschszenarien, bei denen solche Ausfälle auftreten können, umfassen: Kommunikation mit einer I/O-Peripherie, Kommunikation basierend auf einem Datenbus usw. Ursachen der Ausfälle umfassen systematische Ausfälle und Zufallsausfälle, softwareseitige Fehler, die beispielsweise während der Codegenerierung auftreten, Fehler, die durch manuelle Codierung entstehen, Fehler eines Netzwerkprotokoll-Stacks usw.; hardwareseitige Ausfälle, beispielsweise Störungen eines Prozessors, Störungen an Netzwerkhardware, elektromagnetische Strahlung usw.
-
Daher wird beim Durchführen der Ende-zu-Ende-Kommunikationsschutzüberprüfung zunächst die Datenstruktur erweitert, indem ein Steuerfeld durch ein Sendeterminal hinzugefügt wird. Das Steuerfeld enthält in der Regel: checksum, counter usw. Ein Feld des erweiterten Teils wird durch RTE gesendet; Danach erfolgt eine Verifizierung der Daten innerhalb des ganzen oben genannten Feldes durch das Empfangsterminal. Bei erfolgreich bestandener Verifizierung wird das Steuerfeld davon entfernt und die Anwendungsdaten werden zur Verarbeitung an SWC weitergeleitet; bei nicht bestandener Verifizierung wird ein Sicherheitsschutzmechanismus durchgeführt.
-
Während der Entwicklung verschiedener ECUs ist ein einheitlicher Entwicklungsfortschritt unterschiedlicher ECUs kaum zu erwarten. Beispielsweise ist die Entwicklung mancher ECUs bereits abgeschlossen, während andere ECUs noch in der Entwicklung befindlich sind. Daher deaktiviert die erste Konfigurationsvorrichtung 220 die Ende-zu-Ende-Kommunikationsschutzüberprüfung durch Konfigurieren eines Datenbezeichners, wenn die Überprüfungsvorrichtung durch eine Vorprüfung des Fahrzeugs feststellt, dass mehrere Ereignisse (event) fehlgeschlagener E2E-Überprüfung vorhanden sind. Somit wird bei ECUs, deren Entwicklung bereits abgeschlossen ist, eine geringe Abhängigkeit ihrer funktionalen Prüfung und Verifizierung von anderen ECUs (die eventuell noch in der Entwicklung befindlich sind) durch Deaktivieren der Ende-zu-Ende-Kommunikationsschutzüberprüfung erreicht.
-
In einem Ausführungsbeispiel ist der Datenbezeichner dazu konfiguriert, die Kommunikation zwischen der ersten elektronischen Steuereinheit ECU A und der zweiten elektronischen Steuereinheit ECU B zu deaktivieren. Beispielsweise kann der Datenbezeichner (DataID) ein Datenfeld enthalten. Ein Wert des Feldes von 0 weist darauf hin, dass die E2E-Überprüfung deaktiviert ist, während ein Wert des Feldes von 1 darauf hinweist, dass die E2E-Überprüfung aktiviert ist.
-
In einem Ausführungsbeispiel deaktiviert die erste Konfigurationsvorrichtung 220 die Ende-zu-Ende-Kommunikationsschutzüberprüfung durch ein Diagnosesteuermodul DCM mittels des Datenbezeichners.
-
Ein AUTOSAR-Diagnoseprotokoll-Stack enthält zwei Module, nämlich DCM und DEM. Dabei dient DEM zum Verwirklichen DTC-relevanter Parameter, während durch das DCM-Modul vor allem ein Diagnosedienst für UDS und OBD verwirklicht wird. Beispielsweise kann das DCM-Modul überprüfen, ob eine Anfrage eines Diagnosediensts eine Bedingung erfüllt.
-
In einem Ausführungsbeispiel besteht das DCM-Modul aus drei Untermodulen, nämlich DSL (Diagnosevorgangsschicht-Modul), DSD (Diagnosedienstdispatcher-Modul) und DSP (Diagnosedienstverarbeitungs-Modul). Dabei dient DSL dazu, eine Diagnosedatenanfrage und einen darauf reagierenden Datenstrom zu bestimmen; den Zeitablauf der Diagnoseanfrage und der Reaktion zu überwachen und sicherzustellen, und den Diagnosezustand (insbesondere Diagnosevorgangs- und Sicherheitszustand) zu verwalten. DSD dient dazu, einen Diagnosedatenstrom zu verarbeiten; eine empfangene Diagnoseanfrage an einen Datenprozessor weiterzuleiten; bei ausgelöstem Datenprozessor eine Diagnosereaktion über PDUR zu übermitteln. DSP dient zum Verarbeiten einer tatsächlichen Diagnoseanfrage.
-
Obwohl es in 2 nicht dargestellt ist, kann in einem Ausführungsbeispiel das oben genannte Gerät 2000 ferner umfassen: eine zweite Konfigurationsvorrichtung, die zum Aktivieren der Ende-zu-Ende-Kommunikationsschutzüberprüfung durch ein nochmaliges Konfigurieren des Datenbezeichners dient. Wie oben erwähnt, kann der Datenbezeichner (DataID) ein Datenfeld enthalten. Ein Wert des Feldes von 0 weist darauf hin, dass die E2E-Überprüfung deaktiviert ist, während ein Wert des Feldes von 1 darauf hinweist, dass die E2E-Überprüfung aktiviert ist. Daher kann die zweite Konfigurationsvorrichtung durch Ändern des Werts eines betroffenen Feldes in dem Datenbezeichner auf 1 die E2E-Überprüfung aktivieren.
-
In einem oder mehreren Ausführungsbeispielen korrespondiert jeder Datenbezeichner lediglich mit einer Dienstanfrage. Für einige bestimmte DIDs kann Zugriff bei einer bestimmten Sicherheitsstufe oder einem bestimmten Diagnosevorgangsmodus gewährt werden.
-
Zusammenfassend wird bei der Ausgestaltung zur Fahrzeugdiagnoseprüfung nach einem Ausführungsbeispiel der vorliegenden Erfindung durch eine Überprüfung (Vorprüfung) des Fahrzeugs vor einer Anwendungsprüfung und einer Verifikation des Fahrzeugs festgestellt, ob mehrere Ereignisse fehlgeschlagener Ende-zu-Ende-Kommunikationsschutzüberprüfung vorhanden sind. Beim Vorhandensein mehrerer Ereignisse fehlgeschlagener Ende-zu-Ende-Kommunikationsschutzüberprüfung wird ein Datenbezeichner konfiguriert, um die Ende-zu-Ende-Kommunikationsschutzüberprüfung zu deaktivieren und die Diagnoseprüfung und eine funktionale Verifikation des Fahrzeugs fortzusetzen. Damit können eine funktionale Beeinträchtigung und eine Behinderung der funktionalen Inbetriebnahme einer Software (einer ECU), deren Entwicklung bereits abgeschlossen ist, infolge der noch nicht abgeschlossenen Entwicklung einiger Softwares (beispielsweise Softwares in einer ECU) vermieden oder verringert werden.
-
Obwohl in der obigen Beschreibung nur einige der Ausführungsformen der Erfindung beschrieben wurden, sollte vom Fachmann verstanden werden, dass die Erfindung in vielen anderen Formen ausgeführt werden kann, ohne vom Prinzip und Umfang der Erfindung abzuweichen. Daher sollen die gezeigten Beispiele und Ausführungsformen als schematisch, aber nicht einschränkend angesehen werden. Die Erfindung kann verschiedene Modifikationen und Substitutionen umfassen, ohne von dem durch die beigefügten Ansprüche definierten Geist und Umfang der Erfindung abzuweichen.
