-
Die Erfindung betrifft ein Fail-Silent-Steuergerät mit zwei
Steuereinheiten, zwei Datenübertragungseinheiten
(Kommunikations-Controllern), zwei Bustreibem, einem Datenbus mit
zwei Übertragungskanälen, zwei
Datenausgangsleitungen sowie zwei Dateneingangsleitungen, die zwischen
den Datenübertragungseinheiten
und den Bustreibern vorgesehen sind, und einer Verbindungsleitung
zwischen den beiden Steuereinheiten.
-
Fail-Silent-Architekturen werden
für Computer
und Steuergeräte
eingesetzt, um in Netzwerken zur gesicherten Nachrichtenübertragung
und Gewährleistung
der Datenkonsistenz eine hohe Zuverlässigkeit auch im Falle eines
Fehlerereignisses vorzusehen. Diese Architektur-Strukturen basieren
auf einer Doppelauslegung von Prozessoren etc., die sich z.B. durch
zyklischen Austausch von Überwachungsinformation
jeweils gegenseitig überwachen, so
daß der
Ausfall eines Prozessors durch den anderen erkannt werden kann.
-
5 zeigt
ein Beispiel eines Fail-Silent-Steuergeräts ECU, in dessen Gehäuse zwei Rechnereinheiten
(Steuereinheiten) C1, C2 untergebracht sind, bei denen es sich z.B.
um Mikrocontroller handeln kann. Die Steuereinheiten sind jeweils
mit Datenübertragungseinheiten
(Kommunikations-Controllern) CC1, CC2 verbunden. Diese können auf dem
Mikrocontroller integriert sein oder als Stand-alone-Controller
genutzt werden. Die Datenübertragungseinheiten
CC1, CC2 sind jeweils über eine
Datenausgangs- und Dateneingangsleitung TxA, TxB, RxA, RxB mit Bustreibem
TA, TB, sogenannten Physical Layer Transceivern, verbunden, und zwar
die Datenübertragungseinheit
CC1 mit den Bustreibern TA1, TB1 und die Datenübertragungseinheit CC2 mit
den Bustreibem TA2, TB2. Mittels der Bustreiber TA1, TA2, TB1, TB2
erfolgt eine Ankopplung an einen seriellen Datenbus, das Übertragungsmedium,
der zwei redundante Übertragungskanäle ChA,
ChB aufweist. Über
diese beiden Übertragungskanäle erfolgt
der Datenaustausch mit den anderen Knoten im Netzwerk. Die beiden
Steuereinheiten C1, C2 sind über
eine Verbindungsleitung CL miteinander verbunden und tauschen zur
Sicherstellung der Fail-Silent-Funktion z.B. über serielle Datenübertragung
oder ein Dual Ported RAM ihre internen Daten zum Vergleich aus.
Nur bei Übereinstimmung
der Daten werden z.B. von dem Steuergerät erfaßte Sensorwerte oder ermittelte
Steuerungs- oder Regelungswerte über
die Datenübertragungseinheiten CT1,
CT2 und den Datenbus ChA, ChB nach außen übertragen, z.B. zur Ansteuerung
eines Aktuators.
-
Nachteilig bei diesem Aufbau des
bekannten Fail-Silent-Steuergeräts
gemäß 5 ist, daß dieses praktisch
eine Doppelauslegung an Bustreibern für die Buskommunikation benötigt. Damit
ist der Energiebedarf höher
und die Kosten für
Bustreiber, Steckverbinderpins, Verkabelung sind höher. In
Sterntopologien, insbesondere bei optischer Übertragung, müssen zusätzlich noch
zwei weitere Bustreiber in jedem der beiden redundanten Sternkoppler
vorgesehen werden.
-
Der Erfindung liegt die Aufgabe zugrunde, ein
Fail-Silent-Steuergerät
zu schaffen, das zuverlässig
arbeitet und zugleich kostengünstig
aufgebaut ist.
-
Diese Aufgabe ist erfindungsgemäß bei einem
Fail-Silent-Steuergerät
mit den Merkmalen des Anspruchs 1 gelöst. Vorteilhafte Weiterbildungen
des erfindungsgemäßen Fail-Silent-Steuergeräts sind Gegenstand
der Unteransprüche.
-
Das erfindungsgemäße Fail-Silent-Steuergerät zeichnet
sich dadurch aus, daß die
Anzahl der Bustreiber gegenüber
bekannten Fail-Silent-Architekturen verringert ist, so daß der Aufwand
zur Ankopplung des Fail-Silent-Steuergeräts an ein redundantes Netzwerk
reduziert ist. Zusätzlich
zur Reduktion der beiden Bustreiber entfallen noch vier bis sechs
Steckverbinderpins je Steuergerät
(bei direkter Verbindung des Bustreibers nach außen), bei Sterntopologien wie
z.B. optischer Übertragung
noch ein weiterer Bustreiber in den beiden Sternkopplern, zugehörige Verbindungskabel,
und der Energiebedarf ist herabgesetzt.
-
Erfindungsgemäß ist es vorgesehen, die Bustreiber
jeweils nur an eine Datenübertragungseinheit
anzuschließen,
wobei die Bustreiber über
die Dateneingangsleitungen mit den Dateneingängen beider Datenübertragungseinheiten
verbunden sind. Es ist möglich,
die beiden Bustreiber jeweils nur an eine der beiden Datenübertragungseinheiten
anzuschließen.
Alternativ kann jeweils ein Bustreiber an eine Datenübertragungseinheit
angeschlossen sein. Damit bleibt die Diagnostizierbarkeit des Steuergeräts auch
bei Ausfall einer der beiden Steuereinheiten und Datenübertragungseinheiten über einen
der beiden Kanäle
erhalten.
-
Sind die Bustreiber, wie dies z.B.
bei optischen Transceivern der Fall ist, ohne die sogenannte Loop-Back-Funktion,
so sind die über
die Datenausgangsleitungen gesendeten Signale nicht über die Dateneingangsleitungen
sichtbar. In diesem Fall werden die Datenausgangs- bzw. Dateneingangsleitungen
der sendeaktiven Steuereinheit über
UND- oder ODER-Gatter (abhängig
vom Bus-Idle-Zustand) mit den Dateneingangsleitungen der jeweils
anderen Steuereinheit verbunden. Auf diese Weise können dann
beide Steuereinheiten Nachrichten auf beiden Bussen empfangen.
-
Die Erfindung wird im folgenden anhand
bevorzugter Ausführungsbeispiele
und der Zeichnung weiter beschrieben und erläutert. In der Zeichnung zeigen:
-
1 ein
erstes Ausführungsbeispiel
eines erfindungsgemäßen Fail-Silent-Steuergeräts, bei dem
eine Steuereinheit über
einen zweikanaligen Bustreiber sendeaktiv ist,
-
2 ein
zweites Ausführungsbeispiel
eines erfindungsgemäßen Fail-Silent-Steuergeräts ähnlich dem
Ausführungsbeispiel
von 1, bei dem die Datenausgangs-
und Dateneingangsleitungen der sendeaktiven Steuereinheit mit den
Dateneingangsleitungen der anderen Steuereinheit über ein
Logik-Gatter verbunden sind,
-
3 ein
drittes Ausführungsbeispiel
eines erfindungsgemäßen Fail-Silent-Steuergeräts, bei dem
die beiden Steuereinheiten jeweils über einen Bustreiber und einen
Buskanal sendeaktiv sind,
-
4 ein
viertes Ausführungsbeispiel
eines erfindungsgemäßen Fail-Silent-Steuergeräts ähnlich dem
dritten Ausführungsbeispiel
von 3, bei dem die Datenausgangs-
und Dateneingangsleitungen der sendeaktiven Steuereinheit mit den
Dateneingangsleitungen der anderen Steuereinheit über ein Logik-Gatter
verbunden sind, und
-
5 ein
Fail-Silent-Steuergerät
gemäß Stand
der Technik.
-
Es wird zunächst anhand von 1 ein erstes Ausführungsbeispiel
eines erfindungsgemäßen Fail-Silent-Steuergeräts beschrieben.
Es sind zwei über
eine Verbindungsleitung CL verbundene Steuereinheiten C1, C2 vorhanden,
die jeweils mit Datenübertragungseinheiten
CC1, CC2 verbunden sind. Die Datenübertragungseinheit CC1 ist über jeweils eine
Datenausgangs- und Dateneingangsleitung TxA, RxA mit einem Treiber
TA verbunden, der zur Ankopplung an einen Kanal ChA eines seriellen
zweikanaligen Datenbusses dient. Weiter ist die Datenübertragungseinheit
CC1 über
jeweils eine Datenausgangs- und Dateneingangsleitung TxB, RxB mit
einem Treiber TB verbunden, der zur Ankopplung an den zweiten Kanal
ChB des Datenbusses dient. Die Datenübertragungseinheit CC2 ist
nicht an einen Treiber angeschlossen. Ihre beiden Dateneingangsleitungen
RxA, RxB sind mit den Dateneingangsleitungen RxA, RxB der anderen
Datenübertragungseinheit
CC1 verbunden. Damit ist sichergestellt, daß beide Datenübertragungseinheiten
CC1, CC2 dieselben Bussignale empfangen. Bei diesem Aufbau sind die
Bustreiber TA, TB derart, daß sie über eine
sogenannte Loop-Back-Funktion verfügen und somit die von der Datenübertragungseinheit
CC1 gesendeten Signale TxA, TxB auch auf den Dateneingangsleitungen
RxA, RxB sichtbar sind.
-
In 2 ist
ein zweites Ausführungsbeispiel eines
erfindungsgemäßen Fail-Silent-Steuergeräts gezeigt,
das für
den Einsatz mit Bustreibern konzipiert ist, die die Loop-Back-Funktion
nicht aufweisen. Dies ist beispielsweise bei optischen Transceivern der
Fall. Der Aufbau des Fail-Silent-Steuergeräts entspricht im wesentlichen
dem Aufbau gemäß dem ersten
Ausführungsbeispiel
von 1. Jedoch sind die Datenausgangs-
und Dateneingangsleitungen TxA, TxB, RxA, RxB der Datenübertragungseinheit
CC1 jeweils über
ein Logik-Gatter LGA, LGB mit den Dateneingängen der Datenübertragungseinheit
CC2 verbunden. Abhängig
vom Bus-Idle-Zustand
handelt es sich bei den Logik-Gattern um UND- oder ODER-Gatter.
Somit wird ein UND-Gatter eingesetzt, wenn der Bus-Idle-Zustand
High ist, und umgekehrt. Hierdurch ist sichergestellt, daß die Datenübertragungseinheit
CC2 auch die von der Datenübertragungseinheit
CC1 gesendeten Nachrichten empfangen kann.
-
Bei den Fail-Silent-Steuergeräten gemäß 1 und 2 können
beide Steuereinheiten Nachrichten auf beiden Bussen ChA, ChB empfangen.
Meist ist es ausreichend, daß beispielsweise
nur die Steuereinheit C1 über
die Datenübertragungseinheit
CC1 Nachrichten nach außen
senden kann, da dies für
ein Fail-Silent-Verhalten des Knotens völlig ausreichend ist. Die Konsequenz
ist indessen, daß bei
Ausfall der Steuereinheit C1 oder der Datenübertragungseinheit CC1 das
Steuergerät
ECU über
den redundanten Bus von außen
nicht mehr zugänglich ist
und dann auch nicht mehr diagnostiziert werden kann. Bei bestimmten
Anwendungen ist dies nicht erwünscht,
vielmehr soll es immer noch möglich
sein, daß die
Diagnostizierbarkeit des Steuergeräts weiterhin gegeben ist.
-
3 zeigt
ein drittes Ausführungsbeispiel eines
erfindungsgemäßen Fail-Silent-Steuergeräts, bei
dem jeweils ein Bustreiber TA, TB jeweils an eine Datenübertragungseinheit
CC1, CC2 angeschlossen ist. Im gezeigten Ausführungsbeispiel ist der Bustreiber
TA an die Datenübertragungseinheit
CC1 und der Bustreiber TB an die Datenübertragungseinheit CC2 angeschlossen.
Entsprechend ist die Dateneingangsleitung RxA der Datenübertragungseinheit CC2
mit der Dateneingangsleitung RxA der Datenübertragungseinheit CC1 ist
verbunden und die Dateneingangsleitung der Datenübertragungseinheit CC1 57 mit
der Dateneingangsleitung RxB der Datenübertragungseinheit CC2 verbunden.
Auf diese Weise können
beide Datenübertragungseinheiten alle
Nachrichten von beiden Kanälen
ChA, ChB empfangen, wobei die Datenübertragungseinheit CC1 nur
auf dem Kanal ChA und die Datenübertragungseinheit
CC2 nur auf dem Kanal CFtB senden kann. Damit ist jedes Steuergerät auch im
Falle des Ausfalls einer Steuereinheit von außen diagnostizierbar.
-
4 zeigt
ein viertes Ausführungsbeispiel eines
erfindungsgemäßen Fail-Silent-Steuergeräts analog
zu dem dritten Ausführungsbeispiel,
jedoch für
Bustreiber ohne Loop-Back-Funktion. Es sind wie beim zuvor beschriebenen
zweiten Ausführungsbeispiel
Logik-Gatter vorgesehen, um die Dateneingangs- und Datenausgangsleitungen
für den
sendeaktiven Treiber jeweils mit der entsprechenden Dateneingangsleitung
der anderen Datenübertragungseinheit
zu verbinden.