DE10303383A1

DE10303383A1 - Verfahren und Vorrichtung zur Überwachung des sicheren Betriebs einer Funktionseinheit in einem Kraftfahrzeug

Info

Publication number: DE10303383A1
Application number: DE10303383A
Authority: DE
Inventors: Heikel Zarga; Thomas ... Häfner; Jochen Dr. Koepernik; Werner Mayer; Werner Harter
Original assignee: DaimlerChrysler AG; Robert Bosch GmbH; ZF Lenksysteme GmbH
Current assignee: Robert Bosch GmbH; Mercedes Benz Group AG
Priority date: 2003-01-29
Filing date: 2003-01-29
Publication date: 2004-08-05

Abstract

Es werden ein Verfahren und eine Vorrichtung (10) zur Überwachung des sicheren Betriebs einer Funktionseinheit in einem Kraftfahrzeug beschrieben. Des weiteren werden ein Computerprogramm und ein Computerprogrammprodukt zur Durchführung des beschriebenen Verfahrens vorgestellt. Bei dem beschriebenen Verfahren sind zur Überwachung einer Funktionseinheit zwei fehlerfreie elektronsiche Einheiten (14, 16) vorgesehen. Während des Betriebs wird dabei ein Datenaustausch zwischen mindestens einer der beiden fehlersicheren elektronischen Einheiten (14, 16) und dem Datenbus (32) durchgeführt. Des weiteren erfolgt eine Kommunikation zwischen den beiden fehlersicheren elektronischen Einheiten (14, 16).

Description

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur Überwachung des sicheren Betriebs einer Funktionseinheit in einem Kraftfahrzeug. Des weiteren betrifft die Erfindung ein Computerprogramm und ein Computerprogrammprodukt zur Durchführung des erfindungsgemäßen Verfahrens.

Zur Steuerung der Funktionseinheiten, wie bspw. der Lenkung oder des Motors, werden in Kraftfahrzeugen Steuergeräte eingesetzt, die typischerweise über Mikroprozessoren verfügen und über Ein-/Ausgabeschnittstellen mit den entsprechenden Sensoren und Aktoren bidirektional kommunizieren. Die Steuergeräte in dem Kraftfahrzeug sind dabei über einen Datenbus miteinander verbunden.

Insbesondere bei sicherheitskritischen Funktionseinheiten, wie bspw. der Lenkung, ist es unumgänglich besondere Vorkehrungen zu treffen, um den sicheren Betrieb des Fahrzeuges gewährleisten zu können.

Bei funktionssicheren und fehlertoleranten Anwendungen (fail operational) werden zur Ansteuerung der Funktionseinheiten fehlersichere elektronische Einheiten, sogenannte Fail-Safe-Einheiten, eingesetzt. Fail-Safe-Einheiten sind Steuergeräte, die bspw. zwei Mikroprozessoren aufweisen, die parallel zueinander bzw. synchron Berechnungen durchführen und somit eine Redundanz bei der Sicherheitsüberprüfung gewährleisten.

Aufgabe der vorliegenden Erfindung ist es, ein Verfahren und eine Vorrichtung bereitzustellen, mit denen funktionssichere und fehlertolerante Anwendungen zu realisieren sind und die gegenüber bekannten Verfahren und Vorrichtungen ein zusätzliches Maß an Sicherheit beim Betrieb eines Kraftfahrzeuges bieten.

Hierzu sind bei dem erfindungsgemäßen Verfahren zur Überwachung des sicheren Betriebs eines Kraftfahrzeuges zwei an einen Datenbus angeschlossene, fehlersichere elektronische Einheiten zum Ansteuern einer Funktionseinheit vorgesehen. Während des Betriebs wird ein Austausch von Daten zwischen mindestens einer der beiden elektronischen Einheiten und dem Datenbus durchgeführt. Außerdem erfolgt eine Kommunikation zwischen den beiden fehlersicheren elektronischen Einheiten.

Das Verfahren bedient sich somit zweier fehlersicherer Einheiten in einem sogenannten Duplex-System, wodurch ein zusätzliches Maß an Sicherheit gegeben ist.

Eine mögliche Ausführungsform der Erfindung sieht vor, daß eine der beiden elektronischen Einheiten für den Datenaustausch mit dem Datenbus eingesetzt wird und erst im Fehlerfall die andere der beiden Einheiten den Datenaustausch übernimmt.

Vorzugsweise werden beide Einheiten für den Datenaustausch gleichzeitig eingesetzt, so daß diese identische oder ähnliche Eingangsdaten erhalten, identische oder ähnliche Berechnungen durchführen und zu identischen oder ähnlichen Ergebnissen kommen. Das heißt, daß die Einheiten in sogenannter heißer Redundanz arbeiten. Durch die erfolgte Kommunikation über Synchronisations- und/oder Kommunikations zeitungen arbeiten die Einheiten in endlicher Synchronität, das bedeutet, daß diese bis auf eine geringe Zeitdifferenz zeitlich parallel arbeiten. Um zu identischen Ergebnissen zu kommen, stimmen sich diese über die Eingangsdaten ab.

Beim Anschluß dieser Duplex-Einheit an einen nichtredundanten asynchronen Datenbus, wie bspw. dem CAN-Bus, kann somit vorgesehen sein, daß beide Einheiten alle Signale empfangen und nur eine der Einheiten zum Senden der Daten vorgesehen ist.

Vorzugsweise teilen sich die beiden Fail-Safe-Einheiten die Sende- und Empfangsaufgabe derart auf, daß im fehlerfreien Fall beide Einheiten zyklisch senden und empfangen, d. h. daß der Datenaustausch zyklisch erfolgt.

Auch ist vorteilhaft, wenn zu einem Zeitpunkt immer nur eine der Einheiten sendet, da sich auf asynchronen nichtredundanten Datenbussen die nichtredundanten Empfänger für ein Datenpaket entscheiden müssen und die redundante Versendung lediglich den Bus belastet.

Es kann vorgesehen sein, daß eine Aufteilung der Daten, nämlich eine Aufteilung der empfangenen und/oder der zu sendenden Daten, erfolgt.

In Ausgestaltung des erfindungsgemäßen Verfahrens werden die Einheiten abwechselnd und somit ebenfalls zyklisch für den Datenaustausch eingesetzt.

Der Datenaustausch kann sowohl ein Senden von Daten als auch ein Empfangen von Daten umfassen.

Die erfindungsgemäße Vorrichtung dient zur Überwachung einer Funktionseinheit in einem Kraftfahrzeug und damit zum sicheren und fehlertoleranten Betrieb derselben. Diese weist zwei an einen Datenbus angeschlossene fehlersichere elektronische Einheiten und eine die beiden Einheiten verbindende Datenleitung auf.

Als Datenbus dient vorteilhafterweise ein CAN-Bus, der sich insbesondere für den Einsatz in Kraftfahrzeugen bewährt hat.

Das erfindungsgemäße Computerprogramm weist Programmcodemittel auf, um alle Schritte des vorstehend beschriebenen Verfahrens durchzuführen. Dieses wird auf einem Computer oder einer Recheneinheit, insbesondere einer Recheneinheit in einer erfindungsgemäßen Vorrichtung, durchgeführt.

Das erfindungsgemäße Computerprogrammprodukt weist diese Programmcodemittel auf, die auf einem computerlesbaren Datenträger gespeichert sind.

Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und der beiliegenden Zeichnung.

Es versteht sich, daß die vorstehend genannten und die nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellungen verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.

Die Erfindung ist anhand von Ausführungsbeispielen, die insbesondere mögliche Varianten der Durchführung des erfindungsgemäßen Verfahrens verdeutlichen, in der Zeichnung schematisch dargestellt und wird im folgenden unter Bezugnahme auf die Zeichnung ausführlich beschrieben.
1 zeigt einen prinzipiellen Aufbau einer erfindungsgemäßen Vorrichtung in schematischer Darstellung.
2 verdeutlicht den Empfang von Daten gemäß einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens.
3 verdeutlicht das Senden von Daten gemäß der bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens.
4 verdeutlicht den Empfang von Daten gemäß einer weiteren Ausführungsform des erfindungsgemäßen Verfahrens zum Zeitpunkt t.
5 verdeutlicht den Empfang von Daten gemäß der weiteren bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens zum Zeitpunkt t + 1.
6 verdeutlicht den Vorgang des Sendens von Daten gemäß der weiteren bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens zum Zeitpunkt t.
7 verdeutlicht den Vorgang des Sendens von Daten gemäß der weiteren bevorzugten Ausführungsform zum Zeitpunkt t + 1.
In 1 ist schematisch der Aufbau einer erfindungsgemäßen Vorrichtung, insgesamt mit der Bezugsziffer 10 bezeichnet, wiedergegeben. Zu erkennen ist ein Duplexsystem 12, eine sogenannte Fail-Operational-Einheit, die eine erste Fail-Safe-Einheit 14 und eine zweite Fail-Safe-Einheit 16 aufweist. Die beiden Fail-Safe-Einheiten 14 und 16 sind über Datenleitungen bzw. Kommunikationsverbindungen 18 miteinander verbunden.
Die erste Fail-Safe-Einheit 14 ist über eine erste Versorgungsleitung 20 mit einer ersten Stromversorgung 22 verbunden. Eine zweite Versorgungsleitung 24 verbindet die zweite Fail-Safe-Einheit. 16 mit der zweiten Stromversorgung 26.
Des weiteren ist die erste Fail-Safe-Einheit 14 über eine erste Schnittstelle 28 und die zweite Fail-Safe-Einheit 16 über eine zweite Schnittstelle 30 mit einem asynchronen Datenbus 32 für einen bidirektionalen Datenaustausch verbunden. Diese Schnittstellen 28 und 30 ermöglichen somit ein Zugriff der Einheiten 14 und 16 auf den Datenbus 32 zum Empfangen von Daten und ebenso das Senden von Daten zu dem Datenbus 32.
In 2 ist eine erste Variante des erfindungsgemäßen Verfahrens anhand der Prinzipdarstellung der 1 verdeutlicht. Dabei werden Daten, in diesem Fall Botschaften 1 bis 6, von dem Datenbus 32 empfangen. Es wird davon ausgegangen, daß jede Einheit 14 und 16 alle Daten einliest. Die erste Einheit 14 verwendet jedoch nur die erste Hälfte der empfangenen Botschaften, nämlich die Botschaften 1 bis 3, wie dies durch eine geschwungene Klammer 40 verdeutlicht ist. Klammer 42 zeigt, daß die zweite Einheit nur die zweite Hälfte der empfangenen Botschaften, nämlich Botschaften 4 bis 6, verwendet. Verwenden bedeutet in diesem Fall, daß die entsprechenden Botschaften zur Berechnung verwendet werden.
In der ersten Einheit 14 wird die erste Hälfte der Botschaft, wie Pfeile 44 zeigt, an die zweite Einheit übertragen und gleichzeitig einer ersten Recheneinheit 46 in der ersten Einheit 14 übergeben (Pfeil 48).
Entsprechend überträgt die zweite Recheneinheit 16 die Botschaften 4 bis 6 an die erste Recheneinheit 46 in der ersten Einheit 14 (Pfeile 50) und zur Berechnung an eine zweite Recheneinheit 52 (Pfeil 54).
Da aufgrund der asynchronen Datenübertragung und der endlichen Synchronität der Fail-Safe-Einheiten es möglich ist, daß eine Einheit ein Datenpaket von dem aktuellen Kommunikationszyklus t empfängt und verwendet, während die zweite Einheit ein Datenpaket von dem vorhergehenden Zyklus t – 1 empfängt und verwendet, kann es dazu kommen, daß wenn sich von t – 1 zu t der Inhalt des Datenpakets ändert, die beiden Fail-Safe-Einheiten mit unterschiedlichen Eingangswerten arbeiten und somit zu unterschiedlichen Ausgangswerten kommen. Dies wird durch den zuvor beschriebenen Datenaustausch 18 zwischen den Recheneinheiten 14 und 16 vermieden, ohne daß die Einheiten sich in einem zusätzlichen, kommunikations- und zeitaufwendigen Prozeß abstimmen müssen.
Die beiden Fail-Safe-Einheiten stellen für sich genommen jeweils ein Zwei-Prozessorsystem dar. Die Zusammenschaltung dieser Einheiten 14 und 16 über den Datenaustausch 18 bildet ein fehlertolerantes System, also bspw. ein 2*2-Prozessorsystem.
In 3 ist das Versenden der Daten gemäß der ersten Variante des erfindungsgemäßen Verfahrens wiedergegeben. Hierbei generieren beide Fail-Safe-Einheiten 14 und 16 alle Sendedaten mit identischen oder ähnlichen Algorithmen in den jeweiligen Recheneinheiten 46 bzw. 52.
Die erste Einheit sendet jedoch nur die erste Hälfte der Botschaften, wie mit geschwungener Klammer 60 gezeigt, während die zweite Einheit 16 nur die zweite Hälfte der Bot schaften, die mit geschwungener Klammer 62 markiert sind, sendet.
Bei der ersten Variante werden die Schnittstellen in den beiden Fail-Safe-Einheiten 14 und 16 zur Anbindung an den asynchronen Datenbus 32 zyklisch verwendet, so daß ein Fehler sofort bemerkt wird. Dabei muß zwischen den Einheiten 14 und 16 pro Regelzyklus über die Kommunikationsverbindung 18in beiden Richtungen nur die Hälfte der Daten ausgetauscht werden, um einen Abgleich bezüglich der zu sendenden Daten zwischen den Fail-Safe-Einheiten 14 und 16 zu realisieren, so daß der Kommunikationsaufwand und der Zeitverzug verringert werden können. Gemäß der ersten Variante ist im fehlerfreien Fall keine zyklische Umkonfiguration der Busschnittstelle erforderlich.
Im Fehlerfall verfügt die fehlerfreie Einheit ohne Zeitverzug oder zusätzlichen Datenaustausch über alle empfangenen Botschaften bzw. kann alle zu sendenden Botschaften bereitstellen.
Eine höhere Systemverfügbarkeit kann zusätzlich erzielt werden, wenn beide Einheiten 14 und 16 alle Botschaften einlesen und alle Botschaften an die jeweils andere Einheit senden. Im fehlerfreien Fall verwendet jede Einheit 14 und 16 nur einen bestimmten Teil der Botschaften. Fällt bei einer der beiden Einheiten 14 und 16 die Busanbindung aus, bspw. durch einen Fehler bei einem Steckverbinder, verfügt diese Einheit ohne Zeitverzug über alle Botschaften und kann ohne Einschränkung weiterarbeiten. Zu beachten ist hierbei jedoch, daß der doppelte Kommunikationsaufwand auf der Verbindung 18 zwischen den Einheiten 14 und 16 entsteht.
Eine zweite Variante des erfindungsgemäßen Verfahrens ist in den 4 bis 7 wiedergegeben. Bei dieser erfolgt das periodische Wechseln der Empfangs- und der Sendefunktion zwischen den beiden Fail-Safe-Einheiten 14 und 16.
In 4 ist dieser Vorgang beim Empfangen der Daten zum Zeitpunkt t gezeigt. Zu erkennen ist, daß die erste Fail-Safe-Einheit 14 zu diesem Zeitpunkt alle Botschaften, was Klammer 70 zeigt, empfängt, zur Verwendung an die erste Recheneinheit 46 weitergibt (Pfeil 72) und diese Botschaften auch an die zweite Einheit 16 bzw. an deren zweite Recheneinheit 52 überträgt (Pfeile 74).
Zum Zeitpunkt t + 1, der in 5 wiedergegeben ist, empfängt die zweite Einheit 16 sämtliche Botschaften (Klammer 80), gibt diese zur Verwendung an die zweite Recheneinheit 52 (Pfeil 82) und überträgt diese Daten an die erste Recheneinheit 46 (Pfeile 84).
Es wird somit von Zyklus zu Zyklus das Empfangen aller Botschaften einmal von der ersten Einheit 14 und dann im nächsten Zyklus von der zweiten Einheit 16 übernommen. Alle empfangenen Daten werden an die nicht empfangende Einheit über die Kommunikationsverbindung 18 gesendet.
In 6 ist der Vorgang des Sendens gemäß der zweiten Variante zum Zeitpunkt t dargestellt. Eine geschwungene Klammer 90 zeigt, daß zu diesem Zeitpunkt die erste Einheit sämtliche Botschaften zu dem Datenbus 32 sendet. Zum Zeitpunkt t + 1, der in 7 wiedergegeben ist, versendet die zweite Einheit 16 alle Botschaften (Klammer 92).
Somit wird von Zyklus zu Zyklus das Senden aller Botschaften einmal von der ersten Einheit 14 und dann von der zweiten Einheit 16 bewerkstelligt.
Bei der gezeigten zweiten Variante dienen die Schnittstellen in beiden Einheiten 14 und 16 zur Anbindung an den Datenbus 32 und werden hierzu zyklisch verwendet. So zeigen sich Fehler bereits nach kurzer Verzögerung, spätestens nach jedem zweiten Regelzyklus.
Zwischen den Einheiten 14 und 16 müssen pro Regelzyklus immer nur in eine Richtung Daten übertragen werden, was einen verminderten Kommunikationsaufwand bedeutet. Im fehlerfreien Fall ist eine zyklische Umkonfiguration der Busschnittstelle notwendig.
Im Fehlerfall verfügt die fehlerfreie der beiden Einheiten 14 und 16 mit einem Zeitverzug von maximal einem Regelzyklus über alle Empfangsbotschaften bzw. kann alle zu sendenden Botschaften bereitstellen.
Um eine Datenkonsistenz zu gewährleisten, wird bei beiden Varianten davon ausgegangen, daß sich die Einheiten 14 und 16 vor der Versendung über die Kommunikationsverbindung 18 bzgl. der Dateninhalte abstimmen.
Das erfindungsgemäße Verfahren bietet sich insbesondere für einen Einsatz in einem Kraftfahrzeug an. Eine konkrete Anwendung könnte in einem Steer-by-Wire-System mit je zwei Sub-/Halbsteuergeräten beim Handmomentensteller und beim Radmomentensteller sein.

Claims

Verfahren zur Überwachung des sicheren Betriebs eines Kraftfahrzeuges, bei dem zum Ansteuern einer Funktionseinheit zwei an einen Datenbus (32) angeschlossene, fehlersichere elektronische Einheiten (14, 16) vorgesehen sind, wobei während des Betriebs ein Datenaustausch zwischen mindestens einer der beiden fehlersicheren elektronischen Einheiten (14, 16) und dem Datenbus (32) durchgeführt wird und eine Kommunikation (18j zwischen den beiden fehlersicheren elektronischen Einheiten (14, 16) erfolgt.
Verfahren nach Anspruch 1, bei dem eine der beiden fehlersicheren elektronischen Einheiten (14, 16) für den Datenaustausch eingesetzt wird und in einem Fehlerfall die andere der beiden fehlersicheren elektronischen Einheiten (14, 16) den Datenaustausch übernimmt.
Verfahren nach Anspruch 1, bei dem beide fehlersicheren elektronischen Einheiten (14, 16) gleichzeitig für den Datenaustausch eingesetzt werden.
Verfahren nach Anspruch 3, bei dem der Datenaustausch zyklisch erfolgt.
Verfahren nach Anspruch 3 oder 4, bei dem eine Aufteilung der Daten erfolgt.
Verfahren nach Anspruch 1, bei dem die beiden fehlersicheren elektronischen Einheiten (14, 16) abwechselnd für den Datenaustausch eingesetzt werden.
Verfahren nach einem der Ansprüche 1 bis 6, bei dem Daten von mindestens einer der fehlersicheren elektroni schen Einheiten (14, 16) zu dem Datenbus (32) gesendet werden.
Verfahren nach einem der Ansprüche 1 bis 6, bei dem mindestens eine der fehlersicheren elektronischen Einheiten (14, 16) Daten von dem Datenbus (32) empfängt.
Vorrichtung zur Überwachung einer Funktionseinheit in einem Kraftfahrzeug, mit zwei an einen Datenbus (32) angeschlossenen, fehlersicheren elektronischen Einheiten (14, 16) und einer die beiden fehlersicheren elektronischen Einheiten (14, 16) verbindenden Datenleitung (18) für eine Kommunikation.
Vorrichtung nach Anspruch 9, bei der als Datenbus (32) ein CAN-Bus dient.
Computerprogramm mit Programmcodemitteln, um alle Schritte eines Verfahrens nach einem der Ansprüche 1 bis 8 durchzuführen, wenn das Computerprogramm auf einem Computer oder einer entsprechenden Recheneinheit, insbesondere einer Recheneinheit (46, 52) in einer Vorrichtung (10) nach einem der Ansprüche 9 oder 10, durchgeführt wird.
Computerprogrammprodukt mit Programmcodemitteln, die auf einem computerlesbaren Datenträger gespeichert sind, um ein Verfahren nach einem der Ansprüche 1 bis 8 durchzuführen, wenn das Computerprogramm auf einem Computer oder einer entsprechenden Recheneinheit, insbesondere einer Recheneinheit (46, 52) in einer Vorrichtung (10) nach einem der Ansprüche 8 oder 9 durchgeführt wird.