-
Die
Erfindung betrifft ein Verfahren zum Reset von elektronischen Fahrzeug-Steuergeräten, nach
dem Oberbegriff des Patentanspruchs 1.
-
Elektronische
Fahrzeug-Steuergeräte
können
z.B. aufgrund von Software-Fehlern
fehlerhafte Betriebszustände
einnehmen, die zu Fehlfunktionen im Fahrzeug führen können. Sie erlangen ihre korrekte Funktion
häufig
erst wieder nach einem sogenannten Reset, das heißt nach
einem kurzzeitigen Ausschalten bzw. Abtrennen von der Energieversorgung,
insbesondere von der Versorgungsspannung. Ein solcher Reset ist
vergleichbar mit dem Aus- und Wiedereinschalten eines PC's (= Personal Computer),
bei dem sich die Anwendungssoftware "aufgehängt" hat und nicht mehr reagiert.
-
Es
sind Verfahren bekannt, bei denen ein Mikroprozessor eines elektronischen
Fahrzeug-Steuergerätes
mittels einer Watchdog-Schaltung zyklisch überwacht wird, ob Signalimpulse
auftreten, d.h. ob intern Daten gesendet werden oder nicht. Wenn
keine Signalimpulse auftreten wird ein fehlerhafter Betriebszustand
von der Watchdog-Schaltung erkannt worauf ein Reset ausgelöst wird,
indem eine Reset-Vorrichtung betätigt
wird. Dieser Stand der Technik ist in 3 dargestellt.
Hier ist ein elektronisches Fahrzeug-Steuergerät 5 dargestellt, in
dem sich eine Reset-Vorrichtung 3 in einem Mikroprozessor 4 befindet,
der hierfür
einen Reset-Eingang 10 aufweist. Dieser Reset-Eingang 10 ist über eine
Reset-Leitung 12 mit
der Watchdog-Schaltung 18 verbunden. Die Watchdog-Schaltung 18 ist über eine Überwachungsleitung 20 mit
dem Mikroprozessor 4 verbunden. Hier findet die zyklische Überwachung
statt, ob der Mikroprozessor 4 noch Signalimpulse I 21 erzeugt oder
nicht. Bleiben die Signalimpulse I 21 aus, dann erkennt
die Watchdog-Schaltung einen fehlerhaften Betriebszustand und erzeugt
ein Reset-Auslösesignal
S 22, das über
die Reset-Leitung 12 die Reset-Vorrichtung 3 betätigt. Die
Watchdog-Schaltung ist über
eine Versorgungsleitung 23 mit der Energieversorgung 11,
insbesondere einer Spannungsversorgung, verbunden, die auch weitere
Komponenten des Steuergerätes 5 mit
Energie versorgt. Im Steuergerät 5 ist
auch ein Transceiver 19 angeordnet, der den Datenempfang
und die Datenversendung regelt und auf das entsprechende Datenbussystem 7 bzw.
auf das entsprechende Steuergerät anpasst,
so dass die Daten 17 zwischen den unterschiedlichen Systemen 7, 5 über Datenleitungen 6 ausgetauscht
werden können.
-
Nachteilig
hierbei ist jedoch, dass nur die fehlerhaften Betriebszustände erkannt
werden, die ein Ausbleiben der Signalimpulse I 21 verursachen.
Logische Programmierfehler, die falsche Datensignale erzeugen, werden
mit einem solchen Verfahren nicht entdeckt. Dies kann dazu führen, dass
einzelne Funktionen dem Gesamtsystem nicht mehr zur Verfügung stehen,
wie beispielsweise eine sogenannte energiesparende Stand-By-Funktion, was dazu
führen
kann, dass innerhalb kürzester
Zeit die Batterie entladen wird.
-
Weiterhin
ist es bekannt, Steuergeräte
mit zwei Mikroprozessoren zu versehen, die zumindest bestimmte Steuer-
und Regelaufgaben parallel bearbeiten. Aus einem Vergleich der von
den beiden Mikroprozessoren gewonnen Daten kann im Falle von Abweichungen
in den Daten ebenfalls ein Fehler erkannt werden. Hierbei wird die
Watchdog-Schaltung aus 3 zusätzlich über eine
weitere Überwachungsleitung
mit einem zweiten Mikrokontroller verbunden.
-
Nachteilig
hierbei ist jedoch, dass auch hier nicht alle fehlerhaften Betriebszustände zuverlässig erkannt
werden können.
-
Aus
der WO 00/18613 ist ein Verfahren bekannt, bei dem eine Watchdog-Schaltung, die von
dem Mikroprozessor an die Datenleitung ausgegebenen Daten mit vorgegebenen
Daten vergleicht, wobei ein Fehler erkannt wird, wenn die von dem
Mikroprozessor ausgegebenen Daten nicht mit den vorgegebenen Daten übereinstimmen.
Bezogen auf 3 könnte hier
die separate Überwachungsleitung 20 entfallen
und die Watchdog-Schaltung 18 direkt mit der internen Datenleitung 6 des
Datenbussystems 7 zwischen Transceiver 19 und
Mikroprozessor 4 verbunden werden. Ferner wird in dieser
Schrift ein Verfahren offenbart, bei dem von einem ersten Steuergerät die zu
ermittelnde und gegebenenfalls auszugebenden Daten von wenigstens
einem zweiten Steuergerät
nachgebildet werden, wobei ein Fehler erkannt wird, wenn die in
dem ersten Steuergerät ermittelten
Daten von den im zweiten Steuergerät nachgebildeten Daten abweichen.
Hierbei würde
anstatt einer Watchdog-Schaltung das zweite Steuergerät zur Überwachung
des ersten Steuergerätes
und das erste Steuergerät
zu Überwachung
des zweiten Steuergerätes
dienen. In Bezug auf 3 würde die
Watchdog-Schaltung 18 durch
den Mikroprozessor eines weiteren Steuergerätes ersetzt, der ohne separate Überwachungsleitung 20 direkt
mit der Datenleitung 6 des Datenbussystems 7 verbunden
ist und die ermittelten Daten mit den nachgebildeten Daten vergleicht.
Sind die Daten unterschiedlich würde
der zur Überwachung verwendete
Mikroprozessor die Reset-Vorrichtung am überwachten Prozessor direkt
auslösen
Nachteilig an diesen bekannten, aufwendigen Verfahren ist es, dass
auch hier nicht alle fehlerhaften Betriebszustände der Steuergeräte erkannt
werden können,
insbesondere wenn sie durch sogenannte logische Programmierfehler verursacht
werden. Bei diesen internen Überwachungsverfahren
besteht die Gefahr, das ein Reset gar nicht ausgelöst werden
kann, weil hierfür
erforderliche Bestandteile einen fehlerhaften Betriebszustand aufweisen.
-
Aufgabe
der Erfindung ist es ein zuverlässigeres
Verfahren zum Reset von elektronischen Steuergeräten aufzuzeigen bei dem alle
fehlerhaften Betriebszustände
erkannt und schnell behoben werden.
-
Diese
Aufgabe wird erfindungsgemäß durch
die Merkmale im Patentanspruch 1 gelöst. Hierbei überwacht
eine zentralen Steuereinheit die im Datenbussystem übermittelten
Daten, wobei die zentrale Steuereinheit mit dem elektronischen Steuergerät über das Datenbussystem
in Verbindung steht. Sowohl die zentrale Steuereinheit als auch
die Datenleitung des Datenbussystems über die der Datenaustausch
erfolgt sind außerhalb
des Steuergerätes
angeordnet. Diese Daten werden hinsichtlich eines fehlerhaften Betriebszustandes eines
Steuergerätes
ausgewertet. Wird ein fehlerhafter Betriebszustand eines Steuergerätes erkannt,
so erzeugt die zentrale Steuereinheit einen Reset-Auslösebefehl,
der über
die Datenleitung zur entsprechenden Auslöseeinheit geschickt wird und
dort eine Reset-Auslösung
initiiert. Hierbei kann die Auslöseeinheit
sowohl intern als auch extern bezüglich des betroffenen Steuergerätes angeordnet
sein.
-
Die
Vorteile der Erfindung bestehen darin, dass der Reset ferngesteuert
ausgelöst
werden kann, so dass Steuergeräte,
die einen fehlerhaften Betriebszustand eingenommen haben und diesen
aus eigener Kraft nicht verlassen können wieder in den ursprünglichen,
fehlerlosen Betriebszustand versetzt werden können. Die externe, zentrale
Steuereinheit kann alle Daten, die über die Datenleitung des Datenbussystems
ausgetauscht werden, überwachen,
wodurch die Möglichkeit
gegeben wird alle fehlerhaften Betriebszustände aller an diesem Datenbussystem
angeschlossener Steuergeräte
zu erkennen und im Bedarfsfall gezielt auf die einen fehlerhaften
Betriebszustand aufweisenden Steuergeräte einzuwirken. Dieses Verfahren
ermöglicht
es auch anderen Steuergeräten,
die einen fehlerhaften Betriebszustand bei einem Steuergerät feststellen,
für Abhilfe
zu sorgen, indem sie die zentrale Steuereinheit über die Fehlfunktion benachrichtigen,
falls diese den Zustand selbst noch nicht entdeckt hat.
-
Vorteilhafte
Weiterbildungen ergeben sich aus den Unteransprüchen. Hierbei können an
ein und dasselbe Steuergerät
verschiedene Auslösesteuersignal
geschickt werden, die unterschiedliche Resets des Steuergerätes bewirken
können,
wie z.B. nur den Reset des Mikroprozessors oder den Reset des gesamten
Steuergerätes.
Mit einem solchen Verfahren können
sogar fehlerhafte Betriebszustände
nach ihrer Schwere beurteilt werden und ein von dieser Schwere abhängiger Reset
beim Steuergerät
ausgelöst
werden. Mit diesem Verfahren ist es auch möglich einen oder mehrere gleichartige
oder unterschiedliche Resets für mehrere
Steuergeräte
gleichzeitig oder zeitversetzt auszuführen. Eine andere Verfahrensvarianten
bewirkt das Abschalten mehrere Steuergeräte.
-
Die
Erfindung soll nachfolgend anhand von Ausführungsbeispielen und Figuren
näher erläutert werden.
Es zeigen:
-
1: Steuergerät mit fernbedienbaren
Reset-Vorrichtungen
-
2: Verbund von Steuergeräten an einem
Datenbussystem mit einer zentralen Steuereinheit zur Erzeugung von
Auslöse-Steuersignalen, die
einen Reset am Steuergerät
bewirken.
-
3: Herkömmlich arbeitendes Steuergerät (Stand
der Technik).
-
1 zeigt ein Steuergerät mit fernbedienbarer
Reset-Vorrichtung. Das Steuergerät 5 ist
extern mit der Datenleitung 6 eines Datenbussystems 7 verbunden. Über diese
Datenleitung 6 werden alle für das Datenbussystem 7 relevanten
herkömmlichen
Daten 17 verschickt. Der Datentransfer kann in beide Richtungen erfolgen,
das heißt
vom Steuergerät 5 ins
Datenbussystem 7 und vom Datenbussystem 7 ins
Steuergerät 5. Hierbei
kann als Datenbus 7 z.B. ein CAN- oder MOST-System verwendet
werden. Jedoch könnte
für das
Ausführungsbeispiel
auch jedes andere beliebige Datenbussystem 7 verwendet
werden, wobei unter Datenbussystem auch ein aus mehreren beliebigen
Datenbussystemen zusammengesetztes System verstanden werden kann.
Zusätzlich
zu den herkömmlichen
Daten 17, die beispielsweise einen Wert, einen Befehl oder
ein Signal beinhalten, werden im Ausführungsbeispiel in der Datenleitung 6 spezielle
Reset-Auslöse-Befehle A 8 transportiert.
Ein Reset-Auslöse-Befehl 8 ist
derart codiert, dass nur das Steuergerät 5, für das dieser
Reset-Auslöse-Befehl 8 bestimmt
ist, diesen als solchen identifizieren und weiterleiten kann. Die
anderen Steuergeräte,
die in diesem Ausführungsbeispiel
nicht abgebildet sind, werden diesen nicht für sie bestimmten Reset-Auslöse-Befehl
A 8 ignorieren. Das Steuergerät 5 weist einen vom
verwendeten Bussystem 7 abhängigen Transceiver 19 auf.
Der Transceiver 19 dient zum Empfangen und Versenden von
Daten 17, 8, das heißt er identifiziert die Eingangsdaten,
die für
dieses Steuergerät
bestimmt sind und bereitet sie auf, so dass sie für das interne
System, insbesondere für
einen im Steuergerät 5 befindlichen
Mikroprozessor 4 lesbar sind. Eine weitere Aufgabe des
Transceivers 19 besteht darin, dass er die Ausgabedaten,
die insbesondere von dem im Steuergerät 5 befindlichen Mikroprozessor 4 stammen
und die vom Steuergerät 5 in
die Datenleitung 6 des Datenbus-Systems 7 eingespeist werden
sollen, so aufbereitet, dass sie im Datenbus-System 7 verwendet werden
können.
Dieser Transceiver 19 ist im Steuergerät 5 über eine
interne Datenleitung 6 mit dem Mikroprozessor 4 verbunden. Über diese
interne Datenleitung 6 werden die für das Steuergerät 5 bestimmten
Eingangsdaten und die für
das Datenbus-System 7 bestimmten
Ausgabedaten transportiert, wie es beispielsweise bei der sogenannten
Rx-Leitung für
CAN- oder LIN-Transceiver oder bei einer Ring-Bruch-Diagnose-Leitung
(RBD-Leitung) für
einen MOST-Transceiver
der Fall ist. Die interne Datenleitung 6 ist zwischen dem
Transceiver 19 und dem Mikroprozessor 5 angeordnet.
Zur Vereinfachung wurden jedoch in den Figuren diese bezüglich des
Steuergerätes 5 interne
Datenleitung 6 und die interne Daten 17 genauso
dargestellt und bezeichnet wie die externe Datenleitung 6 und
die externen Daten 17.
-
Wird
nun ein Reset-Auslösebefehl
A 8 von einer im Steuergerät 5 angeordneten Erkennungsvorrichtung 1 identifiziert,
so wird eine Reset-Vorrichtung 2, 3 betätigt, die
ein Aus- und Einschalten bewirkt, mit dem der fehlerhafte Betriebszustand
des Steuergerätes 5 behoben
werden kann. In diesem Ausführungsbeispiel
ist die Erkennungsvorrichtung 1 mit zwei unterschiedlich
arbeitenden Reset-Vorrichtung 2, 3 verbunden.
Die erste Reset-Vorrichtung 3 ist die Reset-Vorrichtung,
die standardmäßig in jedem
Mikroprozessor 5 angeordnet ist und über den Reset-Eingang 10 bzw. über die
Reset-Leitung 12 betätigt
werden kann. Mit dieser Vorrichtung wird im Ausführungsbeispiel nur der Mikroprozessor 4 kurz
aus- und wieder eingeschaltet. Die zweite Reset-Vorrichtung 2 besteht
aus einem Schalter 9, der die Verbindung zur Energieversorgung 2,
insbesondere zu einer externen Spannungsversorgung, kurzeitig unterbrechen
kann, wodurch zumindest mehrere oder sogar alle Komponenten eines
Steuergerätes
gleichzeitig zurückgesetzt
werden können.
Für dieses
beiden Reset-Möglichkeiten
werden zwei unterschiedliche Reset-Auslösebefehle benötigt, die
von der Erkennungsvorrichtung identifizieren werden können, wie
nachfolgend in 2 gezeigt.
Abhängig
vom identifizierten Reset-Auslösebefehl
wird dann die entsprechende Reset-Vorrichtung betätigt. Sind
in einem Steuergerät
mehrere Komponenten enthalten, die einen fehlerhaften Betriebszustand
aufweisen können,
der durch einen Reset behoben werden kann, so können diese einzeln, gruppenweise
oder alle zusammen mit diesem Verfahren zurückgesetzt werden, das darauf
basiert das extern -bezüglich
des Steuergerätes-
ein fehlerhafter Betriebszustand erkannt und beurteilt wird und
extern ein Reset-Auslösebefehl
A 8 über
die herkömmliche
externe Datenleitung 6 an das Steuergerät 5 geschickt wird,
das Steuergerät 5 diesen
Befehl erkennt und den Befehl ausführt. Zusätzlich zu diesem Verfahren
kann auch weiterhin das übliche
Verfahren beibehalten werden, das über eine Watchdog-Schaltung 18,
die über
eine Überwachungsleitung 20 mit
dem Mikroprozessor verbunden ist, in zyklischen Abständen überprüft ob irgendwelche
Signale vom Mikroprozessor 4 gesendet werden oder nicht.
Wird daraufhin ein fehlerhafter Betriebszustand entdeckt, so wird über die
Reset-Leitung die Reset-Vorrichtung 3 am Reset-Eingang 10 ausgelöst.
-
2 zeigt einen Verbund von
vier Steuergeräten 5, 11 nachfolgend
SG1, SG2, SG3 und SG4 genannt, an
einem Datenbussystem 7. An diesem Datenbussystem 7 befindet
sich eine zentrale Steuereinheit 13 zur Erzeugung von Reset-Auslösebefehlen,
die zumindest einen Reset an einem Steuergerät bewirken. Dieses Ausführungsbeispiel
weist ein Datenbussystem 7 auf, das über eine Datenleitung 6 eine
zentrale Steuereinheit 13 mit vier Steuergeräte 5, 14 verbindet.
Die zentrale Steuereinheit 13 überwacht einerseits die Daten 17,
die in der Datenleitung 6 übertragen werden und speist
gegebenenfalls weitere Daten 8 insbesondere Reset-Auslösebefehle
A2a, A4b für einzelne
Steuergeräte
SG1, SG2, SG3 und SG4 in die
Datenleitung 6 ein. Diese Reset-Auslösebefehle A2a,
A4b sind so codiert, dass sie nur vom jeweils
betroffenen Steuergerät
SG2, SG4 identifiziert
werden können
und nur dort eine Reset-Auslösung
bewirkt wird. Aufgrund der Beobachtung der Datenübertragung kann die zentrale
Steuereinheit 13 fehlerhafte Betriebszustände eines
oder mehrerer Steuergeräte
SG1, SG2, SG3 und SG4 erkennen
und darüber
entscheiden, welcher oder welche Reset-Befehle den oder die fehlerhaften Betriebszustände behebt
oder beheben. Im Ausführungsbeispiel
hat die zentrale Steuereinheit 13 zwei fehlerhafte Betriebszustände im Steuergerät SG2 und SG4 entdeckt.
Daraufhin hat es zwei Reset-Auslösebefehle
A2a und A4b, generiert,
die es über
die Datenleitung an die beiden betroffenen Steuergeräte SG2 und SG4 schickt.
Das zweite Steuergerät
SG2 erkennt seinen Reset-Auslösebefehl
A2a mit dem der Mikroprozessor 4 allein über seinen
Reset-Eingang 10 zurückgesetzt
wird, wie in 1 beschrieben.
Auch das vierte Steuergerät
SG4 erkennt seinen Reset-Auslösebefehl
A4b bei dem das gesamte Steuergerät SG4 über
die Energieversorgung 11 zurückgesetzt werden soll. Die
Steuergeräte
SG1 und SG3 werden
mit den Reset-Auslösebefehlen
A2a und A4b nicht
zurückgesetzt.
Nach dem Zurücksetzen
beobachtet die zentrale Steuereinheit 13 wiederum den Datenaustausch
zur Gewährleistung
fehlerfreier Betriebszustände
der Steuergeräte.
-
Als
besonders vorteilhaft erweist es sich, wenn die zentrale Steuereinheit 13 die
Anzahl der Zurücksetzungen
der jeweiligen Steuergeräte
dokumentiert, um die Güte
und Zuverlässigkeit
der einzelnen Steuergeräte
besser beurteilen zu können.
Bei Steuergeräten
oder Komponenten, die innerhalb eines vorgegebenen Zeitraums keinen
Reset erforderlich gemacht haben könnte zukünftig die zusätzlichen
Vorrichtungen zum Reset entfallen.
-
