DE19757335A1 - Schaltungsanordnung und Verfahren zum Übertragen von Daten über Datenleitungen - Google Patents

Description

Die Erfindung betrifft eine Schaltungsanordnung zum Übertra­ gen von Signalen gemäß dem Oberbegriff des Patentanspruchs 1 und ein Verfahren zum Übertragen von Daten auf einem Datenbus gemäß dem Oberbegriff des Patentanspruchs 8.

Für die Übertragung von Daten wird insbesondere in einem Kraftfahrzeug ein Datenbus, beispielsweise ein CAN-Bus einge­ setzt, über den mehrere Steuergeräte Daten miteinander aus­ tauschen. Der Artikel "Kommunikation im Automobil", Perier et. al., Elektronik 4, 1997, Seite 48 ff beschreibt die Ar­ chitektur eines typischen CAN-Bus-Netzwerkes. Dabei sind über ein Gateway zwei Netzwerkteile mit unterschiedlichen Datenra­ ten miteinander verbunden. An das Netzwerk mit der niedrigen Datenrate sind Steuergeräte für die Wegfahrsperre, die Ver­ riegelung, das Licht und Steuergeräte für das Radio, das Te­ lefon und die Anzeige angeschlossen.

Auf diese Weise sind jedoch Steuergeräte für sicherheitskri­ tische Daten wie z. B. die Wegfahrsperre und Steuergeräte für relativ unwichtige Daten wie z. B. der Steuerung des Außen­ spiegels an einem gemeinsamen Datenbus angeschlossen. Durch die Vielzahl der angeschlossenen Steuergeräte steigt die Wahrscheinlichkeit, daß falsche Daten auf dem Datenbus über­ tragen werden und, daß ein Datenbus beschädigt wird und somit zu einer Fehlfunktion des Datenbusses führt.

Eine Aufgabe der Erfindung beruht darin, die Sicherheit der Datenübertragung zwischen Steuergeräten zu erhöhen. Zudem be­ ruht eine weitere Aufgabe der Erfindung darin, einen korrek­ ten Datenaustausch zwischen zwei Steuergeräten zu gewährlei­ ten, auch wenn der Datenaustausch mit einem dritten Steuerge­ rät gestört ist.

Die Aufgabe der Erfindung wird durch die Merkmale des Patent­ anspruchs 1 und durch die Merkmale des Patentanspruchs 8 ge­ löst.

Ein wesentlicher Vorteil der Erfindung beruht darin, daß ein Steuergerät die Datenverbindung zu einem weiteren Steuergerät überwacht und bei einer Fehlfunktion die Datenverbindung mit dem weiteren Steuergerät unterbricht. Besonders vorteilhaft ist es, wenn bei einer Fehlfunktion das weitere Steuergerät vom Datenbus abgekoppelt wird und somit die Datenübertragung über den Datenbus mit anderen Steuergeräten nicht beeinträch­ tigt wird.

Zudem ist es von Vorteil, daß das Steuergerät sicherheitskri­ tische Daten nur an die Steuergeräte übermittelt, die die Da­ ten unbedingt erhalten müssen, so daß die Möglichkeit eines Mißbrauches der sicherheitskritischen Daten verringert wird.

Weitere vorteilhafte Ausbildungen und Verbesserungen der Er­ findung sind in den abhängigen Ansprüchen angegeben.

Die Erfindung wird im folgenden anhand der Figuren näher er­ läutert; es zeigen

Fig. 1: einen Datenbus,

Fig. 2: eine erste Schaltungsanordnung mit zwei parallelen Datenbus sen,

Fig. 3: eine Schaltungsanordnung mit einer Überwachungsein­ heit,

Fig. 4: ein viertes Steuergerät 6 mit zwei Schnittstellen, und

Fig. 5: ein viertes Steuergerät 6 mit einem Schalter.

Fig. 1 zeigt schematisch einen ersten Datenbus 2 eines Kraftfahrzeuges, über den ein fünftes Steuergerät 1 mit einem ersten, dritten und vierten Steuergerät 3, 5, 6 verbunden ist. Ein zweites Steuergerät 4 ist über einen zweiten Datenbus 21 mit dem vierten Steuergerät 6 verbunden. Das erste Steuerge­ rät 3 steht mit dem Motor eines Türschlosses 7 und einer Zu­ gangserkennungseinheit 8 in Verbindung. Das zweite Steuerge­ rät 4 steht mit einem Spiegelmotor 9 für einen Außenspiegel des Kraftfahrzeuges in Verbindung. Das dritte Steuergerät 5 ist an einen Fensterhebermotor 10 eines Fahrzeugfensters an­ geschlossen. Das vierte Steuergerät 6 steht mit Schaltern 11 in Verbindung, mit denen beispielsweise die Position der Fen­ sterheber, des Außenspiegels, des Fahrer- und Beifahrersitzes vom Fahrer eingegeben werden. Das vierte Steuergerät 6 gibt die eingegebenen Positionen an die entsprechenden Steuergerä­ te 3, 4, 5 weiter, die die Fensterheber, den Außenspiegel und den Fahrer- und Beifahrersitz entsprechen steuern.

In Abhängigkeit von den Daten, die das fünfte Steuergerät 1 oder das vierte Steuergerät 6 über den Datenbus 2 oder den zweiten Datenbus 21 an die weiteren Steuergeräte 3, 5, 6 sen­ det, steuern die weiteren Steuergeräte 3, 4, 5, 6 die zugeordne­ ten Stellglieder, die in diesem Ausführungsbeispiel als Tür­ schloßmotor 7, als Spiegelmotor 9 und als Fensterhebermotor 10 ausgebildet sind.

Die Zugangserkennungseinheit 8 tauscht beispielsweise kon­ taktlos über ein Sender/Empfängersystem mit einer Chipkarte Sicherheitsdaten aus, die über das erste weitere Steuergerät 3 an das fünfte Steuergerät 1 weitergegeben werden. Die Chip­ karte wird dabei von einer Person getragen, die sich dem Fahrzeug nähert und in das Fahrzeug einsteigen will.

Das fünfte Steuergerät 1 vergleicht die zugeführten Sicher­ heitsdaten mit abgelegten Referenzdaten und erkennt somit, ob ein Zugang in das Kraftfahrzeug erlaubt werden soll. Stimmen die Sicherheitsdaten der Chipkarte mit den abgelegten Refe­ renzdaten überein, so gibt das fünfte Steuergerät 1 an das erste weitere Steuergerät 3 den Steuerbefehl, den Türschloß­ motor 7 anzusteuern und somit die Türen des Kraftfahrzeuges zu entriegeln und die Wegfahrsperre freizugeben, damit das Fahrzeug gestartet werden kann.

Fig. 2 zeigt eine erste, einfache Ausführungsform der Erfin­ dung, bei der das fünfte Steuergerät 1 über einen ersten Da­ tenbus 2 mit dem ersten Steuergerät 3 und über einen zweiten Datenbus 21 mit dem zweiten Steuergerät 4 verbunden ist.

Das fünfte Steuergerät 1 weist einen Mikroprozessor 12 auf, der über einen Datenausgang 13 und einen Dateneingang 14 mit einer ersten Schnittstelle 15 in Verbindung steht. Die erste Schnittstelle 15 ist über einen ersten Ausgang direkt mit dem ersten Datenbus 2 und über eine erste Schalteinheit 17 mit dem zweiten Datenbus 21 verbunden. Die erste Schalteinheit 17 ist zudem über eine Steuerleitung 18 an den Mikroprozessor 12 angeschlossen.

Der Mikroprozessor 12 sendet und empfängt Daten von dem er­ sten und dem zweiten weiteren Steuergerät 3, 4. In Abhängig­ keit von vorgegebenen Betriebszuständen öffnet der Mikropro­ zessor 12 das erste Schaltelement 17 und unterbricht somit die Datenverbindung zwischen dem Mikroprozessor 12 und den zweiten Datenbus 21. Der Mikroprozessor 12 unterbricht die Verbindung zum zweiten Datenbus 21 vorzugsweise dann, wenn vorgegebene Daten, insbesondere sicherheitskritische Daten über den ersten Datenbus 2 ausgegeben werden. Dies ist insbe­ sondere dann von Vorteil, wenn beispielsweise der zweite Da­ tenbus 21 leichter abgehört werden kann oder die Verbindung des zweiten Datenbus 21 leichter beschädigt werden kann.

Diese Vorgehensweise wird insbesondere in dem angegebenen Ausführungsbeispiel verwendet, da das zweite Steuergerät 4 im Außenspiegel integriert ist und somit von außen leicht zu­ gänglich ist und damit über das zweite Steuergerät 4 sicher­ heitskritische Daten leicht abgehört werden können.

Das fünfte Steuergerät 1 öffnet das Schaltelement 17 auch dann, wenn der Datenaustausch mit dem zweiten Steuergerät 4 gestört ist. Dazu überwacht der Mikroprozessor 12, ob fehler­ hafte Daten von der Schnittstelle 15 zugeführt werden. Ist dies der Fall, dann öffnet der Mikroprozessor 12 zuerst die Schalteinheit 17 und überprüft weiterhin die zugeführten Da­ ten. Werden auch bei offener Schalteinheit 17 fehlerhafte Da­ ten zugeführt, so ist der Datenaustausch über den ersten Da­ tenbus 2 fehlerhaft. Als Folge davon beendet der Mikroprozes­ sor 12 den Datenaustausch mit dem ersten Steuergerät 3.

Stellt der Mikroprozessor 12 fest, daß bei geöffneter Schalt­ einheit 17 wieder korrekte Daten empfangen werden, so wird ein Notlauf durchgeführt, bei dem Daten nur über den ersten Datenbus 2 übertragen werden. Auf diese Weise ist trotz der fehlerhaften Datenübertragung über den zweiten Datenbus 21 ein fehlerfreier Datenaustausch über den ersten Datenbus 2 weiterhin möglich.

Fig. 3 zeigt eine zweite Ausführungsform der Erfindung, bei der der Mikroprozessor 12 über einen Datenausgang 13 mit ei­ ner ersten Schnittstelle 15 und mit einer zweiten Schaltein­ heit 22 verbunden ist. Die erste Schnittstelle 15 ist an den ersten Datenbus 2 angeschlossen. Die zweite Schalteinheit 22 ist an eine zweite Schnittstelle 27 angeschlossen, die wie­ derum an den zweiten Datenbus 21 angeschlossen ist. Zwischen der zweiten Schnittstelle 27 und dem zweiten weiteren Steuer­ gerät 4 ist vorzugsweise eine erste Schalteinheit 17 angeord­ net. Weiterhin ist eine Überwachungseinheit 23 vorgesehen, die mit dem zweiten Datenbus 21 in Verbindung steht.

Der Mikroprozessor 12 steht über Daten- und Steuerleitungen 24 mit der zweiten Schalteinheit 22, mit der zweiten Schnitt­ stelle 27, mit der Überwachungseinheit 23 und mit der ersten Schalteinheit 17 in Verbindung. Der Mikroprozessor 12 ist zu­ dem über einen Dateneingang 14 an ein Schaltelement 20 ge­ führt, das als logisches ODER-Glied ausgeführt ist. Die zwei Eingänge des Schaltelementes 20 sind über eine zweite Rück­ leitung 26 mit einem Ausgang der ersten Schnittstelle 15 und über eine erste Rückleitung 25 mit einem Ausgang der zweiten Schnittstelle 27 verbunden.

In diesem Ausführungsbeispiel ist nur eine zweite Schaltein­ heit 22 beschrieben, mit der ein zweiter Datenbus 21 abge­ schaltet werden kann. Es können jedoch auch mehrere zweite Schalteinheiten 22 vorgesehen sein, mit denen das Steuergerät 12 verbunden ist, und mit denen mehrere Datenbusse abgeschal­ tet werden können.

In einer Grundeinstellung steuert der Mikroprozessor 12 gleichzeitig das erste und das zweite Interface 15, 27 an und überträgt die gleiche Information über den Datenausgang 13 an den ersten und an den zweiten Datenbus 2, 21. Dabei ist sowohl die erste Schalteinheit 17 als auch die zweite Schalteinheit 22 geschlossen, so daß die Daten an das erste und an das zweite weitere Steuergerät 3, 4 übertragen werden. Stellt nun die Überwachungseinheit 23 eine Fehlfunktion der Datenüber­ tragung auf dem zweiten Datenbus 21 fest, so öffnet das Steu­ ergerät 12 die erste oder die zweite Schalteinheit 17, 22 und unterbricht somit das Aussenden von Daten über den zweiten Datenbus 21. Die Überwachungseinheit 23 ist entweder zwischen der zweiten Schnittstelle 27 und der ersten Schalteinheit 17 oder zwischen der ersten Schalteinheit 17 und dem zweiten weiteren Steuergerät 4 an den zweiten Datenbus 21 angeschlos­ sen. In einer einfachen Ausführung ist nur ein Schaltelement 17, 22 vorgesehen.

Fig. 4 zeigt eine weitere Schaltungsanordnung, die der Da­ tenbusstruktur der Fig. 1 entspricht, wobei jedoch das vier­ te Steuergerät 6 entsprechend dem fünften Steuergerät 1 der Fig. 3 aufgebaut ist. Dabei hat das vierte Steuergerät 6 zu­ sätzlich die Aufgabe, sicherheitskritische Daten, die vom fünften Steuergerät 1 auf den ersten Datenbus ausgegeben wer­ den, nicht an den zweiten Datenbus 21 weiterzugeben. Vorzugs­ weise wird dazu vom fünften Steuergerät 1 vor der Ausgabe der sicherheitskritischen Daten eine Nachricht auf den ersten Da­ tenbus 2 gegeben, die dem vierten Steuergerät 6 mitteilt, daß die folgenden Daten nicht an den zweiten Datenbus weitergege­ ben werden sollen. Nach Erhalt dieser Nachricht öffnet das vierte Steuergerät 6 die zweite Schalteinheit, so daß die folgenden Daten nicht an den zweiten Datenbus 21 weitergege­ ben werden.

Fig. 5 zeigt ein viertes Steuergerät 6, das entsprechend dem fünften Steuergerät 1 der Fig. 2 ausgebildet ist, wobei eine Schnittstelle 15 vorgesehen ist und der erste Datenbus 2 über eine erste Schalteinheit 17 mit dem zweiten Datenbus in Ver­ bindung steht. Auch in dieser Anordnung überwacht das vierte Steuergerät 6 die Übermittlung der vom fünften Steuergerät 1 ausgegebenen Daten an das zweite Steuergerät 4. Sollen Daten nicht an das zweite Steuergerät 4 übertragen werden, dann öffnet das vierte Steuergerät 6 die erste Schalteinheit 17.

Vorzugsweise sendet das fünfte Steuergerät ein Datentelegramm aus, das am Anfang ein Vertraulichkeitsbit aufweist, an das sich die Nutzdaten anschließen, mit denen Informationen über­ tragen werden. Das Vertraulichkeitsbit wird vom fünften Steu­ ergerät 1 auf einen vorgegebenen Wert gesetzt, wenn die ent­ haltenen Daten nicht an den zweiten Datenbus übertragen wer­ den sollen. Das vierte Steuergerät 6 wertet das Datentele­ gramm aus und schaltet die erste und/oder die zweite Schalt­ einheit 17, 22 aus, wenn das Vertraulichkeitsbit einen vorge­ gebenen Wert hat. Somit wird auf einfache Weise verhindert, daß beispielsweise sicherheitskritische Daten an den zweiten Datenbus 21 übergeben werden.

Ein Vorteil der Erfindung beruht darin, daß das Steuergerät 12 die Stromversorgung der zweiten Schnittstelle 27 über die Daten- und Steuerleitungen 24 abschalten kann, um Ruhestrom zu sparen, was beispielsweise bei einem abgestellten Fahrzeug von Vorteil ist.

Vorzugsweise wird dabei nur die Stromversorgung der ersten Schnittstelle 15 aufrechterhalten, und damit der Datenaus­ tausch über den ersten Datenbus 2 aufrechterhalten, der mit dem ersten Steuergerät 3 verbunden ist, mit dem die Zugangs­ erkennungseinheit 8 betrieben wird. Durch diese Ruheschaltung ist es zum einen möglich, einen Zugang zum Kraftfahrzeug zu bekommen und zudem Strom zu sparen.

Sollte nun eine Person über die Zugangserkennungseinheit 8 als berechtigt zum Zugang in das Kraftfahrzeug erkannt wer­ den, so schaltet der Mikroprozessor 12 den zweiten Datenbus 21 entweder über die erste oder die zweite Schalteinheit 17, 22 in Betrieb, so daß weitere Funktionen des Kraftfahrzeu­ ges wie z. B. die Einstellung des Außenspiegels wieder ausge­ führt werden können.

Weiterhin ist es von Vorteil, daß der zweite Datenbus 21 beim Übertragen von sicherheitskritischen Daten abgeschaltet ist. Dies ist insbesondere bei der Überprüfung einer Zugangsiden­ tifikation von Vorteil. Damit wird ein Abhören des zweiten Datenbusses 21 oder ein Einspielen eines Datentelegramms oder eine Störung der Datenkommunikation über den zweiten Datenbus 21 verhindert. Auf diese Weise wird die Übertragung der Zu­ gangsinformation und die Übertragung einer Fahrberechtigungs­ information vor dem Abhören geschützt.

Die Erfindung ist prinzipiell unabhängig von der physikali­ schen Realisierung der Buskommunikation. So können der erste und der zweite Datenbus 2, 21 über ein Kabel, einen Lichtwel­ lenleiter oder über eine Funk- oder Schallübertragung reali­ siert sein.

Claims (11)

1. Schaltungsanordnung zum Austauschen von Signalen zwischen einem Steuergerät (1) und mindestens zwei Datenleitungen (2, 21), insbesondere in einem Kraftfahrzeug, wobei das Steuergerät (1) über eine Schnittstelle (15) mit den zwei Datenleitungen verbunden ist, dadurch gekennzeichnet,

• - daß in einer Datenleitung (21) eine Schalteinheit (17) vorgesehen ist, die mit dem Steuergerät (1, 6) in Verbindung steht, und daß die Schalteinheit (17) nach Empfang eines Abschaltsignals von dem Steuergerät (1, 6) die Datenverbindung zwischen dem Steuergerät und der Datenleitung (21) unterbricht.

2. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß das Steuergerät (1, 6) vor dem Aussenden vorgegebener Signale, insbesondere vor dem Aussenden sicherheitskritischer Signale, die Schalteinheit (17) abschaltet.

3. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß das Steuergerät (1, 6) mit einem Ausgang über eine erste Schnittstelle (15) mit der ersten Datenleitung (2) und über eine zweite Schnittstelle (27) mit der zweiten Datenleitung (21) verbunden ist,
daß ein Eingang des Steuergerätes (1, 6) über ein Schaltelement (20) mit Ausgängen der Schnittstellen (15, 27) verbunden ist,
daß zwischen dem Ausgang des Steuergerätes (1, 6) und der zweiten Datenleitung eine Schalteinheit (22, 17) eingebracht ist, daß die Schalteinheit (22, 17) nach Erhalt eines Abschaltsingals, die Verbindung zwischen dem Steuergerät (1, 6) und der zweiten Datenleitung (21) unterbricht.

4. Schaltungsanordnung nach Anspruch 1 oder 3, dadurch gekennzeichnet, daß eine Überwachungseinheit (23) mit einer Datenleitung (21) verbunden ist, daß die Überwachungseinheit die Signale, die über die Datenleitung (21) übertragen werden, überprüft und bei Erkennen einer Fehlfunktion ein Fehlersignal an das Steuergerät (1) gibt, das vorzugsweise die Schalteinheit (17, 22) öffnet, die in der überwachten Datenleitung (21) angeordnet ist.

5. Schaltanordnung nach Anspruch 1, dadurch gekennzeichnet, daß die erste und zweite Datenleitung jeweils an ein weiteres Steuergerät (3, 4, 5) angeschlossen sind.

6. Schaltungsanordnung nach Anspruch 5, dadurch gekennzeichnet, daß ein zweites Steuergerät (4) , das an die zweite Datenleitung (21) angeschlossen ist, an einer leicht zugänglichen Stelle im Fahrzeug angeordnet ist, die insbesondere durch Unfall leicht beschädigt werden kann.

7. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Datenleitungen (2, 21) als Datenbusse ausgebildet sind.

8. Verfahren zum Austauschen von Daten zwischen einem Steuergerät (1, 6) und zwei Datenleitungen (2, 21), insbesondere in einem Kraftfahrzeug, dadurch gekennzeichnet, daß abhängig von einem vorgegebenen Betriebszustand Daten nur mit einer der zwei Datenleitungen (2, 21) ausgetauscht werden.

9. Verfahren nach Anspruch 8, dadurch gekennzeichnet, daß die Datenleitungen (2, 21) überwacht werden, daß bei einer Störung der Datenübertragung (2, 21) über eine Datenleitung (21) der Datenaustausch über die gestörte Datenleitung (21) abgebrochen wird.

10. Verfahren nach Anspruch 8, dadurch gekennzeichnet, daß sicherheitskritische Daten nur über die Datenleitung (2) übertragen werden, an die das erste Steuergerät (3) angeschlossen ist, mit dem die sicherheitskritischen Daten ausgetauscht werden sollen.

11. Verfahren nach Anspruch 8, dadurch gekennzeichnet, daß ein Datentelegramm über eine erste Datenleitung (2) übertragen wird, daß das Datentelegramm ein Vertraulichkeitsbit aufweist, daß das Steuergerät (6) das Datentelegramm auswertet, daß Mittel (17) vorgesehen sind, die die erste Datenleitung (2) mit der zweiten Datenleitung (21) verbinden, und daß das Steuergerät (6) die Übertragung des Datentelegramms auf die zweite Datenleitung unterbricht (17), wenn das Vertraulichkeitsbit einen vorgegebenen Wert aufweist.