DE4221815A1 - Steuerungsverfahren fuer ein fahrzeug - Google Patents

Description

Die Erfindung betrifft ein Steuerungsverfahren für ein Fahr­ zeug, das mit mehreren Computern ausgestattet ist, sowie eine Vorrichtung zur Durchführung des Verfahrens.

In Steuerungssystemen für Fahrzeuge, wie z. B. Kraft­ fahrzeuge, werden in der letzten Zeit häufig Mehrprozessor­ systeme eingesetzt, die jeweils mehrere Computer aufweisen, um die an Umfang und Kompliziertheit zunehmenden Steuerungsaufga­ ben zu bewältigen.

In diesem Fall wird beim Auftreten einer Störung der Inhalt des RAM-Speichers des Computers zerstört, und normale Daten können nicht gehalten werden. Daher ist eine Überwa­ chungseinrichtung zur Störungsüberwachung unentbehrlich. Bei­ spielsweise wird in der im Amtsblatt veröffentlichten japa­ nischen Patentanmeldung, Offenlegungsnummer 1 83 254/1988, eine Überwachungseinrichtung offenbart, wobei Daten zwischen zwei Prozessoren ausgetauscht werden, solange keine Störung auf­ tritt, und bei Ausfall eines Prozessors oder bei einem Daten­ übertragungsfehler der den Fehler verursachende Prozessor zu­ rückgestellt wird.

In einem System, in dem zwei Computer als Haupt- und Nebencomputer über Datenübertragungsleitungen miteinander ver­ bunden sind und eine Steuerung durch Übertragung von Steue­ rungsdaten zum Startzeitpunkt aus dem ROM-Speicher des Haupt­ computers in den RAM-Speicher des Nebencomputers erfolgt, wird jedoch die Wiederaufnahme des normalen Betriebs schwierig, wenn eine auf der Seite des Nebencomputers auftretende Störung so behandelt wird, daß der Nebencomputer durch ein Störungser­ kennungssignal von der Überwachungseinrichtung zurückgestellt wird, um den Inhalt des RAM-Speichers zu löschen. Ferner ge­ währleistet der Hauptcomputer keinen normalen Betrieb für eine Steuerung, die sich auf Steuerinformationen vom Nebencomputer stützt.

Die vorliegende Erfindung berücksichtigt den oben ge­ schilderten Sachverhalt, und ihre Aufgabe besteht darin, ein Steuerungsverfahren für ein Fahrzeug zu schaffen, bei dem auch dann, wenn Steuerungsdaten im RAM-Speicher eines Computers durch das Auftreten eines Störungszustands zerstört worden sind, der normale Steuerungsbetrieb schnell wiederhergestellt werden kann.

In der ersten Ausführungsform der Erfindung wird für ein Fahrzeug mit einem ersten und einem zweiten Computer ein Steuerungsverfahren geschaffen, das die folgenden Schritte aufweist: Überwachung des Auftretens von Störungen im zweiten Computer; Zurückstellen des zweiten Computers, wenn das Auf­ treten einer Störung festgestellt wird; Übertragung von Steue­ rungsdaten vom ersten zum zweiten Computer; Feststellung, ob die Übertragung aller Steuerungsdaten beendet ist; Berechnung einer Nebenkontrollsumme der Steuerungsdaten; Eingabe der Nebenkontrollsumme in die Haupt-Zentralverarbeitungseinheit (Haupt-ZVE) des ersten Computers; Berechnung einer Hauptkon­ trollsumme aus den Steuerungsdaten im ersten Computer; Kon­ trolle, ob die Nebenkontrollsumme gleich der Hauptkontroll­ summe ist; Senden eines Steuerungsstartbefehls vom ersten Com­ puter zum zweiten Computer und sofortige Wiederherstellung einer optimalen Steuerung des Fahrzeugs, auch wenn die Steue­ rungsdaten durch das Auftreten der Störung zerstört worden sind.

In der zweiten Ausführungsform der Erfindung wird für ein Fahrzeug mit einem ersten und einem zweiten Computer ein Steuerungsverfahren geschaffen, das die folgenden Schritte aufweist: Überwachung des Auftretens von Störungen im zweiten Computer; Zurückstellen des zweiten Computers, wenn das Auf­ treten einer Störung festgestellt wird; Anwendung eines im er­ sten Computer gespeicherten Sicherheits- bzw. Selbstüber­ wachungsprogramms und sofortige Wiederherstellung einer opti­ malen Steuerung des Fahrzeugs, auch wenn die Steuerungsdaten durch das Auftreten der Störung zerstört worden sind.

Nach dem Fahrzeugsteuerungsverfahren gemäß der ersten Ausführungsform wird, wenn im zweiten Computer eine Störung aufgetreten ist, der zweite Computer durch die Überwachungs­ einrichtung zurückgestellt, wobei gleichzeitig die vor Beginn der Steuerung übertragenen Steuerungsdaten nochmals vom ersten Computer übertragen werden.

Nach dem Fahrzeugsteuerungsverfahren gemäß der zweiten Ausführungsform wird, wenn im zweiten Computer eine Störung aufgetreten ist, der zweite Computer durch die Überwachungs­ einrichtung zurückgestellt, während gleichzeitig die vor Be­ ginn der Steuerung übertragenen Steuerungsdaten nochmals vom ersten Computer übertragen werden und die ausfallsichere Steuerung, die nicht von den Steuerungsinformationen des zwei­ ten Computers abhängig ist, durch den ersten Computer ausge­ führt wird.

Kurze Beschreibung der Zeichnungen:

Es zeigen:

Fig. 1 ein Ablaufdiagramm, das die Kommunikations­ schritte auf der Seite der Haupt-ZVE darstellt;

Fig. 2 ein Ablaufdiagramm, das die Steuerungsschritte auf der Seite der Haupt-ZVE darstellt;

Fig. 3 ein Ablaufdiagramm, das die Kommunikations­ schritte auf der Seite der Neben-ZVE darstellt; und

Fig. 4 ein Blockschaltbild der Steuerungseinheit.

Die Erfindung wird nachstehend anhand eines Ausfüh­ rungsbeispiels und anhand der Zeichnungen näher erläutert. Die Zeichnungen stellen ein bevorzugtes Ausführungsbeispiel der Erfindung dar.

Wie aus Fig. 4 ersichtlich, bezeichnet die Bezugszahl 1 eine elektronische Steuereinheit (ESE), die in einem Fahrzeug, wie z. B. einem Kraftfahrzeug, mitgeführt wird. Die ESE 1 setzt sich aus zwei Mikrocomputern zusammen, d. h. aus einem ersten Mikrocomputer 2, der beispielsweise die Steuerung der Kraft­ stoffeinspritzung und des Zündzeitpunkts übernimmt, und einem zweiten Mikrocomputer 3, der zum Beispiel ein Klopfdetektions­ verfahren durchführt.

Die elektronische Steuereinheit (ESE) 1 weist außerdem eine eingebaute Spannungsregelungsschaltung 4 auf, die stabi­ lisierte Spannungen für verschiedene Abschnitte liefert. Die Spannungsregelungsschaltung 4 ist über den Relaiskontakt eines ESE-Relais 5 mit einer Batterie 6 verbunden. Die Relaisspule des ESE-Relais 5 ist außerdem über einen Zündschalter 7 mit der Batterie 6 verbunden.

Der erste Mikrocomputer 2 ist so beschaffen, daß eine Haupt-ZVE 8, ein ROM-Speicher 9, in dem zum Beispiel Programme zur Steuerung der Kraftstoffeinspritzung und des Zündzeit­ punkts gespeichert sind, ein RAM-Speicher 10 zur Datenspeiche­ rung, ein Zeitgeber 11, eine serielle Schnittstelle (SCI) 12 und eine E/A-Schnittstelle 13 miteinander über Busleitungen 14 verbunden sind.

Analogsensoren 15, die analoge Ausgangssignale erzeu­ gen, wie z. B. ein Ansaugluftmengensensor, ein Drosselklappen­ öffnungssensor und ein Kühlmitteltemperatursensor, sind über einen A/D-Wandler 16 mit dem Eingabekanal der E/A-Schnitt­ stelle 13 verbunden, während Digitalsensoren 17, die digitale Ausgangssignale erzeugen, wie z. B. ein Leerlaufschalter, di­ rekt mit dem Eingabekanal verbunden sind. Ferner sind ein Kur­ belwinkelsensor 18 und ein Zylindernummerdiskriminator-Sensor 19 an die Eingabekanäle der E/A-Schnittstelle 13 angeschlos­ sen.

Außerdem ist eine Zündeinrichtung 20 mit dem Ausgabeka­ nal der E/A-Schnittstelle 13 verbunden, während Betätigungs­ elemente, wie z. B. eine ISCV und eine Einspritzeinrichtung, mit dem Ausgabekanal über eine Treiberschaltung 22 verbunden sind.

Andererseits ist der zweite Mikrocomputer 3 so beschaf­ fen, daß eine Neben-ZVE 23, ein ROM-Speicher 24, in dem bei­ spielsweise ein Programm zur Klopfsteuerung gespeichert ist, ein RAM-Speicher 25 zur Datenspeicherung, ein Zeitgeber 26, eine serielle Schnittstelle (SCI) 27 und eine E/A-Schnitt­ stelle 28 über Busleitungen 29 miteinander verbunden sind. Der zweite Mikrocomputer ist ferner mit einer Zeitüberwachungsein­ richtung 30 als Mittel zur Überwachung des Auftretens einer beliebigen Störung ausgestattet.

Die Zeitüberwachungseinrichtung 30 ist auf der Ein­ gangsseite mit der Neben-ZVE 23, auf der Ausgangsseite mit dem Rückstellanschluß R der Neben-ZVE 23 und dem Signaleingangs­ überwachungsanschluß S der Haupt-ZVE 8 verbunden.

Außerdem sind der Kurbelwinkelsensor 18 und der Zylin­ dernummerdiskriminator-Sensor 19 direkt mit den Eingabekanälen der E/A-Schnittstelle 28 verbunden, während ein Klopfsensor 31 für die rechte Zylinderreihe bzw. ein Klopfsensor 32 für die linke Zylinderreihe über die Verstärker 33, die Frequenzfilter 34 und die A/D-Wandler 35 mit den Eingabekanälen verbunden sind. Außerdem ist der Ausgabekanal der E/A-Schnittstelle 28 des zweiten Mikrocomputers 3 mit dem Eingabekanal der E/A- Schnittstelle 13 des ersten Mikrocomputers 2 verbunden.

Nachdem Signale von den Klopfsensoren 31 bzw. 32 durch die Verstärker 33 auf vorgegebene Pegel verstärkt worden sind, müssen erforderliche Frequenzkomponenten durch die Frequenz­ filter 34 ausgefiltert werden. Die Analogdaten werden durch die A/D-Wandler 35 in Digitaldaten umgewandelt.

Der erste Mikrocomputer 2 und der zweite Mikrocomputer 3 sind über serielle Schaltungskanäle miteinander verbunden, die über die seriellen Schnittstellen (SCI) 12, 27 ein Taktsi­ gnal CLK, ein Sendesignal TX und ein Empfangssignal RK senden und empfangen. Synchron mit dem Taktsignal CLK, das vom ersten Mikrocomputer 2 geliefert wird, erfolgen taktsynchronisierte Datenübertragungen in beiden Richtungen zwischen dem ersten Mikrocomputer 2 und dem zweiten Mikrocomputer 3.

Im ersten Mikrocomputer 2 wird beispielsweise ein Zünd­ zeitpunkt für Super-Kraftstoff auf der Grundlage von Kurbel­ wellenimpulsen berechnet, und an den entsprechenden Zylinder wird ein Zündsignal ausgegeben, wenn der vorher festgelegte Zündzeitpunkt erreicht ist. Andererseits wird im zweiten Mi­ krocomputer 3 der Drehzahlwert des Motors aus den Eingabein­ tervallen der Kurbelwellenimpulse berechnet, und die Signale von den Klopfsensoren 31 bzw. 32 in vorgegebenen Abtastungsab­ schnitten auf der Basis der Motordrehzahl und der Motorlast einer schnellen A/D-Umwandlung unterworfen, um die Vibrations­ wellenformen genau in digitale Daten umzuwandeln, woraus auf das Auftreten von Klopferscheinungen geschlossen wird.

Die Klopfbeurteilungsdaten zum Auftreten von Klopfer­ scheinungen werden der E/A-Schnittstelle 28 des zweiten Mikro­ computers 3 zugeführt. Falls Klopferscheinungen auftreten, werden die Klopfdaten vom zweiten Mikrocomputer 3 über den se­ riellen Schaltungskanal, der durch die seriellen Schnittstel­ len (SCI) 27, 12 geht, in den ersten Mikrocomputer 2 übertra­ gen. Dann verzögert der erste Mikrocomputer 2 sofort den Zünd­ zeitpunkt des betreffenden Zylinders auf der Grundlage der Klopfdaten, um das Klopfen zu vermeiden.

In diesem Falle wird, wenn die Neben-ZVE 23 normal ar­ beitet, ständig von der Neben-ZVE 23 ein Überwachungssignal an die Zeitüberwachungseinrichtung 30 gesendet. Damit wird die Zeitüberwachungseinrichtung 30 periodisch gelöscht und erzeugt kein Rückstellsignal, so daß die normale Steuerung ausgeführt wird.

Im Gegensatz dazu wird, wenn die Neben-ZVE 23 irgendei­ ner Störung unterworfen ist und das Überwachungssignal nicht innerhalb einer vorgegebenen Zeitspanne an die Zeitüberwa­ chungseinrichtung 30 sendet, von der Zeitüberwachungseinrich­ tung 30 das Rückstellsignal "Zeit abgelaufen" ausgegeben. Dann wird die Neben-ZVE 23 zurückgestellt und die Daten des Rück­ stellsignals werden unter der vorher festgelegten Adresse des RAM-Speichers 10 gespeichert.

Infolgedessen werden die Steuerungsdaten im ROM-Spei­ cher 9 nochmals von der Haupt-ZVE 8 zur Neben-ZVE 23 übertra­ gen. Ferner wird in der Zeit von der Beendigung der erneuten Übertragung der Steuerungsdaten bis zur Wiederaufnahme des normalen Betriebs der Neben-ZVE 23 basierend auf Steuerungsin­ formationen von der Neben-ZVE 23 eine ausfallsichere Steuerung z. B. für die Klopfsteuerung der Haupt-ZVE 8 ausgeführt.

Nachstehend werden die im Ausführungsbeispiel erfolgen­ den Steuerungsschritte beschrieben. Das in Fig. 1 gezeigte Ab­ laufdiagramm gibt eine Unterbrechungsroutine an, die nach der Initialisierung der elektronischen Steuereinheit (ESE) 1 beim Einschalten ihrer Stromversorgung und jeweils nach vorher festgelegten Zeitintervallen von der Haupt-ZVE 8 des ersten Mikrocomputers 2 interruptiv abgearbeitet wird.

Zuerst liest die Haupt-ZVE 8 in einem Schritt S101 die Daten des auf der Zeitüberwachungseinrichtung 30 basierenden Rückstellsignals von der vorgegebenen Adresse des RAM-Spei­ chers 10 ein und bestimmt, ob die Neben-ZVE 23 zurückgestellt worden ist oder nicht.

Wird im Schritt S101 festgestellt, daß die entsprechen­ den Daten des Rückstellsignals von der Zeitüberwachungsein­ richtung 30 nicht im RAM-Speicher gespeichert sind, dann ist die Neben-ZVE 23 nicht zurückgestellt worden, und im Schritt S102 wird ein Sicherheitsmodus-Flag FLAG gelöscht (FLAG ← 0). Im anschließenden Schritt S103 werden die normalen Daten in einem gewöhnlichen Datenübertragungsprozeß zur Neben-ZVE 23 übertragen und von dieser empfangen, wonach die Routine been­ det wird.

Das Sicherheitsmodus-Flag FLAG dient für die Entschei­ dung, ob die ausfallsichere Steuerung oder der normale Steue­ rungsbetrieb auszuführen ist. Im Ablauf der später zu be­ schreibenden Steuerungsschritte der Haupt-ZVE 8 wird dieses Flag aufgerufen.

Wird dagegen im Schritt S101 festgestellt, daß das Rückstellsignal von der Zeitüberwachungseinrichtung 30 einge­ geben worden ist, dann ist die Neben-ZVE 23 zurückgestellt worden, und im Steuerungsablauf erfolgt ein Übergang zu Schritt S104, in dem das Sicherheitsmodus-Flag FLAG gesetzt wird (FLAG λ 1), um die Daten des Rückstellsignals im RAM- Speicher 10 zu löschen. Im Schritt S105 werden die im ROM- Speicher 9 gespeicherten Steuerungsdaten über die serielle Schnittstelle (SCI) 12 zur Neben-ZVE 23 des zweiten Mikrocom­ puters 3 übertragen.

Danach geht die Routine zum Schritt S106 über, in dem kontrolliert wird, ob die Übertragung alle Steuerungsdaten beendet ist oder nicht. Ist die Übertragung nicht beendet, geht die Routine zurück zum Schritt S105 und die Übertragung wird fortgesetzt; ist die Übertragung beendet, dann wird im Schritt S107 in der Haupt-ZVE 8 und in der Neben-ZVE 23 die Kontrollsumme der übertragenen Daten berechnet.

Anschließend geht die Routine zum Schritt S108 über, in dem die Haupt-ZVE 8 die von der Neben-ZVE 23 des zweiten Mi­ krocomputers 3 übertragene Kontrollsumme empfängt. Im Schritt S109 vergleicht die Haupt-ZVE 8 die von der Neben-ZVE 23 über­ tragene Kontrollsumme mit der in der Haupt-ZVE 8 berechneten Kontrollsumme der übertragenen Daten, um zu prüfen, ob die Kontrollsummen übereinstimmen oder nicht.

Wenn die von der Neben-ZVE 23 übertragene Kontrollsumme nicht mit der in der Haupt-ZVE 8 berechneten Kontrollsumme der übertragenen Daten übereinstimmt, springt die Routine vom Schritt S109 zurück zum früheren Schritt S105, in dem die Steuerungsdaten nochmals übertragen werden. Wenn dagegen die Kontrollsumme der Neben-ZVE 23 mit derjenigen der übertragenen Daten übereinstimmt, geht die Routine zum Schritt S110 über, in dem die Haupt-ZVE 8 einen Steuerungsstartbefehl an die Ne­ ben-ZVE 23 sendet, wonach die Unterbrechungsroutine beendet wird.

Außerdem führt die Haupt-ZVE 8 interruptiv in vorher festgelegten Zeitabständen die in Fig. 2 dargestellte Steue­ rungsroutine aus. Im Schritt S201 wird der Wert des Sicher­ heitsmodus-Flags FLAG aufgerufen. Falls FLAG=1 ist, dann schließt sich an den Schritt S201 der Schritt S202 an, in dem die ausfallsichere Steuerung ausgeführt wird; ist FLAG=0, dann folgt auf den Schritt S201 der Schritt S203, in dem der normale Steuerungsbetrieb abläuft.

Um es präziser auszudrücken, wenn die Neben-ZVE 23 ir­ gendeiner Störung unterworfen war und von der Zeitüberwa­ chungseinrichtung 30 zurückgestellt worden ist, kann die Haupt-ZVE 8 von der Neben-ZVE 23 keine genauen Klopfinforma­ tionen usw. erhalten. Daher unterbricht die Haupt-ZVE 8 die auf den Klopfinformationen basierende Rückführregelung des Zündzeitpunkts und verzögert den Zündzeitpunkt um einen vorher festgelegten Winkel mehr als den Zündzeitpunkt für Normalben­ zin, um dadurch die Fahrzeugsteuerung ausfallsicher zu halten.

Unterdessen wird im zweiten Mikrocomputer 3, wenn die Neben-ZVE 23 beim Einschalten der Stromversorgung der elektro­ nischen Steuereinheit (ESE) 1 oder durch das Rückstellsignal von der Zeitüberwachungseinrichtung 30 zurückgestellt worden ist, von der Neben-ZVE 23 die in Fig. 3 dargestellte Unterbre­ chungsroutine abgearbeitet. Im Schritt S301 empfängt die Ne­ ben-ZVE 23 über die serielle Schnittstelle (SCI) 27 Steue­ rungsdaten von der Haupt-ZVE 8 und speichert die Daten im RAM- Speicher 25.

Anschließend geht die Routine zum Schritt S302 über, in dem kontrolliert wird, ob der Empfang aller Steuerungsdaten beendet ist oder nicht. Ist der Empfang nicht beendet, springt die Routine zum Schritt S301 zurück, in dem der Empfang der Steuerungsdaten fortgesetzt wird; ist der Empfang beendet, dann geht die Routine zum Schritt S303 über.

Im Schritt S303 wird die Kontrollsumme der empfangenen Daten berechnet. Im Schritt S304 überträgt die Neben-ZVE 23 die berechnete Kontrollsumme zur Haupt-ZVE 8, und im Schritt S305 wartet sie auf den Empfang eines Steuerungsstartbefehls, der von der Haupt-ZVE 8 übertragen wird. Nach Empfang des Steuerungsstartbefehls wird die Unterbrechungsroutine beendet.

Folglich wird, auch wenn die Daten im RAM-Speicher 25 durch das Auftreten einer Störung im zweiten Mikrocomputer 3 zerstört worden sind, die Neben-ZVE 23 zurückgestellt, und die Steuerungsdaten werden nochmals von der Haupt-ZVE 8 übertra­ gen. Daher kann der Normalzustand der Neben-ZVE 23 unverzüg­ lich wiederhergestellt werden, und der durch das Auftreten der Störung entstehende Schaden kann auf ein Minimum eingeschränkt werden.

Die vorliegende Erfindung ist nicht auf dieses Ausfüh­ rungsbeispiel beschränkt. Man kann z. B. auch den ersten Mikro­ computer 2 mit der Zeitüberwachungseinrichtung 30 ausstatten oder die Funktion der Zeitüberwachungseinrichtung auf die Neben-ZVE 23 oder die Haupt-ZVE 8 selbst übertragen.

Ferner können der erste Mikrocomputer 2 und der zweite Mikrocomputer 3 ohne weiteres als separate elektronische Steuereinheiten (ESE) realisiert werden und die Steuereinrich­ tungen in den jeweiligen Mikrocomputern können durchaus unab­ hängig voneinander sein.

Wie oben beschrieben, kann auch dann, wenn die Steue­ rungsdaten im RAM-Speicher eines Computers durch das Auftreten irgendeiner Störung zerstört worden sind, nach der vorliegen­ den Erfindung der Computer schnell in seinen Normalzustand zu­ rückgeführt werden, was eine so ausgezeichnete Wirkung hat, daß der durch die Störung verursachte Schaden auf das für die Sicherheit notwendige Minimum beschränkt wird.

Claims (3)

1. Steuerungsverfahren für ein Fahrzeug mit einem er­ sten Computer und einem zweiten Computer, mit den folgenden Verfahrensschritten:
Überwachung des zweiten Computers auf das Auftreten einer Störung;
Zurückstellen des zweiten Computers, wenn eine Störung festgestellt wird;
Übertragung von Steuerungsdaten vom ersten Computer zum zweiten Computer;
Feststellen, ob die Übertragung aller Steuerungsdaten beendet ist;
Berechnen einer Nebenkontrollsumme der Steuerungsdaten;
Eingabe der Nebenkontrollsumme in die Haupt-ZVE des er­ sten Computers;
Berechnung einer Hauptkontrollsumme aus den Steuerungs­ daten im ersten Computer;
Prüfen, ob die Nebenkontrollsumme gleich der Hauptkon­ trollsumme ist;
Senden eines Steuerungsstartbefehls vom ersten Computer zum zweiten Computer; und
unverzügliche Wiederherstellung der optimalen Steuerung des Fahrzeugs, wenn die Steuerungsdaten durch das Auftreten der Störung zerstört worden sind.

2. Steuerungsverfahren für ein Fahrzeug mit einem er­ sten Computer und einem zweiten Computer, mit den folgenden Verfahrensschritten:
Überwachung des zweiten Computers auf das Auftreten einer Störung;
Zurückstellen des zweiten Computers, wenn eine Störung festgestellt wird;
Anwendung eines im ersten Computer gespeicherten Si­ cherheitsprogramms; und
unverzügliche Wiederherstellung der optimalen Steuerung des Fahrzeugs, wenn die Steuerungsdaten durch das Auftreten der Störung zerstört worden sind.

3. Vorrichtung zur Durchführung des Verfahrens nach An­ spruch 1 oder 2.