EP2078253A2 - Method and device for error management - Google Patents

Method and device for error management

Info

Publication number
EP2078253A2
EP2078253A2 EP07820411A EP07820411A EP2078253A2 EP 2078253 A2 EP2078253 A2 EP 2078253A2 EP 07820411 A EP07820411 A EP 07820411A EP 07820411 A EP07820411 A EP 07820411A EP 2078253 A2 EP2078253 A2 EP 2078253A2
Authority
EP
European Patent Office
Prior art keywords
component
status value
value
status
determined
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP07820411A
Other languages
German (de)
French (fr)
Inventor
Philipp Woerz
Mathias Bieringer
Alexander Schaefer
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Robert Bosch GmbH
Original Assignee
Robert Bosch GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Robert Bosch GmbH filed Critical Robert Bosch GmbH
Publication of EP2078253A2 publication Critical patent/EP2078253A2/en
Withdrawn legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B23/00—Testing or monitoring of control systems or parts thereof
    • G05B23/02—Electric testing or monitoring
    • G05B23/0205—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults
    • G05B23/0259—Electric testing or monitoring by means of a monitoring system capable of detecting and responding to faults characterized by the response to fault detection
    • G05B23/0267—Fault communication, e.g. human machine interface [HMI]
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/04—Monitoring the functioning of the control system
    • F—MECHANICAL ENGINEERING; LIGHTING; HEATING; WEAPONS; BLASTING
    • F02—COMBUSTION ENGINES; HOT-GAS OR COMBUSTION-PRODUCT ENGINE PLANTS
    • F02D—CONTROLLING COMBUSTION ENGINES
    • F02D41/00—Electrical control of supply of combustible mixture or its constituents
    • F02D41/22—Safety or indicating devices for abnormal conditions
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24093—Display, show place of error, fault

Definitions

  • the invention relates to a method for error management according to the preamble of claim 1, a corresponding device according to the preamble of claim 12, as well as a corresponding computer program and a computer program product.
  • DE 197 31 116 Al deals with a control device for a system.
  • the system is equipped with sensors. Via connecting lines, measured values of the sensors can be transmitted to the control unit.
  • the control system thus receives information about states of the system.
  • DE 103 02 054 A1 relates to the checking of components of an internal combustion engine. Each component is assigned a diagnostic function that communicates with a central function via an interface.
  • the Electronic Stability Program uses a variety of hardware components.
  • the term hardware component in this context sensors, actuators, data transfer controllers and ECU components of all kinds are summarized.
  • the data transfer controllers may be, for example, CAN or Flex-Ray act.
  • the ECU components include, for example, ROM, RAM, EEPROM or A / D converter.
  • a current state of a component or signal is referred to as status. Possible states are for example “valid”, “temporarily invalid”, “not initialised” and “invalid”. Under the status "not initialized” several stages are possible.
  • the states of individual components are determined decentrally by many monitoring algorithms. This means that the monitoring algorithms are distributed throughout the system, such as the ESP. The resulting states are also determined distributed by complex logic parts. Also solved solved, that is implemented in several places in the system, is a following error avoidance, which suppresses non-causal errors, as well as a multiple error handling.
  • the present invention provides a method for error management in a system having a plurality of components, wherein error conditions of the components can be displayed by means of status values.
  • a first status value is determined as a function of an error state of a first component and a second status value as a function of an error state of a second component and as a function of the first status value.
  • the present invention further provides an apparatus for error management in a system having a plurality of components that performs all steps of the method of the invention.
  • the computer program with program code means according to the invention is designed to perform all the steps of the method according to the invention when this computer program is carried out on a computer or a corresponding computing unit, in particular a device according to the invention.
  • the computer program product according to the invention with program code means which are stored on a computer-readable data carrier is provided for carrying out the method according to the invention if this computer program is carried out on a computer or a corresponding arithmetic unit, in particular a device according to the invention.
  • dependency graph (English: Failure Dependency Structure).
  • the dependency graph includes and depicts the dependencies between each of the monitored hardware components and signals of the system.
  • the dependency graph includes an association of monitoring algorithms with the monitored hardware components.
  • the approach according to the invention enables a collection of all monitoring results which are available from components of the system and makes it possible to determine the resulting hardware component and signal statuses. Furthermore, a recognition of subsequent errors is made possible to suppress implausible error memory entries. Such a process is also referred to as consequential error avoidance. Also a preparation of a multiple error treatment is made possible.
  • the inventive approach offers a number of implementation-independent advantages. This includes a central collection of all errors reported by monitoring algorithms. As a result, the clarity of the system is greatly increased.
  • the dependencies that are displayed in the dependency graph are highly project dependent.
  • the central definition of these dependencies greatly reduces the effort involved in project initiation and during the course of the project. As a rule, the requirements for the overall system change in the course of product development. The scope of system and software parts affected by these changes is very small.
  • the centralization of dependencies makes analysis much easier and involves far fewer people.
  • a tool-based analysis of the implementation of hardware dependencies is greatly simplified or made possible by the central definition of dependencies.
  • the product configuration is much easier.
  • the error rate is greatly reduced by the tool-based configuration.
  • the inventive approach also offers a number of implementation-relevant advantages.
  • very efficient algorithms can be used to further process the errors.
  • less of the very limited resources ROM, RAM and runtime or cycle time are consumed in a controller.
  • Graphic product configuration and automatic code generation reduce the risk of errors and greatly simplify product handling.
  • the status values indicate whether a value provided by a component is valid or invalid, and a second status value may be determined such that the second status value indicates that a value provided by the second component of the system is invalid if the first status value received from the first component of the system indicates that a value provided by the first component is invalid.
  • a second status value may be determined such that the second status value indicates that a value provided by the second component of the system is invalid if the first status value received from the first component of the system indicates that a value provided by the first component is invalid.
  • a further status value is determined as a function of an error state of the further component and depending on the first or a preceding status value.
  • the system has a virtual component, wherein an error state of the virtual component is determined from status values of a predetermined one of the (real) components according to a linking rule, and a virtual status value depending on the error state of the virtual component and dependent determined by the first status value.
  • each status value whose determination depends on a preceding status value is determined only once. By doing so, resources within the system can be saved without compromising the reliability or security of the system.
  • a status value as a function of which no further status value is determined in order to determine which status value, starting from the first status value, has first indicated that a value that can be provided by a component is invalid to determine a faulty component. It proves to be particularly appropriate that a part of the System that has the faulty component, degraded or disabled. This ensures optimal operation, especially of safety-relevant systems despite faulty components.
  • information about the faulty component is stored, which facilitates maintenance or fault analysis work.
  • the error conditions of the components are determined by executing monitoring algorithms.
  • Such monitoring algorithms can be used particularly effectively and quickly on the basis of a method according to the invention.
  • the linkage rule for determining the error state of a virtual component is an AND link. With this link troubleshooting can be accomplished in a particularly effective manner.
  • the status values further indicate whether a component-settable value is momentarily invalid, or whether a component is uninitialized, wherein the second status value may be determined to indicate that a value provided by the second component Value is invalid if a first status value indicates that the value provided by a first component is temporarily invalid or the first component is not initialized.
  • Fig. 1 shows a dependency graph according to a preferred embodiment of the present invention.
  • Fig. 2 shows another dependency graph according to another preferred embodiment of the present invention.
  • the method according to the invention and the device according to the invention can be represented in the form of a dependency graph.
  • the dependency graph forms a system with a plurality of components.
  • the dependency graph contains all the monitored components of the system. This includes all hardware components of the system as well as signals supplied by the hardware components.
  • the monitored components are represented as nodes in the dependency graph.
  • Dependencies between the components are represented in the dependency graph by connections between the nodes.
  • the dependency graph is directed and countercyclical. Directed means that a connection between two nodes of the dependency graph is always passed in one direction only. If arbitrary connections are followed from any of the nodes, then one neither returns to the output node, nor one of the other nodes is traversed more than once. The dependency graph is thus anti-cyclical.
  • Figures 1 and 2 show dependency graphs according to preferred embodiments of the present invention.
  • the nodes of the dependency graphs shown are represented as ellipses between which directed links exist. Also shown are the respective nodes associated monitoring, which may be prioritized with each other.
  • Fig. 1 shows a dependency graph according to an embodiment of the present invention.
  • the dependency graph depicts a system 100 having a plurality of components.
  • An error state or availability state of a first component 110 of the system 100 can be determined by means of one or a plurality of monitoring algorithms 111, 112, 113. Depending on the error state of the first component 110, a first status value 115 may be determined and transmitted to a second component 120.
  • the component 110 may be configured to provide a component value.
  • the component value may be, for example, a sensor signal, a control signal or a transmitted value.
  • the deliverable component value for example the sensor signal, may be valid or invalid.
  • the first status value 115 may indicate whether the value provided by the first component 110 is valid or invalid.
  • An error state of the second component 120 of the system 100 can be determined by means of one or a plurality of further monitoring algorithms 121, 122.
  • a second status value 125 may be determined and provided.
  • the second status value 125 may indicate whether a value provided by the second component 120 is valid or invalid.
  • the second status value 125 can be determined such that the second status value 125 indicates that a value that can be provided by the second component 120 is invalid if the first status value 115 indicates that a value provided by the first component 110 is invalid.
  • the second status value 125 is determined such that the second status value 125 can only indicate that a value that can be provided by the second component 120 is valid if the first status value 115 indicates that a value that can be provided by the first component 115 is valid is.
  • An error condition of a third component 130 of the system 100 may be determined using one or a plurality of monitoring algorithms 131, 132, 133. Depending on the error state of the third component 130 and the second status value 125, a third status value 135 may be determined and provided. The third status value 135 may indicate that a value provided by the third component 130 is valid or invalid. By determining the third status value 135 in response to the second status value 125, the third status value 135 may be determined such that the third status value 135 indicates that a value provided by the third component 130 is invalid when the second status value indicates 125 in that a value provided by the second component 120 is invalid.
  • the system 100 has a further second component 140 and a further third component 150, which are arranged parallel to the first and second components 120, 130.
  • the first status value 115 is additionally provided to the further second component 140.
  • An error state of the second further component 140 of the system 100 can be determined by means of a plurality of monitoring algorithms 141, 142, 143.
  • a second further status value 145 may be determined and provided.
  • the second additional status value 145 may indicate whether a value provided by the second further component 140 is valid or invalid.
  • the second further status value 145 can be determined in such a way that the second further status value 145 indicates that a value which can be provided by the second further component 140 is invalid if the second further status value 145 first status value 115 indicates that a value provided by the first component 110 is invalid.
  • An error condition of a third further component 150 of the system 100 can be determined by means of a plurality of monitoring algorithms 151, 152, 153.
  • a third further status value 155 may be determined and provided.
  • the third additional status value 155 may indicate whether a value provided by the third further component 150 is valid or invalid.
  • the third additional status value 155 may be determined such that the third additional status value 155 indicates that a value provided by the third further component 150 is invalid if the second other status value indicates 145, one of the second further status value Component 140 is invalidable.
  • a status value whose determination depends on a previous status value is not determined until the previous status value has been determined. For example, first the first status value 115 is determined. Thereafter, depending on the first status value 115 and the error state of the second component 120, the second status value 125 is determined. Subsequently, depending on the second status value 125 and the error state of the third component 130, the third status value 135 is determined.
  • the error management method according to the invention can be executed several times or as often as desired in chronological succession. For each execution, each status value 115, 125, 135, 145, 155 is determined only once, or each status value needs to be determined only once.
  • the status values 135, 155 can be evaluated in order to detect a faulty component of the system. This can be done, for example, with an evaluation device (not shown in the figures), which is designed to receive and evaluate the status values 135, 155. It can be determined here whether and, if so, which status value was the first to indicate that a value that can be provided by a component is invalid. A portion of the system 100 having the failed component may then be degraded or disabled. Also, information about the faulty component may be stored, for example, in a memory device (not shown in the figures).
  • the status values may further indicate whether a component-settable value is temporarily invalid or a component is not initialized.
  • the second status value 125 indicates that a value that can be provided by the second component 120 is currently invalid or that the second component 120 is uninitialized
  • the third status value 135 may not indicate that a value provided by the third component 130 is valid, but indicates that the value provided by the third component 130 is also invalid.
  • the system 100 may be, for example, an ESP.
  • the components 110, 120, 130, 140, 150 may be, for example, sensors, actuators, data transfer controllers, control unit components or signals that can be transmitted by such components.
  • the status values can be provided in any form, for example in the form of signals, which can be received by the dependent components.
  • node 110 may be associated with a controller ECU
  • node 120 may be associated with an A / D converter
  • node 130 may be associated with a wheel speed sensor VL
  • node 140 may be associated with a CAN
  • node 150 may be associated with a yaw rate sensor.
  • the node 110 is assigned among other things a monitoring of a total failure 111, a monitoring of the ROM 112 and a monitoring of the RAM 113.
  • the node 120 may be assigned a monitoring of a total failure 121 and a monitoring of an interference 122.
  • the node 130 may be assigned to monitor a total failure 131, monitor a gradient 132, and monitor a range of values 133.
  • the node 140 may be assigned a total failure monitor 141, a message "1" 142 monitor, and a message "2" 143 monitor.
  • the node 150 may be assigned a monitoring of a total failure 151, a monitoring of a gradient 152 and a monitoring of a value range 153.
  • the determination of the resulting hardware and signal states is considered.
  • the results of the node-own monitoring on the other hand, the status of the predecessor node. If a monitoring algorithm detects an error, the associated node is marked as invalid.
  • all so-called children of this node ie all nodes that can be reached by following the connections from this node, also become invalid. This inheritance of the detected error to the so-called child nodes is referred to as error propagation. This is necessary because none of the signals supplied by the failed hardware component can be used anymore.
  • a connection of the yaw rate sensor to which node 150 is assigned is realized in a specific project by means of the CAN protocol to which node 140 is assigned. If the failure of the CAN controller is detected by the node-specific monitoring Totalausfall 141, the node 140, which is assigned to the CAN, marked as invalid. Because the correct reception of signals of the CAN bus is no longer guaranteed, the node 150 assigned to the yaw rate is automatically marked as invalid. So there is an error propagation.
  • an error has been detected in a monitored component, an entry is made in an error memory (not shown in the figures) to reconstruct the error event.
  • This fault memory for example, can be analyzed later by a service person in a workshop. In order to enable a goal-oriented and smooth localization of the defective component - this falls under the keyword "smallest exchangeable unit" - the error memory may contain only causal errors and consequential errors as far as possible
  • a causal error is the error that is the actual reason for a failure
  • a following error is an error that is detected due to another error.
  • a dependent signal for example the yaw rate (at 150)
  • the yaw rate provides errors if the presupposed signal, or the prerequisite component, for example, the CAN (at 140) is defective.
  • the following scenario shows a simple example of a consequent error within node 130.
  • a connection to a wheel speed sensor of a vehicle is interrupted.
  • an outline of a cable is detected, which is detected by the node-specific monitoring total failure 131.
  • the measured wheel speed abruptly drops from 50 m / s to 0 m / s within 10 ms.
  • the resulting gradient of the signal of -5,000 m / s 2 is recognized as implausible (gradient monitoring 132).
  • the actual reason for the much too high gradient is the line break.
  • the following scenario shows an example of a following error at different nodes.
  • an invalid value is detected (at 130) by the monitoring of the wheel speed sensor (at 130) because the valid range of values is left by the interference.
  • Exceeding the permissible value range 133 is thus a follow-up error of the interference at the A / D converter 122.
  • Fig. 2 shows a dependency graph describing another embodiment of the present invention.
  • the system 100 already described with reference to FIG. 1 is expanded by a virtual component 260.
  • the virtual component 260 is not a real component but a virtual component that is included in the dependency graph to improve error detection in the system 100.
  • An error state of the virtual component 260 can be determined by means of a monitoring algorithm 261.
  • the monitoring algorithm may associate status values of a predetermined selection of the components 110, 120, 130, 140, 150 of the system 100 according to a linking rule to determine the error state of the virtual component 260.
  • the monitoring algorithm 261 could link the status value 135 of the third component 130 to the further second status value 145 of the further second component 140.
  • the link rule can be an AND link.
  • a virtual status value 265 is determined depending on the error state of the virtual component and, according to the embodiment shown in FIG. 2, depending on the first status value 115.
  • the virtual component 260 is assigned a node 260 of the dependency graph.
  • the node 260 may for example be assigned a virtual hardware component "3 wheel speeds” or “3 wheel speed sensors".
  • the node 260 may include a monitor 261 in the form of a number of defective wheel speeds.
  • the yaw rate sensor's status is set to "invalid,” as described above in connection with the determination of the resulting hardware. If the speed sensor on one of the wheels also fails, its status is also set to "invalid". If, as in the exemplary embodiment shown in FIG. 1, there is no virtual hardware component for this error combination, a target system state is determined only on the basis of the two individual statuses.
  • the RPM sensor on one of the wheels fails in the ESP, its status is set to "invalid.” If the speed sensors on two other wheels also fail, the ESP will no longer have enough information to safely access work. Therefore, the signal status of the virtual hardware component 260 "3 wheel speed sensors" is set to "invalid”. This information is used by downstream functionalities to deactivate the ESP, although theoretically the vehicle speed could still be calculated in a worse quality.
  • components, further components and virtual components can be arranged in any number and, as part of a directed dependency graph, in any connection with one another.
  • the present invention may be implemented in the form of software.
  • the inventive method offers a new concept for configuring hardware dependencies of dynamic systems.
  • the inventive concept of a FaMu re Dependency Structure is suitable for central error management in dynamic systems.
  • the inventive approach is by no means limited to the vehicle dynamics control ESP described. Rather, the use in all mechatronic embedded systems is conceivable.
  • the described examples from the field of application of the ESP are merely illustrative, but in no way limit the field of application of the invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Hardware Redundancy (AREA)
  • Debugging And Monitoring (AREA)
  • Maintenance And Management Of Digital Transmission (AREA)

Abstract

A method for error management in a system (100) having a plurality of components (110, 120), wherein error states of the components can be displayed by means of status values (115, 125), is characterized in that a first status value (115) is determined as a function of an error state of a first component (110) and a second status value (125) is determined as a function of an error state of a second component (120) and as a function of the first status value (115).

Description

Beschreibung description
Titeltitle
Verfahren und Vorrichtung zur FehlerverwaltungMethod and device for error management
Die Erfindung betrifft ein Verfahren zur Fehlerverwaltung gemäß dem Oberbegriff des Anspruchs 1, eine entsprechende Vorrichtung gemäß dem Oberbegriff von Anspruch 12, sowie ein entsprechendes Computerprogramm und ein Computerprogrammprodukt.The invention relates to a method for error management according to the preamble of claim 1, a corresponding device according to the preamble of claim 12, as well as a corresponding computer program and a computer program product.
Stand der TechnikState of the art
Die DE 197 31 116 Al befasst sich mit einem Steuergerät für ein System. Das System ist mit Sensoren ausgestattet. Über Verbindungsleitungen können Messwerte der Sensoren zum Steuergerät hin übertragen werden. Das Steuersystem erhält somit Informa- tionen über Zustände des Systems.DE 197 31 116 Al deals with a control device for a system. The system is equipped with sensors. Via connecting lines, measured values of the sensors can be transmitted to the control unit. The control system thus receives information about states of the system.
Die DE 103 02 054 Al betrifft die Überprüfung von Komponenten einer Brennkraftmaschine. Jeder Komponente ist eine Diagnosefunktion zugeordnet, die jeweils über eine Schnittstelle mit einer zentralen Funktion kommuniziert.DE 103 02 054 A1 relates to the checking of components of an internal combustion engine. Each component is assigned a diagnostic function that communicates with a central function via an interface.
Nachfolgend wird im Wesentlichen auf ein elektronisches Stabilitätsprogramm Bezug genommen, das beispielsweise im Automobilbereich eingesetzt werden kann. Das Verfahren oder die Vorrichtung sind jedoch nicht auf diese Anwendung beschränkt.In the following, reference is essentially made to an electronic stability program which can be used, for example, in the automotive sector. However, the method or device is not limited to this application.
Im Elektronischen Stabilitätsprogramm (ESP; ESP = Elektronisches Stabilitätsprogramm) kommen verschiedene Hardwarekomponenten zum Einsatz. Unter dem Begriff Hardwarekomponente werden in diesem Zusammenhang Sensoren, Aktoren, Datenübertragungscontroller und Steuergerätekomponenten aller Art zusammengefasst. Bei den Datenübertragungscontrollern kann es sich beispielsweise um CAN oder Flex-Ray handeln. Unter die Steuergerätekomponenten fallen beispielsweise ROM, RAM, EEPROM oder A/D-Wandler.The Electronic Stability Program (ESP) uses a variety of hardware components. The term hardware component in this context sensors, actuators, data transfer controllers and ECU components of all kinds are summarized. The data transfer controllers may be, for example, CAN or Flex-Ray act. The ECU components include, for example, ROM, RAM, EEPROM or A / D converter.
Alle erwähnten Hardwarekomponenten sowie die Signale, die von den Hardwarekom- ponenten übertragen oder geliefert werden, werden während ihres Betriebes überwacht, um eventuelle Ausfälle zu erkennen. Ein aktueller Zustand einer Komponente oder eines Signals wird als Status bezeichnet. Mögliche Stati sind beispielsweise „gültig", „kurzzeitig ungültig", „nicht initialisiert" und „ungültig". Unter dem Status „nicht initialisiert" sind mehrere Stufen möglich.All mentioned hardware components as well as the signals transmitted or delivered by the hardware components are monitored during their operation to detect possible failures. A current state of a component or signal is referred to as status. Possible states are for example "valid", "temporarily invalid", "not initialised" and "invalid". Under the status "not initialized" several stages are possible.
Derzeit werden die Stati einzelner Komponenten von vielen Überwachungsalgorithmen dezentral bestimmt. Das bedeutet, dass die Überwachungsalgorithmen über das gesamte System, beispielsweise das ESP, verteilt sind. Die resultierenden Stati werden durch komplexe Logikteile ebenfalls verteilt ermittelt. Ebenfalls verteilt gelöst, das heißt an mehreren Stellen im System implementiert, ist eine Folgefehlervermeidung, durch die nicht-kausale Fehler unterdrückt werden, sowie eine Mehrfachfehlerbehandlung.Currently, the states of individual components are determined decentrally by many monitoring algorithms. This means that the monitoring algorithms are distributed throughout the system, such as the ESP. The resulting states are also determined distributed by complex logic parts. Also solved solved, that is implemented in several places in the system, is a following error avoidance, which suppresses non-causal errors, as well as a multiple error handling.
Diese Verteilung der Aufgaben und Verantwortlichkeiten erschwert erheblich eine Produktkonfiguration des Systems und eine Bearbeitung von Kundenprojekten. Darüber hinaus ist bei herkömmlichen Systemen ein Einsatz von Tools zur automatisierten Do- kumentationsgenerierung in den drei angesprochenen Bereichen, der Ermittlung der resultierenden Stati, der Folgefehlervermeidung sowie der Mehrfachfehlerbehandlung, nicht möglich.This distribution of tasks and responsibilities significantly complicates a product configuration of the system and processing of customer projects. In addition, traditional systems do not allow the use of tools for automated documentation generation in the three areas addressed, the determination of the resulting status, the subsequent error prevention and the multiple error treatment.
Es ist die Aufgabe der vorliegenden Erfindung, ein Verfahren sowie eine Vorrichtung zur verbesserten Fehlerverwaltung in einem System mit einer Mehrzahl von Komponenten sowie ein entsprechendes Computerprogramm und ein Computerprogrammprodukt zu schaffen.It is the object of the present invention to provide a method and a device for improved error management in a system having a plurality of components as well as a corresponding computer program and a computer program product.
Technische AufgabeTechnical task
Diese Aufgabe wird gemäß einem Verfahren nach Anspruch 1, einer Vorrichtung gemäß Anspruch 12 sowie einem Computerprogramm und einem Computerprogrammprodukt gemäß den Ansprüchen 14 und 15 gelöst. Technische LösungThis object is achieved according to a method according to claim 1, a device according to claim 12 and a computer program and a computer program product according to claims 14 and 15. Technical solution
Die vorliegende Erfindung schafft ein Verfahren zur Fehlerverwaltung in einem System mit einer Mehrzahl von Komponenten, wobei Fehlerzustände der Komponenten mittels Statuswerten anzeigbar sind. Dabei wird ein erster Statuswert abhängig von einem Fehlerzustand einer ersten Komponente und ein zweiter Statuswert abhängig von einem Fehlerzustand einer zweiten Komponente und abhängig von dem ersten Statuswert bestimmt.The present invention provides a method for error management in a system having a plurality of components, wherein error conditions of the components can be displayed by means of status values. In this case, a first status value is determined as a function of an error state of a first component and a second status value as a function of an error state of a second component and as a function of the first status value.
Gemäß dem erfindungsgemäßen Verfahren sind Fehler innerhalb eines Gesamtsystems sehr schnell feststellbar, darstellbar und im gesamten System kommunizierbar.According to the method according to the invention, errors within an overall system can be detected very quickly, displayed and communicated throughout the system.
Die vorliegende Erfindung schafft ferner eine Vorrichtung zur Fehlerverwaltung in ei- nem System mit einer Mehrzahl von Komponenten, die alle Schritte des erfindungsgemäßen Verfahrens durchführt.The present invention further provides an apparatus for error management in a system having a plurality of components that performs all steps of the method of the invention.
Das erfindungsgemäße Computerprogramm mit Programmcodemitteln ist dazu ausgelegt alle Schritte des erfindungsgemäßen Verfahrens durchzuführen, wenn dieses Computerprogramm auf einem Computer oder einer entsprechenden Recheneinheit, insbesondere einer erfindungsgemäßen Vorrichtung, durchgeführt wird.The computer program with program code means according to the invention is designed to perform all the steps of the method according to the invention when this computer program is carried out on a computer or a corresponding computing unit, in particular a device according to the invention.
Das erfindungsgemäße Computerprogrammprodukt mit Programmcodemitteln, die auf einem computerlesbaren Datenträger gespeichert sind, ist zur Durchführung des erfin- dungsgemäßen Verfahrens vorgesehen, wenn dieses Computerprogramm auf einem Computer oder einer entsprechenden Recheneinheit, insbesondere einer erfindungsgemäßen Vorrichtung, durchgeführt wird.The computer program product according to the invention with program code means which are stored on a computer-readable data carrier is provided for carrying out the method according to the invention if this computer program is carried out on a computer or a corresponding arithmetic unit, in particular a device according to the invention.
Ein wesentlicher Aspekt der Erfindung ist in einem so genannten Abhängigkeitsgraph darstellbar, (engl.: Failure Dependency Structure). Der Abhängigkeitsgraph beinhaltet und stellt die Abhängigkeiten zwischen den einzelnen überwachten Hardwarekomponenten und Signalen des Systems dar. Darüber hinaus beinhaltet der Abhängigkeitsgraph eine Zuordnung von Überwachungsalgorithmen zu den überwachten Hardwarekomponenten. Vorteilhafte WirkungenAn essential aspect of the invention can be represented in a so-called dependency graph (English: Failure Dependency Structure). The dependency graph includes and depicts the dependencies between each of the monitored hardware components and signals of the system. In addition, the dependency graph includes an association of monitoring algorithms with the monitored hardware components. Advantageous effects
Aufbauend hierauf ermöglicht der erfindungsgemäße Ansatz eine Sammlung aller Cl- berwachungsergebnisse, die von Komponenten des Systems vorliegen und ermöglicht eine Ermittlung von resultierenden Hardwarekomponenten- und Signalstati. Ferner wird eine Erkennung von Folgefehlern ermöglicht, um unplausible Fehlerspeichereinträge zu unterdrücken. Ein solcher Vorgang wird auch als Folgefehlervermeidung bezeichnet. Auch wird eine Vorbereitung einer Mehrfachfehlerbehandlung ermöglicht.Based on this, the approach according to the invention enables a collection of all monitoring results which are available from components of the system and makes it possible to determine the resulting hardware component and signal statuses. Furthermore, a recognition of subsequent errors is made possible to suppress implausible error memory entries. Such a process is also referred to as consequential error avoidance. Also a preparation of a multiple error treatment is made possible.
Der erfindungsgemäße Ansatz bietet eine Reihe von implementierungsunabhängigen Vorteilen. Darunter fällt eine zentrale Sammlung aller von Überwachungsalgorithmen gemeldeten Fehler. Dadurch wird die Übersichtlichkeit des Systems stark erhöht. Die Abhängigkeiten, die in dem Abhängigkeitsgraph dargestellt werden, sind stark projekt- abhängig. Durch die zentrale Definition dieser Abhängigkeiten wird der Aufwand bei der Projektinitiierung und während des Projektverlaufs stark vermindert. In der Regel ändern sich die Anforderungen an das Gesamtsystem im Laufe der Produktentwicklung. Der Umfang der von diesen Änderungen betroffenen System- und Softwareteile ist sehr gering. Die Zentralisierung der Abhängigkeiten macht Analysen sehr viel einfa- eher und involviert wesentlich weniger Personen. Eine toolgestützte Analyse der Umsetzung der Hardwareabhängigkeiten wird durch die zentrale Definition der Abhängigkeiten stark vereinfacht bzw. ermöglicht. Die Produktkonfiguration wird deutlich erleichtert. Die Fehleranfälligkeit wird durch die toolgestützte Konfiguration stark reduziert.The inventive approach offers a number of implementation-independent advantages. This includes a central collection of all errors reported by monitoring algorithms. As a result, the clarity of the system is greatly increased. The dependencies that are displayed in the dependency graph are highly project dependent. The central definition of these dependencies greatly reduces the effort involved in project initiation and during the course of the project. As a rule, the requirements for the overall system change in the course of product development. The scope of system and software parts affected by these changes is very small. The centralization of dependencies makes analysis much easier and involves far fewer people. A tool-based analysis of the implementation of hardware dependencies is greatly simplified or made possible by the central definition of dependencies. The product configuration is much easier. The error rate is greatly reduced by the tool-based configuration.
Der erfindungsgemäße Ansatz bietet ferner eine Reihe von implementierungsrelevanten Vorteilen. So können sehr effiziente Algorithmen zum Einsatz kommen, um die Fehler weiterzuverarbeiten. Dadurch werden weniger von den sehr begrenzten Ressourcen ROM, RAM und Laufzeit bzw. Zykluszeit in einem Steuergerät verbraucht. Durch eine graphische Produktkonfiguration und automatische Code-Generierung wird die Fehleranfälligkeit reduziert und das Produkthandling stark vereinfacht.The inventive approach also offers a number of implementation-relevant advantages. Thus, very efficient algorithms can be used to further process the errors. As a result, less of the very limited resources ROM, RAM and runtime or cycle time are consumed in a controller. Graphic product configuration and automatic code generation reduce the risk of errors and greatly simplify product handling.
Bevorzugte Ausgestaltungen der Erfindung sind Gegenstand der Unteransprüche. Zweckmäßigerweise zeigen die Statuswerte an, ob ein von einer Komponente bereitstellbarer Wert gültig oder ungültig ist, wobei ein zweiter Statuswert derart bestimmt werden kann, dass der zweite Statuswert anzeigt, dass ein von der zweiten Komponente des Systems bereitstellbarer Wert ungültig ist, wenn der erste Statuswert, der von der ersten Komponente des Systems erhalten wurde, anzeigt, dass ein von der ersten Komponente bereitstellbarer Wert ungültig ist. Hiermit sind Statuswerte sehr schnell innerhalb des Systems kommunizierbar, wodurch insbesondere auch sicherheitsrelevante Statuswerte innerhalb eines Systems für sämtliche Komponenten bereitstellbar sind.Preferred embodiments of the invention are the subject of the dependent claims. Conveniently, the status values indicate whether a value provided by a component is valid or invalid, and a second status value may be determined such that the second status value indicates that a value provided by the second component of the system is invalid if the first status value received from the first component of the system indicates that a value provided by the first component is invalid. In this way, status values can be communicated very quickly within the system, as a result of which security-relevant status values within a system can be provided for all components in particular.
Es erweist sich als zweckmäßig, dass ein weiterer Statuswert abhängig von einem Fehlerzustand der weiteren Komponente und abhängig von dem ersten bzw. einem vorangehendem Statuswert bestimmt wird.It proves expedient that a further status value is determined as a function of an error state of the further component and depending on the first or a preceding status value.
Gemäß einer besonders bevorzugten Ausgestaltung des erfindungsgemäßen Verfahrens weist das System eine virtuelle Komponente auf, wobei ein Fehlerzustand der virtuellen Komponente aus Statuswerten einer vorbestimmten der (realen) Komponenten gemäß einer Verknüpfungsvorschrift bestimmt wird, und ein virtueller Statuswert abhängig von dem Fehlerzustand der virtuellen Komponente und abhängig von dem ersten Statuswert bestimmt wird. Durch die Definition derartiger virtueller Komponenten und entsprechend zweckmäßiger Verknüpfungsvorschriften können Fehlerzustände in besonders effektiver Weise innerhalb des Systems kommuniziert werden.According to a particularly preferred embodiment of the method according to the invention, the system has a virtual component, wherein an error state of the virtual component is determined from status values of a predetermined one of the (real) components according to a linking rule, and a virtual status value depending on the error state of the virtual component and dependent determined by the first status value. By defining such virtual components and appropriate linking rules, error conditions can be communicated within the system in a particularly effective manner.
Es erweist sich als zweckmäßig, dass ausgehend von dem ersten Statuswert jeder Statuswert, dessen Bestimmung von einem vorangegangenen Statuswert abhängt, nur ein einziges Mal bestimmt wird. Durch diese Maßnahme können Ressourcen innerhalb des Systems eingespart werden, ohne die Zuverlässigkeit bzw. Sicherheit des Systems zu beeinträchtigen.It proves expedient that, starting from the first status value, each status value whose determination depends on a preceding status value is determined only once. By doing so, resources within the system can be saved without compromising the reliability or security of the system.
Es erweist sich ferner als vorteilhaft, dass ein Statuswert, in Abhängigkeit von dem kein weiterer Statuswert bestimmt wird, ausgewertet wird, um festzustellen, welcher Statuswert, ausgehend von dem ersten Statuswert, als erstes angezeigt hat, dass ein von einer Komponente bereitstellbarer Wert ungültig ist, um so eine fehlerhafte Komponente zu bestimmen. Hierbei erweist es sich als besonders zweckmäßig, dass ein Teil des Systems, der die fehlerhafte Komponente aufweist, degradiert oder deaktiviert wird. Hiermit ist ein optimaler Betrieb insbesondere auch sicherheitsrelevanter Systeme trotz fehlerhafter Komponente gewährleistet.It also proves to be advantageous to evaluate a status value as a function of which no further status value is determined in order to determine which status value, starting from the first status value, has first indicated that a value that can be provided by a component is invalid to determine a faulty component. It proves to be particularly appropriate that a part of the System that has the faulty component, degraded or disabled. This ensures optimal operation, especially of safety-relevant systems despite faulty components.
Zweckmäßigerweise wird eine Information über die fehlerhafte Komponente gespeichert, wodurch Wartungs- oder Fehleranalysearbeiten erleichtert werden können.Conveniently, information about the faulty component is stored, which facilitates maintenance or fault analysis work.
Es erweist sich als vorteilhaft, dass die Fehlerzustände der Komponenten ermittelt werden, indem Überwachungsalgorithmen ausgeführt werden. Derartige Überwa- chungsalgorithmen sind auf der Grundlage eines erfindungsgemäßen Verfahrens besonders effektiv und schnell einsetzbar.It proves to be advantageous that the error conditions of the components are determined by executing monitoring algorithms. Such monitoring algorithms can be used particularly effectively and quickly on the basis of a method according to the invention.
Vorteilhafterweise ist die Verknüpfungsvorschrift zur Bestimmung des Fehlerzustands einer virtuellen Komponente eine Und-Verknüpfung. Mit dieser Verknüpfung ist eine Fehlersuche in besonders effektiver Weise bewerkstelligbar.Advantageously, the linkage rule for determining the error state of a virtual component is an AND link. With this link troubleshooting can be accomplished in a particularly effective manner.
Es erweist sich als zweckmäßig, dass die Statuswerte ferner anzeigen, ob ein von einer Komponente bereitstellbarer Wert kurzzeitig ungültig, oder ob eine Komponente nicht initialisiert ist, wobei der zweite Statuswert so bestimmt werden kann, dass dieser anzeigt, dass ein von der zweiten Komponente bereitstellbarer Wert ungültig ist, wenn ein erster Statuswert anzeigt, dass der von einer ersten Komponente bereitstellbare Wert kurzzeitig ungültig, oder die erste Komponente nicht initialisiert ist. Mittels dieser Maßnahmen können auch insbesondere kurzzeitige Ausfälle von Komponenten berücksichtigt werden.It will be appreciated that the status values further indicate whether a component-settable value is momentarily invalid, or whether a component is uninitialized, wherein the second status value may be determined to indicate that a value provided by the second component Value is invalid if a first status value indicates that the value provided by a first component is temporarily invalid or the first component is not initialized. By means of these measures, in particular short-term failures of components can be taken into account.
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und den beiliegenden Zeichnungen.Further advantages and embodiments of the invention will become apparent from the description and the accompanying drawings.
Es versteht sich, dass die vorstehend genannten und die nachstehend noch zu erläu- ternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen. Die Erfindung ist anhand von Ausführungsbeispielen in den folgenden Zeichnungen schematisch dargestellt und wird im Folgenden unter Bezugnahme auf die Zeichnungen ausführlich beschrieben.It is understood that the features mentioned above and those yet to be explained below can be used not only in the particular combination indicated, but also in other combinations or in isolation, without departing from the scope of the present invention. The invention is illustrated schematically by means of embodiments in the following drawings and will be described in detail below with reference to the drawings.
Kurze Beschreibung der ZeichnungenBrief description of the drawings
Fig. 1 zeigt einen Abhängigkeitsgraph gemäß einer bevorzugten Ausführungsform der vorliegenden Erfindung; undFig. 1 shows a dependency graph according to a preferred embodiment of the present invention; and
Fig. 2 zeigt einen weitern Abhängigkeitsgraph gemäß einer weiteren bevorzugten Ausführungsform der vorliegenden Erfindung.Fig. 2 shows another dependency graph according to another preferred embodiment of the present invention.
Das erfindungsgemäße Verfahren sowie die erfindungsgemäße Vorrichtung können in Form eines Abhängigkeitsgraphen dargestellt werden. Der Abhängigkeitsgraph bildet dabei ein System mit einer Mehrzahl von Komponenten ab. Der Abhängigkeitsgraph beinhaltet alle überwachten Komponenten des Systems. Darunter werden zum einem alle Hardwarekomponenten des Systems, als auch von den Hardwarekomponenten gelieferten Signale verstanden. Die überwachten Komponenten werden im Abhängigkeitsgraph als Knoten dargestellt. Abhängigkeiten zwischen den Komponenten sind im Abhängigkeitsgraph durch Verbindungen zwischen den Knoten dargestellt.The method according to the invention and the device according to the invention can be represented in the form of a dependency graph. The dependency graph forms a system with a plurality of components. The dependency graph contains all the monitored components of the system. This includes all hardware components of the system as well as signals supplied by the hardware components. The monitored components are represented as nodes in the dependency graph. Dependencies between the components are represented in the dependency graph by connections between the nodes.
Der Abhängigkeitsgraph ist gerichtet und antizyklisch. Gerichtet bedeutet, dass eine Verbindung zwischen zwei Knoten des Abhängigkeitsgraphen immer nur in einer Richtung durchlaufen wird. Wird ausgehend von einem beliebigen der Knoten beliebigen Verbindungen gefolgt, so gelangt man weder zum Ausgangsknoten zurück, noch wird einer der anderen Knoten mehr als einmal durchlaufen. Der Abhängigkeitsgraph ist also antizyklisch.The dependency graph is directed and countercyclical. Directed means that a connection between two nodes of the dependency graph is always passed in one direction only. If arbitrary connections are followed from any of the nodes, then one neither returns to the output node, nor one of the other nodes is traversed more than once. The dependency graph is thus anti-cyclical.
Die Figuren 1 und 2 zeigen Abhängigkeitsgraphen gemäß bevorzugten Ausführungs- beispielen der vorliegenden Erfindung. Die Knoten der gezeigten Abhängigkeitsgraphen sind als Ellipsen dargestellt, zwischen denen gerichtete Verbindungen bestehen. Ebenfalls dargestellt sind den jeweiligen Knoten zugeordnete Überwachungen, die untereinander priorisiert sein können. Fig. 1 zeigt einen Abhängigkeitsgraph gemäß einem Ausführungsbeispiel der vorliegenden Erfindung. Der Abhängigkeitsgraph bildet ein System 100 mit einer Mehrzahl von Komponenten ab.Figures 1 and 2 show dependency graphs according to preferred embodiments of the present invention. The nodes of the dependency graphs shown are represented as ellipses between which directed links exist. Also shown are the respective nodes associated monitoring, which may be prioritized with each other. Fig. 1 shows a dependency graph according to an embodiment of the present invention. The dependency graph depicts a system 100 having a plurality of components.
Ein Fehlerzustand oder Verfügbarkeitszustand einer ersten Komponente 110 des Systems 100 kann mittels eines oder einer Mehrzahl von Überwachungsalgorithmen 111, 112, 113 bestimmt werden. Abhängig von dem Fehlerzustand der ersten Komponente 110 kann ein erster Statuswert 115 bestimmt und an eine zweite Komponente 120 ü- bermittelt bzw. bereitgestellt werden. Im Betrieb kann die Komponente 110 ausgebildet sein, um einen Komponentenwert bereitzustellen. Bei dem Komponentenwert kann es sich beispielsweise um ein Sensorsignal, ein Steuersignal oder einen übertragenen Wert handeln. Abhängig von dem Fehlerzustand der Komponente 110, kann der bereitstellbare Komponentenwert, beispielsweise das Sensorsignal, gültig oder ungültig sein. Gemäß einem Ausführungsbeispiel kann der erste Statuswert 115 anzeigen, ob der von der ersten Komponente 110 bereitstellbare Wert gültig oder ungültig ist.An error state or availability state of a first component 110 of the system 100 can be determined by means of one or a plurality of monitoring algorithms 111, 112, 113. Depending on the error state of the first component 110, a first status value 115 may be determined and transmitted to a second component 120. In operation, the component 110 may be configured to provide a component value. The component value may be, for example, a sensor signal, a control signal or a transmitted value. Depending on the error state of the component 110, the deliverable component value, for example the sensor signal, may be valid or invalid. In one embodiment, the first status value 115 may indicate whether the value provided by the first component 110 is valid or invalid.
Ein Fehlerzustand der zweiten Komponente 120 des Systems 100 kann mittels eines oder einer Mehrzahl weiterer Überwachungsalgorithmen 121, 122 bestimmt werden. Abhängig von dem Fehlerzustand der zweiten Komponente 120 und abhängig von dem ersten Statuswert 115, der von der ersten Komponente bereitgestellt wird, kann ein zweiter Statuswert 125 bestimmt und bereitgestellt werden. Der zweite Statuswert 125 kann anzeigen, ob ein von der zweiten Komponente 120 bereitstellbarer Wert gültig oder ungültig ist. Indem der zweite Statuswert 125 auch abhängig von dem ersten Statuswert 115 bestimmt wird, kann der zweite Statuswert 125 derart bestimmt wer- den, das der zweite Statuswert 125 anzeigt, dass ein von der zweiten Komponente 120 bereitstellbarer Wert ungültig ist, wenn der erste Statuswert 115 anzeigt, dass ein von der ersten Komponente 110 bereitstellbarer Wert ungültig ist. Anders ausgedrückt, wird der zweite Statuswert 125 derart bestimmt, dass der zweite Statuswert 125 nur dann anzeigen kann, dass ein von der zweiten Komponente 120 bereitstellbarer Wert gültig ist, wenn der erste Statuswert 115 anzeigt, dass ein von der ersten Komponente 115 bereitstellbarer Wert gültig ist.An error state of the second component 120 of the system 100 can be determined by means of one or a plurality of further monitoring algorithms 121, 122. Depending on the fault condition of the second component 120 and depending on the first status value 115 provided by the first component, a second status value 125 may be determined and provided. The second status value 125 may indicate whether a value provided by the second component 120 is valid or invalid. By also determining the second status value 125 as a function of the first status value 115, the second status value 125 can be determined such that the second status value 125 indicates that a value that can be provided by the second component 120 is invalid if the first status value 115 indicates that a value provided by the first component 110 is invalid. In other words, the second status value 125 is determined such that the second status value 125 can only indicate that a value that can be provided by the second component 120 is valid if the first status value 115 indicates that a value that can be provided by the first component 115 is valid is.
Ein Fehlerzustand einer dritten Komponente 130 des Systems 100 kann mittels eines oder einer Mehrzahl von Überwachungsalgorithmen 131, 132, 133 bestimmt werden. Abhängig von dem Fehlerzustand der dritten Komponente 130 und abhängig von dem zweiten Statuswert 125, kann ein dritter Statuswert 135 bestimmt und bereitgestellt werden. Der dritte Statuswert 135 kann anzeigen, dass ein von der dritten Komponente 130 bereitstellbarer Wert gültig oder ungültig ist. Indem der dritte Statuswert 135 ab- hängig von dem zweiten Statuswert 125 bestimmt wird, kann der dritte Statuswert 135 derart bestimmt werden, das der dritte Statuswert 135 anzeigt, dass ein von der dritten Komponente 130 bereitstellbarer Wert ungültig ist, wenn der zweite Statuswert 125 anzeigt, das ein von der zweiten Komponente 120 bereitstellbarer Wert ungültig ist.An error condition of a third component 130 of the system 100 may be determined using one or a plurality of monitoring algorithms 131, 132, 133. Depending on the error state of the third component 130 and the second status value 125, a third status value 135 may be determined and provided. The third status value 135 may indicate that a value provided by the third component 130 is valid or invalid. By determining the third status value 135 in response to the second status value 125, the third status value 135 may be determined such that the third status value 135 indicates that a value provided by the third component 130 is invalid when the second status value indicates 125 in that a value provided by the second component 120 is invalid.
Gemäß dem in Fig. 1 gezeigten Ausführungsbeispiel weist das System 100 eine weitere zweite Komponente 140 und eine weitere dritte Komponente 150 auf, die parallel zu der ersten und zweiten Komponente 120, 130 angeordnet sind. Der erste Statuswert 115 wird zusätzlich an die weitere zweite Komponente 140 bereitgestellt.According to the embodiment shown in FIG. 1, the system 100 has a further second component 140 and a further third component 150, which are arranged parallel to the first and second components 120, 130. The first status value 115 is additionally provided to the further second component 140.
Ein Fehlerzustand der zweiten weiteren Komponente 140 des Systems 100 kann mittels einer Mehrzahl von Überwachungsalgorithmen 141, 142, 143 bestimmt werden. Abhängig von dem Fehlerzustand der zweiten weiteren Komponente 140 und abhängig von dem ersten Statuswert 115, der von der ersten Komponente bereitgestellt wird, kann ein zweiter weiterer Statuswert 145 bestimmt und bereitgestellt werden. Der zwei- te weitere Statuswert 145 kann anzeigen, ob ein von der zweiten weiteren Komponente 140 bereitstellbarer Wert gültig oder ungültig ist. Indem der zweite weitere Statuswert 145 abhängig von dem ersten Statuswert 115 bestimmt wird, kann der zweite weitere Statuswert 145 derart bestimmt werden, das der zweite weitere Statuswert 145 anzeigt, dass ein von der zweiten weiteren Komponente 140 bereitstellbarer Wert ungül- tig ist, wenn der erste Statuswert 115 anzeigt, das ein von der ersten Komponente 110 bereitstellbarer Wert ungültig ist.An error state of the second further component 140 of the system 100 can be determined by means of a plurality of monitoring algorithms 141, 142, 143. Depending on the error state of the second further component 140 and the first status value 115 provided by the first component, a second further status value 145 may be determined and provided. The second additional status value 145 may indicate whether a value provided by the second further component 140 is valid or invalid. By determining the second further status value 145 as a function of the first status value 115, the second further status value 145 can be determined in such a way that the second further status value 145 indicates that a value which can be provided by the second further component 140 is invalid if the second further status value 145 first status value 115 indicates that a value provided by the first component 110 is invalid.
Ein Fehlerzustand einer dritten weiteren Komponente 150 des Systems 100 kann mittels einer Mehrzahl von Überwachungsalgorithmen 151, 152, 153 bestimmt werden. Abhängig von dem Fehlerzustand der dritten weiteren Komponente 150 und abhängig von dem zweiten weiteren Statuswert 145, kann ein dritter weiterer Statuswert 155 bestimmt und bereitgestellt werden. Der dritte weitere Statuswert 155 kann anzeigen, ob ein von der dritten weiteren Komponente 150 bereitstellbarer Wert gültig oder ungültig ist. Indem der dritten weitere Statuswert 155 abhängig von dem zweiten weiteren Statuswert 145 bestimmt wird, kann der dritte weitere Statuswert 155 derart bestimmt werden, das der dritte weitere Statuswert 155 anzeigt, dass ein von der dritten weiteren Komponente 150 bereitstellbarer Wert ungültig ist, wenn der zweite weitere Statuswert 145 anzeigt, das ein von der zweiten weiteren Komponente 140 bereitstellbarer Wert ungültig ist.An error condition of a third further component 150 of the system 100 can be determined by means of a plurality of monitoring algorithms 151, 152, 153. Depending on the error state of the third further component 150 and on the second further status value 145, a third further status value 155 may be determined and provided. The third additional status value 155 may indicate whether a value provided by the third further component 150 is valid or invalid. By the third additional status value 155 depending on the second further Status value 145, the third additional status value 155 may be determined such that the third additional status value 155 indicates that a value provided by the third further component 150 is invalid if the second other status value indicates 145, one of the second further status value Component 140 is invalidable.
Gemäß einem Ausführungsbeispiel wird ein Statuswert, dessen Bestimmung von einem vorangegangenen Statuswert abhängt, erst bestimmt, wenn der vorangegangene Statuswert bestimmt ist. Beispielsweise wird zuerst der erste Statuswert 115 bestimmt. Danach wird abhängig von dem ersten Statuswert 115 und dem Fehlerzustand der zweiten Komponente 120 der zweite Statuswert 125 bestimmt. Anschließend wird abhängig von dem zweiten Statuswert 125 und dem Fehlerzustand der dritten Komponente 130 der dritte Statuswert 135 bestimmt. Das erfindungsgemäße Verfahren zur Fehlerverwaltung kann mehrmals bzw. beliebig oft zeitlich nacheinander ausgeführt werden. Bei jeder Ausführung wird jeder Statuswert 115, 125, 135, 145, 155 nur ein einziges Mal bestimmt, bzw. muss jeder Statuswert nur ein einziges Mal bestimmt werden.According to one embodiment, a status value whose determination depends on a previous status value is not determined until the previous status value has been determined. For example, first the first status value 115 is determined. Thereafter, depending on the first status value 115 and the error state of the second component 120, the second status value 125 is determined. Subsequently, depending on the second status value 125 and the error state of the third component 130, the third status value 135 is determined. The error management method according to the invention can be executed several times or as often as desired in chronological succession. For each execution, each status value 115, 125, 135, 145, 155 is determined only once, or each status value needs to be determined only once.
Gemäß einem Ausführungsbeispiel können die Statuswerte 135, 155, in Abhängigkeit von welchen kein weiterer Statuswert bestimmt wird (aber auch alle übrigen Statuswerte), ausgewertet werden, um eine fehlerhafte Komponente des Systems zu erkennen. Dies kann beispielsweise mit einer Auswerteeinrichtung (nicht gezeigt in den Figuren) erfolgen, die ausgebildet ist, um die Statuswerte 135, 155 zu empfangen und auszuwerten. Dabei kann festgestellt werden, ob und wenn ja welcher Statuswert als erster angezeigt hat, dass ein von einer Komponente bereitstellbarer Wert ungültig ist. Ein Teil des Systems 100, der die fehlerhafte Komponente aufweist, kann anschließend degradiert oder deaktiviert werden. Auch kann eine Information über die fehlerhafte Komponente, beispielsweise in einer Speichereinrichtung (nicht gezeigt in den Figuren) gespeichert werden.According to one embodiment, the status values 135, 155, depending on which no further status value is determined (but also all other status values), can be evaluated in order to detect a faulty component of the system. This can be done, for example, with an evaluation device (not shown in the figures), which is designed to receive and evaluate the status values 135, 155. It can be determined here whether and, if so, which status value was the first to indicate that a value that can be provided by a component is invalid. A portion of the system 100 having the failed component may then be degraded or disabled. Also, information about the faulty component may be stored, for example, in a memory device (not shown in the figures).
Gemäß einem weiteren Ausführungsbeispiel können die Statuswerte ferner anzeigen, ob ein von einer Komponente bereitstellbarer Wert kurzzeitig ungültig oder ob eine Komponente nicht initialisiert ist. Zeigt beispielsweise der zweite Statuswert 125 an, dass ein von der zweiten Komponente 120 bereitstellbarer Wert kurzeitig ungültig ist oder dass die zweite Komponente 120 nicht initialisiert ist, so kann der dritte Statuswert 135 nicht anzeigen, dass ein von der dritten Komponente 130 bereitstellbarer Wert gültig ist, sondern zeigt an, das der von der dritten Komponente 130 bereitstellbare Wert ebenfalls ungültig ist.According to a further embodiment, the status values may further indicate whether a component-settable value is temporarily invalid or a component is not initialized. For example, the second status value 125 indicates that a value that can be provided by the second component 120 is currently invalid or that the second component 120 is uninitialized, the third status value 135 may not indicate that a value provided by the third component 130 is valid, but indicates that the value provided by the third component 130 is also invalid.
Bei dem System 100 kann es sich beispielsweise um ein ESP handeln. Bei den Komponenten 110, 120, 130, 140, 150, kann es sich beispielsweise um Sensoren, Aktoren, Datenübertragungscontroller, Steuergerätekomponenten oder von solchen Komponenten übertragbare Signale handeln. Die Statuswerte können in beliebiger Form, bei- spielsweise in Form von Signalen, bereitgestellt werden, die von den abhängigen Komponenten empfangen werden können.The system 100 may be, for example, an ESP. The components 110, 120, 130, 140, 150 may be, for example, sensors, actuators, data transfer controllers, control unit components or signals that can be transmitted by such components. The status values can be provided in any form, for example in the form of signals, which can be received by the dependent components.
Der Knoten 110 kann beispielsweise einem Steuergerät ECU, der Knoten 120 einem A/D Wandler, der Knoten 130 einem Radgeschwindigkeitssensor VL, der Knoten 140 einem CAN und der Knoten 150 einem Gierratesensor zugeordnet sein. Dem Knoten 110 ist unter anderem eine Überwachung eines Totalausfalls 111, eine Überwachung des ROM 112 und eine Überwachung des RAM 113 zugeordnet. Dem Knoten 120 kann, unter anderem, eine Überwachung eines Totalausfalls 121 und eine Überwachung einer Einstreuung 122 zugeordnet sein. Dem Knoten 130 kann, unter anderem, eine Überwachung eines Totalausfalls 131, eine Überwachung eines Gradienten 132 und eine Überwachung eines Wertebereichs 133 zugeordnet sein. Dem Knoten 140 kann, unter anderem, eine Überwachung eines Totalausfalls 141, eine Überwachung einer Botschaft „1" 142 und eine Überwachung einer Botschaft „2" 143 zugeordnet sein. Dem Knoten 150 kann, unter anderem, eine Überwachung eines Totalausfalls 151, eine Überwachung eines Gradienten 152 und eine Überwachung eines Wertebereichs 153 zugeordnet sein.For example, node 110 may be associated with a controller ECU, node 120 may be associated with an A / D converter, node 130 may be associated with a wheel speed sensor VL, node 140 may be associated with a CAN, and node 150 may be associated with a yaw rate sensor. The node 110 is assigned among other things a monitoring of a total failure 111, a monitoring of the ROM 112 and a monitoring of the RAM 113. Among other things, the node 120 may be assigned a monitoring of a total failure 121 and a monitoring of an interference 122. Among other things, the node 130 may be assigned to monitor a total failure 131, monitor a gradient 132, and monitor a range of values 133. Among other things, the node 140 may be assigned a total failure monitor 141, a message "1" 142 monitor, and a message "2" 143 monitor. Among other things, the node 150 may be assigned a monitoring of a total failure 151, a monitoring of a gradient 152 and a monitoring of a value range 153.
Im Folgenden wird, anhand der in Fig. 1 gezeigten Prinzipdarstellung des Abhängigkeitsgraphen beschrieben, wie sich gemäß dem erfindungsgemäßen Ansatz die Auf- gaben einer Ermittlung der resultierenden Hardware- und Signalstati, einer Folgefehlervermeidung sowie einer Vorbereitung einer Mehrfachfehlerbehandlung realisieren lassen. Zuerst wird die Ermittlung der resultierenden Hardware- und Signalstati betrachtet. Bei der Ermittlung eines resultierenden Knotenstatus gibt es zwei Einflussfaktoren. Zum einen die Ergebnisse der Knoten-eigenen Überwachungen, zum anderen die Stati der Vorgängerknoten. Erkennt ein Überwachungsalgorithmus einen Fehler, so wird der zugehörige Knoten als ungültig markiert. Im gleichen Zuge werden alle sog. Kinder dieses Knoten, also alle Knoten, die durch Verfolgen der Verbindungen von diesem Knoten aus erreichbar sind, ebenfalls ungültig. Diese Vererbung des erkannten Fehlers an die sog. Kindsknoten wird als Fehlerpropagierung bezeichnet. Diese ist notwendig, da keines der Signale, die von der ausgefallenen Hardwarekomponente geliefert wer- den, mehr verwendet werden darf.In the following, based on the basic representation of the dependency graph shown in FIG. 1, it will be described how the tasks of a determination of the resulting hardware and signal states, a subsequent error avoidance and a preparation of a multiple error treatment can be realized according to the inventive approach. First, the determination of the resulting hardware and signal states is considered. When determining a resulting node status, there are two influencing factors. On the one hand, the results of the node-own monitoring, on the other hand, the status of the predecessor node. If a monitoring algorithm detects an error, the associated node is marked as invalid. At the same time, all so-called children of this node, ie all nodes that can be reached by following the connections from this node, also become invalid. This inheritance of the detected error to the so-called child nodes is referred to as error propagation. This is necessary because none of the signals supplied by the failed hardware component can be used anymore.
Beispielsweise ist eine Anbindung des Gierratensensors, dem der Knoten 150 zugeordnet ist, in einem bestimmten Projekt mittels des CAN- Protokolls, dem der Knoten 140 zugeordnet ist, realisiert. Wird der Ausfall des CAN-Controllers von der knotenei- genen Überwachung Totalausfall 141 erkannt, wird der Knoten 140, der dem CAN zugeordnet ist, als ungültig markiert. Weil der korrekte Empfang von Signalen des CAN- Busses nicht mehr gewährleistet ist, wird automatisch auch der Knoten 150, der der Gierrate zugeordnet ist, als ungültig markiert. Es erfolgt also eine Fehlerpropagierung.For example, a connection of the yaw rate sensor to which node 150 is assigned is realized in a specific project by means of the CAN protocol to which node 140 is assigned. If the failure of the CAN controller is detected by the node-specific monitoring Totalausfall 141, the node 140, which is assigned to the CAN, marked as invalid. Because the correct reception of signals of the CAN bus is no longer guaranteed, the node 150 assigned to the yaw rate is automatically marked as invalid. So there is an error propagation.
Nun wird die Folgefehlervermeidung betrachtet. Wenn ein Fehler in einer überwachten Komponente erkannt wurde, erfolgt ein Eintrag in einen Fehlerspeicher (nicht gezeigt in den Figuren), um das Fehlerereignis rekonstruieren zu können. Dieser Fehlerspeicher kann beispielsweise zu einem späteren Zeitpunkt von einem Servicepersonal in einer Werkstatt analysiert werden. Um eine zielsichere und reibungslose Lokalisierung des defekten Bauteils zu ermöglichen - dies fällt unter das Stichwort „kleinste tauschbare Einheit" - darf der Fehlerspeicher nach Möglichkeit nur kausale Fehler und keine Folgefehler enthalten. Ein kausaler Fehler ist derjenige Fehler, der den eigentlichen Grund für einen Ausfall liefert. Ein Folgefehler ist ein Fehler, der auf Grund eines anderen Fehlers erkannt wird.Now, the consequential error avoidance is considered. If an error has been detected in a monitored component, an entry is made in an error memory (not shown in the figures) to reconstruct the error event. This fault memory, for example, can be analyzed later by a service person in a workshop. In order to enable a goal-oriented and smooth localization of the defective component - this falls under the keyword "smallest exchangeable unit" - the error memory may contain only causal errors and consequential errors as far as possible A causal error is the error that is the actual reason for a failure A following error is an error that is detected due to another error.
Zur Verdeutlichung lässt sich sagen, dass zur Ermittlung gültiger Signale Fehler propagiert werden müssen, wie oben in Bezug auf die Ermittlung der resultierenden Hardware- und Signalstati beschrieben ist. Bei der Befüllung des Fehlerspeichers müssen Fehler jedoch herausgefiltert werden.To clarify, it can be said that to determine valid signals errors must be propagated, as above in relation to the determination of the resulting hardware and Signal state is described. When filling the fault memory, however, errors must be filtered out.
Für die folgenden Beispiele wird angenommen, dass ein abhängiges Signal, beispiels- weise der Gierrate (bei 150), Fehler liefert, wenn das vorausgesetzte Signal, bzw. die vorausgesetzte Komponente, beispielsweise der CAN (bei 140) defekt ist.For the following examples, it is assumed that a dependent signal, for example the yaw rate (at 150), provides errors if the presupposed signal, or the prerequisite component, for example, the CAN (at 140) is defective.
Bezug nehmend auf Fig. 1 zeigt das folgende Szenario ein einfaches Beispiel für einen Folgefehler innerhalb des Knotens 130. Eine Verbindung zu einem Radgeschwindig- keitssensor eines Fahrzeugs wird unterbrochen. Beispielsweise erfolgt ein Abriss eines Kabels, der durch die knoteneigene Überwachung Totalausfall 131 erkannt wird. Dadurch fällt die gemessene Radgeschwindigkeit innerhalb von 10ms von 50 m/s abrupt auf 0 m/s ab. Der sich daraus ergebende Gradient des Signals von -5.000 m/s2 wird als unplausibel erkannt (Gradientenüberwachung 132). Der eigentliche Grund für den viel zu hohen Gradienten ist aber der Leitungsabriss.Referring to Figure 1, the following scenario shows a simple example of a consequent error within node 130. A connection to a wheel speed sensor of a vehicle is interrupted. For example, an outline of a cable is detected, which is detected by the node-specific monitoring total failure 131. As a result, the measured wheel speed abruptly drops from 50 m / s to 0 m / s within 10 ms. The resulting gradient of the signal of -5,000 m / s 2 is recognized as implausible (gradient monitoring 132). The actual reason for the much too high gradient is the line break.
Es kann jedoch auch zu Folgefehlern an verschiedenen Knoten kommen, die voneinander abhängig sind. Bezug nehmend auf Fig. 1 zeigt folgendes Szenario ein Beispiel für einen Folgefehler an unterschiedlichen Knoten. Beispielsweise erfolgt eine Ein- Streuung des A/D-Wandlers (120), was durch die Überwachung der Einstreuung (bei 122) erkannt wird. Weiterhin wird von der Überwachung des Radgeschwindigkeitssensors (bei 130) ein ungültiger Wert erkannt (bei 133), da durch die Einstreuung der gültige Wertebereich verlassen wird. Das überschreiten des zulässigen Wertebereichs 133 ist somit Folgefehler der Einstreuung am A/D-Wandler 122.However, it can also lead to follow-on errors at different nodes that are interdependent. Referring to Fig. 1, the following scenario shows an example of a following error at different nodes. For example, there is a spread of the A / D converter (120), which is detected by monitoring the interference (at 122). Furthermore, an invalid value is detected (at 130) by the monitoring of the wheel speed sensor (at 130) because the valid range of values is left by the interference. Exceeding the permissible value range 133 is thus a follow-up error of the interference at the A / D converter 122.
Folgefehler können aber auch vor dem kausalen Fehler auftreten. Beispielsweise fällt der CAN-Controller aus, wodurch das Gierratensignal, welches mittels des CAN übertragen wird, sehr schnell auf den Wert 0 abfällt. Die benötigte Zeit, um den Ausfall des CAN-Controllers zu erkennen, ist deutlich größer als die Zeit zur Erkennung des Gra- dientenfehlers. Dadurch ist es möglich, dass der Folgefehler „fehlerhafter Gradient der Gierrate", der durch die entsprechende Überwachung 152 am Knoten Gierrate 150 erkannt wird, zeitlich vor dem kausalen Fehler „Ausfall des CAN-Controllers" erfolgt, der durch die entsprechende Überwachung 141 am Knoten CAN 140 erkannt wird. Fig. 2 zeigt einen Abhängigkeitsgraphen, der ein weiteres Ausführungsbeispiel der vorliegenden Erfindung beschreibt. Gemäß diesem Ausführungsbeispiel ist das bereits anhand der Fig. 1 beschriebene System 100 um eine virtuelle Komponente 260 erweitert. Bei der virtuellen Komponente 260 handelt es sich nicht um eine reale Komponen- te sondern um eine virtuelle Komponente, die in den Abhängigkeitsgraphen aufgenommen wird, um die Fehlererkennung in dem System 100 zu verbessern.Following errors can also occur before the causal error. For example, the CAN controller fails, as a result of which the yaw rate signal, which is transmitted by means of the CAN, very quickly drops to the value 0. The time required to detect the failure of the CAN controller is significantly greater than the time required to detect the gradient error. This makes it possible that the following error "erroneous gradient of yaw rate", which is detected by the corresponding monitoring 152 at node yaw rate 150, takes place before the causal error "failure of the CAN controller" by the corresponding monitoring 141 at the node CAN 140 is detected. Fig. 2 shows a dependency graph describing another embodiment of the present invention. According to this embodiment, the system 100 already described with reference to FIG. 1 is expanded by a virtual component 260. The virtual component 260 is not a real component but a virtual component that is included in the dependency graph to improve error detection in the system 100.
Ein Fehlerzustand der virtuellen Komponente 260 kann mittels eines Überwachungsalgorithmus 261 bestimmt werden. Der Überwachungsalgorithmus kann Statuswerte einer vorbestimmten Auswahl der Komponenten 110, 120, 130, 140, 150 des Systems 100 gemäß einer Verknüpfungsvorschrift verknüpfen, um den Fehlerzustand der virtuellen Komponente 260 zu bestimmen. Beispielsweise könnte der Überwachungsalgorithmus 261 den Statuswert 135 der dritten Komponente 130 mit dem weiteren zweiten Statuswert 145 der weiteren zweiten Komponente 140 verknüpfen. Bei der Verknüp- fungsvorschrift kann es sich um eine UND-Verknüpfung handeln. Ein virtueller Statuswert 265 wird abhängig von dem Fehlerzustand der virtuellen Komponente und, gemäß dem in Fig. 2 gezeigten Ausführungsbeispiel, abhängig von dem ersten Statuswert 115 bestimmt.An error state of the virtual component 260 can be determined by means of a monitoring algorithm 261. The monitoring algorithm may associate status values of a predetermined selection of the components 110, 120, 130, 140, 150 of the system 100 according to a linking rule to determine the error state of the virtual component 260. For example, the monitoring algorithm 261 could link the status value 135 of the third component 130 to the further second status value 145 of the further second component 140. The link rule can be an AND link. A virtual status value 265 is determined depending on the error state of the virtual component and, according to the embodiment shown in FIG. 2, depending on the first status value 115.
Der virtuellen Komponente 260 ist ein Knoten 260 des Abhängigkeitsgraphen zugeordnet. Dem Knoten 260 kann beispielsweise eine virtuelle Hardwarekomponente „3 Radgeschwindigkeiten" bzw. „3 Raddrehzahlsensoren" zugeordnet sein. In diesem Fall kann der Knoten 260 eine Überwachung 261 in Form einer Anzahl defekter Radgeschwindigkeiten aufweisen.The virtual component 260 is assigned a node 260 of the dependency graph. The node 260 may for example be assigned a virtual hardware component "3 wheel speeds" or "3 wheel speed sensors". In this case, the node 260 may include a monitor 261 in the form of a number of defective wheel speeds.
Nun wird die Vorbereitung einer Mehrfachfehlerbehandlung betrachtet. Wie bereits erwähnt, werden Hardwarekomponenten während des laufenden Betriebs überwacht und es werden im Falle eines erkannten Fehlers deren Stati entsprechend gesetzt. Diese Stati können von nachgelagerten Funktionalitäten genutzt werden, um Teile des Systems, beispielsweise des ESP, die diese Hardwarekomponenten verwenden, zu degradieren oder zu deaktivieren. Unter Degradation wird das Umschalten zwischen verschiedenen Algorithmen innerhalb einer Funktionalität von hoher zu niedriger Qualität, beispielsweise das Umschalten von der Nutzung von Messgrößen auf die Nutzung von Schätzgrößen, verstanden. Durch diese so genannte Fehlerbehandlung wird eine Fehlfunktion des Gesamtsystems auf Grund der fehlerhaften Hardwarekomponente vermieden.Now the preparation of a multiple error treatment is considered. As already mentioned, hardware components are monitored during operation and their statuses are set accordingly in case of a detected error. These states may be used by downstream functionalities to downgrade or disable portions of the system, such as the ESP, that use these hardware components. Degradation is understood to be the switching between different algorithms within a functionality of high to low quality, for example the switching from the use of measured variables to the use of estimated variables. This so-called error handling becomes a Malfunction of the entire system due to the faulty hardware component avoided.
Für den Fall, dass mehrere Fehler nacheinander oder gleichzeitig auftreten, muss eine so genannte einfache Mehrfachfehlerbehandlung durchgeführt werden. Dabei werden im Normalfall die einzelnen Ziel-Systemzustände verglichen und derjenige, in welchem keine der ausgefallenen Hardwarekomponenten verwendet wird, wird als neuer Ziel- Systemzustand ausgewählt. Als Grundlage dafür werden die Stati der einzelnen Hardwarekomponenten ermittelt.In the event that several errors occur in succession or simultaneously, a so-called simple multiple error treatment must be performed. In the normal case, the individual target system states are compared and the one in which none of the failed hardware components is used is selected as the new target system state. The statuses of the individual hardware components are determined as the basis for this.
Bei einigen Fehlerkombinationen ist die Verfügbarkeit der Hardwarekomponenten derart eingeschränkt, dass statt der eben beschriebenen einfachen eine erweiterte Mehrfachfehlerbehandlung durchgeführt werden muss. Dabei werden auch Teilsysteme deaktiviert, die nach der einfachen Mehrfachfehlerbehandlung noch mit Schätzgrößen arbeiten könnten.For some fault combinations, the availability of the hardware components is so limited that instead of the simple ones just described an extended multiple fault treatment must be performed. In this case, subsystems are also deactivated which could still work with estimated values after the simple multiple error treatment.
Um die Weiterverarbeitung der erkannten Fehler zu vereinfachen, sollen Einfachfehler und Mehrfachfehler dieselbe Schnittstelle nutzen. Um diese Anforderung zu erfüllen, können so genannte virtuelle Hardwarekomponenten gebildet werden. Signalstati der virtuellen Hardwarekomponenten werden durch eine logische „und"-Verknüpfung einzelner Stati anderer Hardwarekomponenten gebildet.To simplify the further processing of the detected errors, single and multiple errors should use the same interface. To meet this requirement, so-called virtual hardware components can be formed. Signal states of the virtual hardware components are formed by a logical "and" linking of individual states of other hardware components.
Stellt das System 100 beispielsweise ein ESP dar und fällt beispielsweise im ESP der Gierratensensor aus, der dem Knoten 150 zugeordnet ist, so wird der Status des Gier- ratensensors auf „ungültig" gesetzt, wie es oben in Verbindung mit der Ermittlung der resultierenden Hardware- und Signalstati beschrieben ist. Fällt zusätzlich der Drehzahlsensor an einem der Räder aus, so wird dessen Status ebenfalls auf „ungültig" gesetzt. Wenn, wie in dem in Fig. 1 gezeigten Ausführungsbeispiel keine virtuelle Hardwarekomponente für diese Fehlerkombination existiert, wird ein Ziel- Systemzustand nur auf Basis der beiden Einzelstati ermittelt.For example, if the system 100 represents an ESP and, for example, the yaw rate sensor associated with the node 150 fails in ESP, the yaw rate sensor's status is set to "invalid," as described above in connection with the determination of the resulting hardware. If the speed sensor on one of the wheels also fails, its status is also set to "invalid". If, as in the exemplary embodiment shown in FIG. 1, there is no virtual hardware component for this error combination, a target system state is determined only on the basis of the two individual statuses.
Fällt im ESP der Drehzahlsensor an einem der Räder aus, so wird sein Status auf „ungültig" gesetzt. Fallen zusätzlich noch die Drehzahlsensoren an zwei weiteren Rädern aus, so stehen dem ESP nicht mehr genug Informationen zur Verfügung, um sicher zu arbeiten. Daher wird der Signalstatus der virtuellen Hardwarekomponente 260 „3 Raddrehzahlsensoren" auf „ungültig" gesetzt. Diese Information wird von nachgelagerten Funktionalitäten genutzt, um das ESP zu deaktivieren, obwohl die Fahrzeuggeschwindigkeit theoretisch noch, in einer schlechteren Güte, berechnet werden könnte.If the RPM sensor on one of the wheels fails in the ESP, its status is set to "invalid." If the speed sensors on two other wheels also fail, the ESP will no longer have enough information to safely access work. Therefore, the signal status of the virtual hardware component 260 "3 wheel speed sensors" is set to "invalid". This information is used by downstream functionalities to deactivate the ESP, although theoretically the vehicle speed could still be calculated in a worse quality.
Die anhand der Figuren beschriebenen Ausführungsbeispiele sind beispielhaft gewählt. Abhängig von einem zu realisierendem System können Komponenten, weitere Komponenten und virtuelle Komponenten in beliebiger Anzahl und, im Rahmen eines gerichteten Abhängigkeitsgraphen, in beliebiger Verknüpfung untereinander angeordnet werden.The exemplary embodiments described with reference to the figures are chosen by way of example. Depending on a system to be implemented, components, further components and virtual components can be arranged in any number and, as part of a directed dependency graph, in any connection with one another.
Die vorliegende Erfindung kann in Form von Software umgesetzt werden. Das erfindungsgemäße Verfahren bietet ein neues Konzept zur Konfiguration von Hardwareabhängigkeiten von dynamischen Systemen. Das erfindungsgemäße Konzept einer FaMu- re Dependency Structure, ist zur zentralen Fehlerverwaltung in dynamischen Systemen geeignet. Der erfindungsgemäße Ansatz ist keineswegs auf die beschriebene Fahrdynamikregelung ESP beschränkt. Vielmehr ist der Einsatz in allen mechatronischen eingebetteten Systemen denkbar. Die beschriebenen Beispiele aus dem Einsatzbereich des ESP dienen lediglich der Erläuterung, beschränken aber in keiner Weise das Einsatzgebiet der Erfindung. The present invention may be implemented in the form of software. The inventive method offers a new concept for configuring hardware dependencies of dynamic systems. The inventive concept of a FaMu re Dependency Structure, is suitable for central error management in dynamic systems. The inventive approach is by no means limited to the vehicle dynamics control ESP described. Rather, the use in all mechatronic embedded systems is conceivable. The described examples from the field of application of the ESP are merely illustrative, but in no way limit the field of application of the invention.

Claims

Ansprüche claims
1. Verfahren zur Fehlerverwaltung in einem System (100) mit einer Mehrzahl von Komponenten, wobei Fehlerzustände der Komponenten mittels Statuswerten anzeigbar sind,A method for error management in a system (100) having a plurality of components, wherein error states of the components can be displayed by means of status values,
d a d u r c h g e k e n n z e i c h n e t, d a s sd a d u r c h e s e n c i n e s, d a s s
ein erster Statuswert (115) abhängig von einem Fehlerzustand einer ersten Komponente (110) und ein zweiter Statuswert (125) abhängig von einem Fehlerzu- stand einer zweiten Komponente (120) und abhängig von dem ersten Statuswerta first status value (115) depending on a fault condition of a first component (110) and a second status value (125) depending on a fault condition of a second component (120) and dependent on the first status value
(115) bestimmt wird.(115) is determined.
2. Verfahren gemäß Anspruch 1, wobei die Statuswerte anzeigen, ob ein von einer Komponente bereitstellbarer Wert gültig oder ungültig ist und der zweite Status- wert (125) derart bestimmt wird, dass der zweite Statuswert anzeigt, dass ein von der zweiten Komponente (120) bereitstellbarer Wert ungültig ist, wenn der erste Statuswert (115) anzeigt, das ein von der ersten Komponente (110) bereitstellbarer Wert ungültig ist.2. The method of claim 1, wherein the status values indicate whether a value provided by a component is valid or invalid and the second status value (125) is determined such that the second status value indicates that one of the second component (120 ) is invalid when the first status value (115) indicates that a value provided by the first component (110) is invalid.
3. Verfahren gemäß einem der vorstehenden Ansprüche, wobei das System (100) eine weitere Komponente (140) aufweist, dadurch gekennzeichnet, dass ein weiterer Statuswert (145) abhängig von einem Fehlerzustand der weiteren Komponente und abhängig von dem ersten Statuswert (115) bestimmt wird.Method according to one of the preceding claims, wherein the system (100) has a further component (140), characterized in that a further status value (145) is determined depending on an error state of the further component and on the first status value (115) becomes.
4. Verfahren gemäß einem der vorstehenden Ansprüche, wobei das System (100) eine virtuelle Komponente (260) aufweist und ein Fehlerzustand der virtuellen Komponente aus Statuswerten einer vorbestimmten Auswahl der Komponenten (110, 120, 140) gemäß einer Verknüpfungsvorschrift bestimmt wird, und ein virtu- eller Statuswert (265) abhängig von dem Fehlerzustand der virtuellen Komponente und abhängig von dem ersten Statuswert (115) bestimmt wird.4. The method of claim 1, wherein the system comprises a virtual component and an error state of the virtual component is determined from status values of a predetermined selection of the components according to a linking rule virtual eller status value (265) is determined depending on the error state of the virtual component and depending on the first status value (115).
5. Verfahren gemäß einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass ausgehend von dem ersten Statuswert (115) jeder Statuswert (125, 145,5. Method according to one of the preceding claims, characterized in that, starting from the first status value (115), each status value (125, 145,
265), dessen Bestimmung von einem vorangegangenen Statuswert abhängt, nur ein einziges Mal bestimmt wird.265) whose determination depends on a previous status value is determined only once.
6. Verfahren gemäß einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass ein Statuswert (135, 155, 265), in Abhängigkeit von dem kein weiterer Statuswert bestimmt wird, ausgewertet wird, um festzustellen, welcher Statuswert, ausgehend von dem ersten Statuswert (115), als erstes angezeigt hat, dass ein von einer Komponente bereitstellbarer Wert ungültig ist, um so eine fehlerhafte Komponente zu bestimmen.6. Method according to one of the preceding claims, characterized in that a status value (135, 155, 265) in dependence on which no further status value is determined is evaluated in order to determine which status value, based on the first status value (115). First, it has indicated that a component-settable value is invalid so as to determine a faulty component.
7. Verfahren gemäß Anspruch 6, dadurch gekennzeichnet, dass ein Teil des Systems (100), der die fehlerhafte Komponente aufweist, degradiert oder deaktiviert wird.A method according to claim 6, characterized in that a part of the system (100) having the faulty component is degraded or deactivated.
8. Verfahren gemäß Anspruch 6, dadurch gekennzeichnet, dass eine Information über die fehlerhafte Komponente gespeichert wird.8. The method according to claim 6, characterized in that information about the faulty component is stored.
9. Verfahren gemäß einem der vorstehenden Ansprüche, dadurch gekennzeichnet, dass die Fehlerzustände der Komponenten (110, 120, 140, 260) ermittelt werden, indem Überwachungsalgorithmen (111, 112, 113, 121, 122, 141, 142, 143, 261) ausgeführt werden.9. The method according to any one of the preceding claims, characterized in that the error states of the components (110, 120, 140, 260) are determined by monitoring algorithms (111, 112, 113, 121, 122, 141, 142, 143, 261) be executed.
10. Verfahren gemäß einem der Ansprüche 4 bis 9, dadurch gekennzeichnet, dass die Verknüpfungsvorschrift zur Bestimmung des Fehlerzustands der virtuellen Komponente (260) eine UND-Verknüpfung ist.10. The method according to any one of claims 4 to 9, characterized in that the linkage rule for determining the error state of the virtual component (260) is an AND operation.
11. Verfahren gemäß einem der Ansprüche 2 bis 10, wobei die Statuswerte ferner anzeigen, ob ein von einer Komponente bereitstellbarer Wert kurzzeitig ungültig oder ob eine Komponente nicht initialisiert ist, wobei der zweite Statuswert (125) so bestimmt wird, dass der zweite Statuswert anzeigt, dass ein von der zweiten Komponente (120) bereitstellbarer Wert ungültig ist, wenn der erste Statuswert (115) anzeigt, das der von der ersten Komponente (110) bereitstellbare Wert kurzzeitig ungültig oder die erste Komponente nicht initialisiert ist.11. The method of claim 2, wherein the status values further indicate whether a component-settable value is temporarily invalid or a component is not initialized, wherein the second status value (125) is determined such that the second status value indicates that a value provided by the second component (120) is invalid when the first status value (115) indicates, the value provided by the first component (110) is temporarily invalid or the first component is not initialized.
12. Vorrichtung um alle Schritte eines Verfahrens gemäß einem der Ansprüche 1 bis 11 durchzuführen.12. Device for carrying out all the steps of a method according to one of claims 1 to 11.
13. Vorrichtung gemäß Anspruch 12, dadurch gekennzeichnet, dass es sich bei den Komponenten um Sensoren, Aktoren, Datenübertragungscontroller, Steuergerätekomponenten oder von solchen Komponenten übertragbare Signale handelt.13. Device according to claim 12, characterized in that the components are sensors, actuators, data transfer controllers, control unit components or signals that can be transmitted by such components.
14. Vorrichtung gemäß Anspruch 12, dadurch gekennzeichnet, dass es sich bei dem System um ein mechatronisch eingebettetes System handelt.Device according to claim 12, characterized in that the system is a mechatronically embedded system.
15. Computerprogramm mit Programmcode- Mitteln, um alle Schritte eines Verfahrens gemäß einem der Ansprüche 1 bis 11 durchzuführen, wenn das Computerprogramm auf einem Computer oder einer entsprechenden Rechnereinheit ausgeführt wird.Computer program with program code means for carrying out all the steps of a method according to one of claims 1 to 11, when the computer program is executed on a computer or a corresponding computer unit.
16. Computerprogrammprodukt mit Programmcode- Mitteln, die auf einem computerlesbaren Datenträger gespeichert sind, um alle Schritte eines Verfahrens nach einem der Ansprüche 1 bis 11 durchzuführen, wenn das Computerprogrammprodukt auf einem Computer oder auf einer entsprechenden Rechnereinheit ausge- führt wird. A computer program product having program code means stored on a computer-readable medium for carrying out all the steps of a method according to any one of claims 1 to 11 when the computer program product is executed on a computer or on a corresponding computer unit.
EP07820411A 2006-09-29 2007-09-20 Method and device for error management Withdrawn EP2078253A2 (en)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102006046399A DE102006046399A1 (en) 2006-09-29 2006-09-29 Method for error administration in system with number of components, involves displaying error conditions of components by status value
PCT/EP2007/059973 WO2008040641A2 (en) 2006-09-29 2007-09-20 Method and device for error management

Publications (1)

Publication Number Publication Date
EP2078253A2 true EP2078253A2 (en) 2009-07-15

Family

ID=39134362

Family Applications (1)

Application Number Title Priority Date Filing Date
EP07820411A Withdrawn EP2078253A2 (en) 2006-09-29 2007-09-20 Method and device for error management

Country Status (6)

Country Link
US (1) US20100218047A1 (en)
EP (1) EP2078253A2 (en)
JP (1) JP5319534B2 (en)
CN (1) CN101535960B (en)
DE (1) DE102006046399A1 (en)
WO (1) WO2008040641A2 (en)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102009020151A1 (en) * 2009-05-06 2010-11-11 Siemens Aktiengesellschaft Method for determining and evaluating characteristics of an electrical energy supply
DE102009027375A1 (en) * 2009-07-01 2011-03-10 Robert Bosch Gmbh Diagnostic method for making a diagnosis of a system
CN102404141B (en) * 2011-11-04 2014-03-12 华为技术有限公司 Method and device of alarm inhibition
US9021305B2 (en) 2012-10-17 2015-04-28 International Business Machines Corporation Processing main cause errors and sympathetic errors in devices in a system
CN104102551B (en) * 2013-04-10 2017-06-06 北京中嘉时代科技有限公司 A kind of application monitoring and recovery algorithms and model based on state
FR3012098B1 (en) * 2013-10-17 2017-01-13 Renault Sa SYSTEM AND METHOD FOR CONTROLLING VEHICLE WITH DEFECT MANAGEMENT
CN103674590B (en) * 2013-11-09 2016-04-20 皖江新兴产业技术发展中心 Semiconductor chip full-automatic sealed in unit automatic alarm system implementation method
US10089687B2 (en) * 2015-08-04 2018-10-02 Fidelity National Information Services, Inc. System and associated methodology of creating order lifecycles via daisy chain linkage
CN106559234B (en) * 2015-09-28 2021-02-19 中兴通讯股份有限公司 Control message sending method and device
US11568362B2 (en) * 2019-01-02 2023-01-31 International Business Machines Corporation Systems and methods for visualizing a trade life cycle and detecting discrepancies
US20200211110A1 (en) * 2019-01-02 2020-07-02 International Business Machines Corporation Systems and methods for visualizing a trade life cycle and detecting discrepancies
DE102022105248A1 (en) 2022-03-07 2023-09-07 Bayerische Motoren Werke Aktiengesellschaft PROCEDURE FOR DETERMINING OBD COMPLIANCE OF AN OUTPUT SIGNAL

Family Cites Families (36)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4053752A (en) * 1975-09-15 1977-10-11 International Business Machines Corporation Error recovery and control in a mass storage system
DE3526671A1 (en) * 1985-07-25 1987-01-29 Man Technologie Gmbh DRIVELINE FOR MOTOR VEHICLES
DE3730110A1 (en) * 1987-09-08 1989-03-16 Siemens Ag PRINTING DEVICE WITH AN ELECTROTHERMALLY OPERATED PRINT HEAD
JPH05257676A (en) * 1992-03-11 1993-10-08 Hitachi Ltd Status management method
GB2268292A (en) * 1992-06-16 1994-01-05 Ibm Error handling in a state-free system
US5335979A (en) * 1992-10-09 1994-08-09 Mitsubishi Denki Kabushiki Kaisha Control device for vehicle including anti-skid braking system and power steering control system
US5581690A (en) * 1993-06-29 1996-12-03 Digital Equipment Corporation Method and apparatus for preventing the use of corrupt data in a multiple disk raid organized storage system
SE510029C2 (en) * 1995-10-03 1999-04-12 Volvo Ab Diagnostic system in a motor operating system as well as a diagnostic function module (DF module) in a motor operating system
US5948107A (en) * 1997-05-28 1999-09-07 Intel Corporation Method of handling errors in complex inheritance hierarchies
DE19731116A1 (en) * 1997-07-19 1999-01-28 Bosch Gmbh Robert Control device for automobile engine or drive transmission
JP2000295238A (en) * 1999-04-06 2000-10-20 Canon Inc Wireless communication unit, its communication control method and storage medium
JP2001209561A (en) * 2000-01-27 2001-08-03 Mitsubishi Electric Corp System and method for abnormal termination
US6584384B2 (en) * 2000-02-03 2003-06-24 Honeywell International Inc. Device, method and computer program product for altimetry system
US6808041B2 (en) * 2000-02-11 2004-10-26 Delphi Technologies, Inc. Method and system for providing secondary vehicle directional control through braking
US6654909B1 (en) * 2000-06-30 2003-11-25 Intel Corporation Apparatus and method for protecting critical resources against soft errors in high performance microprocessors
IT1320553B1 (en) * 2000-07-25 2003-12-10 Magneti Marelli Spa VEHICLE CLUTCH CONTROL DEVICE.
JP2002135410A (en) * 2000-10-26 2002-05-10 Kddi Research & Development Laboratories Inc Access network system
EP1206120A1 (en) * 2000-11-10 2002-05-15 GRETAG IMAGING Trading AG Reducing artifacts in reproduced images
DE10059758A1 (en) * 2000-11-30 2002-06-20 Bosch Gmbh Robert Method of receiving data
ATE321723T1 (en) * 2001-09-03 2006-04-15 Inventio Ag SITUATION-DEPENDENT REACTION IN CASE OF A FAULT IN THE AREA OF A DOOR OF AN ELEVATOR SYSTEM
US7120901B2 (en) * 2001-10-26 2006-10-10 International Business Machines Corporation Method and system for tracing and displaying execution of nested functions
US7159217B2 (en) * 2001-12-20 2007-01-02 Cadence Design Systems, Inc. Mechanism for managing parallel execution of processes in a distributed computing environment
US6882918B2 (en) * 2001-12-27 2005-04-19 Caterpillar Inc Electric drive management system and method
EP1367488B1 (en) * 2002-05-31 2006-04-26 Sap Ag Method and computer system for network-job management
JP4143366B2 (en) * 2002-08-29 2008-09-03 東芝三菱電機産業システム株式会社 Plant control system
DE10302054B4 (en) * 2003-01-21 2018-10-25 Robert Bosch Gmbh Method for operating an internal combustion engine
US7245995B2 (en) * 2003-02-19 2007-07-17 Robert Bosch Gmbh Fault-tolerant vehicle stability control
DE10309815A1 (en) * 2003-03-05 2004-09-23 Francotyp-Postalia Ag & Co. Kg Method for data exchange between data processing units
US7117119B2 (en) * 2003-08-01 2006-10-03 Invensys Systems, Inc System and method for continuous online safety and reliability monitoring
US7933794B2 (en) * 2003-10-30 2011-04-26 International Business Machines Corporation Method and system for active monitoring of dependency models
US7584382B2 (en) * 2004-02-19 2009-09-01 Microsoft Corporation Method and system for troubleshooting a misconfiguration of a computer system based on configurations of other computer systems
US8311697B2 (en) * 2004-07-27 2012-11-13 Honeywell International Inc. Impact assessment system and method for determining emergent criticality
CN1266628C (en) * 2004-08-11 2006-07-26 北京四方继保自动化股份有限公司 Method for realizing multiple spare part of key application module in power automatic system
DE102005009707A1 (en) * 2005-03-03 2006-09-07 Dr. Johannes Heidenhain Gmbh Modular numerical control unit
US20060290200A1 (en) * 2005-06-24 2006-12-28 Davison Kent E Wheel-end mounted multipurpose acceleration sensing device
US8600605B2 (en) * 2006-01-30 2013-12-03 GM Global Technology Operations LLC Distributed diagnostics architecture

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
ATHANASOPOULOU E ET AL: "Decentralized Failure Diagnosis in Discrete Event Systems", AMERICAN CONTROL CONFERENCE, 2006 MINNEAPOLIS, MN, USA JUNE 14-16, 2006, PISCATAWAY, NJ, USA,IEEE, 14 June 2006 (2006-06-14), pages 5698 - 5703, XP010929949, ISBN: 978-1-4244-0209-0, DOI: 10.1109/ACC.2006.1657633 *
See also references of WO2008040641A2 *

Also Published As

Publication number Publication date
WO2008040641A2 (en) 2008-04-10
WO2008040641A3 (en) 2008-08-28
JP2010505165A (en) 2010-02-18
JP5319534B2 (en) 2013-10-16
CN101535960A (en) 2009-09-16
CN101535960B (en) 2014-12-03
DE102006046399A1 (en) 2008-04-03
US20100218047A1 (en) 2010-08-26

Similar Documents

Publication Publication Date Title
WO2008040641A2 (en) Method and device for error management
EP1600831B1 (en) Method and apparatus for monitoring several electronic control units using question-answer-communication
EP2534011B1 (en) Vehicle sensor nodes
DE19933086B4 (en) Method and device for mutual monitoring of control units
EP1597643B1 (en) Device and method for on-board diagnosis based on a model
WO1993009020A1 (en) Process and device for dealing with errors in electronic control devices
EP2099667B2 (en) Method for ensuring or maintaining the function of a complex complete safety-critical system
EP3661819B1 (en) Control system for a motor vehicle, motor vehicle, method for controlling a motor vehicle, computer program product, and computer-readable medium
DE102006017302B4 (en) Method and system for controlling a signal transmission of an electric pedal
DE19500188B4 (en) Circuit arrangement for a brake system
EP3745217B1 (en) Device for monitoring the data processing and data transmission in a safety system
EP0886823B1 (en) Method of checking the operability of a computing unit
DE102008009652A1 (en) Monitoring device and monitoring method for a sensor, and sensor
EP3470939B1 (en) Method and system for monitoring the security integrity of a security function provided by a security system
EP3470937B1 (en) Method and devices for monitoring the response time of a security function provided by a security system
DE69515118T2 (en) METHOD AND SYSTEM FOR DETERMINING THE CORRECT FUNCTIONING OF AN ABS CONTROL UNIT USING TWO PROGRAMMED MICROPROCESSORS
DE102008004206A1 (en) Error e.g. transient error, detecting and handling arrangement for control device in motor vehicle, has arithmetic units informing result of inherent error diagnosis to monitoring unit that controls arithmetic units in dependence of result
DE102012221277A1 (en) Device for controlling operation and movement of hybrid vehicle, has signal comparison modules comparing output signals of sensors with each other to determine whether abnormality of sensors or micro-processing units is present
EP1733284B1 (en) Control system for operating functions on interacting appliances
DE102012212680A1 (en) Method and system for fault-tolerant control of actuators for a limited time based on pre-calculated values
WO2005001692A2 (en) Method and device for monitoring a distributed system
DE102007046706A1 (en) Control device for vehicles
WO2007023106A2 (en) Method for diagnosing technical systems
DE102006020793A1 (en) Circuit arrangement and method for operating a circuit arrangement
DE19545645A1 (en) Control system operating method e.g for motor vehicles

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20090429

AK Designated contracting states

Kind code of ref document: A2

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LI LT LU LV MC MT NL PL PT RO SE SI SK TR

17Q First examination report despatched

Effective date: 20090827

DAX Request for extension of the european patent (deleted)
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20180404