EP3642716A1 - Vorrichtung und verfahren zur ansteuerung eines fahrzeugmoduls in abhängigkeit eines zustandssignals - Google Patents

Vorrichtung und verfahren zur ansteuerung eines fahrzeugmoduls in abhängigkeit eines zustandssignals

Info

Publication number
EP3642716A1
EP3642716A1 EP18726394.2A EP18726394A EP3642716A1 EP 3642716 A1 EP3642716 A1 EP 3642716A1 EP 18726394 A EP18726394 A EP 18726394A EP 3642716 A1 EP3642716 A1 EP 3642716A1
Authority
EP
European Patent Office
Prior art keywords
processor
power processor
core
sensor signals
power
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP18726394.2A
Other languages
English (en)
French (fr)
Inventor
B lent SARI
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZF Friedrichshafen AG
Original Assignee
ZF Friedrichshafen AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZF Friedrichshafen AG filed Critical ZF Friedrichshafen AG
Publication of EP3642716A1 publication Critical patent/EP3642716A1/de
Withdrawn legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1641—Error detection by comparing the output of redundant processing systems where the comparison is not performed by the redundant processing components
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/023—Avoiding failures by using redundant parts
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0751—Error or fault detection not based on redundancy
    • G06F11/0754—Error or fault detection not based on redundancy by exceeding limits
    • G06F11/0757—Error or fault detection not based on redundancy by exceeding limits by exceeding a time limit, i.e. time-out, e.g. watchdogs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2038—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant with a single idle spare processing component
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B60W2050/021—Means for detecting failure or malfunction
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B60—VEHICLES IN GENERAL
    • B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
    • B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
    • B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
    • B60W50/0205—Diagnosing or detecting failures; Failure detection models
    • B60W2050/0215—Sensor drifts or sensor failures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/165—Error detection by comparing the output of redundant processing systems with continued operation after detection of the error
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2023—Failover techniques
    • G06F11/2028—Failover techniques eliminating a faulty processor or activating a spare

Definitions

  • the invention relates to a device for driving a vehicle module according to claim 1, a device for driving a vehicle module according to claim 1 1 and a driver assistance method, in which an inventive device is used, according to claim 22.
  • a vehicle module is a component of a vehicle.
  • a steering wheel of a vehicle is a vehicle module.
  • Electrical / electronic systems abbreviated E / E systems, are also vehicle modules.
  • Vehicle modules are controlled and regulated by control units.
  • Control units also called electronic control units, abbreviated ECUs, are electronic components for controlling and regulating.
  • ECUs are used in several electronic areas to control and regulate vehicle functions.
  • ECUs that centrally control and govern several interrelated functions are called domain ECUs.
  • Vehicle areas that form a functional unit and in which related functions arise are called vehicle domains. Examples of vehicle domains are the infotainment system, the chassis, the drive, the interior or the safety.
  • Functions for the infotainment system include, for example, operating a radio, a CD player, establishing a telephone connection, connecting to a hands-free unit, etc. When the music CD is playing, for example, the music is stopped when a telephone connection is made.
  • a control module for a vehicle module switching off the control unit in the event of a fault is dangerous because there is at least one critical operating phase of the control unit in which its shutdown violates one or more safety goals as defined in the ISO 26262 standard.
  • fault tolerance measures must therefore be provided, which allow at least one emergency operation in case of error of the control unit.
  • systems, which enable an emergency operation in the event of an error are called fail operational systems.
  • a fail operational system is designed in such a way that if a faulty area is accepted within the critical operating phase, the necessary residual functionality can be maintained.
  • the invention has for its object to provide a device for driving a vehicle module and a driver assistance method, in which such a device is used to provide improved safety over the prior art, in particular a fail operational system for such a device.
  • This object is achieved by a device for driving a vehicle module having the features of claim 1 and by a device for driving a vehicle module having the features of claim 11 and by a driver assistance method having the features of claim 22.
  • the device according to the invention for controlling a vehicle module has a control interface, wherein the vehicle module is controllable via the control interface, at least one first power processor, which is designed to receive and evaluate sensor signals, at least one first monitoring device, which is thus connected to the first power processor, in that the first monitoring device, in response to a state signal of the first power processor, outputs a monitoring signal to a fallback processor core, the fallback processor core being connected to the first monitoring device such that the fallback processor core, in response to the status signal, drives the vehicle module via the control interface for at least one emergency operation.
  • An interface is a device between at least two functional units, at which an exchange of logical quantities, for example data, or physical see quantities, for example electrical signals, takes place, either only unidirectional or bidirectional.
  • the exchange can be analog or digital.
  • An interface may exist between software and software, hardware and hardware, and software and hardware, and hardware and software.
  • a processor is an electronic circuit that captures and processes commands. As a result of processing instructions, the processor can control and regulate other electrical circuits, thereby promoting a process.
  • a kernel is a part of a processor which forms a computing unit and which itself is capable of executing one or more instructions.
  • a monitoring device also known as a watchdog, is a component of a system that monitors the functions of other components, here the power processor. If a possible malfunction is detected, this is either signaled according to a security agreement or a suitable one
  • the term watchdog includes both hardware watchdogs and software watchdogs.
  • the hardware watchdog is an electronic component with communication to the component being controlled.
  • the software watchdog is a checking software in the component to be checked, which checks whether all important program modules are executed correctly within a given time frame or whether a module requires an unduly long time for processing.
  • the software watchdog can be monitored by a hardware watchdog.
  • software can be monitored with a counter that is set to a specific value by the software at regular intervals and is constantly decremented by the hardware. If the counter reaches the value zero, the software has not been able to increase the counter in time, that is, the software is in a faulty state.
  • a state signal of the first power processor contains information about the hardware and / or software state of the first power processor.
  • a hardware watchdog detects as a status signal whether the first power processor has reported to the hardware watchdog before the lapse of a predetermined time, similar to the deadman alarm principle. In a faultless state, the message is issued, in a faulty the message is omitted. This makes it possible to detect a faulty state of the first power processor.
  • a monitoring signal of the first monitoring device contains the information as to whether the component to be monitored is in a faultless or defective state. In the above example, the monitor signal is in a healthy state in that a message has been made and in a bad state in that no message has been made. For example, the monitoring signal has the value one when the message has occurred and the value zero when the message has not occurred.
  • Emergency operation is the operation of the vehicle module in a faulty state, which is initiated on the basis of the state signal.
  • emergency mode only the vehicle functions are maintained that are necessary to drive the vehicle to a safe state.
  • the fallback processor core controls the vehicle module only with the sensor signals necessary to drive the vehicle to a safe state. If, for example, a fault is detected while driving on the highway, only the vehicle functions are maintained and the vehicle module is driven only with the sensor signals that enable a safe placement and parking of the vehicle on a hard shoulder. So it is not a trip, but only a ride to reach a safe state possible.
  • the vehicle module is activated by the fallback processor core via the control interface.
  • the first power processor is deactivated by the monitoring device and at the same time the fallback processor core is activated.
  • the fallback processor core is capable of driving the device at least for emergency operation. This ensures that in case of failure of the first Power processor, the vehicle module can continue to operate for emergency operation.
  • the device has a first signal channel and a second signal channel redundant to the first signal channel for conducting the sensor signals into the device, wherein in the first signal channel the sensor signals to the first power processor and in the second signal channel, the sensor signals to the fallback processor can be conducted. If the first signal channel fails, this ensures that the sensor signals can be forwarded to the fallback processor core, which enables emergency operation of the device with these sensor signals.
  • the device has a monitoring processor core for monitoring the sensor signals, which is connected to the fallback processor core such that sensor signals output by the monitoring processor core can be input into the fallback processor core.
  • the monitor processor core in contrast to the monitor, is a stand-alone processor and provides an additional safety measure for activating the fallback processor core.
  • the monitor processor core monitors whether the sensor signals are in their respective scope.
  • the monitor processor core also detects shorts and ground contacts in circuits.
  • At least the first power processor is designed to receive and evaluate sensor signals from a plurality of sensors, wherein, in particular in the first power processor, the sensor signals of one sensor each can be picked up and evaluated independently of the sensor signals of another sensor.
  • This has the advantage that an error in the recording and / or evaluation of a sensor signal does not affect the recording and / or evaluation of a further sensor signal from another sensor and thus no dependent errors arise.
  • the fallback processor core and / or a monitoring processor core are cores of a security processor, wherein the control interface is located between the security processor and the vehicle module.
  • the security processor is thus a multi-core processor in which a plurality of cores are arranged on a single chip, that is, a semiconductor device. Multi-core processors achieve higher computational power and are more cost effective to implement in a chip compared to multiprocessor systems where each individual core is located in a processor socket and the individual processor sockets are arranged on a motherboard.
  • the security processor is also called multicore micro control unit, abbreviated multicore MCU.
  • At least one, in particular redundant, information interface is arranged between the first power processor and the security processor for forwarding the evaluated sensor signals from the first power processor to the security processor.
  • Redundancy is the additional presence of functionally identical or comparable resources of a technical system, if they are normally not required for trouble-free operation.
  • an information interface fails, an additional information interface is available.
  • the security processor is designed to control the evaluated sensor signals for plausibility to control the vehicle module with information found to be plausible.
  • Plausibility check is a method by which a value or general result is flash-checked to determine whether or not it can be plausible, ie acceptable, plausible and / or comprehensible. Plausibility checks can be executed both in hardware and in software. Naturally, plausibility checks in hardware are limited to the monitoring, for example, of signals that may only occur in certain combinations and sequences. For example, measured values can be checked for their plausible value range and their time course. In software engineering, the plausibility of a tag indicates whether it belongs to a specific data type or lies within a specified range of values or a given set of values. The plausibility check is an additional measure would take, with the more advantageous can be determined whether the evaluated by the first power processor sensor signals are plausible to each other.
  • the security processor in particular in each case the fallback processor core and the monitoring processor core, preferably has a second monitoring device.
  • the second monitoring device it is thus advantageously possible to monitor not only the first power processor but also the security processor, in particular the fallback processor core and the monitoring processor core, with respect to hardware and / or software.
  • the power processor and / or the security processor in particular in each case the fallback processor core and the monitoring processor core, preferably has a redundant power supply. This has the advantage that in the event of a power failure, a redundant power supply is available in order to avoid voltage-induced failure of the power processor and / or the security processor.
  • a control device has a device according to the invention.
  • a domain ECU comprises a device according to the invention.
  • an ADAS domain ECU has a device according to the invention.
  • An ADAS domain ECU is a domain ECU for a driver assistance system, also known as an advanced driver assistance system, abbreviated ADAS.
  • the invention provides in particular a security architecture in the form of a fail operational system for ADAS domain ECUs.
  • the security processor controls the vehicle module with the sensor signals evaluated in the second power processor. In a faulty state of the second power processor, the security processor controls the vehicle module with the sensor signals evaluated in the first power processor.
  • the security processor controls the vehicle module with the sensor signals evaluated in the first power processor.
  • Such a device has the advantage that, in the event of a faulty state of the first power processor, all sensor signals evaluated by the second power processor are used to drive the vehicle module and vice versa. This not only an emergency operation of the vehicle module is possible in a faulty state of the first power processor, but a normal operation.
  • the second power processor is redundant to the first power processor. Each additional redundant power processor adds security.
  • the first power processor preferably receives the sensor signals via a first signal channel and the second power processor receives the sensor signals via a second signal channel.
  • one, in particular one, information interface to the security processor arranged for forwarding the evaluated in the first power processor and the second power processor information to the security processor.
  • the security processor comprises at least a first core, a second core and a third core, wherein the first core is connected to the first power processor such that the first core executes the sensor signals evaluated by the first power processor, the second core with connected to the second power processor is that the second core the sensor signals evaluated by the second power processor, and wherein the third core is configured to perform a comparison of a result of execution of the sensor signals executed on the first core with a result of execution of the sensor signals executed on the second core, depending on a result of the comparison the vehicle module is controllable.
  • the third core of the security processor can detect a faulty state of a power processor and to control the vehicle module with the evaluated by the power processor sensor signals, which is in a healthy state.
  • the device in particular in each case the first power processor, the second power processor and the security processor, a redundant power supply.
  • each of the first core, the second core and the third core of the security processor has a redundant power supply.
  • a preferred embodiment of the invention is a control device with the further device according to the invention.
  • a domain ECU has the further device according to the invention.
  • an ADAS domain ECU has the device according to the invention.
  • An ADAS domain ECU is a domain ECU for a driver assistance system, also known as an advanced driver assistance system, abbreviated ADAS.
  • the invention provides in particular a security architecture in the form of a fail operational system for ADAS domain ECUs.
  • the first power processor and / or the second power processor to an artificial intelligence
  • the artificial intelligence is adapted to evaluate the recorded from the first power processor and / or the second power processor sensor signals in information for driving the vehicle module.
  • Artificial intelligence means recreating a human-like intelligence, that is, trying to build or program a computer that can handle problems on its own. Artificial intelligence can be realized in particular with artificial neural networks.
  • An artificial neural network is an algorithm that is executed on an electronic circuit and programmed on the model of the neural network of the human brain.
  • Functional units of an artificial neural network are artificial neurons whose output is generally evaluated as the value of an activation function over a weighted sum of the inputs plus a systematic error, the so-called bias.
  • artificial neural networks By testing multiple predetermined inputs with different weighting factors and activation functions, artificial neural networks, similar to the human brain, are trained or trained.
  • the training of artificial intelligence by means of predetermined inputs is called machine learning.
  • a subset of machine learning is deep learning, which uses a series of hierarchical layers of neurons called hidden layers to perform the machine learning process.
  • the first power processor and / or the second power processor is adapted to receive sensor signals from surroundings detection sensors, in particular from a camera, a radar and / or a lidar. This makes it possible to control the vehicle module on the basis of the signals detected by the surroundings detection sensors, which is necessary in particular for autonomous driving.
  • the first power processor and / or the second power processor has a control device, wherein the control device is designed to control the environment detected by the surroundings detection sensors.
  • the environment detection sensors can operate as E / E systems compliant with ISO 26262 and thus safely, it could happen that the environment is misunderstood by the environment detection sensors, which poses another security risk. Such a security risk based on a misinterpretation of the environment can not be mapped with ISO 26262.
  • the control device it is advantageously possible to also check whether the surroundings detection sensors have correctly understood the surroundings. This guarantees a so-called safety of the intended functions, abbreviated to SOTIF.
  • the environment detection sensors detect the environment and thus generate a lot of data.
  • the vehicle module is preferably a vehicle domain, in particular infotainment, chassis, drive, interior and / or safety.
  • the vehicle module can be actuated via actuators, in particular mechatronic actuators.
  • the vehicle module can be controlled acoustically and / or visually.
  • the vehicle module can also be haptically controlled, e.g. in a lane departure warning system by vibration of the steering wheel.
  • driver assistance system In the context of the invention is also a driver assistance system that has one of the devices according to the invention.
  • the driver assistance method according to the invention in which one of the devices according to the invention is used, has the following steps:
  • the driver assistance method according to the invention thus makes it possible to continue operating the vehicle module at least for emergency operation in the event of a detected fault.
  • the vehicle module is driven by a second power processor. This allows normal operation of the vehicle module in case of failure of the first power processor.
  • the first power processor and / or the second power processor has a control device, wherein the control device controls the environment detected by the surroundings detection sensors.
  • FIG. 1 shows an embodiment of a device according to the invention for driving a vehicle module
  • FIG. 2 shows an embodiment of another device according to the invention for controlling a vehicle module
  • Fig. 3 shows another embodiment of a device according to the invention for controlling a vehicle module
  • FIG. 4 shows an exemplary embodiment of a driver assistance method according to the invention.
  • like reference numerals designate like parts having the same function. For the sake of clarity, only the respective relevant reference parts are numbered in the individual figures.
  • the device 1 of FIG. 1 for driving a vehicle module 2 has a first power processor 10 and a fallback processor core 21.
  • Sensor signals 31 are conducted in a first signal channel 4 of the device 1 into the first power processor 10 and in a second signal channel 5 to the fallback processor core 21.
  • the sensor signals 31 may be signals from surrounding detection sensors, such as a camera, a radar or a lidar.
  • the state of the first power processor 10 is detected by a first monitoring device 1 1 by means of a state signal of the first power processor.
  • the first monitor 1 1 checks whether the first power processor is functioning properly with respect to hardware, or whether the software for evaluating the sensed sensor signals 31 is operating correctly and outputs a corresponding monitor signal. Based on the monitoring signal, a faulty state of the first power processor can be detected.
  • the first monitoring device 1 1 detects a faulty state of the first power processor, the first monitoring device 1 1 can activate the fallback processor core 21, which makes it possible to control the vehicle module 2 for emergency operation via the control interface 3.
  • the sensor signals 31 are evaluated by the first power processor 10 in information 40.
  • the vehicle module 2 is driven with the information 40.
  • Activation with information 40 also means that with a plurality of information 40, a fusion of the information 40 takes place and the vehicle module 2 is actuated with the information 40 or information 40 resulting from the merger.
  • the first power processor 10 has a control device 13, a data recording device 14 and an evaluation device. 15.
  • the control device 13 checks whether the sensor signals 31 correctly reproduce an environment.
  • the sensor signals 31, which correctly reproduce an environment, are collected in the data recording device 14 and subsequently evaluated in the evaluation device 15.
  • the evaluation device 15 has an artificial intelligence which, for example, from traffic-related objects such as camera images, e.g. Pedestrians, other vehicles or traffic signs.
  • the thus evaluated information 40 are passed to a control interface 3, which generates corresponding commands for driving the vehicle module 2.
  • FIG. 1 additionally shows a monitoring processor core 22 to the input of which the sensor signals 31 are conducted. Sensor signals 31 monitored by the monitor processor core 22 then form the input of the fallback processor core 21.
  • FIG. 2 shows a device 8, which has a second power processor 12 in addition to a first power processor 10.
  • the sensor signals 31 are redundantly applied to the first power processor 10 and the second power processor 12.
  • the first power processor 10 and the second power processor 12 are each monitored by a monitoring device 11.
  • the device 8 also has a security processor 20.
  • the security processor 20 receives, via the information interface 6, the information 40 evaluated by the first power processor and the second power processor.
  • the security processor has a first core 23 that processes the evaluated information 40 of the first performance processor 10.
  • the security processor 20 has a second core 24 which processes the evaluated information of the second power processor.
  • the result of processing the evaluated information 40 in the first core 23 and the second core 24 of the security processor are forwarded to a third core 25 of the security processor and compared in the third core 25 against each other. In a comparison, the third core 25 recognizes whether the first power processor 10 and the second power processor 12 are each in a healthy state or one of the power processors 10, 12 is in a failed state.
  • the third core 25 of the security processor 10 uses only the information 40 evaluated by the second power processor 12 to drive the vehicle module 2. The same applies to a faulty state of the second power processor 12.
  • the security processor 20 also has a second monitoring device 26.
  • first power processor 10 and the second power processor 12 are connected to a redundant power supply 7.
  • FIG. 3 shows that the fallback processor core 21 and the monitor processor core 22 of the device 1 may also be cores of a security processor 20.
  • a vehicle module can be activated for an emergency operation.
  • sensor signals 31 are recorded and evaluated. With the evaluated sensor signals 31, the vehicle module 2 is actuated via the control interface 3.
  • the process of recording and evaluation is monitored by the monitoring device 1 1.
  • the power processor 10 sends a signal having a predetermined value and / or a predetermined time profile to the monitoring device 1 1 at regular time intervals.
  • This signal is the status signal of the power processor 10.
  • the status signal may deviate from the predetermined value and / or the predetermined time profile, or the power processor 10 does not send a status signal to the monitoring device 11.
  • the monitoring device 11 In response to this condition signal, the monitoring device 11 outputs a monitoring signal.
  • the monitoring signal For example, if the monitoring device H receives a status signal with the predetermined value, the monitoring signal may be the number one, which then indicates a healthy state of the power processor 10. If the monitoring device 11 does not receive a status signal within a predetermined time interval, the monitoring signal may be the number zero, which then identifies a faulty state of the power processor.
  • the vehicle module 2 is controlled by the sensor signals 31 evaluated in the power processor 10. If a faulty state of the power processor 10 has been detected by the monitoring device 1 1, that is, for example, the monitoring signal is zero, then the vehicle module 2 is driven by the fallback processor 21.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Automation & Control Theory (AREA)
  • Quality & Reliability (AREA)
  • Human Computer Interaction (AREA)
  • Transportation (AREA)
  • Mechanical Engineering (AREA)
  • Biophysics (AREA)
  • Molecular Biology (AREA)
  • Artificial Intelligence (AREA)
  • Biomedical Technology (AREA)
  • Health & Medical Sciences (AREA)
  • Computational Linguistics (AREA)
  • Data Mining & Analysis (AREA)
  • Evolutionary Computation (AREA)
  • General Health & Medical Sciences (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Safety Devices In Control Systems (AREA)
  • Control Of Driving Devices And Active Controlling Of Vehicle (AREA)
  • Hardware Redundancy (AREA)
  • Debugging And Monitoring (AREA)
  • Traffic Control Systems (AREA)

Abstract

Die Erfindung stellt eine Vorrichtung zum Ansteuern eines Fahrzeugmoduls in Abhängigkeit von einem Zustandssignal eines Leistungsprozessors, der Sensorsignale aufnimmt und auswertet, bereit. In Abhängigkeit des Zustandssignals des Leistungsprozessor wird das Fahrzeugmodul entweder mit dem Leistungsprozessor oder mit einem Rückfallprozessor angesteuert. Der Rückfallprozessor ermöglicht einen Notbetrieb des Fahrzeugmoduls. Außerdem wird eine Vorrichtung zum Ansteuern eines Fahrzeugmoduls mit einem Sicherheitsprozessor bereitgestellt, über den das Fahrzeugmodul in Abhängigkeit von einem Zustand eines ersten und eines zweiten Leistungsprozessors entweder mit den von dem ersten oder dem zweiten Leistungsprozessor ausgewerteten Sensorsignalen angesteuert wird. Ferner wird ein Fahrerassistenzverfahren bereitgestellt, bei dem eine der erfindungsgemäßen Vorrichtungen verwendet wird.

Description

Vorrichtung und Verfahren zur Ansteuerung eines Fahrzeugmoduls in Abhängigkeit eines Zustandssignals
Die Erfindung betrifft eine Vorrichtung zur Ansteuerung eines Fahrzeugmoduls nach Anspruch 1 , eine Vorrichtung zur Ansteuerung eines Fahrzeugmoduls nach Anspruch 1 1 und ein Fahrerassistenzverfahren, bei dem eine erfindungsgemäßes Vorrichtung verwendet wird, nach Anspruch 22.
Ein Fahrzeugmodul ist ein Bauteil eines Fahrzeuges. Zum Beispiel ist ein Lenkrad eines Fahrzeuges ein Fahrzeugmodul. Elektrische/elektronische Systeme, abgekürzt E/E Systeme, sind ebenfalls Fahrzeugmodule. Auch Funktionseinheiten, die aus mehreren Bauteilen bestehen können, bilden ein Fahrzeugmodul. Fahrzeugmodule werden mit Steuergeräten gesteuert und geregelt.
Steuergeräte, auch electronic control units, abgekürzt ECUs, genannt, sind elektronische Bauteile zum Steuern und Regeln. Im Automotive Bereich werden ECUs in mehreren elektronischen Bereichen eingesetzt zum Steuern und Regeln von Fahrzeugfunktionen. ECUs, die zentral mehrere, miteinander in Beziehung stehende Funktionen steuern und regeln, heißen domain ECUs. Fahrzeugbereiche, die eine Funktionseinheit bilden und in denen miteinander in Beziehung stehende Funktionen anfallen, heißen Fahrzeugdomänen. Beispiele für Fahrzeugdomänen sind das Info- tainmentsystem, das Fahrwerk, der Antrieb, das Interieur oder die Sicherheit. Funktionen für das Infotainmentsystem sind zum Beispiel das Betreiben eines Radios, eines CD Spielers, das Herstellen einer Telefonverbindung, einer Verbindung zu einer Freisprechanlage, usw. Bei laufender Musik-CD wird beispielsweise die Musik angehalten, wenn eine Telefonverbindung hergestellt wird.
Bei einem Steuergerät für ein Fahrzeugmodul ist das Abschalten des Steuergeräts in einem Fehlerfall gefährlich, weil es zumindest eine kritische Betriebsphase des Steuergeräts gibt, in der durch sein Abschalten ein oder mehrere Sicherheitsziele, wie sie in der Norm ISO 26262 definiert sind, verletzt werden. Schon aus funktionellen Sicherheitsgründen müssen daher Fehlertoleranzmaßnahmen vorgesehen werden, die im Fehlerfall des Steuergeräts zumindest einen Notbetrieb ermöglichen. Systeme, die in einem Fehlerfall einen Notbetrieb ermöglichen, werden fail operational Systems bezeichnet. Ein fail operational System ist so ausgelegt, dass bei einer Annahme eines fehlerhaften Bereichs innerhalb der kritischen Betriebsphase der notwendige restliche Funktionsumfang aufrechterhalten kann.
Der Erfindung hat die Aufgabe zugrunde gelegen, eine Vorrichtung zum Ansteuern eines Fahrzeugmoduls und ein Fahrerassistenzverfahren, bei dem eine derartige Vorrichtung verwendet wird, bereitzustellen mit gegenüber dem Stand der Technik verbesserter Sicherheit, insbesondere ein fail operational System für eine derartige Vorrichtung.
Diese Aufgabe wird gelöst durch eine Vorrichtung zur Ansteuerung eines Fahrzeugmoduls mit den Merkmalen des Anspruchs 1 und durch eine Vorrichtung zur Ansteuerung eines Fahrzeugmoduls mit den Merkmalen des Anspruchs 1 1 und durch ein Fahrerassistenzverfahren mit den Merkmalen des Anspruchs 22.
Vorteilhafte Ausgestaltungen und Weiterbildungen sind in den Unteransprüchen angegeben.
Die erfindungsgemäße Vorrichtung zur Ansteuerung eines Fahrzeugmoduls weist eine Steuerungsschnittstelle auf, wobei über die Steuerungsschnittstelle das Fahrzeugmodul ansteuerbar ist, wenigstens einen ersten Leistungsprozessor, der derart ausgebildet ist, Sensorsignale aufzunehmen und auszuwerten, wenigstens eine erste Überwachungseinrichtung, die derart mit dem ersten Leistungsprozessors verbunden ist, dass die erste Überwachungseinrichtung in Abhängigkeit von einem Zustands- signal des ersten Leistungsprozessors ein Überwachungssignal ausgibt einen Rückfallprozessorkern, wobei der Rückfallprozessorkern mit der ersten Überwachungseinrichtung derart verbunden ist, dass der Rückfallprozessorkern in Abhängigkeit vom Zustandssignal das Fahrzeugmodul über die Steuerungsschnittstelle wenigstens für einen Notbetrieb ansteuert.
Eine Schnittstelle ist eine Einrichtung zwischen wenigstens zwei Funktionseinheiten, an der ein Austausch von logischen Größen, zum Beispiel Daten, oder physikali- sehen Größen, zum Beispiel elektrischen Signalen, erfolgt, entweder nur unidirektio- nal oder bidirektional. Der Austausch kann analog oder digital erfolgen. Eine Schnittstelle kann zwischen Software und Software, Hardware und Hardware sowie Software und Hardware und Hardware und Software bestehen.
Ein Prozessor ist eine elektronische Schaltung, die Befehle erfasst und verarbeitet. Mit dem Ergebnis der Verarbeitung von Befehlen kann der Prozessor andere elektrische Schaltungen steuern und regeln und dabei einen Prozess vorantreiben.
Als Kern wird ein Teil eines Prozessors bezeichnet, der eine Recheneinheit bildet und der selbst in der Lage ist, eine oder mehrere Befehle auszuführen.
Eine Überwachungseinrichtung, auch als Watchdog bekannt, ist eine Komponente eines Systems, die die Funktionen anderer Komponenten, hier dem Leistungsprozessor, überwacht. Wird dabei eine mögliche Fehlfunktion erkannt, so wird dies entweder gemäß einer Sicherheitsvereinbarung signalisiert oder eine geeignete
Sprunganweisung eingeleitet, die das anstehende Problem bereinigt. Der Begriff Watchdog umfasst sowohl Hardware Watchdogs als auch Software Watchdogs. Der Hardware Watchdog ist eine elektronische Komponente mit Kommunikation zu dem Bauteil, das kontrolliert wird. Der Software Watchdog ist eine prüfende Software in dem zu kontrollierenden Bauteil, die kontrolliert, ob alle wichtigen Programmmodule in einem vorgegebenen Zeitrahmen korrekt ausgeführt werden oder ob ein Modul unzulässig lange für die Bearbeitung benötigt. Der Software Watchdog kann von einem Hardware Watchdog überwacht werden. Alternativ zum Software Watchdog kann eine Software mit einem Zähler überwacht werden, der in regelmäßigen Zeiten von der Software auf einen bestimmten Wert gesetzt wird und von der Hardware ständig dekrementiert wird. Erreicht der Zähler den Wert null, hat es die Software nicht rechtzeitig geschafft, den Zähler zu erhöhen, das heißt, die Software befindet sich in einem fehlerhaften Zustand. Watchdogs können insbesondere in sicherheitsrelevante Anwendungen implementiert werden und erlauben eine Überwachung von E/E Systemen auf Konformität mit IS026262. Ein Zustandssignal des ersten Leistungsprozessors enthält Informationen über den Hardware und/oder Software Zustand des ersten Leistungsprozessors. Zum Beispiel erfasst ein Hardware Watchdog als Zustandssignal, ob sich der erste Leistungsprozessor vor Ablauf einer vorgegebenen Zeit beim Hardware Watchdog gemeldet hat, ähnlich zu dem Prinzip eines Totmannmelders. In einem fehlerfreien Zustand erfolgt die Meldung, in einem fehlerhaften unterbleibt die Meldung. Damit ist es möglich, einen fehlerhaften Zustand des ersten Leistungsprozessors festzustellen. Ein Überwachungssignal der ersten Überwachungseinrichtung enthält die Information, ob sich das zu überwachende Bauteil in einem fehlerfreien oder fehlerhaften Zustand befindet. Im obigen Beispiel besteht das Überwachungssignal in einem fehlerfreien Zustand darin, dass eine Meldung erfolgt ist, und in einem fehlerhaften Zustand darin, dass keine Meldung erfolgt ist. Zum Beispiel hat das Überwachungssignal den Wert eins bei erfolgter Meldung und den Wert null bei nicht erfolgter Meldung.
Notbetrieb ist der Betrieb des Fahrzeugmoduls in einem fehlerhaften Zustand, der anhand des Zustandssignals eingeleitet wird. Im Notbetrieb werden nur die Fahrzeugfunktionen aufrechterhalten, die notwendig sind, das Fahrzeug in einen sicheren Zustand zu fahren. Insbesondere steuert der Rückfallprozessorkern das Fahrzeugmodul nur mit den Sensorsignalen an, die notwendig sind, das Fahrzeug in einen sicheren Zustand zu fahren. Wird zum Beispiel während der Fahrt auf der Autobahn ein Fehlerfall erkannt, werden nur die Fahrzeugfunktionen aufrechterhalten und das Fahrzeugmodul nur mit den Sensorsignalen angesteuert, die ein sicheres Einordnen und Abstellen des Fahrzeuges auf einen Standstreifen ermöglichen. Es ist also keine Dauerfahrt, sondern nur eine Fahrt bis zum Erreichen eines sicheren Zustandes möglich.
Erkennt die Überwachungseinrichtung einen fehlerhaften Zustand des ersten Leistungsprozessors, das heißt hat das Überwachungssignal beispielsweise den Wert null, wird das Fahrzeugmodul über die Steuerungsschnittstelle von dem Rückfallprozessorkern angesteuert. Vorzugsweise wird der erste Leistungsprozessor von der Überwachungseinrichtung deaktiviert und gleichzeitig der Rückfallprozessorkern aktiviert. Der Rückfallprozessorkern ist in der Lage, die Vorrichtung wenigstens für einen Notbetrieb anzusteuern. Damit ist sichergestellt, dass bei einem Ausfall des ersten Leistungsprozessors das Fahrzeugmodul für einen Notbetrieb weiterbetrieben werden kann.
Vorteilhafterweise weist die Vorrichtung einen ersten Signalkanal und einen zu dem ersten Signalkanal redundanten zweiten Signalkanal auf, zum Leiten der Sensorsignale in die Vorrichtung, wobei in dem ersten Signalkanal die Sensorsignale zu dem ersten Leistungsprozessor und in dem zweiten Signalkanal die Sensorsignale zu dem Rückfallprozessor leitbar sind. Fällt der erste Signalkanal aus, ist damit sichergestellt, dass die Sensorsignale zu dem Rückfallprozessorkern weiterleitbar sind, der mit diesen Sensorsignalen einen Notbetrieb der Vorrichtung ermöglicht.
Gemäß einer Weiterbildung der Erfindung weist die Vorrichtung einen Überwachungsprozessorkern zur Überwachung der Sensorsignale auf, der derart mit dem Rückfallprozessorkern verbunden ist, dass von dem Überwachungsprozessorkern ausgegebene Sensorsignale in den Rückfallprozessorkern eingebbar sind. Der Überwachungsprozessorkern ist im Gegensatz zu der Überwachungseinrichtung eine selbstständige Recheneinheit und stellt eine zusätzliche Sicherheitsmaßnahme für das Aktivieren des Rückfallprozessorkerns dar. Insbesondere überwacht der Überwachungsprozessorkern, ob die Sensorsignale sich in Ihrem jeweiligen Gültigkeitsbereich befinden. Der Überwachungsprozessorkern erkennt ferner Kurzschlüsse und Massekontakte in Schaltkreisen.
Bevorzugt ist wenigstens der erste Leistungsprozessor ausgebildet, Sensorsignale von mehreren Sensoren aufzunehmen und auszuwerten, wobei insbesondere in dem ersten Leistungsprozessor die Sensorsignale jeweils eines Sensors unabhängig von den Sensorsignalen eines anderen Sensors aufnehmbar und auswertbar sind. Dies hat den Vorteil, dass ein Fehler bei der Aufnahme und/oder Auswertung eines Sensorsignals die Aufnahme und/oder Auswertung eines weiteren Sensorsignals von einem weiteren Sensor nicht beeinflusst und damit keine abhängigen Fehler entstehen.
Gemäß einer weiteren Ausgestaltung der Erfindung sind der Rückfallprozessorkern und/oder ein Überwachungsprozessorkern Kerne eines Sicherheitsprozessors, wobei die Steuerungsschnittstelle zwischen dem Sicherheitsprozessor und dem Fahrzeugmodul angeordnet ist. Der Sicherheitsprozessor ist damit ein Mehrkernprozessor, bei dem mehrere Kerne auf einem einzigen Chip, das heißt einem Halbleiterbauelement, angeordnet sind. Mehrkernprozessoren erreichen eine höhere Rechenleistung und sind kostengünstiger in einem Chip zu implementieren im Vergleich zu Mehrprozessorsystemen, bei denen jeder einzelne Kern in einem Prozessorsockel angeordnet ist und die einzelnen Prozessorsockel auf einer Hauptplatine angeordnet sind. Der Sicherheitsprozessor wird auch multicore micro control unit, abgekürzt multicore MCU, genannt.
Vorteilhafterweise ist wenigstens eine, insbesondere redundante, Informationsschnittstelle zwischen dem ersten Leistungsprozessor und dem Sicherheitsprozessor angeordnet zum Weiterleiten der ausgewerteten Sensorsignale von dem ersten Leistungsprozessor an den Sicherheitsprozessor. Redundanz ist das zusätzliche Vorhandensein funktional gleicher oder vergleichbarer Ressourcen eines technischen Systems, wenn diese bei einem störungsfreien Betrieb im Normalfall nicht benötigt werden. Damit steht für den Fall, dass eine Informationsschnittstelle ausfällt, eine zusätzliche Informationsschnittstelle zur Verfügung.
Vorzugsweise ist der Sicherheitsprozessor ausgebildet ist, die ausgewerteten Sensorsignale auf Plausibilität zu kontrollieren zum Ansteuern des Fahrzeugmoduls mit als plausibel festgestellten Informationen. Plausibilitatskontrolle ist eine Methode, mit der ein Wert oder allgemein ein Ergebnis überschlagsmäßig darauf hin überprüft wird, ob es überhaupt plausibel, d.h. annehmbar, einleuchtend und/oder nachvollziehbar sein kann oder nicht. Plausibilitätskontrollen sind sowohl in Hardware wie in Software ausführbar. Plausibilitätskontrollen in Hardware beschränken sich naturgemäß auf die Überwachung beispielsweise von Signalen, die nur in bestimmten Kombinationen und Reihenfolgen auftreten dürfen. Zum Beispiel können Messwerte auf ihren plausiblen Wertebereich und ihren zeitlichen Verlauf geprüft werden. In der Softwaretechnik bezeichnet die Plausibilisierung einer Variablen, ob sie zu einem bestimmten Datentyp gehört oder in einem vorgegebenen Wertebereich oder einer vorgegebenen Wertemenge liegt. Die Plausibilitätskontrolle ist eine zusätzliche Maß- nähme, mit der vorteilhafter festgestellt werden kann, ob die von dem ersten Leistungsprozessor ausgewerteten Sensorsignale zueinander plausibel sind.
Vorzugsweise weist der Sicherheitsprozessor, insbesondere jeweils der Rückfallprozessorkern und der Überwachungsprozessorkern, eine zweite Überwachungseinrichtung auf. Mit der zweiten Überwachungseinrichtung ist es damit vorteilhafterweise möglich, neben dem ersten Leistungsprozessor auch den Sicherheitsprozessor, insbesondere den Rückfallprozessorkern und den Überwachungsprozessorkern, in Bezug auf Hardware und/oder Software zu überwachen.
Bevorzugt weist der Leistungsprozessor und/oder der Sicherheitsprozessor, insbesondere jeweils der Rückfallprozessorkern und der Überwachungsprozessorkern, eine redundante Spannungsversorgung auf. Dies hat den Vorteil, dass bei einem Ausfall einer Spannungsversorgung eine redundante Spannungsversorgung bereitsteht, um einen spannungsbedingten Ausfall des Leistungsprozessors und/oder des Sicherheitsprozessors zu vermeiden.
In einer besonders bevorzugten Ausgestaltung der Erfindung weist ein Steuergerät eine erfindungsgemäße Vorrichtung auf. Vorzugsweise weist eine domain ECU eine erfindungsgemäße Vorrichtung auf. Insbesondere weist eine ADAS-Domain-ECU eine erfindungsgemäße Vorrichtung auf. Eine ADAS-Domain-ECU ist eine domain- ECU für ein Fahrerassistenzsystem, auch advanced driver assistance System, abgekürzt ADAS, genannt. Damit stellt die Erfindung insbesondere eine Sicherheitsarchitektur in Form eines fail operational Systems für ADAS-Domain-ECUs bereit.
Die weitere erfindungsgemäße Vorrichtung zur Ansteuerung eines Fahrzeugmoduls weist eine Steuerungsschnittstelle auf, wobei über die Steuerungsschnittstelle das Fahrzeugmodul ansteuerbar ist, einen ersten Leistungsprozessor, der derart ausgebildet ist, Sensorsignale aufzunehmen und auszuwerten, wenigstens einen zweiten Leistungsprozessor, der derart ausgebildet ist, Sensorsignale aufzunehmen und auszuwerten, und einen Sicherheitsprozessor, der derart mit dem ersten Leistungsprozessor und dem zweiten Leistungsprozessor verbunden ist, dass der Sicherheitsprozessor in Abhängigkeit von einem Ergebnis der mit dem ersten Leistungsprozes- sor ausgewerteten Sensorsignalen und von einem Ergebnis der mit dem zweiten Leistungsprozessor ausgewerteten Sensorsignalen das Fahrzeugmodul ansteuert. Der Sicherheitsprozessor stellt anhand der Ergebnisse der ausgewerteten Sensorsignale fest, ob der erste und der zweite Leistungsprozessor die Sensorsignale jeweils fehlerfrei ausgewertet haben oder ob sich ein Leistungsprozessor in einem fehlerhaften Zustand befindet. In einem fehlerhaften Zustand des ersten Leistungsprozessors steuert der Sicherheitsprozessor das Fahrzeugmodul mit den in dem zweiten Leistungsprozessor ausgewerteten Sensorsignalen an. In einem fehlerhaften Zustand des zweiten Leistungsprozessors steuert der Sicherheitsprozessor das Fahrzeugmodul mit den in dem ersten Leistungsprozessor ausgewerteten Sensorsignalen an. Eine derartige Vorrichtung hat den Vorteil, dass bei einem fehlerhaften Zustand des ersten Leistungsprozessors alle von dem zweiten Leistungsprozessor ausgewerteten Sensorsignale zum Ansteuern des Fahrzeugmoduls verwendet werden und umgekehrt. Damit ist bei einem fehlerhaften Zustand des ersten Leistungsprozessors nicht nur ein Notbetrieb des Fahrzeugmoduls möglich, sondern ein Normalbetrieb. Der zweite Leistungsprozessor ist redundant zu dem ersten Leistungsprozessor. Jeder weitere redundante Leistungsprozessor erhöht die Sicherheit zusätzlich.
Bevorzugt nimmt der erste Leistungsprozessor die Sensorsignale über einen ersten Signalkanal und der zweite Leistungsprozessor die Sensorsignale über einen zweiten Signalkanal auf.
Vorzugsweise ist zwischen dem ersten Leistungsprozessor und dem zweiten Leistungsprozessor eine, insbesondere jeweils eine, Informationsschnittstelle zu dem Sicherheitsprozessor angeordnet zum Weiterleiten der in dem ersten Leistungsprozessor und dem zweiten Leistungsprozessor ausgewerteten Informationen an den Sicherheitsprozessor.
Besonders bevorzugt weist der Sicherheitsprozessor wenigstens einen ersten Kern, einen zweiten Kern und einen dritten Kern auf, wobei der erste Kern derart mit dem ersten Leistungsprozessor verbunden ist, dass der erste Kern die von dem ersten Leistungsprozessor ausgewerteten Sensorsignale ausführt, wobei der zweite Kern derart mit dem zweiten Leistungsprozessor verbunden ist, dass der zweite Kern die von dem zweiten Leistungsprozessor ausgewerteten Sensorsignale ausführt, und wobei der dritte Kern ausgebildet ist, einen Vergleich eines Ergebnisses einer Ausführung der auf dem ersten Kern ausgeführten Sensorsignale mit einem Ergebnis einer Ausführung der auf dem zweiten Kern ausgeführten Sensorsignale auszuführen, wobei in Abhängigkeit eines Ergebnisses des Vergleichs das Fahrzeugmodul ansteuerbar ist. Durch den Vergleich ist ein fehlerhafter Zustand des ersten Leistungsprozessors und/oder des zweiten Leistungsprozessors feststellbar. Damit ist es mit dem dritten Kern des Sicherheitsprozessors möglich, einen fehlerhaften Zustand eines Leistungsprozessors zu erkennen und das Fahrzeugmodul mit den von dem Leistungsprozessor ausgewerteten Sensorsignalen anzusteuern, der sich in einem fehlerfreien Zustand befindet.
Vorzugsweise weist die Vorrichtung, insbesondere jeweils der erste Leistungsprozessor, der zweite Leistungsprozessor und der Sicherheitsprozessor, eine redundante Spannungsversorgung auf.
Gemäß einer Weiterbildung der Erfindung weist jeweils der erste Kern, der zweite Kern und der dritte Kern des Sicherheitsprozessors eine redundante Spannungsversorgung auf.
Eine bevorzugte Ausgestaltung der Erfindung ist ein Steuergerät mit der weiteren erfindungsgemäßen Vorrichtung. Vorzugsweise weist eine domain ECU die weitere erfindungsgemäße Vorrichtung auf. Insbesondere weist eine ADAS-Domain-ECU die witere erfindungsgemäße Vorrichtung auf. Eine ADAS-Domain-ECU ist eine domain- ECU für ein Fahrerassistenzsystem, auch advanced driver assistance System, abgekürzt ADAS, genannt. Damit stellt die Erfindung insbesondere eine Sicherheitsarchitektur in Form eines fail operational Systems für ADAS-Domain-ECUs bereit.
In einer besonders bevorzugten Ausgestaltung der Erfindung weist der erste Leistungsprozessor und/oder der zweite Leistungsprozessor eine künstliche Intelligenz auf, wobei die künstliche Intelligenz ausgebildet ist, die von dem ersten Leistungsprozessor und/oder dem zweiten Leistungsprozessor aufgenommenen Sensorsignale in Informationen zum Ansteuern des Fahrzeugmoduls auszuwerten. Künstliche Intelligenz bedeutet, dass eine menschenähnliche Intelligenz nachgebildet wird, d.h. es wird versucht, einen Computer zu bauen oder zu programmieren, der eigenständig Probleme bearbeiten kann. Künstliche Intelligenz kann insbesondere mit künstlichen neuronale Netzwerken realisiert werden. Ein künstliches neuronales Netzwerk ist ein Algorithmus, der auf einer elektronischen Schaltung ausgeführt wird und am Vorbild des neuronalen Netzwerks des menschlichen Gehirns programmiert ist. Funktionseinheiten eines künstlichen neuronalen Netzwerks sind künstliche Neuronen, deren Output sich im Allgemeinen als Wert einer Aktivierungsfunktion ausgewertet über eine gewichtete Summe der Inputs plus einem systematischen Fehler, dem sogenannten bias, ergibt. Durch Testen von mehreren vorbestimmten Inputs mit verschiedenen Gewichtungsfaktoren und Aktivierungsfunktionen werden künstliche neuronale Netzwerke, ähnlich dem menschlichen Gehirn, angelernt oder trainiert. Das Trainieren einer künstlichen Intelligenz mit Hilfe von vorbestimmten Inputs wird maschinelles Lernen genannt. Eine Teilmenge des maschinellen Lernens ist das tiefgehende Lernen, das sogenannte Deep Learning, bei dem eine Reihe hierarchischer Schichten von Neuronen, sogenannte hidden layer, genutzt wird, um den Pro- zess des maschinellen Lernens durchzuführen.
Vorzugsweise ist der erste Leistungsprozessor und/oder der zweite Leistungsprozessor ausgebildet, Sensorsignale von Umfelderfassungssensoren, insbesondere von einer Kamera, einem Radar und/oder einem Lidar aufzunehmen. Dadurch ist es möglich, dass Fahrzeugmodul auf Grundlage der von den Umfelderfassungssensoren detektierten Signale anzusteuern, was insbesondere für autonomes Fahren erforderlich ist.
In einer weiteren Ausgestaltung der Erfindung weist der erste Leistungsprozessor und/oder der zweite Leistungsprozessor eine Kontrolleinrichtung auf, wobei die Kontrolleinrichtung ausgebildet ist, das von den Umfelderfassungssensoren erfasste Umfeld zu kontrollieren. Die Umfelderfassungssensoren können als E/E Systeme zwar konform zu ISO 26262 und damit sicher funktionieren, dennoch könnte der Fall auftreten, dass das Umfeld von den Umfelderfassungssensoren falsch verstanden wird, was ein weiteres Sicherheitsrisiko darstellt. Ein derartiges Sicherheitsrisiko, das auf einer Fehlinterpretation des Umfelds basiert, kann mit ISO 26262 nicht abgebildet werden. Mit der Kontrolleinrichtung ist es aber vorteilhafterweise möglich, auch zu kontrollieren, ob die Umfelderfassungssensoren das Umfeld korrekt verstanden haben. Damit ist eine sogenannte safety of the intended functions, abgekürzt SOTIF, gewährleistet. Die Umfelderfassungssensoren erfassen die Umgebung und somit entstehen sehr viele Daten. Von diesen Daten werden mit geeigneten Algorithmen die Objekte oder weitere nützliche Informationen wie Abstand zum Hindernis generiert, die für das autonome Fahren essentiell sind. Die Herausforderung ist von diesen einzelnen Daten die nützlichen Informationen korrekt zu generieren. Bei einem Hardwarefehler des Leistungsprozessors oder Softwarefehler sowie einem systematischen Fehler eines Algorithmus ist die Gefahr sehr hoch, durch die falsch erkannte Umgebung eine sicherheitskritische Situation zu erzeugen. Die Redundanz des Leistungsprozessors dient dazu, bei solchen Fällen das System aufrechtzuerhalten und somit fail-operational zu bleiben.
Bevorzugt ist das Fahrzeugmodul eine Fahrzeugdomäne, insbesondere Infotain- ment, Fahrwerk, Antrieb, Interieur und/oder Sicherheit. Für den Fall des Antriebs und/oder Fahrwerks kann das Fahrzeugmodul über Aktuatoren, insbesondere me- chatronische Aktuatoren, angesteuert. Im Bereich Infotainment kann das Fahrzeugmodul akustisch und/oder visuell angesteuert werden. Im Bereich Interieur kann das Fahrzeugmodul auch haptisch angesteuert werden, z.B. bei einem Spurhalteassis- tenzsystem durch Vibration des Lenkrades.
Im Rahmen der Erfindung liegt auch ein Fahrerassistenzsystem, dass eine der erfindungsgemäßen Vorrichtungen aufweist.
Das erfindungsgemäße Fahrerassistenzverfahren, bei dem eine der erfindungsgemäßen Vorrichtungen verwendet wird, weist folgende Schritte auf:
- Aufnahme von Sensorsignalen wenigstens eines Umfelderfassungssensors in wenigstens dem ersten Leistungsprozessor,
- Auswerten der Sensorsignale in Informationen zum Ansteuern des Fahrzeugmoduls, - Überwachen eines Zustandes des ersten Leistungsprozessors und Ausgabe eines Überwachungssignals in Abhängigkeit von dem Zustand des ersten Leistungsprozessors,
- in Abhängigkeit des Überwachungssignals Ansteuern des Fahrzeugmoduls mit dem Rückfallprozessors für einen Notbetrieb des Fahrzeugmoduls.
Durch das erfindungsgemäße Fahrerassistenzverfahren ist es damit möglich, in einem erkannten Fehlerfall das Fahrzeugmodul wenigstens für einen Notbetrieb weiter zu betreiben.
Vorteilhafterweise wird das Fahrzeugmodul mit einem zweiten Leistungsprozessor angesteuert. Dies ermöglicht einen Normalbetrieb des Fahrzeugmoduls bei Ausfall des ersten Leistungsprozessors.
In einer bevorzugten Ausgestaltung weist der erste Leistungsprozessor und/oder der zweite Leistungsprozessor eine Kontrolleinrichtung auf, wobei die Kontrolleinrichtung das von den Umfelderfassungssensoren erfasste Umfeld kontrolliert.
Die Erfindung wird anhand der nachfolgenden Figuren erläutert. Es zeigen:
Fig. 1 ein Ausführungsbeispiel einer erfindungsgemäßen Vorrichtung zur An- steuerung eines Fahrzeugmoduls,
Fig. 2 ein Ausführungsbeispiel einer weiteren erfindungsgemäßen Vorrichtung zur Ansteuerung eines Fahrzeugmoduls,
Fig. 3 ein weiteres Ausführungsbeispiel einer erfindungsgemäßen Vorrichtung zur Ansteuerung eines Fahrzeugmoduls, und
Fig. 4 ein Ausführungsbeispiel eines erfindungsgemäßen Fahrerassistenzverfahrens. In den Figuren bezeichnen, sofern nicht anders angegeben, gleiche Bezugsziffern gleiche Teile mit der gleichen Funktion. Übersichtshalber werden in den einzelnen Figuren nur die jeweils relevanten Bezugsteile beziffert.
Die Vorrichtung 1 der Fig. 1 zur Ansteuerung eines Fahrzeugmoduls 2 weist einen ersten Leistungsprozessor 10 und einen Rückfallprozessorkern 21 auf. Sensorsignale 31 werden in einem ersten Signalkanal 4 der Vorrichtung 1 in den ersten Leistungsprozessor 10 geleitet und in einem zweiten Signalkanal 5 zu dem Rückfallprozessorkern 21 . Die Sensorsignale 31 können Signale von Umfelderfassungssensoren, wie zum Beispiel einer Kamera, einem Radar oder einem Lidar, sein.
Der Zustand des ersten Leistungsprozessors 10 wird von einer ersten Überwachungseinrichtung 1 1 mittels eines Zustandssignals des ersten Leistungsprozessors erfasst. Die erste Überwachungseinrichtung 1 1 überprüft beispielsweise, ob der erste Leistungsprozessor in Bezug auf Hardware richtig funktioniert, oder ob die Software zum Auswerten der aufgenommenen Sensorsignale 31 korrekt arbeitet und gibt ein entsprechendes Überwachungssignal aus. Anhand des Überwachungssignals ist ein fehlerhafter Zustand des ersten Leistungsprozessors feststellbar. Wenn die erste Überwachungseinrichtung 1 1 einen fehlerhaften Zustand des ersten Leistungsprozessors feststellt, kann die erste Überwachungseinrichtung 1 1 den Rückfallprozessorkern 21 aktivieren, der es ermöglicht, das Fahrzeugmodul 2 für einen Notbetrieb über die Steuerungsschnittstelle 3 anzusteuern.
In einem fehlerfreien Zustand des ersten Leistungsprozessors 10 werden die Sensorsignale 31 von dem ersten Leistungsprozessor 10 in Informationen 40 ausgewertet. Über die Steuerungsschnittstelle 3 wird das Fahrzeugmodul 2 mit den Informationen 40 angesteuert. Ansteuern mit Informationen 40 bedeutet auch, dass bei mehreren Informationen 40 zunächst eine Fusion der Informationen 40 erfolgt und das Fahrzeugmodul 2 mit den aus der Fusion sich ergebenden Information 40 oder Informationen 40 angesteuert wird.
Zum Auswerten der Sensorsignale 31 weist der erste Leistungsprozessor 10 eine Kontrolleinrichtung 13, eine Datenaufnahmeeinrichtung 14 und eine Auswerteeinrich- tung 15 auf. Die Kontrolleinrichtung 13 kontrolliert, ob die Sensorsignale 31 ein Umfeld korrekt widergeben. Die Sensorsignale 31 , die ein Umfeld korrekt widergeben, werden in der Datenaufnahmeeinrichtung 14 gesammelt und anschließend in der Auswerteeinrichtung 15 ausgewertet.
Die Auswerteeinrichtung 15 weist eine künstliche Intelligenz auf, die aus beispielsweise Kamerabildern verkehrsrelevante Objekte, wie z.B. Fußgänger, andere Fahrzeuge oder Verkehrsschilder, identifizieren kann. Die so ausgewerteten Informationen 40 werden in eine Steuerungsschnittstelle 3 geleitet, die entsprechende Befehle zum Ansteuern des Fahrzeugmoduls 2 erzeugt.
In Fig. 1 ist zusätzlich ein Überwachungsprozessorkern 22 gezeigt, zu dessen Eingang die Sensorsignale 31 geleitet werden. Von dem Überwachungsprozessorkern 22 überwachte Sensorsignale 31 bilden dann den Eingang des Rückfallprozessorkerns 21 .
Fig. 2 zeigt eine Vorrichtung 8, die neben einem ersten Leistungsprozessor 10 einen zweiten Leistungsprozessor 12 aufweist. Die Sensorsignale 31 liegen redundant an dem ersten Leistungsprozessor 10 und dem zweiten Leistungsprozessor 12 an.
Der erste Leistungsprozessor 10 und der zweite Leistungsprozessor 12 werden jeweils von einer Überwachungseinrichtung 1 1 überwacht.
Die Vorrichtung 8 weist außerdem einen Sicherheitsprozessor 20 auf. Der Sicherheitsprozessor 20 erhält über die Informationsschnittstelle 6 die von dem ersten Leistungsprozessor und dem zweiten Leistungsprozessor ausgewerteten Informationen 40.
Der Sicherheitsprozessor weist einen ersten Kern 23 auf, der die ausgewerteten Informationen 40 des ersten Leistungsprozessors 10 verarbeitet. Außerdem weist der Sicherheitsprozessor 20 einen zweiten Kern 24 auf, der die ausgewerteten Informationen des zweiten Leistungsprozessors verarbeitet. Das Ergebnis der Verarbeitung der ausgewerteten Informationen 40 in dem ersten Kern 23 und dem zweiten kern 24 des Sicherheitsprozessors werden zu einem dritten Kern 25 des Sicherheitsprozessors weitergeleitet und in dem dritten Kern 25 gegeneinander verglichen. In einem Vergleich erkennt der dritte Kern 25, ob der erste Leistungsprozessor 10 und der zweite Leistungsprozessor 12 sich jeweils in einem fehlerfreien Zustand befinden oder ob einer der Leistungsprozessoren 10, 12 sich in einem fehlerhaften Zustand befindet.
Für den Fall, dass der erste Leistungsprozessor 10 sich in einem fehlerhaften Zustand befindet, wird von dem dritten Kern 25 des Sicherheitsprozessors 10 nur die von dem zweiten Leistungsprozessor 12 ausgewerteten Informationen 40 zum Ansteuern des Fahrzeugmoduls 2 verwendet. Entsprechendes gilt für einen fehlerhaften Zustand des zweiten Leistungsprozessors 12.
Als weitere Sicherheitsmaßnahme weist auch der Sicherheitsprozessor 20 eine zweite Überwachungseinrichtung 26 auf.
Außerdem sind der erste Leistungsprozessor 10 und der zweite Leistungsprozessor 12 mit einer redundanten Spannungsversorgung 7 verbunden.
Fig. 3 zeigt, dass der Rückfallprozessorkern 21 und der Überwachungsprozessorkern 22 der Vorrichtung 1 auch Kerne eines Sicherheitsprozessors 20 sein können.
Mit dem in Fig. 4 dargestellten Fahrerassistenzverfahren kann ein Fahrzeugmodul für einen Notbetrieb angesteuert werden. In einem Leistungsprozessor 10 werden Sensorsignale 31 aufgenommen und ausgewertet. Mit den ausgewerteten Sensorsignalen 31 wird über die Steuerungsschnittstelle 3 das Fahrzeugmodul 2 angesteuert.
Der Vorgang der Aufnahme und der Auswertung wird von der Überwachungseinrichtung 1 1 überwacht. Zum Beispiel sendet der Leistungsprozessor 10 in einem fehlerfreien Zustand in regelmäßigen Zeitabständen ein Signal mit einem vorgegebenen Wert und/oder einem vorgegebenen zeitlichen Verlauf an die Überwachungseinrichtung 1 1 . Dieses Signal ist das Zustandssignal des Leistungsprozessors 10. In einem fehlerhaften Zustand des Leistungsprozessors, sei es einem Fehler in der Hardware und/oder der Software, kann das Zustandssignal von dem vorgegebenen Wert und/oder dem vorgegebenen zeitlichen Verlauf abweichen oder der Leistungsprozessor 10 sendet kein Zustandssignal an die Überwachungseinrichtung 1 1 .
In Abhängigkeit dieses Zustandssignals gibt die Überwachungseinrichtung 11 ein Überwachungssignal aus. Empfängt beispielsweise die Überwachungseinrichtung H ein Zustandssignal mit dem vorgegebenen Wert, kann das Überwachungssignal die Zahl eins sein, die dann einen fehlerfreien Zustand des Leistungsprozessors 10 kennzeichnet. Empfängt die Überwachungseinrichtung 11 in einem vorgegebenen Zeitabstand kein Zustandssignal, kann das Überwachungssignal die Zahl null sein, die dann einen fehlerhaften Zustand des Leistungsprozessors kennzeichnet.
Ist von der Überwachungseinrichtung 1 1 ein fehlerfreier Zustand des Leistungsprozessors 10 festgestellt worden, das heißt ist zum Beispiel das Überwachungssignal die Zahl eins, dann wird das Fahrzeugmodul 2 mit den im Leistungsprozessor 10 ausgewerteten Sensorsignalen 31 angesteuert. Ist von der Überwachungseinrichtung 1 1 ein fehlerhafter Zustand des Leistungsprozessors 10 festgestellt worden, das heißt ist zum Beispiel das Überwachungssignal die Zahl null, dann wird das Fahrzeugmodul 2 mit dem Rückfallprozessor 21 angesteuert.
Bezuqszeichen Vorrichtung
Fahrzeugmodul
Steuerungsschnittstelle
erster Signalkanal
zweiter Signalkanal
Informationsschnittstelle
redundante Spannungsversorgung
Vorrichtung erster Leistungsprozessor
erste Überwachungseinrichtung
zweiter Leistungsprozessor
Kontrolleinrichtung
Datenaufnahmeeinrichtung
Auswerteeinrichtung
Sicherheitsprozessor
Rückfallprozessorkern
Überwachungsprozessorkern
erster Kern
zweiter Kern
dritter Kern
zweite Überwachungseinrichtung
Sensor
Sensorsignal
Information

Claims

Patentansprüche
1 Vorrichtung (1 ) zur Ansteuerung eines Fahrzeugmoduls (2), aufweisend
- eine Steuerungsschnittstelle (3), wobei über die Steuerungsschnittstelle (3) das Fahrzeugmodul (2) ansteuerbar ist,
- wenigstens einen ersten Leistungsprozessor (10), der derart ausgebildet ist, Sensorsignale (31 ) aufzunehmen und auszuwerten,
- wenigstens eine erste Überwachungseinrichtung (1 1 ), die derart mit dem ersten Leistungsprozessor verbunden ist, dass die erste Überwachungseinrichtung (1 1 ) in Abhängigkeit von einem Zustandssignal des ersten Leistungsprozessors (1 1 ) ein Überwachungssignal ausgibt und
- wenigstens einen Rückfallprozessorkern (21 ), wobei der Rückfallprozessorkern (21 ) mit der ersten Überwachungseinrichtung (11 ) derart verbunden ist, dass der Rückfallprozessorkern (21 ) in Abhängigkeit vom Überwachungssignal das Fahrzeugmodul (2) über die Steuerungsschnittstelle (3) wenigstens für einen Notbetrieb ansteuert.
2. Vorrichtung (1 ) nach Anspruch 1 , dadurch gekennzeichnet, dass
die Vorrichtung (1 ) einen ersten Signalkanal (4) und einen zu dem ersten Signalkanal (4) redundanten zweiten Signalkanal (5) aufweist zum Leiten der Sensorsignale (31 ) in die Vorrichtung (1 ), wobei in dem ersten Signalkanal (4) die Sensorsignale (31 ) zu dem ersten Leistungsprozessor (10) und in dem zweiten Signalkanal (5) die Sensorsignale (31 ) zu dem Rückfallprozessorkern (21 ) leitbar sind.
3. Vorrichtung (1 ) nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass die Vorrichtung (1 ) einen Überwachungsprozessorkern (22) zum Überwachen der Sensorsignale (31 ) aufweist, der derart mit dem Rückfallprozessorkern (21 ) verbunden ist, dass von dem Überwachungsprozessorkern (22) ausgegebene Sensorsignale (31 ) in den Rückfallprozessorkern (21 ) eingebbar sind.
4. Vorrichtung (1 ) nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass wenigstens der erste Leistungsprozessor (10) ausgebildet ist, Sensorsignale (31 ) von mehreren Sensoren (30) aufzunehmen und auszuwerten, wobei insbesondere in dem ersten Leistunasorozessor (10) die Sensorsianale (31 ) jeweils eines Sensors (30) unabhängig von den Sensorsignalen (31 ) eines anderen Sensors (30) aufnehmbar und auswertbar sind.
5. Vorrichtung (1 ) nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der Rückfallprozessorkern (21 ) und/oder ein Überwachungsprozessorkern (22) Kerne eines Sicherheitsprozessors (20) sind, wobei die Steuerungsschnittstelle (3) zwischen dem Sicherheitsprozessor (20) und dem Fahrzeugmodul (2) angeordnet ist.
6. Vorrichtung (1 ) nach Anspruch 5, dadurch gekennzeichnet, dass wenigstens eine, insbesondere redundante, Informationsschnittstelle (6) zwischen dem ersten Leistungsprozessor (10) und dem Sicherheitsprozessor (20) angeordnet zum Weiterleiten der ausgewerteten Sensorsignale (31 ) von dem ersten Leistungsprozessor (10) an den Sicherheitsprozessor (20).
7. Vorrichtung (1 ) nach Anspruch 5 oder Anspruch 6, dadurch gekennzeichnet, dass der Sicherheitsprozessor (20) ausgebildet ist, ausgewertete Sensorsignale (31 ) auf Plausibilität zu kontrollieren.
8. Vorrichtung (1 ) nach einem der Ansprüche 5 bis 7, dadurch gekennzeichnet, dass der Sicherheitsprozessor (20), insbesondere jeweils der Rückfallprozessorkern (21 ) und der Überwachungsprozessorkern (22), eine zweite Überwachungseinrichtung (26) aufweist.
9. Vorrichtung (1 ) nach einem der Ansprüche 5 bis 8, dadurch gekennzeichnet, dass der Leistungsprozessor (10) und/oder der Sicherheitsprozessor (20), insbesondere jeweils der Rückfallprozessorkern (21 ) und der Überwachungsprozessorkern (22), eine redundante Spannungsversorgung (7) aufweist.
10. Steuergerät mit einer Vorrichtung (1 ) nach einem der Ansprüche 1 bis 9.
1 1 . Vorrichtung (8) zur Ansteuerung eines Fahrzeugmoduls (2), aufweisend - eine Steuerungsschnittstelle (3), wobei über die Steuerungsschnittstelle (3) das Fahrzeugmodul (2) ansteuerbar ist,
- einen ersten Leistungsprozessor (10), der derart ausgebildet ist, Sensorsignale (31 ) aufzunehmen und auszuwerten,
- wenigstens einen zweiten Leistungsprozessor (12), der derart ausgebildet ist, Sensorsignale (31 ) aufzunehmen und auszuwerten, und
- einen Sicherheitsprozessor (20), der derart mit dem ersten Leistungsprozessor (10) und dem zweiten Leistungsprozessor (12) verbunden ist, dass der Sicherheitsprozessor (20) in Abhängigkeit von einem Ergebnis der mit dem ersten Leistungsprozessor (10) ausgewerteten Sensorsignalen (31 ) und von einem Ergebnis der mit dem zweiten Leistungsprozessor (12) ausgewerteten Sensorsignalen (31 ) das Fahrzeugmodul (2) ansteuert.
12. Vorrichtung (8) nach Anspruch 1 1 , dadurch gekennzeichnet, dass
zwischen dem ersten Leistungsprozessor (10) und dem zweiten Leistungsprozessor (12) eine, insbesondere jeweils eine, Informationsschnittstelle (6) zu dem Sicherheitsprozessor (20) angeordnet ist zum Weiterleiten der in dem ersten Leistungsprozessor (10) und dem zweiten Leistungsprozessor (12) ausgewerteten Informationen (40) an den Sicherheitsprozessor (20).
13. Vorrichtung (8) nach Anspruch 1 1 oder 12, dadurch gekennzeichnet, dass der Sicherheitsprozessor (20) wenigstens einen ersten Kern (23), einen zweiten Kern (24) und einen dritten Kern (25) aufweist, wobei der erste Kern (23) derart mit dem ersten Leistungsprozessor (10) verbunden ist, dass der erste Kern (23) die von dem ersten Leistungsprozessor (10) ausgewerteten Sensorsignale (31 ) ausführt, wobei der zweite Kern (24) derart mit dem zweiten Leistungsprozessor (12) verbunden ist, dass der zweite Kern (24) die von dem zweiten Leistungsprozessor (12) ausgewerteten Sensorsignale (31 ) ausführt, und wobei der dritte Kern (25) ausgebildet ist, einen Vergleich eines Ergebnisses einer Ausführung der auf dem ersten Kern (23) ausgeführten Sensorsignale (31 ) mit einem Ergebnis einer Ausführung der auf dem zweiten Kern (24) ausgeführten Sensorsignale (31 ) auszuführen, wobei in Abhängigkeit eines Ergebnisses des Vergleichs das Fahrzeugmodul (2) ansteuerbar ist.
14. Vorrichtung (8) nach einem der Ansprüche 1 1 bis 13, dadurch gekennzeichnet, dass die Vorrichtung (8), insbesondere jeweils der erste Leistungsprozessor (10), der zweite Leistungsprozessor (12) und der Sicherheitsprozessor (20), eine redundante Spannungsversorgung (7) aufweist.
15. Vorrichtung (8) nach einem der Ansprüche 1 1 bis 14, dadurch gekennzeichnet, dass der jeweils der erste Kern (23), der zweite Kern (24) und der dritte Kern (25) des Sicherheitsprozessors (20) eine redundante Spannungsversorgung (7) aufweist.
16. Steuergerät mit einer Vorrichtung (8) nach einem der Ansprüche 1 1 bis 15.
17. Vorrichtung (1 , 8) nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der erste Leistungsprozessor (10) und/oder der zweite Leistungsprozessor (12) eine künstliche Intelligenz aufweist, wobei die künstliche Intelligenz ausgebildet ist, die von dem ersten Leistungsprozessor (10) und/oder dem zweiten Leistungsprozessor (12) aufgenommen Sensorsignale (30) in Informationen (40) zum Ansteuern des Fahrzeugmoduls (2) auszuwerten.
18. Vorrichtung (1 , 8) nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass der erste Leistungsprozessor (10) und/oder der zweite Leistungsprozessor (12) ausgebildet ist, Sensorsignale (31 ) von Umfelderfassungssensoren (30), insbesondere von einer Kamera, einem Radar und/oder einem Lidar, aufzunehmen.
19. Vorrichtung (1 , 8) nach Anspruch 18, dadurch gekennzeichnet, dass
der erste Leistungsprozessor (10) und/oder der zweite Leistungsprozessor (12) eine Kontrolleinrichtung (13) aufweisen, wobei die Kontrolleinrichtung ausgebildet ist, das von den Umfelderfassungssensoren (30) erfasste Umfeld zu kontrollieren.
20. Vorrichtung (1 , 8) nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, dass das Fahrzeugmodul (2) eine Fahrzeugdomäne, insbesondere Info- tainment, Fahrwerk, Antrieb, Interieur und/oder Sicherheit, ist.
21 . Fahrerassistenzsystem aufweisend eine Vorrichtung (1 , 8) nach einem der vorangehenden Ansprüche.
22. Fahrerassistenzverfahren, bei dem eine Vorrichtung (1 , 8) nach einem der vorangehenden Ansprüche verwendet wird, und das die folgenden Schritte aufweist:
- Aufnahme von Sensorsignalen (31 ) wenigstens eines Umfelderfassungssensors (30) in wenigstens dem ersten Leistungsprozessor (10),
- Auswerten der Sensorsignale (31 ) in dem ersten Leistungsprozessor (10) in Informationen (40) zum Ansteuern des Fahrzeugmoduls (2),
- Überwachen eines Zustandes des ersten Leistungsprozessors und Ausgabe eines Überwachungssignals in Abhängigkeit von dem Zustand des ersten Leistungsprozessors,
- in Abhängigkeit des Überwachungssignals Ansteuern des Fahrzeugmoduls mit dem Rückfallprozessors für einen Notbetrieb des Fahrzeugmoduls.
23. Fahrerassistenzverfahren nach Anspruch 22, dadurch gekennzeichnet, dass bei Deaktivierung des ersten Leistungsprozessors (10) das Fahrzeugmodul (2) mit dem zweiten Leistungsprozessor (12) angesteuert wird.
24. Fahrerassistenzverfahren nach Anspruch 22 oder Anspruch 23, dadurch gekennzeichnet, dass der erste Leistungsprozessor (10) und/oder der zweite Leistungsprozessor (12) eine Kontrolleinrichtung (13) aufweisen, wobei die Kontrolleinrichtung die Sensorsignale (31 ) vor einer Datenaufnahme in dem ersten Leistungsprozessor (10) und/oder dem zweiten Leistungsprozessor (12) daraufhin kontrolliert, ob die Umfelderfassungssensoren (30) ein Umfeld korrekt erfasst haben.
EP18726394.2A 2017-06-19 2018-05-15 Vorrichtung und verfahren zur ansteuerung eines fahrzeugmoduls in abhängigkeit eines zustandssignals Withdrawn EP3642716A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102017210151.2A DE102017210151A1 (de) 2017-06-19 2017-06-19 Vorrichtung und Verfahren zur Ansteuerung eines Fahrzeugmoduls in Abhängigkeit eines Zustandssignals
PCT/EP2018/062497 WO2018233935A1 (de) 2017-06-19 2018-05-15 Vorrichtung und verfahren zur ansteuerung eines fahrzeugmoduls in abhängigkeit eines zustandssignals

Publications (1)

Publication Number Publication Date
EP3642716A1 true EP3642716A1 (de) 2020-04-29

Family

ID=62222630

Family Applications (1)

Application Number Title Priority Date Filing Date
EP18726394.2A Withdrawn EP3642716A1 (de) 2017-06-19 2018-05-15 Vorrichtung und verfahren zur ansteuerung eines fahrzeugmoduls in abhängigkeit eines zustandssignals

Country Status (6)

Country Link
US (1) US20210146938A1 (de)
EP (1) EP3642716A1 (de)
JP (1) JP7089588B2 (de)
CN (1) CN110785742A (de)
DE (1) DE102017210151A1 (de)
WO (1) WO2018233935A1 (de)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102017220481A1 (de) * 2017-11-16 2019-05-16 Robert Bosch Gmbh Vorrichtung zum Steuern von Funktionen für ein Fahrzeug, Fahrzeugsystem für ein Fahrzeug und Verfahren zum Rücksetzen elektrischer Schaltungen einer Vorrichtung zum Steuern von Funktionen für ein Fahrzeug
DE102019105372A1 (de) * 2019-02-09 2020-08-13 Elmos Semiconductor Aktiengesellschaft Ultraschallmesssystem im Fahrzeug zur Erkennung und Klassifizierung von Objekten im Umfeld des Fahrzeugs
DE102019202527A1 (de) * 2019-02-25 2020-08-27 Robert Bosch Gmbh Sicherheitssystem und Verfahren zum Betreiben eines Sicherheitssystems
CN111891134B (zh) 2019-05-06 2022-09-30 北京百度网讯科技有限公司 自动驾驶处理系统和片上系统、监测处理模块的方法
JP7298323B2 (ja) * 2019-06-14 2023-06-27 マツダ株式会社 外部環境認識装置
US20230016638A1 (en) * 2020-02-28 2023-01-19 Lg Electronics Inc. Modular control device and vehicle using same
US20230058249A1 (en) * 2020-03-23 2023-02-23 Hitachi, Ltd. On-vehicle control device
WO2022088080A1 (zh) * 2020-10-30 2022-05-05 华为技术有限公司 信息传输方法、控制装置、电磁信号收发装置及信号处理设备
DE102021206133A1 (de) * 2021-06-16 2022-12-22 Robert Bosch Gesellschaft mit beschränkter Haftung Steuerungssystem für mindestens ein empfangendes Gerät in sicherheitskritischen Anwendungen
DE102021117947A1 (de) 2021-07-12 2023-01-12 Bayerische Motoren Werke Aktiengesellschaft Steuern einer Steuervorrichtung
CN114132342B (zh) * 2021-11-24 2023-09-22 重庆长安汽车股份有限公司 一种自动驾驶系统的监控方法
CN114604260A (zh) * 2022-05-11 2022-06-10 青岛慧拓智能机器有限公司 用于无人车的域控制器及域控制装置

Family Cites Families (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6738697B2 (en) * 1995-06-07 2004-05-18 Automotive Technologies International Inc. Telematics system for vehicle diagnostics
DE19527323A1 (de) * 1995-07-26 1997-01-30 Siemens Ag Schaltungsanordnung zum Steuern einer Einrichtung in einem Kraftfahrzeug
DE19720618A1 (de) * 1997-05-16 1998-11-19 Itt Mfg Enterprises Inc Mikroprozessorsystem für Kfz-Regelungssysteme
DE19857894A1 (de) * 1998-12-15 2000-06-21 Bodenseewerk Geraetetech Flugkörper
JP2001022708A (ja) * 1999-07-05 2001-01-26 Mitsubishi Electric Corp 車両用ネットワークシステム
US6709069B2 (en) * 2001-10-23 2004-03-23 Delphi Technologies Inc. Brake by wire system with BTSI based vehicle operation control
US9207661B2 (en) * 2007-07-20 2015-12-08 GM Global Technology Operations LLC Dual core architecture of a control module of an engine
JP5119892B2 (ja) * 2007-12-05 2013-01-16 株式会社豊田中央研究所 電子制御システム
DE102009019792A1 (de) * 2009-05-02 2010-11-04 Leopold Kostal Gmbh & Co. Kg Steuersystem zum sicheren Betreiben von mindestens einer Funktionskomponente
DE102009054637A1 (de) * 2009-12-15 2011-06-16 Robert Bosch Gmbh Verfahren zum Betreiben einer Recheneinheit
DE102011011755A1 (de) * 2011-02-18 2012-08-23 Conti Temic Microelectronic Gmbh Halbleiterschaltkreis und Verfahren in einem Sicherheitskonzept zum Einsatz in einem Kraftfahrzeug
JP5527270B2 (ja) * 2011-04-12 2014-06-18 株式会社デンソー 車載用電子制御装置
JP5533789B2 (ja) * 2011-06-14 2014-06-25 株式会社デンソー 車載電子制御装置
DE102011080511A1 (de) * 2011-08-05 2013-02-07 Robert Bosch Gmbh Schaltungsanordnung und Verfahren zur Plausibilisierung von Sensorsignalen
CN104048692B (zh) * 2013-03-15 2016-09-21 英飞凌科技股份有限公司 使用多个信号路径的传感器自诊断
JP5954261B2 (ja) * 2013-06-04 2016-07-20 株式会社デンソー 電子制御装置
DE102013221577A1 (de) * 2013-10-24 2015-04-30 Zf Friedrichshafen Ag Elektronische Vorrichtung und Verfahren zum Betreiben einer elektronischen Vorrichtung
DE102014004110A1 (de) * 2014-03-21 2015-09-24 Wabco Gmbh Verfahren zum Betrieb eines autonom arbeitenden Fahrsicherheits- oder Fahrerassistenzsystems eines Kraftfahrzeugs
DE102014220925A1 (de) * 2014-10-15 2016-04-21 Conti Temic Microelectronic Gmbh System und Vorrichtung zur funktionalen Plausibilisierung von Sensordaten und Sensoranordnung mit funktionaler Plausibilisierung von Sensordaten
CN105691293B (zh) * 2014-11-27 2018-10-30 安波福电子(苏州)有限公司 一种汽车转向灯自动控制系统及方法
EP3085596B1 (de) * 2015-04-20 2017-11-29 Autoliv Development AB Elektronisches fahrzeugsicherheitssteuerungssystem
GB2542560B (en) * 2015-09-21 2019-02-20 Jaguar Land Rover Ltd Vehicle interface apparatus and method
JP6922739B2 (ja) * 2015-09-30 2021-08-18 ソニーグループ株式会社 情報処理装置、および情報処理方法、並びにプログラム
DE102015119611B4 (de) * 2015-11-13 2019-09-12 Avl Software And Functions Gmbh Verbesserung der Diagnostizierbarkeit von Fail-operational Systemen

Also Published As

Publication number Publication date
CN110785742A (zh) 2020-02-11
JP7089588B2 (ja) 2022-06-22
WO2018233935A1 (de) 2018-12-27
US20210146938A1 (en) 2021-05-20
DE102017210151A1 (de) 2018-12-20
JP2020524353A (ja) 2020-08-13

Similar Documents

Publication Publication Date Title
EP3642716A1 (de) Vorrichtung und verfahren zur ansteuerung eines fahrzeugmoduls in abhängigkeit eines zustandssignals
DE102017210156B4 (de) Vorrichtung und Verfahren zum Ansteuern eines Fahrzeugmoduls
EP1673667B1 (de) Integriertes mikroprozessorsystem für sicherheitskritische regelungen
EP3069202B1 (de) Sicherheitssteuerung mit konfigurierbaren eingängen
DE102007042353B4 (de) Verfahren zum Detektieren von Fehlern in einem Fahrzeugsystem einer aktiven Frontlenkung
DE102014220781A1 (de) Ausfallsichere E/E-Architektur für automatisiertes Fahren
DE102007045398A1 (de) Integriertes Mikroprozessorsystem für sicherheitskritische Regelungen
DE102013113296A1 (de) Redundante Rechenarchitektur
DE4326919A1 (de) Regelschaltung für Bremsanlagen mit ABS und/oder ASR
EP3571593A1 (de) Redundante prozessorarchitektur
WO2018033344A1 (de) Verfahren und vorrichtung zur redundanten datenverarbeitung
EP1043640A2 (de) Fehlersicheres Automatisierungssystem mit Standard-CPU und Verfahren für ein fehlersicheres Automatisierungssystem
WO2015010831A1 (de) Überwachung von redundanten komponenten
EP3341843B1 (de) Verfahren und vorrichtung zum überwachen eines zustandes einer elektronischen schaltungseinheit eines fahrzeugs
DE102020203420B4 (de) Verfahren und Vorrichtung zum Rekonfigurieren eines automatisiert fahrenden Fahrzeugs in einem Fehlerfall
DE102017201621A1 (de) Integrierte Schaltung für ein Steuergerät eines Kraftfahrzeugs, Verfahren zur Herstellung einer integrierten Schaltung
DE102015203253A1 (de) Sicherheitsschaltungseinheit
WO2007017399A1 (de) Vorrichtung und verfahren zur konfiguration einer halbleiterschaltung
DE102022121140B3 (de) Verfahren zum Betreiben eines zumindest teilweise assistiert betriebenen Kraftfahrzeugs, Computerprogrammprodukt sowie Assistenzsystem
WO2011113405A1 (de) Steuergeräteanordnung
EP3629177B1 (de) Verfahren zum überprüfen eines betriebs eines elektronischen datenverarbeitungsmittels
EP4359933A1 (de) Steuereinrichtung sowie assistenzsystem für ein fahrzeug
DE10233879B4 (de) Verfahren zum Steuern und Überwachen einer sicherheitskritischen Anlage, insbesondere Verkehrs-Signalanlage sowie Vorrichtung zur Durchführung des Verfahrens
DE102022111493A1 (de) System zur Datenübertragung insbesondere ein Fahrzeugdatenkommunikationssystem zur Übermittlung von Fahrzeugdaten
EP1486791A1 (de) Halbleiter-Chip mit einer Überwachungseinrichtung auf mechanische Schäden

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20191126

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

AX Request for extension of the european patent

Extension state: BA ME

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20211111

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20220322