DE10002306A1

DE10002306A1 - Verfahren und Vorrichtung zum funktionssicheren Betreiben einer elektronischen Motor- und insbesondere Getriebesteuerung für Kraftfahrzeuge

Info

Publication number: DE10002306A1
Application number: DE2000102306
Authority: DE
Inventors: Uwe Ruehringer; Wolfgang Schmid; Manfred Bek
Original assignee: ZF Friedrichshafen AG
Current assignee: ZF Friedrichshafen AG
Priority date: 2000-01-20
Filing date: 2000-01-20
Publication date: 2001-07-26

Abstract

Die elektronische Motor-, insbesondere Getriebesteuerung, für Kraftfahrzeuge weist einen Chip (4) mit einer zentralen Recheneinheit (1) auf, die aus Rechnerteil (2) und einem die Programmdaten für den Rechnerteil enthaltenden Programmspeicher (3) besteht, wobei die Programmdaten auf einem weiteren Backup-Speicherchip (5) abgespeichert werden, der entfernt von der zentralen Recheneinheit (1) gelegen ist. Um einen Datenverlust des Programmspeichers (3) zu vermeiden, werden in vorgegebenen ersten Zeitintervallen dessen Programmdaten durch die Daten des Backup-Speicherchips (5) überschrieben. Ferner ist ein Ersatz fehlerhafter Daten im Programmspeicher (3) und/oder Backup-Speicherchip (5) durch die korrekten Daten des jeweils anderen Speichers möglich.

Description

Bei elektronischen Motor- und insbesondere Getriebesteue rungen für Kraftfahrzeuge, so z. B. elektronischen Getrie besteuerungen für Mehrgang-Stufenautomatikgetriebe für Lastkraftfahrzeuge oder stufenlose Getriebe, ist vorgese hen, direkt in der Steuerung einen Mikrocontroller, d. h. eine zentrale Recheneinheit einzusetzen, wobei diese Re cheneinheit sowohl den eigentlichen Rechenteil als auch den Programmspeicher in einem Chipbaustein vereint. Bei diesem Baustein hat sich das Problem herausgestellt, dass der Rechnerteil zwar ohne Probleme funktioniert, der Programm speicher aber eine für eine zuverlässige Funktion nicht ausreichende Wahrscheinlichkeit besitzt, das die dort ge speicherten Programmdaten über einen längeren Zeitraum si cher unverändert bleiben. Dies liegt im wesentlichen an den harten Umgebungsbedingungen im Bereich der Getriebesteue rung, insbesondere an der hohen Umgebungstemperatur, die wohl von dem Rechenteil, nicht jedoch in ausreichendem Maße von dem Programmspeicher vertragen wird.

Um dieses Problem zu umgehen, ist vorgeschlagen worden, einen entfernt von dem Rechenteil gelegenen Programmspei cher zu verwenden, der an einem Ort plaziert ist, wo die Umgebungsbedingungen nicht zu einem langsamen Verschwinden der Programmdaten führen. Dieser separate Speicherbaustein muß mit dem Rechnerteil des Mikrocontrollers kommunizieren. Die für die Kommunikation benötigte Zeit beeinträchtigt jedoch die Geschwindigkeit des Rechnerteiles sehr starkt und kann unter Umständen dazu führen, dass ein Programm nicht mehr vollständig abgearbeitet werden kann.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren und eine Vorrichtung anzugeben, bei dem der Rechnerteil und der Programmspeicher im Bereich der Motor- bzw. Getriebesteue rung gelegen sind, jedoch gleichwohl bei einem partiellen oder totalen Verlust der Daten des Programmspeichers eine sichere Funktion der Getriebe- bzw. Motorsteuerung gewähr leistet ist.

Diese Aufgabe ist für ein Verfahren gemäß der Erfindung durch die Merkmale des Patentanspruches 1 gelöst, für eine Vorrichtung durch die Merkmale des unabhängigen Patentan spruches.

Demgemäß wird die an sich vorteilhafte Verwendung eines direkt in der Steuerung gelegenen Mikrocontrollers mit ei nem Rechnerteil und einem Programmspeicher verwendet, so dass die beim Abarbeiten eines Programmes benötigten Zeiten sehr kurz gehalten werden. Gleichzeitig wird jedoch ein entfernt von dem Mikrocontroller bzw. der zentralen Rechen einheit gelegener Backup-Speicherchip vorgesehen, der an einem Ort gelegen ist, an dem die Umgebungsbedingungen in der Regel nicht zu einem Verlust der Daten führen. Auf die sem Backup-Speicherchip sind nun die gleichen Programmdaten wie auf dem Programmspeicher abgelegt. Diese Programmdaten werden z. B. bei der Inbetriebnahme der Steuerung auf beide Speicher übertragen.

Bei normalen Betrieb der Steuerung wird das Programm aus dem internen Programmspeicher verwendet. Hierdurch kann das Programm ohne Einbußen bei der Geschwindigkeit des Rechner teiles abgearbeitet werden.

Für eine Datensicherung sind nun verschiedene Fälle denk bar:

Sobald eine gewisse Zeit, z. B. ein erstes Zeitintervall im Rahmen von einem Jahr oder 500 Betriebsstunden erreicht ist, wird überprüft, ob die Steuerung und auch das Kraft fahrzeug in einem sicheren Zustand ist, dass z. B. die Zün dung ausgestellt ist, das Kraftfahrzeug steht, etc. Während dieses sicheren Zustandes wird nun der interne Programm speicher mit den in dem Backup-Speicherchip abgelegten Pro grammdaten überschrieben. Damit ist der interne Programm speicher wieder mit frischen Programmdaten versehen und die Zeitspanne des kritischen Datenerhaltes beginnt von Neuem.

Eine weitere Möglichkeit besteht darin, dass in bestimmten zweiten Zeitintervallen, die kürzer als das oben genannte Zeitintervall sind, überprüft wird, ob die Programmdaten des internen Programmspeichers und des externen Backup- Speichers fehlerfrei oder fehlerbehaftet sind. Dies kann z. B. durch eine sogenannte Checksummen-Überwachung erfolgen, mit der sicher festgestellt werden kann, ob beide Speicher den identischen Dateninhalt haben und welcher von beiden Speichern einen Datenverlust erlitten hat. Ein solcher Da tenverlust kann durch diese Überprüfung erkannt werden. Dann ist es möglich, die fehlerhaften Daten eines Speichers mit den fehlerfreien Daten des jeweils anderen Speichers zu überschreiben. Mit diesem Verfahren ist somit eine Überprü fung des Programmspeichers und auch des Backup-Speichers möglich.

Die Prgrammierung bzw. Neuprogrammierung kann auch aufge splittet werden. Es kann entweder das gesamte Programm neu programmiert werden, inklusive dem Boot-Programm. Jedoch kann es bei bestimmten Steuerungen wegen der Fehlermöglich keiten während der Programmierung vorteilhaft sein, nur das Betriebsprogramm, nicht jedoch das Boot-Programm neu zu programmieren. Sollte nun ein Fehler im Boot-Programm fest gestellt werden, ist eine Programmierung über ein externes Tool, z. B. einen Werkstatt-Tester vorzuziehen. Sollte ein Fehler nur im Betriebsprogramm vorliegen, kann nach dem oben beschriebenen Verfahren der Programmspeicher z. B. aus dem externen Backup-Speicherchip neu programmiert werden.

Mit der aufgezeigten Lösung ist es möglich, die Vorteile der unmittelbaren Nachbarschaft eines Rechnerteiles und eines Programmspeichers hinsichtlich der Geschwindigkeit der Programmabarbeitung auszunutzen, wobei die beiden Ele mente vorzugsweise auf einem gemeinsamen Chip eingerichtet sind. Gleichzeitig werden aber auch die Vorteile eines ex tern gelegenen Programmspeichers genutzt, der jedoch nicht ständig im Einsatz ist, sondern, wie oben beschrieben, nur in bestimmten Situationen eingesetzt wird, wobei bei diesem Einsatz, der in der Regel bei einem sicheren Zustand des Kraftfahrzeuges stattfindet, die Rechengeschwindigkeit der zentralen Recheneinheit nicht beeinflusst wird. Wenn das komplette Programm neu programmiert werden muss können ver längerte Programmierzeiten auftreten. Diese verlängerten Programmierzeiten sind jedoch bei dem Verfahren gemäß der Erfindung in der Regel kein Problem.

Es kann natürlich in einigen Fällen vorkommen, dass bei Feststellen von Fehlern in dem Programmspeicher es nicht möglich ist, das Kraftfahrzeug in einen sicheren Zustand zu versetzen und dann die Programmdaten aus dem Backup- Speicherchip auf den Programmspeicher zu überschreiben. Ebenso könnte eine solche Überschreibung erst zu einem spä teren Zeitpunkt möglich sein. Hierzu wird gemäß der Erfin dung vorgesehen, in dem externen Backup-Speicherchip und gegebenenfalls auch auf dem Programmspeicher ein Ersatzpro gramm zu speichern, das in einem solchen Fall aktiviert wird und welches nur bestimmte Teile des Betriebsprogrammes umfaßt. Somit können die Laufzeitprobleme umgangen werden und der Lenker des Kraftfahrzeuges hat nur eine minimal eingeschränkte Funktionalität. Nach dieser Überschreibung ist wieder das gesamte Programm verfügbar.

Des weiteren kann auch der interne Programmspeicher in meh rere Bereiche unterteilt werden, ebenso wie natürlich der Backup-Speicherchip, die jeweils für sich autark arbeiten und auf Datenkonsistenz überprüft werden können. Sollten in einem Bereich fehlerhafte Daten vorliegen bzw. Daten verlo ren gegangen sein, kann der Fehler sicher lokalisiert wer den. Anschließend könnte dann ein Ersatzprogramm aktiviert werden, das den betroffenen fehlerhaften Datenbereich nicht benutzt.

Weitere Ausgestaltungen der Erfindung gehen aus den Un teransprüchen hervor.

Die Erfindung ist einem Ausführungsbeispiel anhand einer schematischen Figur dargestellt, die ein Blockschaltdia gramm für eine Motor- bzw. Getriebesteuerung eines Kraft fahrzeuges gemäß der Erfindung zeigt. In diesem Diagramm sind lediglich die wesentlichen Rechner- und Speicherteile sowie Prüfschaltungen und Überschreibungsschaltungen darge stellt, nicht jedoch die sonstigen Teile einer Motor- bzw. Getriebesteuerung, wie Aktuatoren, Stromversorgung, etc. Es wird lediglich angenommen, dass die Getriebesteuerung di rekt von einer Konstantspannungsquelle, z. B. der Kraft fahrzeugbatterie versorgt wird. Außerdem wird im folgenden der Einfachheit halber lediglich von einer Getriebesteue rung gesprochen.

In einer Getriebesteuerung ist eine zentrale Recheneinheit 1 vorgesehen, die aus einem Rechnerteil 2 und einem mit diesem zusammenarbeitenden Programmspeicher 3 besteht. In dem Programmspeicher sind die für die Funktion der Getrie besteuerung notwendigen Programmdaten abgelegt, wobei diese Programmdaten entsprechend ihrer Funktion für die Getriebe steuerung in einzelne Blöcke aufgeteilt werden können, die dann in einzelnen Bereichen des Programmspeichers 3 abge legt werden, die hier schematisch mit a, b, c und d be zeichnet sind. Rechnerteil 2 und Programmspeicher 3 sind hierbei auf einem gemeinsamen Chip 4 eingerichtet.

Des weiteren ist ein externer, entfernt gelegener Backup- Speicherchip 5 vorgesehen, der einen Speicherbereich 6 auf weist, in dem bei der Inbetriebnahme der Getriebesteuerung die gleichen Programmdaten wie im Programmspeicher 3 abge legt werden. Auch dieser Speicherbereich 6 kann aufgeteilt werden und z. B. einen Hilfsspeicherbereich 7 enthalten, in dem Hilfsprogrammdaten abgelegt werden, z. B. lediglich Daten für das Betriebsprogramm.

Des weiteren ist eine Prüfschaltung 8 vorgesehen, mit der durch bekannte Verfahren ermittelt werden kann, ob die Pro grammdaten des Programmspeichers 3 und/oder die auf dem Backup-Chip 5 abgelegten Programmdaten korrekt oder fehler haft sind. Hierzu ist die Prüfschaltung 8 über Busleitungen 9 mit den beiden Chips 4 und 5 verbunden.

Mit der Prüfschaltung 8 kommuniziert noch eine Überschreib schaltung 10, mit deren Hilfe über Busleitungen 11 Daten zwischen dem Programmspeicher 3 und dem Backup-Chip 5 über tragen werden können.

Des weiteren ist noch eine Zeitschaltung 12 vorgesehen, die die Funktion der Überprüfschaltung 8 und der Überschreib schaltung 10 steuert und ggf. kontrolliert. Diese Zeit schaltung kann z. B. auch Teil der Rechnereinheit 2 sein. Wie oben erläutert, werden in relativ großen ersten Zeitin tervallen die sicheren Programmdaten des Backup-Chips zum Programmspeicher 3 übertragen, wodurch dort die vorliegen den Programmdaten neu überschrieben werden.

In relativ kurzen zweiten bzw. dritten Zeitintervallen, werden mit Hilfe der Prüfschaltung 8 die Daten des Pro grammspeichers 3 bzw. diejenigen des Backup-Chips 5 über prüft. Vorzugsweise erfolgt dieses zur gleichen Zeit, so dass zweite und dritte Zeitintervalle gleich sind. Je nach dem, wo jetzt ein Fehler entdeckt wird, kann der gesamte fehlerhafte Speicher durch den fehlerfreien Inhalt des an deren Speichers überschrieben werden oder es werden ledig lich einzelne Bereiche, in denen fehlerhafte Daten ermit telt worden sind, durch fehlerfreie Daten bzw. durch ein Hilfsprogramm ersetzt.

Bezugszeichenliste

1

zentrale Recheneinheit

2

Rechnerteil

3

Programmspeicher
a, b, c, d Bereiche von

3

4

gemeinsamer Chip für

2

und

3

5

Backup-Chip

6

Speicherbereich in

5

7

Hilfsspeicherbereich in

5

8

Prüfschaltung

9

Busleitung

10

Überschreibschaltung

11

Busleitung

12

Zeitschaltung

Claims

1. Verfahren zum funktionssicheren Betreiben einer elek tronischen Motor-, insbesondere Getriebesteuerung für Kraftfahrzeuge, die einen Chip mit einer zentralen Re cheneinheit aufweist, die aus Rechnerteil und einem, die Programmdaten für den Rechnerteil enthaltenden Pro grammspeicher besteht, dadurch gekennzeichnet, dass die Programmdaten auf einem weiteren Backup-Speicherchip abgespeichert werden, der entfernt von der zentralen Recheneinheit gelegen ist, und dass in vorgegebenen er sten Zeitintervallen die Programmdaten des Programm speichers durch die Daten des Backup-Speicherchips überschrieben werden.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass in bestimmten zweiten Zeitintervallen, die kürzer als die ersten Zeitintervalle sind, überprüft wird, ob die Daten des Programmspeichers korrekt sind, und dass bei Feststellen eines Fehlers die Programmdaten des Pro grammspeichers durch die Daten des Backup-Speicherchips überschrieben werden.

3. Verfahren nach Anspruch 1 oder 3, dadurch gekennzeich net, dass in bestimmten Zeitintervallen, die bevorzugt gleich den zweiten Zeitintervallen sind, zusätzlich überprüft wird, ob die Daten des Backup-Speicherchips korrekt sind, und dass bei Feststellen eines Fehlers die Programmdaten des Backup-Speicherchips durch die korrekten Daten des Programmspeichers überschrieben werden.

4. Verfahren nach einem der vorhergehenden Ansprüche, da durch gekennzeichnet, dass im Backup-Speicherchip Hilfsprogrammdaten abgelegt werden, die eine Getriebe steuerung während des Fahrens des Kraftfahrzeuges zu mindest sicher gewährleisten, und dass im Falle, dass die Daten des Programmspeichers und die des Backup- Speicherchips fehlerhaft sind, die Hilfsprogrammdaten in den Programmspeicher überschrieben werden.

5. Vorrichtung zur Durchführung des Verfahrens nach An spruch 1, mir einer elektronischen Motor-, insbesondere Getriebesteuerung für ein Kraftfahrzeug, die einen Rechnerteil (2) und einen mit diesem kommunizierenden Programmspeicher (3) aufweist, die unmittelbar benach bart und vorzugsweise auf einem gemeinsamen Chip (4) eingerichtet sind, dadurch gekennzeichnet, dass ein Backup-Speicherchip (5) vorgesehen ist, der entfernt von der zentralen Recheneinheit (1) gelegen ist, auf dem die Programmdaten des Programmspeichers (3) abge speichert sind und der mit dem Rechnerteil (2) und dem Programmspeicher (3) kommuniziert, und dass eine Über schreibschaltung (10) zum Überschreiben der Programmda ten des Programmspeichers (3) in bestimmten ersten Zei tintervallen durch diejenigen des Backup-Speicherchips (5) vorgesehen ist.

6. Vorrichtung nach Anspruch 5, dadurch gekennzeichnet, dass eine Prüfschaltung (8) zum Überprüfen der Pro grammdaten des Programmspeichers (3) in bestimmten zweiten Zeitintervallen, die kleiner sind als die er sten Zeitintervalle, auf Fehlerhaftigkeit vorgesehen ist, und dass die Prüfschaltung (8) bei Feststellen eines Fehlers die Überschreibschaltung (10) zum Über schreiben der Programmdaten des Programmspeichers (3) durch diejenigen des Backup-Speicherchips (5) ansteu ert.

7. Vorrichtung nach einem der Ansprüche 5 oder 6, dadurch gekennzeichnet, dass eine Prüfschaltung zum Überprüfen der Programmdaten des Backup-Speicherchips (5) in be stimmten dritten Zeitintervallen, die bevorzugt gleich den zweiten Zeitintervallen sind, auf Fehlerhaftigkeit vorgesehen ist, dass die Prüfschaltung (8) bei Fest stellen eines Fehlers die Überschreibschaltung 10) zum Überschreiben der Programmdaten des Backup- Speicherchips (5) durch die auf Fehlerfreiheit über prüften Programmdaten des Programmspeichers (3) ansteu ert.

8. Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass auf dem Backup- Speicherchip (5) in einem Hilfsspeicherbereich (7) Hilfsprogrammdaten abgespeichert sind, die eine Getrie besteuerung während des Fahrens des Kraftfahrzeuges zu mindest sicher gewährleisten, und dass die Prüfschal tung (8) bei Feststellen eines Fehlers in Programmspei cher (3) und Backup-Speicherchip (Speicherbereich 6) die Überschreibschaltung (10) zum Überschreiben der Hilfsprogrammdaten auf den Programmspeicher (3) ansteu ert.

9. Vorrichtung nach einem der Ansprüche 5 bis 8, dadurch gekennzeichnet, dass der Programmspeicher (3) in mehre re Speicherbereiche (a, b, c, d) aufgeteilt ist, in de nen funktionsmäßig zusammenhängende Programmdaten abge legt sind.