DE10113917B4 - Verfahren und Vorrichtung zur Überwachung von Steuereinheiten - Google Patents

Abstract

Verfahren zur Überwachung von Daten und der Übertragung der Daten zwischen wenigstens einer ersten und einer zweiten Steuereinheit,
wobei die wenigstens zwei Steuereinheiten eine erste Programmebene aufweisen der Programme zugeordnet sind, die die Steuerfunktion berechnen sowie
eine zweite Programmebene aufweisen, die Programme zur Funktionsüberwachung umfasst, welche die Funktionsfähigkeit der Programme der ersten Programmebene überwachen,
wobei die erste Steuereinheit mit wenigstens einer Komponente verbunden ist, die zur Erfassung von Daten, dient
wobei die durch die Komponente erfassten Daten oder mit diesen ermittelte Daten von der ersten zur zweiten Steuereinheit gesichert über eine einzige CAN-Bus Verbindung übertragen werden,
wobei eine getrennte Absicherung der Daten und der Datenübertragung in der ersten und zweiten Programmebene derart erfolgt, dass Fehler der Daten und in der Datenübertragung erkannt werden,
wobei die Absicherung in der ersten Programmebene durch Auswertung der Statusinformation einer entsprechenden CAN-Botschaft, die die Daten enthält, erfolgt,
und wobei die Absicherung in der zweiten Programmebene der ersten Steuereinheit durch die Funktionsüberwachung erfolgt, die eine Sendebotschaft mit einer Absicherungsinformation und einem Botschaftszähler zusammenstellt, die über den CAN-Bus zum zweiten Steuergerät übertragen und dort ausgewertet wird, wobei deren Aktualität anhand des Botschaftszählers sowie deren Konsistenz anhand der Absicherungsinformation geprüft wird.

Description

• Stand der Technik
• Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur Überwachung von Steuereinheiten. Ein derartiges Verfahren bzw. eine derartige Vorrichtung ist aus der DE 44 38 714 A1 bekannt.
• Aus der DE 199 49 051 A1 ist bereits ein Verfahren und eine Vorrichtung zur Steuerung einer Datenübertragung zwischen Steuereinheiten bekannt.
• Die DE 44 38 714 A1 beschreibt eine eigensichere Steuereinheit, beispielsweise in Verbindung mit Steuersystemen zur Steuerung der Antriebseinheit eines Fahrzeugs. Eigensicherheit bedeutet dabei, dass bei Auftreten eines Fehlers der Fehlerzustand auf das System begrenzt bleibt, in dem der Fehler entstanden ist, und das System nach außen hin immer in einem sicheren Zustand verbleibt. Dabei dürfen beispielsweise Einzelfehler nicht zur Leistungserhöhung der Antriebseinheit führen. Das in der bekannten Veröffentlichung beschriebene Überwachungskonzept ist strukturell zweikanalig, d.h. alle sicherheitsrelevanten Pfade sind durch redundante Kanäle abgesichert. Dies gilt auch für die sicherheitsrelevanten Anteile der operativen Software, also beispielsweise der Software zur Erfüllung der Aufgabe der Steuereinheit. Diese die Steuergerätefunktionen realisierende Software wird im Rahmen einer zweiten Programmebene durch redundante Software überwacht, die die korrekte Bildung der Steuersignalgrößen durch die operative Software quantitativ überprüft. D.h. die Software der zweiten Ebene realisiert eine Funktionsüberwachung der Software der ersten Ebene. Der Ablauf und die Funktionsfähigkeit der Software dieser zweiten Ebene wird durch Kommunikation mit einem externen Überwachungsmodul im Rahmen einer Frage-Antwort-Kommunikation überwacht. Konkret enthält in der bekannten Ausführung die erste Softwareebene die operative Software zur Durchführung der Steuerfunktion sowie systemspezifische Überwachungsfunktionen der Eingangsgrößen und der Endstufen. Die zweite Ebene besteht aus der Funktionsüberwachung. In der Funktionsüberwachung wird mittels redundanter Funktionen die korrekte Bildung der Ausgangsgrößen, insbesondere der leistungsbestimmenden Größen, überwacht. Außerdem bilden die Programme der zweiten Ebene die Antwort auf eine ausgewählte, vom Überwachungsmodul im Rahmen einer Ablaufkontrolle übermittelten Fragen, mit deren Hilfe die korrekte Berechnung der Überwachungsfunktionen überprüft wird und führen eine Rechnerüberwachung mittels eines Tests der Überwachungsfunktionen durch Simulationsdaten durch. Die dritte Ebene schließlich enthält die Frage-Antwort-Kommunikation (auf der Basis der übermittelten Frage und der gebildeten Antwort) mit dem Überwachungsmodul, mit deren Hilfe die Funktionsweise der Programme der zweiten Ebene überwacht wird. Dieser Ebene sind ferner Überwachungsfunktionen zugeordnet, die Komponenten des Funktionsrechners wie Speicher, Analog-/DigitalWandler, usw. prüfen. Eine derartige Vorgehensweise ist aus dem oben genannten Stand der Technik bekannt.
• In modernen Steuersystemen werden in der Regel mehrere Steuereinheiten eingesetzt, die separate Bauelemente bilden oder auch in einem Gerät baulich vereinigt sind. So sind beispielsweise bei modernen Fahrzeugsteuerung Steuergeräte zur Steuerung der Antriebseinheit, zur Steuerung des Fahrverhaltens (ABS, ASR, ESP), zur Steuerung eines automatischen Getriebes, zur Steuerung der Radbremsen, usw. vorhanden.
• Üblicherweise werden in einem Sicherheitssystem eines Mehrsteuergerätekonzeptes Redundanzen vorgesehen. So sind beispielsweise einzelne Komponenten die Daten zur Weiterverarbeitung in den Steuergeräten bzw. Steuereinheiten liefern, in einem solchem Sicherheitskönzept in der Regel mit allen den Steuereinheiten direkt verbunden, die die von den Kompontenten gelieferten Daten benötigen bzw. weiterverarbeiten. Dies können beispielsweise Sensoren sein, aber auch Aktuatoren, die eine Rückmeldung über Betriebszustände liefern.
• Aufgabe der Erfindung ist es nun, für die Daten bzw. Information aus diesen Komponenten eine Übertragung an ein oder mehrere Steuergeräte bzw. Steuereinheiten zu definieren, die heutigen Sicherheitsstandards entspricht, um zu ermöglichen, dass die die Daten liefernde Komponente nur an eine Steuereinheit angebunden werden kann.
• Vorteile der Erfindung
• Erfindungsgemäß wird somit ein Verfahren zur Überwachung von Daten und der Übertragung der Daten zwischen wenigstens einer ersten und einer zweiten Steuereinheit im Rahmen eines Steuergeräteverbundes vorgeschlagen, wobei die wenigstens zwei Steuereinheiten eine erste Programmebene aufweisen, der Programme zugeordnet sind, die die Steuerfunktionen berechnen, sowie eine zweite Programmebene aufweisen, die Programme umfasst, welche die Funktionsfähigkeit der Programme der ersten Programmebene überwachen, wobei die erste Steuereinheit mit wenigstens einer Komponente verbunden ist, die zur Erfassung von Daten, insbesondere Steuergrößen dient. Vorteilhafter Weise werden die durch die Komponente erfassten Daten oder mit diesen Daten ermittelten Daten von der ersten zur zweiten Steuereinheit gesichert über eine einzige Verbindung übertragen, wobei eine getrennte Absicherung der Daten und der Datenübertragung in der ersten und zweiten Programmebene derart erfolgt, das Fehler der Daten und in der Datenübertragung erkannt werden.
• Es werden also zur Aufrechterhaltung der Redundanz trotz Anbindung der wenigstens eine Komponente an nur ein Steuergerät zwei parallele Signalpfade definiert, wovon einer davon mit speziellen Absicherungsmechanismen ausgestattet ist.
• Vorteilhaft dabei ist, der minimale Hardwareaufwand bei der Kopplung der Steuereinheiten, da durch die erfindungsgemäße Absicherung in der ersten und zweiten Programmebene der Daten bzw. Datenübertragung eine einzige Verbindung zur Erzeugung von Redundanz ausreicht. Somit erfolgt zweckmäßiger Weise die Realisierung eines Mehrsteuergerätebetriebes mit minimaler Hardwareanbindung zwischen den Steuereinheiten beispielsweise nur über einen CAN-Bus. Der CAN-Bus bzw. das CAN-Bus-Protokoll mit den in der Beschreibung verwendeten Eigenschaften ist in der „CAN Specification, Version 2.0, Robert Bosch GmbH“ von 1991 und in der Norm ISO/TC 22/SC 3 N 11898 von 1999 beschrieben.
• Dabei können dann vorteilhafter Weise bestimmte, insbesondere auch leistungsbestimmende Elemente bzw. Komponenten trotzdem nur an eine der wenigstens zwei Steuereinheiten angebunden sein. Die im Stand der Technik definierte Überwachung wird dann über diese erfindungsgemäße Anbindung hinweg durchgeführt.
• Dabei erfolgt die Absicherung in der ersten Programmebene durch Auswertung der Statusinformation einer entsprechenden CAN-Botschaft, die die Daten enthält. Die Absicherung in der zweiten Programmebene der ersten Steuereinheit erfolgt durch Hinzufügung einer Absicherungsinformation zum jeweiligen Datum und/oder durch Einsatz eines Botschaftszählers, wobei dann die Konsistenz und Aktualität der Empfangsbotschaft überprüft werden kann.
• Vorteilhafter Weise wird dann bei Erkennen eines Fehlers der Daten in der Datenübertragung bzw. eines Fehlers in den Daten selbst eine Fehlerreaktion angestossen, durch die im zweiten Steuergerät bzw. der zweiten Steuereinheit ein sicherer Zustand eingestellt werden kann. Zweckmäßigerweise erfolgt die Fehlerreaktion derart, dass Fehler im ersten Steuergerät bzw. der ersten Steuereinheit nicht zu unerkannter Leistungserhöhung in einem weiteren Steuergerät bzw. einer weiteren Steuereinheit führen.
• Weitere Vorteile und vorteilhafte Ausgestaltungen ergeben sich aus der Beschreibung und den Ansprüchen.
• Figurenliste
• Die Erfindung wird im weiteren anhand der in der Zeichnung dargestellten Figuren offenbart.
• Dabei zeigt 1 eine Steuereinheit mit dem Überwachungskonzept gemäß der DE 44 38 714 A1 .
• In 2 ist ein Steuergeräteverbund dargestellt und die erfindungsgemäße Erweiterung in Programmebene 1 und 2 zur singulären Anbindung einer Komponente.
• 3 zeigt anhand eines konkreten Beispiels mit Pedalsollwertvorgabe und Fahrgeschwindigkeitsregelung (FGR) die Überwachungsfunktion sowie die Fehlerreaktion.
• Beschreibung der Ausführungsbeispiele
• 1 zeigt ein Steuergerät 1 mit einer Steuereinheit 10 und einem Überwachungsmodul 11. Dieses Steuergerät 1 dient in einem bevorzugten Ausführungsbeispiel zur Steuerung einer Brennkraftmaschine. Das Steuergerät 1 umfasst dabei eine Steuereinheit 10 sowie ein Überwachungsmodul 11, welchen den Programmebenen 1, 2 und 3 zugeorndet werden. Ebenso kann das Steuergerät 1 einen Rechner umfassen, der insgesamt die Programmebenen 1 bis 3 umfasst, so dass das Überwachungsmodul bzw. die zugehörige Ebene 3 in die Steuereinheit, also den Funktionsrechner integriert ist.
• Dabei sind der Ebene 1 die Funktionen zugeordnet, welche zur Gewährleistung der Steuerfunktion, d.h. der eigentlichen Steuerungsaufgaben, sowie systemspezifische Überwachungsfunktionen der Eingangsgrößen und Endstufen dienen. Ebenso in Ebene 1 untergebracht ist die Funktionalität zur Datenübertragung beispielsweise bei Verwendung eines CAN-Bussystems. Dies ist in 1 durch 14 dargestellt. Den Steuergeräten werden über Eingangssschaltungen 16 von nicht dargestellten Messeinrichtungen, beispielsweise Sensoren oder Aktuatoren Eingangsgrößen über die Eingangsleitungen 18 bis 22 zugeführt. Diese Eingangsgrößen liegen der Berechnung der Steuerfunktionen zugrunde. Daher werden die Eingangsgrößen den Programmen der Ebene 1 zur Verfügung gestellt. Die Programme der ersten Ebene bilden auf der Basis der Eingangsgrößen Stellgrößen, die über die Ausgangsleitungen 24 und 26 an die jeweiligen Endstufen 28 und 30 ausgegeben werden. Im bevorzugten Ausführungsbeispiel handelt es sich beim Steuergerät 1 um ein Steuergerät zur Steuerung einer Brennkraftmaschine, wobei die Endstufen 28 Endstufen zur Steuerung von Einspritzventilen und Zündeinrichtungen usw. also Motorelektronik bzw. Motronikendstufen darstellen. Die Endstufe 30 ist im bevorzugten Ausführungsbeispiel beispielsweise eine Endstufe zur Betätigung einer elektrisch betätigbaren Drosselklappe der Brennkraftmaschine. Je nach Anwendungsfall steuert das Steuergerät bzw. die Steuereinheit 10 Endstufen zur Betätigung von Kupplungen eines automatischen Getriebes, von Bremsenstelleinrichtungen, usw. an.
• Der Inhalt der DE 44 38 714 A1 wird an dieser Stelle ausdrücklich als Ausgangspunkt bzw. Bestandteil dieser Erfindung bestimmt. Wie aus dieser eingangs genannten Offenlegungsschrift DE 44 38 714 A1 bekannt, sind der zweiten Ebene 2 Programme 32 zugeordnet, welche die Funktionsfähigkeit der Programme der ersten Ebene und somit die Funktionsfähigkeit der Steuerfunktion überwachen.
• Im bevorzugten Ausführungsbeispiel dieser Erfindung wird dies auf der Basis von Ein- und Ausgangsgrößen durchgeführt. Den Programmen der zweiten Programmebene bzw. Ebene II werden somit redundant die Eingangssignale der Leitungen 18 bis 22 zugeführt, sowie die Ausgangs- oder Zwischengrößen der Programme der ersten Programmebene bzw. Ebene I über Leitungen 34 bis 38. Durch Vergleich dieser Größen bzw. daraus abgeleiteter Größen stellen die Programme der zweiten Ebene die Funktionsfähigkeit bzw. eine Fehlfunktion der Programme der ersten Ebene fest. Zur Sicherstellung der Betriebssicherheit ist vorgesehen, dass wenigstens eine der Endstufen im Beispiel der Steuereinheit 10 die Endstufe 30 über eine Ausgangsleitung 40 durch die Programme der zweiten Ebene II im fehlerfreien Fall freigeschaltet wird, bzw. bei auftretendem Fehler abgeschaltet wird.
• Die dritte Programmebene III umfasst Programme, welche die Funktionsfähigkeit der Programme der Ebene II sowie von Komponenten des Rechners überprüfen. Dabei kann die dritte Ebene III wie in 1 dargestellt, über Funktionsrechner und Überwachungsmodul 11 aufgeteilt sein oder auch komplett in der Steuereinheit 10, also quasi mit integriertem Überwachungsmodul, enthalten sein.
• Die Programme dieser Ebene II kommunizieren im dargestellten Beispiel im Rahmen der Überwachung aber mit externen Bauelementen, beim eingangs genannten Stand der Technik mit dem Überwachungsmodul.
• Die Ebene III umfasst Programme wie Speichertestprogramme 42, Programme zur Ablaufkontrolle 44 und eventuell auch Programme zum Fremdgerätetest. Im eingangs genannten Stand der Technik, welcher eine Einzelüberwachung eines Steuergerätes beschreibt, stehen die Programme der Ablaufkontrolle der Ebene III mit dem Überwachungsmodul in Verbindung. Durch Frage-Antwort-Kommunikation 13, 33 mit Ablaufkontrolle 44 mit nachfolgendem Speichertest 42 wird dabei eine Funktionsüberwachung sichergestellt. Zur redundanten Absicherung gibt dann das Überwachungsmodul 11 bzw. die entsprechenden Programme 11a über Leitung 12 ein Erlaubnissignal an Endstufe 30 bzw. eine Freigabe an die Motronicendstufe 28.
• Dieses Überwachungskonzept wird nun erfindungsgemäß in 2 erweitert. So besitzt das erste Steuergerät 200, beispielsweise das Sende- oder Mastersteuergerät eine Anbindung an bestimmte Komponenten 210, welche das bzw. die Slavesteuergeräte, also die zweiten Steuergeräte 201 nicht besitzen. Die Information dieser Komponente 210 werden an sinnvoller Stelle für die zweiten Steuergeräte, also für die Empfangs- oder Slavesteuergeräte 201 abgezweigt. Dabei ist wichtig, das Fehler im Mastersteuergerät 200 nicht zu unerkannter Leistungserhöhung im Slavesteuergerät 201 führen. Es gibt also im Steuergeräteverbund 2, also im Mehrsteuergerätekonzept ein Mastersteuergerät 200 an das Komponenten 210 angeschlossen sind, die nur einmal vorhanden sind und nicht parallel eingelesen werden sollen oder können, wie beispielsweise ein Pedalwertgeber.
• Es wird nun im Mastersteuergerät 200 aus der Funktionsüberwachung 32a ein Datenpaket zusammengestellt. Die Funktionsüberwachung stellt abgesicherte RAM-Informationen, also Daten aus dem Arbeitsspeicher 203a zur Verfügung. Aus diesen wird dann die Sendebotschaft mit einer speziellen Absicherungsinformation und einem Botschaftszähler 204a zusammengestellt. Dies erfolgt in Programmebene II. Am Beispiel der Verbindung über CAN-Bus wird nun die Sendebotschaft mit Absicherungsinformation und Botschaftszähler in den Arbeitsspeicherpuffer für die CAN-Botschaft 205a gelegt. Über die CAN-Bedienung fürs Senden 206a und den Block CAN mit DPRAM 207a wird dann die Botschaft mit dementsprechendem Dateninhalt zum Empfangssteuergerät dem zweiten Steuergerät oder Slavesteuergerät 201 über Verbindung 202, insbesondere den CAN-Bus, übertragen. Die Funktionalitäten 205a, 206a und 207a sind dabei in Ebene I abgelegt.
• In Ebene I des Empfangssteuergeräts 201 wird nun wiederrum über Block 207b, DPRAM, die CAN-Bedienung fürs Empfangen 206b und den Arbeitsspeicherpuffer für die CAN-Botschaft 205b die CAN-Botschaft empfangen. Dabei wird die Empfangsbotschaft in Ebene II ausgewertet und deren Aktualität anhand des Botschaftszählers sowie deren Konsistenz anhand der Absicherungsinformation in 204b geprüft. Die Daten gelangen dann als abgesicherte Arbeitsspeicherinformationen über Block 203b in die Funktionsüberwachung 32b. D.h. das Auswerten und die Prüfung erfolgt in Ebene II im Rahmen der Funktionsüberwachung.
• In 3 wird dies anhand eines konkreten Beispiels noch einmal dargestellt. D.h. die Erweiterung des Überwachungskonzeptes der 1, dargestellt in 2, wird nun anhand 3 im konkreten Beispiel eines Pedalwertgebers und einer Fahrgeschwindigkeitsregelung FGR dargestellt. Dabei werden die überwachungsrelevanten Signalpfade sowie die speziellen Absicherungsmechanismen gezeigt. In Block 300 ist die Übernahme aus dem CAN-Pufferspeicher für die Empfangsbotschaft dargestellt. Dabei können der Botschaftszähler vom Master 304, ein Pedalsollwert vom Master 303 sowie die Fahrgeschwindigkeitsregelungszulässigkeit vom Master (FGR-Zulässigkeit) 302 und die Absicherungsinformation 301 vom Master extrahiert werden.
• In Block 305 wird die Botschaftszählerdifferenz ausgewertet. Das bedeutet, dass die Aktualität der Empfangsbotschaft überprüft wird. In Block 306 wird die Absicherungsinformation kontrolliert. Diese kann wie hier dargestellt als Checksumme oder Checkwert über 302 bis 304 dargestellt sein oder auch als Checksummenwert über Teile der Gesamtinformation beispielsweise nur 302 und 303 dargelegt sein.
• Die Ergebnisse der Botschaftszählerauswertung, also die Prüfung der Aktualität sowie die Konsitenzüberprüfung im Block 306 werden in Block 307 bewertet. Ein Beispiel für eine solche Auswertung ist beispielsweise eine Veroderung der Signale, wodurch, wenn ein Fehler durch „1“ signalisiert wird, lediglich bei Fehlerlosigkeit keine Inaktivwerte in 308 vorgegeben werden. Liegt aus einem der Blöcke 305 oder 306 ein Fehler symbolisiert durch eine „1“ vor, werden durch die Verorderung Inaktivwerte vorgegeben, wodurch eine Leistungserhöhung im Slavesteuergerät vermieden werden kann.
• Diese Inaktivwerte in Block 308 sind beispielsweise die Leerlaufvorgabe für den Pedalsollwert bzw. die Verneinung der Zulässigkeit entsprechend der Fahrgeschwindigkeitsregelung. In Ebene I erfolgt die Leerlaufvorgabe für den Pedalsollwert bzw. Vorgabe eines Nullmoments im Rahmen der Fahrgeschwindigkeitsregelung. Es werden somit zwei Signalpfade definiert, einmal der Signalpfad der Funktion in Ebene I als Bestandteil von CAN-Botschaften, wobei in diesem speziellen Ausführungsbeispiel der Pedalsollwert und ein Fahrgeschwindigkeitsregelungssollmoment im Rahmen von CAN-Botschaften übertragen werden. Dabei wird in Ebene I eine Nachrichtenunterbrechung in der Funktion durch Auswertung der Statusinformationen der CAN-Botschaften im CAN-DPRAM erkannt und führt zu der genannten Fehlerreaktion in der Funktion der Leerlaufvorgabe für den Pedalsollwert sowie der Nullmomentvorgabe im Rahmen der Fahrgeschwindigkeitsregelung.
• Der zweite Signalpfad der Überwachung in Ebene II erfolgt ebenfalls in der CAN-Botschaft, aber mit Botschaftszähler und Absicherungsinformation. D.h. hier wird eine Nachrichtenunterbrechung in der Funktionsüberwachung durch Auswertung des Botschaftszählers auf Veränderung erkannt. Im Signalpfad II wird auch hier ein Pedalsollwert vorzugsweise ein redundanter Pedalsollwert sowie die Zulässigkeit der Fahrgeschwindigkeitsregelung FGR übertragen. Bei Erkennung auf Fehler in der Überwachung erfolgt als Reaktion die Leerlaufvorgabe bezüglich des redundanten Pedalsollwertes sowie die Einstufung der Fahrgeschwindigkeitsregelung als unzulässig, wodurch das Slavesteuergerät in den sicheren Zustand überführt wird.
• Desweiteren wird nun die Auswirkung von Fehlern im Mastersteuergerät 200 im Rahmen des Verhaltens des Slavesteuergerätes 201 betrachtet. Dabei wird in 1. bis 4. unterschieden zwischen:
1. 1. Fehlern, die Auswirkung auf den Pedalsollwert haben, der vom Mastersteuergerät ans Slavesteuergerät übertragen wird: Diese Fehler können sein:
   • -Unterspannung im Mastersteuergerät,
   • -ADC-Fehler im Mastersteuergerät (ADC = Analog-Digital-Converter),
   • -Fehlererkennung in der Pedalsollwertüberwachung im Mastersteuergerät in Ebene II
   Die genannten Fehler führen zu folgender Fehlerreaktion im System:
   • -Leerlaufvorgabe in Ebene I für Master- und Slavesteuergerät,
   • -die Überwachung auf Leerlaufvorgabe in Ebene II für Master- und Slavesteuergerät
   • -Drehzahlbegrenzung über Einspritzausblendung mit stromloser Drosselklappenendstufe (30) im Mastersteuergerät und Leerlaufvorgabe im Slavesteuergerät.
2. 2. Fehler die Auswirkungen auf die Fahrgeschwindigkeitsregelungsvorgabe haben, die vom Mastersteuergerät ans Slavesteuergerät übertragen wird:
   • -Fahrgeschwindigkeitsregelungsbedienhebelfehler oder Botschaftsfehler bei Fahrgeschwindigkeitsregelungssignalen über CAN,
   • -Bremslichtschalterfehler,
   • -andere Fehler, die zur FGR-Abschaltung in Ebene I führen, sowie
   • -Fehlererkennung in der Überwachung der Eingangsinformationen für die FGR-Überwachung im Mastersteuergerät in Ebene II.
   Diese Fehler führen zu folgender Fehlerreaktion im System:
   • -Kein FGR-Sollmoment in Ebene I für Master- und Slavesteuergerät,
   • -keine FGR-Zulässigkeit in Ebene II in Master- und Slavesteuergerät,
   • -Normalbetrieb ohne Fahrgeschwindigkeitsregelung in Master- und Slavesteuergerät, wobei als Ausnahme die Fehler betrachtet werden, die zur FGR-Abschaltung führen. Diese werden durch andere Fehlerreaktionen im Mastersteuergerät begleitet.
3. 3. Speicherfehler, Arbeitsspeicher oder Festspeicherfehler (RAM oder ROM im Mastersteuergerät) führen zu folgender Fehlerreaktion im System:
   • -der vom Fehler betroffene Speichertest wird in der Intialisierung des Mastersteuergerätes wiederholt,
   • -der Speichertest erkennt den Fehler und verhindert den Normalbetrieb.
   • -Die CAN-Anbindung im Mastersteuergerät wird nicht freigegeben.
   • -Die CAN-Botschaften vom Mastersteuergerät werden nicht gesendet.
   • -Im Slavesteuergerät werden keine CAN-Botschaften vom Mastersteuergerät empfangen.
   • -Ebene I im Slavesteuergerät erkennt über die Statusinformationen in den Beschreibungsbytes (Descriptorbytes) der CAN-Botschaften auf Nachrichtenunterbrechung und gibt als Pedalsollwert Leerlauf und als FGR-Sollmoment 0 vor.
   • -Ebene II im Slavesteuergerät erkennt auf „Botschaftszähler steht“ und gibt für die Überwachung als Pedalsollwert Leerlauf und für die FGR-Funktion „FGR nicht zulässig“ vor.
   • -Endstufenabschaltung im Mastersteuergerät.
   • -Leerlaufbetrieb ohne Fahrgeschwindigkeitsregelung im Slavesteuergerät, nach Endprellzeit sowie Drehzahlbegrenzung über Einspritzausblendung.
4. 4. Befehls- oder Programmablaufskontrollfehler im Mastersteuergerät führen zu folgenden möglichen Fehlerreaktionen im Gerät:
   • -Das Mastersteuergerät sendet keine Botschaften ans Slavesteuergerät,
   • -im Slavesteuergerät wird in Ebene I und II auf CAN-Nachrichtenunterbrechung erkannt und mit den genannten Inaktivvorgaben reagiert.
   • -Das Mastersteuergerät sendet während der Reset- und Initialisierungszeit keine bzw. keine gültigen, ansonsten fehlerhafte Überwachungsbotschaften ans Slavesteuergerät,
   • -Ebene II im Slavesteuergerät erkennt auf Botschaftsfehler und gibt die Inaktivwerte in Ebene I und II vor.
   • -Das Mastersteuergerät sendet während der Reset- und Initialisierungszeit keine Botschaften an das Slavesteuergerät, das mit Inaktivvorgaben reagiert.
   • -Das Mastersteuergerät kann zwischen den zyklisch durchs Überwachungsmodul ausgelösten Resets gültige Botschaften ans Slavesteuergerät senden. Dies wird durch die bleibende Fehlerauswirkung, die erst nach Erkennung auf mehrmalig fehlerfreie Botschaft zurückgenommen wird, überbrückt. Damit ist im Slavesteuergerät dauerhaft die Inaktiv-Vorgabe in Ebene I und II gültig.
• Somit kann im Mehrsteuergerätekonzept mit einem Mastersteuergerät, an das Komponenten angeschlossen sind, die nur einmal vorhanden sind und nicht parallel eingelesen werden können oder sollen, wie zum Beispiel der Pedalwertgeber, ein Mehrsteuergerätebetrieb mit minimaler Hardwareanbindung zwischen den Steuergeräten beispielsweise nur über CAN realisiert werden, bei Erzielung der notwendigen Sicherheitsstandards. Dabei können bestimmte, inbesondere auch leistungsbestimmende Elemente trotzdem nur an eines der beiden Steuergeräte angebunden sein, wobei die definierte Überwachung gemäß dem Stand der Technik über diese Anbindung hinweg durchgeführt werden kann.

Claims (3)

1. Verfahren zur Überwachung von Daten und der Übertragung der Daten zwischen wenigstens einer ersten und einer zweiten Steuereinheit, wobei die wenigstens zwei Steuereinheiten eine erste Programmebene aufweisen der Programme zugeordnet sind, die die Steuerfunktion berechnen sowie eine zweite Programmebene aufweisen, die Programme zur Funktionsüberwachung umfasst, welche die Funktionsfähigkeit der Programme der ersten Programmebene überwachen, wobei die erste Steuereinheit mit wenigstens einer Komponente verbunden ist, die zur Erfassung von Daten, dient wobei die durch die Komponente erfassten Daten oder mit diesen ermittelte Daten von der ersten zur zweiten Steuereinheit gesichert über eine einzige CAN-Bus Verbindung übertragen werden, wobei eine getrennte Absicherung der Daten und der Datenübertragung in der ersten und zweiten Programmebene derart erfolgt, dass Fehler der Daten und in der Datenübertragung erkannt werden, wobei die Absicherung in der ersten Programmebene durch Auswertung der Statusinformation einer entsprechenden CAN-Botschaft, die die Daten enthält, erfolgt, und wobei die Absicherung in der zweiten Programmebene der ersten Steuereinheit durch die Funktionsüberwachung erfolgt, die eine Sendebotschaft mit einer Absicherungsinformation und einem Botschaftszähler zusammenstellt, die über den CAN-Bus zum zweiten Steuergerät übertragen und dort ausgewertet wird, wobei deren Aktualität anhand des Botschaftszählers sowie deren Konsistenz anhand der Absicherungsinformation geprüft wird.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass bei Erkennen eines Fehlers der Daten oder in der Datenübertragung, insbesondere eine Unterbrechung der Datenübertragung, eine Fehlerreaktion erfolgt, durch die im zweiten Steuergerät ein sicherer Zustand eingestellt wird.
3. Vorrichtung mit wenigstens zwei Steuereinheiten zur Überwachung von Daten und zur Übertragung der Daten zwischen wenigstens der ersten und der zweiten Steuereinheit, wobei die wenigstens zwei Steuereinheiten eine erste Programmebene aufweisen der Programme zugeordnet sind, die die Steuerfunktion berechnen, sowie eine zweite Programmebene aufweisen, die Programme zur Funktionsüberwachung umfasst, welche die Funktionsfähigkeit der Programme der ersten Programmebene überwachen, wobei die erste Steuereinheit mit wenigstens einer Komponente verbunden ist, die zur Erfassung von Daten dient, wobei die durch die Komponente erfassten Daten oder mit diesen ermittelte Daten von der ersten zur zweiten Steuereinheit gesichert über eine einzige CAN-Bus Verbindung übertragen werden, wobei Mittel enthalten sind, welche eine getrennte Absicherung der Daten und der Datenübertragung in der ersten und zweiten Programmebene derart durchführen, dass Fehler der Daten und in der Datenübertragung erkannt werden, dass Mittel vorhanden sind, die die Absicherung in der ersten Programmebene durch Auswertung der Statusinformation einer entsprechenden CAN-Botschaft, die die Daten enthält, durchführen, und dass Mittel vorhanden sind, die die Absicherung in der zweiten Programmebene der ersten Steuereinheit durchführen, indem die Funktionsüberwachung eine Sendebotschaft mit einer Absicherungsinformation und einem Botschaftszähler zusammenstellt, die über den CAN-Bus zum zweiten Steuergerät übertragen und dort ausgewertet wird, wobei deren Aktualität anhand des Botschaftszählers sowie deren Konsistenz anhand der Absicherungsinformation geprüft wird.

Images