DE10113321B4

DE10113321B4 - Vorrichtung zur Verbindung von Kommunikationsnetzen in einem Kraftfahrzeug

Info

Publication number: DE10113321B4
Application number: DE10113321A
Authority: DE
Inventors: Hartwig Koch; Thomas Dr. May
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2001-03-20
Filing date: 2001-03-20
Publication date: 2007-06-14
Anticipated expiration: 2021-03-21
Also published as: ITMI20020570A1; US6917122B2; US20020156554A1; ITMI20020570A0; JP2003034202A; JP4099341B2; FR2822424B1; FR2822424A1; DE10113321A1

Abstract

Vorrichtung zur Verbindung von Kommunikationsnetzen (2, 3) in einem Kraftfahrzeug, wobei wenigstens zwei Kommunikationsnetze (2, 3) in einem Kraftfahrzeug vorhanden sind, wobei die Vorrichtung einen Sicherheitsschalter (1) aufweist, mit dem die wenigstens zwei Kommunikationsnetze (2, 3) verbindbar sind, dadurch gekennzeichnet, dass ein Kommunikationsnetz sicherheitskritisch ist und ein Kommunikationsnetz nicht sicherheitskritisch und dass zwischen den wenigstens zwei Kommunikationsnetzen (2, 3) eine permanente Einwegkommunikation von dem sicherheitskritischen Kommunikationsnetz zu dem nicht sicherheitskritischen Kommunikationsnetz besteht, die durch Schließen des Sicherheitsschalters (1) zu einer Duplexkommunikation erweiterbar ist.

Description

Stand der Technik
Die Erfindung geht aus von einer Vorrichtung zur Verbindung von Kommunikationsnetzen in einem Kraffahrzeug nach der Gattung des unabhängigen Patentanspruchs.
Für die Datenkommunikation zwischen den einzelnen Komponenten in einem Kraftfahrzeug werden Kommunikationsnetze eingesetzt. Dazu sind beispielsweise der CAN-Bus und der MOST-Bus vorgesehen.

Aus DE 41 10 372 A1 ist ein Fahrzeugnetzwerksystem bekannt, das mindestens zwei über einen Netzwerkknoten miteinander verbundene Fahrzeugnetzwerke umfasst, so dass diese Informationen untereinander austauschen können.

DE 197 55 686 A1 und US 5 732 074 offenbaren Fahrzeugnetzwerke, die jeweils über eine an das Fahrzeugnetzwerk angeschlossene Schnittstelle verfügen, über die Informationen zwischen dem Fahrzeugnetzwerk und einem bezüglich des Fahrzeugs externen Server austauschbar sind.

DE 195 15 194 C2 offenbart ein Kommunikationsnetzwerk für ein Fahrzeug, bei dem zwei Teilnetzwerke des Kommunikationsnetzwerks durch einen Schalter zum Datenaustausch verbindbar bzw. der Datenaustausch zwischen den Teilnetzwerken durch Öffnen des Schalter unterbindbar ist.

Die DE 199 25 570 A1 zeigt ein Kommunikationssystem, das einen Sicherheitsschalter aufweist, mit dem zwei im Kraftfahrzeug befindliche Kommunikationsnetze durch einen Benutzer verbindbar sind. Dabei wird insbesondere ein Multimedianetz mit einer Funkschnittstelle, vorzugsweise durch ein Mobiltelefon realisiert, mit einem Sicherheitsnetz, an das sicherheitskritische Fahrzeugkomponenten angeschlossen sind, verbunden. Diese Verbindung ist dann notwendig, wenn eine Ferndiagnose der Fahrzeugkomponenten oder ein Softwareupdate vorgenommen werden soll.

Aufgabe der Erfindung ist es, Kommunikationssysteme trotz sicherheitskritischer Anwendungen zu verbinden und die Situation im Hinblick auf die Sicherheit zu verbessern.

Vorteile der Erfindung

Die erfindungsgemäße Vorrichtung zur Verbindung von Kommunikationsnetzen in einem Kraftfahrzeug mit den Merkmalen der unabhängigen Patentansprüche hat den Vorteil, dass ein Sicherheitsschalter vorhanden ist, mit dem die in einem Kraftfahrzeug vorhandenen Kommunikationsnetze in bestimmten Situationen verbindbar sind. Durch den erfindungsgemäßen Sicherheitsschalter wird eine galvanische Trennung bereitgestellt, so dass ein erstes Kommunikationsnetz ein zweites Kommunikationsnetz nicht beeinflussen und dabei insbesondere stören kann. Damit wird objektiv die Sicherheit des Systems erhöht. Die Sicherheitsbedenken bezüglich solcher Kommunikationsnetze eines Käufers oder Benutzers eines Kraftfahrzeugs werden dadurch stark verringert, da ein Zugriff auf sicherheitskritische Elemente wie ein ABS-System mit einem hohen Schutz gesichert ist. Darüber hinaus kann nur aktiv der Benutzer selbst den Sicherheitsschalter schließen. Damit liegt es dann völlig in der Hand des Benutzers, den Zugang zu einem sicherheitskritischen Kommunikationsnetz zu ermöglichen.

Besonders vorteilhaft ist, dass zwischen den zwei Kommunikationsnetzen eine permanente Einwegkommunikation besteht und zwar von dem sicherheitskritischen Kommunikationsnetz zu beispielsweise einem Multimedianetz, das nicht sicherheitskritisch ist. Dabei können dann Systemdaten über die Einwegkommunikation wie der Zustand von einzelnen Komponenten an das Multimedianetz übertragen werden, so dass diese Systemdaten dann beispielsweise über eine Anzeige wiedergegeben werden, um gegebenenfalls eine Fehlfunktion oder ein Absinken von Parameter von Komponenten in Gefahrenbereiche zu signalisieren. Durch das Schließen des Sicherheitsschalters wird dann vorteilhafterweise eine Duplexkommunikation zwischen den beiden Kommunikationsnetzen ermöglicht, so dass dann auch Daten von dem sicherheitskritischen Datennetz direkt abfragbar sind. Insbesondere ist dann auch ein Softwareupdate von Komponenten, die an das sicherheitskritische Datennetz angeschlossen sind, möglich. Es können also Daten von außen in das sicherheitskritische Kommunikationsnetz eingespielt werden. Alternativ ist es möglich, dass nur durch den Sicherheitsschalter eine Kommunikation zwischen den Kommunikationsnetzen ermöglicht wird. Dies erhöht die Sicherheit des Systems.

Weiter ist es von Vorteil, dass das erste Kommunikationsnetz, hier ein Multimedianetz, eine Funkschnittstelle aufweist, die durch das Schließen des Sicherheitsschalters aktivierbar ist. Damit wird ermöglicht, dass, wenn der Benutzer den Sicherheitsschalter schließt, automatisch über die Funkschnittstelle eine vorgegebene Verbindung aufgebaut wird, um beispielsweise eine Ferndiagnose oder ein Softwareupdate von Komponenten in dem sicherheitskritischen Kommunikationsnetz zu ermöglichen. Dabei ist insbesondere vorgesehen, dass nur bei geschlossenem Sicherheitsschalter von einem externen Server über die Funkschnittstelle solche Daten empfangbar sind. Damit wird ein hohes Maß an Sicherheit und Datenintegrität erreicht.

Darüber hinaus ist es von Vorteil, dass beim Schließen des Sicherheitsschalters die Funkschnittstelle des ersten Kommunikationsnetzes automatisch eine Gegenstation kontaktiert, wobei die Gegenstation mit dem zweiten, sicherheitskritischen Kommunikationsnetz über das erste Kommunikationsnetz Verbindung aufnimmt. D.h., wenn der Schalter geschlossen wird, erst dann wird es ermöglicht, dass eine Gegenstation mit dem sicherheitskritischen Kommunikationsnetz Verbindung aufnimmt. Auch dies erhöht die Sicherheit der erfindungsgemäßen Vorrichtung. Die Gegenstation kann dabei schon vom Hersteller fest und unlöschbar vorprogrammiert sein.

Zeichnung
Ausführungsbeispiele der Erfindung werden in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert. Es zeigt
1 ein Blockschaltbild der erfindungsgemäßen Vorrichtung,
2 ein erstes Flußdiagramm und
3 ein zweite Flußdiagramm.
Beschreibung
Durch die zunehmende Vernetzung von Komponenten in Kraftfahrzeugen, zum einen im Bereich des Motormanagements und zum anderen im Bereich der Multimediakomponenten wird es notwendig, beide Bereiche zu verknüpfen, um beispielsweise eine Ferndiagnose des Motors durchzuführen oder eine neue Software für ein ABS-System zu laden. Dabei ist es vorteilhafterweise so, dass die Multimediakomponenten eine Funkschnittstelle aufweisen, die insbesondere als Mobiltelefon ausgebildet ist. Erfindungsgemäß wird nun zwischen einem sicherheitskritischen Kommunikationsnetz und dem Multimedia-Kommunikationsnetz ein Sicherheitsschalter vorgesehen, der allein durch einen Benutzer geschlossen werden kann. Damit geschieht ein Zugriff auf das sicherheitskritische Kommunikationsnetz nur mit Zustimmung des Benutzers.
In 1 ist als Blockschaltbild die erfindungsgemäße Vorrichtung dargestellt. Ein Sicherheitsschalter 1 ist auf der einen Seite mit einem Sicherheitsnetzwerk 2 und auf der anderen Seite mit einem Multimedianetzwerk 3 verbunden. Das Öffnen des Sicherheitsschalters 1 führt zu einer galvanischen Trennung des Sicherheitsnetzwerks 2 und des Multimedianetzwerks 3. Hier ist jedoch vorgesehen, dass eine optionale permanente Verbindung zwischen dem Sicherheitsnetzwerk und dem Multimedianetzwerk besteht, die allerdings nur eine Einwegkommunikation von dem Sicherheitsnetzwerk 2 zu dem Multimedianetzwerk 3 ermöglicht. Es werden also nur Systemdaten von dem Sicherheitsnetzwerk 2 zur Darstellung im Multimedianetzwerk 3 übertragen. Damit wird ein Zugriff auf die Komponenten des Sicherheitsnetzes, Bremse oder Motorsteuerung, vermieden. An das Multimedianetzwerk 3 ist hier ein Autoradio 6 und eine Ansteuerung für ein Mobiltelefon 4 über Datenein-/-ausgänge angeschlossen. Über einen Datenein-/-ausgang ist weiterhin die Ansteuerung 4 mit einem Mobiltelefon 5 verbunden. Es ist möglich, dass weitere Komponenten wie ein Navigationsgerät oder ein Auto-PC an das Multimedianetzwerk 3 anschließbar sind. Das Multimedianetzwerk 3 ist hier als MOST-Bus ausgeführt, es ist jedoch auch möglich, den sogenannten Firewire-Bus oder einen beliebigen anderen Bus (Ethernet, VSB) zu verwenden.
An das Sicherheitsnetzwerk 2 ist ein ABS (Anti Blockier System) 8 und ein ESP (Elektronisches Fahrdynamiksystem) 7 angeschlossen. Das Sicherheitsnetzwerk 2 ist hier als CAN-Bus ausgeführt. Es ist möglich, weitere Komponenten wie eine Motorsteuerung an den CAN-Bus anzuschließen.
Der Benutzer des Kraftfahrzeugs wird den Sicherheitsschalter 1 beispielsweise durch Betätigung eines Schalters oder einer Taste oder durch ein Sprachkommando schließen, wenn er wünscht, dass eine Diagnose der an das Sicherheitsnetz 2 angeschlossenen Komponenten 7 und 8 durchgeführt wird. Dabei ist auch ein Softwareupdate dieser einzelnen Komponenten 7 und 8 möglich. Über das Mobiltelefon 5 wird dabei eine Verbindung zu einem Server von einer Firma, die eine Fernwartung durchführt, hergestellt.
In 2 ist als ein erstes Flußdiagramm ein erfindungsgemäßes Verfahren dargestellt. In Verfahrensschritt 9 schließt ein Benutzer den Sicherheitsschalter 1. In Verfahrensschritt 10 werden dann noch existierende Mobiltelefonverbindungen über das Mobiltelefon 5 abgebrochen. In Verfahrensschritt 11 wird das Multimedianetzwerk 3 neu gestartet und erkennt in Verfahrensschritt 12, dass der Sicherheitsschalter 1 geschlossen wurde. Da dies der Fall ist, wird durch die Ansteuerung 4 eine Verbindung zu einem in der Ansteuerung 4 unveränderbar abgespeicherten Server über das Mobiltelefon 5 hergestellt. Dann kann von dem Server aus eine Fernwartung der an das Sicherheitsnetzwerk angeschlossenen Geräte 7 und 8 durchgeführt werden und gegebenenfalls ein Softwaredownload ausgeführt werden. Ein Öffnen des Sicherheitsschalters 1 kann nach Abschluß der Diagnose und des Softwaredownloads automatisch erfolgen. Alternativ kann dies von Hand erfolgen. Dies ist in Verfahrensschritt 20 angegeben. Danach kann wieder eine beliebige Kommunikationsverbindung vom Multimedianetz 3 aus mit dem Mobiltelefon 5 aufgebaut werden.
In 3 ist ein zweites Flußdiagramm eines erfindungsgemäßen Verfahrens dargestellt. In Verfahrensschritt 14 stellt ein Benutzer mit dem Mobiltelefon 5 eine Verbindung zu einem vorbestimmten Server her, der zu einer Firma gehört, die eine Fernwartung durchführt. In Verfahrensschritt 15 fragt der Benutzer mit dem Mobiltelefon 5 ein Softwareupdate an. Dann schließt der Benutzer in Verfahrensschritt 16 die Verbindung über das Mobiltelefon. In Verfahrensschritt 17 wird dann der Sicherheitsschalter 1 geschlossen und in Verfahrensschritt 18 empfängt die erfindungsgemäße Vorrichtung über das Mobiltelefon 5 einen Anruf des vorher gerufenen Servers. Die erfindungsgemäße Vorrichtung ist nur in der Lage, diesen Anruf anzunehmen, wenn der Sicherheitsschalter 1 geschlossen ist. In Verfahrensschritt 19 wird dann das Softwareupdate von dem Server über das Mobiltelefon 5 und die Ansteuerung 4 in die entsprechende Komponente, die an das Sicherheitsnetzwerk 3 angeschlossen ist, geladen. In Verfahrensschritt 21 erfolgt wieder das Öffnen des Sicherheitsschalters 1.

Claims

Vorrichtung zur Verbindung von Kommunikationsnetzen (2, 3) in einem Kraftfahrzeug, wobei wenigstens zwei Kommunikationsnetze (2, 3) in einem Kraftfahrzeug vorhanden sind, wobei die Vorrichtung einen Sicherheitsschalter (1) aufweist, mit dem die wenigstens zwei Kommunikationsnetze (2, 3) verbindbar sind, dadurch gekennzeichnet, dass ein Kommunikationsnetz sicherheitskritisch ist und ein Kommunikationsnetz nicht sicherheitskritisch und dass zwischen den wenigstens zwei Kommunikationsnetzen (2, 3) eine permanente Einwegkommunikation von dem sicherheitskritischen Kommunikationsnetz zu dem nicht sicherheitskritischen Kommunikationsnetz besteht, die durch Schließen des Sicherheitsschalters (1) zu einer Duplexkommunikation erweiterbar ist.
Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass ein erstes Kommunikationsnetz (3) eine Funkschnittstelle (4, 5) aufweist, die durch das Schließen des Sicherheitsschalters (1) aktivierbar ist.
Vorrichtung nach Anspruch 2, dadurch gekennzeichnet, dass nur bei geschlossenem Sicherheitsschalter (1) Daten über die Funkschnittstelle (4, 5) empfangbar sind.
Vorrichtung nach Anspruch 2 oder 3, dadurch gekennzeichnet, dass bei Schließen des Sicherheitsschalters (1) die Funkschnittstelle (4, 5) automatisch eine Gegenstation kontaktiert, wobei die Gegenstation mit einem zweiten Kommunikationsnetz in dem Fahrzeug Verbindung aufnimmt.
Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass durch den Sicherheitsschalter (1) eine galvanische Trennung der beiden Kommunikationsnetze (2, 3) bereitgestellt wird.
Vorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Sicherheitsschalter (1) nur durch einen Benutzer schließbar ist.