DE102004032807A1

DE102004032807A1 - Vorrichtung und Verfahren zur Erhöhung der Systemsicherheit von Fahrzeuginstrumentenanzeigen und Fahrzeugsteuergeräten

Info

Publication number: DE102004032807A1
Application number: DE102004032807A
Authority: DE
Inventors: Heiko Bald; Aiko Böhme
Original assignee: Adam Opel GmbH
Current assignee: GM Global Technology Operations LLC
Priority date: 2004-07-07
Filing date: 2004-07-07
Publication date: 2006-02-16

Abstract

Eine Vorrichtung zur Erhöhung der Systemsicherheit von Fahrzeuginstrumentanzeigen und Fahrzeugsteuergeräten umfasst mindestens eine Anzeigesteuerung (1), die mindestens ein Anzeigeelement (2) ansteuert, und mindestens ein Steuergerät (3), das Funktionszustandssignale an die Anzeigesteuerung (1) zur Anzeige an das Anzeigeelement (2) abgibt. Damit die Vorrichtung unter allen Umständen Zustands- oder Fehleranzeigen auch tatsächlich für den Fahrer sichtbar macht, ist die Anzeigesteuerung (1) zu ihrer Überwachung mit einer Überwachungsvorrichtung (4) verbunden. Darüber hinaus wird ein einfaches und kostengünstiges Verfahren zur Erhöhung der Systemsicherheit von Fahrzeuginstrumentenanzeigen und Fahrzeugsteuergeräten geschaffen.

Description

Die Erfindung bezieht sich auf eine Vorrichtung zur Erhöhung der Systemsicherheit von Fahrzeuginstrumentenanzeigen und Fahrzeugsteuergeräten mit mindestens einer Anzeigesteuerung, die mindestens ein Anzeigeelement ansteuert, und mit mindestens einem Steuergerät, das Funktionssignale an die Anzeigesteuerung zur Anzeige durch das Anzeigeelement abgibt. Darüber hinaus bezieht sich die Erfindung auf ein Verfahren zur Erhöhung der Systemsicherheit von Fahrzeuginstrumentenanzeigen und Fahrzeugsteuergeräten, wobei mindestens ein Steuergerät ein Funktionszustandssignal zur Anzeige mittels mindestens eines Anzeigeelements an mindestens eine Anzeigesteuerung abgibt.

Es ist bekannt, Anzeigeelemente für Kraftfahrzeuge, wie z. B. Kontrolllampen einer Instrumententafel, mit einer Überwachungsschaltung auszurüsten. Falls beim Ansteuern einer Kontrolllampe die Überwachungsschaltung einen Defekt feststellt, gibt die Überwachungsschaltung eine Fehlermeldung aus. Diese Fehlermeldung wird meist auf einem in der Instrumententafel angeordneten Display angezeigt und in einem Bordcomputer zur Diagnoseabfrage abgespeichert. Die Überwachungsschaltung überprüft zur Fehlerdiagnose die Stromcharakteristik bzw. die Lichtintensität der Kontrolllampe. Weicht diese von einem bestimmten Grundmuster ab, so diagnostiziert die Überwachungsschaltung einen Defekt.

Ein solches herkömmliches System ist insofern nachteilig, als nur die Hardware der Anzeigeelemente überprüft wird. Es können nicht alle denkbaren Fehlermöglichkeiten überwacht werden. Denkbare Fehler treten vor allem an einer Kontrolllampenansteuerung zunehmend deshalb auf, da mehr und mehr Steuergeräte eines Kraftfahrzeugs über Software ihre einzelnen Signale an die Anzeigesteuerung weitergeben. Die Steuergeräte sind in einem vernetzten System, insbesondere in einer Busstruktur, miteinander verbunden. Darum wird die Kontrolllampenansteuerung von einem steigenden Softwareanteil geprägt, der die Funktionssignale an den Kontrolllampen mit umsetzt. Eine solche komplexe Programmierung birgt im steigendem Maße Fehlerquellen.

Es ist Aufgabe der Erfindung, eine Vorrichtung der eingangs genannten Art zu schaffen, die einfach und sehr kostengünstig aufgebaut ist und die unter allen Umständen Zustands- oder Fehleranzeigen auch tatsächlich für den Fahrer sichtbar macht. Es ist darüber hinaus Aufgabe der Erfindung, ein einfaches und kostengünstiges Verfahren zur Erhöhung der Systemsicherheit von Fahrzeuginstrumentenanzeigen und Fahrzeugsteuergeräten zu schaffen, um Zustands- oder Fehleranzeigen auch tatsächlich für den Fahrer sichtbar zu machen und eine erhöhte Systemsicherheit bereitzustellen.

In Verbindung mit dem Oberbegriff des Anspruchs 1 wird die Aufgabe vorrichtungsgemäß dadurch gelöst, dass die Anzeigesteuerung zu ihrer Überwachung mit einer Überwachungsvorrichtung verbunden ist.

Kerngedanken der Erfindung sind, die Überwachungsschaltung sowohl Software- als auch hardwareseitig von der Anzeigesteuerung getrennt auszuführen und die Überwachungsvorrichtung vor allem softwareseitig die Umsetzung der Anzei gensteuerung von Funktionssignalen der Steuergeräte überprüfen zu lassen. Alternativ ist es natürlich denkbar, die Hardware der Überwachungsvorrichtung kostengünstig mit der Hardware der Anzeigesteuerung vereint in einem Modul auszuführen.

Es kann eine einzige Anzeigesteuerung vorgesehen sein, die von der Überwachungsvorrichtung kontrolliert wird und die eine Vielzahl von Anzeigeelementen ansteuert. Es ist aber auch möglich, mehrere Anzeigesteuerungen für ein oder mehrere Anzeigeelemente vorzusehen. Die Überwachungsschaltung kann dann entweder alle Anzeigesteuerungen überprüfen oder mehrfach an jeder Anzeigesteuerung angeordnet sein. Die spezielle Ausführung hängt vom Anwendungsfall ab.

Vorzugsweise ist das Anzeigeelement zu seiner Überwachung mit einer zusätzlichen Überwachungsschaltung verbunden. Diese Überwachungsschaltung überprüft das Anzeigeelement im Instrumentendisplay in erster Linie hardwareseitig. Die Überwachungsschaltung stellt anhand der elektrischen Stromcharakteristik oder der Lichtintensität fest, ob das Anzeigeelement ordnungsgemäß funktioniert. Sie ist deshalb in der Regel in einer elektrischen Schaltung gleich hinter dem Anzeigeelement geschaltet.

Um den Verkabelungsaufwand zu vereinfachen und den Kabelverbrauch zu reduzieren, ist zumindest ein Teil der erfindungsnotwendigen Komponenten, insbesondere das Steuergerät, in einer Busstruktur angeordnet. Eine Busstruktur hat den Vorteil, den anderen Steuergeräten mitzuteilen, welches Anzeigeelement oder welche Anzeigesteuerungsprozedur funktionsuntüchtig ist. Somit wird ein Rationalisierungseffekt bei der Ansteuerung von Anzeigeelementen erzeugt, da die Steuergeräte gleich eine funktionstüchtige Prozedur oder ein Anzeigeelement ansteuern können.

Praktischerweise ist das Steuergerät ein sicherheitskritisches, vorzugsweise ein ABS- und/oder ein ESP- und/oder ein ASR- und/oder ein Airbag-System. Für den Fahrer ist es wichtig zu wissen, welches sicherheitskritische System funktioniert bzw. nicht funktioniert, um entsprechend zu entscheiden und zu reagieren.

Um die Systemsicherheit zu erhöhen, schaltet die Überwachungsschaltung das Steuergerät in einen als „sicher"definierten Zustand, wenn Anzeigesignale nicht umgesetzt wurden. Als „sicherer" Zustand kann je nach Bedarf und Anwendung des Steuergeräts der eingeschaltete oder der ausgeschaltete Zustand durch Programmierung oder Schaltauswahl von Schaltern definiert werden. Bevorzugt wird der sichere Zustand als eingeschaltetes Steuergerät festgelegt. Somit wird gewährleistet, dass ein sicherheitskritisches System trotzdem eingesetzt wird, obwohl die Anzeigesteuerung bzw. das Anzeigeelement fehlerhaft arbeitet.

Erfindungsgemäß wird die Aufgabe hinsichtlich des Verfahrens dadurch gelöst, dass eine Überwachungsvorrichtung permanent den Funktionszustand der Anzeigesteuerung abfragt, die von dem Steuergerät zur Ansteuerung des Anzeigeelementes ein Signal empfangen kann. Somit wird auch softwareseitig sichergestellt, dass die Anzeigesteuerung ordnungsgemäß funktioniert bzw. bei Fehlern alternative Dispositionen getroffen werden können.

In Ausgestaltung des Verfahrens überprüft eine zusätzliche Überwachungsschaltung das Anzeigeelement. Diese Überprüfung findet in einer nach dem Stand der Technik bekannten Weise statt.

Nach einer vorteilhaften Weiterbildung erhält das Steuergerät von der Überwachungsvorrichtung eine Rückmeldung über die Umsetzung eines an die Anzeigesteuerung abgegebenen Signals und gibt bei Nichtumsetzung des Signals ein redundantes Anzeigesignal zur Anzeige an ein anderes Anzeigeelement ab. Wird somit entweder hardwareseitig oder softwareseitig ein Anzeigesignal nicht umgesetzt, so kann ein ersetzendes, redundantes Anzeigesignal die Funktion übernehmen. Über ein Zeichendisplay kann die geänderte Anzeigenform dem Fahrer mitgeteilt werden.

Alternativ versetzt sich das Steuergerät bei einer Nichtumsetzung des Signals in einen sicheren Zustand. Dieser sichere Zustand kann z. B. bedeuten, dass das Steuergerät aus Sicherheitsgründen eingeschaltet wird, obwohl normalerweise der Fahrzeugfahrer oder Sensoren über den generellen Einschaltungszustand des Steuergeräts entscheiden. Sicherheitsrelevante Steuergeräte werden letztendlich durch Sensoren aktiviert, die einen definierten sicherheitskritischen Zustand messen.

Es versteht sich, dass die vorstehend genannten und nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen verwendbar sind. Der Rahmen der Erfindung ist nur durch die Ansprüche definiert.

Die Erfindung wird im Folgenden anhand eines Ausführungsbeispiels unter Bezugnahme auf eine zugehörige Zeichnung näher erläutert. Die einzige Fig. der Zeichnung zeigt einen schematischen Schaltplan mit einer erfindungsgemäßen Vorrichtung.

In der Fig. ist schematisch und abstrahiert die Vorrichtung mit ihren wesentlichen elektrischen Verbindungen und Datenverbindungen dargestellt. Eine Anzeigesteuerung 1 steuert Anzeigeelemente 2_1-5 an. Die Anzeigeelemente 2_1,3-5 sind im Wesentlichen Kontrollleuchten. Das Anzeigeelement 2₂ ist ein Display, das Schriftzeichen und Zahlen anzeigen kann. Mittels dieses Anzeigeelements 2₂ können dem Fahrer Informationen in Schriftform dargestellt werden. Die Verbindung zwischen der Anzeigesteuerung 1 und den Anzeigeelementen 2_1-5 ist entweder eine Busstruktur oder jeweils eine Punkt-zu-Punkt- Verbindung. Mit der Anzeigesteuerung 1 sind zur Ausgabe von Signalen viele verschiedene Steuergeräte 3, insbesondere Sicherheitssteuergeräte, wie beispielsweise ein ABS-System 3₁ , ein ASR-System 3₃ , ein Airbag-System 3₄ , ein ESP-System 3₅ usw., verbunden. Der Aktor 3₂ steht für ein weiteres Sicherheitsgerätesystem. Die Verbindungen der Steuergeräte 3 zur Anzeigesteuerung 1 erfolgen über ein Bussystem, wie in der Fig. dargestellt, oder über eine Einzelverdrahtung.
Die verschiedenen Steuergeräte 3 werden entweder über ein vom Fahrzeugführer betätigbares Bedienelement 7 oder/und durch Sensoren 8 eingeschaltet. Die Sensoren 8 und das Bedienelement 7 sind aus dem Stand der Technik bekannt. Das Bedienelement 7 hat verschiedene Schaltstufen, die die Steuergeräte 3 unterschiedlich einschalten, z.B. steht der Schalter auf 0, wenn überhaupt kein Steuergerät 3 eingeschaltet werden soll. Der Schaltzustand C, wie Comfort, schaltet alle Steuergeräte 3 ein. Dagegen sind im Schaltzustand S, wie Sportive, bestimmte Steuergeräte 3 zur Fahrdynamik ausgeschaltet, um sportlicher fahren zu können. Im Schaltzustand A sind nur bestimmte Steuergeräte 3 eingeschaltet. Beispielsweise kann durch einen solchen Schaltzustand nur der Fahrerairbag eingeschaltet und der Beifahrerairbag bewusst ausgeschaltet werden, z.B. weil auf dem Beifahrersitz sich ein Kind in einem Kindersitz befindet oder weil der Beifahrersitz nicht besetzt ist und deshalb im Ernstfall der Beifahrerairbag nicht ausgelöst werden soll.
Die Steuergeräte 3_1–5 geben ein Funktionssignal an die Anzeigesteuerung 1 ab, wenn sie sich in einem aktiven Zustand befinden und aufgrund eines entsprechenden Sensors 8 aktiviert werden. Sie geben zusätzlich ein Funktionssignal an die Anzeigesteuerung 1, wenn ihre Funktion aus irgendeinem Grunde defekt ist.
Damit die Anzeigeelemente 2_1–5 während ihres Betriebs auf ihre Funktionstüchtigkeit überprüft werden können, ist zwischen der Anzeigesteuerung 1 und den Anzeigeelementen 2_1–5 eine Überwachungsschaltung 5 dazwischengeschaltet. Die Überwachungsschaltung 5 ist aus dem Stand der Technik bekannt und überprüft die elektrische Stromcharakteristik der Anzeigeelemente 2_1–5 und/oder die Lichtintensität, um die Funktionstüchtigkeit festzustellen. Stellt die Überwachungsschaltung 5 einen Fehler fest, so gibt die Überwachungsschaltung 5 diese Fehlermeldung an die Anzeigesteuerung 1 weiter. Die Anzeigesteuerung 1 kann dann mittels als Display ausgebildeten Anzeigeelementen 2₂ auf die Fehlfunktion den Fahrer hinweisen und außerdem die Information an einen Bordcomputer 9 weiterleiten. Der Bordcomputer 9 speichert diese Informationen und gibt sie bei Wartungsarbeiten in einem Reparaturbetrieb wieder aus.
Natürlich können die Anzeigesteuerung 1, die Überwachungsschaltung 5 und ein oder mehrere Anzeigeelemente 2 in einem Anzeigengerät zusammengefasst sein. In der Fig. sind diese jedoch aus Gründen der Übersichtlichkeit getrennt dargestellt.
Da die Anzeigesteuerung 1 zunehmend nicht nur aus elektronischen Hardwarekomponenten, sondern auch aus Softwarekomponenten besteht, um die Funktionalität und die Flexibilität zu erhöhen, steigt die Fehlergefahr insbesondere softwareseitig erheblich an. Die Erfindung sieht deshalb vor, eine Überwachungsvorrichtung 4 hardware- und softwareseitig von der Anzeigesteuerung 1 getrennt zwischen die Steuergeräte 3_1–5 und die Anzeigesteuerung 1 zu schalten. Die Überwachungsvorrichtung 4 überprüft somit nicht nur hardwareseitig, ob die Anzeigesteuerung 1 ein Funktionssignal von einem Steuergerät 3_1–5 umgesetzt hat, sondern auch softwareseitig, ob die Software der Anzeigesteuerung 1 ordnungsgemäß funktioniert und die Anzeigesteuerung 1 das entsprechende Anzeigeelement 2_1–5 angesteuert hat.
Ein Steuergerät 3_1–5 wird von der Überwachungsvorrichtung 4 unterrichtet, ob ein gesendetes Funktionszustandssignal erfolgreich umgesetzt worden ist.
Sollte ein Fehler bei der Anzeigesteuerung 1 oder bei einem angesteuerten Anzeigeelement 2_1–5 auftreten, so übermittelt die Überwachungsvorrichtung 4 über elektrische Leitungen und/oder Datenleitungen dies dem entsprechenden Steuergerät 3_1–5 , das das Funktionszustandssignal zur Anzeige ausgesendet hat. Das Steuergerät 3_1–5 entscheidet nun selbständig, wie es weiter vorgehen will. Eine Möglichkeit besteht darin, ein erneutes Funktionszustandssignal an ein anderes Anzeigeelement 2_1–5 abzugeben und eine erneute Anzeige zu versuchen. Eine weitere alternative Möglichkeit ist, sich in einen sogenannten sicheren Zustand zu versetzen. Dafür ist eine Schaltvorrichtung 6_1-5 in jedem Steuergerät 3_1–5 integriert. In der Schaltvorrichtung 6₁ sind die verschiedenen Betriebszustände eines Steuergeräts 5 definiert und Algorithmen festgelegt, wie auf bestimmte Fehlermeldungen zu reagieren ist.
Ein sicherer Zustand kann z. B. ein aktiv eingeschalteter Zustand sein, z. B. wird das ABS, ESP und ASR eingeschaltet. Dies ist natürlich davon abhängig, welche Steuergeräte der Fahrzeugführer über das Bedienelement 7 aktiviert hat. Der Fahrzeugführer kann über das Bedienelement 7 Steuergeräte deaktivieren, z. B. weil er sportlich fahren will oder weil bestimmte Steuergeräte nicht benötigt werden, z. B. weil sich keine hinteren Insassen auf den Rücksitzen befinden, können die zugeordneten Sicherheitssysteme auf den Rücksitzen ausgeschaltet werden, oder er möchte das Energiesystem im Fahrzeug optimieren und schaltet nicht benötigte Steuergeräte aus.
Die erfindungsgemäße Vorrichtung benötigt keinen Wesentlichen zusätzlichen Materialaufwand und erhöht die Sicherheit sowohl der Anzeigeelemente als auch der Steuergerä te. Der Fahrzeugführer bzw. das Steuergerät 3_1–5 erkennt schneller Fehlfunktionen, falls Anzeigebefehle nicht umgesetzt oder fälschlicherweise umgesetzt worden sind.

1: Anzeigesteuerung
2: Anzeigeelement
3: Steuergerät
4: Überwachungsvorrichtung für die Anzeigesteuerung
5: Überwachungsschaltung für das Anzeigeelement
6: Schaltvorrichtung
7: Bedienelement
8: Sensor
9: Bordcomputer

Claims

Vorrichtung zur Erhöhung der Systemsicherheit von Fahrzeuginstrumentenanzeigen und Fahrzeugsteuergeräten mit mindestens einer Anzeigesteuerung (1), die mindestens ein Anzeigeelement (2) ansteuert und mit mindestens einem Steuergerät (3), das Funktionszustandssignale an die Anzeigesteuerung (1) zur Anzeige durch das Anzeigeelement (2) abgibt, dadurch gekennzeichnet, dass die Anzeigesteuerung (1) zu ihrer Überwachung mit einer Überwachungsvorrichtung (4) verbunden ist.
Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass das Anzeigeelement (2) zu seiner Überwachung mit einer Überwachungsschaltung (5) verbunden ist.
Vorrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass zumindest ein Teil der erfindungsnotwendigen Komponenten, insbesondere das Steuergerät (3), in einer Busstruktur angeordnet ist.
Vorrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass das Steuergerät (3) ein sicherheitskritisches ist, vorzugsweise ein ABS- und/oder ein ESP- und/oder ein ASP- und/oder ein Airbag-System.
Vorrichtung nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Überwachungsschaltung (5) das Steuergerät (3) in einen als „sicher"-definierten Zustand schaltet, wenn Anzeigesignale nicht umgesetzt wurden.
Verfahren zur Erhöhung der Systemsicherheit von Fahrzeuginstrumentenanzeigen und Fahrzeugsteuergeräten, wobei mindestens ein Steuergerät (3) ein Funktionszustandssignal zur Anzeige mittels mindestens eines Anzeigeelements (2) an mindestens eine Anzeigesteuerung (1) abgibt, dadurch gekennzeichnet, dass eine Überwachungsvorrichtung (4) permanent den Funktionszustand der Anzeigesteuerung (1) abfragt, die von dem Steuergerät (3) zur Ansteuerung des Anzeigeelements (2) ein Signal empfangen kann.
Verfahren nach Anspruch 6, dadurch gekennzeichnet, dass eine Überwachungsschaltung (5) das Anzeigeelement (2) permanent überprüft.
Verfahren nach Anspruch 6 oder 7, dadurch gekennzeichnet, dass das Steuergerät (3) von der Überwachungsvorrichtung (4) eine Rückmeldung über die Umsetzung eines an die Anzeigesteuerung (1) abgegebenen Signals erhält und bei Nichtumsetzung des Signals ein redundantes Anzeigensignal zur Anzeige an ein anderes Anzeigeelement abgibt.
Verfahren nach Anspruch 8, dadurch gekennzeichnet, dass das Steuergerät (3) sich bei einer Nichtumsetzung des Signals alternativ in einen sicheren Zustand versetzt.