DE102016105876A1

DE102016105876A1 - Elektronisches Steuergerät für ein Fahrzeug mit separater Datenverbindung, Assistenzsystem, Fahrzeug sowie Verfahren

Info

Publication number: DE102016105876A1
Application number: DE102016105876.9A
Authority: DE
Inventors: Tomas Daujotas; Mutlu Aydin; John Tynan; Arturo Crespo
Original assignee: Connaught Electronics Ltd
Current assignee: Connaught Electronics Ltd
Priority date: 2016-03-31
Filing date: 2016-03-31
Publication date: 2017-10-05
Also published as: WO2017167820A1

Abstract

Die Erfindung betrifft ein elektronisches Steuergerät (9) für ein Fahrzeug (1), mit einer ersten Recheneinrichtung (14) zum Empfangen von Fahrzeugdaten des Fahrzeugs (1) und mit einer zweiten Recheneinrichtung (15) zum Empfangen von Sensordaten zumindest eines Sensors (3) des Fahrzeugs (1) und zum Bestimmen von sicherheitsrelevanten Daten für eine sicherheitsrelevante Komponente (12) des Fahrzeugs (1) anhand der Sensordaten, wobei die erste Recheneinrichtung (14) und die zweite Recheneinrichtung (15) zur Übertragung der Fahrzeugdaten und/oder der sicherheitsrelevanten Daten verbunden sind, wobei die erste Recheneinrichtung (14) und die zweite Recheneinrichtung (15) über eine erste Datenverbindung (30) zum Übertragen der Fahrzeugdaten und über eine zur ersten Datenverbindung (30) separate, zweite Datenverbindung (31) zur Übertragung der sicherheitsrelevanten Daten verbunden sind.

Description

Die vorliegende Erfindung betrifft ein elektronisches Steuergerät für ein Fahrzeug, mit einer ersten Recheneinrichtung zum Empfangen von Fahrzeugdaten des Fahrzeugs und mit einer zweiten Recheneinrichtung zum Empfangen von Sensordaten zumindest eines Sensors des Fahrzeugs und zum Bestimmen von sicherheitsrelevanten Daten für eine sicherheitsrelevante Komponente des Fahrzeugs anhand der Sensordaten, wobei die erste Recheneinrichtung und die zweite Recheneinrichtung zur Übertragung der Fahrzeugdaten und/oder der sicherheitsrelevanten Daten verbunden sind. Ferner betrifft die vorliegende Erfindung ein Assistenzsystem für ein Fahrzeug. Des Weiteren betrifft die Erfindung ein Fahrzeug mit einem solchen Assistenzsystem. Schließlich betrifft die vorliegende Erfindung ein Verfahren zum Betreiben eines elektronischen Steuergeräts für ein Fahrzeug.
Das Interesse richtet sich vorliegend auf elektronische Steuergeräte für Fahrzeuge, insbesondere für Kraftfahrzeuge. In modernen Kraftfahrzeugen wird eine Vielzahl von elektronischen Steuergeräten verwendet. Diese elektronischen Steuergeräte können beispielsweise unterschiedlichen Fahrerassistenzsystemen des Kraftfahrzeugs zugeordnet sein. Diese elektronischen Steuergeräte können einen oder mehrere Recheneinrichtungen umfassen, welche beispielsweise als Mikrocontroller, als digitaler Signalprozessor, als wählbare Ausgabesteuerung, als integrierte Schaltung oder dergleichen ausgebildet sein können. Mit diesen Recheneinrichtungen können Signale von einem Fahrzeugdatenbus empfangen werden oder Signale über den Fahrzeugdatenbus gesendet werden. Des Weiteren können die Recheneinrichtungen mit Sensoren des Kraftfahrzeugs bzw. Fahrerassistenzsystem verbunden sein, und Sensordaten von diesen Sensoren empfangen.
Anhand der empfangenen Sensordaten können mit Hilfe der Recheneinrichtungen auch sicherheitsrelevante Daten bestimmt werden. Solche sicherheitsrelevanten Daten können beispielsweise sicherheitsrelevanten Komponenten bzw. sicherheitsrelevanten Funktionen des Fahrzeugs zugeordnet sein. Wenn eine solche sicherheitsrelevante Komponente in dem Fahrzeug ausfällt, kann sich beispielsweise ein maßgebliches Risiko für die Fahrzeuginsassen und/oder die Umwelt ergeben. Um solche sicherheitsrelevanten Daten zu erzeugen, ist es erforderlich, dass die Recheneinrichtung gemäß einer Sicherheitsnorm ausgebildet ist. In gleicher Weise müssen die Datenverbindungen, über welche die sicherheitsrelevanten Daten übertragen werden, gemäß einer Sicherheitsnorm ausgebildet sein. Beispielsweise können die Recheneinrichtung und/oder die Datenverbindung gemäß einer vorbestimmten Sicherheitsanforderungsstufe ausgebildet sein. Eine solche Sicherheitsanforderungsstufe ist auch unter der Bezeichnung ASIL (Automotive Safety Integrity Level) bekannt.
Hierzu beschreibt die US 2015/0057908 A1 ein elektronisches Steuergerät für einen Verbrennungsmotor eines Kraftfahrzeugs. Das elektronische Steuergerät umfasst einen Mikrocontroller und einen integrierten Schaltkreis, welche über eine Datenleitung miteinander kommunizieren können. Mit dem Mikrocontroller können sicherheitsrelevante Funktionen mit einer vorbestimmten Sicherheitsanforderungsstufe durchgeführt werden. Der integrierte Schaltkreis kann ebenfalls sicherheitsrelevante Funktionen mit einer im Vergleich zu dem Mikrocontroller geringeren Sicherheitsanforderungsstufe durchführen. Mit dem integrierten Schaltkreis kann für jede sicherheitskritische Funktion zudem eine Diagnosefunktion durchgeführt werden, um Fehler bei der Durchführung der sicherheitskritischen Funktion zu erkennen.
Es ist Aufgabe der vorliegenden Erfindung, eine Lösung aufzuzeigen, wie ein elektronisches Steuergerät für ein Fahrzeug sicherer und zuverlässiger betrieben werden kann.
Diese Aufgabe wird erfindungsgemäß durch ein elektronisches Steuergerät, durch ein Assistenzsystem, durch ein Fahrzeug sowie durch ein Verfahren mit den Merkmalen gemäß den jeweiligen unabhängigen Ansprüchen gelöst. Vorteilhafte Weiterbildungen der vorliegenden Erfindung sind Gegenstand der abhängigen Ansprüche.
Gemäß einer Ausführungsform umfasst ein elektronisches Steuergerät für ein Fahrzeug eine erste Recheneinrichtung zum Empfangen von Fahrzeugdaten des Fahrzeugs. Insbesondere umfasst das elektronische Steuergerät eine zweite Recheneinrichtung zum Empfangen von Sensordaten zumindest eines Sensors des Fahrzeugs. Bevorzugt ist die zweite Recheneinrichtung dazu ausgelegt, sicherheitsrelevante Daten für eine sicherheitsrelevante Komponente des Fahrzeugs anhand der Sensordaten zu bestimmen. Insbesondere sind die erste Recheneinrichtung und die zweite Recheneinrichtung zur Übertragung der Fahrzeugdaten und/oder der sicherheitsrelevanten Daten verbunden. Dabei ist es bevorzugt vorgesehen, dass die erste Recheneinrichtung und die zweite Recheneinrichtung über eine erste Datenverbindung zum Übertragen der Fahrzeugdaten und über eine zur ersten Datenverbindung separate, zweite Datenverbindung zur Übertragung der sicherheitsrelevanten Daten verbunden sind.
Ein erfindungsgemäßes elektronisches Steuergerät für ein Fahrzeug umfasst eine erste Recheneinrichtung zum Empfangen von Fahrzeugdaten des Fahrzeugs. Ferner umfasst das elektronische Steuergerät eine zweite Recheneinrichtung zum Empfangen von Sensordaten zumindest eines Sensors des Fahrzeugs und zum Bestimmen von sicherheitsrelevanten Daten für eine sicherheitsrelevante Komponente des Fahrzeugs anhand der Sensordaten. Dabei sind die erste Recheneinrichtung und die zweite Recheneinrichtung zur Übertragung der Fahrzeugdaten und/oder der sicherheitsrelevanten Daten verbunden. Des Weiteren sind die erste Recheneinrichtung und die zweite Recheneinrichtung über eine erste Datenverbindung zur Übertragung der Fahrzeugdaten und über eine zur ersten Datenverbindung separate, zweite Datenverbindung zur Übertragung der sicherheitsrelevanten Daten verbunden.
Das elektronische Steuergerät kann in einem Fahrzeug, insbesondere in einem Kraftfahrzeug eingesetzt werden. Das elektronische Steuergerät kann beispielsweise Teil eines Assistenzsystems des Fahrzeugs sein, welches den Fahrer beim Führen des Fahrzeugs unterstützt. Das elektronische Steuergerät umfasst zwei Recheneinrichtungen, die beispielsweise als Mikrocontroller, als wählbare Ausgabesteuerung (SOC – Selectable Output Control), als integrierter Schaltkreis, als digitaler Signalprozess oder dergleichen ausgebildet sein können. Mit der ersten Recheneinrichtung können Fahrzeugdaten des Fahrzeugs empfangen werden. Diese Fahrzeugdaten können beispielsweise über einen Fahrzeugdatenbus, der beispielsweise als CAN-Bus oder als Ethernet-Verbindung ausgebildet ist, empfangen werden. Mit der zweiten Recheneinrichtung können Sensordaten von zumindest einem Sensor des Fahrzeugs empfangen werden. Hierzu kann die zweite Recheneinrichtung über entsprechende Datenleitungen mit dem zumindest einen Sensor verbunden sein. Diese Sensordaten können beispielsweise die Umgebung des Fahrzeugs beschreiben.
Mit Hilfe der zweiten Recheneinrichtung können dann die sicherheitsrelevanten Daten anhand der Sensordaten bestimmt werden. Solche sicherheitsrelevanten Daten können vorbestimmte sicherheitsrelevante Daten sein. Diese sicherheitsrelevanten Daten können für eine sicherheitsrelevante Komponente oder eine sicherheitsrelevante Funktion des Fahrzeugs bestimmt sein. Insbesondere können diese sicherheitsrelevanten Daten auch zur Ansteuerung der sicherheitsrelevanten Komponente oder der sicherheitsrelevanten Funktion des Fahrzeugs dienen. Eine sicherheitsrelevante Komponente oder eine sicherheitsrelevante Funktion sind dadurch definiert, dass diese bei einem Ausfall zu einem maßgeblichen Risiko für die Insassen des Fahrzeugs, für andere Verkehrsteilnehmer oder allgemein für die Umwelt bedeuten. Dabei können die sicherheitsrelevanten Komponenten oder die sicherheitsrelevanten Funktionen gemäß einer vorbestimmten Sicherheitsnorm, beispielsweise der Norm ISO 26262, ausgebildet sein.
Ferner ist es vorgesehen, dass die Fahrzeugdaten und/oder die sicherheitsrelevanten Daten zwischen der ersten Recheneinrichtung und der zweiten Recheneinrichtung ausgetauscht werden. Beispielsweise können die Fahrzeugdaten von der ersten Einrichtung zu der zweiten Recheneinrichtung übertragen werden und die sicherheitsrelevanten Daten können von der zweiten Recheneinrichtung zu der ersten Recheneinrichtung zu der ersten Recheneinrichtung übertragen werden. Hierzu wird im Stand der Technik eine einzige Datenverbindung verwendet. Dies bringt aber den Nachteil mit sich, dass eine zuverlässige Übertragung der sicherheitsrelevanten Daten und insbesondere die Übertragung der sicherheitsrelevanten Daten innerhalb einer bestimmten Übertragungszeit nicht zuverlässig gewährleistet werden kann.
Erfindungsgemäß ist es nun vorgesehen, dass die erste Recheneinrichtung und die zweite Recheneinrichtung über eine erste Datenverbindung zum Übertragen der Fahrzeugdaten verbunden sind. Die erste Recheneinrichtung und die zweite Recheneinrichtung sind also mit der ersten Datenverbindung zur Datenübertragung übertragen. Über diese erste Datenverbindung werden insbesondere nur die Fahrzeugdaten übertragen. Dabei ist es insbesondere vorgesehen, dass die Fahrzeugdaten von der ersten Recheneinrichtung zu der zweiten Recheneinrichtung über die erste Datenverbindung übertragen werden. Des Weiteren ist eine zweite Datenverbindung vorgesehen, welche separate zur ersten Datenverbindung ausgebildet ist. Die erste und die zweite Datenverbindung unterscheiden sich also voneinander. Über diese zweite Datenverbindung sind die erste und die zweite Recheneinrichtung zur Übertragung der sicherheitsrelevanten Daten verbunden. Über diese zweite Datenverbindung werden bevorzugt nur die sicherheitsrelevanten Daten übertragen. Insbesondere werden die sicherheitsrelevanten Daten von der zweiten Recheneinrichtung zu der ersten Recheneinrichtung übertragen. Damit kann erreicht werden, dass die sicherheitsrelevanten Daten zuverlässig und innerhalb bei einer vorbestimmten Übertragungszeit übertragen werden können. Auf diese Weise können diese sicherheitsrelevanten Daten zuverlässig an die sicherheitskritische Komponente des Fahrzeugs übertragen werden. Damit kann insgesamt ein sicherer Betrieb des Fahrzeugs gewährleistet werden.
Bevorzugt ist die zweite Datenverbindung gemäß einer vorbestimmten Sicherheitsanforderungsstufe ausgebildet. Diese vorbestimmte Sicherheitsanforderungsstufe kann insbesondere der sogenannte Automotive Safety Integrity Level (ASIL) sein. Dieser stellt ein Maß für die Sicherheitsrelevanz einer Fehlfunktion dar. Diese Sicherheitsanforderungsstufe kann beispielsweise in Stufen von A bis D klassifiziert sein. Ferner kann die Stufe nicht sicherheitsrelevant, welche auch als QM (Quality Management) bezeichnet werden kann, vorgesehen sein. Dazu kann für jede identifizierte Gefährdung einzeln die Schwere der Auswirkung, die Häufigkeit der Fahrsituation und die Beherrschbarkeit der Fehlfunktion in der jeweiligen Fahrsituation abgeschätzt werden. Insbesondere ist die zweite Datenverbindung gemäß der Sicherheitsanforderungsstufe ASIL B ausgebildet. Ferner kann es vorgesehen sein, dass die erste Datenverbindung gemäß der Sicherheitsanforderungsstufe QM ausgebildet ist.
In einer Ausführungsform weist die zweite Recheneinrichtung einen ersten Prozessor und einen zweiten Prozessor auf, wobei der erste Prozessor mit einer ersten Datenleitung der ersten Datenverbindung und der zweite Prozessor mit einer zweiten Datenleitung der zweiten Datenverbindung verbunden sind. Die zweite Recheneinrichtung kann insbesondere einen Mehrkernprozessor umfassen. Der erste und der zweite Prozessor können durch Prozessorkerne des Mehrkernprozessors gebildet sein. Dabei können ein erster Prozessorkern über die erste Datenverbindung und der zweite Prozessorkern über die zweite Datenverbindung mit der ersten Recheneinrichtung verbunden sein. Die jeweiligen Prozessoren bzw. Prozessorkerne können jeweilige Schnittstellen aufweisen, an denen die Datenleitung angeordnet sein kann. Dabei können der erste Prozessor und der zweite Prozessor isoliert ausgebildet sein. Dies bedeutet, dass auf jeden der Prozessoren ein separates Programm zum Ablauf gebracht wird. Insbesondere kann der erste Prozessor und der zweite Prozessor unabhängig voneinander betrieben werden und es erfolgt kein Datenaustausch zwischen dem ersten Prozessor und dem zweiten Prozessor. Somit können auf zuverlässige Weise zwei separate Datenverbindungen bereitgestellt werden.
In einer weiteren Ausgestaltung weist das elektronische Steuergerät eine Speichereinrichtung zum Speichern der Sensordaten auf und der zweite Prozessor ist dazu ausgelegt, die sicherheitsrelevanten Daten anhand der auf der Speichereinrichtung gespeicherten Sensordaten zu bestimmen. Die zweite Recheneinrichtung kann beispielsweise einen entsprechenden Dateneingang umfassen, mit dem die Sensordaten von dem zumindest einen Sensor empfangen werden können. Diese Dateneingang kann mit der Speichereinrichtung verbunden sein. Somit können die Sensordaten auf die Speichereinrichtung übertragen werden. Dabei kann es ferner vorgesehen sein, dass die jeweiligen Prozessoren unabhängig voneinander auf die Speichereinrichtung bzw. auf die gespeicherten Sensordaten zugreifen können. Der zweite Prozessor kann nun auf Grundlage dieser gespeicherten Sensordaten die sicherheitsrelevanten Daten bestimmen. Dies ermöglicht eine zuverlässige Bestimmung der sicherheitsrelevanten Daten.
Weiterhin ist es vorteilhaft, wenn die zweite Recheneinrichtung einen dritten Prozessor aufweist, welcher dazu ausgelegt ist, Kalibrierdaten, welche eine Kalibrierung des zumindest einen Sensors beschreiben, und/oder Zustandsdaten, welche einen Zustand des zumindest einen Sensors beschreiben, auf der Speichereinrichtung zu speichern und dass der zweite Prozessor dazu ausgelegt ist, die sicherheitsrelevanten Daten zusätzlich anhand der auf der Speichereinrichtung gespeicherten Kalibrierdaten und/oder Zustandsdaten zu bestimmen. Der dritte Prozessor kann auch durch einen Prozessorkern des Mehrkernprozessors gebildet sein. Mit dem dritten Prozessor können die Kalibrierdaten bereitgestellt werden, die beispielsweise eine aktuelle Kalibrierung bzw. Einstellung des zumindest einen Sensors beschreiben. Ferner können die Zustandsdaten, die den aktuellen Zustand des zumindest einen Sensors beschreiben, von dem dritten Prozessor bereitgestellt werden. Die Zustandsdaten können beispielsweise die Funktionsfähigkeit des zumindest einen Sensors beschreiben. Beispielsweise können die Zustandsdaten beschreiben, ob der zumindest eine Sensor verschmutzt ist. Die Kalibrierdaten und/oder die Zustandsdaten können dazu genutzt werden, die auf der Speichereinheit abgelegten Sensordaten entsprechend zu verarbeiten. Dies ermöglicht dem zweiten Prozessor die sicherheitsrelevanten Daten zusätzlich anhand der aktuellen Kalibrierung und/oder des aktuellen Zustands des zumindest einen Sensors zu bestimmen.
Weiterhin ist es vorteilhaft, wenn die erste Recheneinheit eine Kommunikationseinheit zum Empfangen der Fahrzeugdaten von einem Fahrzeugdatenbus des Fahrzeugs und zum Senden der von der zweiten Recheneinrichtung empfangenen sicherheitsrelevanten Daten über den Fahrzeugdatenbus des Fahrzeugs umfasst. Die Kommunikationseinheit kann eine Schnittstelle darstellen, welche die erste Recheneinrichtung mit dem Fahrzeugdatenbus verbindet. Über diese Kommunikationseinheit können einerseits die Fahrzeugdaten, die beispielsweise von anderen Steuergeräten bereitgestellt werden, empfangen werden. Zudem können die sicherheitsrelevanten Daten, die von der zweiten Recheneinrichtung an die erste Recheneinrichtung übertragen werden, über den Fahrzeugbus ausgesendet werden. Diese sicherheitsrelevanten Daten können dann von der sicherheitsrelevanten Komponente bzw. der sicherheitsrelevanten Funktion genutzt werden.
Dabei ist es insbesondere vorgesehen, dass die erste Recheneinrichtung eine separate Datenleitung zwischen der Kommunikationseinheit und der zweiten Datenverbindung aufweist. Die erste Recheneinrichtung kann eine erste Schnittstelle zur Übertragung der Fahrzeugdaten und eine separate, zweite Schnittstelle zur Übertragung der sicherheitsrelevanten Daten aufweisen. Diese zweite Schnittstelle kann direkt mit der Kommunikationseinheit über die separate Datenleitung verbunden sein. Diese Datenleitung ist insbesondere isoliert zu den übrigen Komponenten der ersten Recheneinheit ausgebildet. Dies ermöglicht eine zuverlässige Übertragung der sicherheitsrelevanten Daten innerhalb der ersten Recheneinrichtung.
Bevorzugt ist die erste Recheneinrichtung dazu ausgelegt, als die Sensordaten Videodaten von zumindest einer Kamera des Fahrzeugs zu empfangen. In diesem Fall ist der zumindest eine Sensor eine Kamera. Mit dieser Kamera können Bildsequenzen bzw. Videodaten bereitgestellt werden, welche beispielsweise die Umgebung des Fahrzeugs beschreiben. Es kann auch vorgesehen sein, dass die zweite Recheneinrichtung dazu ausgelegt ist, die jeweiligen Videodaten von mehreren Kameras zu erfassen.
Die zweite Recheneinrichtung ist bevorzugt dazu ausgelegt, in den Videodaten Fahrbahnmarkierungen der Fahrbahn zu erkennen und die sicherheitsrelevanten Daten anhand der erkannten Fahrbahnmarkierungen zu bestimmen. Mit Hilfe von entsprechenden Objekterkennungsalgorithmen kann der zweite Prozessor anhand der auf der Speichereinrichtung gespeicherten Videodaten dann die Fahrbahnmarkierungen in den Videodaten bzw. den Einzelbildern erkennen. Insbesondere kann die relative Lage des Fahrzeugs zu den Fahrbahnmarkierungen auf der Fahrbahn bestimmt werden. Somit kann beispielsweise bestimmt werden, ob sich das Fahrzeug aktuell auf einer Fahrspur der Fahrbahn, die durch die Fahrbahnmarkierungen begrenzt ist, oder zumindest teilweise außerhalb der Fahrspur befindet. Auf Grundlage der erkannten Fahrbahnmarkierungen können dann die sicherheitsrelevanten Daten bereitgestellt werden, welche beispielsweise beschreiben können, ob sich das Fahrzeug innerhalb der Fahrspur oder teilweise außerhalb befindet. Es kann auch in Abhängigkeit von der Zeit bestimmt werden, ob ein Verlassen der Fahrspur durch das Fahrzeug droht. Diese Daten können dann mit den sicherheitsrelevanten Daten von der zweiten Recheneinrichtung zu der ersten und von dieser über den Fahrzeugdatenbus an die sicherheitsrelevante Komponente übertragen werden.
In einer weiteren Ausführungsform ist die erste Recheneinrichtung dazu ausgelegt, als die Fahrzeugdaten Daten zu empfangen, welche eine aktuelle Position und/oder die aktuelle Bewegung des Fahrzeugs beschreiben. Diese Fahrzeugdaten können beispielsweise mit einem weiteren Sensor des Fahrzeugs oder einem weiteren elektronischen Steuergerät bereitgestellt werden. Bei den Fahrzeugdaten kann es sich insbesondere um Odometriedaten handeln, welche die aktuelle Position und/oder die aktuelle Bewegung des Fahrzeugs beschreiben. Diese Fahrzeugdaten können dann von der ersten Recheneinrichtung an die zweite Recheneinrichtung übertragen werden. In der zweiten Recheneinrichtung kann der zweite Prozessor dann die sicherheitsrelevanten Daten zusätzlich anhand der Fahrzeugdaten bzw. der Odometriedaten bestimmen. Beispielsweise kann anhand der erkannten Fahrbahnmarkierungen und der aktuellen Bewegung des Fahrzeugs erkannt werden, ob ein Verlassen der Fahrspur durch das Fahrzeug droht.
Ein erfindungsgemäßes Assistenzsystem für ein Fahrzeug umfasst ein erfindungsgemäßes elektronisches Steuergerät und zumindest einen Sensor. Das Assistenzsystem ist insbesondere als Fahrerassistenzsystem ausgebildet. Das Assistenzsystem kann auch mehrere Sensoren umfassen, die beispielsweise verteilt an dem Fahrzeug angeordnet sind. Bei dem zumindest einen Sensor kann es sich insbesondere um eine Kamera handeln.
Bevorzugt umfasst das Assistenzsystem die sicherheitskritische Komponente, welche dazu ausgelegt ist, die sicherheitsrelevanten Daten zu empfangen und Steuersignale zum Steuern einer Fahrzeugfunktion in Abhängigkeit von den sicherheitsrelevanten Daten auszugeben. Bei der sicherheitskritischen Komponente kann es sich beispielsweise um ein weiteres elektronisches Steuergerät handeln. In Folge des ausgesendeten Steuersignals kann beispielsweise in Eingriff in die Lenkung, einen Antriebsmotor und/oder eine Bremsanlage des Fahrzeugs erfolgen. Wenn beispielsweise – wie oben beschrieben – die sicherheitsrelevanten Daten anhand der Fahrbahnmarkierungen bestimmt wurden, kann ein Eingriff in die Lenkung vorgenommen werden, falls das Fahrzeug die Fahrspur verlässt oder ein Verlassen der Fahrspur droht.
Ein erfindungsgemäßes Fahrzeug umfasste in erfindungsgemäßes Assistenzsystem. Das Fahrzeug ist insbesondere als Kraftfahrzeug, besonders bevorzugt als Personenkraftwagen, ausgebildet. Es kann grundsätzlich auch vorgesehen sein, dass es sich bei dem Fahrzeug um ein Flugzeug handelt.
Ein erfindungsgemäßes Verfahren dient zum Betreiben eines elektronischen Steuergeräts eines Fahrzeugs. Dabei werden mittels einer ersten Recheneinrichtung Fahrzeugdaten des Fahrzeugs empfangen und mittels einer zweiten Recheneinrichtung werden Sensordaten zumindest eines Sensors des Fahrzeugs empfangen. Mit der zweiten Recheneinrichtung werden zudem sicherheitsrelevante Daten für eine sicherheitsrelevante Komponente des Fahrzeugs anhand der Sensordaten bestimmt. Ferner werden die Fahrzeugdaten und/oder die sicherheitsrelevanten Daten zwischen der ersten Recheneinrichtung und der zweiten Recheneinrichtung übertragen. Dabei ist es vorgesehen, dass die Fahrzeugdaten über eine erste Datenverbindung und die sicherheitsrelevanten Daten über eine zur ersten Datenverbindung separate, zweite Datenverbindung zwischen der ersten Recheneinrichtung und der zweiten Recheneinrichtung übertragen werden.
Die mit Bezug auf das erfindungsgemäße elektronische Steuergerät vorgestellten bevorzugten Ausführungsformen und deren Vorteile gelten entsprechend für das erfindungsgemäße Assistenzsystem, das erfindungsgemäße Fahrzeug sowie das erfindungsgemäße Verfahren.
Weitere Merkmale der Erfindung ergeben sich aus den Ansprüchen, den Figuren und der Figurenbeschreibung. Die vorstehend in der Beschreibung genannten Merkmale und Merkmalskombinationen, sowie die nachfolgend in der Figurenbeschreibung genannten und/oder in den Figuren alleine gezeigten Merkmale und Merkmalskombinationen sind nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar, ohne den Rahmen der Erfindung zu verlassen. Es sind somit auch Ausführungen von der Erfindung als umfasst und offenbart anzusehen, die in den Figuren nicht explizit gezeigt und erläutert sind, jedoch durch separierte Merkmalskombinationen aus den erläuterten Ausführungen hervorgehen und erzeugbar sind. Es sind auch Ausführungen und Merkmalskombinationen als offenbart anzusehen, die somit nicht alle Merkmale eines ursprünglich formulierten unabhängigen Anspruchs aufweisen. Es sind darüber hinaus Ausführungen und Merkmalskombinationen, insbesondere durch die oben dargelegten Ausführungen, als offenbart anzusehen, die über die in den Rückbezügen der Ansprüche dargelegten Merkmalskombinationen hinausgehen oder abweichen.
Die Erfindung wird nun anhand von bevorzugten Ausführungsbeispielen sowie unter Bezugnahme auf die beigefügten Zeichnungen näher erläutert.
Dabei zeigen:
1 ein Fahrzeug gemäß einer Ausführungsform der vorliegenden Erfindung, welches ein Assistenzsystem mit einer Mehrzahl von Sensoren sowie einem elektronischen Steuergerät aufweist;
2 eine schematische Darstellung des elektronischen Steuergeräts; und
3 eine schematische Darstellung des elektronischen Steuergeräts gemäß einer weiteren Ausführungsform.
In den Figuren werden gleiche und funktionsgleiche Elemente mit den gleichen Bezugszeichen versehen.
1 zeigt ein Fahrzeug 1 gemäß einer Ausführungsform der vorliegenden Erfindung in einer Draufsicht. Das Fahrzeug 1 ist vorliegend als Personenkraftwagen ausgebildet. Das Fahrzeug 1 umfasst ein Assistenzsystem 2, welches eine Mehrzahl von Sensoren 3 umfasst. Die jeweiligen Sensoren 3 sind vorliegend als Kameras 4 ausgebildet. Mit Hilfe der Sensoren 3 bzw. der Kameras 4 kann eine Umgebung 5 des Fahrzeugs 1 erfasst werden. Die Kameras 4 sind vorliegend verteilt an dem Fahrzeug 1 angeordnet. Dabei ist eine der Kameras 4 in einem Frontbereich 6, eine der Kameras 4 in einem Heckbereich 7 und zwei der Kameras 4 in jeweiligen Seitenbereichen 8 des Fahrzeugs 1 angeordnet. Mit den Kameras 4 können Videodaten bzw. Bildsequenzen, welche die Umgebung 5 beschreiben, als Sensordaten bereitgestellt werden.
Darüber hinaus umfasst das Assistenzsystem 2 ein elektronisches Steuergerät 9, welches zur Datenübertragung mit den jeweiligen Kameras 4 verbunden ist. Das elektronische Steuergerät 9 ist ferner mit einer Anzeigeeinrichtung 10 des Assistenzsystems 2 verbunden. Das elektronische Steuergerät 9 kann anhand der jeweiligen Videodaten der Kameras 4 eine Anzeige auf der Anzeigeeinrichtung 10 bereitstellen. Beispielsweise kann einem Fahrer des Fahrzeugs 1 beispielsweise die Umgebung 5 des Fahrzeugs 1 angezeigt werden. Des Weiteren umfasst das Assistenzsystem 2 einen Fahrzeugdatenbus 11, welcher beispielsweise als CAN-Bus oder Ethernet-Bus ausgebildet sein kann. Dabei ist das elektronische Steuergerät 9 und die Anzeigeeinrichtung 10 mit dem Fahrzeugdatenbus 11 zur Datenübertragung verbunden. Darüber hinaus ist eine sicherheitsrelevante Komponente 12 mit dem Fahrzeugdatenbus 11 verbunden. Bei der sicherheitsrelevanten Komponente 12 kann es sich beispielsweise um ein weiteres elektronisches Steuergerät 13 handeln.
2 zeigt eine schematische Darstellung des elektronischen Steuergeräts 9. Zudem ist der Fahrzeugdatenbus 11 dargestellt, der vorliegend mit mehreren weiteren Steuergeräten 13 verbunden ist. Dabei stellt eines der Steuergeräte 13 die sicherheitsrelevante Komponente 12 dar. Das elektronische Steuergerät 9 umfasst eine erste Recheneinrichtung 14 und eine zweite Recheneinrichtung 15. Die erste Recheneinrichtung 14 ist unter Zwischenschaltung eines Kommunikationsmoduls 16 mit dem Fahrzeugdatenbus 11 verbunden. Über den Fahrzeugdatenbus 11 kann die erste Recheneinrichtung 14 Fahrzeugdaten empfangen. Diese Fahrzeugdaten können beispielsweise mit einem der Steuergeräte 13 bereitgestellt werden. Insbesondere beschreiben die Fahrzeugdaten die aktuelle Position und/oder die aktuelle Bewegung des Fahrzeugs 1. Bei den Fahrzeugdaten kann es sich insbesondere um Odometriedaten handeln.
Die zweite Recheneinrichtung 15 ist mit den Kameras 4 zur Datenübertragung verbunden und kann die Sensordaten bzw. die Videodaten von den jeweiligen Kameras 4 empfangen. Die zweite Recheneinrichtung 15 kann insbesondere als wählbare Ausgabesteuerung (SOC – Selectable Output Control) ausgebildet sein. Die zweite Recheneinrichtung 15 umfasst einen Dateneingang 17, welcher als sogenannter Videoeingangsport ausgebildet sein kann. Der Dateneingang 17 kann die Videodaten bzw. Sensordaten empfangen und auf einem Pufferspeicher 18 einer Speichereinrichtung 19 des elektronischen Steuergeräts 9 ablegen. Des Weiteren umfasst die zweite Recheneinrichtung 15 eine Bildverarbeitungseinheit 23. Diese wird von dem Dateneingang 17 über die Datenleitung 24 darüber informiert, dass neue Videodaten empfangen wurden.
Die zweite Recheneinrichtung 15 umfasst ferner einen ersten Prozessor 20, der wie nachfolgend näher erläutert, zur Datenübertragung mit der ersten Recheneinrichtung 14 verbunden ist. Des Weiteren umfasst die zweite Recheneinrichtung 15 einen zweiten Prozessor 21, der beispielsweise einen digitalen Signalprozessor und einen sogenannte Embedded Video Engine (EVE) umfassen kann. Auch der zweite Prozessor 21 ist zur Datenübertragung mit der ersten Recheneinrichtung 14 verbunden. Des Weiteren weist die zweite Recheneinrichtung 15 einen dritten Prozessor 22 auf, mit dem Kalibrierdaten 25 und/oder Zustandsdaten 26 bereitgestellt werden können. Die Kalibrierdaten 25 können beispielsweise eine aktuelle Kalibrierung der Kameras 4 betreffen. Die Zustandsdaten 26 können beispielsweise beschreiben, ob eine Linse der jeweiligen Kameras 4 verschmutzt ist. Die Bildverarbeitungseinheit 23 steuert den zweiten Prozessor 21 über die Datenleitung 27 an und meldet, dass neue Videodaten eingetroffen sind. Der zweite Prozessor 21 kann nun auf die in der Speichereinheit 19 hinterlegten Videodaten sowie die Kalibrierdaten 25 und die Zustandsdaten 26 zugreifen. Darüber hinaus können die Fahrzeugdaten, die von der ersten Recheneinrichtung 14 empfangen wurden und an die zweite Recheneinrichtung 15 übertragen wurden, von dem ersten Prozessor 20 an den zweiten Prozessor 21 über die Datenleitung 28 übertragen werden. Die zweite Recheneinrichtung 15 umfasst zudem einen Zwischenspeicher 29.
Der zweite Prozessor 21 ist nun dazu ausgebildet, anhand der Videodaten gegebenenfalls unter Berücksichtigung der Kalibrierdaten 25 und der Zustandsdaten 26 Fahrbahnmarkierungen auf einer Fahrbahn zu erkennen, auf welcher sich das Fahrzeug 1 aktuell befindet. Dabei kann der zweite Prozessor 21 ferner die Bewegungsdaten bzw. die Odometriedaten heranziehen. Somit kann beispielsweise bestimmt werden, ob sich das Fahrzeug 1 aktuell auf einer Fahrspur der Fahrbahn befindet, die durch die Fahrbahnmarkierungen begrenzt ist. Es kann auch bestimmt werden, ob sich das Fahrzeug 1 zumindest bereichsweise außerhalb der Fahrspur befindet. Zudem kann auch bestimmt werden, ob ein Überfahren der Fahrbahnmarkierung durch das Fahrzeug 1 droht. Hierzu können von dem zweiten Prozessor 21 sicherheitsrelevante Daten bereitgestellt werden, welche anhand der Fahrbahnmarkierungen und gegebenenfalls der Bewegungsdaten bestimmt werden. Diese sicherheitsrelevanten Daten können zur Ansteuerung der sicherheitsrelevanten Komponente 12 genutzt werden.
Vorliegend sind zwischen der ersten Recheneinrichtung 14 und der zweiten Recheneinrichtung 15 eine erste Datenverbindung 30 sowie eine separate, zweite Datenverbindung 31 vorgesehen. Die erste Datenverbindung 30 umfasst eine erste Datenleitung 32 und die zweite Datenverbindung 31 umfasst eine zweite Datenleitung 33. Die erste Datenleitung 32 und die zweite Danteleitung 33 können insbesondere als serielle Datenleitung bzw. als serieller Datenbus, beispielsweise als Serial Peripheral Interface (SPI), als Inter-Integrated Circuit (I2C), als System Management Bus (SMBus), als Zweidrahtleitung, als universal Asynchronous Reciever Transmitter (UART), als SSI-Bus oder dergleichen ausgebildet sein. In der ersten Recheneinrichtung 14 ist der ersten Datenleitung 32 eine erste Schnittstelle 34 zugeordnet und der zweiten Datenleitung 33 ist eine zweite Schnittstelle 35 zugeordnet. Ferner weist der erste Prozessor 20 eine erste Prozessorschnittstelle 40 auf, die mit der ersten Datenleitung 32 verbunden ist. Der zweite Prozessor 21 weist eine zweite Prozessorschnittstelle 41 auf, die mit der zweiten Datenleitung 33 verbunden ist.
Die erste Recheneinrichtung 14, die bevorzugt als Mikrocontroller ausgebildet ist, umfasst zudem eine Kommunikationseinheit 36 zum Übertragen von Daten auf den Fahrzeugdatenbus 11 und/oder zum Empfangen von Daten von dem Fahrzeugdatenbus 11. Des Weiteren umfasst die erste Recheneinrichtung 14 eine Mehrzahl von Softwaremodulen 37. Dabei ist eines der Softwaremodule 38 mit einem Watchdog-Timer 38 verbunden. Innerhalb der ersten Recheneinrichtung 14 ist eine separate Datenleitung 39 vorgesehen, welche die zweite Schnittstelle 35 mit der Kommunikationseinheit 36 verbindet. Insgesamt können somit die sicherheitsrelevanten Daten von dem zweiten Prozessor 21 über die zweite Datenverbindung 31 und innerhalb der ersten Recheneinrichtung 14 über die Datenverbindung 39 an den Fahrzeugdatenbus 11 übertragen werden.
Die Übertragung der sicherheitsrelevanten Daten bzw. die zweite Datenverbindung 31 entspricht somit einer vorbestimmten Sicherheitsanforderungsstufe, insbesondere der Stufe ASIL B. Die erste Datenverbindung 30 kann beispielsweise nach der Sicherheitsanforderungsstufe QM ausgebildet sein. Damit können die sicherheitsrelevanten Daten mit der sicherheitsrelevanten Komponente 12 empfangen werden. Wenn die sicherheitsrelevanten Daten beispielsweise ergeben, dass das ein Verlassen der Fahrspur durch das Fahrzeug 1, kann mit der sicherheitsrelevanten Komponente 12 bzw. dem Steuergerät 13 ein Steuersignal an eine Fahrzeugfunktion bzw. eine Funktionseinheit des Fahrzeugs 1 ausgegeben werden. Damit kann beispielsweise ein Eingriff in die Lenkung durchgeführt werden, sodass das Fahrzeug 1 wieder in die Fahrspur gelenkt wird.
3 veranschaulicht die Übertragung der Daten innerhalb des elektronischen Steuergeräts 9. Hierbei empfängt der Dateneingang 17 der zweiten Recheneinrichtung 15 die Sensordaten bzw. Videodaten von den vier Kameras 4 des Fahrzeugs 1. Die Videodaten werden auf der Speichereinrichtung 19 abgelegt. Auf der Speichereinrichtung 19 sind zudem die Kalibrierdaten 25 für die vier Kameras 4 und die Zustandsdaten 26 für die vier Kameras 4 abgelegt. Von einem weiteren Speicher 42 werden intrinsische Kameradaten 43 für die vier Kameras 4 bereitgestellt und an den zweiten Prozessor 21 übertragen. Auch die Videodaten, die Kalibrierdaten 25 und die Zustandsdaten 26 werden an den zweiten Prozessor 21 übertragen. Darüber hinaus empfängt der zweite Prozessor 21 die Fahrzeugdaten bzw. Odometriedaten, die über die Prozessorschnittstellen 40, 41 empfangen wurden und auf einem Speicher 44 zwischengespeichert wurden. Des Weiteren sind zwischen den Prozessorschnittstellen 40, 41 und den Schnittstellen 34, 35 der ersten Recheneinrichtung 14 die beiden Datenverbindungen 30 und 31 vorgesehen. Auch hier ist die Kommunikationseinheit 36 der ersten Recheneinrichtung über das Kommunikationsmodul 16 mit dem Fahrzeugdatenbus 11 verbunden. Der Fahrzeugdatenbus 11 ist wiederum mit der sicherheitsrelevanten Komponente 12 bzw. dem zumindest einen Steuergerät 13 verbunden.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

US 2015/0057908 A1 [0004]

Zitierte Nicht-Patentliteratur

Norm ISO 26262 [0010]

Claims

Elektronisches Steuergerät (9) für ein Fahrzeug (1), mit einer ersten Recheneinrichtung (14) zum Empfangen von Fahrzeugdaten des Fahrzeugs (1) und mit einer zweiten Recheneinrichtung (15) zum Empfangen von Sensordaten zumindest eines Sensors (3) des Fahrzeugs (1) und zum Bestimmen von sicherheitsrelevanten Daten für eine sicherheitsrelevante Komponente (12) des Fahrzeugs (1) anhand der Sensordaten, wobei die erste Recheneinrichtung (14) und die zweite Recheneinrichtung (15) zur Übertragung der Fahrzeugdaten und/oder der sicherheitsrelevanten Daten verbunden sind, dadurch gekennzeichnet, dass die erste Recheneinrichtung (14) und die zweite Recheneinrichtung (15) über eine erste Datenverbindung (30) zum Übertragen der Fahrzeugdaten und über eine zur ersten Datenverbindung (30) separate, zweite Datenverbindung (31) zur Übertragung der sicherheitsrelevanten Daten verbunden sind.
Elektronisches Steuergerät (9) nach Anspruch 1, dadurch gekennzeichnet, dass die zweite Datenverbindung (31) gemäß einer vorbestimmten Sicherheitsanforderungsstufe ausgebildet ist.
Elektronisches Steuergerät (9) nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die zweite Recheneinrichtung (15) einen ersten Prozessor (20) und einen zweiten Prozessor (21) aufweist, wobei der erste Prozessor (20) mit einer ersten Datenleitung (32) der ersten Datenverbindung (30) und der zweite Prozessor (21) mit einer zweiten Datenleitung (33) der zweiten Datenverbindung (31) verbunden sind.
Elektronisches Steuergerät (9) nach Anspruch 3, dadurch gekennzeichnet, dass das elektronische Steuergerät (9) eine Speichereinrichtung (19) zum Speicher der Sensordaten aufweist und der zweite Prozessor (21) dazu ausgelegt ist, die sicherheitsrelevanten Daten anhand der auf der Speichereinrichtung (19) gespeicherten Sensordaten zu bestimmen.
Elektronisches Steuergerät (9) nach Anspruch 4, dadurch gekennzeichnet, dass die zweite Rechenrichtung (15) einen dritten Prozessor (22) aufweist, welcher dazu ausgelegt ist, Kalibierdaten (25), welche eine Kalibrierung des zumindest einen Sensors (3) beschreiben, und/oder Zustandsdaten (26), welche einen Zustand des zumindest einen Sensors (3) beschreiben, auf der Speichereinrichtung (19) zu speichern und dass der zweite Prozessor (21) dazu ausgelegt ist, die sicherheitsrelevanten Daten zusätzlich anhand der auf der Speichereinrichtung (19) gespeicherten Kalibierdaten (25) und/oder Zustandsdaten (26) zu bestimmen.
Elektronisches Steuergerät (9) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die erste Recheneinrichtung (14) eine Kommunikationseinheit (36) zum Empfangen der Fahrzeugdaten von einem Fahrzeugbus (11) des Fahrzeugs (1) und zum Senden der von der zweiten Recheneinrichtung (15) empfangenen sicherheitsrelevanten Daten über den Fahrzeugbus (11) des Fahrzeugs (1) umfasst.
Elektronisches Steuergerät (9) nach Anspruch 6, dadurch gekennzeichnet, dass die erste Recheneinrichtung (14) eine separate Datenleitung (39) zwischen der Kommunikationseinheit (36) und der zweiten Datenverbindung (31) aufweist.
Elektronisches Steuergerät (9) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die zweite Recheneinrichtung (15) dazu ausgelegt ist, als die Sensordaten Videodaten von zumindest einer Kamera (4) des Fahrzeugs (1) zu empfangen.
Elektronisches Steuergerät (9) nach Anspruch 8, dadurch gekennzeichnet, dass die zweite Recheneinrichtung (15) dazu ausgelegt ist, in den Videodaten Fahrbahnmarkierungen einer Fahrbahn zu erkennen und die sicherheitsrelevanten Daten anhand der erkannten Fahrbahnmarkierungen zu bestimmen.
Elektronisches Steuergerät (9) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die erste Recheneinrichtung (14) dazu ausgelegt ist als die Fahrzeugdaten Daten zu empfangen, welche eine aktuelle Position und/oder Bewegung des Fahrzeugs (1) beschreiben.
Assistenzsystem (2) für ein Fahrzeug (1) mit einem elektronischen Steuergerät (9) nach einem der vorhergehenden Ansprüchen und mit zumindest einem Sensor.
Assistenzsystem (2) nach Anspruch 11, dadurch gekennzeichnet, dass das Assistenzsystem (2) die sicherheitskritische Komponente (12) umfasst, welche dazu ausgelegt ist, die sicherheitsrelevanten Daten zu empfangen und ein Steuersignal zum Steuern einer Fahrzeugfunktion in Abhängigkeit von den sicherheitsrelevanten Daten auszugeben.
Fahrzeug (1) mit einem Assistenzsystem (2) nach Anspruch 11 oder 12.
Verfahren zum Betreiben eines elektronischen Steuergeräts (9) eines Fahrzeugs (1), bei welchem mittels einer ersten Recheneinrichtung (14) Fahrzeugdaten des Fahrzeugs (1) empfangen werden und mittels einer zweiten Recheneinrichtung (15) Sensordaten zumindest eines Sensors (3) des Fahrzeugs (1) empfangen werden und sicherheitsrelevante Daten für eine sicherheitsrelevante Komponente (12) des Fahrzeugs (1) anhand der Sensordaten bestimmt werden, wobei die Fahrzeugdaten und/oder die sicherheitsrelevanten Daten zwischen der ersten Recheneinrichtung (14) und der zweiten Recheneinrichtung (15) übertragen werden, dadurch gekennzeichnet, dass die Fahrzeugdaten über eine erste Datenverbindung (30) und die sicherheitsrelevanten Daten über eine zur ersten Datenverbindung (30) separate, zweite Datenverbindung (31) zwischen der ersten Recheneinrichtung (14) und der zweiten Recheneinrichtung (15) übertragen werden.