DE19622041C2 - Verfahren zur Überwachung einer Recheneinheit - Google Patents

Description

Die Erfindung betrifft ein Verfahren zur Überwachung einer Recheneinheit gemäß dem Oberbegriff des Anspruchs 1.

Recheneinheiten werden zur Berechnung von Daten, die bei­ spielsweise für die Steuerung oder Regelung eines Kraftfahr­ zeuges verwendet werden, eingesetzt. Dazu werden aus Ein­ gangswerten, die Betriebsparameter eines Kraftfahrzeuges, wie z. B. Motorlast, Motordrehzahl und Gaspedalstellung darstel­ len, Ausgangswerte berechnet, die zur Steuerung oder Regelung des Kraftfahrzeuges, insbesondere zur Steuerung von Funktio­ nen des Kraftfahrzeuges wie z. B. den Motor, die Lenkung, die Kupplung, das Getriebes oder das Bremssystem verwendet wer­ den. Für die Steuerung der Funktionen, insbesondere für si­ cherheitsrelevante Funktionen, wie z. B. das Bremssystem, ist es notwendig, daß die Recheneinheit auf eine richtige Funkti­ onsweise hin überprüft wird.

Aus EP 0 512 240 B1 ist bereits ein Verfahren zur Überwachung einer Recheneinheit bekannt, bei der die Recheneinheit aus einem Eingangswert einen Ausgangswert ermittelt, der zur Steuerung des Kraftfahrzeuges verwendet wird. Zur Überprüfung der korrekten Funktionsweise der Recheneinheit ist eine Über­ wachungseinheit vorgesehen, die ebenfalls aus dem Eingangs­ wert nach der gleichen Berechnungsmethode wie die Rechenein­ heit einen Ausgangswert berechnet. Anschließend wird der Aus­ gangswert der Überwachungseinheit mit dem Ausgangswert der Recheneinheit verglichen und bei unterschiedlichen Ausgangs­ werten eine Fehlfunktion der Recheneinheit erkannt. Zur zu­ sätzlichen Überprüfung der korrekten Funktionsweise der Re­ cheneinheit werden von der Überwachungseinheit fehlerhafte Eingangswerte an die Recheneinheit gegeben, um anhand des von der Recheneinheit aus dem fehlerhaften Eingangswert berechne­ ten Ausgangswertes eine fehlerhafte Funktion der Rechenein­ heit zu ermitteln.

Das bekannte Verfahren erkennt nicht alle fehlerhaften Be­ rechnungen der Recheneinheit.

Aus "Mikrocomputer in der Sicherheitstechnik", H. Hölscher, J. Rader, TÜV Rheinland, 1984, ISBN 3-88 585-180-6, ist eine einkanalige Struktur mit diversitärer Software bekannt, bei der die si­ cherheitsrelevante Software zweimal in diversitärer Form vor­ handen ist. Die beiden Programmteile laufen nacheinander ab und berechnen auf verschiedenen Wegen die sicherheitsrelevan­ ten Ergebnisse, die dann verglichen werden. Zudem wird eine zweikanalige Struktur beschrieben, bei der zwei unabhängige Funktionseinheiten zur Ausführung der spezifizierten Funktion gleich oder auf verschiedene Arten diversitär z. B. in der Hardware, der Software oder des Zeitablaufes aufgebaut sein können. Bei der zweikanaligen Struktur werden ebenfalls die Ergebnisse miteinander verglichen und aus dem Vergleich eine Fehlfunktion der zweikanaligen Struktur erkannt.

Die Aufgabe der Erfindung beruht darin, zuverlässig zwei Re­ cheneinheiten zu überwachen und bei einem Fehlerfall die kor­ rekt funktionierende Recheneinheit zu erkennen.

Die Aufgabe der Erfindung wird durch die Merkmale des An­ spruchs 1 gelöst.

Besonders vorteilhaft ist es, daß zwei Recheneinheiten über­ wacht werden und bei einem Fehlerfall die korrekt funktionie­ rende Recheneinheit erkannt wird, mit der weiterhin Berech­ nungen durchgeführt werden können.

Weitere vorteilhafte Ausbildungen und Verbesserungen der Er­ findung sind in den abhängigen Ansprüchen angegeben.

Die Erfindung wird anhand der Figuren näher erläutert; es zeigen:

Fig. 1 Eine schematische Anordnung zur Durchführung des er­ findungsgemäßen Verfahrens,

Fig. 2 Eine Recheneinheit mit Datenbus und

Fig. 3 Einen schematischen Programmablauf.

Fig. 1 zeigt eine Recheneinheit 1, die über eine Sensorlei­ tung 15 mit einem Sensor 2, und über eine Steuerleitung 16 mit einem Stellglied 3 verbunden ist. Das Stellglied 3 ist über eine Ansteuerleitung 18 mit dem Kraftfahrzeug 4, insbe­ sondere mit Funktionen des Kraftfahrzeuges 4 wie der Brenn­ kraftmaschine, der Kupplung, dem Bremssystem oder dem Getrie­ be verbunden. Weiterhin ist eine zweite Recheneinheit 12 an­ geordnet, die ebenfalls mit dem Sensor 2 und dem Steuerglied 3 sowie mit der Recheneinheit 1 in Verbindung steht.

Der Sensor 2 steht über eine Wirkverbindung 17 mit dem Kraft­ fahrzeug 4, insbesondere mit einer Funktion des Kraftfahrzeu­ ges 4 in Kontakt.

Fig. 2 zeigt eine genauere Darstellung der Recheneinheit 1, die eine Kontrolleinheit 5, eine arithmetisch logische Be­ rechnungseinheit (ALU) 6, einen Lesespeicher 8 (ROM) und ei­ nen Lese- und Schreibspeicher (RAM) 7, eine Eingangsschnitt­ stelle 9, und eine Ausgangsschnittstelle 11 aufweist, die über einen Datenbus 10 miteinander verbunden sind. Der Sensor 2 ist an der Eingangsschnittstelle 9 und das Stellglied 3 an der Ausgangsschnittstelle 11 angeschlossen.

Die Anordnung nach Fig. 2 funktioniert folgendermaßen: Der Sensor 2 nimmt eine Betriebsgröße des Kraftfahrzeuges 4, ins­ besondere einer Funktion des Kraftfahrzeuges 4 auf, die dann von der Kontrolleinheit 5 als Eingangsgröße abgefragt wird und im Lese-/Schreibspeicher 7 abgelegt wird. Daraufhin greift die Berechnungseinheit 6 auf einen Kontrollparameter zu, der entweder im Lese-/Schreibspeicher 7 oder im Lesespei­ cher 8 abgelegt ist und berechnet nach einer Berechnungsme­ thode aus der Eingangsgröße unter Verwendung des Kontrollpa­ rameters einen Ausgangswert, der anschließend im Lese- /Schreibspeicher 7 abgelegt wird. Der Kontrollparameter ist von der Funktion des Kraftfahrzeuges 4, die gesteuert oder geregelt wird, und vorzugsweise von einem Betriebszustand des Kraftfahrzeuges abhängig.

Die Kontrolleinheit 5 steuert mit dem Ausgangswert das Stell­ glied 3 an, das wiederum die entsprechende Funktion des Kraftfahrzeuges 4 steuert.

Das beschriebene Verfahren ist aus einer Vielzahl von elemen­ taren Prozessorbefehlen aufgebaut und verläuft nur fehler­ frei, wenn die Berechnungsmethode und die Hardware 5, 6, 7, 8, 9, 10, 11 inklusive des Busses 10 und der Schnittstel­ len 9, 11 fehlerfrei funktionieren.

Fig. 3 zeigt einen schematischen Programmablauf zur Durch­ führung eines Verfahrens, das im folgenden am Beispiel eines Antiblockiersystems näher erläutert wird: Bei Programmpunkt 20 erhält die Recheneinheit 1 über den Sensor 2, der in die­ sem Beispiel einen Raddrehzahlgeber darstellt die Drehge­ schwindigkeit des zugeordneten Rades, die als Eingangsgröße im Lese-/Schreibspeicher 7 abgespeichert wird.

In einer Weiterbildung der Erfindung erhält die Recheneinheit 1 über den Sensor 2 zusätzlich weitere Parameter z. B. die In­ formation, ob die Straße naß ist oder den Bremsdruck, mit dem der Fahrer das Bremspedal derzeit betätigt, die ebenfalls im Lese-/Schreibspeicher 7 abgelegt werden.

Anschließend wird bei Programmpunkt 21 aufgrund der Drehge­ schwindigkeit des Rades für das Rad nach einer ersten Berech­ nungsmethode 21 ein erster Ausgangswert in Form eines Bremsdruckes berechnet, der im Lese-/Schreibspeicher 7 abge­ legt wird. Vorzugsweise werden die weiteren Informationen wie der vorliegende Bremspedaldruck oder eine nasse Straße bei der Berechnung des Bremsdruckes berücksichtigt. Die erste Be­ rechnungsmethode 21 ist im Lese-/Schreibspeicher 7 abgelegt. Anschließend wird nach Programmpunkt 22 verzweigt.

Bei Programmpunkt 22 wird aufgrund der in Programmpunkt 20 gespeicherten Eingangsgröße, der Raddrehzahl, nach einer zweiten Berechnungsmethode ein zweiter Ausgangswert in Form eines Bremsdruckes für das Rad berechnet und ebenfalls im Le­ se-/Schreibspeicher 7 abgelegt. Die zweite Berechnungsmethode 22 ist im Lese-/Schreibspeicher 7 abgelegt. Anschließend wird nach Programmpunkt 23 verzweigt.

Bei Programmpunkt 23 werden der erste und der zweite Aus­ gangswert von der Recheneinheit 1 miteinander verglichen und dahingehend überprüft, ob der erste und der zweite Ausgangs­ wert entsprechend der verwendeten ersten und zweiten Berech­ nungsmethode 21, 22 zueinander in einem durch die erste und die zweite Berechnungsmethode vorgegebenem Verhältnis stehen.

Im einfachsten Fall sind die erste und die zweite Berech­ nungsmethode derart gewählt, daß das Verhältnis darin be­ steht, daß der erste Ausgangswert dem zweiten Ausgangswert entspricht. Die erste und die zweite Berechnungsmethode wer­ den vorzugsweise so gewählt, daß das Verhältnis der Ausgangs­ werte in einem Wertebereich besteht, um den sich der erste und der zweite Ausgangswert unterscheiden können und trotzdem noch als übereinstimmend im Sinne des Vergleichs erkannt wer­ den. In diesem Fall wird erst eine Fehlfunktion der Rechen­ einheit 1 erkannt, wenn mindestens ein Ausgangswert außerhalb des Wertebereiches liegt. Beispielsweise kann sich der erste vom zweiten Ausgangswert um 10% des Wertes des zweiten Aus­ gangswertes unterscheiden.

Weiterhin ist es möglich, vorgegebene Relationen zwischen dem ersten und dem zweiten Ausgangswert durch die entsprechende Wahl der ersten und der zweiten Berechnungsmethode 21, 22 vor­ zugeben, so daß der erste Ausgangswert übereinstimmend mit dem zweiten Ausgangswert erkannt wird, wenn z. B. der erste Ausgangswert einen vorgegebenen vielfachen Wert des zweiten Ausgangswertes einnimmt.

Ergibt die Abfrage bei Programmpunkt 23, daß der erste Aus­ gangswert nicht mit dem zweiten Ausgangswert im Sinne des Vergleichs übereinstimmt, so wird nach Programmpunkt 24 ver­ zweigt. Bei Programmpunkt 24 wird angezeigt, daß die Rechen­ einheit 1 fehlerhaft arbeitet und entweder ein Abschalten des Kraftfahrzeuges erfolgt oder auf eine Notfunktion umgeschal­ tet wird.

Ergibt die Abfrage bei Programmpunkt 23, daß der Vergleich des ersten Ausgangswertes mit dem zweiten Ausgangswert eine richtig arbeitende Recheneinheit 1 erkannt hat, so wird nach Programmpunkt 20 zurückverzweigt und das Programm erneut durchlaufen.

Weil das Ergebnis des Vergleichs von Fehlern oder Defekten der Programmsequenz der ersten und/oder der zweiten Berech­ nungsmethode abhängig ist, wird durch die Verwendung von ent­ sprechend unterschiedlichen ersten und zweiten Berechnungsme­ thoden 21, 22 sichergestellt, daß eine fehlerhafte Funktions­ weise der Recheneinheit 1 zu unterschiedlichen Ausgangswerten führt und beim Vergleich erkannt wird.

Um sicher zu stellen, daß die erste und die zweite Berech­ nungsmethode 21, 22 zu unterschiedlichen Programmsequenzen führen und die Ressourcen der Recheneinheit 1 auf unter­ schiedliche Weise einsetzen, ist eine Kombination der folgen­ den Maßnahmen vorteilhaft:

• - die erste und die zweite Berechnungsmethode 21, 22 basie­ ren auf unterschiedlichen Regelungsprinzipien: zum Bei­ spiel konventionelle Regeltechnik, wie PID Regelverfahren, für die erste Berechnungsmethode 21 und Fuzzy-Logik für die zweite Berechnungsmethode 22;
• - die mathematischen Sequenzen der beiden Berechnungsmetho­ den sind unterschiedlich: zum Beispiel um die Gleichung D=A*(B+C) zu berechnen, wird erst addiert und dann multi­ pliziert für die erste Berechnungsmethode 21 und erst mul­ tipliziert und dann addiert für die zweite Berechnungsme­ thode 22;
• - die erste Berechnungsmethode 21 ist in einer zur zweiten Berechnungsmethode 22 unterschiedlichen Programmiersprache programmiert: zum Beispiel in Assembler-Sprache für die erste Berechnungsmethode 21 und in C-Sprache für die zwei­ te Berechnungsmethode 22;
• - bei einer Programmierung der Berechnungsmethoden 21, 22 in der gleichen Programmiersprache werden unterschiedliche Befehlsequenzen benutzt: wie zum Beispiel direkte Adres­ sierung der Variablen für die erste Berechnungsmethode 21 und indirekte Adressierung für die zweite Berechnungsme­ thode 22;
• - die beiden Berechnungsmethoden 21, 22 unterscheiden sich durch unterschiedliche Genauigkeit in der Berechnung und/oder durch unterschiedliche Variablen und/oder durch unterschiedliche Befehlsequenzen: wie zum Beispiel die Be­ rechnung einer präzisen Berechnung für die erste Berech­ nungsmethode 21 und einer groben, schnellen Berechnung für die zweite Berechnungsmethode 22;
• - es werden unterschiedliche physikalische Größen für die gleiche Variable in den verschiedenen Berechnungsmethoden 21, 22 verwendet: wie zum Beispiel den Bremsdruck in der Einheit bar für die erste Berechnungsmethode 21 und den Bremsdruck in der Einheit psi für die zweite Berechnungs­ methode 22;
• - die Eingangs- und Ausgangswerte werden mehrfach und/oder eventuell in unterschiedlichen Speicherbereichen und/oder in verschiedenen Datenformaten gespeichert: wie zum Bei­ spiel Standard Binär und komplementiert oder Fixed und Floating Point;
• - die Eingangs- und Ausgangswerte werden in einem Format ge­ speichert, das eine Fehlererkennung beim Auslesen ermöglicht, wie zum Beispiel im Greycode, der ein fehlersiche­ rer Code ist.
• - bei der Programmierung der ersten und zweiten Berechnungs­ methode 21, 22 mit Assemblercode wird eine gleiche Funktion in den zwei verschiedenen Berechnungsmethoden 21, 22 mit ver­ schiedenen Mikrokontrollerbefehlen ausgeführt.

Erfindungsgemäß ermöglicht das beschriebene Verfahren eine Recheneinheit ohne externe Überwachungseinheit für sicher­ heitsrelevanten Funktionen einzusetzen, die keine Notlauf­ funktion benötigen.

Falls Notlauf notwendig ist, wie zum Beispiel bei der Len­ kung, wird vorzugsweise in konventioneller Weise eine zweite Recheneinheiten eingesetzt.

Die Erfindung ermöglicht es, in diesem Falle, die Anzahl der Recheneinheiten auf zwei durch folgen­ den Algorithmus zu beschränken: Im Normalzustand berechnen die erste und die eine zweite Recheneinheit jeweils als einem ersten Eingangswert nach der ersten Berechnungsmethode 21 ei­ nen ersten Ausgangswert, die miteinander verglichen werden. Unterscheiden sich die ersten Ausgangswerte, so wird in min­ destens einer Recheneinheit aus dem ersten Eingangswert ein zweiter Ausgangswert nach der zweiten Berechnungsmethode 22 berechnet. Der zweite Ausgangswert wird mit dem ersten Aus­ gangswert verglichen und es wird für die Notlauffunktion die Recheneinheit eingesetzt, bei der der erste und der zweite Ausgangswert in einem vorgebbaren Verhältnis zueinander ste­ hen, das durch die Wahl der ersten und der zweiten Berech­ nungsmethode 21, 22 vorgegeben ist.

Claims (11)

1. Verfahren zur Überwachung einer Recheneinheit (1), bei dem die Recheneinheit (1) aus einem ersten Eingangswert nach ei­ ner ersten Berechnungsmethode (21) eine erste Ausgangsgröße ermittelt, bei dem eine zweite Recheneinheit (12) nach der ersten Berechnungsmethode (21) aus dem ersten Eingangswert einen Ausgangswert berechnet, bei dem die Ausgangswerte der zwei Recheneinheiten miteinander verglichen werden, dadurch gekennzeichnet, daß, mindestens eine Recheneinheit (1, 12) nach einer zweiten Berechnungsmethode (21, 22) aus dem ersten Eingangswert einen Ausgangswert berechnet, wenn die Ausgangs­ werte nicht übereinstimmen, und daß die Recheneinheit (1, 12) als korrekt funktionierend erkannt wird, deren Ausgangswert nach der ersten und der zweiten Berechnungsmethode ein durch die erste und die zweite Berechnungsmethode vorgegebenes Ver­ hältnis zueinander aufweisen.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß zur Durchführung der ersten Berechnungsmethode (21) ande­ re Teile (5, 6, 7, 8, 10) der Recheneinheit (1) verwendet werden als zur Durchführung der zweiten Berechnungsmethode (22)

3. Verfahren nach Anspruch I, dadurch gekennzeichnet, daß zur Durchführung der ersten Berechnungsmethode (21) im Vergleich zur zweiten Berechnungsmethode (22) mindestens teilweise unterschiedliche Speicherbereiche (7, 8) verwendet werden.

4. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß für die erste Berechnungsmethode (21) ein anderes mathe­ matisches Berechnungsverfahren verwendet wird als für die zweite Berechnungsmethode (22)

5. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß für die Programmierung der ersten Berechnungsmethode (21) mindestens teilweise eine andere Programmiersprache verwendet wird als für die Programmierung der zweiten Berechnungsmetho­ de (22).

6. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß für eine Berechnungsmethode (21) eine konventionelle Re­ gelungstechnik verwendet wird, und daß für die andere Berech­ nungsmethode (22) eine Fuzzy-Logik verwendet wird.

7. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß als erste und als zweite Berechnungsmethode (21, 22) ma­ thematisch unterschiedlich genaue Berechnungsmethoden verwen­ det werden.

8. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß bei der Programmierung der ersten und zweiten Berech­ nungsmethode (21, 22) mit Assemblercode eine gleiche Funktion in den zwei verschiedenen Berechnungsmethoden (21, 22) mit verschiedenen Mikrokontrollerbefehlen ausgeführt wird.

9. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß von der ersten Berechnungsmethode (21) eine direkte Adressierung der Speicherbereiche (7, 8) und von der zweiten Berechnungsmethode (22) eine indirekte Adressierung der Spei­ cherbereiche (7, 8) durchgeführt wird.

10. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Eingangswert bei der ersten und bei der zweiten Be­ rechnungsmethode (21, 22) in unterschiedlichen physikalischen Einheiten berechnet wird.

11. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Eingangswert oder die Ausgangswerte im ersten und im zweiten Berechnungsverfahren (21, 22) in verschiedenen Daten­ formaten abgespeichert werden.