DE19933086A1 - Verfahren und Vorrichtung zur gegenseitigen Überwachung von Steuereinheiten - Google Patents

Abstract

Es wird ein Verfahren und eine Vorrichtung zur gegenseitigen Überwachung von Steuereinheiten vorgeschlagen, wobei die Steuereinheiten aus drei Programmebenen aufgebaut sind, einer ersten Ebene zur Durchführung der Steuergerätefunktionen, eine zweite Ebene zu deren Überwachung und eine dritte Ebene zur Überwachung der Programme der zweiten Ebene. Eine erste Steuereinheit schickt eine ausgewählte Frage an eine zweite Steuereinheit, die diese dann im Rahmen einer Ablaufkontrolle beantwortet. Die gebildete Antwort schickt die zweite Steuereinheit der ersten Steuereinheit zurück, die dann auf der Basis eines Vergleichs der gebildeten Antwort mit der zu erwartenden Antwort die Fehlerfreiheit der zweiten Steuereinheit feststellt. Entsprechend wird die erste Steuereinheit durch Kommunikation mit der zweiten überwacht.

Description

Stand der Technik

Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur gegenseitigen Überwachung von Steuereinheiten.

Ein derartiges Verfahren bzw. eine derartige Vorrichtung ist aus der DE 44 38 714 A1 (US-Patent 5 880 568) bekannt. Die­ ses beschreibt eine eigensichere Steuereinheit, beispiels­ weise in Verbindung mit Steuersystemen zur Steuerung der An­ triebseinheit eines Fahrzeugs. Eigensicherheit bedeutet da­ bei, daß bei Auftreten eines Fehlers der Fehlerzustand auf das System begrenzt bleibt, in dem der Fehler entstanden ist, und das System nach außen hin immer in einem sicheren Zustand verbleibt. Z.B. dürfen Einzelfehler nicht zur Lei­ stungserhöhung der Antriebseinheit führen. Das in der be­ kannten Veröffentlichung beschriebene Überwachungskonzept ist strukturell zweikanalig, d. h. alle sicherheitsrelevanten Pfade sind durch redundante Kanäle abgesichert. Dies gilt auch für die sicherheitsrelevanten Anteile der operativen Software (z. B. der Software zur Erfüllung der Aufgabe der Steuereinheit). Diese operative Software wird im Rahmen ei­ ner zweiten Programmebene durch redundante Software über­ wacht, die die korrekte Bildung der Steuersignalgrößen durch die operative Software quantitativ überprüft. Der Ablauf und die Funktionsfähigkeit der Software dieser zweiten Ebene wird durch Kommunikation mit einem externen Überwachungsmo­ dul im Rahmen einer Frage-Antwort-Kommunikation überwacht.

Konkret enthält in der bekannten Ausführung die erste Soft­ warenebene die operative Software zur Durchführung der Steu­ erfunktion sowie systemspezifische Überwachungsfunktionen der Eingangsgrößen und der Endstufen. Die zweite Ebene be­ steht aus der Funktionsüberwachung. In der Funktionsüberwa­ chung wird mittels redundanter Funktionen die korrekte Bil­ dung der Ausgangsgrößen, insbesondere der leistungsbestim­ menden Größen, überwacht. Außerdem bilden die Programme der zweiten Ebene die Antwort auf eine ausgewählte, vom Überwa­ chungsmodul im Rahmen einer Ablaufkontrolle übermittelten Fragen, mit deren Hilfe die korrekte Berechnung der Überwa­ chungsfunktionen überprüft wird, und führen eine Rech­ nerüberwachung mittels eines Tests der Überwachungsfunktio­ nen durch Simulationsdaten durch. Die dritte Ebene schließ­ lich enthält die Frage-Antwort-Kommunikation (auf der Basis der übermittelten Frage und der gebildeten Antwort) mit dem Überwachungsmodul, mit deren Hilfe die Funktionsweise der Programme der zweiten Ebene überwacht wird. Dieser Ebene sind ferner Überwachungsfunktionen zugeordnet, die Komponen­ ten des Funktionsrechners wie Speicher, Analog-/Digital- Wandler, etc. prüfen. Eine derartige Vorgehensweise ist aus dem obengenannten Stand der Technik bekannt.

In modernen Steuersystemen werden in der Regel mehrere Steu­ ereinheiten eingesetzt, die separate Bauelemente bilden oder auch in einem Gerät baulich vereinigt sind. So sind bei­ spielsweise bei einer modernen Fahrzeugsteuerung Steuergerä­ te zur Steuerung der Antriebseinheit, zur Steuerung des Fahrverhaltens (ABS, ASR, ESP), zur Steuerung eines automa­ tischen Getriebes, zur Steuerung der Radbremsen, etc. vor­ handen. Zur Eigensicherheit dieser einzelnen Steuergeräte wäre jedes einzelne Steuergerät im Sinne des obengenannten Standes der Technik zu überwachen. Dies ist mit verhältnis­ mäßig großem Aufwand verbunden, entsprechendes gilt bei we­ nigstens zwei, in einem Gerät vereinigten Steuereinheiten (z. B. Rechnern), die diese Funktionen ausführen.

Es ist Aufgabe der Erfindung, Maßnahmen zu einer verbesser­ ten Überwachung von wenigstens zwei in einem Verbund arbei­ tenden Steuereinheiten (Steuergeräten, Rechner, etc.) anzu­ geben.

Dies wird durch die kennzeichnenden Merkmale der unabhängi­ gen Patentansprüche erreicht.

Vorteile der Erfindung

Die nachfolgend beschriebene Vorgehensweise erlaubt die ge­ genseitige Überwachung von wenigstens zwei Steuereinheiten, die in einem Verbund (z. B. einem Verbund mehrerer Steuerge­ räte) miteinander verbunden sind, durch den mehrere Steuer­ funktion unter gegenseitiger Beeinflussung der Steuereinhei­ ten durchgeführt werden. Besonders vorteilhaft ist, daß die Überwachung trotz gewohnter Zuverlässigkeit mit geringerem Aufwand durchzuführen ist, als dies bei einer eigensicheren Einzelüberwachung jeder einzelnen Steuereinheit für sich der Fall wäre. Dies deshalb, weil durch die gegenseitige Überwa­ chung der Steuereinheiten das aus dem Stand der Technik im Zusammenhang mit der Überwachung eines einzelnen Rechners bekannte Überwachungsmodul entfällt. Die Folge ist ein er­ hebliches Einsparungspotential bei der Entwicklung eigensi­ cherer Steuereinheiten.

Besonders vorteilhaft ist, daß zur gegenseitigen Überwachung der Steuereinheiten auf die aus dem Stand der Technik be­ kannte, zuverlässige und erprobte Vorgehensweise zurückge­ griffen wird. Dies erlaubt, daß in gewohnter Weise Sicher­ heit und Verfügbarkeit des Steuersystems gewährleistet sind, ohne daß ein Mehr an Aufwand bezüglich der Überwachung der Steuereinheiten eingesetzt werden muß.

Weitere Vorteile ergeben sich aus der nachfolgenden Be­ schreibung von Ausführungsbeispielen bzw. aus den abhängigen Patentansprüchen.

Zeichnung

Die Erfindung wird nachstehend anhand der in der Zeichnung dargestellten Ausführungsformen näher erläutert. Die einzige Figur zeigt ein bevorzugtes Ausführungsbeispiel der gegen­ seitigen Überwachung von zwei Steuergeräten eines Steuerge­ räteverbunds, wobei ein Steuergerät ein Steuergerät zur Steuerung der Antriebseinheit des Fahrzeugs ist.

Beschreibung von Ausführungsbeispielen

Die Figur zeigt ein erstes Steuergerät 10, die im bevorzug­ ten Ausführungsbeispiel zur Steuerung einer Brennkraftma­ schine dient, sowie ein zweites Steuergerät 12, welches zur Steuerung des Fahrverhaltens, einer Bremsanlage und/oder ei­ nes automatischen Getriebes dient. Beide Steuergeräte umfas­ sen jeweils einen Rechner, der in Fig. 1 jeweils durch die Programmebenen I bis III dargestellt ist. Dabei sind der Ebene I jeweils die Funktionen zugeordnet, welche zur Ge­ währleistung der Steuerfunktion, d. h. der eigentlichen Steuerungsaufgaben, sowie systemspezifische Überwachungs­ funktionen der Eingangsgrößen und Endstufen zugeordnet. Dies ist in Fig. 1 jeweils durch die Programme 14 bzw. 14' dar­ gestellt. Den Steuergeräten werden über Eingangsschaltungen 16 bzw. 16a von nicht dargestellten Meßeinrichtungen Ein­ gangsgrößen über die Eingangsleitungen 18 bis 22 bzw. 18a bis 22a zugeführt. Diese Eingangsgrößen liegen der Berech­ nung der Steuerfunktionen zugrunde. Daher werden die Ein­ gangsgrößen den Programmen der Ebene I zur Verfügung ge­ stellt. Die Programme der ersten Ebene bilden auf der Basis der Eingangsgrößen Stellgrößen, die über die Ausgangsleitun­ gen 24 und 26 im Falle des Steuergeräts 10 und die Ausgangs­ leitung 24a im Falle des Steuergeräts 12 an die jeweiligen Endstufen 28 und 30 bzw. 28a ausgegeben werden. Im bevorzug­ ten Ausführungsbeispiel handelt es sich beim Steuergerät 10 um ein Steuergerät zur Steuerung einer Brennkraftmaschine, wobei die Endstufe 28 Endstufen zur Steuerung von Einspritz­ ventilen und Zündeinrichtungen, etc. darstellen, während die Endstufe 30 eine Endstufe zur Betätigung einer elektrisch betätigbaren Drosselklappe der Brennkraftmaschine repräsen­ tiert. Je nach Anwendungsfall steuert das Steuergerät 12 Endstufen zur Betätigung von Kupplungen eines automatischen Getriebes, von Bremsenstelleinrichtungen, etc. an.

Wie aus dem eingangs genannten Stand der Technik bekannt, sind der zweiten Ebene II Programme 32 bzw. 32a zugeordnet, welche die Funktionsfähigkeit der Programme der ersten Ebene und somit die Funktionsfähigkeit der Steuerfunktion überwa­ chen. Im bevorzugten Ausführungsbeispiel wird dies auf der Basis von Ein- und Ausgangsgrößen durchgeführt, so daß den Programmen der zweiten Ebene redundant zu den Programmen der ersten Ebene die Eingangsgrößen zugeführt werden, ferner von der ersten Ebene über die Leitungen 34 bis 38 bzw. 34a bis 38a Ausgangsgrößen oder Zwischengrößen der Programme der er­ sten Ebene. Durch Vergleich dieser Größen bzw. daraus abge­ leiteter Größen stellen die Programme der zweiten Ebene die Funktionsfähigkeit bzw. eine Fehlfunktion der Programme der ersten Ebene fest. Zur Sicherstellung der Betriebssicherheit ist vorgesehen, daß wenigstens eine der Endstufen (im Bei­ spiel der Steuereinheit 10 die Endstufe 30) über eine Aus­ gangsleitung 40 bzw. 40a durch die Programme der zweiten Ebene im fehlerfreien Fall freigeschaltet wird bzw. bei auf­ tretendem Fehler abgeschaltet wird.

Die dritte Programmebene III umfaßt Programme, welche die Funktionsfähigkeit der Programme der Ebene II sowie von Kom­ ponenten des Rechners überprüfen. Die Programme dieser Ebene kommunizieren im Rahmen der Überwachung mit externen Bauele­ menten, beim eingangs genannten Stand der Technik mit einem Überwachungsmodul, gemäß der vorliegenden Vorgehensweise mit dem jeweilig anderen Steuergerät 12 bzw. 10. Die Ebene III umfaßt Programme wie Speichertestprogramme 42 bzw. 42a, Pro­ gramme zur Ablaufkontrolle 44 bzw. 44a und Programme zum Fremdgerätetest 46 bzw. 46a. Im eingangs genannten Stand der Technik, welche eine Einzelüberwachung eines Steuergeräts beschreibt, stehen die Programme der Ablaufkontrolle der Ebene III mit einem Überwachungsmodul in Verbindung. Im vor­ liegenden Fall wird diese Verbindung der Programme der Ab­ laufkontrolle mit den Programmen des Fremdgerätetests des anderen Steuergeräts bereitgestellt. So stellen die Program­ me des Fremdgerätetests 44a des Steuergeräts 12 über die Kommunikationsverbindung 48 der Ablaufkontrolle 44 des Steu­ ergeräts 10 vorbestimmte Fragen, wie sie aus dem eingangs genannten Stand der Technik bekannt. Die Ablaufkontrollpro­ gramme 44 des Steuergeräts 10 veranlassen über die Speicher­ kontrollprogramme 42 die Programme der Ebene II zur Bildung von Antworten, die dann zu einer Gesamtantwort verbunden und von den Programmen der Ablaufkontrolle über die Kommuni­ kationsverbindung 50 zu den Programmen des Fremdgerätetest des Steuergeräts 12 zur Auswertung übertragen werden. Diese vergleichen die aufgrund der gestellten Frage zu erwartende Antwort mit der tatsächlichen Antwort und stellen daraus die Funktionsfähigkeit der Programme der Ebene II des Steuerge­ rätes 10 fest. Über eine Ausgangsleitung 52 greifen die Pro­ gramme des Fremdgerätetests des Steuergeräts 12 auf wenig­ stens eine der Endstufen 28 und 30, die vom Steuergerät 10 bedient werden, ein, wobei im Fehlerfall die Endstufen abge­ schaltet werden bzw. im fehlerfreien Fall freigeschaltet werden.

Eine entsprechende Vorgehensweise ist zur Überwachung des Steuergerätes 12 vorgesehen (vgl. Fremdgerätetestprogramme 46, Kommunikationsleitung 54 und 56, Ausgangsleitung 58), die im Rahmen der Überwachung entsprechend der obigen Dar­ stellung mit einander kommunizieren und auf wenigstens eine Endstufe eingreifen.

Auf diese Weise ist sichergestellt, daß sich die beiden Steuergeräte 10 und 12 gegenseitig überwachen und die Außen­ wirkung des als fehlerbehaftet festgestellten Geräts vom an­ deren eingeschränkt wird. Eine bevorzugte konkrete Vorge­ hensweise der Ablaufkontrolle wird z. B. im eingangs genann­ ten Stand der Technik beschrieben.

Neben der Überwachung von zwei Steuergeräten, die baulich getrennt sind, wird durch die vorstehend beschriebene Vorge­ hensweise auch eine Überwachung zweier Rechnereinheiten (allgemein Steuereinheiten), die baulich in einem Steuerge­ rät vereinigt sind, durchgeführt.

Claims (6)

1. Verfahren zur gegenseitigen Überwachung von Steuereinhei­ ten, mit wenigstens einer ersten Steuereinheit (10) und einer zweiten Steuereinheit (12), welche jeweils wenig­ stens eine erste Programmebene (I), der Programme zuge­ ordnet sind, die die Steuerfunktion berechnen, eine zwei­ te Programmebene (II), die Programme umfaßt, welche die Funktionsfähigkeit der Programme der ersten Ebene überwa­ chen und eine dritte Programmebene (III) aufweisen, wel­ che die Funktionsfähigkeit der Programme der zweiten Ebe­ ne überwachen, wobei die Programme (44, 46a) der dritten Ebene (III) im Rahmen einer Ablaufkontrolle aufgrund ei­ ner vorgegebenen. Frage mit Hilfe von Programme der zwei­ ten Ebene eine Antwort bildet, dadurch gekennzeichnet, daß eine Steuereinheit (10, 12) die Frage von der anderen Steuereinheit (10, 12) empfängt und die Antwort an diese abgibt.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß beide Steuereinheiten Fragen für die andere bilden und Antworten an die andere übermitteln.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Frage von Programmen (44, 44a) der dritten Ebene der zweiten Steuereinheit (10, 12) gebildet und an die erste Steuereinheit (12, 10) übertragen wird, während die Ant­ worten von der zweiten Steuereinheit (10, 12) empfangen und ausgewertet werden.

4. Verfahren nach einem der vorhergehenden Ansprüche, da­ durch gekennzeichnet, daß Programme (46, 44a) der dritten Ebene einer Steuereinheit (10, 12) auf die Endstufen (28a, 28, 30) im Sinne einer Abschaltung bzw. Freigabe der anderen Steuereinheit (12, 10) zugreifen.

5. Verfahren nach einem der vorhergehenden Ansprüche, da­ durch gekennzeichnet, daß die erste Steuereinheit (10) eine Steuereinheit zur Steuerung einer Brennkraftmaschine ist, während die zweite Steuereinheit eine Steuerung des Fahrverhaltens, der Radbremsen und/oder eines automati­ schen Getriebes durchführt.

6. Vorrichtung zur gegenseitigen Überwachung von Steuerein­ heiten, mit einer ersten und einer zweiten Steuereinheit (10, 12), welche jeweils eine erste Programmebene (I), der Programme zur Durchführung der jeweiligen Steuerfunk­ tion zugeordnet sind, eine zweite Programmebene (II), der Programme zur Überwachung der Programme der ersten Ebene zugeordnet sind, und eine dritte Programmebene (III) auf­ weisen, in der Überwachungsprogramme zur Überwachung der Programme der zweiten Ebene enthalten sind, wobei unter diesen Programmen eine Ablaufkontrolle (44, 46a) ist, die aufgrund einer vorgegebenen Frage mit Hilfe von Program­ men der zweiten Ebene eine Antwort bildet, dadurch ge­ kennzeichnet, daß eine Steuereinheit (10, 12) die Frage von der anderen Steuereinheit (10, 12) empfängt und die Antwort an diese abgibt.