DE102006012822A1 - Electrical control device malfunction monitoring method, involves producing test value based on result of testing of control device, and transferring data value and test value in same processing cycle to signal receiving device - Google Patents

Abstract

The method involves testing whether an error condition of an electrical control device (1) exists. A test value is produced based on the result of the testing. A data value and the test value are transferred in a same processing cycle to a signal receiving device (2) that is electrically attached to a data bus (3). The test value is produced after a predetermined coding mechanism of the data value when no error condition exists. The device comprises an interface (4`), a microcontroller (5`) and a memory (6`). Independent claims are also included for the following: (1) a method for verifying a data value that is received in a device by a control device over a data bus (2) a control device with an interface for an electrical device and/or a data bus (3) a device that is directly attached to a control device over a data bus.

Description

Die Erfindung betrifft ein Verfahren zur Fehlerüberwachung eines elektrischen Steuergeräts mit einem angeschlossenen Datenbus, wobei im Steuergerät eine zyklische Verarbeitung stattfindet. Die Erfindung betrifft auch ein Verfahren zum Empfangen eines Datenwerts. Weiterhin betrifft die Erfindung ein Steuergerät mit einer Schnittstelle für einen Datenbus sowie ein Gerät, das an einen Datenbus angeschlossen werden kann.The The invention relates to a method for fault monitoring of an electrical ECU with a connected data bus, wherein in the control unit a cyclic Processing takes place. The invention also relates to a method for receiving a data value. Furthermore, the invention relates a control unit with an interface for a data bus and a device, which can be connected to a data bus.

Elektrisch programmierbare Steuergeräte werden heute in einer Vielzahl von Industriezweigen eingesetzt. Sie dienen beispielsweise dem Steuern und der Überwachung von Maschinen und Produktionsanlagen. Auch im Automobilbereich sowie im Kraftfahrzeug selbst werden elektrisch programmierbare Steuergeräte eingesetzt. Dabei steuern sie Komponenten, die beispielsweise im Falle einer Störung abgeschaltet oder aktiviert werden müssen, wie etwa ein Stellmotor, der den Stillstand einer Maschine bewirkt.electrical be programmable controllers used today in a variety of industries. They serve For example, the control and monitoring of machinery and Production. Also in the automotive sector as well as in the motor vehicle even electrically programmable controllers are used. They control components that, for example, in the case of a disorder be turned off or activated, such as a servomotor, which causes the stoppage of a machine.

Da in den elektrischen Steuergeräten häufig auch sicherheitsrelevante Funktionen ablaufen, sind in den Steuergeräten selbst ebenfalls Sicherheitskonzepte implementiert. Diese Sicherheitskonzepte umfassen auch Überwachungen, die einen Fehlerzustand des Steuergeräts erkennen und Maßnahmen daraus ableiten können.There in the electrical control units often too safety-relevant functions are in the control units themselves also implemented security concepts. These security concepts include also monitors, detect a fault condition of the controller and measures it can derive.

Werden beispielsweise Fehler von Eingangssignalen von Sensoren erkannt, von denen nur Teilfunktionen betroffen sind, so werden nur diese Teilfunktionen abgeschaltet. Der Fehlerzustand eines Sensorsignals wird dann an ein verbundenes weiteres Steuergerät kommuniziert, welches die Information dieses Sensorsignals normalerweise nutzt. Der Sensor selbst bleibt aber in dieser Situation verfügbar, so dass er, wenn er an einen Datenbus oder CAN-Bus angeschlossen ist, von anderen Geräten nach wie vor angesteuert werden kann.Become for example, detected errors of input signals from sensors, of which only partial functions are concerned, so only these sub-functions off. The error state of a sensor signal then becomes a connected further control unit communicates which the Information of this sensor signal normally uses. The sensor himself, however, remains available in this situation, so he, when he a data bus or CAN bus is connected, from other devices as before can be controlled.

Wird jedoch ein Fehler im Steuergerät erkannt, so dass eine korrekte Funktion des Steuergeräts nicht mehr gewährleistet ist, so kann die Kommunikation über den Datenbus unterbrochen werden. Die ebenfalls am Datenbus angeschlossenen anderen Geräte oder Steuergeräte werden indirekt auf den Fehlerzustand des fehlerhaften Steuergeräts hingewiesen, da keine Signale von dem fehlerhaften Steuergerät mehr empfangen werden können. Bei einer zyklischen Verarbeitung der Steuergeräte wird also das Ausbleiben eines Signals als Fehlerzustand des Steuergeräts interpretiert. Dies kann jedoch abhängig von dem implementierten Sicherheitskonzept dazu führen, dass ein falsches Signal auf dem Kommunikationsbus an die angeschlossenen Geräte bzw. Steuergeräte ausgegeben wurde.Becomes however, an error in the controller detected, so that a correct function of the controller is not more guaranteed is, communication can over the data bus is interrupted. The also connected to the data bus other devices or control devices are indirectly indicated on the error state of the faulty controller, because no signals from the faulty control unit can be received anymore. at a cyclical processing of the control units is thus the failure of a signal is interpreted as an error condition of the control unit. This can however dependent of the implemented security concept lead to a wrong signal on the communication bus to the connected Devices or ECUs was issued.

Da bei nicht deterministischen Kommunikationsprotokollen das verspätete und ausbleibende Empfangen von Signalen eines angeschlossenen Gerätes in einem Verarbeitungszyklus auch ohne das Vorliegen eines Fehlers lediglich aufgrund der nicht vorhandenen Deterministik vorkommen kann, werden üblicherweise Toleranzzeiten definiert, in denen ein nicht zeitgerechtes Empfangen von Signalen von angeschlossenen Geräten toleriert wird. Innerhalb dieser Toleranzzeit wird der letzte gültige Wert eines Signals als Ersatzwert verwendet. Dies kann jedoch dazu führen, dass ein vor dem Erkennen eines Fehlers ausgegebener falscher Signal- oder Datenwert noch über die Toleranzzeit hinaus an dem angeschlossenen Steuergerät anlegt.There for non-deterministic communication protocols, the late and Absence of receiving signals from a connected device in one Processing cycle even without the presence of an error only due to the non-existent deterministic, are usually Defined tolerance periods in which a non-timely receive is tolerated by signals from connected devices. Within This tolerance time becomes the last valid value of a signal as Substitute value used. However, this can lead to a pre-recognition of an error or incorrect signal or data output via the Tolerance time also applies to the connected control unit.

Die DE 102 11 280 A1 schlägt daher ein Verfahren zur Ansteuerung einer Komponente eines verteilten sicherheitsrelevanten Systems vor. Die Komponente wird von einem zugeordneten Prozessrechner angesteuert, der über einen Kommunikationscontroller an ein Bussystem angeschlossen ist. Eine vom Prozessrechner unabhängige Überwachungseinheit überwacht den Prozessrechner. Dabei wird vorgeschlagen, die Aufgaben der Überwachungseinheit durch den Kommunikationscontroller zu erfüllen, um den Aufbau eines verteilten sicherheitsrelevanten Systems zu vereinfachen und gleichzeitig die erzielbare Sicherheit bei der Freigabe der Komponenten beizubehalten. Nachteilig ist jedoch, dass auch bei diesem System Antworten von angeschlossenen Komponenten abgewartet werden und überprüft wird, ob sie innerhalb der vorgegebenen Zeittoleranz erfolgen. Erst nach Ablauf der Zeittoleranz wird eine Abschaltung der angesteuerten Komponenten durch den Kommunikationscontroller vorgenommen.The DE 102 11 280 A1 therefore proposes a method for driving a component of a distributed safety-related system. The component is controlled by an associated process computer, which is connected via a communication controller to a bus system. A monitoring unit independent of the process computer monitors the process computer. It is proposed to perform the tasks of the monitoring unit by the communication controller in order to simplify the construction of a distributed safety-related system while maintaining the achievable safety in the release of the components. The disadvantage, however, is that even with this system responses from connected components are awaited and it is checked whether they take place within the specified time tolerance. Only after expiration of the time tolerance, a shutdown of the driven components is made by the communication controller.

Es ist daher Aufgabe der vorliegenden Erfindung, ein Verfahren zur Fehlerüberwachung eines elektrischen Steuergeräts vorzuschlagen, bei dem die Fehlertoleranzzeiten deutlich verkürzt werden können und beim Auftreten eines Fehlers nicht beeinträchtigte Bereiche des Steuergeräts weiter ordnungsgemäß funktionieren können.It is therefore an object of the present invention, a method for error monitoring an electrical control unit to propose, in which the fault tolerance times can be significantly shortened and If an error occurs, unaffected areas of the control unit continue work properly can.

Erfindungsgemäß wird diese Aufgabe gelöst durch ein Verfahren zur Fehlerüberwachung eines elektrischen Steuergeräts nach Anspruch 1, wobei die Verarbeitung des Steuergeräts zyklisch stattfindet. Das Verfahren umfasst das Überprüfen, ob ein Fehlerzustand des Steuergeräts vorliegt. Anschließend wird in Abhängigkeit des Ergebnisses der Überprüfung ein Prüfwert erzeugt. Der Prüfwert wird im gleichen Verarbeitungszyklus wie ein Signal- bzw. Datenwert an ein direkt oder über einen Datenbus angeschlossenes Gerät übertragen.According to the invention this Task solved by a method for fault monitoring an electrical control unit according to claim 1, wherein the processing of the control device cyclically takes place. The method includes checking whether an error condition of the ECU is present. Subsequently becomes dependent the result of the review check value generated. The test value becomes in the same processing cycle as a signal or data value to a direct or over transmit a data bus connected device.

Das erfindungsgemäße Verfahren weist den Vorteil auf, dass der Prüfwert im gleichen Verarbeitungszyklus wie der Daten- bzw. Signalwert an das bzw. die am Datenbus angeschlossenen Geräte übertragen wird. Somit liegt beim angeschlossenen Gerät der Prüfwert quasi gleichzeitig mit dem Datenwert vor. Es muss keine Toleranzzeit abgewartet werden, um den übermittelten Datenwert zu beurteilen. Im Fehlerfall, also wenn im aussendenden Steuergerät ein Fehlerzustand vorliegt, wird dem angeschlossenen Gerät sofort mitgeteilt, dass der übertragene Datenwert fehlerbehaftet sein kann. Der Datenwert wird in diesem Fall vom angeschlossenen Gerät verworfen. Die Fehlertoleranzzeiten verkürzen sich dadurch deutlich, da nicht erst detektiert werden muss, dass das aussendende Steuergerät nicht mehr seine zyklischen Nachrichten über den Bus versendet. Gerade im Kraftfahrzeugbereich und beim Einsatz von Steuergeräten im Kraftfahrzeug können somit frühzeitig Fehler erkannt werden und Maßnahmen eingeleitet werden, die die Fehlerfolgen für den Fahrer reduzieren oder ausschließen. Das System im Kraftfahrzeug kann schneller auf den Fehler reagieren, beispielsweise um ein früheres Abschalten von Systemkomponenten auszulösen. Dadurch kann im Kraftfahrzeugbereich wertvolle Zeit gewonnen werden, um Gefahren für den Fahrer abzuwenden oder um ein mögliches Verletzungsrisiko durch einen früher stattfindenden Systemeingriff zu minimieren.The inventive method has the advantage that the test value in the same processing cycle as the data or signal value to the or the devices connected to the data bus is transmitted. Thus, the test value of the connected device is virtually the same as the data value. There is no need to wait for a tolerance time to assess the transmitted data value. In the event of a fault, that is to say when an error state is present in the transmitting control device, the connected device is informed immediately that the transmitted data value may be faulty. In this case, the data value is discarded by the connected device. The fault tolerance times are considerably shortened because it does not have to be detected first that the sending control unit no longer sends its cyclic messages over the bus. Precisely in the field of motor vehicles and the use of control devices in the motor vehicle, faults can be detected early and measures can be taken which reduce or eliminate the consequences of errors for the driver. The system in the motor vehicle can respond faster to the error, for example, to trigger an earlier shutdown of system components. As a result, valuable time can be gained in the motor vehicle sector in order to avert risks for the driver or to minimize a possible risk of injury due to earlier system intervention.

Die vorliegende Aufgabe wird erfindungsgemäß auch durch ein Verfahren nach Anspruch 2 gelöst.The The present invention also provides a method solved according to claim 2.

In einem Gerät wird ein Datenwert von einem Steuergerät über einen Datenbus empfangen. Im Steuergerät läuft eine zyklische Bearbeitung ab. Gemäß dem erfindungsgemäßen Verfahren wird ein Prüfwert empfangen, wobei der Prüfwert und der empfangene Datenwert im gleichen Verarbeitungszyklus im Gerät eintreffen. Der empfangene Prüfwert wird ausgewertet. In Abhängigkeit von der Auswertung des Prüfwerts wird dann der Datenwert verworfen oder beibehalten. Somit liegt im Gerät mit dem empfangenen Datenwert stets auch gleichzeitig ein Prüfwert vor. Durch Auswertung des Prüfwerts kann im Gerät auch entschieden werden, ob der übermittelte Datenwert fehlerfrei über den angeschlossenen Datenbus übermittelt wurde oder ob sich während der Übertragung eine unzulässige Veränderung des Datenwerts ergeben hat. Die Beurteilung, ob ein fehlerfreier Datenwert empfangen wurde und gegebenenfalls auch wo in der Verarbeitungskette der Fehler liegt, kann somit sofort stattfinden. Es muss nicht ein weiterer Verarbeitungszyklus abgewartet werden. Dies vermeidet die Gefahr, dass im Gerät mit einem fehlerhaften oder unzulässig veränderten Datenwert gearbeitet wird, was Auswirkungen und Störungen für das Gesamtsystem zur Folge haben kann. Die Sicherheit der Verarbeitung in dem angeschlossenen Gerät und in dem zu dem Gerät gehörenden System wird dadurch deutlich erhöht.In a device a data value is received from a controller via a data bus. In the control unit runs one cyclic processing. According to the method of the invention becomes a test value received, with the test value and the received data value in the same processing cycle in Device arrive. The received check value becomes evaluated. Dependent on from the evaluation of the test value then the data value is discarded or retained. Thus lies in the device always simultaneously with the received data value before a test value. By evaluation of the test value can in the device also be decided whether the transmitted Data value error-free via transmitted the connected data bus was or whether during the transfer an invalid change of the data value. The assessment of whether a flawless Data value was received and where appropriate also where in the processing chain the fault lies, can take place immediately. It does not have to be another one Processing cycle to be awaited. This avoids the danger that in the device worked with a faulty or inadmissibly changed data value what will impact and disrupt the overall system can result. The safety of processing in the connected device and in to the device belonging System is significantly increased.

Erfindungsgemäß wird die vorliegende Aufgabe auch durch ein Steuergerät nach Anspruch 8 gelöst, das eine zyklische Verarbeitung ausführt und eine Schnittstelle für wenigstens ein weiteres elektrisches Gerät und/oder einen Datenbus aufweist. Die Schnittstelle dient zum Anschluss wenigstens eines weiteren elektrischen Geräts direkt oder über den Datenbus an das Steuergerät. Das Steuergerät ist erfindungsgemäß dazu eingerichtet, einen Datenwert und einen Prüfwert im gleichen Verarbeitungszyklus an ein direkt oder über den Datenbus angeschlossenes Gerät zu übertragen.According to the invention present problem also solved by a control device according to claim 8, the performs a cyclic processing and an interface for has at least one further electrical device and / or a data bus. The interface is used to connect at least one other electrical device directly or via the data bus to the controller. The control unit is inventively designed to a data value and a check value in the same processing cycle to a directly or via the Data bus connected device transferred to.

Dabei läuft in dem Steuergerät das oben beschriebene Verfahren ab. Vorteilhaft erweist sich bei einem derart ausgestalteten Steuergerät, dass das Steuergerät seine zyklischen Nachrichten über den Datenbus versendet, auch wenn ein Fehlerzustand im Steuergerät detektiert wird. Von den Fehlerzuständen im Steuergerät umfasst sind auch Fehlerzustände von eventuell an das Steuergerät angeschlossenen Sensoren. Im einwandfreien Betrieb des Steuergeräts empfängt das am Datenbus angeschlossene Gerät neben dem übertragenen Datenwert auch den kodierten Prüfwert im gleichen Verarbeitungszyklus. Damit kann unter anderem eine einwandfreie Übertragung der Daten über den Datenbus kontrolliert und überprüft werden.there runs in the control unit the method described above. Advantageously proves in a so designed control unit, that the controller his cyclical messages over sends the data bus, even if detected an error condition in the control unit becomes. From the error conditions in the control unit Also included are error conditions from possibly to the control unit connected sensors. In perfect operation of the controller receives the device connected to the data bus next to the transferred Data value also the coded test value in the same processing cycle. This can, inter alia, a perfect transfer the data over the data bus is checked and checked.

Erfindungsgemäß wird die Aufgabe auch durch ein Gerät nach Anspruch 11 gelöst, welches direkt oder über einen Datenbus an ein Steuergerät angeschlossen werden kann. Das Gerät ist eingerichtet zum Empfangen eines Datenwerts und eines Prüfwerts von einem über den Datenbus angeschlossenen Steuergerät in einem Verarbeitungszyklus und zum Verwerfen des Datenwerts in Abhängigkeit von dem im selben Verarbeitungszyklus empfangenen Prüfwert. In dem Gerät, das auch eine elektrisch programmierbare Steuereinheit sein kann, läuft das obige Verfahren zum Verifizieren eines empfangenen Datenwertes ab. Vorteilhaft an einem solchen Gerät ist, dass der übertragene Datenwert sofort überprüft werden kann. Dabei kann festgestellt werden, ob der Datenwert während der Übertragung zum Gerät verändert wurde oder ob der Datenwert von Vornherein fehlerbehaftet war, beispielsweise durch Vorliegen eines Fehlerzustandes im Steuergerät, das den Datenwert erzeugt. Da der Datenwert im gleichen Verarbeitungszyklus beurteilt werden kann, werden keine Fehlerfolgen in dem Gerät erzeugt, die auf einem falschen oder fehlerhaften Datenwert beruhen.According to the invention Task also by a device solved according to claim 11, which directly or via a data bus to a controller can be connected. The device is set up to receive a data value and a check value from one over the control unit connected to the data bus in a processing cycle and discarding the data value depending on the same Processing cycle received test value. In the device, too an electrically programmable control unit can be running above method for verifying a received data value. An advantage of such a device is that the transferred Data value to be checked immediately can. It can be determined whether the data value during transmission to the device changed or whether the data value was flawed from the outset, for example by the presence of a fault condition in the control unit, the Data value generated. Because the data value is in the same processing cycle can be judged, no error sequences are generated in the device, which are based on an incorrect or incorrect data value.

Die Unteransprüche beinhalten vorteilhafte Weiterbildungen und Gestaltungen der Verfahren nach Anspruch 1 und 2 sowie der Gegenstände nach Anspruch 8 und 11.The under claims contain advantageous developments and designs of the method according to Claim 1 and 2 and the objects according to claim 8 and 11.

In einer vorteilhaften Ausbildung des erfindungsgemäßen Verfahrens dient der im gleichen Verarbeitungszyklus übertragene Prüfwert als Kontrollwert, um eine fehlerfreie Übertragung des Datenwerts über den Datenbus zu detektieren. Immer wenn das Steuergerät ordnungsgemäß arbeitet, wird gleichzeitig die ordnungsgemäße Übertragung des Datenwerts über den Datenbus an das angeschlossene elektrische Gerät überprüft.In an advantageous embodiment of the method according to the invention serves in the same Processing cycle transmitted control value as a control value to detect an error-free transmission of the data via the data bus. Whenever the controller is operating properly, the proper transfer of data over the data bus to the connected electrical equipment is simultaneously checked.

Bevorzugt wird dabei, sofern kein Fehlerzustand im Steuergerät vorliegt, der Prüfwert nach einem vorbestimmten Verschlüsselungsmechanismus aus dem Datenwert erzeugt. Somit enthält der Prüfwert ebenfalls Informationen über den Datenwert. Der Verschlüsselungsmechanismus muss auch dem am Datenbus angeschlossenen elektrischen Gerät vorliegen, um den übermittelten Prüfwert zu beurteilen. Es erweist sich als vorteilhaft, wenn der Verschlüsselungsmechanismus ebenfalls zur Entschlüsselung bzw. zur Beurteilung des übertragenen Prüfwerts verwendet werden kann. Somit ist das angeschlossene elektrische Gerät in der Lage, die fehlerfreie Übertragung des Datenwerts auf einfache Weise zu verifizieren. Damit entsteht die unter Sicherheitsaspekten geforderte Redundanz der Datenübertragung auf einfache Weise. Durch einen sich so mit einem Sollwert ändernden kodierten Prüfwert können z.B. auf einfache Weise einfache Speicherfehler ausgeglichen werden. Eine eindeutige Identifikation des übertragenen Datenwerts ist also möglich. Durch den Austausch des Verschlüsselungsmechanismus zwischen dem Steuergerät und dem angeschlossenen elektrischen Gerät kann auch sichergestellt werden, dass das angeschlossene Gerät nur die für dieses Gerät bestimmten Datenwerte erhält. Geräte, denen der Verschlüsselungsmechanismus nicht vorliegt, können den Prüfwert nicht verifizieren. Es wird also sichergestellt, dass der richtige Datenwert von dem richtigen Kommunikationspartner an das richtige Gerät übertragen wird. Gleichzeitig lassen sich durch eine Einschränkung der Vergabe des Verschlüsselungsmechanismus geschlossene Gruppen von Geräten für bestimmte Signale bzw. Datenwerte bilden.Prefers is thereby, if there is no error state in the control unit, the test value according to a predetermined encryption mechanism the data value generated. Thus, the check value also contains information about the Data value. The encryption mechanism must also be present on the electrical device connected to the data bus, to the transmitted check value to judge. It proves to be advantageous if the encryption mechanism also for decryption or for the assessment of the transferred check value can be used. Thus, the connected electrical Device in capable of error-free transmission the data value in a simple way to verify. This creates the redundancy of data transmission required under security aspects in an easy way. By changing so with a setpoint encoded test value can e.g. Simple memory errors can be easily compensated. A unique identification of the transmitted data value is so possible. By replacing the encryption mechanism between the controller and the connected electrical device can also be ensured be that the connected device only those intended for this device Receives data values. Equipment, which the encryption mechanism not available, can the test value do not verify. So it's guaranteed to be the right one Data value from the right communication partner to the right one Transfer device becomes. At the same time, a restriction of the Assignment of the encryption mechanism closed groups of devices for certain Form signals or data values.

Für den Fall, dass ein Fehlerzustand im Steuergerät vorliegt, wird vorteilhafterweise der Prüfwert als ein Fehlersignal ausgebildet. In diesem Fall wird eine aktive Fehlerkennzeichnung für das angeschlossene Gerät ausgegeben. Das angeschlossene Gerät erkennt durch Auswertung des Fehlersignals, dass die korrekte Funktion des gesamten Steuergeräts nicht mehr gewährleistet ist. Da das angeschlossene Gerät den Fehler bereits im gleichen Verarbeitungszyklus erkennen kann, wird auch ein fälschlich gesendeter Datenwert oder ein fehlerbehafteter Datenwert nicht mehr im angeschlossenen Gerät umgesetzt. Als vorteilhaft erweist sich dabei, dass der Prüfwert also zwei Funktionen übernehmen kann, nämlich einmal als Kontrollwert für eine fehlerfreie Übertragung des Datenwerts dient und zum anderen als Mitteilung über einen im Steuergerät vorliegenden Fehler. Dies hat weiterhin den Vorteil, dass die Schnittstelle zum Datenbus für die Fehleridentifizierung nicht unnötig weiter aufgeweitet werden muss. Auch wird der Datenverkehr auf dem Datenbus nicht durch ein zusätzliches Fehlersignal erhöht.In the case, That there is an error condition in the control unit, is advantageously the test value formed as an error signal. In this case, an active Error identification for the connected device output. The connected device recognizes by evaluation the error signal that the correct operation of the entire controller is not more guaranteed is. Because the connected device can detect the error in the same processing cycle, is also a wrongly sent Data value or an erroneous data value is no longer connected Device implemented. It proves to be advantageous that the test value thus assume two functions can, namely once as a control value for a faultless transmission the value of the data and as a message about a in the control unit present error. This has the further advantage that the interface to the data bus for the fault identification will not be widened unnecessarily got to. Also, the traffic on the data bus is not through additional Error signal increased.

In einer bevorzugten Ausführungsform repräsentiert das Fehlersignal den Fehlerzustand des Steuergeräts. Dies ermöglicht dem angeschlossenen Gerät zu beurteilen, welche Funktionen im Steuergerät einen Fehler aufweisen. Damit kann im angeschlossenen Gerät entschieden werden, ob der übermittelte Datenwert von der fehlerhaften Funktion des Steuergeräts beeinflusst ist. Sind nur Teilbereiche des Steuergeräts von dem Fehler betroffen, kann der empfangene Datenwert durchaus für die Weiterverarbeitung verwendet werden. Auch ermöglicht die Übertragung des Fehlerzustands dem angeschlossenen Gerät zu beurteilen, ob andere Signale von anderen Funktionen, die ebenfalls auf dem Steuergerät ablaufen können, noch zu erwarten sind oder ob auch deren Empfang zu verwerfen ist. Damit wird eine zusätzliche Sicherheit geschaffen. Gleichzeitig werden nur die fehlerhaften Daten verworfen und nicht in die Verarbeitung einbezogen. Dadurch wird eine zusätzliche Redundanz geschaffen. Die Sicherheit des derart ausgeprägten Verfahrens wird erhöht.In a preferred embodiment represents the error signal indicates the error condition of the control unit. This allows the connected device to assess which functions in the controller have an error. In order to can in the connected device be decided whether the transmitted Data value influenced by the faulty function of the control unit is. If only parts of the ECU are affected by the error, The received data value can certainly be used for further processing become. Also possible the transfer the fault condition of the connected device to judge whether others Signals from other functions that also run on the controller can, are still to be expected or whether their receipt is to be rejected. This will add an extra Security created. At the same time, only the faulty Data discarded and not included in the processing. Thereby will be an extra Redundancy created. The security of such a pronounced process will be raised.

Besonders vorteilhaft erweist sich also ein Steuergerät, bei dem im Falle des Vorliegens eines Fehlerzustands des Steuergeräts ein Fehlersignal als Prüfwert ausgegeben wird und das Fehlersignal den Fehlerzustand des Steuergeräts repräsentiert. Damit kann das Steuergerät seine zyklischen Nachrichten weiter über den Datenbus versenden und muss nicht abgeschaltet werden. Andere Bereiche oder Funktionen des Steuergeräts, die nicht von dem auftretenden Fehler beeinflusst werden, können weiter arbeiten. Die Verfügbarkeit des Steuergeräts bleibt also für die nicht vom Fehler beeinflussten Bereiche erhalten. Diese Funktionen werden nicht von den fehlerhaften Bereichen bzw. Funktionen des Steuergeräts beeinflusst. Ebenso vorteilhaft ist dann ein System, dass das Steuergerät umfasst.Especially So it turns out to be advantageous a control device, in which in the case of presence of an error condition of the control unit an error signal output as a test value and the error signal represents the error condition of the controller. In order to can the controller continue to send cyclic messages via the data bus and does not have to be turned off. Other areas or functions the controller, which are not affected by the occurring error, can continue work. The availability of the controller remains So for receive the areas not affected by the error. These functions are not affected by the faulty areas or functions of the control unit. Equally advantageous is then a system that includes the control unit.

Besonders bevorzugt ist das Verfahren so ausgebildet, dass die Zuordnung zwischen Fehlersignal und Fehlerzustand des Steuergeräts aus einem Speicher des Steuergeräts abgerufen wird. Das Steuergerät weist also vorteilhafterweise einen Speicher auf, in dem die Zuordnung hinterlegt ist. Damit wird sichergestellt, dass bestimmten Fehlerzuständen bestimmte Fehlersignale zugeordnet werden. Somit ist durch Auswertung des Fehlersignals eine eindeutige Aussage über den Fehlerzustand des Steuergeräts möglich. Darüber hinaus kann durch einfaches Speicherabfragen die Zuordnung besonders schnell und effizient vorgenommen werden. Es sind keine zeitaufwändigen Ermittlungen des Fehlerzustands bzw. des den Fehlerzustand repräsentierenden Fehlersignals notwendig. Vorteilhafterweise sind diese Zuordnungen in Form einer Tabelle im Speicher hinterlegt. Dies kann software-technisch oder in Form von einer Hardware nahen Implementierung geschehen.Particularly preferably, the method is designed so that the assignment between error signal and error state of the control unit is retrieved from a memory of the control unit. The control unit thus advantageously has a memory in which the assignment is stored. This ensures that certain error conditions are assigned to certain error signals. Thus, by evaluating the error signal a clear statement about the error state of the controller is possible. In addition, the allocation can be made very quickly and efficiently by simple memory queries. There is no time-consuming investigation of the error state or the error state representie necessary error signal necessary. Advantageously, these assignments are stored in the form of a table in the memory. This can be done software-technically or in the form of a hardware-related implementation.

In einer weiteren vorteilhaften Ausbildung weist das direkt oder über den Datenbus an dem Steuergerät angeschlossene Gerät ebenfalls einen Speicher auf, in dem eine Zuordnung zwischen dem Fehlersignal und dem Fehlerzustand des Steuergeräts hinterlegt ist. Diese Zuordnung entspricht der Zuordnung im Steuergerät. Damit ist sichergestellt, dass alle angeschlossenen Geräte die gleiche Zuordnung haben, insbesondere wenn die Zuordnungstabellen vom Steuergerät aus an die angeschlossenen Geräte in einem Initialisierungszyklus übertragen werden. Auf diese Weise lässt sich bei Änderungen der Fehlerzustände bzw. der den Zuständen zugeordneten Fehlersignale eine einfache Anpassung in allen angeschlossenen Geräten vornehmen. Die Abfrage bzw. der Abgleich von Fehlerzustand und Fehlersignal lassen sich schnell und ohne großen Rechenaufwand bewerkstelligen. Somit werden also die angeschlossenen Signale in die Lage versetzt, zu beurteilen, ob der Fehler bzw. der Fehler im Steuergerät den übertragenen Datenwert betrifft und ob dieser dementsprechend verworfen werden muss oder ob der Datenwert nicht von dem Fehler im Steuergerät beeinflusst wird und trotz des aufgetretenen Fehlers verarbeitet werden kann.In a further advantageous embodiment, the directly or over the Data bus on the control unit connected device also a memory in which an association between the error signal and the error state of the controller is stored. This assignment corresponds to the assignment in the control unit. This ensures that all connected devices have the same assignment, especially if the mapping tables from the control unit off to the connected devices be transmitted in an initialization cycle. That way at changes of error conditions or the states associated error signals a simple adjustment in all connected devices make. The query or the adjustment of error state and error signal can be done quickly and without much computational effort. Thus, the connected signals are thus enabled to judge whether the error or the error in the control unit transmitted Data value concerns and whether this are discarded accordingly or whether the data value is not affected by the error in the controller and can be processed despite the error that has occurred.

Es hat sich als besonders vorteilhaft erwiesen, ein System auszubilden, in dem das oben beschriebene Steuergerät und das Gerät, welches an einen Datenbus angeschlossen werden kann, umfasst sind. Ein derartiges System zeichnet sich durch eine sehr hohe Zuverlässigkeit und Sicherheit aus. Das System reagiert auf Fehler einer der Komponenten, beispielsweise des Steuergeräts, sofort und unmittelbar. Fehlertoleranzzeiten des Systems werden deutlich reduziert. Die Gefahr, dass auftretende Fehler in einem Steuergerät oder in einer Komponente sich in dem ganzen System fortpflanzen, ist nahezu ausgeschlossen. Deshalb eignet sich ein derartiges System vorzugsweise für sicherheitsrelevante Aufgaben, wie sie beispielsweise im Kraftfahrzeugbereich gefordert werden.It has proven to be particularly advantageous to form a system in which the above-described controller and the device, which can be connected to a data bus, are included. Such a thing System is characterized by a very high reliability and safety. The System responds to errors of one of the components, for example the controller, immediately and immediately. Fault tolerance times of the system become clear reduced. The risk of errors occurring in a control unit or in a component propagate throughout the system is almost impossible. Therefore, such a system is preferably suitable for security-relevant Tasks, as required for example in the automotive sector become.

Weitere Einzelheiten, Merkmale und Vorteile der Erfindung ergeben sich aus der nachfolgenden Beschreibung anhand der Zeichnungen. Es zeigen:Further Details, features and advantages of the invention will become apparent the following description with reference to the drawings. Show it:

1 ein schematisches Bild eines Systems mit einem Steuergerät, einem Datenbus und einem an den Datenbus angeschlossenen elektrischen Gerät; und 1 a schematic diagram of a system with a controller, a data bus and an electrical device connected to the data bus; and

2 ein Schaubild, das die Datenverarbeitung erläutert. 2 a diagram that explains the data processing.

Das Steuergerät 1 in 1 ist mit einem weiteren elektrischen Gerät 2 über einen Datenbus 3 verbunden. Der Datenbus 3 kann in Form eines CAN-Bus ausgebildet sein, wie er in Kraftfahrzeugen heute standardmäßig verlegt ist. Das Gerät 2 kann ebenfalls eine elektrisch programmierbare Steuereinheit sein, ähnlich oder gleich wie das Steuergerät 1. Am Datenbus 3 können neben dem Steuergerät 1 und dem Gerät 2 auch weitere Geräte, Komponenten, Sensoren und Aktoren angeschlossen sein.The control unit 1 in 1 is with another electrical device 2 via a data bus 3 connected. The data bus 3 may be in the form of a CAN bus, as laid out in motor vehicles today by default. The device 2 may also be an electrically programmable controller, similar or the same as the controller 1 , On the data bus 3 can be next to the control unit 1 and the device 2 also be connected to other devices, components, sensors and actuators.

Das Steuergerät 1 umfasst eine Schnittstelle 4, über die das Steuergerät 1 am Datenbus 3 angekoppelt ist. Ein weiterer Bestandteil des Steuergeräts 1 ist ein Mikrocontroller 5, der mit der Schnittstelle 4 und mit einem Speicher 6 verbunden ist. Im Mikrocontroller 5, der als Mikroprozessor ausgebildet sein kann, findet eine zyklische Verarbeitung statt. Die generierten, veränderten oder weiterverarbeiteten Datenwerte oder Signale werden über die Schnittstelle 4 auf den Datenbus 3 gegeben und an die anderen angeschlossen Geräte, beispielsweise das Gerät 2, übertragen.The control unit 1 includes an interface 4 over which the control unit 1 on the data bus 3 is coupled. Another part of the controller 1 is a microcontroller 5 that with the interface 4 and with a memory 6 connected is. In the microcontroller 5 , which may be formed as a microprocessor, there is a cyclic processing. The generated, modified or further processed data values or signals are transmitted via the interface 4 on the data bus 3 given and connected to the other devices, such as the device 2 , transfer.

Der Mikrocontroller 5 erkennt auch einen Fehler im Steuergerät 1 und kann den Fehlerzustand des Steuergeräts 1 ermitteln. Im Falle eines Fehlers sucht der Mikrocontroller 5 zum entsprechenden Fehlerzustand des Steuergeräts 1 aus dem Speicher 6 das entsprechende Fehlersignal 8 heraus und liest dieses aus. Das Fehlersignal 8 wird dann vom Mikrocontroller 5 über die Schnittstelle 4 auf den Datenbus 3 gegeben und an die angeschlossenen Geräte übersendet. Die Zuordnung zwischen Fehlerzustand des Steuergeräts 1 und dem Fehlersignal 8 kann in Form einer Tabelle im Speicher 6 hinterlegt sein.The microcontroller 5 also detects an error in the controller 1 and can the error state of the controller 1 determine. In the case of a fault, the microcontroller looks for 5 to the corresponding error state of the controller 1 from the store 6 the corresponding error signal 8th out and read this out. The error signal 8th is then from the microcontroller 5 over the interface 4 on the data bus 3 given and sent to the connected devices. The assignment between error state of the control unit 1 and the error signal 8th can be in the form of a table in memory 6 be deposited.

Das Gerät 2 kann in gleicher Weise aufgebaut sein wie das Steuergerät 1. Das Gerät 2 umfasst ebenfalls eine Schnittstelle 4', einen Mikrocontroller 5' und einen Speicher 6'. Die vom Steuergerät 1 über den Datenbus 3 übermittelten Fehlersignale werden vom Mikrocontroller 5' über die Schnittstelle 4' empfangen. Der Mikrocontroller 5' vergleicht das empfangene Fehlersignal mit den im Speicher 6' hinterlegten Fehlersignalen und ermittelt daraus den Fehlerzustand des Steuer geräts 1. Ein im gleichen Verarbeitungszyklus gesendeter Datenwert bzw. Datensignal wird dann in Abhängigkeit vom Fehlerzustand des Steuergeräts 1 im Mikrocontroller 5' weiterverarbeitet bzw. verworfen. Das Gerät 2 kann also noch im gleichen Verarbeitungszyklus auf einen im Steuergerät 1 auftretenden Fehler reagieren.The device 2 can be constructed in the same way as the control unit 1 , The device 2 also includes an interface 4 ' , a microcontroller 5 ' and a memory 6 ' , The from the control unit 1 over the data bus 3 transmitted error signals are from the microcontroller 5 ' over the interface 4 ' receive. The microcontroller 5 ' compares the received error signal with that in memory 6 ' deposited error signals and determines from this the error state of the control device 1 , A data value or data signal transmitted in the same processing cycle then becomes dependent on the error state of the control unit 1 in the microcontroller 5 ' further processed or rejected. The device 2 So it can still in the same processing cycle to one in the control unit 1 responding errors.

Bei ordnungsgemäßem Betrieb wird im Steuergerät 1 zusätzlich zu dem zu übermittelnden Datenwert bzw. Datensignal ein Prüfwert erzeugt. Der Prüfwert wird anhand des Datenwertes mit einem im Mikrocontroller 5 oder im Speicher 6 hinterlegten Verschlüsselungsmechanismus erzeugt. Der Prüfwert und der Datenwert werden dann im gleichen Verarbeitungszyklus vom Mikrocontroller 5 über die Schnittstelle 4 auf den Datenbus 3 gegeben.When operated properly, the controller will 1 generates a test value in addition to the data value or data signal to be transmitted. The test value is based on the data value with a microcontroller 5 or in memory 6 deposited encryption mechanism generated. The test value and the data value will then be in the same processing cycle from the microcontroller 5 over the interface 4 on the data bus 3 given.

Das Gerät 2 empfängt über die Schnittstelle 4 die vom Steuergerät 1 über den Datenbus 3 gesendeten Signale. Der Mikrocontroller 5' wertet das Datensignal und das Prüfsignal bzw. den Datenwert und den Prüfwert aus. Anhand des Verschlüsselungsmechanismus, der im Mikrocontroller 5' oder im Speicher 6' hinterlegt ist, wird der Prüfwert entschlüsselt. Dadurch kann eine ordnungsgemäße Übertragung des Datenwertes und des Prüfwertes über den Datenbus 3 verifiziert werden.The device 2 receives over the interface 4 from the control unit 1 over the data bus 3 sent signals. The microcontroller 5 ' evaluates the data signal and the test signal or the data value and the test value. Based on the encryption mechanism used in the microcontroller 5 ' or in memory 6 ' is stored, the test value is decrypted. This allows a proper transfer of the data value and the test value via the data bus 3 be verified.

2 zeigt den Zeitablauf eines Verarbeitungszyklus. Als horizontale Achse ist die Verarbeitungszeit t aufgetragen. Der untere, mit Z bezeichnete Verlauf zeigt den Verarbeitungstakt, wobei die Zykluszeit t_Z den Verarbeitungszyklus widerspiegelt. Ein Datenwert wird in Form eines Datensignals 7 in der mit D bezeichneten Kurve dargestellt. Mit der mit P bezeichneten, darüber liegenden Kurve wird ein Fehlersignal 8 verdeutlicht. Das Fehlersignal wird noch in demselben Verarbeitungszyklus, also innerhalb der Zeit t_Z, gesendet wie das Datensignal 7. Das Schaubild in 2 zeigt also die zeitliche Übermittlung eines Prüfwerts in Form eines Fehlersignals 8. 2 shows the timing of a processing cycle. The horizontal axis is the processing time t applied. The lower trace, labeled Z, shows the processing clock, with the cycle time t _Z reflecting the processing cycle. A data value is in the form of a data signal 7 represented in the curve denoted by D. The curve above it, P, becomes an error signal 8th clarified. The error signal is sent in the same processing cycle, ie within the time t _Z , as the data signal 7 , The diagram in 2 So shows the timing of a test value in the form of an error signal 8th ,

11

Steuergerätcontrol unit

22

Gerätdevice

33

Datenbusbus

4, 4'4, 4 '

Schnittstelleinterface

5, 5'5, 5 '

Mikrocontrollermicrocontroller

6, 6'6 6 '

SpeicherStorage

77

Datensignaldata signal

88th

Fehlersignalerror signal

Claims (12)

Verfahren zur Fehlerüberwachung eines elektrischen Steuergeräts (1), wobei im Steuergerät (1) eine zyklische Verarbeitung stattfindet, gekennzeichnet durch die folgenden Schritte: – Überprüfen, ob ein Fehlerzustand des Steuergeräts (1) vorliegt; – Erzeugen eines Prüfwerts in Abhängigkeit des Ergebnisses der Überprüfung; und – Übertragen eines Datenwertes und des Prüfwertes im gleichen Verarbeitungszyklus an ein direkt oder über einen Datenbus (3) angeschlossenes Gerät (2).Method for fault monitoring of an electrical control device ( 1 ), whereby in the control unit ( 1 ) cyclic processing, characterized by the following steps: - Checking whether an error state of the control device ( 1 ) is present; Generating a check value depending on the result of the check; and transferring a data value and the test value in the same processing cycle to a directly or via a data bus ( 3 ) connected device ( 2 ). Verfahren zum Verifizieren eines in einem Gerät (2) von einem Steuergerät (1) über einen Datenbus (3) empfangenen Datenwerts, wobei im Steuergerät (1) eine zyklische Verarbeitung stattfindet, mit folgenden Schritten: – Empfangen eines Prüfwerts im gleichen Verarbeitungszyklus wie der empfangene Datenwert; – Auswerten des empfangenen Prüfwerts; und – Verwerten oder Verwenden des Datenwerts in Abhängigkeit von der Auswertung des Prüfwerts.Method for verifying a in a device ( 2 ) from a control device ( 1 ) via a data bus ( 3 ) received data value, wherein in the control unit ( 1 ) a cyclic processing takes place with the following steps: receiving a test value in the same processing cycle as the received data value; - evaluating the received test value; and - using or using the data value as a function of the evaluation of the test value. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass, wenn kein Fehlerzustand des Steuergeräts (1) vorliegt, der Prüfwert als Kontrollwert für eine fehlerfreie Übertragung des Datenwertes über den Datenbus (3) verwendet wird.Method according to claim 1 or 2, characterized in that, if no error state of the control device ( 1 ), the test value as a control value for error-free transmission of the data value via the data bus ( 3 ) is used. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass, wenn kein Fehlerzustand vorliegt, der Prüfwert nach einem vorbestimmten Verschlüsselungsmechanismus aus dem Datenwert erzeugt wird bzw. erzeugt worden ist.Method according to one of the preceding claims, characterized characterized in that, if no error condition exists, the test value after a predetermined encryption mechanism is generated or generated from the data value. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Prüfwert ein Fehlersignal (8) ist, wenn ein Fehlerzustand im Steuergerät (1) vorliegt.Method according to one of the preceding claims, characterized in that the test value is an error signal ( 8th ), if an error condition in the control unit ( 1 ) is present. Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass das Fehlersignal (8) den Fehlerzustand des Steuergeräts (1) repräsentiert.Method according to Claim 5, characterized in that the error signal ( 8th ) the error state of the controller ( 1 ). Verfahren nach Anspruch 5 oder 6, dadurch gekennzeichnet, dass die Zuordnung zwischen dem Fehlersignal (8) und dem Fehlerzustand des Steuergeräts (1) aus einem Speicher (6) des Steuergeräts (1) und/oder des Geräts (2) abgerufen wird.Method according to claim 5 or 6, characterized in that the association between the error signal ( 8th ) and the error state of the controller ( 1 ) from a memory ( 6 ) of the control unit ( 1 ) and / or the device ( 2 ) is retrieved. Steuergerät mit einer Schnittstelle (4) für wenigstens ein weiteres elektrisches Gerät und/oder einen Datenbus (3), an den das Steuergerät (1) und wenigstens ein weiteres elektrisches Gerät (2) angeschlossen werden kann, wobei im Steuergerät (1) eine zyklische Verarbeitung stattfindet, und das Steuergerät (1) eingerichtet ist zum Übertragen eines Datenwertes und eines Prüfwertes im gleichen Verarbeitungszyklus an ein direkt oder über den Datenbus (3) angeschlossenes Gerät (2), wenn ein Fehlerzustand im Steuergerät (1) vorliegt.Control unit with an interface ( 4 ) for at least one further electrical device and / or a data bus ( 3 ) to which the controller ( 1 ) and at least one other electrical device ( 2 ) can be connected, wherein in the control unit ( 1 ) cyclic processing takes place, and the control unit ( 1 ) is arranged to transmit a data value and a test value in the same processing cycle to a directly or via the data bus ( 3 ) connected device ( 2 ), if an error condition in the control unit ( 1 ) is present. Steuergerät nach Anspruch 8, dadurch gekennzeichnet, dass der Prüfwert beim Vorliegen eines Fehlerzustands des Steuergeräts (1) ein Fehlersignal (8) ist, das den Fehlerzustand des Steuergeräts (1) repräsentiert.Control device according to claim 8, characterized in that the test value in the presence of an error state of the control device ( 1 ) an error signal ( 8th ), which is the error state of the control unit ( 1 ). Steuergerät (1) nach Anspruch 9, dadurch gekennzeichnet, dass das Steuergerät (1) einen Speicher (6) umfasst, in dem die Zuordnung zwischen Fehlersignal (8) und Fehlerzustand hinterlegt ist.Control unit ( 1 ) according to claim 9, characterized in that the control unit ( 1 ) a memory ( 6 ), in which the association between error signal ( 8th ) and error status is stored. Gerät, das direkt oder über einen Datenbus (3) an ein Steuergerät (1) angeschlossen werden kann, dadurch gekennzeichnet, dass das Gerät (2) eingerichtet ist zum Empfangen eines Datenwerts und eines Prüfwerts von dem Steuergerät (1) in einem Verarbeitungszyklus und zum Verwerfen des Datenwerts abhängig von dem im selben Verarbeitungszyklus empfangenen Prüfwert.Device directly or via a data bus ( 3 ) to a control unit ( 1 ), characterized in that the device ( 2 ) is arranged to receive a data value and a test value from the controller ( 1 ) in a processing cycle and discarding the data value depending on the test value received in the same processing cycle. Gerät nach Anspruch 11, gekennzeichnet durch einen Speicher (6), in dem eine Zuordnung zwischen Prüfwert und einem Fehlerzustand des Steuergeräts (1) hinterlegt ist.Apparatus according to claim 11, characterized by a memory ( 6 ), in which an association between the test value and an error state of the control device ( 1 ) is deposited.