DE102006056668A1 - Verfahren zum Sicherstellen oder Aufrechterhalten der Funktion eines komplexen sicherheitskritischen Gesamtsystems - Google Patents
Verfahren zum Sicherstellen oder Aufrechterhalten der Funktion eines komplexen sicherheitskritischen Gesamtsystems Download PDFInfo
- Publication number
- DE102006056668A1 DE102006056668A1 DE102006056668A DE102006056668A DE102006056668A1 DE 102006056668 A1 DE102006056668 A1 DE 102006056668A1 DE 102006056668 A DE102006056668 A DE 102006056668A DE 102006056668 A DE102006056668 A DE 102006056668A DE 102006056668 A1 DE102006056668 A1 DE 102006056668A1
- Authority
- DE
- Germany
- Prior art keywords
- events
- errors
- error
- operating modes
- function
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Withdrawn
Links
- 238000000034 method Methods 0.000 title claims abstract description 37
- 238000004458 analytical method Methods 0.000 claims abstract description 16
- 230000007257 malfunction Effects 0.000 claims abstract description 4
- 238000004590 computer program Methods 0.000 claims abstract description 3
- 238000011156 evaluation Methods 0.000 claims description 5
- 238000012423 maintenance Methods 0.000 abstract description 2
- 230000015556 catabolic process Effects 0.000 description 8
- 238000006731 degradation reaction Methods 0.000 description 8
- 238000004364 calculation method Methods 0.000 description 4
- 230000008859 change Effects 0.000 description 3
- 238000010586 diagram Methods 0.000 description 3
- 230000009471 action Effects 0.000 description 2
- 230000002596 correlated effect Effects 0.000 description 2
- 230000001419 dependent effect Effects 0.000 description 2
- 230000008569 process Effects 0.000 description 2
- 241001136792 Alle Species 0.000 description 1
- 230000008901 benefit Effects 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 238000003745 diagnosis Methods 0.000 description 1
- 230000008030 elimination Effects 0.000 description 1
- 238000003379 elimination reaction Methods 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 239000011159 matrix material Substances 0.000 description 1
- 230000000644 propagated effect Effects 0.000 description 1
- 238000004092 self-diagnosis Methods 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
Classifications
-
- B—PERFORMING OPERATIONS; TRANSPORTING
- B60—VEHICLES IN GENERAL
- B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
- B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
- B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
- B60W50/0205—Diagnosing or detecting failures; Failure detection models
-
- B—PERFORMING OPERATIONS; TRANSPORTING
- B60—VEHICLES IN GENERAL
- B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
- B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
- B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
- B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
-
- B—PERFORMING OPERATIONS; TRANSPORTING
- B60—VEHICLES IN GENERAL
- B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
- B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
- B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
- B60W50/0205—Diagnosing or detecting failures; Failure detection models
- B60W2050/021—Means for detecting failure or malfunction
-
- B—PERFORMING OPERATIONS; TRANSPORTING
- B60—VEHICLES IN GENERAL
- B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
- B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
- B60W50/02—Ensuring safety in case of control system failures, e.g. by diagnosing, circumventing or fixing failures
- B60W50/029—Adapting to failures or work around with other constraints, e.g. circumvention by avoiding use of failed parts
- B60W2050/0295—Inhibiting action of specific actuators or systems
-
- B—PERFORMING OPERATIONS; TRANSPORTING
- B60—VEHICLES IN GENERAL
- B60W—CONJOINT CONTROL OF VEHICLE SUB-UNITS OF DIFFERENT TYPE OR DIFFERENT FUNCTION; CONTROL SYSTEMS SPECIALLY ADAPTED FOR HYBRID VEHICLES; ROAD VEHICLE DRIVE CONTROL SYSTEMS FOR PURPOSES NOT RELATED TO THE CONTROL OF A PARTICULAR SUB-UNIT
- B60W50/00—Details of control systems for road vehicle drive control not related to the control of a particular sub-unit, e.g. process diagnostic or vehicle driver interfaces
- B60W50/06—Improving the dynamic response of the control system, e.g. improving the speed of regulation or avoiding hunting or overshoot
Landscapes
- Engineering & Computer Science (AREA)
- Automation & Control Theory (AREA)
- Human Computer Interaction (AREA)
- Transportation (AREA)
- Mechanical Engineering (AREA)
- Debugging And Monitoring (AREA)
Abstract
Verfahren, dessen Verwendung und Computerprogrammprodukt zum Sicherstellen oder Aufrechterhalten der Funktion eines komplexen sicherheitskritischen Gesamtfahrzeugregelungs- und/oder -steuerungssystems beim Auftreten von Fehlern, Fehlfunktionen oder sonstigen Erreignissen, die einen Einfluss auf die Verfügbarkeit von Teilfunktionen haben, bei dem das Gesamtsystem nach den Erkenntnissen einer Fehlerquellenanalyse in Systemkomponenten unterteilt wird, bei dem weiterhin für die einzelnen Systemkomponenten Betriebsmodi definiert werden, wobei weiterhin beim Auftreten von Fehlern/Ereignissen im Gesamtsystem die Fehlerquellen einschließlich der Signale analysiert und diejenigen Betriebsmodi ermittelt werden, die von den aufgetretenen Fehler oder Signalen betrofft sind, wobei auf Basis der Fehlerquellenanalyse und nach Vorgaben eines Auswahlsystems aus den von den Fehlern/Ereignissen nicht betroffenen, d. h. noch verfügbaren Betriebsmodi der einzelnen Systemkomponenten diejenigen ausgewählt werden, die in Anbetracht der aufgetretenen Fehler/Ereignisse ein optimales oder ein vorgegebenes Verhalten des Gesamtsystems oder zumindest die Aufrechterhaltung der Funktion des Gesamtsystems gewährleisten, wobei schließlich bei der Definition der Fehler/Ereignisse für die Komponenten zumindest eine Einteilung in - nur zeitweise auftretende Fehler/Ereignisse, die eine zeitweise Abschaltung oder Einschränkung des Systems und/oder einer Teilfunktion bewirken und - in Fehler/Ereignisse, ...
Description
- Die Erfindung betrifft ein Verfahren gemäß Anspruch 1, dessen Verwendung, sowie ein Computerprogrammprodukt.
- Aus der
WO 2004/005096 A1 ist ein Verfahren zum Sicherstellen oder Aufrechterhalten der Funktion eines komplexen sicherheitskritischen Gesamtsystems, wie eines Kraftfahrzeugregelungssystems, z.B. eines elektrischen, elektrohydraulischen oder elektromechanischen Bremsensystems (Brake-by-Wire), eines elektronischen Lenkungssystems (Steering-by-Wire) etc., beim Auftreten von Fehlern oder Fehlfunktionen bekannt. - Sicherheitsrelevante Systeme mit vielen unterschiedlichen, teilweise aufeinander aufbauenden Teilsystemen erfordern Maßnahmen, die auch bei Funktionsfehlern und beim Ausfall einzelner Systemkomponenten (z.B. ESP, ABS, TCS usw.) eine definierte Funktionsweise sicherstellen. Ohne ein Sicherheitskonzept führt schon ein relativ unbedeutender Fehler zu einem Totalausfall eines Teilsystems oder sogar der gesamten Regelung.
- Eine einfache Fehlerquellenanalyse durch Abarbeiten bestimmter, gespeicherter Fehlerbilder funktioniert nur in einem übersichtlichen System mit einer geringen Anzahl an Einzelfehlern. In einem komplexen Gesamtsystem existieren derart viele Fehlerkombinationen, dass nach der Methode der Fehler bildbehandlung nur die wahrscheinlichsten Fehlerbilder berücksichtigt werden können. In allen anderen Fällen wird das Gesamtsystem sicherheitshalber komplett stillgelegt. Dies ist jedoch zum Beispiel dann nicht hinnehmbar, wenn es sich bei dem Gesamtsystem um ein Steuergerät für eine elektrische Lenkung (ohne mechanische Rückfallebene) handelt.
- Das aus der
WO 2004/005096 A1 bekannte Verfahren, welches sich auf ein integriertes Gesamtsystem (Das Gesamtsystem führt nur eine Hauptaufgabe aus, also z.B. die Steuerung/Regelung ein Bremssystem) bezieht, nimmt daher eine Fehleraufteilung für jede einzelne Systemkomponente (z.B. Drucksensor, Raddrehzahlsensor am Rad vorne links usw.) vor. Außerdem werden für jede Systemkomponente einzelne Notlaufmodi definiert werden. Dann wird ein Auswahlsystem definiert, mit dem festgestellt wird, welche Betriebsmodi in Abhängigkeit von dem erkannen Einzelfehler für alle Systemkomponenten zulässig sind. - Die durch das obige Verfahren durchgeführte Erstfehleranalyse liefert folgende Ergebnisse:
- – Die Unterteilung des Systems in voneinander unabhängige Systemkomponten;
- – die Definition der Betriebsmodi für jede einzelne Systemkomponente (neben "verfügbar/nicht verfügbar" können diverse Notlaufmodi definiert werden);
- – es wird ein Auswahlsystem, z.B. in Form einer Entscheidungsmatrix, gebildet, mit dem festgestellt wird, welche Betriebsmodi in Abhängigkeit von dem erkannten "Einzelfehler" für alle Systemkomponenten zulässig sind.
- Gemäß dem bekannten Verfahern werden permanent (in jeder Loop) sämtliche Fehlerquellen analysiert. Bei Auftreten eines Fehlers werden den betroffenen Systemkomponenten alle korrelierten Betriebsmodi aberkannt. Somit wird eine systemweite Komponentendegradation erreicht. Aus den nach der Fehleranalyse für die Systemkomponenten noch verfügbaren Betriebsmodi werden schließlich nach Vorgaben eines Modus-Auswahlsystems diejenigen Betriebsmodi ausgewählt und zum Einsatz gebracht, die unter den gegebenen Bedingungen das optimale. Verhalten des Gesamtsystems garantieren.
- Das obige Verfahren löst zwar prinzipiell die primäre Aufgabe der Mehrfachfehlertauglichkeit eines Fehlerbehandlungsverfahrens, jedoch wertet das Verfahren nachteilhafterweise ausschließlich Systemfehler und -störungen aus. Dabei ist es unerheblich, ob die Komponentenverfügbarkeit aufgrund eines Systemfehlers/einer Systemstörung oder aufgrund von Konfigurationsmaßnahmen bzw. besonderer Systemzustände (Diagnose u.ä.) beeinflusst wird.
- Außerdem setzt das bekannte Fehlerbehandlungsverfahren voraus, dass dieses im Gesamtfahrzeugregelungs- und/oder -steuerungsystems eine zentralisierte Stellung einnimmt und dass in dessen Wirkungsbereich sämtliche Systemkomponenten eingeschlossen bzw. erreichbar sind. Aufgrund dieses Erfodernisses kann das Verfahren nicht in solchen Gesamtregelungs- und/oder -steuerungssystemen zum Einsatz kommen, die über das Kraftfahrzeug verteilt sind.
- Ein weiterer Nachteil des bekannten Systems besteht darin, dass viele Eingangssignale in dem oben erwähnten Betriebsmodus-Berechnungssystem (wie finale Fehler, Online-Konfigurationssignale etc.) einen quasistationären Charaktier aufweisen, d.h. sie ändern während eines Betriebszyklus höchstens einmal ihren Zustand. Die in jedem Berechnungsschritt aufs Neue vorgenommene Auswertung dieser Signale ist sehr rechenintensiv.
- Schließlich ist das bekannte Verfahren noch dahingehend Nachteilhaft, dass in jedem Berechnungsschritt die zum Einsatz zu bringenden Betriebsmodi ermittelt werden müssen, selbst dann, wenn die noch verfügbaren Betriebsmodi der Systemkomponenten keine Änderung erfahren haben. Nicht zuletzt wegen des hohen Rechenaufwands erscheint es nicht sinnvoll, die Auswahl der zum Einsatz zu bringenden Betriebsmodi auf jeden Fall durchzuführen.
- Der Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren zu entwickeln, das es ermöglicht, die Funktion oder Notfunktion eines komplexen sicherheitskritischen, im Fahrzeug verteilten Systems beim Auftreten eines beliebigen Fehlers, einer beliebigen Anzahl von Fehlern oder Fehlerkombinationen aufrecht zu erhalten und dabei weniger Rechenzeit in Anspruch zu nehmen.
- Es hat sich herausgestellt, dass diese Aufgabe durch das im Anspruch 1 beschriebene Verfahren gelöst wird.
- Weitere bevorzugte Ausführungsformen ergeben sich aus den Unteransprüchen und der nachfolgenden Beschreibung eines Ausführungsbeispiels an Hand von Figuren.
- Es zeigen
-
1 ein schematisches Blockschaltbild zur Erläuterung der Funktionsblöcke des erfindungsgemäßen Verfahrens, -
2 eine schematische Darstellung von Komponenten und der Wirkungsweise bei Ereignissen, die für eine Komponente relevant sind und -
3 eine schematische Darstellung der Komponenten unterschiedlicher Teilsysteme. - Nach dem Verfahren wird das Gesamtsystem (z.B. ein elektronisches Kraftfahrzeugbremssystem mit ABS, ESP und weiteren Teilfunktionen) nach den Erkenntnissen einer Fehlerquellenanalyse in Systemkomponenten unterteilt.
- Für die einzelnen Systemkomponenten (z.B. Sensoren oder Regelfunktionen des Bremssystems) werden jeweils Betriebsmodi definiert, die beispielsweise in den Blöcken
5 und6 in1 gespeichert werden. - Beim Auftreten von Fehlern und/oder Ereignissen (Bezugszeichen
1 bis4 und7 in1 ) im Gesamtsystem werden die Fehlerquellen analysiert und diejenigen Betriebsmodi ermittelt, die von den aufgetretenen Fehlern betroffen sind. Dies wird beispielsweise in den Blöcken5 und6 bewerkstelligt. - Danach werden in Block
8 (Modusauswahl) auf Basis der Fehlerquellenanalyse und nach den Vorgaben eines Auswahlsystems aus den von den Fehlern/Ereignissen nicht betroffenen, d.h. noch verfügbaren Betriebsmodi der einzelnen Systemkomponenten diejenigen ausgewählt, die in Anbetracht der aufgetretenen Fehler/Ereignisse ein optimales oder ein vorgegebenes Verhalten des Gesamtsystems oder zumindest die Aufrechterhaltung der Funktion des Gesamtsystems gewährleisten. - Eine Besonderheit des erfindungsgemäßen Verfahrens besteht nun darin, dass bei der Definition der Fehler und/oder Ereignisse für die Systemkomponenten zumindest eine Einteilung in
- a) nur zeitweise auftretende Fehler/Ereignisse, die eine zeitweise Abschaltung oder Einschränkung des Systems und/oder einer Teilfunktion bewirken, und
- b) in Fehler/Ereignisse, die eine endgültige Abschaltung oder Einschränkung des Systems und/oder einer Teilfunktion bewirken, vorgenommen wird.
- Dieses Vorgehen ist durch die Aufteilung der Modi in die Blöcke
5 und6 in1 deutlich gemacht. - In verteilten Systemen, bei denen mehrere Steuergeräte zur Bildung eines Gesamtsytems miteinander über Bussysteme kommunizieren (z.B. AUTOSAR), sind die Systemkomponenten nicht mehr voneinander unabhängig. Dehalb ist es bevorzugt, um diese "externen" Systemkomponenten bei der Fehleranalyse mitberücksichtigen zu können, die Betriebszustände von externen Steuergeräten als Ereignisse zu behandeln und bei der Fehleranalyse zu verarbeiten. Auf diese Weise kann für das Gesamtsystem auch bei verteilen Steuergeräten eine Aussage über die Verfügbarkeit getroffen werden.
- Bevorzugt werden bei der Systemkomponentenauswahl in Block
8 zunächst nur finale Fehler/Ereignisse berücksichtigt (Datensatz in Block5 ). Der so bereinigte Datensatz kann besonders bevorzugt bei einem erneuten Fehleranalyseschritt übernommen werden. Dies ist durch Block6 symbolisiert. Durch Verwendung von bereinigten Datensätzen kann das Verfahren gegenüber dem gattungsgemäßen Verfahren einfacher eine Aussage über die finale Systemdegradation treffen. - Die Auswertung der Betriebsmodi bezüglich ihrer Auswirkung auf das System wird bevorzugt ein Mal zu Beginn des Verfahrens ausgeführt. Außerdem erfolgt die Auwertung immer dann, wenn ein Fehler oder ein Ereignis auftritt. Bei der gemäß dem Stand der Technik durchgeführten Fehleranalyse wurde die Auswertung in einer Schleife ständig wiederholt. Durch die vorstehend beschriebene ereignisgesteuerte Auswertung ergibt sich also ein erheblich geringerer Rechenzeitverbrauch.
- Die Betriebsmodusauswahl bestimmt die zum Einsatz zu bringenden Betriebsmodi einer Systemkomponente. Es ist dabei zweckmäßig, dass immer erst dann, wenn eine Veränderung der Fehler- oder Signalzuordnung bei einer Komponente auftritt, die Betriebsmodiauswahl erneut durchgeführt wird.
- Vorzugsweise werden neben Fehlern und Störungen uneingeschränkt und gleichberechtigt auch alle anderen Signalarten ausgewertet, die entweder einen Einfluss auf die Komponentenverfügbarkeiten oder auf das Betriebsmodi-Auswahlsystem haben. Dazu gehören z.B. Compilezeit- und Online-Konfiguration, besondere Systemzustände wie Systeminitialisierung und -shutdown, Eigendiagnose, Diagnose, Kalibriervorgänge u.a.. Somit ist das Betriebsmodi-Auswahlsystem erheblich flexibler auf die eintretenden Systemzustände anpassbar.
- Im Beispiel in
1 werden im linken Teil in Block5 ereignisgesteuert die verschiedenen Signalarten, wie finale Fehler1 , Konfigurationsereignisse, Initialisierung3 und andere finale Ereignisse4 ausgewertet. In Block5 ist ein erster Datensatz mit einer Auswahl der zum Einsatz zu bringenden Betriebsmodi enthalten, wobei dieser durch Elimination der Betriebsmodi bereinigt ist, die durch lediglich ausschließlich temporäre Ereignisse nicht verfügbar werden. - Block
6 umfasst einen zweiten Datensatz mit einer Auswahl der zum Einsatz zu bringenden Betriebsmodi einschließlich der Betriebsmodi, die durch temporäre Ereignisse7 nicht verfügbar werden. - In Block
8 erfolgt die Betriebsmodi-Auswahl. Diese kann auf Basis des zweiten Datensatzes (Block6 ) einen bestimmten Modus auf Grund finaler und temporärer Ereignisse festlegen (Block10 ) oder lediglich einen Modus, der sich aus dem ersten Datensatz ergeben, der die finalen Ereignisse behandelt (Block9 ). Die Modusauswahl8 wird von verschiedenen Blöcken13 aktiviert, welche eine Veränderung der Betriebsmodusverfügbarkeit oder der Auswahlkriterien feststellen können. - Der grau unterlegte Teil des Blockschaltbilds wird in jeder Reglerschleife durchgeführt ("Event Polling"). Es handelt sich also nicht um einen ereignisgesteuerten Teil. Der übrige Teil des Blockschaltbilds, welcher nicht grau unterlegt ist, wird einmal zu Beginn und nur dann aktiviert, wenn ein Fehler oder Ereignis vorliegt ("Event Triggered").
-
2 erläutert die "fehlerabhängige" Rücknahme oder Einschränkung von Teilfunktionen, die auch als Degradation bezeichnet wird, bei den einzelnen Systemkomponenten14 nach dem Auftreten eines Ereignisses15 . Ereignis15 betrifft die Komponente14' . Daraufhin wird gemäß der Komponentenabhängigkeiten (zum Beispiel funktioniert die Komponente ESP nur, wenn die Elektronik und der Gierratensensor in Ordnung ist) auf die Komponenten17 ,18' ,18''' und18'''' heruntergebrochen bzw. propagiert. Bei Auftreten eines Fehlers (oder eines anderen relevanten Ereignisses) wird also zunächst ausschließlich die Verfügbarkeit der korrelierten Betriebsmodi der betroffenen Komponente14' aberkannt und nicht, wie im Stand der Technik beschrieben, die Verfügbarkeit der Betriebsmodi aller, auch nur mittelbar betroffener Komponenten. - Mit den Grafiken in
3 wird die Komponentendegradation noch weiter veranschaulicht. Die Propagierung der Degradation zwischen den Komponenten unterschiedlicher Teilsysteme19 bis24 erfolgt in jedem Teilsystem entsprechend dem im Zusammenhang mit1 erläuterten Verfahren. Die grau unterlegten Teilsysteme22 und23 symbolisieren Systeme, die nicht Bestandteil des Gesamtsystems sind (externe Teilsysteme). Komponentengruppen, bei denen die Degradationspropagierung ausgehend von den noch verfügbaren Komponenten-Betriebsmodi möglich ist (vorrangig lokale Komponenten mit einer Betriebsmodusauswahl dem Prinzip folgend, immer den besten Modus einer Komponente zu wählen), werden zu Teilsystemen zusammengefasst; die Degradationspropagierung zwischen den Komponenten unterschiedlicher Teilsysteme erfolgt dagegen ausgehend von den zum Einsatz gebrachten Betriebsmodi. - Das erfindungsgemäße Verfahren bietet den Vorteil einer hohen Rechenzeiteffizienz, da es größtenteils ereignisgesteuert arbeitet. Gleichzeitig werden die Aufgaben eines Systemverwaltungs- und Fehlerbeherrschungssystems bewältigt. Die Ermittlung der um temporäre Ereignisse bereinigten Systemdegradation verbraucht keine zusätzlichen Resourcen und ermöglicht eine vereinfachte Berechnung der adäquaten Warnstufe. Das vorgeschlagene Verfahren ermöglicht zudem eine einfache Handhabung von komplexen verteilten Systemen, deren einzelne Teilsysteme (Steuergeräte, Aktoren, Sensoren etc.) ggf. von Dritten erstellt wurden.
- Die Erfindung betrifft schließlich auch die Verwendung des obigen Verfahrens in elektronischen Kraftfahrzeugbremssystemen, elektronischen Lenksystemen, Fahrerassistenzsystemen oder ganz allgemein in Fahrzeugsteuergeräten.
Claims (7)
- Verfahren zum Sicherstellen oder Aufrechterhalten der Funktion eines komplexen sicherheitskritischen Gesamtfahrzeugregelungs- und/oder -steuerungssystems beim Auftreten von Fehlern, Fehlfunktionen oder sonstigen Ereignissen, die einen Einfluss auf die Verfügbarkeit von Teilfunktionen haben, bei dem das Gesamtsystem nach den Erkenntnissen einer Fehlerquellenanalyse in Systemkomponenten unterteilt wird, bei dem weiterhin für die einzelnen Systemkomponenten Betriebsmodi definiert werden, wobei weiterhin beim Auftreten von Fehlern/Ereignissen im Gesamtsystem die Fehlerquellen einschließlich der Signale analysiert und diejenigen Betriebsmodi ermittelt werden, die von den aufgetretenen Fehlern oder Signalen betroffen sind, und wobei schließlich auf Basis der Fehlerquellenanalyse und nach den Vorgaben eines Auswahlsystems aus den von den Fehlern/Ereignissen nicht betroffenen, d.h. noch verfügbaren Betriebsmodi der einzelnen Systemkomponenten diejenigen ausgewählt werden, die in Anbetracht der aufgetretenen Fehler/Ereignisse ein optimales oder ein vorgegebenes Verhalten des Gesamtsystems oder zumindest die Aufrechterhaltung der Funktion des Gesamtsystems gewährleisten, dadurch gekennzeichnet, dass bei der Definition der Fehler/Ereignisse für die Systemkomponenten zumindest eine Einteilung vorgenommen wird in: – Nur zeitweise auftretende Fehler/Ereignisse, die eine zeitweise Abschaltung oder Einschränkung des Systems und/oder einer Teilfunktion bewirken und – in Fehler/Ereignisse, die eine endgültige Abschaltung oder Einschränkung des Systems und/oder einer Teilfunktion bewirken.
- Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass in einem ersten Fehleranalyseschritt (
5 ) finale Fehler/Ereignisse bei der Systemkomponentenauswahl berücksichtigt werden und in einem weiteren Fehleranalyseschritt (6 ) zeitweise auftretende Fehler/Ereignisse zusätzlich berücksichtigt werden. - Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Auswertung der Betriebsmodi bezüglich ihrer Auswirkung auf das System ein Mal zu Beginn des Verfahrens ausgeführt wird und jedesmal, wenn ein Fehler oder ein Ereignis auftritt.
- Verfahren nach mindestens einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass neben den zeitweise auftretenden und finalen Fehlern uneingeschränkt und gleichberechtigt auch Ereignisse ausgewertet werden, die entweder einen Einfluss auf die Komponentenverfügbarkeiten oder auf das Betriebsmodi-Auswahlsystem haben.
- Verfahren nach mindestens einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Betriebszustände von externen Steuergeräten als Ereignisse behandelt werden, so dass diese bei der Fehleranalyse mitberücksichtigt werden können.
- Computerprogrammprodukt, welches einen Algorithmus umfasst, welcher ein Verfahren gemäß mindestens einem der Ansprüche 1 bis 5 ausführt.
- Verwendung des Verfahrens gemäß mindestens einem der Ansprüche 1 bis 5 in elektronischen Kraftfahrzeugbremssystemen, elektronischen Lenksystemen, Fahrerassistenzsystemen oder ganz allgemein in Fahrzeugsteuergeräten.
Priority Applications (4)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
DE102006056668A DE102006056668A1 (de) | 2006-11-30 | 2006-11-30 | Verfahren zum Sicherstellen oder Aufrechterhalten der Funktion eines komplexen sicherheitskritischen Gesamtsystems |
US12/516,671 US8223007B2 (en) | 2006-11-30 | 2007-11-26 | Method for ensuring or maintaining the function of a complex complete safety-critical system |
EP07847323.8A EP2099667B2 (de) | 2006-11-30 | 2007-11-26 | Verfahren zum sicherstellen oder aufrechterhalten der funktion eines komplexen sicherheitskritischen gesamtsystems |
PCT/EP2007/062782 WO2008065059A1 (de) | 2006-11-30 | 2007-11-26 | Verfahren zum sicherstellen oder aufrechterhalten der funktion eines komplexen sicherheitskritischen gesamtsystems |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
DE102006056668A DE102006056668A1 (de) | 2006-11-30 | 2006-11-30 | Verfahren zum Sicherstellen oder Aufrechterhalten der Funktion eines komplexen sicherheitskritischen Gesamtsystems |
Publications (1)
Publication Number | Publication Date |
---|---|
DE102006056668A1 true DE102006056668A1 (de) | 2008-06-05 |
Family
ID=39027461
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
DE102006056668A Withdrawn DE102006056668A1 (de) | 2006-11-30 | 2006-11-30 | Verfahren zum Sicherstellen oder Aufrechterhalten der Funktion eines komplexen sicherheitskritischen Gesamtsystems |
Country Status (4)
Country | Link |
---|---|
US (1) | US8223007B2 (de) |
EP (1) | EP2099667B2 (de) |
DE (1) | DE102006056668A1 (de) |
WO (1) | WO2008065059A1 (de) |
Cited By (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE102011115854A1 (de) * | 2011-10-13 | 2013-04-18 | Audi Ag | Fahrzeug und Verfahren zum Steuern eines Fahrzeugs |
WO2013131900A1 (de) | 2012-03-06 | 2013-09-12 | Continental Teves Ag & Co. Ohg | Verfahren zur verbesserung der funktionalen sicherheit und steigerung der verfügbarkeit eines elektronischen regelungssystems sowie ein elektronisches regelungssystem |
WO2015055914A1 (fr) * | 2013-10-17 | 2015-04-23 | Renault S.A.S. | Système et procédé de contrôle de véhicule avec gestion de défauts |
DE102017218395A1 (de) | 2016-10-19 | 2018-04-19 | Bayerische Motoren Werke Aktiengesellschaft | Verfahren zur fehlerrobusten Regelung von hochautomatisierten Fahrzeugen |
DE112014003361B4 (de) | 2013-07-22 | 2020-07-23 | Toyota Jidosha Kabushiki Kaisha | Spurhalteassistenzvorrichtung |
Families Citing this family (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
GB2516036B (en) | 2013-07-08 | 2017-03-29 | Jaguar Land Rover Ltd | Adaptive powertrain control |
DE102019208729A1 (de) | 2019-06-14 | 2020-12-17 | Continental Automotive Gmbh | Verfahren zum Sicherstellen und Aufrechterhalten der Funktion eines sicherheitskritischen Gesamtsystems |
EP3893113B1 (de) | 2020-04-07 | 2023-06-21 | Elektrobit Automotive GmbH | Überwachung einer komponente eines steuerungssystems für ein fortbewegungsmittel |
CN113085881B (zh) * | 2021-04-02 | 2022-09-06 | 北京易控智驾科技有限公司 | 一种故障处理方法、装置、电子设备和存储介质 |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE4414980A1 (de) * | 1994-04-29 | 1995-11-02 | Teves Gmbh Alfred | Schaltungsanordnung für eine Bremsanlage mit EBV |
DE19753907A1 (de) * | 1997-12-05 | 1999-06-10 | Itt Mfg Enterprises Inc | Verbundsystem zur Regelung des Fahrverhaltens eines Kraftfahrzeugs |
WO2004005090A2 (de) * | 2002-07-05 | 2004-01-15 | Continental Teves Ag & Co. Ohg | Verfahren zum überwachen der funktionen und erhöhen der betriebssicherheit eines sicherheitsrelevanten regelungssystems |
WO2004005096A1 (de) * | 2002-07-05 | 2004-01-15 | Continental Teves Ag & Co. Ohg | Verfahren zum sicherstellen oder aufrechterhalten der funktion eines komplexen sicherheitskritischen gesamtsystems |
Family Cites Families (20)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE3932638A1 (de) † | 1989-09-29 | 1991-04-11 | Bosch Gmbh Robert | Bremsdruckregelsystem |
DE4118692C2 (de) | 1991-06-07 | 2002-03-21 | Bosch Gmbh Robert | Vorrichtung zur Fehlerspeicherung in einer Steuereinrichtung eines Kraftfahrzeugs |
DE4439060A1 (de) † | 1994-11-02 | 1996-05-09 | Teves Gmbh Alfred | Mikroprozessoranordnung für ein Fahrzeug-Regelungssystem |
DE19526250B4 (de) † | 1995-07-18 | 2005-02-17 | Daimlerchrysler Ag | Brems- und Lenksystem für ein Fahrzeug |
DE19607284B4 (de) † | 1996-02-27 | 2014-03-13 | Robert Bosch Gmbh | Verfahren zum Erfassen und Dokumentieren von abgasrelevanten Fehlfunktionen eines Fahrzeugs |
DE19607429B4 (de) † | 1996-02-28 | 2004-02-19 | Daimlerchrysler Ag | Fehlertolerante Steuerungseinrichtung für ein physikalisches System, insbesondere Fahrdynamikregeleinrichtung für ein Kraftfahrzeug |
DE19631309A1 (de) † | 1996-08-02 | 1998-02-05 | Teves Gmbh Alfred | Mikroprozessoranordnung für ein Fahrzeug-Regelungssystem |
US5957985A (en) † | 1996-12-16 | 1999-09-28 | Microsoft Corporation | Fault-resilient automobile control system |
DE19716197A1 (de) † | 1997-04-18 | 1998-10-22 | Itt Mfg Enterprises Inc | Mikroprozessorsystem für sicherheitskritische Regelungen |
DE19733379B4 (de) † | 1997-08-01 | 2005-03-10 | Bosch Gmbh Robert | Vorrichtung zur Steuerung einer Bremsanlage |
DE10101827A1 (de) † | 2001-01-17 | 2002-07-18 | Daimler Chrysler Ag | Lenkanordnung für Kraftfahrzeuge |
JP4399987B2 (ja) † | 2001-01-25 | 2010-01-20 | 株式会社デンソー | 車両統合制御におけるフェイルセーフシステム |
DE10113917B4 (de) † | 2001-03-21 | 2019-05-23 | Robert Bosch Gmbh | Verfahren und Vorrichtung zur Überwachung von Steuereinheiten |
JP2002347479A (ja) † | 2001-05-29 | 2002-12-04 | Denso Corp | 車両統合制御システム |
DE10154763A1 (de) † | 2001-11-09 | 2003-05-22 | Continental Teves Ag & Co Ohg | Verfahren und Schaltungsanordnung zur Erkennung eines Defekts von Halbleiterschaltelementen und deren Verwendung in elektronischen Bremskraft- und Fahrdynamikreglern |
DE102004058996A1 (de) † | 2003-12-20 | 2005-07-14 | Daimlerchrysler Ag | Verfahren und Fahrfunktionssystem zum Überführen von sicherheitsrelevanten Fahrfunktionen eines Fahrzeugs in den sicheren Zustand |
KR100610344B1 (ko) † | 2004-10-07 | 2006-08-10 | 현대자동차주식회사 | 차량용 엔진회전수센서 이상 판단방법 |
JP2006142994A (ja) † | 2004-11-19 | 2006-06-08 | Denso Corp | 車両用ネットワークシステムおよび電子制御装置 |
US7467029B2 (en) † | 2004-12-15 | 2008-12-16 | General Motors Corporation | Dual processor supervisory control system for a vehicle |
DE102005001524A1 (de) † | 2005-01-13 | 2006-07-27 | Zf Friedrichshafen Ag | Verfahren zum Feststellen von Fehlfunktionen von Komponenten eines Kraftfahrzeugantriebstranges |
-
2006
- 2006-11-30 DE DE102006056668A patent/DE102006056668A1/de not_active Withdrawn
-
2007
- 2007-11-26 EP EP07847323.8A patent/EP2099667B2/de not_active Not-in-force
- 2007-11-26 WO PCT/EP2007/062782 patent/WO2008065059A1/de active Application Filing
- 2007-11-26 US US12/516,671 patent/US8223007B2/en active Active
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE4414980A1 (de) * | 1994-04-29 | 1995-11-02 | Teves Gmbh Alfred | Schaltungsanordnung für eine Bremsanlage mit EBV |
DE19753907A1 (de) * | 1997-12-05 | 1999-06-10 | Itt Mfg Enterprises Inc | Verbundsystem zur Regelung des Fahrverhaltens eines Kraftfahrzeugs |
WO2004005090A2 (de) * | 2002-07-05 | 2004-01-15 | Continental Teves Ag & Co. Ohg | Verfahren zum überwachen der funktionen und erhöhen der betriebssicherheit eines sicherheitsrelevanten regelungssystems |
WO2004005096A1 (de) * | 2002-07-05 | 2004-01-15 | Continental Teves Ag & Co. Ohg | Verfahren zum sicherstellen oder aufrechterhalten der funktion eines komplexen sicherheitskritischen gesamtsystems |
Cited By (11)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE102011115854A1 (de) * | 2011-10-13 | 2013-04-18 | Audi Ag | Fahrzeug und Verfahren zum Steuern eines Fahrzeugs |
US9102335B2 (en) | 2011-10-13 | 2015-08-11 | Audi Ag | Vehicle and method for controlling a vehicle |
WO2013131900A1 (de) | 2012-03-06 | 2013-09-12 | Continental Teves Ag & Co. Ohg | Verfahren zur verbesserung der funktionalen sicherheit und steigerung der verfügbarkeit eines elektronischen regelungssystems sowie ein elektronisches regelungssystem |
DE102012024818A1 (de) | 2012-03-06 | 2013-09-12 | Conti Temic Microelectronic Gmbh | Verfahren zur Verbesserung der funktionalen Sicherheit und Steigerung der Verfügbarkeit eines elektronischen Regelungssystems sowie ein elektronisches Regelungssystem |
US9576137B2 (en) | 2012-03-06 | 2017-02-21 | Continental Teves Ag & Co. Ohg | Method and system for analyzing integrity of encrypted data in electronic control system for motor vehicle |
DE112014003361B4 (de) | 2013-07-22 | 2020-07-23 | Toyota Jidosha Kabushiki Kaisha | Spurhalteassistenzvorrichtung |
WO2015055914A1 (fr) * | 2013-10-17 | 2015-04-23 | Renault S.A.S. | Système et procédé de contrôle de véhicule avec gestion de défauts |
FR3012098A1 (fr) * | 2013-10-17 | 2015-04-24 | Renault Sa | Systeme et procede de controle de vehicule avec gestion de defauts |
CN105658495A (zh) * | 2013-10-17 | 2016-06-08 | 雷诺股份公司 | 用于使用故障管理控制车辆的***和方法 |
CN105658495B (zh) * | 2013-10-17 | 2019-07-09 | 雷诺股份公司 | 用于使用故障管理控制车辆的***和方法 |
DE102017218395A1 (de) | 2016-10-19 | 2018-04-19 | Bayerische Motoren Werke Aktiengesellschaft | Verfahren zur fehlerrobusten Regelung von hochautomatisierten Fahrzeugen |
Also Published As
Publication number | Publication date |
---|---|
EP2099667B1 (de) | 2013-01-09 |
EP2099667A1 (de) | 2009-09-16 |
US20100066526A1 (en) | 2010-03-18 |
EP2099667B2 (de) | 2016-06-29 |
US8223007B2 (en) | 2012-07-17 |
WO2008065059A1 (de) | 2008-06-05 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
EP2099667B1 (de) | Verfahren zum sicherstellen oder aufrechterhalten der funktion eines komplexen sicherheitskritischen gesamtsystems | |
EP0915789B1 (de) | Mikroprozessoranordnung für ein fahrzeug-regelungssystem | |
DE102005005995A1 (de) | Verfahren und Vorrichtung zum Überwachen von Signalverarbeitungseinheiten für Sensoren | |
DE19500188B4 (de) | Schaltungsanordnung für eine Bremsanlage | |
DE4439060A1 (de) | Mikroprozessoranordnung für ein Fahrzeug-Regelungssystem | |
DE10243713A1 (de) | Redundante Steuergeräteanordnung | |
WO2006037415A1 (de) | Längsdynamiksteuervorrichtung für kraftfahrzeuge | |
EP1521697B1 (de) | Verfahren zum sicherstellen oder aufrechterhalten der funktion eines komplexen sicherheitskritischen gesamtsystems | |
EP1966008B1 (de) | Verfahren zur verteilung von softwaremodulen | |
DE102008009652A1 (de) | Überwachungseinrichtung und Überwachungsverfahren für einen Sensor, sowie Sensor | |
DE102012207215A1 (de) | Verfahren und Vorrichtung zur Überwachung von Funktionen eines Rechnersystems, vorzugsweise eines Motorsteuersystems eines Kraftfahrzeuges | |
DE10142511B4 (de) | Fehlerbehandlung von Softwaremodulen | |
DE102013021231A1 (de) | Verfahren zum Betrieb eines Assistenzsystems eines Fahrzeugs und Fahrzeugsteuergerät | |
EP3983897A1 (de) | Verfahren zum sicherstellen und aufrechterhalten der funktion eines sicherheitskritischen gesamtsystems | |
DE102012221277A1 (de) | Fahrzeugsteuervorrichtung | |
DE102021208459B4 (de) | Verfahren zur authentischen Datenübertragung zwischen Steuergeräten eines Fahrzeugs, Anordnung mit Steuergeräten, Computerprogramm und Fahrzeug | |
DE102007046731B4 (de) | Verfahren zur Ansteuerung eines Aktuators in einem Kraftfahrzeug | |
DE102022112904A1 (de) | Fahrzeug-Bremsvorrichtung | |
DE10328059A1 (de) | Verfahren und Vorrichtung zur Überwachung eines verteilten Systems | |
DE102006045153A1 (de) | System und Verfahren zum Verteilen und Ausführen von Programmcode in einem Steuergerätenetzwerk | |
EP1248965B1 (de) | Verfahren zur verhinderung von fehlfunktionen in einem signalverarbeitenden system und prozessorsystem | |
DE102019134872B4 (de) | Verbesserung der Betriebsparameter eines Rechensystems im Fahrzeug | |
DE102017212560A1 (de) | Verfahren zum ausfallsicheren Durchführen einer sicherheitsgerichteten Funktion | |
DE102022203259A1 (de) | Verfahren und Vorrichtung zum Absichern von automatischen Fahrfunktionen eines Kraftfahrzeugs | |
DE102021206145A1 (de) | Verfahren zum Bremsen eines autonom fahrenden Kraftfahrzeugs |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
OM8 | Search report available as to paragraph 43 lit. 1 sentence 1 patent law | ||
R012 | Request for examination validly filed |
Effective date: 20130904 |
|
R120 | Application withdrawn or ip right abandoned |