-
Die Erfindung betrifft ein Steuergerät für ein Aktorsystem zur Umrüstung zwischen einer niedrigen und einer höheren Funktionssicherheitsstufe, umfassend einen Mikrocontroller, welcher mit einem Dateneingang zur Verbindung mit einem übergeordneten Steuergerät und mit einer Treiberstufe zur Betätigung einer Antriebseinheit eines Aktors verbunden ist, sowie ein Steuergerätesystem zur Steuerung eines Aktorsystems.
-
Steuervorgänge zur Steuerung von Kraftfahrzeugen unterliegen strengen Sicherheitsvorschriften, die in der Regel nicht von einer einzigen Datenverarbeitungseinheit, beispielsweise einem einzigen Mikrocontroller, erfüllt werden können. Somit sind Anordnungen von Steuergeräten mit mehreren Mikrocontrollern bekannt, die sich gegenseitig überwachen.
-
Aus der
DE 10 2011 011 224 A1 ist eine Steuergeräteanordnung bekannt, welche hinsichtlich einer Bearbeitungshierarchie ein übergeordnetes und zumindest ein diesem untergeordnetes Steuergerät mit jeweils einem Hauptprozessor aufweisen. Dabei ist der Mikrocontroller des übergeordneten Steuergerätes als Überwachungsrechner des Mikrocontrollers des untergeordneten Steuergerätes ausgebildet. Das übergeordnete und das untergeordnete Steuergerät kommunizieren dabei über eine Signalleitung.
-
Der Erfindung liegt die Aufgabe zugrunde, ein Steuergerät für ein Aktorsystem zur Umrüstung zwischen einer niedrigen und einer höheren Funktionssicherheitsstufe anzugeben, welches den beschriebenen Stand der Technik verbessert.
-
Erfindungsgemäß ist die Aufgabe dadurch gelöst, dass ein digitaler Nothalteingang zur Verbindung mit der Treiberstufe vorgesehen ist, wobei bei unbestücktem Nothalteingang die niedrige Funktionssicherheitsstufe gegeben ist während bei bestücktem Nothalteingang die höhere Funktionssicherheitsstufe in Zusammenwirkung mit dem übergeordneten Steuergerät einstellbar ist. Dies hat den Vorteil, dass lediglich durch die vorgehaltene Bestückungsoption das Steuergerät in einer niedrigen Funktionssicherheitsstufe als Stand-alone-Einheit verwendet werden kann oder im Zusammenspiel mit einem übergeordneten Steuergerät eine höhere Funktionssicherheitsstufe darstellt. Dadurch werden die Herstellungskosten stark reduziert.
-
Vorteilhafterweise ist der Nothalteingang mit dem Mikrocontroller verbindbar. Dabei wird im Zusammenspiel mit dem übergeordneten Steuergerät nicht nur die Treiberstufe in einen sicheren Zustand versetzt, sondern auch der Mikroprozessor einem Resetvorgang unterzogen, um sicherzustellen, dass dieser aus einem fehlerhaften Zustand, wie er beispielsweise bei einem Stromausfall auftreten kann, wieder in einen funktionsfähigen Zustand versetzt wird.
-
Eine Weiterbildung der Erfindung betrifft ein Steuergerätesystem zur Steuerung eines Aktorsystems, umfassend ein übergeordnetes und ein untergeordnetes Steuergerät, welche über eine Datenleitung miteinander kommunizieren, wobei das übergeordnete Steuergerät einen ersten Mikrocontroller aufweist, welcher als Überwachungseinheit eines zweiten Mikrocontrollers des untergeordneten Steuergerätes fungiert. Bei einem Steuergerätesystem, bei welchem sich einfach eine höhere Funktionssicherheitsstufe einstellen lässt, ist das untergeordnete Steuergerät nach mindestens einem in dieser Schutzrechtsanmeldung beschriebenen Merkmal ausgebildet. Da das übergeordnete Steuergerät die Funktion der Überwachungseinheit des Mikrocontrollers der untergeordneten Steuereinheit übernimmt, entfällt hierbei die Implementierung eines als Watch dog fungierenden zweiten Mikrocontrollers in dem untergeordneten Steuergerät. Dadurch werden die Herstellungskosten des Steuergerätes für eine höhere Funktionssicherheitsstufe verringert, da ein Steuergerät mit einer niedrigen Funktionssicherheitsstufe verwendet werden kann, welches mit einem an sich im Fahrzeug vorhandenen übergeordneten Steuergerät zusammenwirkt und eine höhere Funktionssicherheitsstufe bereit stellt. Durch die direkte Anbindung des übergeordneten Steuergerätes an die Treiberstufe des untergeordneten Steuergerätes wird ein notwendiges Eingreifen im Notfall zeitgerecht möglich.
-
Vorteilhafterweise ist der erste Mikrocontroller des übergeordneten Steuergerätes über eine digitale Leitung mit dem bestückten Nothalteingang des untergeordneten Steuergerätes zur Abschaltung der Treiberstufe bei Ausgabe eines Fehlersignals durch den ersten, als Überwachungseinheit ausgebildeten Mikrocontroller des übergeordneten Steuergerätes verbunden. Somit lässt sich auf eine sehr einfache Art und Weise nur durch das Vorhandensein eines zusätzlichen Connector-Pins an dem untergeordneten Steuergerät die Treiberstufe ausschalten, was zu einem Nothalt der von der Treiberstufe angetriebenen Antriebseinheit des Aktor führt, wodurch dieser in einen sicheren Zustand verfahren wird.
-
In einer Ausgestaltung wird bei Ausgabe des Fehlersignals durch den ersten als Überwachungseinheit dienenden Mikrocontroller des übergeordneten Steuergerätes über die digitale Leitung und den bestückten Nothalteingang ein Resetsignal an den zweiten Mikrocontroller des untergeordneten Steuergerätes ausgegeben. Über diesen Reset des zweiten Mikrocontrollers des untergeordneten Steuergerätes kann dieser gleichzeitig in einen Anfangszustand versetzt werden. Infolge dieses Anfangszustandes kann die Treiberstufe wieder ordnungsgemäß angesteuert werden.
-
In einer Ausführungsform ist die das übergeordnete und das untergeordnete Steuergerät miteinander verbindende Datenleitung als CAN-Bus oder Flexray oder Ethernet ausgebildet. Dabei werden die im Fahrzeug an sich vorhandenen Datenleitungen zur Überwachung des zweiten Mikrocontrollers der untergeordneten Steuereinheit genutzt, wobei der erste Mikrocontroller des übergeordneten Steuergerätes eine Sicherheitsschaltung in Form eines Watch dogs aufweist, die ständig Daten mit dem zweiten Mikrocontroller des untergeordneten Steuergerätes austauscht. Wird bei einem Vergleich dieser Daten festgestellt, dass diese nicht übereinstimmen, so wird über die digitale Leitung die Ansteuerung des Aktors über die Treiberstufe unterbrochen und der Aktor in einen sicheren Zustand versetzt. Dies ist eine besonders kostengünstige Ausgestaltung, da als übergeordnete Steuergeräte im Fahrzeug zahlreiche Steuergeräte vorhanden sind, die nur mit der entsprechenden Überwachungsschaltung in Form des Watch dogs ausgerüstet werden müssen, um das untergeordnete Steuergerät zu überwachen.
-
In einer Variante kommuniziert das übergeordnete Steuergerät mit weiteren Funktionsträgern des Fahrzeuges. Dabei erfasst es Sensorsignale, Parametrierungen oder ähnliches.
-
In einer weiteren Ausgestaltung wird vor einem Reset des zweiten Mikrocontrollers des untergeordneten Steuergerätes ein Nothaltzustand der Treiberstufe aufgehoben. Damit wird sichergestellt, dass das Steuergerätesystem funktionsbereit zur Überwachung des zweiten Mikrocontrollers des untergeordneten Steuergerätes ist und somit zuverlässig die höhere Funktionssicherheitsstufe einnimmt.
-
Die Erfindung lässt zahlreiche Ausführungsformen zu. Eine davon soll anhand der in den Zeichnungen dargestellten Figuren näher erläutert werden.
-
Es zeigt:
- 1 ein Ausführungsbeispiel des erfindungsgemäßen Steuergerätes mit einer niedrigen Funktionssicherheitsstufe,
- 2 ein Ausführungsbeispiel des erfindungsgemäßen Steuergerätesystems mit einer höheren Funktionssicherheitsstufe,
- 3 ein Ausführungsbeispiel für einen Test des Steuergerätesystems nach 2.
-
In 1 ist ein Ausführungsbeispiel eines Steuergerätes 1 mit einer niedrigen Funktionssicherheitsstufe dargestellt. Bei diesen Funktionssicherheitsstufen handelt es sich um eine Iso-Norm, die das Thema „automotive safety integry level“ (ASIL) behandelt. Je höher die ASIL-Klasse des Steuergerätes ist, umso höher ist dessen Funktionssicherheit, aber auch umso aufwändiger ist die Herstellung und umso teurer der Einsatz des entsprechenden Steuergeräts.
-
Das Steuergerät 1 weist einen Mikrocontroller 2 auf, welcher extern mit einer Versorgungsspannung des Fahrzeuges (KI 30) und mit einer Datenleitung 3, beispielsweise einem CAN-Bus verbunden ist. Der Mikrocontroller 2 ist intern mit einer Treiberstufe 4 gekoppelt, welcher eine nicht weiter dargestellt Antriebseinheit eines Aktors antreibt. Weiterhin umfasst das Steuergerät 1 einen Anschlusspin 5, welcher mit dem Mikrocontroller 2 und der Treiberstufe 4 intern verbunden werden kann. Der in 1 dargestellte Anschlusspin 5 ist unbestückt. Das System kann als Stand-alone-Steuergerät mit niedrigerer Funktionssicherheitsstufe genutzt werden. Ein solches Steuergerät 1 besitzt z. B. die Funktionssicherheitsstufe ASIL-B.
-
Soll die Funktionssicherheitsstufe des Steuergerätes 1 von ASIL-B auf ASIL-C angehoben werden, was eine höhere Funktionssicherheitsstufe darstellt, wird wie in 2 dargestellt ist, der als Nothaltpin vorgesehene Anschlußpin 5 bestückt, so dass eine interne Verbindung zwischen dem Anschlußpin 5 und dem Mikrocontroller 2 sowie der Treiberstufe 4 vorhanden ist. Das Steuergerät 1 wird über den Anschlußpin 5 und einer digitalen Leitung 6 mit einem übergeordneten, an sich im Fahrzeug vorhandenen Steuergerät 7 verbunden und bildet dabei das zum Steuergerät 7 untergeordnete Steuergerät 1.
-
Das Steuergerät 7 weist ebenfalls einen Mikrocontroller 8 auf, der über die Datenleitung 3 mit dem Mikrocontroller 2 des untergeordneten Steuergerätes 1 verbunden ist. Auch der zweite Mikrocontroller 8 des übergeordneten Steuergerätes 7 ist mit der Versorgungsspannung KI 30 des Fahrzeuges verbunden. Über die digitale Leitung 6 und den intern bestückten Anschlusspin 5 hat das übergeordnete Steuergerät 7 eine direkte Verbindung zum Mikrocontroller 2 und zu der Treiberstufe 4 des untergeordneten Steuergerätes 1.
-
Der Mikrocontroller 8 des übergeordneten Steuergerätes 7 ist gleichzeitig als Überwachungseinheit für den Mikrocontroller 2 des untergeordneten Steuergerätes 1 ausgebildet, indem in diesem eine Watch dog-Funktion implementiert ist. Mittels einer solchen Watch dog-Funktion wird die Funktionsfähigkeit des Mikrocontrollers 2 des untergeordneten Steuergerätes 1 überwacht, indem der Mikrocontroller 8 des übergeordneten Steuergerätes 7 über die Datenleitung 3 ununterbrochen Signale aussendet, die vom Mikrocontroller 2 des untergeordneten Steuergerätes 1 beantwortet werden. Der Mikrocontroller 8 des übergeordneten Steuergerätes 7 vergleicht diese Signale. Wird dabei festgestellt, dass die von dem Mikrocontroller 2 ausgesandten Antwortsignale nicht mit den Signalen, die der Mikrocontroller 8 des übergeordneten Steuergerätes 7 erwartet hat, übereinstimmen, so wird ein Fehler in dem Mikrocontroller 2 des untergeordneten Steuergerätes 1 festgestellt. In dem Fall löst der Mikrocontroller 8 des übergeordneten Steuergerätes 7 ein Signal auf der digitalen Leitung 6 aus, welches über den Anschlusspin 5 auf die Treiberstufe 4 des untergeordneten Steuergerätes 1 übertragen wird und die Treiberstufe 4 abschaltet. Gleichzeitig dient dieses Signal als Reset-Signal für den Mikrocontroller 2 des untergeordneten Steuergerätes1, um diesen wieder in einen Anfangszustand zu versetzen.
-
Ist das Fahrzeug aber nach einem Reset abgeschaltet worden, so kann nach Wiedereinschalten des Zündungssignals an der Klemme 30 und Hochfahren des Mikrocontrollers 2 des untergeordneten Steuergerätes 1 nicht festgestellt werden, ob das Fahrzeug losfahren kann oder ob sich der Mikrocontroller 2 in einem Fehler-Reset-Zustand befindet. Somit muss geprüft werden, ob ein Nothaltflag im Mikrocontroller 2 gesetzt wurde, was geschieht, wenn die Treiberstufe 4 über das auf der digitalen Leitung 6 übertragenen Signales abgeschaltet wurde. Diese Prüfung ist in 3 dargestellt. Nach einer Initiierung des Resets ist der Nothalteflag auf 0 gesetzt (Block 100). Nach Hochfahren des Mikrocontrollers 2 wird im Block 110 geprüft, ob der Nothalteflag gesetzt wurde. Steht der Nothalteflag auf 1, so wurde der Nothalt nicht ausgelöst und der Reset ist ausgeschaltet (Block 120). Wird allerdings im Block 110 festgestellt, dass der Nothalteflag auf 0 gesetzt ist, dann wurde der Nothalt ausgelöst. Im Block 130 wird dann ein Flag-Reset durchgeführt. Bei diesem Flag-Reset wird entweder der nicht ausgelöste Nothalt auf 1 gesetzt, wobei im Block 140 der Reset des Mikrocontrollers 2 durchgeführt wird, während, wenn der Nothalteflag bei 0 bleibt, das Verfahren beendet ist. Durch diese Prüfung wird verhindert, dass sich der Mikrocontroller 2 in einem Dauer-Reset-Zustand befindet und somit das Verfahren nicht beendet werden kann.
-
Bei den in 2 dargestellten Steuergeräten kann das übergeordnete Steuergerät 7 als Getriebesteuergerät und das untergeordnete Steuergerät 1 als Kupplungssteuergerät ausgebildet sein, wobei das Kupplungssteuergerät Bestandteil eines Aktorsystems ist, das von einen Elektromotor angesteuert wird, wobei das Aktorsystem die Kupplung des Fahrzeuges antreibt. Es ist aber auch möglich, dass die einzelnen Aktormodule nicht nur eine Kupplung, sondern auch eine Gangbetätigung eines Teilantriebsstranges eines Doppelkupplungsgetriebes oder ein Schalten oder Wählen des Getriebes ermöglichen. Weiterhin können Funktionen einer elektronischen Fahrpedal-gesteuerten Brennkraftmaschine, Bremsvorrichtungen und andere derartige Steuergeräteanordnungen angesteuert werden.
-
Bezugszeichenliste
-
- 1
- Steuergerät
- 2
- Mikrocontroller
- 3
- Datenleitung
- 4
- Treiberstufe
- 5
- Anschlusspin
- 6
- Digitale Leitung
- 7
- Steuergerät
- 8
- Mikrocontroller
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102011011224 A1 [0003]
