WO2009040216A2 - Fahrzeug-steuereinheit mit einem versorgungspannungsüberwachten mikrocontroller sowie zugehöriges verfahren - Google Patents

Fahrzeug-steuereinheit mit einem versorgungspannungsüberwachten mikrocontroller sowie zugehöriges verfahren Download PDF

Info

Publication number
WO2009040216A2
WO2009040216A2 PCT/EP2008/061475 EP2008061475W WO2009040216A2 WO 2009040216 A2 WO2009040216 A2 WO 2009040216A2 EP 2008061475 W EP2008061475 W EP 2008061475W WO 2009040216 A2 WO2009040216 A2 WO 2009040216A2
Authority
WO
WIPO (PCT)
Prior art keywords
microcontroller
monitoring
supply voltages
converter
monitored
Prior art date
Application number
PCT/EP2008/061475
Other languages
English (en)
French (fr)
Other versions
WO2009040216A3 (de
Inventor
Alexander Froschhammer
Marco Kick
Rainer Lenhart
Gerhard Prochazka
Bernhard Schinkowitsch
Original Assignee
Continental Automotive Gmbh
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Continental Automotive Gmbh filed Critical Continental Automotive Gmbh
Priority to EP08803458.2A priority Critical patent/EP2203795B1/de
Priority to US12/679,701 priority patent/US20100287398A1/en
Priority to JP2010526232A priority patent/JP5295251B2/ja
Publication of WO2009040216A2 publication Critical patent/WO2009040216A2/de
Publication of WO2009040216A3 publication Critical patent/WO2009040216A3/de

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F1/00—Details not covered by groups G06F3/00 - G06F13/00 and G06F21/00
    • G06F1/26—Power supply means, e.g. regulation thereof
    • G06F1/28—Supervision thereof, e.g. detecting power-supply failure by out of limits supervision
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01R—MEASURING ELECTRIC VARIABLES; MEASURING MAGNETIC VARIABLES
    • G01R31/00—Arrangements for testing electric properties; Arrangements for locating electric faults; Arrangements for electrical testing characterised by what is being tested not provided for elsewhere
    • G01R31/005—Testing of electric installations on transport means
    • G01R31/006—Testing of electric installations on transport means on road vehicles, e.g. automobiles or trucks
    • G01R31/007—Testing of electric installations on transport means on road vehicles, e.g. automobiles or trucks using microprocessors or computers
    • G—PHYSICS
    • G01—MEASURING; TESTING
    • G01R—MEASURING ELECTRIC VARIABLES; MEASURING MAGNETIC VARIABLES
    • G01R31/00—Arrangements for testing electric properties; Arrangements for locating electric faults; Arrangements for electrical testing characterised by what is being tested not provided for elsewhere
    • G01R31/28—Testing of electronic circuits, e.g. by signal tracer
    • G01R31/3167—Testing of combined analog and digital circuits

Definitions

  • Vehicle control unit with a supply voltage monitored microcontroller and associated method
  • the invention relates to a vehicle control unit having a microcontroller, to which a plurality of analog supply voltages are applied, and to a monitoring unit for monitoring the function of the microcontroller.
  • Recent micro-controllers ( ⁇ Cs) used in electronic vehicle control devices such as engine control units, transmission control units, chassis control units of automobiles, etc. are each simultaneously powered by multiple supply voltages, such as 1.5V and 3.3V - provided.
  • supply voltages such as 1.5V and 3.3V - provided.
  • a flawless, correct operation and functioning of the respective microcontroller, in particular of running on it applications or computational procedures, are ensured when these supply voltages are largely stable, i. remain within associated, defined tolerance bands. This is continuously checked by means of voltage monitoring.
  • specific hardware voltage monitoring devices have heretofore been used for voltage monitoring.
  • the invention is based on the object to provide a vehicle control unit with a microcontroller whose multiple analog supply voltages in a simpler This problem is solved in a vehicle control unit of the type mentioned above by the fact that the microcontroller an A / D converter for converting its plurality of includes analog supply voltages in digitized supply voltages, and that for the monitoring of these digitized supply voltages of the microcontroller, a computationally secure computing area in the
  • Microcontroller is provided, where the plurality of digitized supply voltages are monitored as to whether they are within predetermined tolerance ranges.
  • the multiple analog / digitally converted supply voltages of the microcontroller are monitored by means of one or more threshold comparison operations or procedures to determine whether they are within predefined, specific tolerance ranges is a check or " Monitoring of certain desired voltage values for the several supply voltages with saving of hardware monitoring units with adequate monitoring security individually, ie specifically possible Despite the lack of own hardware monitor units for voltage monitoring of the several analog supply voltages of the microcontroller allows the "software monitoring" of the supply voltages according to the A / D conversion, ie digitization, reliable information on how stable or robust the analog supply voltages of the microcontroller actually complied w earth.
  • the invention also relates to a method for monitoring a plurality of analog supply voltages, which are applied to the microcontroller of a vehicle control unit, wherein the microcontroller is functionally monitored by means of an associated monitoring unit, which is characterized in that by means of an A / D converter of the microcontroller Variety of analog, to be monitored supply voltages is converted into digitized supply voltages, and that these digitized supply voltages are monitored in a computationally secure computing area of the microcontroller to see whether they are within predetermined tolerance ranges.
  • Figure 2 is a schematic representation of a detail of the control unit of Figure 1, the voltage connection between the microcontroller and an associated hardware monitoring unit.
  • the figure 1 shows a schematic representation of the structure and operation of an exemplary vehicle control unit CD with a microcontroller MC, the several of analog supply voltages VCCI with VCCn according to the monitoring concept according to the invention for stability "monitors” or monitored, ie checked to see whether The vehicle control unit is formed, in particular, by an engine control unit for an internal combustion engine
  • Bus system BU coupled to a single hardware monitoring unit MU.
  • the microcontroller MC has on the input side an analog / digital (abbreviated A / D) converter ADCI. With its help, the level profile of at least one analog measurement signal MS1 to be evaluated can be associated with it
  • the measuring signal MS1 is preferably generated by at least one vehicle component, such as the accelerator pedal of a motor vehicle, and supplied to the analog / digital converter ADC1 of the microcontroller MC. From the analog / digital converter ADC1, the digital values DS generated are output to a downstream register RE for temporary storage. From the register or cache RE are buffered there Digital values sent to an input / output interface (I / O interface) IF. They are designated in FIG. 1 by DS *.
  • the I / O interface serves as an interface between the peripheral components and the function computer ST of the microcontroller MC, where its operating and
  • the function computer ST has a so-called L3 level or L3 layer LL3 for computer monitoring.
  • Computer monitoring is understood to be the correct interaction of software and hardware structures of the microcontroller MC whose topology enables the recognition of faulty operations of the function computer (computer core, affected areas in the RAM / ROM).
  • the monitoring of the memory modules RAM / ROM expediently takes place at least once per drive cycle before the engine is started (initialization or preceding overrun).
  • the engine start is in any case carried out again in the initialization.
  • the engine start (if software-controlled) or the combustion in the respective cylinder of the engine preferably takes place only after completion of the check in error-free condition.
  • the L3 layer LL3 comprises in particular two basic elements. A first basic element is formed by a monitoring software E3 in the function computer ST. This communicates via an interface SE3 with a physically independent of the microcontroller MC
  • Monitoring unit MU as a second basic element.
  • the monitoring unit or the monitoring module MU is preferably realized by a separate hardware unit. It serves to monitor the function of the function computer ST of the microcontroller MC. In particular, that is
  • Monitoring module MU designed as a monitoring computer. It provides the monitoring software E3 in the function computer ST of the microcontroller MC preferably cyclically a question from a variety of questions, monitors the receipt of a cyclic test result, which is calculated by the function calculator ST on the basis of each question, assesses this test result and directs an error response in case of error of the function computer ST.
  • the Monitoring module MU can preferably be designed as ASIC or computer.
  • the monitoring module MU acts as a so-called "watch dog" for the function control or the monitoring of the computational processes of the function computer ST.
  • Its arithmetic / logic unit, which performs this monitoring of the arithmetic functions of the function computer ST is identified in FIG. 1 by a block CFU. Specifically, from this arithmetic / logic unit CFU an SPI communication, ie "serial peripheral interface communication" to the L3 layer LL3 in
  • Function computer ST provided for the data transmission via the interface SE3 a Checksum ("CKS") check, a so-called header control, a timer-out control, a "Program Flow Monitoring", i.
  • CKS Checksum
  • CFU logic unit
  • PROM Program Flow Monitoring
  • a time-based and also content-related monitoring of the computational processes of the function computer ST is carried out with the aid of the logic unit CFU of the monitoring module MU
  • the interaction between the independent monitoring module MU and the monitoring software E3 in the L3 level LL3 of the function computer ST is referred to as "question-answer communication.”
  • questions-answer communication In particular, several test paths are processed in the function computer Each test path supplies a precisely defined question-dependent numerical partial result.
  • the linking of the partial results leads to a numerical overall result (test result), which is transmitted to the monitoring module MU via communication interface or interface SE3
  • the monitoring software E3 in the function computer ST sign alerts the logic unit CFU in the monitoring module MU by correct answers the computational error-free operation.
  • a computationally secure computing area LL2 can be provided there.
  • security-relevant functionalities can be calculated in this computationally secure area LL2 of the function computer ST.
  • Computer monitoring level LL3 are preferably formed by a so-called L2 layer and L3 layer according to standardized e-gas monitoring concept of gasoline and diesel engines.
  • the analog supply voltages VCCI with VCCn of the microcontroller MC In order to provide the several analog supply voltages VCCI with VCCn of the microcontroller MC without further hardware monitoring modules or "watch dogs", i. only with the already existing monitoring unit MU, which serves the computational function control of the function calculator ST to be able to monitor stability with respect to assigned to be observed voltage values, the analog supply voltages VCCI with VCCn to the at least one input port of the analog / digital converter ADCI MicroControllers MC created and converted into digital
  • the digitized supply voltages are then evaluated in the safe computing area LL2 of the function computer ST and monitored to see whether they correspond to predetermined digital voltage values within predefined tolerance bands.
  • this "software" monitoring of the digitized supply voltages in a safe computing area of the microcontroller allows greater flexibility, such as tolerance ranges to be maintained or tolerance bands for the supply voltages to be monitored, for a suitable balance or to ensure a balance between monitoring security and availability of the overall system of the vehicle control unit largely.
  • the analog / digital converter ADC1 of the microcontroller MC is acted upon by a reference voltage RV1, which determines the distance between two output digital values.
  • RV1 a reference voltage of eg 2.5 V
  • the analog / digital converter ADC1 of the microcontroller MC can be operated with at least two different reference voltages RV1.
  • this hardware monitor unit is formed here by a control unit MOV which serves to monitor the voltage of the supply voltage VCM of the hardware monitoring unit MU. This detail is enlarged in the figure 2 and shown schematically.
  • this first reference voltage value of the ADC A / D converter is also indirectly voltage-monitored in terms of hardware. It can be ensured that the reference voltage RVl applied to the A / D converter ADCl reliably holds this voltage value of 2.5 V within predefined tolerance ranges.
  • the digital values DS of the multiplicity of supply voltages VCCi, such as VCCI, VCC2 are monitored as to whether they lie within predefined tolerance ranges - as here TB1, TB2 - for the two supply voltages VCCI, VCC2 to be controlled. This is symbolized in FIG. 1 by an ⁇ symbol in block BL.
  • a further comparison operation is expediently carried out in the LL2 layer of the function computer ST.
  • a dynamically changing reference signal RS is applied to the input of the first A / D converter ADC1 of the microcontroller MC and this with its hardware-protected
  • Reference voltage RVl 2.5 V applied.
  • a redundant to the first A / D converter ADC existing, second analog / digital converter with the same, dynamically changing reference signal RS is applied.
  • This second analog / digital converter is formed in particular by the analog / digital converter ADC2 of the monitoring unit MU.
  • the protected computing area LL2 of the function computer ST are thus digital values of the reference signal or
  • a computationally secure functional area of the functional computer of the microcontroller is provided and utilized by digital values of the analog supply voltages generated by analog / digital conversion being checked as to whether they are specifically assigned , allowable tolerance bands are.
  • a "monitor-monitored” or reference-voltage-monitored A / D converter in order to convert the analog supply voltages to be monitored for their stability into digital values derived from the logic in the function computer
  • the flow logic can be implemented by software: a "monitored”, ie voltage-monitored, reference voltage for the A / D conversion of the A / D converter and the microcontroller in order to prevent fault entries from outside due to a faulty reference variable to avoid the A / D conversion; computationally secure calculations in the functional computer of the microcontroller; in particular, these computational safeguards can include function specific instruction set tests, trace monitoring, and / or cyclic RAM / ROM tests; at least one trigger unit to enable a "reset" of the microcontroller, so that the microcontroller can be brought into a safe state and recover from errors if the analog supply voltages of the microcontroller outside the specified tolerance ranges or specific assigned Tole
  • the following sequences are preferably implemented which: read the digitized supply voltages; Perform threshold comparisons to verify that the digital value of the respective supply voltage to be monitored is within a predetermined or calculated tolerance range within which the respective supply voltage is considered to be largely stable; after potential debouncing ("potential debouncing"), appropriate error responses are triggered if a deviation for the respective supply voltage to be monitored from a predetermined tolerance range is detected or registered, ie if a specifically assigned upper or lower threshold is exceeded or exceeded; If more than one supply voltage is to be monitored, it may be convenient to reference the analog-to-digital converter of the microcontroller with different reference voltages, and because of the resulting improved scalability of the value range of the A / D converter, the
  • Supply voltages can be detected by evaluating the associated digital values in a computationally secure functional area of the function computer of the microcontroller by controlling the digital values to determine whether they are within predetermined, specifically assigned tolerance ranges.
  • Miscalculations of the microcontroller which could lead to undiscovered errors in the threshold value comparisons for the digital values of the supply voltages to be monitored for their long-term stability, are detected with the aid of the components of the L3 layer LL3.
  • ROM or RAM errors are preferably detected cyclically.
  • “Aliveness”, i.e. liveliness and periodic recurrence of the comparison functions, are checked by monitoring the program flow Command processing in the function computer is checked by one or more function-specific instruction set tests
  • Test calculations can be used or actual calculations performed at assembler level. Faults in the signal supply by the A / D converter can be detected by monitoring the A / D converter.
  • MicroControllers are actually adhered to.
  • the monitoring of these digitized supply voltages in the computationally secure area of the microcontroller contributes to this, so that evaluation errors of the digitized measured supply voltages are largely avoided.
  • This diagnostic security is particularly advantageous in vehicle control units such.
  • As engine controls, transmission controls or other safety-related control devices such. in the chassis area, where high availability is required, i. a failure during driving is not tolerable or inadmissible. Generally speaking, therefore, a sufficient overall reliability of the vehicle control unit is largely ensured in a variety of practical situations.
  • this "software monitoring" of the digitized supply voltages in a safe computing area of the microcontroller allows greater flexibility, such as tolerance ranges or tolerance bands for the supply voltages to be monitored, for a suitable balance or balance to be able to ensure largely between monitoring security and availability of the overall system of the vehicle control unit.
  • Monitoring concept can be implemented within the VDA-recommended 3-level ETC monitoring concept, without requiring additional hardware.
  • the microcontroller MC has a plurality of analog / digital converters, all input signals to be monitored are expediently fed to that analog / digital converter whose reference voltage is voltage-monitored in terms of hardware.
  • analog / digital converter whose reference voltage is voltage-monitored in terms of hardware.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Computer Hardware Design (AREA)
  • Chemical & Material Sciences (AREA)
  • Combustion & Propulsion (AREA)
  • Analogue/Digital Conversion (AREA)
  • Control By Computers (AREA)
  • Safety Devices In Control Systems (AREA)
  • Power Sources (AREA)
  • Control Of Transmission Device (AREA)

Abstract

Eine Fahrzeug-Steuereinheit (CD) weist einen Mikrocontroller (MC), an den mehrere analoge Versorgungsspannungen (VCC1 mit VCCn) angelegt sind, und eine Überwachungseinheit (MU) zur Funktionsüberwachung des Mikrocontrollers (MC) auf. Der Mikrocontroller (MC) umfasst einen A/D-Wandler (ADC1) zur Umwandlung seiner Vielzahl von analogen Versorgungsspannungen (VCC1-VCCn) in digitalisierte Versorgungsspannungen. Für die Überwachung dieser digitalisierten Versorgungsspannungen des Mikrocontrollers (MC) ist ein rechentechnisch abgesicherter Rechenbereich (LL2) des Mikrocontrollers (MC) vorgesehen, wo die Vielzahl von digitalisierten Versorgungsspannungen dahingehend überwacht werden, ob sie innerhalb vorgegebener Toleranzbereiche (TB1, TB2) liegen.

Description

Beschreibung
Fahrzeug-Steuereinheit mit einem Versorgungspannungs- überwachten MikroController sowie zugehöriges Verfahren
Die Erfindung betrifft eine Fahrzeug-Steuereinheit mit einem MikroController, an den mehrere analoge Versorgungsspannungen angelegt sind, und mit einer Überwachungseinheit zur Funktionsüberwachung des MikroControllers.
Neuere MikroController (μCs) , die in elektronischen Fahrzeug- Steuergeräten wie zum Beispiel Motorsteuergeräten, Getriebesteuergeräten, Kontrolleinheiten im Chassis-Bereich von Kraftfahrzeugen, usw. verwendet werden, sind jeweils gleichzeitig durch mehrere Versorgungsspannungen - wie zum Beispiel von 1,5V und 3,3V - versorgt. Eine einwandfreie, korrekte Betriebs- und Funktionsweise des jeweiligen MikroControllers, insbesondere von auf ihm ablaufenden Applikationen bzw. Rechenprozeduren, sind dann sichergestellt, wenn diese Versorgungsspannungen weitgehend stabil sind, d.h. innerhalb zugehöriger, definierter Toleranzbänder bleiben. Dies wird anhand einer Spannungswachung fortlaufend überprüft. Typischerweise wurden bisher zur Spannungsüberwachung spezifische Hardware- Spannungsüberwachungsgeräte verwendet. Diese werden in der Praxis als sogenannte „watch dogs" bezeichnet. Derartige Hardware-Überwachungsgeräte sind zum einen relativ teuer, wenn sie mit ausreichender Präzision bzw. Genauigkeit arbeiten. Zum anderen ist wegen der Hardware-Realisierung eines derartigen Spannungsüberwachungsgeräts dessen Parametrisierung und Flexibilität für die Praxis oftmals zu begrenzt oder zu eingeschränkt.
Der Erfindung liegt die Aufgabe zu Grunde, eine Fahrzeug- Steuereinheit mit einem MikroController bereitzustellen, dessen mehrere analoge Versorgungsspannungen in einfacherer Weise als durch spezifisch zugeordnete, rein hardwaremäßig realisierte „watch dogs" bei gleichzeitig ausreichender Funktionssicherheit überwacht werden können. Diese Aufgabe wird bei einer Fahrzeug-Steuereinheit der eingangs genannten Art dadurch gelöst, dass der MikroController einen A/D- Wandler zur Umwandlung seiner Vielzahl von analogen Versorgungsspannungen in digitalisierte Versorgungsspannungen umfasst, und dass für die Überwachung dieser digitalisierten Versorgungsspannungen des MikroControllers ein rechentechnisch abgesicherter Rechenbereich im
MikroController vorgesehen ist, wo die Vielzahl von digitalisierten Versorgungsspannungen dahingehend überwacht sind, ob sie innerhalb vorgegebener Toleranzbereiche liegen.
Dadurch, dass in einem rechentechnisch abgesicherten Bereich des MikroControllers die mehreren analog/digital gewandelten Versorgungsspannungen des MikroControllers mittels ein oder mehrerer Schwellwertvergleichs- Operationen - bzw. Prozeduren dahingehend überwacht werden, ob sie innerhalb vorgegebener, spezifischer Toleranzbereiche liegen, ist eine Kontrolle bzw. ein „Monitoring" bestimmter gewünschter Spannungswerte für die mehreren Versorgungsspannungen unter Einsparung von Hardware-Monitoringeinheiten mit ausreichender Überwachungssicherheit individuell, d.h. spezifisch ermöglicht. Trotz des Fehlens eigener Hardware- Monitoreinheiten zur Spannungsüberwachung der mehreren analogen Versorgungsspannungen des MikroControllers erlaubt das „softwaremäßige Monitoring" der Versorgungsspannungen nach deren A/D-Wandlung, d.h. Digitalisierung, verlässliche Informationen darüber, wie stabil bzw. robust die analogen Versorgungsspannungen des MikroControllers tatsächlich eingehalten werden. Dazu trägt insbesondere die Überwachung dieser digitalisierten Versorgungsspannungen in einem rechentechnisch abgesicherten Bereich des MikroControllers bei, so dass Auswertefehler der digitalisierten, gemessenen Versorgungsspannungen weitgehend vermieden sind. Diese Diagnosesicherheit ist insbesondere vorteilhaft bei Fahrzeug- Steuereinheiten wie zum Beispiel Motorsteuerungen, Getriebesteuerungen oder sonstigen sicherheitsrelevanten Steuergeräten wie zum Beispiel im Chassisbereich, bei denen eine hohe Verfügbarkeit gefordert ist, d.h. ein Ausfall während des Fahrbetriebs intolerable bzw. unzulässig ist. Verglichen mit reinen Hardware- „watch dog" Lösungen erlaubt diese „softwaremäßige Überwachung" der digitalisierten Versorgungsspannungen in einem abgesicherten Rechenbereich des MikroControllers eine höhere Flexibilität, wie zum
Beispiel hinsichtlich einzuhaltender Toleranzbereich bzw. Toleranzbänder für die zu überwachenden Versorgungsspannungen, um eine geeignete Balance bzw. Ausgeglichenheit zwischen Überwachungssicherheit und Verfügbarkeit des Gesamtsystems der Fahrzeug-Steuereinheit weitgehend sicherstellen zu können.
Die Erfindung betrifft auch ein Verfahren zur Überwachung mehrerer analoger Versorgungsspannungen, die an den MikroController einer Fahrzeug-Steuereinheit angelegt sind, wobei der MikroController mit Hilfe einer zugeordneten Überwachungseinheit funktionsüberwacht wird, welches dadurch gekennzeichnet ist, dass mittels eines A/D-Wandlers des MikroControllers die Vielzahl von analogen, zu überwachenden Versorgungsspannungen in digitalisierte Versorgungsspannungen umgewandelt wird, und dass diese digitalisierten Versorgungsspannungen in einem rechentechnisch abgesicherten Rechenbereich des MikroControllers dahingehend überwacht werden, ob sie innerhalb vorgegebener Toleranzbereiche liegen.
Sonstige Weiterbildungen der Erfindung sind in den Unteransprüchen wiedergegeben.
Die Erfindung und ihre vorteilhaften Weiterbildungen werden nachfolgend anhand von Zeichnungen näher erläutert.
Es zeigen: Figur 1 in schematischer Darstellung ein
Ausführungsbeispiel einer erfindungsgemäßen Fahrzeug-Steuereinheit, und
Figur 2 in schematischer Darstellung als Einzelheit der Steuereinheit von Figur 1 die spannungsmäßige Verschaltung zwischen deren MikroController und einer zugeordneten Hardware-Überwachungseinheit.
Elemente mit gleicher Funktion und Wirkungsweise sind in den Figuren 1 und 2 jeweils mit denselben Bezugszeichen versehen.
Die Figur 1 zeigt in schematischer Darstellung den Aufbau und die Funktionsweise einer beispielhaften Fahrzeug- Steuereinheit CD mit einem MikroController MC, dessen mehrere von analogen Versorgungsspannungen VCCI mit VCCn nach dem erfindungsgemäßen Überwachungskonzept auf Stabilität „gemonitort" bzw. überwacht, d.h. dahingehend überprüft werden, ob sie spezifisch vorgegebene Spannungswerte innerhalb akzeptabler, d.h. vordefinierter Toleranzbänder einhalten. Die Fahrzeug-Steuereinheit ist insbesondere durch ein Motorsteuergerät für einen Verbrennungsmotor gebildet. Zur Funktionskontrolle ist der MikroController MC über ein
Bussystem BU mit einer einzelnen Hardware-Überwachungseinheit MU gekoppelt. Der MikroController MC weist eingangsseitig einen Analog-/Digital (abgekürzt A/D) -Wandler ADCl auf. Mit dessen Hilfe lässt sich der Pegelverlauf mindestens eines auszuwertenden, analogen Messsignals MSl in zugehörige
Digitalwerte DS umsetzen bzw. umwandeln. Das Messsignal MSl wird vorzugsweise von mindestens einer Fahrzeugkomponente, wie z.B. dem Gaspedal eines Kraftfahrzeugs, erzeugt und an den Analog-/Digital-Wandler ADCl des MikroControllers MC geliefert. Vom Analog-/Digital-Wandler ADCl werden die erzeugten Digitalwerte DS an ein nachgeordnetes Register RE zur Zwischenspeicherung ausgegeben. Vom Register bzw. Zwischenspeicher RE werden die dort zwischengepufferten Digitalwerte an ein Ein-/ Ausgabe-Interface (I/O-Interface) IF weitergeleitet. Sie sind in der Figur 1 mit DS* bezeichnet. Das I/O- Interface dient als Schnittstelle zwischen den peripheren Komponenten und dem Funktionsrechner ST des MikroControllers MC, wo dessen Betriebs- und
Verarbeitungssoftware implementiert ist. Der Funktionsrechner ST weist zur Rechnerüberwachung eine sogenannte L3-Ebene bzw. L3-Schicht LL3 auf. Unter Rechnerüberwachung wird dabei das korrekte Zusammenwirken von Soft- und Hardwarestrukturen des MikroControllers MC verstanden, deren Topologie die Erkennung von fehlerhaften Operationen des Funktionsrechners (Rechnerkern, betroffene Bereiche im RAM/ROM) ermöglicht. Im Funktionsrechner erfolgt zweckmäßigerweise generell die Überwachung der Speicherbausteine RAM/ROM mindestens einmal pro Fahrzyklus vor Motorstart (Initialisierung oder vorangegangener Nachlauf) . Insbesondere wird bei entdeckten Fehlern der Motorstart in jedem Fall in der Initialisierung erneut durchgeführt. Der Motorstart (falls softwaregesteuert) bzw. die Verbrennung im jeweiligen Zylinder des Motors erfolgt vorzugsweise erst nach Abschluss der Überprüfung im fehlerfreien Zustand. Die L3-Schicht LL3 umfasst insbesondere zwei Grundelemente. Ein erstes Grundelement ist durch eine Überwachungssoftware E3 im Funktionsrechner ST gebildet. Diese kommuniziert über eine Schnittstelle SE3 mit einer vom MikroController MC physikalisch unabhängigen
Überwachungseinheit MU als zweites Grundelement. Die Überwachungseinheit bzw. das Überwachungsmodul MU ist vorzugsweise durch eine separate Hardwareeinheit realisiert. Sie dient der Funktionsüberwachung des Funktionsrechners ST des MikroControllers MC. Insbesondere ist das
Überwachungsmodul MU als Überwachungsrechner ausgebildet. Es stellt der Überwachungssoftware E3 im Funktionsrechner ST des MikroControllers MC vorzugsweise zyklisch eine Frage aus einer Menge von diversitären Fragen, überwacht den Empfang eines zyklischen Prüfergebnisses, das vom Funktionsrechner ST aufgrund der jeweils übermittelten Frage errechnet wird, bewertet dieses Prüfergebnis und leitet im Fehlerfall eine Fehlerreaktion des Funktionsrechners ST ein. Das Überwachungsmodul MU kann vorzugsweise als ASIC oder Rechner ausgeführt sein. Das Überwachungsmodul MU fungiert als sogenannter "watch dog" zur Funktionskontrolle bzw. dem Monitoring der rechentechnischen Abläufe des Funktionsrechners ST. Seine Rechen-/Logikeinheit, die dieses Monitoring der Rechenfunktionen des Funktionsrechners ST durchführt, ist in der Figur 1 durch eine Block CFU gekennzeichnet. Im Einzelnen werden von dieser Rechen- /Logikeinheit CFU eine SPI-Kommunikation, d.h. "Serial Peripheral Interface-Kommunikation" zur L3-Schicht LL3 im
Funktionsrechner ST bereitgestellt, für die Datenübertragung über die Schnittstelle SE3 eine Checksum ( "CKS") -Überprüfung, eine sogenannte Headerkontrolle, eine Timer-Out-Kontrolle, ein "Program Flow Monitoring", d.h. eine Programmablaufkontrolle, eine Logiküberwachung, ein funktionsspezifischer Befehlssatztest ("FS-IST" = „function specific instruction set test") durchgeführt. Allgemein ausgedrückt wird also eine zeitbasierte und auch inhaltliche Überwachung der Rechenprozesse des Funktionsrechners ST mit Hilfe der Logikeinheit CFU des Überwachungsmoduls MU durchgeführt. Das Zusammenwirken zwischen dem unabhängigen Überwachungsmodul MU und der Überwachungssoftware E3 in der L3-Ebene LL3 des Funktionsrechners ST wird als sogenannte Frage-Antwort-Kommunikation bezeichnet. Dabei werden insbesondere mehrere Testpfade im Funktionsrechner abgearbeitet. Jeder Testpfad liefert ein exakt definiertes frageabhängiges numerisches Teilergebnis. Die Verknüpfung der Teilergebnisse führt zu einem numerischen Gesamtergebnis (Prüfergebnis) , welches per Kommunikationsschnittstelle bzw. Interface SE3 an das Überwachungsmodul MU übertragen wird. Die Überwachungssoftware E3 im Funktionsrechner ST signalisiert der Logikeinheit CFU im Überwachungsmodul MU durch richtige Antworten den rechentechnisch fehlerfreien Betrieb .
Durch diese Überwachungssoftware E3 in der L3-Schicht LL3 des Funktionsrechners ST kann dort ein rechentechnisch abgesicherter Rechenbereich LL2 bereitgestellt werden. In diesem rechentechnisch abgesicherten Bereich LL2 des Funktionsrechners ST können insbesondere sicherheitsrelevante Funktionalitäten berechnet werden.
Der abgesicherte Rechenbereich LL2 sowie die
Rechnerüberwachungsebene LL3 sind vorzugsweise durch eine sogenannte L2-Schicht sowie L3-Schicht gemäß standardisiertem E-Gas-Überwachungskonzept von Otto- und Dieselmotoren gebildet .
Um nun die mehreren analogen Versorgungsspannungen VCCI mit VCCn des MikroControllers MC ohne weitere Hardware- Überwachungsmodule bzw. "watch dogs", d.h. lediglich mit der sowieso schon vorhandenen Überwachungseinheit MU, die der rechentechnischen Funktionskontrolle des Funktionsrechners ST dient, auf Stabilität bezüglich zugeordneter, einzuhaltender Spannungswerte überwachen zu können, werden die analogen Versorgungsspannungen VCCI mit VCCn an den mindestens einen Eingangsport des Analog-/Digital-Wandlers ADCl des MikroControllers MC angelegt und in digitale
Versorgungsspannungen umgewandelt. Die digitalisierten Versorgungsspannungen werden danach im abgesicherten Rechenbereich LL2 des Funktionsrechners ST ausgewertet und dahingehend überwacht, ob sie vorgegebenen digitalen Spannungswerten innerhalb vordefinierter Toleranzbänder entsprechen. Dadurch, dass in einem rechentechnisch abgesicherten Bereich des Funktionsrechners des MikroControllers die mehreren analog-/digitalgewandelten Versorgungsspannungen des MikroControllers mittels ein oder mehrerer Schwellwertvergleichs-Prozeduren dahingehend überwacht werden, ob sie gewünschte digitale Spannungswerte ohne unzulässige Abweichungen einhalten, ist eine Kontrolle bzw. ein Monitoring der mehreren analogen Versorgungsspannungen ohne zusätzliche Hardware- Überwachungseinheiten mit ausreichender Diagnosesicherheit individuell, d.h. spezifisch ermöglicht. Trotz des Fehlens eigener Hardware-Monitoreinheiten zur Spannungsüberwachung der mehreren analogen Versorgungsspannungen des MikroControllers erlaubt das softwaremäßige Monitoring der Versorgungsspannungen nach deren A/D-Wandlung, d.h. Digitalisierung, verlässliche Informationen darüber, wie stabil bzw. robust die analogen Versorgungsspannungen des MikroControllers tatsächlich eingehalten werden. Insbesondere trägt die Überwachung dieser digitalisierten Versorgungsspannungen in dem rechentechnisch abgesicherten Bereich LL2 des Funktionsrechners ST dazu bei, dass Auswertefehler der digitalisierten gemessenen Versorgungsspannungen weitgehend vermieden sind. Diese Diagnosesicherheit ist insbesondere bei Fahrzeug- Steuereinheiten wie z.B. Motorsteuerungen, Getriebesteuerungen oder sonstigen sicherheitsrelevanten Steuergeräten wie z.B. im Chassisbereich vorteilhaft, bei denen eine hohe Verfügbarkeit gefordert ist, d.h. ein Ausfall während des Fahrbetriebs inakzeptabel bzw. unzulässig ist. Verglichen mit reinen Hardware- bzw. "watch dog"-Lösungen erlaubt diese „softwaremäßige" Überwachung der digitalisierten Versorgungsspannungen in einem abgesicherten Rechenbereich des MikroControllers eine höhere Flexibilität, wie z.B. hinsichtlich einzuhaltender Toleranzbereiche bzw. Toleranzbänder für die zu überwachenden Versorgungsspannungen, um eine geeignete Balance bzw. Ausgeglichenheit zwischen Überwachungssicherheit und Verfügbarkeit des Gesamtsystems der Fahrzeug-Steuereinheit weitgehend sicherstellen zu können.
Hier im Ausführungsbeispiel von Figur 1 sind drei Versorgungsspannungen VCCi mit i = 1, 2, 3 an den mindestens einen Eingang des Analog-/Digital-Wandlers ADCl des
MikroControllers MC gelegt. Im Einzelnen ist dies die Versorgungsspannung VCCI = 3,3 V, die Versorgungsspannung VCC2 = 1,5 V sowie die Versorgungsspannung VCC3 = 1,5 V.
Der Analog-/Digital-Wandler ADCl des MikroControllers MC ist mit einer Referenzspannung RVl beaufschlagt, durch die der Abstand zwischen zwei ausgegebenen Digitalwerten festgelegt wird. Bei einer Referenzspannung von z.B. 2,5 V beträgt bei einem 8 Bit-A/D-Wandler der Abstand zwischen zwei aufeinanderfolgenden digitalen Codewörtern also 2,5 V/ 256 = 0,01 V. Durch die Referenzspannung eines Analog- /Digitalwandlers wird die Schritthöhe und damit die Skalierung des Wertebereichs seiner darstellbaren Codewörter (=Digitalwerte) festgelegt. Hier im Ausführungsbeispiel kann der Analog-/Digital-Wandler ADCl sowohl mit einer Referenzspannung RVl = 2,5 V als auch mit einer Referenzspannung RVl* = 3,3 V referenziert werden. Allgemein ausgedrückt kann der Analog-/Digital-Wandler ADCl des MikroControllers MC mit mindestens zwei verschiedenen Referenzspannungen RVl betrieben werden. Es kann also die Analog-/Digital-Wandlung des A/D-Wandlers ADCl auf mindestens zwei verschiedene Referenzspannungswerte bezogen sein. Ein erster Referenzspannungswert, wie hier z.B. RVl = 2,5 V für den A/D-Wandler ADCl wird vorzugsweise direkt oder indirekt mittels einer spezifisch zugeordneten Hardware-Monitoreinheit hardwaremäßig überwacht. Diese Hardware-Monitoreinheit ist hier im Ausführungsbeispiel von Figur 1 durch eine Kontrolleinheit MOV gebildet, die der Spannungsüberwachung der Versorgungsspannung VCM der Hardware- Überwachungseinheit MU dient. Diese Einzelheit ist in der Figur 2 vergrößert sowie schematisch dargestellt. Die mittels der spezifischen Hardware-Monitoreinheit MOV hardwaremäßig überwachte Versorgungsspannung VCM der Überwachungseinheit MU stellt über mindestens einen Spannungsteiler VD dem A/D-Wandler ADCl des MikroControllers einen gewünschten, ersten Referenzspannungswert, hier RVl = 2,5 V, bereit. Auf diese Weise ist dieser erste Referenzspannungswert des A/D-Wandlers ADCl indirekt auch hardwaremäßig spannungsüberwacht . Es kann sichergestellt werden, dass die am A/D-Wandler ADCl angelegte Referenzspannung RVl diesen Spannungswert von 2,5 V sicher innerhalb vordefinierter Toleranzbereiche einhält. Bezogen auf diesen hardwaremäßig abgesicherten Referenzspannungswert kann dann auch in zuverlässiger Weise im rechentechnisch abgesicherten Bereich LL2 des Funktionsrechners ST überprüft werden, ob die Digitalwerte DS, die der A/D-Wandler ADCl bezogen auf diese abgesicherte Referenzspannung RVl = 2,5 V für die eingangsseitig zur Stabilitätskontrolle angelegten, analogen Versorgungsspannungen VCCI mit VCCn, wie hier z.B. VCC1=3,3 V sowie VCC2 = 1,5 V, ausgibt, innerhalb vorgegebener Toleranzbereiche TBl, TB2 liegen. In der Figur 1 ist die Kombination von jeweilig angelegter, analoger
Versorgungsspannung VCCi und jeweilig am A/D-Wandler ADCl anliegender Referenzspannung RVl durch ein @-Zeichen symbolisiert. In der rechentechnisch abgesicherten Schicht LL2 des Funktionsrechners ST werden die Digitalwerte DS der Vielzahl von Versorgungsspannungen VCCi wie hier VCCI, VCC2 dahingehend überwacht, ob sie innerhalb vorgegebener Toleranzbereiche - wie hier TBl, TB2 - für die beiden zu kontrollierenden Versorgungsspannungen VCCI, VCC2 liegen. Dies ist in der Figur 1 durch ein ε-Symbol im Block BL symbolisiert.
Wird der A/D-Wandler ADCl mit einem zweiten
Referenzspannungswert RVl* = 3,3 V referenziert, so kann ohne weitere Hardware-Absicherung dieser Referenzspannungswert auf Stabilität überprüft werden, indem dieselbe analoge
Versorgungsspannung wie z.B. VCC2 = 1,5 V an den A/D-Wandler ADCl in Bezug auf den ersten Referenzspannungswert RVl = 2,5 V sowie auf den zweiten Referenzspannungswert RVl* = 3,3 V angelegt wird und die sich dabei ergebenden Digitalwerte im rechentechnisch abgesicherten Bereich LL2 des
Funktionsrechners ST miteinander verglichen, d.h. in Relation zueinander gesetzt werden. Wenn sich die beiden Digitalwerte für dieselbe Versorgungsspannung, wie z. B. VCC2 = 1,5 V, die auf die beiden unterschiedlichen Referenzspannungswerte RVl = 2,5 V sowie RVl* = 3,3 V im selben Verhältnis zueinander stehen, wie die beiden verschiedenen Referenzspannungswerte RVl = 2,5 V sowie RVl* = 3,3 V zueinander, so ergibt die Überprüfung in der LL2-Schicht des Funktionsrechners ST, dass der A/D-Wandler ADCl auch für die unabgesicherte zweite Referenzspannung RVl* = 3,3 V korrekt, d.h. genau arbeitet. Es wird also in der LL2-Schicht kontrolliert bzw. plausibilisiert, ob sich dieselbe Beziehung zwischen den Digitalwerten, die der A/D-Wandler ADCl für dieselbe angelegte Versorgungsspannung wie hier z.B. VCC2=1,5V bei den beiden verschiedenen Referenzspannungen RVl = 2,5 V sowie RVl = 3,3 V erzeugt, wie zwischen den angelegten
Referenzspannungen RVl = 2,5 V sowie RVl* = 3,3 V einstellt. Damit ist in einfacher Weise eine zuverlässige
Genauigkeitsprüfung auch der zweiten, ungesicherten Referenzspannung RVl = 3,3 V des A/D-Wandlers ADCl durch eine Vergleichsoperation innerhalb der LL2-Schicht des Funktionsrechners ST ermöglicht. Die in der LL2-Schicht insgesamt durchgeführten Spannungsüberprüfungen sind in der Figur 1 im Block BL für das vorliegende Ausführungsbeispiel visualisiert .
Zur Funktionsüberprüfung des Gesamtwertebereichs des A/D- Wandlers ADCl des MikroControllers MC wird in der LL2-Schicht des Funktionsrechners ST zweckmäßigerweise eine weitere Vergleichsoperation durchgeführt. Dazu wird zum einen ein sich dynamisch veränderndes Referenzsignal RS an den Eingang des ersten A/D-Wandlers ADCl des MikroControllers MC angelegt und dieser mit seiner hardwaremäßig abgesicherten
Referenzspannung RVl = 2,5 V beaufschlagt. Zum anderen wird ein redundant zum ersten A/D-Wandler ADCl vorhandener, zweiter Analog-/Digital-Wandler mit demselben, sich dynamisch verändernden Referenzsignal RS beaufschlagt. Dieser zweite Analog-/Digitalwandler ist insbesondere durch den Analog- /Digitalwandler ADC2 der Überwachungseinheit MU gebildet. Dieser redundante A/D-Wandler ADC2 ist mit einer ungesicherten Referenzspannung RV2 =3,3 V beaufschlagt ist. Dem abgesicherten Rechenbereich LL2 des Funktionsrechners ST sind somit Digitalwerte des Referenzsignals bzw.
Probensignals RS vom mit der abgesicherten Referenzspannung RVl betriebenen A/D-Wandler ADCl des MikroControllers MC und Digitalwerte des Referenzsignals RS vom mit der ungesicherten Referenzspannung RV2 betriebenen A/D-Wandler ADC2 der Überwachungseinheit MU zum Quervergleich bereitgestellt. Wenn die Digitalwerte für ein- und dasselbe Referenzsignal bzw. Probensignal RS, die vom A/D-Wandler ADCl, der mit der abgesicherten Referenzspannung RVl referenziert ist, und vom zweiten A/D-Wandler ADC2, der mit der ungesicherten Referenzspannung RV2 referenziert ist, erzeugt werden, innerhalb vorgebbarer Toleranzgrenzen im selben Verhältnis wie die Referenzspannungswerte RVl, RV2 zueinander stehen, dann ergibt die Überprüfung in der LL2-Schicht des Funktionsrechners ST, dass der A/D-Wandler ADCl des MikroControllers MC nicht nur punktuell sondern über seinen gesamten Dynamikbereich einwandfrei funktioniert. Dafür genügt also der vorstehend angegebene einfache, quervergleichende Plausibilitätstest . Andernfalls liegt eine Fehlfunktion des A/D Wandlers ADCl des MikroControllers MC vor .
Zusammenfassend betrachtet wird zur Überwachung der Stabilität mehrerer Versorgungsspannungen, die an einen MikroController angelegt sind, ein rechentechnisch abgesicherter Funktionsbereich des Funktionsrechners des MikroControllers bereitgestellt und genutzt, indem durch Analog/Digital-Wandlung erzeugte Digitalwerte der analogen Versorgungsspannungen dahingehend überprüft werden, ob sie innerhalb spezifisch zugeordneter, zulässiger Toleranzbänder liegen. Um diesen rechentechnisch abgesicherten Funktionsbereich im MikroController zu erzeugen, sind insbesondere folgende Komponenten zweckmäßig: - ein „gemonitorter" bzw. referenzspannungsüberwachter A/D-Wandler, um die hinsichtlich ihrer Stabilität zu überwachenden, analogen Versorgungsspannungen in Digitalwerte umzuwandeln, die von der Ablauflogik im Funktionsrechner des MikroControllers verarbeitet werden können; insbesondere kann dabei die Ablauflogik durch Software implementiert sein. eine „gemonitorte", d.h. hardwaremäßig spannungsüberwachte Referenzspannung für die A/D-Wandlung des A/D-Wandlers und des MikroControllers, um durch eine fehlerhafte Bezugsgröße Fehlereinträge von Außen auf die A/D- Wandlung zu vermeiden; rechentechnisch abgesicherte Berechnungen im Funktionsrechner des MikroControllers; diese rechentechnischen Absicherungen können insbesondere funktionsspezifische Befehlssatztests, eine Ablaufüberwachung, und/ oder zyklische RAM/ ROM-Tests umfassen; mindestens eine Auslöse- bzw. Triggereinheit, um einen „Reset" des MikroControllers zu ermöglichen; damit kann der MikroController in einen sicheren Zustand gebracht werden und sich von Fehlern erholen, wenn die analogen Versorgungsspannungen des MikroControllers außerhalb der ihnen spezifisch zugeordneten, vorgegebenen Toleranzbereiche bzw. Toleranzbänder wie z. B. TBl, TB2 gelegen sind und deshalb ein einwandfreier Betrieb des MikroControllers nicht möglich gewesen ist.
In der rechentechnisch abgesicherten Umgebung des Funktionsrechners ST werden vorzugsweise folgende Abläufe implementiert, die: die digitalisierten Versorgungsspannungen lesen; Schwellwertvergleiche durchführen, um zu Überprüfen, ob der Digitalwert der jeweilig zu überwachenden Versorgungsspannung innerhalb eines vorgegebenen oder berechneten Toleranzbereichs liegt, innerhalb dem jeweils die jeweilige Versorgungsspannung als weitgehend stabil betrachtet wird; nach Spannungsentprellung („potential debouncing") werden ggf. entsprechende Fehlerreaktionen getriggert, wenn eine Abweichung für die jeweilig zu überwachende Versorgungsspannung von einem vorgegebenen Toleranzbereich entdeckt bzw. registriert wird, d.h. wenn ein spezifisch zugeordneter oberer oder unterer Schwellwert nach oben oder unten überschritten wird; wenn mehr als eine Versorgungsspannung zu überwachen ist, kann es zweckmäßig sein, den Analog-/Digital-Wandler des MikroControllers mit verschiedenen Referenzspannungen zu referenzieren; wegen der dadurch verbesserten Skalierbarkeit des Wertebereichs des A/D-Wandlers kann die
Detektionsfähigkeit des A/D-Wandlers, d.h. dessen Genauigkeit erhöht werden. Auf diese Weise können mehrere Versorgungsspannungen des MikroControllers lediglich mit einer einzigen Hardware abgesicherten Referenzspannung auf Stabilität überwacht werden, ohne dass es erforderlich ist, für jede zu überwachende Versorgungsspannung des MikroControllers eigens eine eigene Hardware-Monitoring-Einheit vorzusehen. Abweichungen der zu überwachenden, analogen
Versorgungsspannungen können durch Auswertung der zugehörigen Digitalwerte in einem rechentechnisch abgesicherten Funktionsbereich des Funktionsrechners des MikroControllers detektiert werden, indem die Digitalwerte dahingehend kontrolliert werden, ob sie innerhalb vorgegebener, spezifisch zugeordneter Toleranzbereiche liegen.
Fehlberechnungen des MikroControllers, die zu unentdeckten Fehlern bei den Schwellwertvergleichen für die Digitalwerte der hinsichtlich ihrer Langzeitstabilität zu überwachenden Versorgungsspannungen führen könnten, werden mit Hilfe der Komponenten der L3-Schicht LL3 detektiert. ROM oder RAM - Fehler werden vorzugsweise zyklisch detektiert. „Aliveness", d.h. Lebendigkeit und periodische Wiederkehr der Vergleichsfunktionen werden geprüft durch Monitoring des Programmablaufs. Die Befehlsverarbeitung im Funktionsrechner wird geprüft durch einen oder mehrere funktionsspezifische Befehlssatztests. So können beispielsweise Codekopien als
Testrechnungen benutzt werden oder tatsächliche Berechnungen auf Assembler-Ebene durchgeführt werden. Fehler in der Signalbereitstellung durch den A/D-Wandler können durch Überwachung des A/D-Wandlers detektiert werden.
Dieses Überwachungskonzept für mehrere Versorgungsspannungen eines MikroControllers hat insbesondere folgende Vorteile:
Es kann in bestehende Monitoring-Konzepte, wie z.B. in das standardisierte E-Gas-Überwachungskonzept von Otto- und Dieselmotoren, eingebettet werden.
Zusätzlicher Hardware-Aufwand durch spezifische Hardware-Monitoring-Einheiten für jede zu überwachende analoge Versorgungsspannung des MikroControllers ist nicht erforderlich. Dies spart Entwicklungsarbeit und Produktionskosten.
Trotz des Fehlens eigener externer Hardware-Monitor- Einheiten zur Spannungsüberwachung der mehreren analogen Versorgungsspannungen des MikroControllers erlaubt das „softwaremäßige Monitoring" der Versorgungsspannungen nach deren A/D-Wandlung im rechentechnisch abgesicherten Bereich des Funktionsrechners verlässliche Informationen darüber, wie stabil bzw. robust die analogen Versorgungsspannungen des
MikroControllers tatsächlich eingehalten werden. Dazu trägt insbesondere die Überwachung dieser digitalisierten Versorgungsspannungen im rechentechnisch abgesicherten Bereich des MikroControllers bei, so dass Auswertefehler der digitalisierten gemessenen Versorgungsspannungen weitgehend vermieden sind. Diese Diagnosesicherheit ist insbesondere vorteilhaft bei Fahrzeug-Steuereinheiten wie z. B. Motorsteuerungen, Getriebesteuerungen oder sonstigen sicherheitsrelevanten Steuergeräten wie z.B. im Chassisbereich, bei denen eine hohe Verfügbarkeit gefordert ist, d.h. ein Ausfall während des Fahrbetriebs nicht tolerabel bzw. unzulässig ist. Allgemein ausgedrückt ist also bei einer Vielzahl praktischer Gegebenheiten eine ausreichende Gesamtverlässlichkeit der Fahrzeug-Steuereinheit weitgehend sichergestellt.
Verglichen mit reinen Hardware-"Watchdog"-Lösungen erlaubt diese „softwaremäßige Überwachung" der digitalisierten Versorgungsspannungen in einem abgesicherten Rechenbereich des MikroControllers eine höhere Flexibilität, wie z.B. hinsichtlich einzuhaltender Toleranzbereiche bzw. Toleranzbänder für die zu überwachenden Versorgungsspannungen, um eine geeignete Balance bzw. Ausgeglichenheit zwischen Überwachungssicherheit und Verfügbarkeit des Gesamtsystems der Fahrzeug-Steuereinheit weitgehend sicherstellen zu können. Insbesondere kann das vorstehend erläuterte
Überwachungskonzept innerhalb des VDA-empfohlenen 3-Ebenen- ETC-Monitoring-Konzepts implementiert werden, ohne dass ein zusätzlicher Hardwareaufwand erforderlich wäre.
Im Fall, dass der MikroController MC mehrere Analog-/Digital- Wandler aufweist, werden zweckmäßigerweise alle zu überwachenden Eingangssignale demjenigen Analog-/Digital- Wandler zugeführt, dessen Referenzspannung hardwaremäßig spannungsüberwacht wird. Alternativ dazu kann ein
Quervergleich der von den verschiedenen Analog-/Digital- Wandlern ausgegebenen Digitalwerte für ein und dasselbe Probensignal durchgeführt werden, wobei ein einzelner spannungsabgesicherter A/D-Wandler als Referenz dient. Die ausgegebenen Digitalwerte für ein und dasselbe Probensignal durch die unterschiedlichen Analog-/Digital-Wandler stehen dann bei einwandfreier Funktionstüchtigkeit der A/D-Wandler im selben Verhältnis wie deren Referenzspannungen zueinander Ist dies nicht der Fall, so wird dadurch indiziert, dass einer der A/D-Wandler nicht funktionstüchtig ist oder nicht einwandfrei arbeitet.

Claims

Patentansprüche
1. Fahrzeug-Steuereinheit (CD) mit einem MikroController (MC) , an den mehrere analoge Versorgungsspannungen (VCCI mit VCCn) angelegt sind, und mit einer Überwachungseinheit (MU) zur Funktionsüberwachung des MikroControllers (MC) , d a d u r c h g e k e n n z e i c h n e t, dass der MikroController (MC) einen A/D-Wandler (ADCl) zur Umwandlung seiner Vielzahl von analogen Versorgungsspannungen (VCCI mit VCCn) in digitalisierte Versorgungsspannungen umfasst, und dass für die Überwachung dieser digitalisierten Versorgungsspannungen des MikroControllers (MC) ein rechentechnisch abgesicherter Rechenbereich (LL2) im MikroController (MC) vorgesehen ist, wo die Vielzahl von digitalisierten Versorgungsspannungen dahingehend überwacht sind, ob sie innerhalb vorgegebener Toleranzbereiche (TBl, TB2) liegen.
2. Fahrzeug-Steuereinheit nach Anspruch 1, d a d u r c h g e k e n n z e i c h n e t, dass der abgesicherte Rechenbereich (LL2) des MikroControllers (MC) eine L2-Schicht (L2) gemäß standardisiertem E-Gas-Überwachungskonzept von Otto- und Dieselmotoren ist.
3. Fahrzeug-Steuereinheit nach einem der vorhergehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t, dass lediglich für die Versorgungsspannung (VCM) der Überwachungseinheit (MU) eine spezifische, eigene Hardwaremonitoreinheit (MOV) zur Spannungsüberwachung vorgesehen ist.
4. Fahrzeug-Steuereinheit nach Anspruch 3, d a d u r c h g e k e n n z e i c h n e t, dass die mittels der spezifischen Hardwaremonitoreinheit (MOV) hardwaremäßig überwachte Versorgungsspannung (VCM) der Überwachungseinheit (MU) über mindestens einen Spannungsteiler (VD) dem A/D-Wandler (ADCl) des MikroControllers (MC) eine gewünschte Referenzspannung (RVl) bereitstellt .
5. Fahrzeug-Steuereinheit nach einem der vorhergehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t, dass zur Funktionsüberprüfung des Gesamtwertebereichs des A/D-Wandlers (ADCl) des MikroControllers (MC) die Überwachungseinheit (MU) einen redundanten A/D-Wandler (ADC2) aufweist, dessen Eingang mit demselben, sich dynamisch veränderten Referenzsignal (RS) einer Fahrzeugkomponente wie der Eingang des A/D-Wandlers (ADCl) des MikroControllers (MC) beaufschlagt ist, und dass dem abgesicherten Rechenbereich (LL2) des MikroControllers (MC) Digitalwerte des Referenzsignals (RS) vom mit der hardwaremäßig abgesicherten Referenzspannung (RVl) betriebenen A/D-Wandler (ADCl) des MikroControllers (MC) und Digitalwerte des Referenzsignals (RS) vom mit der hardwaremäßig unabgesicherten Referenzspannung (RV2) betriebenen A/D-Wandler (ADC2) der Überwachungseinheit (MU) zum Quervergleich bereitgestellt sind.
6. Fahrzeug-Steuereinheit nach einem der vorhergehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t, dass der A/D-Wandler (ADCl) des MikroControllers (MC) mehrere Referenzspannungen (RVl) zu seinem Betrieb zulässt.
7. Verfahren zur Überwachung mehrerer analoger Versorgungsspannungen (VCCI mit VCCn) , die an den MikroController (MC) einer Fahrzeug-Steuereinheit (CD) angelegt sind, wobei der MikroController (MC) mit Hilfe einer zugeordneten Überwachungseinheit (MU) funktionsüberwacht wird, insbesondere nach einem der vorhergehenden Ansprüche, d a d u r c h g e k e n n z e i c h n e t, dass mittels eines A/D-Wandlers (ADCl) des MikroControllers (MC) die Vielzahl von analogen, zu überwachenden Versorgungsspannungen (VCCI mit VCCn) in digitalisierte Versorgungsspannungen umgewandelt wird, und dass diese digitalisierten Versorgungsspannungen in einem rechentechnisch abgesicherten Rechenbereich (LL2) des MikroControllers (MC) dahingehend überwacht werden, ob sie innerhalb vorgegebener Toleranzbereiche (TBl, TB2) liegen.
PCT/EP2008/061475 2007-09-24 2008-09-01 Fahrzeug-steuereinheit mit einem versorgungspannungsüberwachten mikrocontroller sowie zugehöriges verfahren WO2009040216A2 (de)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP08803458.2A EP2203795B1 (de) 2007-09-24 2008-09-01 Fahrzeug-steuereinheit mit einem versorgungspannungsüberwachten mikrocontroller sowie zugehöriges verfahren
US12/679,701 US20100287398A1 (en) 2007-09-24 2008-09-01 Vehicle control unit having a microcontroller the supply voltage of which is monitored and associated method
JP2010526232A JP5295251B2 (ja) 2007-09-24 2008-09-01 給電電圧監視されるマイクロコントローラを有する車両制御ユニット、および関連の方法

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102007045509.9 2007-09-24
DE102007045509A DE102007045509B4 (de) 2007-09-24 2007-09-24 Fahrzeug-Steuereinheit mit einem Versorgungspannungsüberwachten Mikrocontroller sowie zugehöriges Verfahren

Publications (2)

Publication Number Publication Date
WO2009040216A2 true WO2009040216A2 (de) 2009-04-02
WO2009040216A3 WO2009040216A3 (de) 2009-08-20

Family

ID=40458603

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2008/061475 WO2009040216A2 (de) 2007-09-24 2008-09-01 Fahrzeug-steuereinheit mit einem versorgungspannungsüberwachten mikrocontroller sowie zugehöriges verfahren

Country Status (5)

Country Link
US (1) US20100287398A1 (de)
EP (1) EP2203795B1 (de)
JP (1) JP5295251B2 (de)
DE (1) DE102007045509B4 (de)
WO (1) WO2009040216A2 (de)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017067928A1 (de) * 2015-10-22 2017-04-27 Knorr-Bremse Systeme für Nutzfahrzeuge GmbH Schaltungsanordnung und verfahren zur überwachung eines mikrocontrollers auf der grundlage einer wächterspannung
WO2019243014A1 (de) * 2018-06-21 2019-12-26 Cpt Group Gmbh Schaltungsanordnung zur bereitstellung einer mehrzahl von versorgungsspannungen

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2011113405A1 (de) * 2010-03-15 2011-09-22 Schaeffler Technologies Gmbh & Co. Kg Steuergeräteanordnung
DE102011081147A1 (de) 2011-08-17 2013-02-21 Robert Bosch Gmbh Sensormodul zur Erfassung eines Betriebsparameters, Verfahren zur Überwachung eines Sensormoduls und Kombinationssignal
DE102017218336A1 (de) * 2017-10-13 2019-04-18 Continental Automotive Gmbh Schaltungsanordnung mit einem Mikroprozessor und einem Spannungserzeugungs-Schaltkreis

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE4422992C1 (de) * 1994-06-30 1995-06-29 Siemens Ag Verfahren zum Prüfen eines batteriebetriebenen, elektronischen Gerätes auf ausreichende Versorgungsspannung
US20020154016A1 (en) * 2001-04-23 2002-10-24 Ken Wang Computer system and method for preventing CPU burn-out
WO2003085834A1 (de) * 2002-04-08 2003-10-16 Robert Bosch Gmbh Verfahren und vorrichtung zur funktionsprüfung eines analog-digital-wandlers sowie analog-digital-wandler
WO2005003972A2 (de) * 2003-06-24 2005-01-13 Robert Bosch Gmbh Verfahren zu überprüfung der sicherheit und zuverlässigkeit softwarebasierter elektronischer systeme
WO2005109650A1 (en) * 2004-04-21 2005-11-17 Rosemount Inc. Analog-to-digital converter with range error detection

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE4241523A1 (de) * 1992-12-10 1994-06-16 Edag Eng & Design Ag Batterie-Überwachungsschaltung
JP2003023346A (ja) * 2001-07-10 2003-01-24 Nec Yamagata Ltd ノイズ対策方法及びこれを用いた半導体装置
JP2006031408A (ja) * 2004-07-16 2006-02-02 Renesas Technology Corp エミュレータおよび半導体集積回路装置
JP2007230452A (ja) * 2006-03-02 2007-09-13 Denso Corp 車両用制御システム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE4422992C1 (de) * 1994-06-30 1995-06-29 Siemens Ag Verfahren zum Prüfen eines batteriebetriebenen, elektronischen Gerätes auf ausreichende Versorgungsspannung
US20020154016A1 (en) * 2001-04-23 2002-10-24 Ken Wang Computer system and method for preventing CPU burn-out
WO2003085834A1 (de) * 2002-04-08 2003-10-16 Robert Bosch Gmbh Verfahren und vorrichtung zur funktionsprüfung eines analog-digital-wandlers sowie analog-digital-wandler
WO2005003972A2 (de) * 2003-06-24 2005-01-13 Robert Bosch Gmbh Verfahren zu überprüfung der sicherheit und zuverlässigkeit softwarebasierter elektronischer systeme
WO2005109650A1 (en) * 2004-04-21 2005-11-17 Rosemount Inc. Analog-to-digital converter with range error detection

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017067928A1 (de) * 2015-10-22 2017-04-27 Knorr-Bremse Systeme für Nutzfahrzeuge GmbH Schaltungsanordnung und verfahren zur überwachung eines mikrocontrollers auf der grundlage einer wächterspannung
US10915387B2 (en) 2015-10-22 2021-02-09 Knorr-Bremse Systeme Fuer Nutzfahrzeuge Gmbh Circuit assembly and method for monitoring a micro-controller based on a watchdog voltage
WO2019243014A1 (de) * 2018-06-21 2019-12-26 Cpt Group Gmbh Schaltungsanordnung zur bereitstellung einer mehrzahl von versorgungsspannungen
KR20210021559A (ko) * 2018-06-21 2021-02-26 비테스코 테크놀로지스 게엠베하 복수의 공급 전압을 제공하기 위한 회로 조립체
US11390228B2 (en) 2018-06-21 2022-07-19 Vitesco Technologies GmbH Circuit arrangement for providing a plurality of supply voltages
KR102457838B1 (ko) 2018-06-21 2022-10-21 비테스코 테크놀로지스 게엠베하 복수의 공급 전압을 제공하기 위한 회로 조립체

Also Published As

Publication number Publication date
DE102007045509A1 (de) 2009-04-23
DE102007045509B4 (de) 2011-06-22
WO2009040216A3 (de) 2009-08-20
EP2203795A2 (de) 2010-07-07
US20100287398A1 (en) 2010-11-11
EP2203795B1 (de) 2017-06-28
JP5295251B2 (ja) 2013-09-18
JP2010541056A (ja) 2010-12-24

Similar Documents

Publication Publication Date Title
DE10307342B4 (de) Vorrichtung und Verfahren zur modellbasierten On-Board-Diagnose
DE102007045398A1 (de) Integriertes Mikroprozessorsystem für sicherheitskritische Regelungen
EP2203795B1 (de) Fahrzeug-steuereinheit mit einem versorgungspannungsüberwachten mikrocontroller sowie zugehöriges verfahren
EP0104635A2 (de) Verfahren und Anordnung zum Prüfen eines digitalen Rechners
DE3336977A1 (de) Ausfallsicheres verfahren fuer einen fahrzeugcomputer
EP3073333A1 (de) Sicherheitsarchitektur für fehlersichere Systeme
WO2016005187A1 (de) Steueranordnung für sicherheitsrelevante aktoren
EP2237118B1 (de) Sicherheitssystem zur Sicherung einer fehlersicheren Steuerung elektrischer Anlagen und Sicherheitssteuerung damit
DE102007010264B4 (de) Verfahren zum Betreiben eines ersten und eines zweiten Steuergeräts und Geräteanordnung mit dem ersten und dem zweiten Steuergerät
EP2729857B1 (de) Dokumentation von fehlern in einem fehlerspeicher eines kraftfahrzeugs
DE102011007467A1 (de) Mehrkernige integrierte Mikroprozessorschaltung mit Prüfeinrichtung, Prüfverfahren und Verwendung
DE102017201621A1 (de) Integrierte Schaltung für ein Steuergerät eines Kraftfahrzeugs, Verfahren zur Herstellung einer integrierten Schaltung
DE102004033263B4 (de) Steuer-und Regeleinheit
EP1733284A2 (de) Ablaufsteuerung von funktionen auf miteinander wechselwirkenden geräten
DE102020209228A1 (de) Verfahren zum Überwachen wenigstens einer Recheneinheit
DE10220811B4 (de) Verfahren und Vorrichtung zur Überwachung der Funktionsweise eines Systems
DE10303654A1 (de) Integrierte Halbleiterschaltung mit eingebauter Selbsttestfunktion und zugehöriges System
WO2022002913A1 (de) Elektronische steuereinheit
EP1470469B1 (de) Verfahren zur berwachung der betriebsbereitschaft mindesten s eines einer elektronischen einheit zugeordneten speicherelements
WO1998038577A1 (de) Redundant aufgebautes elektronisches gerät mit zertifizierten und nicht zertifizierten kanälen
DE4100751A1 (de) Porterweiterungsanordnung
EP1246066A2 (de) Verfahren zum Betrieb eines von einem Prozessor gesteuerten Systems
DE10032216A1 (de) Sicherheitssystem in einem Kraftfahrzeug und Verfahren
DE102021204361A1 (de) Verfahren zur Eigendiagnose eines Fahrzeugsystems
DE102015003928A1 (de) Integrierte Schaltungsanordnung und Verfahren zur Prüfung der Sicherheitsintegrität und zur Gewährleistung der Verfügbarkeit von sicherheitsrelevanten Systemen

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 08803458

Country of ref document: EP

Kind code of ref document: A2

REEP Request for entry into the european phase

Ref document number: 2008803458

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2008803458

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2010526232

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 12679701

Country of ref document: US