-
Stand der Technik
-
Die Erfindung betrifft die Bereitstellung eines sicherheitsrelevanten Parameters. Insbesondere betrifft die Erfindung einen sicherheitsrelevanten Parameter an Bord eines Kraftfahrzeugs.
-
Stand der Technik
-
An Bord eines Kraftfahrzeugs sind ein erstes Steuergerät und ein zweites Steuergerät mittels eines Datenbusses miteinander verbunden. Das erste Steuergerät ist dazu eingerichtet, auf der Basis von Sensorwerten einen vorbestimmten Parameter zu bestimmen. Das zweite Steuergerät wertet den bereitgestellten Parameter aus und steuert eine sicherheitsrelevante Funktion des Kraftfahrzeugs. Beispielsweise kann der Parameter auf die Relativgeschwindigkeit zu einem Objekt im Umfeld des Kraftfahrzeugs hinweisen und das zweite Steuergerät kann dazu eingerichtet sein, in eine Längs- oder Quersteuerung des Kraftfahrzeugs einzugreifen, um eine Kollision mit dem Objekt zu verhindern.
-
Um eine Fehlfunktion des sicherheitsrelevanten zweiten Steuergeräts zu verhindern, muss die Bestimmungsgüte des Parameters durch das erste Steuergerät über einem vorbestimmten Niveau liegen. Kann dieses Niveau nicht erreicht werden, beispielsweise weil ein zur Bestimmung des Parameters erforderlicher Sensor eine Fehlfunktion aufweist, so kann der Parameter überhaupt nicht bereitgestellt werden oder es kann ein Hinweis darauf bereitgestellt werden, dass der Parameter möglicherweise ungültig ist. Bestimmt das zweite Steuergerät, dass der Parameter nicht mit ausreichender Bestimmungsgüte bestimmt wurde, so kann die sicherheitsrelevante Funktion üblicherweise nur noch vollständig abgeschaltet werden. Eine weitere Differenzierung ist in der Regel nicht möglich.
-
Der Erfindung liegt die Aufgabe zugrunde, eine verbesserte Technik zur Bereitstellung eines solchen Parameters anzugeben. Die Erfindung löst diese Aufgabe mittels der Gegenstände der unabhängigen Ansprüche. Unteransprüche geben bevorzugte Ausführungsformen wieder.
-
Offenbarung der Erfindung
-
Eine erste Komponente zur Verwendung an Bord eines Kraftfahrzeugs ist dazu eingerichtet, eine Informationsquelle abzutasten; einen Parameter auf der Basis der abgetasteten Information zu bestimmen; eine Bestimmungsgüte zu bestimmen; und den Parameter und die Bestimmungsgüte bereitzustellen, wobei die Bestimmungsgüte als ASIL-Stufe angegeben ist. Die erste Komponente kann auf diese Weise eine zweite Komponente, an die der Parameter gerichtet ist, unmittelbar in die Lage versetzen, eine Einschätzung der Bestimmungsgüte durchzuführen. Die zweite Komponente kann dadurch ihre eigene Funktionsweise auf die Bestimmungsgüte der ersten Komponente abstimmen. Die erste Komponente muss keine Informationen über einen Aufbau, eine Funktion oder eine Anforderung der zweiten Komponente an die Bestimmungsgüte haben. Das Prinzip der Funktionstrennung, das einer Funktionssicherheit an Bord des Kraftfahrzeugs dienen kann, kann so verbessert umgesetzt werden.
-
Eine zweite Komponente zur Verwendung an Bord eines Kraftfahrzeugs ist dazu eingerichtet, einen Parameter zu empfangen; eine Bestimmungsgüte des Parameters zu empfangen, wobei die Bestimmungsgüte als ASIL-Stufe angegeben ist; eine Funktion zu bestimmen, die den Parameter mit keiner höheren als der empfangenen Bestimmungsgüte erfordert; und die bestimmte Funktion auszuführen. Die zweite Komponente kann insbesondere mit der oben genannten ersten Komponente zusammenwirken.
-
Beide Komponenten können unabhängig voneinander als programmierbare Mikrocomputer ausgeführt und dazu eingerichtet sein, jeweils ein Verfahren durchzuführen, das als Computerprogrammprodukt vorliegen kann.
-
Ein System zur Steuerung eines Kraftfahrzeugs umfasst die oben beschriebene erste Komponente und die beschriebene zweite Komponente. Bevorzugt sind die beiden Komponenten mittels eines Kommunikationsbusses miteinander verbunden, um den Parameter und die Bestimmungsgüte zu übermitteln.
-
Ein erstes Verfahren umfasst Schritte des Abtastens wenigstens einer Informationsquelle, des Bestimmens eines Parameters auf der Basis der abgetasteten Information, des Bestimmens einer Bestimmungsgüte und des Bereitstellens des Parameters und der Bestimmungsgüte. Dabei ist die Bestimmungsgüte als ASIL-Stufe angegeben.
-
Das erste Verfahren kann auf der oben genannten ersten Komponente ablaufen und eignet sich insbesondere zur Anwendung an Bord eines Kraftfahrzeugs. Eine sicherheitsrelevante Funktion, die von dem bestimmten Parameter Gebrauch macht, erfordert eine Bestimmungsgüte des Parameters in einer vorbestimmten ASIL-Stufe. Durch die Normierung der Bestimmungsgüte auf ASIL-Stufen ist unabhängig von einem Hersteller oder einem Steuergerät, das die sicherheitsrelevante Funktion ausführt, eine übergreifende Verarbeitung der Bestimmungsgüte möglich. Spezielle Definitionen für Bedeutung und Inhalt der einzelnen Stufen der Bestimmungsgüte müssen nicht gegeben werden. Die ASIL-Stufen umfassen einen Wert „QM“, der für das Fehlen des Bezugs zu einer sicherheitsrelevanten Funktion steht. Verwendet eine Funktion, die keinen Sicherheitsbezug hat, den Parameter, so kann es daher ausreichen, den Parameter stets zu verwenden und die Bestimmungsgüte zu vernachlässigen. Eine einfache Funktionalität an Bord des Kraftfahrzeugs kann dadurch mit wenig Aufwand implementiert werden.
-
Es ist bevorzugt, dass die Bestimmungsgüte auf der Basis von Art und Anzahl der abgetasteten Informationsquellen bestimmt wird. Werden mehrere Informationsquellen abgetastet, so kann die ASIL-Stufe höher sein als wenn nur eine oder wenige Informationsquellen abgetastet werden. Einige Informationsquellen sind dazu eingerichtet, Informationen mit höherer Zuverlässigkeit und/oder Genauigkeit bereitzustellen. Wird eine solche Informationsquelle für die Bestimmung des Parameters verwendet, so kann die Bestimmungsgüte erhöht sein. Die Informationsquelle umfasst bevorzugt einen Sensor, kann in einer weiteren Ausführungsform jedoch auch eine andere Quelle umfassen, beispielsweise ein Steuergerät oder eine Empfangseinrichtung zur Kommunikation mit einem externen Gerät.
-
Es ist besonders bevorzugt, dass der Parameter die Bewegungsgeschwindigkeit eines Kraftfahrzeugs betrifft. Auf der Basis der Bewegungsgeschwindigkeit kann ein sicherheitsrelevantes System wie ein Fahrstabilisierungssystem, etwa ABS oder ESP, ein Pre-Crash-System oder ein automatisches Notrufsystem gesteuert werden. Durch die Angabe der Bestimmungsgüte der Bewegungsgeschwindigkeit als ASIL-Stufe können die genannten sicherheitsrelevanten Systeme oder Einrichtungen oder eine andere Funktionskomponente an Bord des Kraftfahrzeugs verbessert auch mit einer ungenau, unzuverlässig oder unscharf bestimmten Bewegungsgeschwindigkeit arbeiten.
-
In einer anderen Ausführungsform kann der Parameter auch eine bremsdynamische Größe betreffen. Diese Größe kann beispielsweise ein Bremsmoment, eine Bremskraft oder einen Bremsdruck in einem hydraulischen Bremssystem betreffen. Ein sicherheitsrelevantes System wie das oben angesprochene dynamische Stabilisierungssystem kann dadurch einen erweiterten Betrieb oder einen Notbetrieb realisieren.
-
In einer Variante werden der Parameter und die Bestimmungsgüte in separaten Nachrichten bereitgestellt. Dadurch können Funktionen, die nur den Parameter oder nur die Bestimmungsgüte auswerten, einfacher gehalten sein. Außerdem können beide Informationen unterschiedlich häufig oder dringlich übermittelt werden. In einer anderen Ausführungsform werden der Parameter und die Bestimmungsgüte in einer gemeinsamen Nachricht bereitgestellt. Vorteilhafterweise liegen dadurch stets beide Informationen gemeinsam vor.
-
Es ist bevorzugt, dass ein Wertebereich der bereitgestellten Bestimmungsgüte einen oder mehrere Werte für besondere Zustände umfasst. Ein solcher Zustand kann für „Fehler“ gegeben sein, beispielsweise wenn eine Bestimmung des Parameters aufgrund widersprüchlicher Informationen nicht möglich war. Ein anderer Wert kann „undefiniert“ umfassen und beispielsweise ausdrücken, dass eine Vorrichtung zur Durchführung des Verfahrens noch nicht bereit ist, den Parameter und/oder die Bestimmungsgüte anzugeben.
-
Ein zweites Verfahren, das insbesondere auf der oben genannten zweiten Komponente ablaufen kann, umfasst Schritte des Empfangens eines Parameters, des Empfangens einer Bestimmungsgüte des Parameters, wobei die Bestimmungsgüte als ASIL-Stufe angegeben ist, des Bestimmens einer Funktion, die den Parameter mit keiner höheren als der empfangenen Bestimmungsgüte erfordert, und des Ausführens der Funktion.
-
In einer bevorzugten Ausführungsform sind unterschiedliche Funktionen vorgesehen, denen unterschiedliche ASIL-Stufen zugeordnet sind, die aber ein gemeinsames Ziel verfolgen. So kann jeweils in Abhängigkeit der Bestimmungsgüte die wünschenswerteste Funktion oder eine Notfunktion ausgeführt werden. Es können auch mehrere Notfunktionen bereitgestellt sein, die jeweils einer ASIL-Stufe zugeordnet sind. Das gemeinsame Ziel der Funktionen kann beispielsweise eine Stabilisierung eines Fahrwerks des Kraftfahrzeugs sein. Bei einer hohen Bestimmungsgüte des Parameters, beispielsweise der Fahrzeuggeschwindigkeit, kann beispielsweise ein präziserer Eingriff einer Radbremse gesteuert werden als bei einer niedrigeren ASIL-Stufe, bei der das Kraftfahrzeug möglicherweise nicht mehr radindividuell abgebremst werden kann oder je nach Zweck unterschieden werden muss zwischen einer Verzögerungsfunktion und einer Stabilisierungsfunktion.
-
In einer anderen Ausführungsform wird die Funktion nicht ausgeführt, wenn sie eine Bestimmungsgüte erfordert, die über der empfangenen Bestimmungsgüte liegt.
-
Kurze Beschreibung der Figuren
-
Die Erfindung wird nun mit Bezug auf die beigefügten Figuren genauer beschrieben, in denen:
-
1. ein System an Bord eines Kraftfahrzeugs; und
-
2. ein Ablaufdiagramm eines Verfahrens zum Steuern des Kraftfahrzeugs von 1 darstellt.
-
1 zeigt ein System 100, insbesondere zum Einsatz an Bord eines Kraftfahrzeugs. Das System 100 umfasst eine erste Komponente 105, eine zweite Komponente 110 und optional eine dritte Komponente 115. Die erste Komponente 105 ist mit den Komponenten 110 und 115 mittels einer Kommunikationseinrichtung 120 verbunden, die bevorzugt einen Datenbus, beispielsweise den CAN-Bus, umfasst. Jede der Komponenten 105 bis 115 kann jeweils ein Steuergerät umfassen. Die Komponenten 105 bis 115 sind bevorzugt in Form von programmierbaren Mikrocomputern realisiert.
-
Die erste Komponente 105 ist mit einer oder mehreren Informationsquellen 125 verbunden. In beispielhafter Weise steht die dargestellte erste Komponente 105 in Verbindung mit einem Radsensor 125.1, einer optischen Kamera 125.2 und einem Beschleunigungs- oder Drehratenmessgerät 125.3. Es können auch mehrere, insbesondere baugleiche Sensoren 125 verwendet werden, die an unterschiedlichen Einbauorten angebracht sein können. Dabei wird angenommen, dass die erste Komponente 105 dazu eingerichtet ist, einen Parameter zu bestimmen, der auf eine Fahrgeschwindigkeit des Kraftfahrzeugs hinweist. Es können auch weitere oder andere Informationsquellen 125 verwendet werden. Die Fahrgeschwindigkeit des Kraftfahrzeugs kann auf der Basis jeder der Informationsquellen 125 bereits bestimmbar sein. Eine Zuverlässigkeit oder Genauigkeit des bestimmten Parameters kann erhöht werden, indem die Informationen der verschiedenen Informationsquellen 125 miteinander fusioniert bzw. gegeneinander plausibilisiert werden. Die erste Komponente 105 bestimmt, beispielsweise auf der Basis einer Art oder Anzahl der verwendeten Informationsquellen 125, zusätzlich zu dem Parameter auch eine Bestimmungsgüte, die darauf hinweist, wie gut der Parameter bestimmt werden konnte.
-
Es wird vorgeschlagen, dass die Bestimmungsgüte auf eine der bekannten ASIL-Stufen hinweist, die in ISO 26262 definiert sind. Nach dieser Norm entspricht die höchste erzielbare Güte der Stufe ASIL-D weniger gut bestimmte Parameter können in den Stufen ASIL-C, ASIL-B oder ASIL-A klassifiziert sein. Die niedrigste Stufe kann die Stufe ASIL-QM betreffen, bei der keinerlei sicherheitsrelevante Verwendung des Parameters vorgesehen ist.
-
Der bestimmte Parameter und die Bestimmungsgüte werden – gemeinsam oder in separaten Nachrichten – an die Komponenten 110 oder 115 übermittelt.
-
Die zweite Komponente 110 sei dazu eingerichtet, eine Funktion auf der Basis des durch die erste Komponente 105 bestimmten Parameters zu steuern. Die zu steuernde Funktion ist sicherheitsrelevant, indem eine Fehlsteuerung das Risiko eines Personen- oder Sachschadens bedingt. Insbesondere kann die Funktion dazu eingerichtet sein, in eine Längs- oder Quersteuerung des Kraftfahrzeugs einzugreifen. Bevorzugt ist zusätzlich zu einer Hauptfunktion, die in einem üblichen Fahrbetrieb des Kraftfahrzeugs ausgeführt werden soll und die eine erste, hohe ASIL-Stufe erfordert, noch wenigstens eine Ersatzfunktion vorgesehen, die eine Bestimmungsgüte des Parameters mit einer geringeren ASIL-Stufe erfordert. Kann der Parameter nicht mit der hohen ASIL-Stufe durch die erste Komponente 105 bestimmt werden, so kann die zweite Komponente 110 von der Ausführung der Hauptfunktion auf die Ausführung der Ersatzfunktion übergehen. Steigt die Bestimmungsgüte später wieder an, so kann von der Ersatzfunktion zurück auf die Hauptfunktion übergegangen werden.
-
Die dritte Komponente 115 sei dazu eingerichtet, eine weitere Funktion an Bord des Kraftfahrzeugs in Abhängigkeit des mittels der ersten Komponente 105 bestimmten Parameters auszuführen. Hierzu ist wieder eine Bestimmungsgüte des Parameters von einer vorbestimmten ASIL-Stufe erforderlich. Kann die erste Komponente 105 den Parameter nicht mit der geforderten ASIL-Stufe bereitstellen, so kann die dritte Komponente 115 ihre Funktion einstellen. Ist zu einem späteren Zeitpunkt der Parameter wieder mit der geforderten hohen Bestimmungsgüte verfügbar, so kann die dritte Komponente 115 ihre Funktion wieder aufnehmen.
-
2 zeigt ein Ablaufdiagramm eines Verfahrens 200 zum Steuern des Kraftfahrzeugs 100 aus 1. Die in einem oberen Bereich der Darstellung gezeigten Schritte können der ersten Komponente 105 und die im unteren Bereich dargestellten Schritte der zweiten Komponente 110 oder der dritten Komponente 115 zugeordnet werden. Das Verfahren 200 oder Teile davon können als Computerprogrammprodukt ausgeführt sein.
-
In einem ersten Schritt 205 werden eine oder mehrere Informationsquellen 125 abgetastet. Auf der Basis der abgetasteten Informationen wird in einem Schritt 210 ein Parameter bestimmt. Davor, danach oder nebenläufig dazu wird in einem Schritt 215 eine Güte der Bestimmung des Parameters bestimmt. Diese Güte wird in einem Schritt 220 als ASIL-Stufe ausgedrückt. Dabei gelten bevorzugt die Konventionen der ISO 26262. Der Parameter und die Bestimmungsgüte werden in einem Schritt 225 bereitgestellt oder übermittelt, beispielsweise auf der Kommunikationseinrichtung 120 von 1.
-
In einem Schritt 230 wird die Bestimmungsgüte ausgewertet. In einer Ausführungsform, die der oben mit Bezug auf die zweite Komponente 110 erläuterten Vorgehensweise entspricht, wird in einem Schritt 235 überprüft, ob die Bestimmungsgüte mindestens eine vorbestimmte ASIL-Stufe erreicht. Ist dies der Fall, so wird eine zugeordnete Funktion 240 ausgeführt.
-
Andernfalls wird überprüft, ob wenigstens eine andere, niedrigere ASIL-Stufe erreicht ist. Ist dies der Fall, so wird eine zugeordnete Funktion ausgeführt. Diese Schritte können so oft ausgeführt werden, wie es ASIL-Stufen gibt, denen jeweils eine Funktion im Rahmen des Verfahrens 200 zugeordnet ist. In der vorliegenden Ausführungsform wird die Bestimmungsgüte so oft überprüft, bis sie in einem Schritt 245 die Stufe ASIL-A erreicht hat, woraufhin in einem Schritt 250 eine zugeordnete zweite Funktion ausgeführt wird, oder hilfsweise wenigstens die Stufe ASIL-QM in einem Schritt 255, in diesem Fall wird eine erste Funktion im Schritt 260 ausgeführt. Andernfalls, wenn nicht einmal die unterste definierte ASIL-Stufe erreicht ist, kann eine Ersatzfunktion im Schritt 265 ausgeführt werden. Es ist zu beachten, dass die Anzahl der dargestellten Vergleiche maximal so groß sein kann wie der Wertebereich der ASIL-Stufen und dass nicht jede in ISO 26262 definierte ASIL-Stufe einem Vergleich zugeordnet sein muss.
-
Die Bestimmungsgüte wird üblicherweise numerisch übermittelt, wobei vorbestimmten Ziffern die vorbestimmten ASIL-Stufen zugeordnet sind. In einer Ausführungsform sind zusätzlich noch Ziffern für Sonderkonditionen vorgesehen. Diese können beispielsweise eine Ziffer für „Fehler“ oder „undefiniert“ umfassen. Eine Auswertung mittels Vergleich und Funktion kann erfolgen wie oben beschrieben ist. Die ausgeführte Funktion kann auch die leere Funktion sein. Außerdem ist es möglich, auch mehrere Funktionen parallel auszuführen, wenn die jeweils ihnen zugeordnete ASIL-Stufe durch die Bestimmungsgüte erreicht ist.
-
In einer anderen Ausführungsform, die der oben mit Bezug auf die dritte Komponente 115 beschriebenen Vorgehensweise entspricht, wird nur ein Vergleich durchgeführt und es gibt keine Ersatzfunktion, sodass nur entweder eine vorbestimmte Funktion ausgeführt wird oder gar keine Funktion.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Nicht-Patentliteratur
-
- ISO 26262 [0024]
- ISO 26262 [0029]
- ISO 26262 [0031]
