-
Die Erfindung betrifft eine Datenübertragungsstrecke mit einer Einrichtung zur Prüfung der Datenintegrität von der Senderseite zur Empfängerseite der Datenübertragungsstrecke übertragenen Daten, insbesondere in einem Kraftfahrzeug, und ein Verfahren zur Prüfung der Datenintegrität gemäß dem Oberbegriff des Anspruchs 6.
-
Stand der Technik
-
Datenübertragungsstrecken der gattungsgemäßen Art sind bekannt. Diese dienen dazu festzustellen, ob von einem Sender versandte Daten einen Empfänger in unveränderter Form erreicht haben. Dazu sind beispielsweise Prüfsummenverfahren bekannt, bei denen auf der Senderseite zu den zu übermittelnden Daten eine Prüfsumme ermittelt und an die zu übermittelnden Daten angehängt wird. Auf der Empfängerseite wird dann erneut die Prüfsumme der übermittelten Daten bestimmt und mit der angehängten übermittelten Prüfsumme verglichen. Ist diese Prüfung positiv, das heißt wird eine korrekte Übertragung der Daten vom Sender zum Empfänger festgestellt, so ist die Integrität der Daten gewährleistet, und die Daten können auf der Empfängerseite weiter verarbeitet werden. Führt die Überprüfung zu einem negativen Ergebnis, das heißt es wurde ein Veränderung der Daten auf der Sender-Empfänger-Strecke festgestellt, so wird eine Prozedur zur Behebung des Übermittlungsfehlers eingeleitet.
-
Insbesondere bei sicherheitsrelevanten und zeitkritischen Anwendungen, zum Beispiel bei der Ansteuerung der Bremsanlage eines Kraftfahrzeugs, muss die Prüfung der Datenintegrität hohen Anforderungen gerecht werden. Eine Bremsanforderung kann heute neben der manuellen Anforderung durch den Benutzer des Kraftfahrzeugs auch von Sicherheitsfunktionen, wie einem Antiblockiersystem, einem elektronischen Stabilitätsprogramm oder einem Bremsassistenten, oder von Komfortfunktionen, wie einer adaptiven Geschwindigkeitsregelung, ausgelöst werden. Dabei werden die Signale teilweise vom Fahrzeugkommunikationsbordnetz CAN (Controller Area Network) übertragen, wobei an das CAN auch weitere Steuergeräte, zum Beispiel für das Armaturenbrett, den Motor oder ein Diagnosesystem, angeschlossen sein können. Da ein unberechtigtes Auslösen einer Bremsanlage, insbesondere die Durchführung einer automatisierten Vollbremsung, eine große Gefahr für den Kraftfahrzeugbenutzer und andere Verkehrsteilnehmer darstellt, darf eine Bremse nur dann auslösen, wenn das Steuergerät des Bremssystems tatsächlich eine Bremsanforderung erzeugt hat. Unberechtigte Bremsanforderungen können zum Beispiel durch Fehler in an das CAN angeschlossenen Steuergeräten oder durch Störungen innerhalb des CAN hervorgerufen werden. Dabei kommt erschwerend hinzu, dass derartige Anwendungen zeitkritisch sind, das heißt, dass die Zeit zwischen der Bremsanforderung seitens des Steuergeräts des Bremssystems und der erforderlichen Bremsauslösung so gering ist, dass keine Zeit verbleibt, um die Gültigkeit der Bremsanforderung – sei es durch das Steuergerät, sei es durch die Bremse selber – zu verifizieren. Oft ist es dabei zeitlich lediglich möglich ein einziges Signal zur Auslösung zu übertragen. Es verbleibt keine Zeit ein fehlerhaftes Signal durch ein weiteres Signal zu korrigieren oder ein weiteres Signal zur Überprüfung abzuwarten. Daher kommt einem einzigen Signal eine große Bedeutung mit einem gewissermaßen irreversiblen Charakter zu.
-
Aus der
EP 0738973 A1 ist eine Einrichtung zur Prüfung der Datenintegrität von über eine Datenübertragungsstrecke übertragenen Daten bekannt. Dabei werden dort Daten dupliziert und die beiden identischen Datenblöcke über eine Datenübertragungsstrecke an eine Empfangseinrichtung übertragen. Die Empfangseinrichtung verfügt über einen Vergleicher der alle empfangenen Datenteile auf Übereinstimmung überprüft.
-
Aus der
US 5,499,247 ist ein Multiplex-Übertragungssystem bekannt, dass eine Vielzahl von Multiplexknoten umfasst. Diese sind durch eine gemeinsame Multiplex-Datenleitung verbunden.
-
Die
EP 0998160 A1 zeigt ein Verfahren und eine Vorrichtung zur Übertragung von Eisenbahninformationen, dabei ist vorgesehen, eine Information zusammen mit einem redundanten Code von einem Eisenbahnfahrzeug an einen Empfänger zu übertragen. Dem Empfänger liegt der redundante Code ebenfalls vor, so dass durch einen Vergleich der beiden redundanten Codes die Integrität der Datenübertragung gewährleistet werden kann.
-
Es ist die Aufgabe der vorliegenden Erfindung eine sichere Feststellung der Datenintegrität auch in zeitkritischen Anwendungen zu realisieren.
-
Vorteile der Erfindung
-
Die erfindungsgemäße Datenübertragungsstrecke mit den im Anspruch 1 genannten Merkmalen bietet demgegenüber den Vorteil, dass eine sichere Feststellung der Datenintegrität auch in zeitkritischen Anwendungen realisiert wird. Die Datenübertragungsstrecke ist dabei gekennzeichnet durch
- – eine erste, senderseitige und eine zweite, empfängerseitige Datenveränderungseinrichtung, die jeweils eine gleiche, die Veränderung von Eingabedaten in Ausgabedaten bewirkende Übertragungsfunktion haben und an die Datenübertragungsstrecke angeschlossen sind,
- – einen empfängerseitigen, die von der ersten Datenveränderungseinrichtung über die Datenübertragungsstrecke und der zweiten Datenveränderungseinrichtung zugeleiteten Ausgabedaten vergleichenden, bei Gleichheit der Ausgabedaten eine Freigabeeinrichtung aktivierenden Vergleicher, der mit der Datenübertragungsstrecke und der zweiten Datenveränderungseinrichtung verbunden ist,
- – die Übermittlung von senderseitig erzeugten Eingabedaten an die erste Datenveränderungseinrichtung und von gleichen Eingabedaten über die Datenübertragungsstrecke an die zweite Datenveränderungseinrichtung.
-
Für eine derartige Datenübertragungsstrecke ergibt sich folgende Funktionsweise. Zunächst werden auf der Senderseite der Datenübertragungsstrecke Eingabedaten erzeugt, mittels derer ein Ereignis auf der Empfängerseite bewirkt werden soll. Bei der Datenübertragungsstrecke kann es sich sowohl um eine kabelgebundene (zum Beispiel elektrisch oder optisch) als auch um eine kabellose (zum Beispiel Funk- oder Infrarotübertragung) Verbindungsstrecke handeln. Zunächst werden Eingabedaten an die erste Datenveränderungseinrichtung und zusätzlich über die Datenübertragungsstrecke an die zweite Datenveränderungseinrichtung übermittelt. Dabei sind die Eingabedaten, die an die erste und an die zweite Datenveränderungseinrichtung übermittelt werden, gleich beziehungsweise identisch. Dies lässt sich zum Beispiel dadurch bewirken, dass zwei gleiche Eingabedatensignale erzeugt und an die erste beziehungsweise zweite Datenveränderungseinrichtung geleitet werden oder auch indem das Signal der Eingabedaten nach seiner Erzeugung in zwei gleiche, aber getrennte Eingabedatensignale aufgesplittet wird.
-
Die Datenveränderungseinrichtungen sind zum Beispiel als Logikschaltung, programmierbarer elektronischer Baustein oder Prozessor ausgeführt und besitzen die gleiche Übertragungsfunktion. Für die gleiche Übertragungsfunktion ist es maßgeblich, dass wenn übereinstimmende Eingabedaten an die Datenveränderungseinrichtungen geliefert werden, auch übereinstimmende Ausgabedaten erzeugt werden. Nicht erforderlich ist es hingegen, dass die Ausgabedaten mittels identischer Einzelschritte erzeugt werden. (So ist es zum Beispiel möglich, die Übertragungsfunktion Verdopplung von x” sowohl als „Multiplikation von 2·x” als auch als „Addition x + x” zu realisieren”.) Die von den Datenveränderungseinrichtungen erzeugten Ausgabedaten werden dem empfängerseitigen Vergleicher zugeleitet, wobei die senderseitig erzeugten Ausgabedaten über die Datenübertragungsstrecke an die Empfängerseite übermittelt werden. Der Vergleicher prüft die senderseitig und empfängerseitig erzeugten Ausgabedaten auf Gleichheit. Wird ein Unterschied festgestellt, werden die Ausgabedaten verworfen und nicht weiter verwendet. Besteht Gleichheit der Ausgabedaten, aktiviert der Vergleicher die Freigabeeinrichtung, die die senderseitigen oder empfängerseitigen Ausgabedaten zur Weiterverarbeitung freigibt. (Aufgrund der Gleichheit von senderseitigen oder empfängerseitigen Ausgabedaten führt die weitere Verwendung von senderseitigen oder empfängerseitigen Ausgabedaten stets zum selben Ergebnis.) Die beschriebene Datenübertragungsstrecke bringt eine große Sicherheit bei der Feststellung der Datenintegrtät, da zwei verschiedene, aber definiert zugehörige Datensätze übertragen werden. Auf diese Weise lassen sich sowohl zufällige Fehler in der Datenintegrität feststellen als auch systematische Fehler, da durch die Wahl der Übertragungsfunktion, zum Beispiel einer eineindeutigen Funktion mit einer großen Anzahl möglicher Ein- und Ausgabedaten, verhindert werden kann, dass entlang der Übertragungsstrecke veränderte Ein- und Ausgabedaten am Vergleicher wieder zu übereinstimmenden Ausgabedaten führen. Die beschriebene Datenübertragungsstrecke weist zudem einen Geschwindigkeitsvorteil auf, da die Datenveränderungseinrichtungen unabhängig voneinander arbeiten und damit die Zeitfenster, in denen die Datenveränderungseinrichtungen die Ausgabedaten erzeugen, überlappen oder sogar zeitgleich liegen können.
-
Eine besonders vorteilhafte Ausgestaltung ergibt sich, wenn die Eingabedaten im Wesentlichen zeitgleich in Richtung der ersten und der zweiten Datenveränderungseinrichtung abgeschickt werden. Da die Durchlaufreihenfolgen „erste Datenveränderungseinrichtung, Datenübertragungsstrecke, Eingang des Vergleichers” und „Datenübertragungsstrecke, zweite Datenveränderungseinrichtung, Eingang des Vergleichers” ungefähr die gleiche Zeit benötigen, bedeutet ein im Wesentlichen zeitgleiches Absenden der Eingabedaten auch ein in etwa zeitgleiches Eintreffen der Ausgabedaten am Vergleicher. Damit treten am Vergleicher keine Wartezeiten auf, in denen der Vergleicher an einem seiner Eingänge auf Ausgabedaten warten muss. Damit lässt sich die Zeit vom Erzeugen der Eingabedaten bis zur Feststellung der Datenintegrität minimieren.
-
In einer weiteren Ausgestaltung der Erfindung weist die Datenübertragungsstrecke mindestens einen Kommunikationskanal, insbesondere einen CAN-(Controller Area Network-)Kommunikationskanal auf. Damit ist eine Möglichkeit aufgezeigt Herstellungskosten zu sparen, indem zur Realisierung der Datenübertragungsstrecke Teile eines bereits vorhandenen Netzwerks genutzt werden.
-
Vorteilhafterweise werden die von der ersten Datenveränderungseinrichtung erzeugten Ausgabedaten und die der zweiten Datenveränderungseinrichtung zugeführten Eingabedaten durch einen gemeinsamen Kommunikationskanal der Datenübertragungsstrecke übertragen.
-
Ein weiterer Vorteil ergibt sich, wenn die Freigabeeinrichtung die Betätigung eines Aktuators, insbesondere einer Bremse, freigibt. Damit wird sichergestellt, dass ein Aktuator nicht aufgrund von fehlerhaft übermittelten oder nicht für den Aktuator bestimmten Daten ausgelöst wird. So kann eine gefährliche Fehlauslösung der Bremse eines Kraftfahrzeugs, insbesondere die fälschliche Auslösung einer Vollbremsung, vermieden werden.
-
Ferner betrifft die Erfindung ein Verfahren zur Prüfung der Datenintegrität von von der Senderseite zur Empfängerseite einer Datenübertragungsstrecke übertragenen Daten, insbesondere in einem Kraftfahrzeug, wobei
- – Eingabedaten von einer ersten, eine Übertragungsfunktion aufweisenden Datenveränderungseinrichtung in erste Ausgabedaten verändert und über die Datenübertragungsstrecke einem Vergleicher zugeführt werden,
- – gleiche Eingabedaten über die Datenübertragungsstrecke einer zweiten, dieselbe Übertragungsfunktion aufweisenden Datenveränderungseinrichtung zugeleitet, in zweite Ausgabedaten verändert und dem Vergleicher zugeführt werden und
- – der Vergleicher bei Gleichheit von ersten und zweiten Ausgabedaten ein Aktivierungssignal ausgibt.
-
Zeichnung
-
Die Erfindung wird nachfolgend in einem Ausführungsbeispiel anhand der zugehörigen Zeichnung näher erläutert. Dabei zeigt die Figur die prinzipielle Funktionsweise einer erfindungsgemäßen Datenübertragungsstrecke mit einer Einrichtung zur Prüfung der Datenintegrität.
-
Beschreibung des Ausführungsbeispiels
-
Die Figur zeigt eine Datenübertragungsstrecke 1 aufweisend einen Bereich auf der Senderseite 2, eine Datenübertragungsstrecke 3 und einen Bereich auf der Empfängerseite 4. Auf der Senderseite 2 befinden eine Steuervorrichtung 12 sowie eine erste Datenveränderungseinrichtung 5. Die Empfängerseite 4 weist eine zweite Datenveränderungseinrichtung 6, einen Vergleicher 7, eine Freigabeeinrichtung 8 und einen Aktuator 9 auf, der hier als Bremse 10 eines Kraftfahrzeugs ausgeführt ist. Die Datenübertragungsstrecke ist hier als Kommunikationskanal 11 eines CAN ausgeführt, auf dem Daten seriell übertragen werden. Dabei wird durch eine Empfängerkodierung innerhalb der Daten sichergestellt, dass auch bei der Nutzung eines gemeinsamen Kommunikationskanals 11 beziehungsweise Kommunikationsnetzwerks, die Daten stets nur vom adressierten Zielempfänger angenommen werden. Die erste und die zweite Datenveränderungseinrichtung 5, 6 weisen dieselbe Übertragungsfunktion auf, mit der Eingabedaten in Ausgabedaten überführt werden. Das heißt, werden die Datenveränderungseinrichtung 5, 6 mit übereinstimmenden Eingabedaten beschickt, so generieren sie übereinstimmende Ausgabedaten. Für die Datenübertragungsstrecke 1 ergibt sich folgende Funktionsweise:
Die Steuervorrichtung 12 generiert aus Ursprungseingabedaten E, die von nicht näher dargestellten Sensoren stammen, anhand von Rechen- oder Programmvorschriften Eingangsdaten E1, E2. Die Eingabedaten E1 werden von der ersten Datenveränderungseinrichtung 5 in Ausgabedaten A1 umgewandelt und über den Einspeisepunkt 13, den Kommunikationskanal 11 und den Auskoppelpunkt 14 einem ersten Eingang des Vergleichers 7 zugeführt. Die Eingabedaten E2 werden über den Einspeisepunkt 13, den Kommunikationskanal 11 und den Auskoppelpunkt 14 der zweiten Datenveränderungseinrichtung 6 zugeführt, die Ausgabedaten A2 generiert und dem zweiten Eingang des Vergleichers 7 zuführt. Der Vergleicher 7 prüft nun die Ausgabedaten A1, A2 auf Gleichheit und leitet das Ergebnis der Prüfung über die Leitung R an die Freigabeeinrichtung 8. Nur für den Fall der Gleichheit der Ausgabedaten A1, A2 wird nun die Freigabeeinrichtung 8 aktiviert und leitet die am Knoten 15 abgezweigten Ausgabedaten A1 an die Bremse 10 weiter. Durch die gestrichelte Linie vom Knoten 16 zur Freigabeeinrichtung 8 wird angezeigt, dass ebenso die Ausgabedaten A2 zur Weiterleitung verwendet werden können. Ebenso können bei Bedarf auch beide Ausgabedaten A1, A2 der Freigabeeinrichtung 8 zugeführt werden, wobei dann eine Logik innerhalb der Freigabeeinrichtung 8 bestimmt, welche Daten an die Bremse 10 weitergeleitet werden.
-
Zusammenfassend lässt sich festhalten, dass eine Signalweiterleitung an die Bremse 10 nur dann stattfindet, wenn die von der ersten Datenveränderungseinrichtung 5 erzeugten, und über den Kommunikationskanal 11 an den Vergleicher 7 geleiteten Ausgabedaten A1 mit den Ausgabedaten A2 übereinstimmen, die von der zweiten Datenveränderungseinrichtung 6 anhand der von dem Kommunikationskanal 11 übertragenen Eingabedaten E2 erzeugt wurden. Findet entlang des Kommunikationskanals 11 eine Veränderung der Eingabedaten E2 statt, so generiert die zweite Datenveränderungseinrichtung 6 Ausgabedaten A2, die nicht mit den Ausgabedaten A1 übereinstimmen, und daher wird die Freigabeeinrichtung 8 nicht aktiviert. Ein gleiches Ergebnis ruft eine Änderung der Ausgabedaten A1 entlang des Kommunikationskanals 11 vor, weil auch dann die Ausgabedaten A2 mit den veränderten Ausgabedaten A1 nicht übereinstimmen. Auch eine Veränderung der Eingabedaten E2 und der Ausgabedaten A1 wird erfasst, wenn die Übertragungsfunktion der ersten und der zweiten Datenveränderungseinrichtung 5, 6 eine große Anzahl möglicher Ein- und Ausgabedaten hat. Damit wird eine hohe Sicherheit erreicht, dass eine Betätigung der Bremse 10 wirklich nur dann stattfindet, wenn dies anhand der Ursprungseingabedaten E auch tatsächlich bewirkt werden sollte.
-
Neben der hohen Sicherheit, die die Datenübertragungsstrecke bietet, wird für die Prüfung der Datenintegrität zudem nur ein sehr geringer Zeitaufwand benötigt, da die erste und die zweite Datenveränderungseinrichtung 5, 6 unabhängig voneinander arbeiten und Eingabedaten E1, E2 abarbeiten können, sobald diese Eingabedaten E1, E2 am jeweiligen Eingang der ersten beziehungsweise der zweiten Datenveränderungseinrichtung 5, 6 anliegen. Dadurch stehen auch die Ausgabedaten A1, A2 dem Vergleicher 7 schnellstmöglich zur Verfügung, so dass umgehend die Prüfung der Datenintegrität stattfinden kann. Zudem ist es möglich die Freigabeeinrichtung 8 zu deaktivieren, zum Beispiel um einen ausgelösten Bremsvorgang abzubrechen, indem gezielt eine Ungleichheit an den Eingängen des Vergleichers 7 erzeugt wird. Dafür ist es ausreichend eine der Eingabedaten E1, E2 zu ändern oder bei einer der Datenveränderungseinrichtungen 5, 6 eine Änderung der Ausgabedaten A1, A2 zu bewirken.
