WO2012139558A1 - Schaltungsanordnung mit fail-silent-funktion - Google Patents

Schaltungsanordnung mit fail-silent-funktion Download PDF

Info

Publication number
WO2012139558A1
WO2012139558A1 PCT/DE2012/100081 DE2012100081W WO2012139558A1 WO 2012139558 A1 WO2012139558 A1 WO 2012139558A1 DE 2012100081 W DE2012100081 W DE 2012100081W WO 2012139558 A1 WO2012139558 A1 WO 2012139558A1
Authority
WO
WIPO (PCT)
Prior art keywords
bus
driver
monitoring device
network
output
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/DE2012/100081
Other languages
English (en)
French (fr)
Inventor
Christian GÖPFERT
Peter Fritsche
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Aumovio Microelectronic GmbH
Original Assignee
Conti Temic Microelectronic GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Conti Temic Microelectronic GmbH filed Critical Conti Temic Microelectronic GmbH
Priority to JP2014504157A priority Critical patent/JP5746791B2/ja
Priority to US14/110,945 priority patent/US9594356B2/en
Priority to DE112012000632T priority patent/DE112012000632A5/de
Publication of WO2012139558A1 publication Critical patent/WO2012139558A1/de
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B9/00—Safety arrangements
    • G05B9/02—Safety arrangements electric
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G06F11/0736—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function
    • G06F11/0739—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment in functional embedded systems, i.e. in a data processing system designed as a combination of hardware and software dedicated to performing a certain function in a data processing system embedded in automotive or aircraft systems
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0766—Error or fault reporting or storing
    • G06F11/0772—Means for error signaling, e.g. using interrupts, exception flags, dedicated error registers
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0793—Remedial or corrective actions

Definitions

  • the invention relates to a circuit arrangement for a control unit.
  • the circuit arrangement is used to implement a fail-silent function or a fail-safe function (German: fail-safe function).
  • Motor vehicles have a large number of electronic components or control units.
  • the communication network is often a bus or a bus system, this bus system in a motor vehicle is usually a CAN bus, Flexray bus, or Ethernet bus.
  • a bus system is described for example in the patent DE 102 96 400 B4.
  • Safety-relevant electronic control units in vehicles often require the vehicle manufacturer to set the control units to communicate with the bus network of the vehicle in the event of an internal fault, also referred to as fail-silent function.
  • the detection of such errors and the interruption of the communication is usually carried out by means of a software that runs on a microcontroller of the controller.
  • the software can be executed both on the microcontroller to be monitored itself or on a second microcontroller, the second microcontroller for monitoring a first microcontroller and for interrupting the network communication in the event of a fault.
  • a monitoring by means of a so-called watchdog circuit is known.
  • DE 102 55 430 AI shows a circuit ⁇ arrangement for a control unit of an occupant protection system with a microprocessor and a watchdog circuit.
  • the control unit serves, for example, to trigger airbags or belt tensioners.
  • the watchdog circuit is used to monitor the functionality of the microprocessor.
  • a disadvantage of known circuit arrangements for implementing a fail-silent function of a control unit is the fact that either additional hardware must be installed, such as an additional watchdog circuit or a second microcontroller, or that the development of special monitoring software is required.
  • the known solutions can not always adequately ensure a disruption of network communication. For example, if the microcontroller on which the monitoring software is running contains an error itself, interrupting (blocking) the network communication by software is no longer possible.
  • the invention is therefore based on the object of specifying a device or a circuit arrangement with which a reliable and simple and therefore cost-effective implementation of a fail-silent function for a control unit is achieved.
  • An essential idea of the invention is to realize a fail-silent or fail-safe function in a control unit which operates independently of software elements, in particular existing and realized in hardware Error detection mechanisms of a microcontroller can be used to control a network driver of the controller, such as a bus driver, in case of failure such that the communication of the controller is interrupted with the network.
  • Circuit arrangement can be avoided that a control unit by a fault, for example, during initialization, gets stuck or remains in a permanent reset state and can not be interrupted due to the network communication of the controller. If an internal damage of a microcontroller of the control unit would lead to the fact that the microcontroller or the control unit is no longer in the reset state, thus ensuring that the network communication of the control unit is interrupted. As a result, in particular a certain independence from the error detection is achieved by software.
  • the circuit arrangement according to the invention for a control device comprises at least one microcontroller and at least one network driver.
  • the network driver which can also be referred to as a transceiver or network transceiver, serves in particular for communication of the control unit with a communication network, for example in a motor vehicle.
  • the network driver is that unit of the controller responsible for transmitting and receiving (data) signals over the communications network, e.g. a bus transceiver or Ethernet transceiver of the controller.
  • the at least one microcontroller of the control device preferably comprises a realized in hardware
  • Monitoring device that detects and stores, for example, errors or error states in individual modules of the microcontroller.
  • the monitoring device further has at least one output to external components by means of to inform a signal voltage about detected errors or error conditions in the microcontroller.
  • Under hardware-based monitoring device is to be understood in particular a software-independent detection of errors in the microcontroller or in individual modules of the microcontroller. For this purpose, for example, serve a direct-wired, discrete and / or integrated circuit, are reported via the preferably without the use of software or without the use of software elements errors to the monitoring device of the microcontroller.
  • the signal voltage at the output of the monitoring device according to the invention is used to control the network driver such that the communication of the controller with the communication network is set or interrupted in the event of a fault.
  • the network driver comprises an input by means of which the network communication of the network driver, and thus also the network communication of the controller, can be activated and / or deactivated.
  • the input may be, for example, a BGE pin of a BUS guardian, in the case of an Ethernet transceiver as a network driver, for example, a reset pin.
  • the output of the monitoring device which serves to inform external components by means of a signal voltage via detected errors or error states in the microcontroller, is preferably connected to the above-mentioned input of the network driver.
  • a specific voltage level of the signal voltage which is conducted at the output of the monitoring device in the event of a fault, can thus be used to force the network driver to operate Network communication of the control unit interrupts in the event of an error.
  • the output of the monitoring device can be designed, for example, such that it normally leads to a high level and, in the event of a fault, to a low level of the signal voltage, or vice versa, i. Normally a low level and in case of error a high level.
  • the monitoring device can in particular also be designed with two outputs, of which the second output carries an inverted voltage signal to the first output.
  • the network communication of the network driver can be activated and / or deactivated, is low-active or high-active, ie. if there is a low level or if a high level is applied, the network communication interrupts, the output or one of the outputs of the monitoring device can be connected to the input of the network driver, so that the network communication is interrupted in the event of an error.
  • an inverter between the input of the network driver and the output of the
  • the circuit arrangement according to the invention is not limited to a specific network topology or a specific type of network.
  • a control device which is formed with the circuit arrangement according to the invention can in particular be arranged in a communication network with bus ring or star topology and / or also be connected directly, for example to another control device, ie via a so-called point-to-point connection. Connection .
  • As network types in particular Flexray, CAN or Ethernet networks are provided.
  • the network driver of the circuit arrangement is an Ethernet driver, which can also be referred to as an Ethernet transceiver and which serves for communication of the control device with an Ethernet network.
  • the signal voltage carried at the output of the monitoring device is used in particular to control the Ethernet driver when a fault is detected by the monitoring device in such a way that it interrupts the communication of the control device with the Ethernet network.
  • this preferably comprises a reset input or a reset pin as previously described input, by means of which the network communication of the network driver, and thus the controller, activate and / or disable.
  • the output of the monitoring device is preferably connected to the reset input of the Ethernet driver, wherein a high level or low level of the signal voltage which is conducted in the event of a fault at the output of the monitoring device is used to ensure that a high level active or low-active reset of the Ethernet driver, the Ethernet communication of the controller is interrupted.
  • a GPIO pin of the microcontroller with the reset input for example via an electronic Switch connected.
  • the output of the monitoring device is included preferably connected to a control input of the electronic switch, that in case of failure by applying a suitable voltage level of the signal voltage at the control input of the electronic switch, a voltage level of the GPIO pin is overruled. This allows the reset input of the Ethernet driver to be controlled so that the Ethernet driver interrupts the Ethernet communication of the controller.
  • the network driver of the circuit arrangement is a bus driver.
  • the bus driver which can also be referred to as a bus transceiver, is used in particular for communication of the control device with a bus network as a communication network, for example in a motor vehicle.
  • the microcontroller of the circuit arrangement preferably comprises a hardware implemented
  • Monitoring device that detects errors or error states in individual modules of the microcontroller and, for. stores.
  • the monitoring device furthermore has at least one output in order to inform external components by means of a signal voltage about detected errors or error states in the microcontroller.
  • Under hardware-based monitoring device is to be understood in particular a software-independent detection of errors in the microcontroller or in individual modules of the microcontroller. For this, e.g. serve a direct-wired, discrete and / or integrated circuit, are reported via the preferably without the use of software or without the use of software elements errors to the monitoring device of the microcontroller.
  • the signal voltage at the output of the monitoring device is used according to the invention to the bus driver so control that the communication of the control unit with the bus network is automatically set or interrupted in the event of a fault.
  • bus guardian interface which can also be referred to as Busguardian interface, by means of the network communication of the network driver, and thus also the controller , activate and / or deactivate.
  • the bus guardian interface also has at least one input, preferably a trigger connection (BGE pin, Busguardian enable pin).
  • the bus connection of the bus driver can preferably be activated and deactivated by means of the trigger connection or by means of the BGE pin, whereby e.g.
  • the bus communication can be deactivated and if a high level of the signal voltage is applied, the bus communication is active.
  • the BGE pin can also be inverted, so that when a low level is applied, the bus communication is active and is deactivated when a high level is applied.
  • the BGE pin can be designed such that it has an internal pull-down resistor, which ensures that the level is pulled to low when an applied input signal is high-impedance.
  • a further (external) pull-down resistor can be arranged on the BGE pin of the bus driver, in particular in order to ensure a low level for a high-resistance state of the output of the monitoring device.
  • the monitoring device of the microcontroller leads at the output of a signal voltage, ie in the event of an error if one or more faults or fault states of one or more modules of the microcontroller by the
  • Monitoring device were detected, preferably a low level and normally, i. E. in error-free case, preferably has a high level.
  • Monitoring device can be further configured such that at the output of a high-impedance signal is performed when the microcontroller, for example, in the reset state.
  • the output of the monitoring device is connected to the BGE pin of the bus driver according to a preferred embodiment.
  • a high level from the output of the monitoring device is preferably applied to the BGE pin of the bus guardian and the control unit can communicate with the bus network without restrictions via the bus driver.
  • a low level is preferably applied from the output of the monitoring device to the BGE pin of the bus guardian and the bus communication of the control device is interrupted.
  • the output of the monitoring device is preferably in a high-impedance state. Also in this case, the bus communication through the bus driver is disabled, especially when the level is pulled low by an internal pull-down resistor of the BGE pin.
  • the output of the monitoring device carries an inverted voltage signal, so that normally a low Level is performed at the output of the monitoring device and in case of error, a high level.
  • the output of the monitoring device is preferably connected via an inverter to the BGE pin of the bus driver.
  • the inverter converts the level of the voltage signal of the output of the monitoring device, so that normally a high level is applied to the BGE pin and the bus communication of the control unit is possible.
  • error case of the guided at the output of the monitoring device high level is inverted to a low level, so that the bus communication of the control unit is interrupted via the bus driver.
  • the monitoring device may in particular comprise two outputs, one of which leads to an inverted voltage signal.
  • the output of the monitoring device is preferably connected to the BGE pin of the bus guardian, which leads to a low level in the event of a fault, so that no additional inverter is required.
  • both the input of the bus guardian interface of the bus driver, as well as the output of the monitoring device of the microcontroller can each be configured inverted or provide an inverted voltage signal.
  • the connection between the output of the monitoring device and the input of the bus guardian interface is carried out according to the invention such that, if necessary, an inverter is interposed, so that in the event of an error such a level at the entrance of the bus guardian Interface of the bus driver is present, that the bus communication is interrupted in case of error.
  • an inverter is interposed, if either only the input of the bus guardian interface or only the output of the microcontroller is configured inverted.
  • an inverter is interposed, if either only the input of the bus guardian interface or only the output of the microcontroller is configured inverted.
  • no intermediate inverter is provided.
  • the network driver is a bus driver, and in particular a FlexRay bus driver or FlexRay (bus) transceiver and the communication network is a bus network, in particular a FlexRay bus a motor vehicle.
  • the network driver is a bus driver, and in particular a CAN bus driver or CAN (bus) transceiver and the communication network is a bus network, in particular a CAN bus in a motor vehicle.
  • the microcontroller comprises at least one universal input / output or a GPIO pin (General Purpose Input / Output pin).
  • the GPIO pin is preferably connected to an STB and / or EN pin of the bus driver, wherein the connection is made in particular via at least one electronic switch.
  • the electronic switch is preferably additionally connected to a control input to the output of the monitoring device.
  • Monitoring device at the control input of the electronic switch, in the event of a fault, a voltage applied by the GPIO pin of the microcontroller at the electronic switch voltage level by the output of the
  • the electronic switch and the STB and / or EN pin of the bus driver is thereby controlled such that the bus communication of the controller is interrupted with the bus network.
  • the inverter for converting the guided at the output of the monitoring device inverted voltage signal, and / or the electronic switch, which is connected between at least one GPIO pin of the microcontroller and a STB and / or EN pin of the network driver, designed as transistors.
  • the circuit arrangement according to the invention is preferably arranged in a control unit, which via a
  • Communication network is connected to other control devices and electronic components and communicates, for example via a bus network in a motor vehicle.
  • the control unit may be, for example, various known from the prior art vehicle components or electronic or electromechanical systems, for example, control units for engine, ABS, air conditioning, instrument panel, navigation system, differential electronics, cruise control, hood, gearbox, fuel pump, ignition, Airbag, ASR, ESP, parking systems, KE-Jetronic, L-Jetronic,
  • the control unit may also be part of a driver assistance system, for example adaptive cornering light, up and dimming assistant for the driving light, night vision systems, parking assistance, brake assistant, adaptive cruise control, cruise control, distance warning, turn assistant, traffic jam assistant,
  • driver assistance system for example adaptive cornering light, up and dimming assistant for the driving light, night vision systems, parking assistance, brake assistant, adaptive cruise control, cruise control, distance warning, turn assistant, traffic jam assistant,
  • Figure 1 a circuit arrangement with a bus driver as
  • Network driver and with a direct connection between the output of the monitoring device and the BGE pin of the bus driver.
  • Figure 2 a circuit arrangement with a bus driver as
  • Network driver and with connection between output of the monitoring device and BGE pin of the bus driver via an inverter.
  • Figure 3 a circuit arrangement with a bus driver as
  • Network driver and with over the output of the monitoring device controllable electronic switch between GPIO of the microcontroller and host interface of the bus driver.
  • FIG. 4 shows an example of a flowchart for the occurrence of a fault in a module of the microcontroller from FIG. 1.
  • Figure 5 a control device with an inventive
  • Network driver includes, wherein the control unit communicates with other control devices in an Ethernet network with star topology.
  • FIG. 1 shows an example of a circuit arrangement according to the invention for a control unit SG.
  • the circuit arrangement comprises a microcontroller MC and in this case a bus driver BT as a network driver.
  • the bus driver BT is used for communication of the control unit SG with a bus network BN, for example via a bus interface with BP and / or BM inputs and outputs, and comprises a bus guardian interface BG-I with a BGE pin BGE and a communication controller BT- KC, for example with TxD, TxEN and RxD connections.
  • the bus driver BT can also have further modules and connections, for example a host interface BT-HI with STB, EN, ERRN and / or SPI connections and a power supply unit with Vcc, Vio, Vbat and / or GND connections.
  • the microcontroller MC also includes a communication controller MC-KC, for communication with the bus driver BT, for example via RxD, TxD and TxEN interfaces, as well as a monitoring device UE.
  • a communication controller MC-KC for communication with the bus driver BT, for example via RxD, TxD and TxEN interfaces, as well as a monitoring device UE.
  • the monitoring device UE is configured such that these errors or error states of individual modules Ml, M2, Mn of the microcontroller MC can be detected and collected.
  • the detection of the errors takes place in a hardware-implemented manner, in particular via an integrated circuit, for example via one or more logic circuits, so that error detection can take place without the use of software in the microcontroller MC.
  • the monitoring device UE can also be designed such that it in the event of an error, ie when detected error one or more modules Ml, M2, Mn of the microcontroller MC, bring the microcontroller MC in a safe state (reset).
  • the monitoring device UE performs a signal voltage at an output UE-A depending on whether a normal case, ie a fault-free state or an error occurs. In this case, the monitoring device UE normally performs a high level and in the event of a fault, a low level at the output UE-A.
  • the bus driver BT of the circuit arrangement in FIG. 1 is designed in such a way that when a low level of a signal voltage is present at the input BGE of the bus guardian interface BG- I the communication of the bus driver BT with the bus network BN is interrupted or adjusted.
  • the input BGE of the bus guardian interface BG-I is in this case a BGE pin.
  • Fig. 2 is another invention
  • Circuit arrangement for a control unit SG shown.
  • the circuit arrangement is designed in large parts according to the description of FIG. 1.
  • the monitoring device UE at the output UE-A performs an inverted voltage signal, ie normally a low level and in case of error a high level.
  • the output UE-A is, as already in Fig. 1, connected to a BGE pin BGE of the bus driver BT, the connection in this case via an inverter IN (eg a transistor), which takes place from the UE-A output of the monitoring device UE voltage signal is inverted, so that normally a high level and in case of error a low level at the BGE pin BGE of the bus driver BT is applied.
  • IN eg a transistor
  • FIG. 3 shows a further example of a circuit arrangement according to the invention.
  • the circuit arrangement is partially constructed according to the descriptions of Figures 1 and 2.
  • at least one GPIO pin GPIO of the microcontroller MC is connected to a terminal of the host interface BT-HI of the bus driver BT, for example to an STBN and / or EN interface.
  • the connection is made via an electronic switch ES, for example, a transistor which is additionally connected to the control unit at a control input to the output UE-A of the monitoring device UE of the microcontroller.
  • the low level of the monitoring device UE controls the electronic switch ES so that the voltage level of the GPIO pin GPIO is overruled at the electronic switch ES and thus the STBN and / or EN pin of the bus driver BT are controlled such that the communication with the bus network BN is interrupted via the bus driver BT.
  • control unit SG or the circuit arrangement from FIGS. 1, 2 and 3 can also be further electrical and / or electromechanical or mechanical elements and circuits include.
  • an error F occurs in the microcontroller MC at the time t1, this is detected by the monitoring device UE at the time t2, whereupon at the output UE-A the monitoring device UE is about a low level L is performed from the time t3. Since the output UE-A of the monitoring device UE is connected to the BGE pin BGE of the bus driver BT or its bus guardian interface BG-I, a low level L is applied to the BGE pin BGE at the latest at the time t3, whereupon the communication BK of the bus driver BT or of the control device SG is interrupted by the bus network BN. In the event that no error F was detected, i.
  • a high level H is routed to the output UE-A and the bus communication BK is possible m. From time t3, i. in case of error, the bus communication BK is no longer possible nm.
  • a microcontroller manufacturer Freescale Semiconductor can be used, for example, the MPC5643L or the MPC567xK microcontroller.
  • This includes a Fault Collection and Control Unit (FCCU) that has hardware implemented fault detection and includes an output (FCCU output) that provides a high and low level signal voltage in response to FCCU fault detection.
  • FCCU output could in this case be connected to a bus guardian enable pin of a bus driver, for example a FlexRay transceiver.
  • FCCU Fault Collection and Control Unit
  • FCCU output FCCU output
  • the FCCU output could in this case be connected to a bus guardian enable pin of a bus driver, for example a FlexRay transceiver.
  • 5 shows a control device SG with a circuit arrangement according to the invention, which in this case comprises an Ethernet driver ET as a network driver.
  • the control unit SG is furthermore arranged in an Ethernet network, in this case with a star topology, and communicates via an Ethernet switch ES and via Ethernet branches
  • the Ethernet driver ET comprises a reset pin RE and a communication controller ET-KC.
  • the bus driver ET can also have additional modules and connections.
  • the microcontroller MC also includes a communication controller MC-KC, for communication with the Ethernet driver ET, and a monitoring device UE.
  • the microcontroller MC may also have other modules and connections.
  • the monitoring device UE is configured in such a way that it can be detected and / or collected by individual modules by means of these errors or error states.
  • the detection of the errors is carried out hardware, in particular via an integrated circuit, for example via one or more logic circuits, so that an error detection can be done without the use of software in the microcontroller MC.
  • the monitoring device UE can further be designed such that in the event of an error, i. If one or more modules of the microcontroller MC are detected, bring the microcontroller MC into a safe state (reset).
  • the monitoring device UE performs depending on whether a normal case, i. a faultless condition, or fault condition, is a certain voltage level of a signal voltage at an output UE-A.
  • the Ethernet driver ET of the circuit arrangement in FIG. 5 is designed in such a way that when a specific voltage signal, in particular a high or low level, is applied, a voltage applied to the reset pin RE, the communication of the ethenet driver ET with the Ethernet network EN is interrupted or set.
  • the reset pin RE thus serves, for example, to implement a high-active or low-active reset of the Ethernet transceiver ET.
  • the output UE-A of the monitoring device UE is connected to the reset pin RE of the Ethernet driver ET.
  • the reset pin RE is formed with a high-active or low-active reset, and depending on whether the output UE-A of the monitoring device UE performs a high level or low level of the signal voltage in case of failure can the output UE-A be connected directly or for example via an inverter IN to the reset pin RE.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • General Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Small-Scale Networks (AREA)
  • Debugging And Monitoring (AREA)

Abstract

Die Erfindung betrifft eine Schaltungsanordnung für ein Steuergerät (SG). Die Schaltungsanordnung dient der Umsetzung einer Fail-Silent-Funktion bzw. einer Fail-Safe-Funktion, insbesondere mit einer hardwarerealisierten Erkennung eines Fehlers bzw. Fehlerzustandes in einem MikroController MC) der Schaltungsanordnung, sowie einer Unterbrechung der Kommunikation des Steuergeräts (SG) mit einem Kommunikationsnetzwerk (BN) im Fehlerfall.

Description

Schaltungsanordnung mit Fail-Silent-Funktion
Die Erfindung betrifft eine Schaltungsanordnung für ein Steuergerät. Die Schaltungsanordnung dient der Umsetzung einer Fail-Silent-Funktion bzw. einer Fail-Safe-Funktion (deutsch: Ausfallsicherheits-Funktion) .
Kraftfahrzeuge verfügen über eine Vielzahl von elektronischen Komponenten bzw. Steuergeräten. In modernen Kraftfahrzeugen sind beispielsweise mehrere Steuergeräte über ein Kommunikationsnetzwerk bzw. über einen oder mehrere Kommunikationskanäle vernetzt. Bei dem Kommunikationsnetzwerk handelt es sich dabei häufig um eine Busleitung bzw. ein Bussystem, wobei dieses Bussystem bei einem Kraftfahrzeug in der Regel ein CAN-Bus, Flexray-Bus, oder Ethernet-Bus ist. Ein solches Bussystem wird beispielsweise in der Patentschrift DE 102 96 400 B4 beschrieben. Von sicherheitsrelevanten elektronischen Steuergeräten in Fahrzeugen wird häufig seitens des Fahrzeugherstellers gefordert, dass die Steuergeräte bei einem internen Fehler die Kommunikation mit dem Bus-Netzwerk des Fahrzeugs einstellen, auch bezeichnet als Fail-Silent- Funktion. Die Erkennung solcher Fehler sowie die Unterbrechung der Kommunikation erfolgt in der Regel mittels einer Software, die auf einem MikroController des Steuergeräts läuft. Die Software kann dabei sowohl auf dem zu überwachenden MikroController selbst oder auf einem zweiten MikroController ausgeführt werden, wobei der zweite MikroController zur Überwachungen eines ersten MikroControllers und zur Unterbrechung der Netzwerk-Kommunikation im Fehlerfall dient. Auch eine Überwachung mittels einer sogenannten Watchdog- Schaltung ist bekannt.
Die DE 102 55 430 AI zeigt beispielsweise eine Schaltungs¬ anordnung für ein Steuergerät eines Insassenschutzsystems mit einem Mikroprozessor und einer Watchdog-Schaltung . Das Steuergerät dient dabei z.B. zum Auslösen von Airbags oder Gurtstraffern . Die Watchdog-Schaltung dient der Überwachung der Funktionsfähigkeit des Mikroprozessors.
Nachteilig bei bekannten Schaltungsanordnungen zur Umsetzungen einer Fail-Silent-Funktion eines Steuergeräts ist die Tatsache, dass entweder zusätzliche Hardware installiert sein muss, beispielsweise eine zusätzliche Watchdog-Schaltung oder ein zweiter Mikrocontroller, oder dass die Entwicklung spezieller Überwachungssoftware erforderlich ist. Darüber hinaus können die bekannten Lösungen eine Unterbrechung der Netzwerk-Kommunikation nicht immer hinreichend sicherstellen. Für den Fall, dass beispielsweise der Mikrocontroller, auf dem die Überwachungssoftware ausgeführt wird, selbst einen Fehler enthält, ist die Unterbrechung (Unterbindung) der Netzwerk- Kommunikation per Software nicht mehr möglich.
Der Erfindung liegt demnach die Aufgabe zugrunde, eine Vorrichtung bzw. eine Schaltungsanordnung anzugeben, mit der eine zuverlässige sowie einfache und damit kostengünstige Umsetzung einer Fail-Silent-Funktion für ein Steuergerät erreicht wird.
Diese Aufgabe wird durch eine Vorrichtung mit den Merkmalen nach Anspruch 1 gelöst. Vorteilhafte Ausgestaltungen und Weiterbildungen sind Gegenstand von Unteransprüchen, wobei auch Kombinationen und Weiterbildungen einzelner Merkmale miteinander denkbar sind.
Ein wesentlicher Gedanke der Erfindung besteht darin, eine Fail-Silent- bzw. Fail-Safe-Funktion in einem Steuergerät zu realisieren, die unabhängig von Softwareelementen arbeitet, wobei insbesondere vorhandene und in Hardware realisierte Fehlererkennungsmechanismen eines MikroControllers dazu genutzt werden, um einen Netzwerktreiber des Steuergeräts, z.B. einen Bustreiber, im Fehlerfall derart zu steuern, dass die Kommunikation des Steuergeräts mit dem Netzwerk unterbrochen wird. Durch die vorgeschlagene
Schaltungsanordnung kann vermieden werden, dass ein Steuergerät durch einen Fehler, beispielsweise während der Initialisierung, hängen bleibt oder in einem Dauer-Reset- Zustand verbleibt und infolge die Netzwerk-Kommunikation des Steuergeräts nicht mehr unterbrochen werden kann. Falls ein interner Schaden eines MikroControllers des Steuergeräts dazu führen würde, dass der MikroController bzw. das Steuergerät nichtmehr in den Reset-Zustand geht, ist somit gewährleistet, dass die Netzwerk-Kommunikation des Steuergeräts unterbrochen wird. Dadurch wird insbesondere eine gewisse Unabhängigkeit von der Fehlererkennung mittels Software erreicht.
Die erfindungsgemäße Schaltungsanordnung für ein Steuergerät umfasst wenigstens einen MikroController und wenigstens einen Netzwerktreiber. Der Netzwerktreiber, der auch als Transceiver bzw. Netzwerk-Transceiver bezeichnet werden kann, dient insbesondere zur Kommunikation des Steuergeräts mit einem Kommunikationsnetzwerk, beispielsweise in einem Kraftfahrzeug. Bei dem Netzwerktreiber handelt es sich insbesondere um diejenige Baueinheit des Steuergeräts, die für das Senden und Empfangen von (Daten-) Signalen über das Kommunikationsnetzwerk zuständig ist, z.B. ein Bus-Transceiver oder Ethernet- Transceiver des Steuergeräts.
Der wenigstens eine MikroController des Steuergeräts umfasst vorzugsweise eine in Hardware realisierte
Überwachungseinrichtung, die Fehler bzw. Fehlerzustände in einzelnen Modulen des MikroControllers erfasst und z.B. speichert. Die Überwachungseinrichtung weist weiterhin wenigstens einen Ausgang auf, um externe Komponenten mittels einer Signalspannung über erfasste Fehler bzw. Fehlerzustände im MikroController zu informieren. Unter hardwarerealisierter Überwachungseinrichtung ist insbesondere eine softwareunabhängige Erkennung von Fehlern im MikroController bzw. in einzelnen Modulen des MikroControllers zu verstehen. Hierzu kann z.B. eine direktverdrahtete, diskrete und/oder integrierte Schaltung dienen, über die vorzugsweise ohne den Einsatz einer Software bzw. ohne den Einsatz von Softwareelementen Fehler an die Überwachungseinrichtung des MikroControllers gemeldet werden.
Die Signalspannung am Ausgang der Überwachungseinrichtung wird erfindungsgemäß dafür eingesetzt, um den Netzwerktreiber derart zu steuern, dass die Kommunikation des Steuergeräts mit dem Kommunikationsnetzwerk im Fehlerfall eingestellt bzw. unterbrochen wird.
In einer bevorzugten Ausgestaltung der erfindungsgemäßen Schaltungsanordnung umfasst der Netzwerktreiber einen Eingang, mittels dem sich die Netzwerk-Kommunikation des Netzwerktreibers, und damit auch die Netzwerk-Kommunikation des Steuergeräts, aktivieren und/oder deaktivieren lässt. Bei einem Bus-Transceiver als Netzwerktreiber kann es sich bei dem Eingang beispielsweise um einen BGE-Pin eines BUS-Guardians handeln, bei einem Ethernet-Transceiver als Netzwerktreiber beispielsweise um einen Reset-Pin. Der Ausgang der Überwachungseinrichtung, der zur Information externer Komponenten mittels einer Signalspannung über erfasste Fehler bzw. Fehlerzustände im MikroController dient, ist dabei vorzugsweise mit dem vorangehend genannten Eingang des Netzwerktreibers verbunden. Erfindungsgemäß kann somit ein bestimmter Spannungspegel der Signalspannung, der im Fehlerfall am Ausgang der Überwachungseinrichtung geführt wird, dazu genutzt werden, dass der Netzwerktreiber die Netzwerk-Kommunikation des Steuergeräts im Fehlerfall unterbricht .
Der Ausgang der Überwachungseinrichtung kann beispielsweise derart ausgebildet sein, dass dieser im Normalfall einen High- Pegel und im Fehlerfall einen Low-Pegel der Signalspannung führt, oder umgekehrt, d.h. im Normalfall einen Low-Pegel und im Fehlerfall einen High-Pegel. Die Überwachungseinrichtung kann insbesondere auch mit zwei Ausgängen ausgebildet sein, von denen der zweite Ausgang ein invertiertes Spannungssignal zum ersten Ausgang führt.
Je nachdem, ob der Eingang des Netzwerktreibers, mittels dem sich die Netzwerkkommunikation des Netzwerktreibers aktivieren und/oder deaktivieren lässt, low-aktiv oder high-aktiv ist, d.h. bei Anliegen eines Low-Pegels oder bei Anliegen eines High-Pegels die Netzwerk-Kommunikation unterbricht, kann der Ausgang bzw. einer der Ausgänge der Überwachungseinrichtung mit dem Eingang des Netzwerktreibers verbunden sein, so dass im Fehlerfall die Netzwerkkommunikation unterbrochen wird. Es kann dabei insbesondere auch ein Inverter zwischen dem Eingang des Netzwerktreibers und dem Ausgang der
Überwachungseinrichtung zwischengeschaltet sein.
Die erfindungsgemäße Schaltungsanordnung ist nicht auf eine bestimmte Netzwerktopologie oder eine bestimmte Netzwerkart beschränkt. Ein Steuergerät, dass mit der erfindungsgemäßen Schaltungsanordnung ausgebildet ist, kann insbesondere in einem Kommunikationsnetzwerk mit Bus- Ring-, oder Sterntopologie angeordnet sein und/oder auch direkt, beispielsweise mit einem anderen Steuergerät verbunden sein, d.h. über eine sogenannte Punkt-zu-Punkt-Verbindung . Als Netzwerkarten sind insbesondere Flexray-, CAN- oder Ethernet- Netzwerke vorgesehen. Gemäß einer bevorzugten Ausgestaltung der erfindungsgemäßen Schaltungsanordnung handelt es sich bei dem Netzwerktreiber der Schaltungsanordnung um einen Ethernet-Treiber, der auch als Ethernet-Transceiver bezeichnet werden kann und der zur Kommunikation des Steuergeräts mit einem Ethernet-Netzwerk dient. Die am Ausgang der Überwachungseinrichtung geführte Signalspannung wird dabei insbesondere dazu genutzt, um bei Erfassung eines Fehlers durch die Überwachungseinrichtung den Ethernet-Treiber derart zu steuern, dass dieser die Kommunikation des Steuergeräts mit dem Ethernet-Netzwerk unterbricht .
Bei Ausgestaltung der erfindungsgemäßen Schaltungsanordnung mit einem Ethernet-Treiber als Netzwerktreiber, umfasst dieser bevorzugt einen Reset-Eingang bzw. einen Reset-Pin als vorangehend beschriebenen Eingang, mittels dem sich die Netzwerkkommunikation des Netzwerktreibers, und damit auch die des Steuergeräts, aktivieren und/oder deaktivieren lässt. Der Ausgang der Überwachungseinrichtung ist dabei vorzugsweise mit dem Reset-Eingang des Ethernet-Treibers verbunden, wobei ein High-Pegel oder Low-Pegel der Signalspannung, der im Fehlerfall an dem Ausgang der Überwachungseinrichtung geführt wird, dazu genutzt wird, dass über einen high-aktiven oder low-aktiven Reset des Ethernet-Treibers die Ethernet- Kommunikation des Steuergeräts unterbrochen wird.
Bei Ausgestaltung der erfindungsgemäßen Schaltungsanordnung mit einem Ethernet-Treiber als Netzwerktreiber, der gemäß der vorangehenden Beschreibung insbesondere mit einem Reset- Eingang ausgebildet ist, kann gemäß einer besonderen Ausgestaltung der erfindungsgemäßen Schaltungsanordnung ein GPIO-Pin des MikroControllers mit dem Reset-Eingang beispielsweise über einen elektronischen Schalter verbunden sein. Der Ausgang der Überwachungseinrichtung ist dabei bevorzugt derart mit einem Steuereingang des elektronischen Schalters verbunden, dass im Fehlerfall durch Anlegen eines geeigneten Spannungspegels der Signalspannung am Steuereingang des elektronischen Schalters ein Spannungspegel des GPIO-Pins überstimmt wird. Hierdurch kann der Reset-Eingang des Ethernet-Treibers derart gesteuert werden, dass der Ethernet- Treiber die Ethernet-Kommunikation des Steuergeräts unterbricht .
Gemäß einer weiteren bevorzugten Ausgestaltung der erfindungsgemäßen Schaltungsanordnung handelt es sich bei dem Netzwerktreiber der Schaltungsanordnung um einen Bustreiber. Der Bustreiber, der auch als Bus-Transceiver bezeichnet werden kann, dient insbesondere zur Kommunikation des Steuergeräts mit einem Bus-Netzwerk als Kommunikationsnetzwerk, beispielsweise in einem Kraftfahrzeug.
Der MikroController der Schaltungsanordnung umfasst vorzugsweise eine in Hardware realisierte
Überwachungseinrichtung, die Fehler bzw. Fehlerzustände in einzelnen Modulen des MikroControllers erfasst und z.B. speichert. Die Überwachungseinrichtung weist weiterhin wenigstens einen Ausgang auf, um externe Komponenten mittels einer Signalspannung über erfasste Fehler bzw. Fehlerzustände im MikroController zu informieren. Unter hardwarerealisierter Überwachungseinrichtung ist insbesondere eine softwareunabhängige Erkennung von Fehlern im MikroController bzw. in einzelnen Modulen des MikroControllers zu verstehen. Hierzu kann z.B. eine direktverdrahtete, diskrete und/oder integrierte Schaltung dienen, über die vorzugsweise ohne den Einsatz einer Software bzw. ohne den Einsatz von Softwareelementen Fehler an die Überwachungseinrichtung des MikroControllers gemeldet werden.
Die Signalspannung am Ausgang der Überwachungseinrichtung wird erfindungsgemäß dafür eingesetzt, um den Bustreiber derart zu steuern, dass die Kommunikation des Steuergeräts mit dem Bus- Netzwerk im Fehlerfall automatisch eingestellt bzw. unterbrochen wird.
Bei Ausgestaltung der erfindungsgemäßen Schaltungsanordnung mit einem Bustreiber als Netzwerktreiber umfasst dieser gemäß einer bevorzugten Ausgestaltung der erfindungsgemäßen Schaltungsanordnung eine Buswächter-Schnittstelle, die auch als Busguardian-Interface bezeichnet werden kann, mittels der sich die Netzwerk-Kommunikation des Netzwerktreibers, und damit auch die des Steuergeräts, aktivieren und/oder deaktivieren lässt. Die Buswächter-Schnittstelle weist weiterhin wenigstens einen Eingang auf, bevorzugt einen Auslöseanschluss (BGE-Pin, Busguardian Enable-Pin) . Mittels des Auslöseanschlusses bzw. mittels des BGE-Pins lässt sich dabei vorzugsweise die Bus-Kommunikation des Bustreibers aktivieren und deaktivieren, wobei z.B. durch Anlegen eines Low-Pegels einer Signalspannung am BGE-Pin die Bus- Kommunikation deaktiviert werden kann und bei Anliegen eines High-Pegels der Signalspannung die Bus-Kommunikation aktiv ist. Der BGE-Pin kann insbesondere auch invertiert sein, so dass bei Anliegen eines Low-Pegels die Bus-Kommunikation aktiv ist und bei Anliegen eines High-Pegels deaktiviert wird. Weiterhin kann der BGE-Pin derart ausgestaltet sein, dass dieser über einen internen Pulldown-Widerstand verfügt, der dafür sorgt, dass der Pegel auf Low gezogen wird, wenn ein anliegendes Eingangssignal hochohmig ist. In einer besondere Ausgestaltung der erfindungsgemäßen Schaltungsanordnung kann ein weiterer (externer) Pulldown-Widerstand am BGE-Pin des Bustreiber angeordnet sein, insbesondere um für einen hochohmigen Zustands des Ausgangs der Überwachungseinrichtung einen Low-Pegel sicherzustellen.
Die Überwachungseinrichtung des MikroControllers führt an deren Ausgang eine Signalspannung, die im Fehlerfall, d.h. wenn einer oder mehrere Fehler bzw. Fehlerzustände eines oder mehrere Module des MikroControllers durch die
Überwachungseinrichtung erfasst wurden, vorzugsweise einen Low-Pegel und im Normalfall, d.h. im fehlerfreien Fall, vorzugsweise einen High-Pegel aufweist. Die
Überwachungseinrichtung kann weitergehend derart ausgestaltet sein, dass an deren Ausgang ein hochohmiges Signal geführt wird, wenn sich der MikroController beispielsweise im Reset- Zustand befindet.
Bei Ausgestaltung der erfindungsgemäßen Schaltungsanordnung mit einem Bustreiber als Netzwerktreiber, welcher insbesondere einen BGE-Pin umfasst, ist gemäß einer bevorzugten Ausgestaltung der Ausgang der Überwachungseinrichtung mit dem BGE-Pin des Bustreibers verbunden. Hierdurch liegt vorzugsweise im Normalfall ein High-Pegel vom Ausgang der Überwachungseinrichtung am BGE-Pin des Buswächters an und das Steuergerät kann uneingeschränkt über den Bustreiber mit dem Bus-Netzwerk kommunizieren. Im Fehlerfall wird vorzugsweise ein Low-Pegel vom Ausgang der Überwachungseinrichtung am BGE- Pin des Buswächters angelegt und die Bus-Kommunikation des Steuergeräts wird unterbrochen. Für den Fall, dass sich der MikroController im Reset-Zustand befindet, befindet sich der Ausgang der Überwachungseinrichtung vorzugsweise in einem hochohmigen Zustand. Auch in diesem Fall ist die Bus- Kommunikation durch den Bustreiber deaktiviert, insbesondere wenn durch einen internen Pulldown-Widerstand des BGE-Pins der Pegel auf Low gezogen wird.
Bei Ausgestaltung der erfindungsgemäßen Schaltungsanordnung mit einem Bustreiber als Netzwerktreiber, welcher insbesondere einen BGE-Pin umfasst, führt gemäß einer optionalen Ausgestaltung der Ausgang der Überwachungseinrichtung ein invertiertes Spannungssignal, so dass im Normalfall ein Low- Pegel am Ausgang der Überwachungseinrichtung geführt wird und im Fehlerfall ein High-Pegel. In diesem Fall ist der Ausgang der Überwachungseinrichtung bevorzugt über einen Inverter mit dem BGE-Pin des Bustreibers verbunden. Der Inverter wandelt dabei den Pegel des Spannungssignals des Ausgangs der Überwachungseinrichtung um, so dass im Normalfall ein High- Pegel am BGE-Pin anliegt und die Bus-Kommunikation des Steuergeräts möglich ist. Analog zum Normalfall, wird Fehlerfall der am Ausgang der Überwachungseinrichtung geführte High-Pegel in einen Low-Pegel invertiert, so dass die Bus- Kommunikation des Steuergeräts über den Bustreiber unterbrochen wird.
Bei Ausgestaltung der erfindungsgemäßen Schaltungsanordnung mit einem Bustreiber als Netzwerktreiber, welcher insbesondere einen BGE-Pin umfasst, kann die Überwachungseinrichtung insbesondere zwei Ausgänge umfassen, von denen einer ein invertiertes Spannungssignal führt. In diesem Fall wird bevorzugt der Ausgang der Überwachungseinrichtung mit dem BGE- Pin des Buswächters verbunden, der im Fehlerfall einen Low- Pegel führt, so dass kein zusätzlicher Inverter erforderlich ist .
Bei Ausgestaltung der erfindungsgemäßen Schaltungsanordnung mit einem Bustreiber als Netzwerktreiber, welcher insbesondere einen BGE-Pin umfasst, können sowohl der Eingang der Buswächter-Schnittstelle des Bustreibers, als auch der Ausgang der Überwachungseinrichtung des MikroControllers jeweils invertiert ausgestaltet sein bzw. ein invertiertes Spannungssignal liefern. Die Verbindung zwischen dem Ausgang der Überwachungseinrichtung und dem Eingang der Buswächter- Schnittstelle erfolgt dabei erfindungsgemäß derart, dass im Bedarfsfall ein Inverter zwischengeschaltet wird, so dass im Fehlerfall ein solcher Pegel am Eingang der Buswächter- Schnittstelle des Bustreibers anliegt, dass die Bus- Kommunikation im Fehlerfall unterbrochen wird. Bevorzugt wird dabei ein Inverter zwischengeschaltet, wenn entweder nur der Eingang der Buswächter-Schnittstelle oder nur der Ausgang des MikroControllers invertiert ausgestaltet ist. Für den Fall, dass sowohl Eingang als auch Ausgang invertiert, sowie für den Fall, dass weder Eingang noch Ausgang invertiert ausgestaltet sind, ist vorzugsweise kein zwischengeschalteter Inverter vorgesehen .
In einer bevorzugten Ausführungsvariante der erfindungsgemäßen Schaltungsanordnung handelt es sich bei dem Netzwerkreiber um einen Bustreiber, sowie insbesondere um einen FlexRay- Bustreiber bzw. FlexRay- (Bus- ) Transceiver und bei dem Kommunikationsnetzwerk um ein Bus-Netzwerk, insbesondere um einen FlexRay-Bus in einem Kraftfahrzeug.
In einer weiteren bevorzugten Ausführungsvariante der erfindungsgemäßen Schaltungsvorrichtung handelt es sich bei dem Netzwerktreiber um einen Bustreiber, sowie insbesondere um einen CAN-Bustreiber bzw. CAN- (Bus- ) Transceiver und bei dem Kommunikationsnetzwerk um ein Bus-Netzwerk, insbesondere um einen CAN-Bus in einem Kraftfahrzeug.
Bei Ausgestaltung der erfindungsgemäßen Schaltungsanordnung mit einem Bustreiber als Netzwerktreiber, umfasst gemäß einer vorteilhaften Ausgestaltung der MikroController wenigstens einen Universal Ein-/Ausgang bzw. einen GPIO-Pin (General Purpose Input/Output-Pin) . Der GPIO-Pin ist vorzugsweise mit einem STB- und/oder EN-Pin des Bustreibers verbunden, wobei die Verbindung insbesondere über wenigstens einen elektronischen Schalter erfolgt. Der elektronische Schalter ist dabei bevorzugt an einem Steuereingang zusätzlich mit dem Ausgang der Überwachungseinrichtung verbunden. Durch Anlegen eines geeigneten Pegels vom Ausgang der
Überwachungseinrichtung am Steuereingang des elektronischen Schalters, wird im Fehlerfall ein vom GPIO-Pin des MikroControllers am elektronischen Schalter anliegender Spannungspegel durch den vom Ausgang der
Überwachungseinrichtung überstimmt. Bevorzugt wird der elektronische Schalter und der STB- und/oder EN-Pin des Bustreibers dadurch derart gesteuert, dass die Bus- Kommunikation des Steuergeräts mit dem Bus-Netzwerk unterbrochen wird.
In einer vorteilhaften Ausgestaltung sind der Inverter, zur Umwandlung des am Ausgang der Überwachungseinrichtung geführten invertierten Spannungssignals, und/oder der elektronische Schalter, der zwischen wenigstens einem GPIO-Pin des MikroControllers und einem STB- und/oder EN-Pin des Netzwerktreibers geschaltet ist, als Transistoren ausgestaltet .
Die erfindungsgemäße Schaltungsanordnung ist bevorzugt in einem Steuergerät angeordnet, das über ein
Kommunikationsnetzwerk mit anderen Steuergeräten und elektronischen Komponentenverbunden ist und kommuniziert, beispielsweise über ein Bus-Netzwerk in einem Kraftfahrzeug. Bei dem Steuergerät kann es sich beispielweise um verschiedene aus dem Stand der Technik bekannte Fahrzeugkomponenten bzw. elektronische oder elektromechanische Anlagen handeln, beispielsweise um Steuergeräte für Motor, ABS, Klimaanalage, Instrumententafel, Navigationssystem, Differentialelektronik, Tempomat, Verdeck, Getriebe, Kraftstoffpumpe, Zündung, Airbag, ASR, ESP, Einparksysteme, KE-Jetronic, L-Jetronic,
Bremsanlage, Lichtanlage, etc. Das Steuergerät kann auch Bestandteil eines Fahrerassistenzsystems sein, beispielsweise adaptives Kurvenlicht, Auf- und Abblendassistent für das Fahr- licht, Nachtsichtsysteme, Einparkhilfe, Bremsassistent, Abstandsregeltempomat , Geschwindigkeitsregelung, Abstandswarner, Abbiegeassistent, Stauassistent,
Spurhalteassistent, Spurhalteunterstützung, Spurwechselassistent, Kurvenassistent, Reifendruckkontrollsystem, Fahrerzustandserkennung und
Verkehrszeichenerkennung. Auch Kombinationen der vorangehend genannten Systeme und Funktionen sind denkbar.
Weitere Vorteile sowie optionale Ausgestaltungen der erfindungsgemäßen Schaltungsanordnung gehen aus der Beschreibung und den Zeichnungen hervor. Ausführungsbeispiele sind in den Zeichnungen vereinfacht dargestellt und in der nachfolgenden Beschreibung näher erläutert.
Es zeigt
Figur 1: eine Schaltungsanordnung mit einem Bustreiber als
Netzwerkreiber und mit direkter Verbindung zwischen Ausgang der Überwachungseinrichtung und BGE-Pin des Bustreibers .
Figur 2: eine Schaltungsanordnung mit einem Bustreiber als
Netzwerkreiber und mit Verbindung zwischen Ausgang der Überwachungseinrichtung und BGE-Pin des Bustreibers über einen Inverter.
Figur 3: eine Schaltungsanordnung mit einem Bustreiber als
Netzwerkreiber und mit über den Ausgang der Überwachungseinrichtung steuerbarem elektronischem Schalter zwischen GPIO des MikroController und Hostinterface des Bustreibers.
Figur 4: ein Beispiel für ein Ablaufdiagramm für das Auftreten eines Fehlers in einem Modul des MikroControllers aus Fig. 1. Figur 5 : ein Steuergerät mit einer erfindungsgemäßen
Schaltungsanordnung, einen Ethernet-Treiber als
Netzwerktreiber umfasst, wobei das Steuergerät in einem Ethernet-Netzwerk mit Sterntopologie mit weiteren Steuergeräten kommuniziert.
In Fig. 1 ist ein Beispiel für eine erfindungsgemäße Schaltungsanordnung für ein Steuergerät SG dargestellt. Die Schaltungsanordnung umfasst einen MikroController MC und in diesem Fall einen Bustreiber BT als Netzwerktreiber.
Der Bustreiber BT dient zur Kommunikation des Steuergeräts SG mit einem Bus-Netzwerk BN, beispielsweise über ein Businterface mit BP und/oder BM Eingängen und Ausgängen, und umfasst eine Buswächter-Schnittstelle BG-I mit einen BGE-Pin BGE sowie einen Kommunikationscontroller BT-KC, beispielsweise mit TxD, TxEN und RxD Anschlüssen. Der Bustreiber BT kann zudem weitere Module und Anschlüsse aufweisen, beispielsweise ein Hostinterface BT-HI mit STB, EN, ERRN und/oder SPI Anschlüssen sowie eine Spannungsversorgungseinheit mit Vcc, Vio, Vbat und/oder GND Anschlüssen.
Der MikroController MC umfasst ebenfalls einen Kommunikationscontroller MC-KC, zur Kommunikation mit dem Bustreiber BT, beispielsweise über RxD, TxD und TxEN Schnittstellen, sowie einen Überwachungseinrichtung UE.
Die Überwachungseinrichtung UE ist derart ausgestaltet, dass durch diese Fehler bzw. Fehlerzustände von einzelnen Modulen Ml, M2, Mn des MikroControllers MC erfasst und gesammelt werden können. Die Erfassung der Fehler erfolgt dabei hardwarerealisiert insbesondere über eine integrierte Schaltung, beispielsweise über eine oder mehrere Logikschaltungen, so dass eine Fehlererkennung ohne den Einsatz von Software im MikroController MC erfolgen kann. Die Überwachungseinrichtung UE kann zudem derart ausgestaltet sein, dass diese im Fehlerfall, d.h. bei erfasstem Fehler eines oder mehrere Module Ml, M2, Mn des MikroControllers MC, den MikroController MC in einen sicheren Zustand (Reset) bringen. Darüber hinaus führt die Überwachungseinrichtung UE abhängig davon, ob ein Normalfall, d.h. ein fehlerfreier Zustand, oder ein Fehlerfall vorliegt, eine Signalspannung an einem Ausgang UE-A. In diesem Fall führt die Überwachungseinrichtung UE im Normalfall einen High-Pegel und im Fehlerfall einen Low-Pegel am Ausgang UE-A.
Der Bustreiber BT der Schaltungsanordnung in Fig. 1 ist derart ausgestaltet, dass bei Anliegen eines Low-Pegels einer Signalspannung am Eingang BGE der Buswächter-Schnittstelle BG- I die Kommunikation des Bustreibers BT mit dem Bus-Netzwerk BN unterbrochen bzw. eingestellt wird. Bei dem Eingang BGE der Buswächter-Schnittstelle BG-I handelt es sich in diesem Fall um einen BGE-Pin.
Erfindungsgemäß ist der Ausgang UE-A der
Überwachungseinrichtung UE mit dem BGE-Pin BGE des Bustreibers BT verbunden. Im Fehlerfall liegt somit am BGE-Pin BGE des Bustreibers BT ein Low-Pegel an, so dass im Fehlerfall die Kommunikation des Steuergeräts SG mit dem Bus-Netzwerk BN automatisch unterbrochen wird und auf einfache Weise eine zuverlässige und softwareunabhängige Fail-Silent-Funktion des Steuergeräts SG mit der Schaltungsanordnung aus Fig. 1 realisiert ist.
In Fig. 2 ist eine weitere erfindungsgemäße
Schaltungsanordnung für ein Steuergerät SG dargestellt. Die Schaltungsanordnung ist dabei in weiten Teilen entsprechend der Beschreibung zu Fig. 1 ausgestaltet. In diesem Fall führt die Überwachungseinrichtung UE am Ausgang UE-A ein invertiertes Spannungssignal, d.h. im Normalfall einen Low- Pegel und im Fehlerfall einen High-Pegel. Der Ausgang UE-A ist, wie bereits in Fig. 1, mit einem BGE-Pin BGE des Bustreibers BT verbunden, wobei die Verbindung in diesem Fall über einen Inverter IN (z.B. ein Transistor), erfolgt welcher das vom Ausgang UE-A der Überwachungseinrichtung UE geführte Spannungssignal invertiert, so dass im Normalfall ein High- Pegel und im Fehlerfall ein Low-Pegel am BGE-Pin BGE des Bustreibers BT anliegt. Im Normalfall ist somit eine uneingeschränkte Kommunikation des Steuergeräts SG mit dem Bus-Netzwerk BN über den Bustreiber BT möglich, wobei im Fehlerfall und bei Anliegen eines Low-Pegels am BGE-Pin BGE, der Bustreibers BT die Kommunikation des Bustreibers BT und damit die des Steuergeräts SG mit dem Bus-Netzwerk BN unterbricht .
In Fig. 3 ist ein weiteres Beispiel für eine erfindungsgemäße Schaltungsanordnung dargestellt. Die Schaltungsanordnung ist dabei teilweise entsprechend den Beschreibungen zu den Figuren 1 und 2 aufgebaut. Bei der Ausgestaltung der Schaltungsanordnung entsprechend Fig. 3 ist wenigstens ein GPIO-Pin GPIO des MikroControllers MC mit einem Anschluss des Hostinterfaces BT-HI des Bustreibers BT, beispielsweise mit einer STBN und/oder EN Schnittstelle, verbunden. Die Verbindung erfolgt dabei über einen elektronischen Schalter ES, beispielsweise ein Transistor, der an einem Steuereingang zusätzlich mit dem Ausgang UE-A der Überwachungseinrichtung UE des MikroControllers verbunden ist. Im Fehlerfall steuert der Low-Pegel der Überwachungseinrichtung UE den elektronischen Schalter ES so an, dass der Spannungspegel des GPIO-Pins GPIO am elektronischen Schalter ES überstimmt wird und damit der STBN- und/oder EN-Pin des Bustreibers BT derart gesteuert werden, dass die Kommunikation mit dem Bus-Netzwerk BN über den Bustreiber BT unterbrochen wird.
Erfindungsgemäß kann das Steuergerät SG bzw. die Schaltungsanordnung aus den Figuren 1, 2 und 3 auch weitere elektrische und/oder elektromechanische bzw. mechanische Elemente sowie Schaltkreise umfassen.
In Fig. 4 ist beispielhaft ein Ablaufdiagramm gezeigt für eine Schaltungsanordnung aus Fig. 1. Für den Fall, dass zum Zeitpunkt tl ein Fehler F im MikroController MC auftritt, wird dieser durch die Überwachungseinrichtung UE zum Zeitpunkt t2 erfasst, worauf am Ausgang UE-A der Überwachungseinrichtung UE etwa ab dem Zeitpunkt t3 ein Low-Pegel L geführt wird. Dadurch dass der Ausgang UE-A der Überwachungseinrichtung UE mit dem BGE-Pin BGE des Bustreibers BT bzw. dessen Buswächter- Schnittstelle BG-I verbunden ist, liegt spätestens zum Zeit t3 auch am BGE-Pin BGE ein Low-Pegel L an, worauf die Kommunikation BK des Bustreibers BT bzw. des Steuergeräts SG mit dem Bus-Netzwerk BN unterbrochen wird. Für den Fall, dass kein Fehler F erfasst wurde, d.h. im Normalfall bzw. in diesem Fall bis zum Zeitpunkt tl, wird ein High-Pegel H am Ausgang UE-A geführt und die Buskommunikation BK ist möglich m. Ab dem Zeitpunkt t3, d.h. im Fehlerfall, ist die Buskommunikation BK nichtmehr möglich nm.
Im konkreten Anwendungsfall kann beispielsweise ein MikroController des Herstellers Freescale Semiconductor verwendet werden, z.B. der MPC5643L oder der MPC567xK Microcontroller. Dieser umfasst eine „Fault Collection and Control Unit" (FCCU) die eine in Hardware realisierte Fehlererkennung aufweist und einen Ausgang (FCCU-Ausgang) umfasst, der eine Signalspannung mit einem High-Pegel und Low- Pegel in Abhängigkeit der Fehlererkennung der FCCU führt. Der FCCU-Ausgang könnte in diesem Fall mit einem „bus guardian enable"-Pin eines Bustreibers, beispielsweise eines FlexRay- Transceives, verbunden werden. Fig. 5 zeigt ein Steuergerät SG mit einer erfindungsgemäßen Schaltungsanordnung, die in diesem Fall einen Ethernet-Treiber ET als Netzwerktreiber umfasst. Das Steuergerät SG ist weiterhin in einem Ethernet-Netzwerk, in diesem Fall mit Sterntopologie, angeordnet und kommuniziert über einen Ethernet-Switch ES sowie über Ethernet-Zweige EZ mit weiteren Steuergeräten SGI und SG2.
Der Ethernet-Treiber ET umfasst dabei einen Reset-Pin RE sowie einen Kommunikationscontroller ET-KC. Der Bustreiber ET kann zudem weitere Module und Anschlüsse aufweisen.
Der MikroController MC umfasst ebenfalls einen Kommunikationscontroller MC-KC, zur Kommunikation mit dem Ethernet-Treiber ET, sowie einen Überwachungseinrichtung UE. Der MikroController MC kann ebenfalls weitere Module und Anschlüsse aufweisen.
Die Überwachungseinrichtung UE ist derart ausgestaltet, dass durch diese Fehler bzw. Fehlerzustände von einzelnen Modulen erfasst und/oder gesammelt werden können. Die Erfassung der Fehler erfolgt dabei hardwarerealisiert, insbesondere über eine integrierte Schaltung, beispielsweise über eine oder mehrere Logikschaltungen, so dass eine Fehlererkennung ohne den Einsatz von Software im MikroController MC erfolgen kann. Die Überwachungseinrichtung UE kann weiterhin derart ausgestaltet sein, dass diese im Fehlerfall, d.h. bei erfasstem Fehler eines oder mehrere Module des MikroControllers MC, den MikroController MC in einen sicheren Zustand (Reset) bringen. Darüber hinaus führt die Überwachungseinrichtung UE abhängig davon, ob ein Normalfall, d.h. ein fehlerfreier Zustand, oder ein Fehlerfall vorliegt, einen bestimmten Spannungspegel einer Signalspannung an einem Ausgang UE-A.
Der Ethernet-Treiber ET der Schaltungsanordnung in Fig. 5 ist derart ausgestaltet, dass bei Anliegen eines bestimmten Spannungsegels, insbesondere eines High- oder Low-Pegels, einer am Reset-Pin RE angelegten Spannung, die Kommunikation des Ethenet-Treibers ET mit dem Ethernet-Netzwerk EN unterbrochen bzw. eingestellt wird. Der Reset-Pin RE dient somit beispielsweise zur Umsetzung eines high-aktiven oder low-aktiven Resets des Ethernet-Tansceivers ET.
Gemäß Fig. 5 ist der Ausgang UE-A der Überwachungseinrichtung UE mit dem Reset-Pin RE des Ethernet-Treibers ET verbunden. Je nachdem, ob der Reset-Pin RE mit einem high-aktiven oder low- aktiven Reset ausgebildet ist, und je nachdem, ob der Ausgang UE-A der Überwachungseinrichtung UE einen High-Pegel oder Low- Pegel der Signalspannung im Fehlerfall führt, kann der Ausgang UE-A direkt oder beispielsweise über einen Inverter IN mit dem Reset-Pin RE verbunden sein.
Bezeichnungsliste
SG Steuergerät
BT Bustreiber
ET Ethernet-Treiber
MC MikroController
Ml Modul 1 des MikroControllers
M2 Modul 2 des MikroControllers
Mn Modul n des MikroControllers
BN Bus-Netzwerk
UE Überwachungseinrichtung
BG- I Buswächter-Schnittstelle
BGE BGE-Pin
RE Reset-Pin
IN Inverter
ES elektronischer Schalter
BT- KC Bustreiber-Kommunikationscontroller
ET- KC Ethernet-Treiber-Kommunikationscontroller
MC- KC Mikrocontroller-Kommunikationscontroller
BT- HI Bustreiber-Hostinterface
GPIO Universal Ein-/Ausgang
EZ Ethernet- Zweig
ES Ethernet- Switch
SGI weiteres Steuergerät 1
SG2 weiteres Steuergerät 2
T Zeit
tl Zeitpunkt 1
t2 Zeitpunkt 2
t3 Zeitpunkt 3
F Fehler
BK Buskommunikation
m Buskommunikation möglich
nm Buskommunikation nicht möglich H High L Low

Claims

Patentansprüche
1. Schaltungsanordnung für ein Steuergerät (SG) ,
zur Umsetzung einer Fail-Silent- bzw. Fail-Safe-Funktion, umfassend
einen MikroController (MC) , der eine hardwarerealisierte Überwachungseinrichtung (UE) umfasst, die Fehler in einzelnen Modulen (Ml, M2, Mn) des MikroControllers (MC) erfasst und mindestens einen Ausgang (UE-A)
aufweist, um externe Komponenten mittels einer
Signalspannung über erfasste Fehler zu informieren, und einen Netzwerktreiber (BT, ET) , der zur Kommunikation des Steuergeräts (SG) mit einem Kommunikationsnetzwerk (BN) dient,
dadurch gekennzeichnet, dass
die am Ausgang (UE-A) der Überwachungseinrichtung (UE) geführte Signalspannung dazu genutzt wird, um bei
Erfassung eines Fehlers durch die Überwachungseinrichtung (UE) den Netzwerktreiber (BT, ET) derart zu steuern, dass die Netzwerk-Kommunikation des Steuergeräts (SG)
unterbrochen wird.
2. Schaltungsanordnung nach Anspruch 1, dadurch
gekennzeichnet, dass
der Netzwerktreiber (BT, ET) einen Eingang (BGE, RE) umfasst, über den sich die Netzwerk-Kommunikation
deaktivieren lässt, und
der Ausgang (UE-A) der Überwachungseinrichtung (UE) mit dem Eingang (BGE, RE) verbunden ist,
wobei ein bestimmter Spannungspegel der Signalspannung, der im Fehlerfall am Ausgang (UE-A) der
Überwachungseinrichtung (UE) geführt wird, dazu genutzt wird, dass der Netzwerktreiber (BT, ET) die Netzwerk-Kommunikation des Steuergeräts (SG) im Fehlerfall unterbricht.
3. Schaltungsanordnung nach einem der vorangegangenen
Ansprüche,
dadurch gekennzeichnet, dass
es sich bei dem Kommunikationsnetzwerk (BN) um ein
Netzwerk mit Bus-, Ring-, Punkt-zu-Punkt- oder Stern- Topologie handelt.
4. Schaltungsanordnung nach einem der vorangegangenen
Ansprüche, dadurch gekennzeichnet, dass
es sich bei dem Netzwerktreiber (BT, ET) um einen
Ethernet-Treiber (ET) handelt, der zur Kommunikation des Steuergeräts (SG) mit dem Ethernet-Netzwerk dient, wobei die am Ausgang der Überwachungseinrichtung (UE-A) geführte Signalspannung dazu genutzt wird, um bei
Erfassung eines Fehlers durch die Überwachungseinrichtung (UE) den Ethernet-Treiber (ET) derart zu steuern, dass die Kommunikation des Steuergeräts (SG) mit dem Ethernet- Netzwerk unterbrochen wird.
5. Schaltungsanordnung nach Anspruch 4, dadurch
gekennzeichnet, dass
der Ethernet-Treiber (ET) einen Reset-Eingang (RE) umfasst und
der Ausgang (UE-A) der Überwachungseinrichtung (UE) mit dem Reset-Eingang (RE) des Ethernet-Treibers (ET) verbunden ist,
wobei ein High-Pegel oder Low-Pegel der Signalspannung, der im Fehlerfall am Ausgang (UE-A) der
Überwachungseinrichtung (UE) geführt wird, dazu genutzt wird, dass der Ethernet-Treiber (ET) über einen high- aktiven oder low-aktiven Reset die Ethernet-Kommunikation des Steuergeräts (SG) im Fehlerfall unterbricht.
6. Schaltungsanordnung nach Anspruch 4, dadurch
gekennzeichnet, dass
der Ethernet-Treiber (ET) einen Reset-Eingang (RE) umfasst und ein GPIO-Pin (GPIO) des MikroControllers (MC) mit dem Reset-Eingang (RE) über einen elektronischen Schalter (ES) verbunden ist und
der Ausgang (UE-A) der Überwachungseinrichtung (UE) mit einem Steuereingang des elektronischen Schalters (ES) verbunden ist,
wobei im Fehlerfall durch Anlegen einen geeigneten
Spannungspegels der Signalspannung am Steuereingang des elektronischen Schalters (ES) ein Spannungspegel des GPIO-Pins (GPIO) überstimmt wird, wodurch der Reset- Eingang (RE) des Ethernet-Treibers (ET) derart gesteuert wird, dass der Ethernet-Treiber (ET) die Ethernet- Kommunikation des Steuergeräts (SG) unterbricht.
7. Schaltungsanordnung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet,
dass es sich bei dem Netzwerktreiber (BT, ET) um einen Bustreiber (BT) handelt, der zur Kommunikation des
Steuergeräts (SG) mit einem Busnetzwerk (BN) dient, wobei
die am Ausgang (UE-A) der Überwachungseinrichtung (UE) geführte Signalspannung dazu genutzt wird, um bei
Erfassung eines Fehlers durch die Überwachungseinrichtung (UE) den Bustreiber (BT) derart zu steuern, dass die Bus- Kommunikation des Steuergeräts (SG) unterbrochen wird.
8. Schaltungsanordnung nach Anspruch 7, dadurch
gekennzeichnet, dass der Bustreiber (BT) eine Buswächter-Schnittstelle (BG-I) mit einem Eingang (BGE) umfasst und
der Ausgang (UE-A) der Überwachungseinrichtung (UE) mit dem Eingang (BGE) der Buswächter-Schnittstelle (BG-I) verbunden ist,
wobei im Normalfall ein High-Pegel und im Fehlerfall ein Low-Pegel der Signalspannung am Ausgang (UE-A) der
Überwachungseinrichtung (UE) geführt wird und
der Bustreiber (BT) die Bus-Kommunikation unterbricht, wenn am Eingang (BGE) der Buswächter-Schnittstelle (BG-I) ein Low-Pegel anliegt.
9. Schaltungsanordnung nach Anspruch 7, dadurch
gekennzeichnet, dass
der Bustreiber (BT) eine Buswächter-Schnittstelle (BG-I) mit einem Eingang (BGE) umfasst und
der Ausgang (UE-A) der Überwachungseinrichtung (UE) ein invertiertes Spannungssignal führt,
wobei im Normalfall ein Low-Pegel und im Fehlerfall ein High-Pegel der Signalspannung am Ausgang (UE-A) der
Überwachungseinrichtung (UE) geführt wird,
der Ausgang (UE-A) der Überwachungseinrichtung (UE) über einen Inverter (IN) mit dem Eingang (BGE) der
Buswächterschnittstelle (BG-I) des Bustreibers (BT) verbunden ist und
der Bustreiber (BT) die Bus-Kommunikation unterbricht, wenn am Eingang (BGE) der Buswächter-Schnittstelle (BG-I) ein Low-Pegel anliegt.
10. Schaltungsanordnung nach Anspruch 7, dadurch
gekennzeichnet, dass
ein GPIO-Pin (GPIO) des MikroControllers (MC) mit einem STB- und/oder EN-Pin eines Hostinterface (BT-HI) des Bustreibers (BT) über einen elektronischen Schalter (ES) verbunden ist und
der Ausgang (UE-A) der Überwachungseinrichtung (UE) mit einem Steuereingang des elektronischen Schalters (ES) verbunden ist,
wobei im Fehlerfall durch Anlegen eines geeigneten Pegels am Steuereingang des elektronischen Schalters (ES) ein Spannungspegel des GPIO-Pins (GPIO) überstimmt wird, wodurch der STB- und/oder EN-Pin des Bustreibers (BT) derart gesteuert werden,
dass der Bustreiber (BT) die Bus-Kommunikation
unterbricht .
11. Schaltungsanordnung nach einem der Ansprüche 7 bis 10, dadurch gekennzeichnet, dass
es sich bei dem Bustreiber (BT) um einen CAN- (Bus-)
Transceiver handelt.
12. Schaltungsanordnung nach einem der Ansprüche 7 bis 10, dadurch gekennzeichnet, dass
es sich bei dem Bustreiber (BT) um einen FlexRay- (Bus-) Transceiver handelt.
13. Schaltungsanordnung nach einem der vorangegangenen Ansprüche, dadurch gekennzeichnet, dass
der elektronische Schalter (ES) und/oder der Inverter (IN) als Transistoren ausgestaltet sind.
14. Steuergerät (SG) in dem eine Schaltungsanordnung nach einem der vorangegangenen Ansprüche angeordnet ist.
15. Kraftfahrzeug in dem eine Schaltungsanordnung nach einem der Ansprüche 1 bis 13 und/oder ein Steuergerät (SG) nach Anspruch 14 angeordnet ist.
PCT/DE2012/100081 2011-04-11 2012-03-30 Schaltungsanordnung mit fail-silent-funktion Ceased WO2012139558A1 (de)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2014504157A JP5746791B2 (ja) 2011-04-11 2012-03-30 フェール・サイレント機能を備えた回路構成
US14/110,945 US9594356B2 (en) 2011-04-11 2012-03-30 Circuit arrangement having a fail-silent function
DE112012000632T DE112012000632A5 (de) 2011-04-11 2012-03-30 Schaltungsanordnung mit Fail-Silent-Funktion

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102011016706.4 2011-04-11
DE102011016706A DE102011016706A1 (de) 2011-04-11 2011-04-11 Schaltungsanordnung mit Fail-Silent-Funktion

Publications (1)

Publication Number Publication Date
WO2012139558A1 true WO2012139558A1 (de) 2012-10-18

Family

ID=46061966

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/DE2012/100081 Ceased WO2012139558A1 (de) 2011-04-11 2012-03-30 Schaltungsanordnung mit fail-silent-funktion

Country Status (4)

Country Link
US (1) US9594356B2 (de)
JP (1) JP5746791B2 (de)
DE (2) DE102011016706A1 (de)
WO (1) WO2012139558A1 (de)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102013214577A1 (de) * 2013-07-25 2015-01-29 Continental Automotive Gmbh überwachung und Diagnose eines Steuergerätes
CN104566867A (zh) * 2015-01-27 2015-04-29 蒋雨兰 车载空调运行状态监测与维护更新的plc管控程序

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102015202326A1 (de) * 2015-02-10 2016-08-11 Robert Bosch Gmbh Verfahren zum Betreiben einer Datenverarbeitungseinheit eines Fahrerassistenzsystems und Datenverarbeitungseinheit
DE102016106531A1 (de) * 2016-04-08 2017-10-12 Eaton Electrical Ip Gmbh & Co. Kg Busteilnehmer und Verfahren zum Betreiben eines Busteilnehmers
DE102018101103B4 (de) * 2018-01-18 2026-03-12 Volkswagen Aktiengesellschaft Verfahren und Computerprogramme für eine Überwachungsinstanz und eine Kommunikationskomponente, Überwachungsinstanz, Kommunikationskomponente, System und Fahrzeug
IT201800003234A1 (it) 2018-03-02 2019-09-02 Stmicroelectronics Application Gmbh Sistema di elaborazione, relativo circuito integrato e procedimento
DE102019204176B4 (de) 2019-03-26 2021-05-27 Vitesco Technologies GmbH Schaltungsanordnung zum Verhindern der fehlerhaften Datenübertragung über eine Busschnittstelle
US11863468B2 (en) * 2019-04-19 2024-01-02 Marvell Asia Pte Ltd Control of ethernet link-partner GPIO using OAM
EP3779699B1 (de) * 2019-08-16 2024-06-05 Aptiv Technologies AG Verfahren zur kontrolle der programmausführung eines mikrosteuergeräts, externe vorrichtung, system und nichttransitorisches computerlesbares medium
US12164369B2 (en) 2022-10-29 2024-12-10 Nxp B.V. Method and apparatus for selective input/output (IO) terminal safe-stating for independent on-chip applications
TWI893730B (zh) * 2024-03-27 2025-08-11 技嘉科技股份有限公司 顯示器

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE10255430A1 (de) 2002-11-28 2004-06-09 Conti Temic Microelectronic Gmbh Verfahren zur Reduzierung des Stromverbrauchs eines Mikroprozessors mit Watchdog-Schaltung
DE10296400B4 (de) 2001-03-08 2007-07-05 Siemens Vdo Automotive Corp., Auburn Hills Aufwecksystem für auf einem Fahrzeug unterstützte elektronische Komponenten

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6052746A (en) * 1998-04-14 2000-04-18 Motorola, Inc. Integrated circuit having programmable pull device configured to enable/disable first function in favor of second function according to predetermined scheme before/after reset
AT407582B (de) * 1999-08-13 2001-04-25 Fts Computertechnik Gmbh Nachrichtenverteilereinheit mit integriertem guardian zur verhinderung von ''babbling idiot'' fehlern
DE10144070A1 (de) 2001-09-07 2003-03-27 Philips Corp Intellectual Pty Kommunikationsnetzwerk und Verfahren zur Steuerung des Kommunikationsnetzwerks
DE10239846B4 (de) * 2002-08-29 2012-11-15 Bayerische Motoren Werke Aktiengesellschaft Fail-Silent-Steuergerät
SE524201C2 (sv) * 2002-12-17 2004-07-06 Lars-Berno Fredriksson Anordning vid distribuerat styr- och övervakningssystem
DE10328707B4 (de) * 2003-06-26 2013-10-02 Bayerische Motoren Werke Aktiengesellschaft Fail-Silent-Datenbus
DE102004038211A1 (de) * 2004-08-05 2006-03-16 Robert Bosch Gmbh Botschaftsverwalter und Verfahren zur Steuerung des Zugriffs auf Daten eines Botschaftsspeichers eines Kommunikationsbausteins
DE102005060903A1 (de) * 2005-04-27 2006-11-02 Robert Bosch Gmbh Verfahren und Vorrichtung zum Dekodieren eines Signals
DE102005061392A1 (de) * 2005-12-22 2007-06-28 Robert Bosch Gmbh Bus-Guardian eines Teilnehmers eines Kommunikationssystems, sowie Teilnehmer für ein Kommunikationssystem
DE102005061403A1 (de) 2005-12-22 2007-06-28 Robert Bosch Gmbh Überwachungseinheit zur Überwachung und Steuerung des Zugriffs eines Teilnehmers auf einen Datenbus und Teilnehmer mit einer solchen Überwachungseinheit
US8407339B2 (en) * 2007-11-14 2013-03-26 Nxp B.V. Star network and method for preventing a repeated transmission of a control symbol in such a star network

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE10296400B4 (de) 2001-03-08 2007-07-05 Siemens Vdo Automotive Corp., Auburn Hills Aufwecksystem für auf einem Fahrzeug unterstützte elektronische Komponenten
DE10255430A1 (de) 2002-11-28 2004-06-09 Conti Temic Microelectronic Gmbh Verfahren zur Reduzierung des Stromverbrauchs eines Mikroprozessors mit Watchdog-Schaltung

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
BUJA G ET AL: "Overcoming Babbling-Idiot Failures in the FlexCAN Architecture: A Simple Bus-Guardian", 10TH IEEE INTERNATIONAL CONFERENCE ON EMERGING TECHOLOGIES AND FACTORY AUTOMATION, IEEE, PISCATAWAY, NJ, USA, vol. 2, 19 September 2005 (2005-09-19), pages 461 - 468, XP010905518, ISBN: 978-0-7803-9401-8, DOI: 10.1109/ETFA.2005.1612713 *
KAI WANG ET AL: "Avoiding the babbling idiot failure in a communication system based on flexible time division multiple access: A bus guardian solution", INDUSTRIAL ELECTRONICS, 2009. ISIE 2009. IEEE INTERNATIONAL SYMPOSIUM ON, IEEE, PISCATAWAY, NJ, USA, 5 July 2009 (2009-07-05), pages 1292 - 1297, XP031519154, ISBN: 978-1-4244-4347-5 *
NN: "FlexRay(TM) Preliminary Node-Local Bus Guardian Specification V2.0.9", 15 December 2005 (2005-12-15), pages 1 - 75, XP055029767, Retrieved from the Internet <URL:http://www.flexray.com/index.php?sid=4bbc769e75a6fb585dbeda7fe7bcc70b&pid=93&did=9> [retrieved on 20120613] *
TEMPLE C: "Avoiding the babbling-idiot failure in a time-triggered communication system", FAULT-TOLERANT COMPUTING, 1998. DIGEST OF PAPERS. TWENTY-EIGHTH ANNUAL INTERNATIONAL SYMPOSIUM ON MUNICH, GERMANY 23-25 JUNE 1998, LOS ALAMITOS, CA, USA,IEEE COMPUT. SOC, US, 23 June 1998 (1998-06-23), pages 218 - 227, XP010291298, ISBN: 978-0-8186-8470-8, DOI: 10.1109/FTCS.1998.689473 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102013214577A1 (de) * 2013-07-25 2015-01-29 Continental Automotive Gmbh überwachung und Diagnose eines Steuergerätes
US10142189B2 (en) 2013-07-25 2018-11-27 Continental Automotive Gmbh Monitoring and diagnosis of a control device
CN104566867A (zh) * 2015-01-27 2015-04-29 蒋雨兰 车载空调运行状态监测与维护更新的plc管控程序

Also Published As

Publication number Publication date
JP5746791B2 (ja) 2015-07-08
DE102011016706A1 (de) 2012-10-11
JP2014514206A (ja) 2014-06-19
DE112012000632A5 (de) 2013-11-14
US9594356B2 (en) 2017-03-14
US20140058541A1 (en) 2014-02-27

Similar Documents

Publication Publication Date Title
WO2012139558A1 (de) Schaltungsanordnung mit fail-silent-funktion
DE102012101747B4 (de) Zuverlässige datenübertragung mit verringerter bit-fehlerrate
EP3256861B1 (de) Sensorgehäuse für eine radsensorvorrichtung, radsensorvorrichtung und deren anbindungskomponente
EP3768574B1 (de) Steer-by-wire architekturen
DE102017209721A1 (de) Vorrichtung für die Steuerung eines sicherheitsrelevanten Vorganges, Verfahren zum Testen der Funktionsfähigkeit der Vorrichtung, sowie Kraftfahrzeug mit der Vorrichtung
WO2015074938A1 (de) Fahrzeug mit einem ethernet-bussystem und verfahren zum betreiben eines solchen bussystems
DE102013020177A1 (de) Kraftfahrzeug
DE112014003026B4 (de) Steuergerät
EP3385934A1 (de) Vorrichtung für die steuerung eines sicherheitsrelevanten vorganges, verfahren zum testen der funktionsfähigkeit der vorrichtung, sowie kraftfahrzeug mit der vorrichtung
DE102018220605A1 (de) Kraftfahrzeugnetzwerk und Verfahren zum Betreiben eines Kraftfahrzeugnetzwerks
DE102013200535A1 (de) Verfahren und Vorrichtung zum Betrieb eines Kommunikationsnetzwerks insbesondere eines Kraftfahrzeugs
EP2628147B1 (de) Vorrichtung und verfahren zur signalisierung von funktionsausfällen eines fahrzeugs
DE102013011282B4 (de) Verfahren und System zur Steuerung von Funktionen eines Fahrzeugs abhängig von einem Zustand einer Lenkwinkelerfassung sowie Fahrzeug
EP2151737A1 (de) Schaltungsanordnung für eine serielle Kommunikation mit Aufweckfuntion
EP1904343B1 (de) Elektronische vorrichtung
EP3466019B1 (de) Kraftfahrzeug-schnittstelle mit unterbrecher
DE102013200528A1 (de) Verfahren und Vorrichtung zum Betrieb eines Kommunikationsnetzwerks insbesondere eines Kraftfahrzeugs
DE102008052322B4 (de) Integriertes Limp Home System
DE102016117169B4 (de) System zur Energie- und/oder Datenübertragung
DE102007036260A1 (de) Elektrisches Bremssystem
DE102020120431B3 (de) Verfahren zum Betreiben eines Bordnetzes, Bordnetz sowie Kraftfahrzeug mit einem Bordnetz
WO2022012876A1 (de) Halbleiterchip und sicherheitsschaltungsanordnung mit einem solchen halbleiterchip
EP4353544B1 (de) Verfahren zur verhinderung der nichtauslösung von airbags durch kurzschlüsse an zuleitungen anderer airbags
DE102007023190A1 (de) Sensorschnittstelle mit Sensor- und Steuereinrichtungsanschlüssen
DE102015119611A1 (de) Verbesserung der Diagnostizierbarkeit von Fail-operational Systemen

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12720404

Country of ref document: EP

Kind code of ref document: A1

DPE1 Request for preliminary examination filed after expiration of 19th month from priority date (pct application filed from 20040101)
WWE Wipo information: entry into national phase

Ref document number: 1120120006321

Country of ref document: DE

Ref document number: 112012000632

Country of ref document: DE

ENP Entry into the national phase

Ref document number: 2014504157

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 14110945

Country of ref document: US

REG Reference to national code

Ref country code: DE

Ref legal event code: R225

Ref document number: 112012000632

Country of ref document: DE

Effective date: 20131114

122 Ep: pct application non-entry in european phase

Ref document number: 12720404

Country of ref document: EP

Kind code of ref document: A1