DE69737308T2

DE69737308T2 - Fehlertolerantes kraftfahrzeugsteuerungssystem

Info

Publication number: DE69737308T2
Application number: DE69737308T
Authority: DE
Inventors: William Redmond WONG; W. Lawrence Bellevue LEE
Original assignee: Microsoft Corp
Current assignee: Microsoft Corp
Priority date: 1996-12-16
Filing date: 1997-12-10
Publication date: 2007-09-13
Anticipated expiration: 2017-12-11
Also published as: JP4091126B2; EP0942849B1; JP2001506789A; WO1998026958A1; DE69737308D1; KR20000057625A; CA2275246C; CA2275246A1; EP0942849A1; US5957985A

Description

Die Erfindung betrifft ein fehlertolerantes Kraftfahrzeugsteuerungssystem, ein Kraftfahrzeug mit einem derartigen System, ein Verfahren zum Betreiben eines Kraftfahrzeugsteuerungssystems und einen zum Durchführen der Schritte des Verfahrens programmierter Computer.
HINTERGRUND DER ERFINDUNG
Moderne Kraftfahrzeuge sind typischerweise mit einer Vielzahl unabhängiger elektronischer Komponenten ausgerüstet. Beispielsweise weisen die meisten modernen Kraftfahrzeuge ein elektronisches Motormanagementsystem, ein rechnergestütztes Antiblockiersystem (ABS), ein Fahrzeugsicherheitssystem, ein Beleuchtungssteuerungssystem, ein Klimatisierungssteuerungssubsystem und ein Klangwiedergabesystem auf. Das Motormanagementsystem verwendet üblicherweise einen elektronischen Controller, um die Wirtschaftlichkeit des Treibstoffs zu maximieren und schädliche Emissionen zu minimieren. Das Antiblockiersystem verwendet elektronische Sensoren und Mikroprozessoren, um ein Kraftfahrzeug in optimalem Maße unter Vermeidung eines Rutschens zu verlangsamen. Das Fahrzeugsicherheitssystem weist einen bei einem Unfall reagierenden Controller auf, der während eines Unfalls ausgelöst wird, um einen oder mehrere Airbags zu entfalten.
Einige aktuelle Fahrzeugmodelle sind mit einem Navigationssystem ausgerüstet, das einen GPS (Global Positioning System)-Empfänger zum Empfangen von Positionssignalen aus einem Satellitennetzwerk verwendet. Das Navigationssystem berechnet Koordinaten, die das Fahrzeug auf der Oberfläche der Erde in Bezug auf Längengrad, Breitengrad und Höhe lokalisieren. Zellulare Kommunikationssysteme sind ebenso in Kraftfahrzeugen eingeführt worden, um dem Fahrer oder Insassen das Führen von Telefonanrufen aus ihrem Fahrzeug zu ermöglichen. Die meisten neuen Kraftfahrzeuge sind ferner mit einem Diagnosesystem aufgebaut, das die Leistung des Kraftfahrzeugmotors, Lüftungs- und Heizungssystems und anderer Komponenten analysiert (1996 oder später mit OBD II, 1993 oder später mit OBD I).
Obwohl sich diese verschiedenen elektronischen Komponenten als nützlich erwiesen haben, besteht ein Nachteil darin, dass alle vollkommen getrennt und unabhängig voneinander sind. Im Allgemeinen werden diese Subsysteme von unterschiedlichen Herstellern geliefert. Die grundverschiedenen Komponenten verwenden häufig proprietäre, zweckbestimmte Prozessoren oder ASICs (Application Specific Integrated Circuits), die unterschiedliche Systemarchitekturen aufweisen und inkompatible proprietäre Software ausführen. Die Komponenten weisen beschränkte oder keine Kommunikationsmöglichkeit untereinander auf.
Einige Fortschritte sind bei der Integration von Komponenten gemacht worden. Typischerweise fordern die Vorschläge, jede der verteilten Komponenten mit einem Datenbus, wie beispielsweise einem CAN (Controller Area Network)-Protokollbus, zu verbinden. Entwickler haben verschiedene multiplexende Protokolle und Token übergebende Protokolle theoretisiert, um Kommunikation über den Bus zu ermöglichen. Wegen weiterer Informationen zu diesen Vorschlägen wird der Leser auf die folgenden Artikel verwiesen, die in einer Veröffentlichung der SAE (Society of Automative Engineers) erschienen sind: Inoue u. a., „Multiplex Systems for Automotive Integrated Control", Multiplex Technolgoy Applications in Vehicle Electrical Systems, SP-954, Nr. 930002, Copyright 1993; Azuma u. a., „Development of a Class C Multiplex Control IC", Multiplex Technology Applications in Vehicle Electrical System, SP-954, Nr. 930003, Copyright 1993; Mathony u. a., "Network Architecture for CAN", Multiplex Technology Appllications in Vehicle Electrical Systems, SP-954, Nr. 930004, Copyright 1993; Szydolowski, "A Gateway for CAN Specification 2.0 Non-Passive Devices", Multiplex Technology Applications in Vehicle Electrical Systems, SP-954, Nr. 930005, Copyright 1993; Neumann u. a., "Open Systems and Interfaces for Distributed Electronics in Cars (OSEK)", Automotive Multiplexing Technology, SP-1070, Nr. 950291, Copyright 1995 und Emaus, "Aspects and Issues of Multiple Vehicle Networks", Automotive Multiplexing Technology, SP-1070, Nr. 950293, Copyright 1995.
Obwohl es einigen Fortschritt beim gegenseitigen Verbinden elektronischer Komponenten in einem verteilten System über eine Kommunikationsverbindung gibt, existiert kein allgemein akzeptierter Standard für den Haupt-Systembus im Kraftfahrzeug und das Bus-Interface. Zusätzlich sind selbst in der verteilten Architektur die elektronischen Komponenten einzeln hinsichtlich unbehebbarer Ausfälle anfällig. Wenn eine Komponente einen Ausfall der Elektronik, wie beispielsweise einen ausgefallenen Controller, wahrnimmt, wird die Komponente entweder vollständig nutzlos gemacht oder zu einer sicheren, aber sonst suboptimal arbeitenden Einheit herabgesetzt.
Die Erfinder haben ein fehlertolerantes System entwickelt, das diese Probleme löst.
Pöttig, W., Schmidt, A.: „Universelles, sicheres und fehlertolerantes Multicontroller-System; Anwendung in einem vollautomatischen Fahrzeugleitsystem"; VDI-Berichte Nr. 612, VDI-Verlag, Düsseldorf, 1996, Seiten 219–232 beschreibt ein universelles, zuverlässiges und fehlertolerantes Multicontroller-System in einem automatischen Fahrzeugleitsystem. Aus Sicherheitsgründen sind Redundanzen in dieses System eingebaut. Es sind acht verschiedene Arten von Redundanz einschließlich zentralisierter Redundanz beschrieben, in der – im Falle eines Ausfalls – alle Systemfunktionen durch eine Funktionseinheit, die ausreichend sein würde, um eigenständig die gesamte Funktion zu erhalten, übernommen werden. In Beispiel 1 der 3 ist es klar, dass das System zwei Steuereinheiten umfasst, wobei die zweite Steuereinheit einen Ersatz für die erste zur Verfügung stellt. Die Systeme beschäftigen sich vornehmlich mit lokalen Prozessoreinheiten, die eher in einem ausfallsicheren Zustand arbeiten als von woanders gesteuert zu werden.
ZUSAMMENFASSUNG DER ERFINDUNG
Die Erfindung betrifft ein fehlertolerantes Kraftfahrzeugsteuerungssystem, das verschiedenartige und separate Kraftfahrzeugkomponenten integriert und Komponentenausfall toleriert.
Nach einem ersten Aspekt der Erfindung weist ein fehlertolerantes Kraftfahrzeugsteuerungssystem für ein Kraftfahrzeug eine Vielzahl von elektronischen Kraftfahrzeugkomponenten auf, wobei jede elektronische Kraftfahrzeugkomponente einen lokalen Controller zum Steuern des Betriebs der elektronischen Kraftfahrzeugkomponente aufweist, wobei jeder lokaler Controller Treibersoftware speichert und der Controller derart ausgestaltet ist, dass er bei Ausführung der Software die elektronische Kraftfahrzeugskomponente steuert, wobei das Kraftfahrzeugsteuerungssystem umfasst: eine elektrisch mit den elektronischen Kraftfahrzeugkomponenten verbundene Master-Steuereinheit, die einen Computerprozessor aufweist, wobei jede der elektronischen Komponenten zum Registrieren bei der Master-Steuereinheit und zum Programmieren der Master-Steuereinheit während der Initialisierung oder beim Hinzufügen zu dem System durch Herunterladen der Treibersoftware für die lokalen Controller und durch Speichern der Treibersoftware in der Master-Steuereinheit ausgestaltet ist, wobei der Computerprozessor dabei zum Durchführen der Steueraufgaben des lokalen Controllers programmiert ist, so dass in einem Falle eines Ausfalls eines der lokalen Controller der Computerprozessor die Treibersoftware des ausgefallenen lokalen Controllers ausführt, so dass die Master-Steuereinheit die elektronische Kraftfahrzeugkomponente statt des ausgefallenen lokalen Controllers steuert, wobei die Master-Steuereinheit während des Betriebs des Steuerungssystems zum kontinuierlichen Überwachen hinsichtlich eines Ausfalls eines lokalen Controllers ausgestaltet ist, worin jede elektronische Kraftfahrzeugkomponente eine Schaltlogik umfasst, die zum selektiven Weiterleiten von Daten zu dem lokalen Controller oder zu der Master-Steuereinheit bei Ausfall des lokalen Controllers ausgestaltet ist.
Nach einem zweiten Aspekt der Erfindung umfasst ein Automobil ein fehlertolerantes Kraftfahrzeugsteuerungssystem gemäß dem ersten Aspekt der Erfindung.
Nach einem dritten Aspekt der Erfindung weist ein Verfahren zum Betreiben eines Kraftfahrzeugsteuerungssystems für ein Kraftfahrzeug eine Vielzahl von elektronischen Kraftfahrzeugkomponenten auf, wobei jede elektronische Kraftfahrzeugkomponente einen lokalen Controller zum Steuern des Betriebs der zugehörigen elektronischen Kraftfahrzeugkomponenten und Schaltlogik zum selektiven Weiterleiten von Daten zu dem lokalen Controller oder zu der Master-Steuereinheit bei Ausfall des lokales Controllers aufweist, wobei jeder der lokalen Controller Treibersoftware speichert, die derart ausgestaltet ist, dass, wenn sie durch den lokalen Controller ausgeführt wird, der lokale Controller die elektronische Kraftfahrzeugkomponente steuert, wobei das Kraftfahrzeugsteuerungssystem eine mit den elektronischen Kraftfahrzeugkomponenten verbundene Master-Steuereinheit umfasst, die einen Computerprozessor aufweist, wobei das Verfahren die folgenden Schritte umfasst: (1) während der Initialisierung oder bei Hinzufügen von elektronischen Kraftfahrzeugkomponenten zu dem System, das Registrieren der elektronischen Komponenten bei der Master-Steuereinheit und das Herunterladen der Treibersoftware der lokalen Controller auf die Master-Steuereinheit, (2) Speichern der Treibersoftware des lokalen Controllers auf der Master-Steuereinheit, (3) Kontinuierliches Überwachen der lokalen elektronischen Controller hinsichtlich deren Ausfall und (4) in dem Fall, dass einer der elektronischen Controller ausfällt, das Ausführen der Treibersoftware des ausgefallenen lokalen Controllers und dadurch das entfernte Steuern der zugehörigen Komponente von dem Computerprozessor aus.
Nach einem vierten Aspekt der Erfindung gibt es einen Computer, der zum Durchführen der Schritte des Verfahrens gemäß dem dritten Aspekt der Erfindung programmiert ist.
Hinsichtlich etlicher bevorzugter und vorteilhafter Merkmale der Erfindung wird auf die abhängigen Ansprüche verwiesen.
Gemäß einer hier offenbarten Ausführungsform umfasst das fehlertolerante Kraftfahrzeugsteuerungssystem eine Master-Steuereinheit (MCU, Master Control Unit), die elektrisch über einen Datenkommunikationsbus mit den elektronischen Kraftfahrzeugkomponenten verbunden ist. Die Master-Steuereinheit weist einen Computerprozessor auf, der zum Verwalten des Datenflusses über den Datenkommunikationsbus zwischen den elektronischen Kraftfahrzeugkomponenten programmiert ist. Die MCU definiert und synchronisiert die Initialisierung der Buskommunikation.
Gemäß einer anderen hier offenbarten Ausführungsform führt die MCU eine Routing-Tabelle, um die gemeinsame Benutzung von Ressourcen und Information unter den Komponenten zu ermöglichen. Die Routing-Tabelle wird während der Initialisierung aufgebaut, um zu definieren, wie bei einer elektronischen Komponente erlangte Daten zu einer oder mehreren anderen Komponenten geleitet werden. Während des Betriebs sammelt die MCU Daten von den elektronischen Quellkomponenten und leitet die Daten zu den elektronischen Zielkomponenten gemäß der Routing-Tabelle weiter. Als ein Beispiel für diese gemeinsame Benutzung von Daten könnten durch ein Antiblockiersystem gesammelte Daten beim Verlangsamen eines Kraftfahrzeugs zu einem Automatikgetriebesystem geleitet werden, um bei der Entscheidung benutzt zu werden, ob heruntergeschaltet wird.
Gemäß einer anderen hier offenbarten Ausführungsform ist der Computerprozessor der MCU zum Durchführen der gleichen Funktionen programmiert, wie sie durch die lokalen Controller bei den elektronischen Komponenten durchgeführt werden. Während der Initialisierung wird die Treibersoftware für alle lokalen Controller auf die MCU heruntergeladen und dort gespeichert. Im Falle eines Ausfalls eines lokalen Controllers führt die Master-Steuereinheit die Treibersoftware für den ausgefallenen Controller aus, um die elektronische Kraftfahrzeugkomponente statt des ausgefallenen lokalen Controllers entfernt zu steuern.
Eine Schaltlogik ist bei jeder der elektronischen Komponenten zur Verfügung gestellt. Die Schaltlogik leitet selektiv Daten entweder zu dem lokalen Controller – annehmend der Controller arbeitet korrekt – oder über den Datenkommunikationsbus unter Umgehen der Controllers zu der MCU, wenn der Controller nicht korrekt arbeitet.
Gemäß einer noch weiteren hier offenbarten Ausführungsform weist das fehlertolerante Kraftfahrzeugsteuerungssystem eine untergeordnete Steuereinheit (SCU, Secondary Control Unit) auf, die elektrisch mit der Master-Steuereinheit über das Datenkommunikationsnetzwerk verbunden ist. Die untergeordnete Steuereinheit weist einen Computerprozessor auf, der viele nutzerbasierte Komponenten, wie beispielsweise ein Unterhaltungssystem oder ein zellulares Kommunikationssystem, unterstützt. Der Computerprozessor der SCU ist ebenso mit einer Ersatzkopie des Datenkommunikationscodes der MCU programmiert, um den Datenfluss zwischen den elektronischen Kraftfahrzeugkomponenten zu verwalten. Während des normalen Betriebs ist die SCU auf dem Datenkommunikationsbus der MCU untergeordnet und durch diese gesteuert. Im Falle eines Ausfalls der Master-Steuereinheit übernimmt jedoch die untergeordnete Steuereinheit die Steuerung des Datenkommunikationsbusses und verwaltet den Datenfluss zwischen den elektronischen Kraftfahrzeugkomponenten.
Entsprechend bietet das fehlertolerante Kraftfahrzeugsteuerungssystem Fehlertoleranz für alle Komponenten ebenso wie für die MCU selbst.
Gemäß einer anderen hier offenbarten Ausführungsform sind die Master-Steuereinheit und die untergeordnete Steuereinheit Mehrzweckcomputer, auf denen ein Betriebssystem für offene Plattformen läuft. Eine offene Architektur bietet eine ungeheuere Flexibilität und Anpassbarkeit für das Hinzufügen neuer Kraftfahrzeugkomponenten und die Rekonfiguration alter Komponenten.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
Die gleichen Bezugszeichen werden überall in den Zeichnungen verwendet, um ähnliche Komponenten und Merkmale zu referenzieren.
1 ist eine schematische Darstellung eines fehlertoleranten Kraftfahrzeugsteuerungssystems, das in einem Kraftfahrzeug gemäß eines beispielhaften Aspekts der Erfindung implementiert ist.
2 ist ein Blockdiagramm einer in dem Kraftfahrzeugsteuerungssystem verwendeten Master-Steuereinheit.
3 ist ein Blockdiagramm einer beispielhaften in dem Kraftfahrzeugsteuerungssystem verwendeten elektronischen Komponente
4 ist ein Blockdiagramm der in dem Kraftfahrzeugsteuerungssystem verwendeten untergeordneten Steuereinheit.
5 ist ein Zustandsdiagramm, das die Initialisierung und den Betrieb des Kraftfahrzeugsteuerungssystems zeigt.
6 ist ein Blockdiagramm des Kraftfahrzeugssteuerungssystems, das eine Master-/Slave-Beziehung zwischen der Master-Steuereinheit, der unterge ordneten Steuereinheit und der Vielzahl von elektronischen Komponenten während des normalen Betriebs zeigt.
7 ist ein Blockdiagramm ähnlich 6, das allerdings einen Ausfall einer elektronischen Komponente zeigt.
8 ist ein Blockdiagramm ähnlich 6, das allerdings einen Ausfall der Master-Steuereinheit zeigt.
DETAILLIERTE BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSFORM
1 zeigt ein Kraftfahrzeugsteuerungssystem 20, das in einem Kraftfahrzeug 22 gemäß einer beispielhaften Implementierung der Erfindung ausgebildet ist. Das Kraftfahrzeugsteuerungssystem 20 weist eine Master-Steuereinheit (MCU, Master Control Unit) 24 und eine untergeordnete Steuereinheit (SCU, Secondary Control Unit) 26 auf. Eine doppelte Busstruktur, die aus einem primären Datenkommunikationsbus 28 und einem untergeordneten Unterstützungsbus 30 besteht, stellt eine Infrastruktur für die Datenkommunikation in dem Steuerungssystem 20 zur Verfügung. Der primäre Bus 28 kann unter Verwendung irgendeiner Ausführung eines Fahrzeugbusses implementiert sein, die derzeit durch Fahrzeughersteller verwendet oder in Betracht gezogen wird, wie beispielsweise CAN, ABUS, VAN, J1850, K-BUS, P-BUS, I-BUS, USB, P1394 usw. Der Unterstützungsbus 30 kann als irgendein Standard-Computerdatenbus, wie beispielsweise PCI, USB, P1394 und dergleichen, implementiert sein.
Die Master-Steuereinheit 24 und die untergeordnete Steuereinheit 26 sind durch den primären Fahrzeugbus 28 untereinander verbunden. Zusätzlich sind verschiedene elektronische Kraftfahrzeugkomponenten mit der Master-Steuereinheit 24 über den primären Bus 28 verbunden. In dieser Darstellung umfassen die elektronischen Komponenten ein Antiblockiersystem (ABS) 32, ein elektronisches Lenksystem 34 und ein Motor-Managementsystem 36. Allerdings können andere Komponenten gleichermaßen mit dem primären Fahrzeugbus 28 verbunden sein, wie beispielsweise ein Sicherheits-/Alarmsystem, ein Diagnosesystem, ein Beleuchtungssteuerungssystem, ein Treibstoffeinspritzsystem, ein Automatikgetriebesystem, usw. Zusätzlich sind die in 1 dargestellten elektronischen Komponenten dahingehend intelligente Komponenten, dass jede von ihnen ihren eigenen lokalen Controller, typischerweise als ein Mikroprozessor ausgeführt, aufweist. Das Kraftfahrzeug könnte zusätzlich nicht-intelligente elektronische Komponenten umfassen, die keine lokalen Verarbeitungsfähigkeiten aufweisen, wie unten mit Bezug auf die 6 bis 8 erläutert.
1 zeigt etliche Geräte, die mit dem Unterstützungsbus 30 verbunden sind. Diese Geräte umfassen ein Klimaregelungssystem 38, ein Audiosystem 40, ein Navigationssystem 42 mit einer GPS (Global Positioning System)-Antenne 44 und ein zellulares Kommunikationssystem 46. Die Türverriegelungs- und Fenster-Bedienelemente 48 sind ebenso mit dem Unterstützungsbus 30 verbunden. Die untergeordnete Steuereinheit 26 ist Master des Unterstützungsbusses 30. Die SCU 26 ist ferner als ein Server für mehrere Clients 50 ausgestaltet. Die Clients 50 können beispielsweise kleine Hand- oder Laptop-Spiele-Computer mit grafischen Anzeigebildschirmen und Soundkarten sein, um Multimedia-Unterhaltung zur Verfügung zu stellen. Die SCU 26 versorgt die Clients 50 mit Unterhaltung innerhalb des Autos in Form von Filmen und Spielen zum Vergnügen der Passagiere.
Im Allgemeinen ist die Master-Steuereinheit 24 während des normalen Betriebs des Kraftfahrzeugsteuerungssystems 20 Master des primären Fahrzeugbusses 28. Alle elektronischen Komponenten 32 bis 36, ebenso wie die untergeordnete Steuereinheit 26 sind Slaves für die Master-Steuereinheit 24. Die Master-Steuereinheit 24 verwaltet den Datenfluss zwischen den elektronischen Komponenten 32 bis 36 und ermöglicht die gemeinsame Benutzung von Ressourcen und Informationen. Zusätzlich stellt die Master-Steuereinheit 24 einen Ersatz für die intelligenten Elektronikkomponenten in dem Fall zur Verfügung, dass irgendeine von ihnen ausfällt, und führt außerdem Datenverarbeitung und Steuerungsfunktionen für nicht-intelligente elektronische Komponenten durch.
2 zeigt die Master-Steuereinheit 24 detaillierter. Sie weist einen Computerprozessor 60, flüchtigen Speicher 62 (beispielsweise RAM) und nichtflüchtigen Speicher 64 (beispielsweise ROM, Flash) auf. Die Master-Steuereinheit 24 weist ebenso ein Bus-Interface 66 auf, um Zugriff auf den primären Bus 28 zur Verfügung zu stellen.
Auf der Master-Steuereinheit 24 läuft ein Betriebssystem 68 für offene Plattformen, das als in dem nicht flüchtigen Speicher 64 gespeichert dargestellt ist. Während der Laufzeit wird das Betriebssystem 68 in den flüchtigen Speicher 62 geladen und auf dem Prozessor 60 ausgeführt. Das Betriebssystem 68 für offene Plattformen ist vorzugsweise ein Echtzeit-Multitasking-Betriebssystem, das zum Unterstützen einer „Plug-and-Play"-Systemkonfiguration und zum Bereitstellen hoher Stabilität, Sicherheit und Effizienz in der Lage ist. Ein bevorzugtes Betriebssystem ist ein Betriebssystem der Marke Windows, das von der Microsoft Corporation vertrieben wird, wie beispielsweise die Betriebssysteme Windows CE oder Windows NT.
Das Betriebssystem 68 weist Netzwerkverwaltungsfähigkeiten auf, die die Master-Steuereinheit 24 zum Verwalten des Datenflusses über den primären Bus 28 zwischen den elektronischen Komponenten 32 bis 36 und der untergeordneten Steuereinheit 26 befähigt. Die Master-Steuereinheit 24 initialisiert die Netzwerkkommunikation und das Registrier-Subsystem und bewältigt die Konfiguration der Komponenten. Während des Betriebs steuert die Master-Steuereinheit 24 den Datenfluss vorzugsweise in einer deterministischen Art, die lediglich vordefinierte Daten von den elektronischen Komponenten akzeptiert. Dies ist dahingehend vorteilhaft, dass die Master-Steuereinheit Schutz für die einzelnen elektronischen Komponenten, die auf dem primären Fahrzeugbus 28 verbunden sind, gegenüber unerwarteten oder unautorisierten Befehlen zur Verfügung stellt. Zusätzlich ermöglichen die Netzwerkfähigkeiten die Master-Steuereinheit 24 dazu, das Löschen und Hinzufügen elektronischer Komponenten zu dem primären Bus 28 zu überwachen.
Die MCU 24 enthält Treibersoftware – allgemein als Nr. 70 referenziert – für alle der mit dem primären Bus 28 verbundenen elektronischen Komponenten. Die elektronischen Komponenten registrieren sich bei der MCU 24 während der Initialisierung oder wenn sie zu dem Bus hinzugefügt werden. Der Software-Code 70 der Komponenten kann bereits in dem Speicher der MCU in Form von DLLs (Dynamic Link Library) existieren, die mit dem MCU-System verbunden werden, wenn Komponenten registriert werden. Wenn der Software-Code einer oder mehrerer Komponenten nicht in der DLL existieren, schließt ein Teil dieser Registrierung das Herunterladen des zum Betreiben der Komponenten verwendeten Software-Codes über den primären Bus 28 zu der Master-Steuereinheit 24 mit ein. 2 zeigt Treibersoftware 70 für die lokalen Controller LC(1), LC(2), ..., LC(N) der intelligenten elektronischen Komponenten (d. h. Komponenten mit lokalen Controllern), die in dem nichtflüchtigen Speicher 64 gespeichert sind. 2 zeigt ebenso ausführbaren Code für nicht-intelligente Komponenten NIC(1), NIC(2), ..., NIC(M), (d. h. Komponenten ohne lokale Controller) – allgemein als Nr. 72 referenziert -, der in dem nichtflüchtigen Speicher 64 gespeichert ist.
In dem Fall, dass ein lokaler Controller einer intelligenten Komponente ausfällt, übernimmt die MCU 24 die Steuerung dieser Komponente und weist dieser ausgefallenen Komponente die höchste Ausführungspriorität zu, um eine ununterbrochene Leistung sicherzustellen. Wenn beispielsweise der Prozessor in dem ABS ausfällt, laufen die Treiber des lokalen Controllers – beispielsweise Treiber LC(1) – auf der MCU 24, um die Funktionen des ausgefallenen Prozessors für das Antiblockiersystems durchzuführen. Eine Schaltlogik ist bei der ausgefallenen Komponente zum Übertragen der Steuersignale zu der MCU zur Verfügung gestellt. Sobald die MCU 24 die Steuerung einer Komponente übernommen hat, führt die MCU 24 die Funktionen der Datenflussverwaltung auf einer Basis verfügbarer Ressourcen durch.
Das Betriebssystem 68 ist ein deterministisches Echtzeit-Betriebssystem, das die Verarbeitungsleistung aufweist, die zum konkurrierenden Unterstützen mehrerer kritischer Komponenten imstande ist. In dem Fall, dass mehrere Komponenten ausfallen, verwendet die MCU 24 eine Prioritätstabelle 74, die eine geordnete Rangfolge für die Ausführung der ausgefallenen Geräte spezifiziert. Die Prioritätstabelle 74 wird während der Inititalisierung aufgebaut, wenn sich die Komponenten bei der MCU 24 registrieren. Während der Registrierung weist die MCU 24 jeder der elektronischen Kraftfahrzeugskomponenten eine Prioritätsbewertung zu und speichert die Zuordnung in einer Tabelle in dem nichtflüchtigen Speicher 64. Die Prioritätsbewertung ist durch die Datenstruktur der Tabelle Kennungen für die Treibersoftware 70 und den ausführbaren Code 72 zugeordnet. Die Priorität wird durch den Automobilhersteller basierend darauf, welche Komponenten sich bei der MCU 24 registrieren, vorherbestimmt. Es sei darauf hingewiesen, dass die Prioritätstabelle 74 alternativ bei jedem Startzyklus vom Grunde auf rekonstruiert und in dem flüchtigen Speicher 62 gehalten werden kann.
Sobald aufgebaut, begründet die Prioritätstabelle 74 eine Priorität der Ausführung in dem Fall, dass mehr als eine Komponente ausfällt. Die Prioritätstabelle 74 weist Verarbeitungsressourcen unverhältnismäßig zuerst der mit der höchsten Priorität bewerteten Komponente zu, gefolgt in der Reihenfolge durch die mit der niedrigeren Priorität bewerteten Komponenten. Beispielsweise könnte der Treibersoftware für das Antiblockiersystem die höchste Prioritätsbewertung zugewiesen sein, um sicherzustellen, dass die MCU 24 ausreichend Ressourcen zum Bewältigen des Bremssystems im Falle eines Ausfalls hat, auch wenn andere Komponenten (wie beispielsweise das Sicherheitssystem) ebenso während dieser Zeit ausfallen könnten. In einer Implementierung werden Komponenten eine Bewertung „kritisch", was bedeutet, dass ihnen die höchste verfügbare Priorität gegeben wird, eine Bewertung „normal", was bedeutet, dass ihnen eine niedrigere Priorität gegeben werden kann, falls eine kritische Komponente zeitgleich ausfällt, oder eine Bewertung „niedrigste" zugeordnet, was bedeutet, dass sie MCU-Ressourcen erst dann erhalten, nachdem alle Komponenten mit höherer Priorität gehandhabt worden sind.
Die MCU 24 führt außerdem eine Routing-Tabelle 76 in dem flüchtigen Speicher 62. Die Routing-Tabelle 76 wird während der Initialisierung aufgebaut, um zu definieren, welche Daten übergeben und unter den aktiven elektronischen Komponenten gemeinsam genutzt werden. Beispielsweise könnte die Tabelle eine Datenstruktur mit einem Quellfeld, das eine Kennung einer elektronischen Komponente enthält, von wo bestimmte Daten erzeugt werden, und ein Zielfeld aufweisen, das eine Liste einer oder mehrerer Komponenten enthält, zu denen die bestimmten Daten durch die MCU 24 geleitet werden sollen. Beispielsweise könnten die durch das ABS 32 (d. h. eine Quellkomponente) gesammelten Daten betreffend der Radgeschwindigkeit an das Steuerungssystem des Automatikgetriebes und das Steuerungssystem der Treibstoffeinspritzung (d. h. Zielkomponenten) geleitet werden. Die Quell- und Zielfelder werden in der Tabelle in Beziehung gesetzt. Während des Betriebs sammelt die MCU 24 Daten von den in den Quellfeldern (wie beispielsweise das ABS) identifizierten elektronischen Komponenten, indiziert die Routing-Tabelle 76 für entsprechende Zielfelder und leitet die Daten an die elektronischen Komponenten (wie beispielsweise das Steuerungssystem des Automatikgetriebes oder das Steuerungssystem der Treibstoffeinspritzung), die in den entsprechenden Zielfeldern aufgelistet sind, weiter. Die Routing-Tabelle erlaubt es der MCU 24, die gemeinsame Benutzung von Daten unter den Komponenten zu ermöglichen.
3 zeigt einen beispielhaften Aufbau einer intelligenten elektronischen Kraftfahrzeugkomponente, allgemein als Nr. 80 referenziert. Die Kraftfahrzeugkomponente 80 umfasst allgemein ein mechanisches Gerät 82 (beispielsweise Bremsen, Motor, Getriebe, etc.), das durch einen elektronisch gesteuerten Aktuator 84 gesteuert wird. Ein lokaler Controller 86 ist über einen Treiber 88 zum Senden von elektronischen Kommandosignalen verbunden, die den Aktuator und dadurch das mechanische Gerät 82 steuern. Der lokale Controller 86 kann als ein Mikroprozessor, digitaler Signalprozessor, zweckbestimmter ASIC (Application Specific Integrated Circuit) oder dergleichen implementiert sein. Ein Sensor 90 überwacht das mechanische Gerät 82 und erzeugt betriebsanzeigende Daten, um Rückkopplungsinformationen für den lokalen Controller 86 zur Verfügung zu stellen. Der lokale Controller 86 weist ebenso ein Interface zu dem primären Fahrzeugbus 28 auf. Dieser Aufbau der elektronischen Kraftfahrzeugkomponente ist gebräuchlich und im Stand der Technik bekannt.
Ein Aspekt der Erfindung ist, die existierende elektronische Kraftfahrzeugkomponente 80 dahingehend zu modifizieren, dass sie eine Schaltlogik 92 umfasst. In der Darstellung der 3 bildet die Schaltlogik 92 ein Interface zwischen dem lokalen Controller 86 und dem Treiber 88 und dem Sensor 90. Die Schaltlogik 92 weist ebenso ihre eigene Verbindung zu dem primären Bus 28 auf, die den lokalen Controller 86 umgeht. Die Schaltlogik 92 leitet selektiv von dem Sensor 90 empfangene Daten entweder an den lokalen Controller 86 oder direkt an den primären Bus 28 weiter. Die Schaltlogik 92 richtet die Daten an den lokalen Controller 86, wenn der Controller korrekt funktioniert. In dem Fall, dass der Controller nicht korrekt funktioniert, leitet die Schaltlogik 92 jedoch den Datenfluss an den Bus 28, wobei der ausgefallene lokale Controller 86 umgangen wird, so dass die MCU 24 die Komponente über den primären Bus 28 steuern kann.
4 zeigt die untergeordnete Steuereinheit 26 detaillierter. Die untergeordnete Steuereinheit 26 ist vorzugsweise ein Mehrzweckcomputer, der zum Unterstützen mehrerer Anwendungen in der Lage ist. Die SCU 26 weist einen Prozessor 100 (bei spielsweise einen SH3 von Hitachi Ltd. oder einen Pentium-Mikroprozessor der Intel Corporation), flüchtigen Speicher 102 (beispielsweise RAM) und nichtflüchtigen Speicher 104 (beispielsweise ROM, Flash, Festplatte, etc.) auf. Die SCU 26 weist ein primäres Businterface 106 zum Bereitstellen des Zugriffs auf den primären Fahrzeugbus 28 und ein Unterstützungsbus-Interface 108 zum Bereitstellen des Zugriffs auf den Unterstützungsbus 30 auf.
Auf der SCU 26 läuft ein Betriebssystem 110 für offene Plattformen, das eine Vielzahl von Anwendungen unterstützt. Durch das Verwenden eines Betriebssystems für offene Plattformen und einer offenen Computersystemarchitektur können verschiedenartige Softwareanwendungen und Hardware-Peripheriegeräte durch die SCU 26 auf dem Unterstützungsbus 30 unterstützt werden. Dies ist dahingehend vorteilhaft, dass die Software-Anwendungen nicht für speziell entworfene eingebettete Systeme zweckbestimmt sein müssen. Auf der offenen Hardware-Architektur läuft vorzugsweise ein Multitasking-Betriebssystem, das ein grafisches Nutzerinterface verwendet. Ein bevorzugtes Betriebssystem ist ein Betriebssystem der Marke Windows, das von der Microsoft Corporation vertrieben wird, wie beispielsweise Windows 95 oder Windows NT oder andere abgeleitete Versionen von Windows. Ein Multitasking-Betriebssystem erlaubt die zeitgleiche Ausführung von mehreren Anwendungen.
Die SCU 26 könnte ebenso mindestens ein Speicherlaufwerk – wie beispielsweise ein CD-ROM-Laufwerk, PC-Card-Laufwerk oder ein Diskettenlaufwerk – aufweisen, das die Verwendung eines tragbaren Speichermediums ermöglichst. Ein CD-ROM-Laufwerk erlaubt anwendungsbezogene CDs ebenso wie Musik-, Video-, Spiele- oder andere Arten von Unterhaltungs-CDs. Die SCU 26 ist zur Montage in dem Armaturenbrett des Kraftfahrzeugs ausgebildet und dimensioniert. Eine detaillierte Beschreibung einer geeigneten Ausgestaltung einer untergeordneten Steuereinheit 26 ist in der US-Patentanmeldung mit der Nr. 08/564,586 mit dem Titel „Vehicle Computer System" beschrieben, die am 29. November 1995 im Namen von Richard D. Beckert, Mark M. Moeller und William Wong eingereicht wurde. Diese Anmeldung ist auf die Microsoft Corporation übertragen worden und wird hiermit durch Referenz einbezogen.
Die untergeordnete Steuereinheit 26 ist Slave für die Master-Steuereinheit 24 in dem Fahrzeugbus 28, aber ist ein Master für die Clients 50 und andere elektronische Komponenten 38 bis 48, die mit dem Unterstützungsbus 30 verbunden sind. Armaturenbrett oder andere geeignete Stelle. Die SCU 26 kann als ein Server für die Clients 50 fungieren, wie beispielsweise zum Versorgen mit Spielen, Musik, Filmen oder anderen Formen von Unterhaltung.
Die SCU 26 führt eine aktuelle Kopie des ausführbaren Codes 112, der auf der MCU 24 zum Verwalten des Datenflusses zwischen den Komponenten läuft. Der Code 112 der MCU wird auf die SCU 26 während der Initialisierung heruntergeladen und in dem nichtflüchtigen Speicher 84 gespeichert. In dem Falle eines Ausfalls der MCU 24 führt die untergeordnete Steuereinheit 26 den Code 112 der MCU aus, um die Masterverantwortlichkeiten der Datenflussverwaltung auf den primären Bus 28 zu übernehmen.
5 zeigt ein Zustandsdiagramm des Kraftfahrzeugsteuerungssystems. Der Start wird durch das Anschalten der Energie für das Kraftfahrzeug ausgelöst. In Zustand 120 startet die Master-Steuereinheit 24 einen Initialisierungsvorgang zum Booten des Betriebssystems und lädt alle Treibersoftware 70 für intelligente Komponenten und ausführbaren Code 72 für nicht-intelligente Komponenten aus dem nichtflüchtigen Speicher in den flüchtigen Speicher. Diese Softwareprogramme entsprechen Komponenten, die für die MCU 24 durch vorherige Registrierung vorbekannt sind. In Zustand 122 startet die MCU 24 einen dynamischen Konfigurationsvorgang, der nachprüft, ob irgendwelche neuen Komponenten zu dem primären Fahrzeugbus hinzugefügt oder alte Komponenten von diesem entfernt wurden. Die MCU 24 fragt die existierenden Komponenten ab und sendet Anfragen zu neuen Komponenten aus. Komponenten, die nach wie vor verbunden und funktionierend sind, antworten der MCU 24. Neue Komponenten antworten ebenso und registrieren sich nachfolgend bei der MCU 24. Komponenten, die entfernt wurden, antworten verständlicherweise nicht auf die Abfragesignale.
Sobald die Komponenten identifiziert und ausgewiesen sind, baut die MCU 24 die Prioritätstabelle 74 auf und speichert sie in dem nichtflüchtigen Speicher 104. Die MCU 24 baut ebenso die Routing-Tabelle 76 basierend auf den existierenden aktiven Komponenten auf.
In Zustand 124 lädt die MCU 24 eine Kopie ihres Codes auf die SCU 26 über den primären Bus 28 herunter. Auf diese Initialisierungssequenz folgend betritt die MCU ihren normalen Betriebszustand 126. Falls die MCU ausfällt, wird die Steuerung zurück auf die SCU 26 (wie durch den Pfeil „MCU ausgefallen" angedeutet) geschoben. Falls die MCU nachfolgend wiederhergestellt wird, wird die Steuerung auf die MCU (wie durch den Pfeil „bereit" angedeutet) zurückgesandt.
Auch in Zustand 126 überwacht die MCU 24 kontinuierlich den Ausfall irgendwelcher elektronischen Komponenten. Falls die MCU 24 den Ausfall einer Komponente detektiert, rekonfiguriert die MCU 24 die Routing- und die Prioritäts-Tabelle dynamisch und übernimmt die Steuerung der ausgefallenen Komponente (wie durch den Pfeil „Komponente ausgefallen" zurück auf Zustand 122 angedeutet).
Die 6 bis 8 zeigen Strategien zur fehlertoleranten Steuerung, die durch das Kraftfahrzeugsteuerungssystem implementiert werden. 6 zeigt das Kraftfahrzeugsteuerungssystem 20 mit der MCU 24 und zwei intelligenten elektronischen Komponenten 80(1), 80(2) und zwei nicht-intelligenten Komponenten 130(1), 130(2), die mit dem primären Bus 28 verbunden sind. Das System umfasst ferner die sowohl mit dem primären Bus 28 als auch dem Unterstützungsbus 30 verbundene SCU 26 und zwei Clients 50 und das Audiosystem 40, die mit dem Unterstützungsbus 30 verbunden sind.
Während des normalen Betriebs ist die Master-Steuereinheit 24 Master für den primären Bus 28 und die untergeordnete Steuereinheit 26. Die Master-Steuereinheit 24 verwaltet den Datenfluss über den primären Bus 28 und führt die Datenverarbeitungen und Steuerfunktionen für die nicht-intelligenten Komponenten 130(1), 130(2) durch. Die MCU 24 überwacht kontinuierlich die intelligenten Komponenten 80(1), 80(2), um festzustellen, ob die lokalen Controller 86(1), 86(2) korrekt funktionieren. Die MCU 24 und SCU 26 arbeiten unter normalen Umständen zusammenwirkend und unabhängig voneinander, abgesehen davon, dass die SCU 26 die MCU 24 in regelmäßigen Zeitabständen hinsichtlich Anzeichen eines Ausfalls überprüft.
Da die MCU 24 sämtliche Datenkommunikationen auf dem primären Bus 28 steuert, erhält sie auch die Sicherheit und Integrität des primären Busses 28 durch kontinuierliches Überwachen der Nachrichten, die durch die elektronischen Komponenten und insbesondere die SCU 26 gesendet werden, da es sich um ein offenes System handelt. Sollte die SCU 26 korrumpiert werden und versuchen unautorisierte Kontrolle irgendeiner elektronischen Komponente auf dem primären Bus 28 zu erlangen, wird die MCU 24 die Kommunikation von der SCU 26 durch Wechseln ihres Status' in der Konfigurations- und der Routing-Tabelle deaktivieren. Dieses Vorgehen degradiert die SCU 26 zu einem passiven Gerät, das lediglich Nachrichten empfängt und sie nicht über den primären Bus 28 senden kann. Die MCU 24 wird dann versuchen, einen anderen Kandidaten zu wählen, um ihn als einen Ersatz für die untergeordnete Steuereinheit zu bestimmen, indem sie durch die Verfahrenszustände 122 und 124, wie in 5 beschrieben, geht.
7 zeigt einen Fall, in dem ein lokaler Controller 86(1) ausfällt. In dem Fall eines Ausfalls des lokalen Controllers 86(1) lenkt die Schaltlogik 92(1) den Datenfluss von dem lokalen Controller 86(1) direkt auf den primären Bus 28 um. Die Master-Steuereinheit 24 übernimmt die Steuerung der Komponente 80(1) unter Verwendung des Treibers 86(1)' der Komponente, der auf der MCU 24 gespeichert ist. Die MCU 24 weist die höchste Ausführungspriorität zum Sicherstellen einer ununterbrochenen Durchführung der ausgefallenen Komponente zu. Falls beispielsweise der Mikroprozessor in dem ABS ausfällt, übernimmt die MCU 24 die Funktionen des Mikroprozessors des ABS und stellt ununterbrochenen Betrieb für die ABS-Komponente zur Verfügung. Die MCU 24 fährt mit dem Verwalten des Datenflusses zwischen den Komponenten auf einer Basis verfügbarer Ressourcen fort.
8 zeigt einen Fall, in dem die MCU 24 ausfällt. Die SCU 26 detektiert durch kontinuierliches Überwachen oder alternativ durch einen nicht-maskierbaren durch die MCU 24 unmittelbar vor einem Ausfall erzeugten Interrupt, wenn die MCU 24 ausfällt. Bei einem Ausfall der MCU übernimmt die SCU 26 die grundlegende Datenflussverwaltung und Steuerfunktionen der MCU 24 ebenso wie die Verarbeitungsfunktionen für die nicht-intelligenten Komponenten 130(1) und 130(2). Die SCU 26 startet die lokale Kopie des Codes 26' der MCU, um einen Ersatzmaster für den primären Bus 28 und die damit verbundenen Komponenten 80(1), 80(2), 130(1), 130(2) zu werden. In dieser Implementierung übernimmt die SCU 26 jedoch nicht die Funktionen irgendeines ausgefallenen lokalen Controllers einer Komponente auf dem Fahrzeugbus. Zum Sicherstellen eines ununterbrochenen Betriebs für die Komponenten auf dem primären Bus 28 weist die SCU 26 die höchste Priorität für die Durchführung der grundlegenden Datenflussverwaltung und Steuerungsfunktion der ausgefallenen MCU 24 zu und führt alle anderen Funktionen auf einer Basis verfügbarer Ressourcen durch.
Das fehlertolerante Kraftfahrzeugsteuerungssystem bietet viele Vorteile. Es integriert die elektronischen Komponenten und ermöglicht die gemeinsame Benutzung von Daten und die Kommunikation zwischen ihnen. Das System stellt ebenso Einpunkt-Fehlertoleranz dahingehend zur Verfügung, dass jede Komponente und die Master-Steuereinheit einmal ohne den Verlust der Dienste ausfallen kann. Das System bietet unglaubliche Flexibilität bei der Installation von Systemkomponenten in einem Fahrzeug. Jede Komponente oder Bus kann als ein Aufrüstungsmerkmal zum Bereitstellen voller Systemfunktionalität installiert werden. Wenn eine neue Komponente installiert wird, wird lediglich der Treiber für diese Komponente auf die MCU geladen, um im Falle eines Ausfalls Ersatz zur Verfügung zu stellen.
Die Erfindung ist in einer mehr oder weniger für die Struktur- und Verfahrensmerkmale spezifischen Sprache beschrieben. Es versteht sich jedoch, dass die Erfindung nicht auf die bestimmten beschriebenen Merkmale beschränkt ist, da die hier offenbarten Mittel beispielhafte Formen zur Verwirklichung der Erfindung umfassen.

Claims

Fehlertolerantes Kraftfahrzeugsteuerungssystem (20) für ein Kraftfahrzeug mit einer Vielzahl von elektronischen Kraftfahrzeugkomponenten (32, 34, 36), wobei jede elektronische Kraftfahrzeugkomponente (32, 34, 36) einen lokalen Controller (86) zum Steuern des Betriebs der elektronischen Kraftfahrzeugkomponente aufweist, wobei jeder lokaler Controller (86) Treibersoftware speichert und der Controller (86) derart ausgestaltet ist, dass er bei Ausführung der Software die elektronische Kraftfahrzeugskomponente (32, 34, 36) steuert, wobei das Kraftfahrzeugsteuerungssystem (20) umfasst: eine elektrisch mit den elektronischen Kraftfahrzeugkomponenten verbundene Master-Steuereinheit (24), die einen Computerprozessor (60) aufweist, wobei jede der elektronischen Komponenten (32, 34, 26) zum Registrieren bei der Master-Steuereinheit (24) und zum Programmieren der Master-Steuereinheit (24) während der Initialisierung oder beim Hinzufügen zu dem System durch Herunterladen der Treibersoftware für die lokalen Controller und durch Speichern der Treibersoftware in der Master-Steuereinheit (24) ausgestaltet ist, wobei der Computerprozessor dabei zum Durchführen der Steueraufgaben des lokalen Controllers (86) programmiert ist, so dass in einem Falle eines Ausfalls eines der lokalen Controller (86) der Computerprozessor (60) die Treibersoftware des ausgefallenen lokalen Controllers ausführt, so dass die Master-Steuereinheit (24) die elektronische Kraftfahrzeugkomponente (32, 34, 36) statt des ausgefallenen lokalen Controllers steuert, wobei die Master-Steuereinheit (24) während des Betriebs des Steuerungssystems zum kontinuierlichen Überwachen hinsichtlich eines Ausfalls eines lokalen Controllers (86) ausgestaltet ist, worin jede elektronische Kraftfahrzeugkomponente (32, 34, 36) eine Schaltlogik umfasst, die zum selektiven Weiterleiten von Daten zu dem lokalen Controller (86) oder zu der Master-Steuereinheit (24) bei Ausfall des lokalen Controllers (86) ausgestaltet ist.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach Anspruch 1, worin die Master-Steuereinheit (24) ein Betriebssystem für offene Plattformen aufweist, das auf dem Computerprozessor (60) ausgeführt wird.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach Anspruch 1 oder 2, worin die Master-Steuereinheit (24) ein Multitasking-Betriebssystem aufweist, das auf dem Computerprozessor (60) ausgeführt wird.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach einem der vorangegangenen Ansprüche, worin die Master-Steuereinheit (24) Datenkommunikation zwischen den elektronischen Kraftfahrzeugkomponenten (32, 34, 36) ermöglicht.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach einem der vorangegangenen Ansprüche, worin die Master-Steuereinheit (24) eine Routing-Tabelle (76) führt, die die Master-Steuereinheit (24) zum Routen von durch eine elektronische Kraftfahrzeugkomponente (32, 34, 36) detektierten Daten zu einer oder mehreren anderen elektronischen Kraftfahrzeugkomponenten (32, 34, 36) verwendet.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach einem der vorangegangenen Ansprüche, worin die Master-Steuereinheit (24) einen Speicher (64) aufweist und eine Prioritätstabelle (74) in dem Speicher (64) führt, wobei über die Prioritätstabelle (74) elektronischen Kraftfahrzeugkomponenten (32, 34, 36) eine entsprechende Prioritätsbewertung zugeordnet ist, wobei die Master-Steuereinheit (24) die Aufgaben eines oder mehrerer ausgefallener lokaler Controller (86) in einer Reihenfolge gemäß der Prioritätsbewertung der elektronischen Kraftfahrzeugkomponenten (32, 34, 36) in der Prioritätstabelle (74) handhabt.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach einem der vorangegangenen Ansprüche, in dem die elektronischen Kraftfahrzeugkomponenten (32, 34, 36) ferner nicht-intelligente Komponenten (130) umfassen, die ohne lokale Controller ausgebildet sind, und worin die Master-Steuereinheit (24) die Datenverarbeitung und Steuerungsfunktionen für die nicht-intelligenten Komponenten (130) durchführt.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach einem der vorangegangenen Ansprüche, das zusätzlich ein Datenkommunikationsnetzwerk aufweist, das die elektronischen Kraftfahrzeugkomponenten (32, 34, 36) und die Master-Steuereinheit (24) untereinander verbindet.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach Anspruch 8, worin die Master-Steuereinheit (24) elektrisch mit den elektronischen Kraftfahrzeugkomponenten über das Datenkommunikationswerk verbunden ist und zum Verwalten des Datenflusses über das Datenkommunikationsnetzwerk zwischen den elektronischen Kraftfahrzeugkomponenten (32, 34, 36) programmiert ist.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach einem der vorangegangenen Ansprüche, das zusätzlich eine untergeordnete Steuereinheit (26) umfasst, die elektrisch mit der Master-Steuereinheit (24) verbunden ist, wobei die untergeordnete Steuereinheit (26) einen Computerprozessor (100) aufweist, der zum Verwalten des Datenflusses zwischen den elektronischen Kraftfahrzeugkomponenten (32, 34, 36) in dem Falle eines Ausfalls der Master-Steuereinheit (24) programmiert ist.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach Anspruch 10, worin die untergeordnete Steuereinheit (26) ein Multitasking-Betriebssystem für offene Plattformen aufweist, das auf einem Computerprozessor (100) der untergeordneten Steuereinheit (26) ausgeführt wird.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach Anspruch 10 oder 11, das zusätzlich umfasst: eine doppelte Busdatenstruktur mit einem primären Bus (28) und einem Unterstützungsbus (30), wobei der primäre Bus (29) die elektronischen Kraftfahrzeugkomponenten (32, 34, 36), die Master-Steuereinheit (24) und die untergeordnete Steuereinheit (26) untereinander verbindet und wobei der Unterstützungsbus (30) mit der untergeordneten Steuereinheit (26) zum Bilden einer Schnittstelle für ein oder mehrere andere Geräte verbunden ist.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach einem der Ansprüche 10 bis 12, worin die Master-Steuereinheit (24) den Datenfluss zwischen den elektronischen Kraftfahrzeugkomponenten (32, 34, 36) und der untergeordneten Steuereinheit (26) über einen primären Bus verwaltet und in dem Fall, dass die untergeordnete Steuereinheit (26) versucht, unberechtigte Kontrolle über eine der elektronischen Kraftfahrzeugkomponenten (32, 34, 36) auf dem primären Bus (28) zu erlangen, die Master-Steuereinheit (24) zum Abschalten der von der untergeordneten Steuereinheit (26) auf den primären Bus (28) kommenden Kommunikation ausgestaltet ist.
Fehlertolerantes Kraftfahrzeugsteuerungssystem nach Anspruch 8 oder 9, worin die auf einem der elektronischen Kraftfahrzeugkomponenten (32, 34, 36) angesiedelte Schaltlogik ausgestaltet ist zum Weiterleiten von Daten zu: (i) dem lokalen Controller (86) der elektronischen Kraftfahrzeugkomponente, wenn der lokale Controller korrekt arbeitet oder (ii) dem Datenkommunikationsnetzwerk unter Umgehung des lokalen Controllers (86), wenn der lokale Controller (86) nicht korrekt arbeitet, worin in dem Fall eines Ausfalls eines lokalen Controllers (86) die Schaltlogik die Daten zu der Master-Steuereinheit (24) über das Datenkommunikationsnetzwerk durch Überbrücken des ausgefallenen lokalen Controllers (86) weiterleitet und die Master-Steuereinheit (24) die Aufgaben des ausgefallenen lokalen Controllers (86) durchführt.
Kraftfahrzeug, das ein fehlertolerantes Kraftfahrzeugsteuerungssystem nach einem der vorangegangenen Ansprüche umfasst.
Verfahren zum Betrieb eines Kraftfahrzeugsteuerungssystem (20) für ein Kraftfahrzeug mit einer Vielzahl von elektronischen Kraftfahrzeugkomponenten (32, 34, 36), wobei jede elektronische Kraftfahrzeugkomponente einen lokalen Controller (86) zum Steuern des Betriebs der zugehörigen elektronischen Kraftfahrzeugkomponenten und Schaltlogik zum selektiven Weiterleiten von Daten zu dem lokalen Controller (86) oder zu der Master-Steuereinheit (24) bei Ausfall des lokales Controllers (86) aufweist, wobei jeder der lokalen Controller Treibersoftware speichert, die derart ausgestaltet ist, dass, wenn sie durch den lokalen Controller (86) ausgeführt wird, der lokale Controller (86) die elektronische Kraftfahrzeugkomponente (32, 34, 36) steuert, wobei das Kraftfahrzeugsteuerungssystem eine mit den elektronischen Kraftfahrzeugkomponenten verbundene Master-Steuereinheit (24) umfasst, die einen Computerprozessor (60) aufweist, wobei das Verfahren die folgenden Schritte umfasst: (1) während der Initialisierung oder bei Hinzufügen von elektronischen Kraftfahrzeugkomponenten (32, 34, 36) zu dem System, das Registrieren der elektronischen Komponenten (32, 34, 36) bei der Master-Steuereinheit (24) und das Herunterladen der Treibersoftware der lokalen Controller auf die Master-Steuereinheit (24), (2) Speichern der Treibersoftware des lokalen Controllers auf der Master-Steuereinheit, (3) Kontinuierliches Überwachen der lokalen elektronischen Controller (86) hinsichtlich deren Ausfall und (4) in dem Fall, dass einer der elektronischen Controller (86) ausfällt, das Ausführen der Treibersoftware des ausgefallenen lokalen Controllers und dadurch das entfernte Steuern der zugehörigen Komponente von dem Computerprozessor (60) aus.
Verfahren nach Anspruch 16, wobei das System zusätzlich eine mit der Master-Steuereinheit (24) elektrisch verbundene untergeordnete Steuereinheit (26) umfasst, worin das Verfahren zusätzlich die folgenden Schritte umfasst: (1) Überwachen der Master-Steuereinheit (24) und (2) in dem Fall, dass die Master-Steuereinheit ausfällt, das Verwalten der Datenkommunikation unter den lokalen elektronischen Controllern (86) von der untergeordneten Steuereinheit (26) aus.
Computer, der zum Durchführen der Schritte des Verfahrens nach Anspruch 16 oder 17 programmiert ist.