BUS GUARDIAN IN A DATA BUS Die Erfindung betrifft ein Steuersystem. Insbesondere betrifft die Erfindung die Sicherung eines an einen Datenbus anschließbaren Steuersystems gegen einen Fehlerzustand.

Ein Steuersystem, beispielsweise an Bord eines Kraftfahrzeugs, ist an einen Datenbus angeschlossen, über den es mit anderen Steuersystemen oder Steuergeräten kommunizieren kann. Manche dieser Steuergeräte oder -Systeme können die Steuerfunktionen erfüllen, die für eine Sicherheit einer Bedienperson oder unbeteiligten Personen im Umfeld relevant sind. Beispielsweise können an Bord eines Kraftfahrzeugs ein Verbrennungsmotor oder eine Bremseinrichtung gesteuert werden. Besteht eine Fehlfunktion in einem der Steuersysteme oder -geräte, so ist si ^¬ cherzustellen, dass über den Datenbus keine Daten übertragen werden, die die Funktion eines anderen Steuersystems oder -geräts beeinträchtigen und so die Sicherheit eines gesteuerten Pro ^¬ zesses kompromittieren kann.

Der Datenbus kann beispielsweise einen CAN-Bus umfassen. Ein Steuergerät des Steuersystems ist mittels eines Treiberbausteins mit dem CAN-Bus verbunden. Das Steuergerät ist dazu eingerichtet, einen Fehlerzustand selbsttätig zu erkennen und den Treiber ^¬ baustein im Fehlerfall abzuschalten. Dazu ist ein dedizierter Ausgang des Steuergeräts mit einem korrespondierenden Freigabeeingang des Treiberbausteins verbunden. Zur Erhöhung der Sicherheit kann ein weiteres Steuergerät vorgesehen sein, das bestimmte Operationen des ersten Steuergeräts überwacht und einen Fehlerzustand feststellt. Wird ein Fehlerzustand fest ^¬ gestellt, so schaltet das zweite Steuergerät den Treiberbaustein über dessen Freigabeeingang ab. Dazu ist eine logische Ver- knüpfung der Abschaltsignale beider Steuergeräte erforderlich. Außerdem muss dann ein Treiberbaustein verwendet werden, der über einen herausgeführten Freigabeeingang verfügt. Wird der Treiberbaustein abgeschaltet, so liefert er übli ^¬ cherweise ein Fehlersignal an das erste Steuergerät. Dieses oder das andere Steuergerät muss dann üblicherweise den Grund der Abschaltung bestimmen. Dazu kommen ein Fehler im ersten

Steuergerät, ein Fehler im zweiten Steuergerät und ein Fehler im Treiberbaustein infrage. Zusätzlich können Verbindungen oder Verknüpfungen von Signalen fehlerhaft sein. Schließlich kann auch das Fehlersignal selbst fehlerhaft sein. Um den Fehler korrekt zuzuordnen, müssen daher unterschiedliche Signalpfade zwischen den Steuergeräten und dem Treiberbaustein überprüft werden. Diese Überprüfung kann aufwendig sein und bedingen, dass Signale auf dem Datenbus ausgegeben werden, die nur der Fehlerbestimmung dienen und nicht an ein anderes Steuergerät oder -System gerichtet sind.

Es ist Aufgabe der vorliegenden Erfindung, ein Steuersystem zum Anschluss an einen Datenbus bereitzustellen, der eine verbesserte Fehleranalyse unterstützt. Diese Aufgabe wird durch ein Steuersystem mit den Merkmalen des unabhängigen Anspruchs gelöst. Unteransprüche geben bevorzugte Ausführungsformen wieder .

Ein Steuersystem umfasst ein erstes Steuergerät, ein zweites Steuergerät und einen Treiberbaustein für einen Datenbus. Dabei umfasst das erste Steuergerät einen Datenausgang, der mit einem Dateneingang des Treiberbausteins verbunden ist, und eine Überwachungseinrichtung zum Deaktivieren des Datenausgangs im Fehlerfall. Ein Deaktivierungssignal des zweiten Steuergeräts für den Treiberbaustein ist an einen Dateneingang des ersten Steuergeräts geführt und das erste Steuergerät ist dazu ein ^¬ gerichtet, den Datenausgang auf ein Fehlersignal am zweiten Eingang hin zu deaktivieren.

Dadurch kann ein Treiberbaustein verwendet werden, der über keinen Freigabeeingang verfügt. Der Treiberbaustein kann eine verringerte Anzahl Anschlüsse aufweisen, sodass der Treiber ^¬ baustein kompakter ausgeführt sein kann. Das Steuersystem kann dadurch kompakter aufgebaut werden. Außerdem können durch die verringerte Anzahl Anschlüsse Herstellungskosten reduziert oder eine Betriebssicherheit des Steuersystems gesteigert sein. Insbesondere kann die Zuverlässigkeit der Abschaltung des Treiberbausteins verbessert sein. Ferner kann eine logische Verknüpfung von Abschaltsignalen des ersten und des zweiten Steuergeräts erfolgen, ohne hierfür ein Bauelement oder einen integrierten Schaltkreis außerhalb der Steuergeräte und des Treiberbausteins vorzusehen. Das Steuersystem kann dadurch weiter vereinfacht aufgebaut sein. Der Raumbedarf des Steu- ersystems oder eine benötigte Fläche auf einer Leiterplatte können weiter gesenkt sein.

Außerdem kann es vereinfacht möglich sein, die Quelle einer Abschaltung zu bestimmen. Das erste Steuergerät kann insbe- sondere vereinfacht feststellen, ob die Abschaltung aufgrund einer eigenen Entscheidung oder aufgrund eines abgetasteten Signals des zweiten Steuergeräts erfolgt ist. Ein Abschalten des Treiberbausteins beispielsweise aufgrund einer Selbstüberwa ^¬ chung des Treiberbaustein kann auf bekannte Weise mittels eines Fehlersignals bestimmt werden, das der Treiberbaustein be ^¬ reitstellt und das an einen Eingang beispielsweise des ersten Steuergeräts geführt ist.

Insbesondere kann vermieden werden, dass im Fall eines Feh- lerzustands im Steuersystem auf dem Datenbus Signale ausgegeben werden, die von einem weiteren angeschlossenen Steuergerät oder Steuersystem irrtümlich als Daten, insbesondere als gültige Daten, interpretiert werden können. Eine Sicherheit eines Systems, das das Steuersystem umfasst, kann dadurch gesteigert sein. Insbesondere kann bei Einsatz des Steuersystems an Bord eines Kraftfahrzeugs verbessert sichergestellt sein, dass das Steuersystem auch im Fehlerfall die Steuerung eines Prozesses, dessen Steuereinrichtung mit dem Datenbus verbunden ist, nicht beeinträchtigt. Eine Sicherheit einer Person an Bord des Kraftfahrzeugs oder im Bereich des Kraftfahrzeugs kann dadurch verbessert sein. Es ist insbesondere bevorzugt, dass das Signal der Überwa ^¬ chungseinrichtung und das Signal am Dateneingang des ersten Steuergeräts mittels einer Logikschaltung innerhalb des ersten Steuergeräts miteinander verknüpft werden. Das erste Steuergerät kann dazu eingerichtet sein, eine derartige Verknüpfung mittels einer entsprechenden Konfiguration bereitzustellen. Diese Konfiguration kann beispielsweise während des Hochfahrens des ersten Steuergeräts durchgeführt werden. Ein hierfür erforderlicher Programmaufwand kann gering sein, sodass das Programm einfacher variiert oder verifiziert werden kann. Die Konfiguration kann außerdem dagegen geschützt sein, durch einen Prozess, der nach dem Hochfahren im ersten Steuergerät ausgeführt wird, verändert wird. Dabei ist besonders bevorzugt, dass der Datenausgang durch jedes der Signale unabhängig voneinander deaktiviert werden kann. Anders ausgedrückt ist bevorzugt, dass der Datenausgang nur dann aktiviert ist, wenn weder die Überwachungseinrichtung innerhalb des ersten Steuergeräts noch das Signal des zweiten Steuergeräts am Dateneingang des Steuergeräts dagegen sprechen. Die Deak- tivierung des Datenausgangs hat somit Vorrang gegenüber einem Aktivierungssignal eines der Steuergeräte.

Der Datenausgang kann insbesondere dazu eingerichtet sein, auf ein Deaktivierungssignal hin hochohmig zu werden. Anders ausgedrückt, können Ausgangstreiber des ersten Steuergeräts auf das Deaktivierungssignal hin abgeschaltet werden. Solche Ausgangstreiber sind auch unter der Bezeichnung

Tri-State-Treiber bekannt. Solche Datentreiber können an einem extern herausgeführten Anschluss des ersten Steuergeräts drei Zustände einnehmen, nämlich logisch 1, logisch 0 und hochohmig. Die ersten beiden Zustände sind für das Übermitteln von Daten zum Treiberbaustein vorgesehen. Wird der Anschluss hochohmig geschaltet, so wird das am Eingang des Treiberbausteins anliegende Signal nicht mehr durch das erste Steuergerät beeinflusst. Der Treiberbaustein kann diesen Zustand erkennen und einen geeignete Maßnahme ergreifen. Der Treiberbaustein kann in diesem Fall auch einen vorbestimmten logischen Pegel an seinem Eingang detek- tieren, der üblicherweise so definiert ist, dass ein Senden von Daten des Treiberbausteins auf den Datenbus möglichst umgehend unterbunden wird. In einer weiteren Ausführungsform kann der Treiberbaustein zusätzlich durch das erste Steuergerät in einen Energie sparenden Modus versetzt werden. Dazu ist bevorzugt, dass der Treiber ^¬ baustein einen Freigabeeingang umfasst, der mit einem weiteren Datenausgang des ersten Steuergeräts verbunden ist, sodass der Treiberbaustein durch das erste Steuergerät gesteuert werden kann. Der Freigabeeingang ist bevorzugterweise ein Steuereingang, der in einer Ausführungsform auch als „Enable"-Eingang bekannt ist. Dieses Sperren entspricht dem Gegenteil einer Freigabe. Das Steuersystem kann dadurch noch effizienter vom Datenbus getrennt werden. Der deaktivierte Zustand des Trei ^¬ berbausteins wird gelegentlich auch Schlafzustand genannt. Unter Umständen kann der Schlafzustand beendet werden, indem der Treiberbaustein über den Datenbus adressiert bzw. mit vorbe ^¬ stimmten Daten angesteuert wird.

Bevorzugterweise ist der weitere Datenausgang unabhängig von einer Deaktivierung des anderen Datenausgangs steuerbar. Das Deaktivieren des Datenausgangs kann dadurch unabhängig vom Deaktivieren des Treiberbausteins gehalten sein. Zu Analyse- zwecken, insbesondere im Rahmen eines Selbsttestes oder zur

Bestimmung, aus welchem Grund oder aus welcher Quelle der mit dem Ausgangstreiber verbundene Datenausgang deaktiviert wurde, kann dies vorteilhaft sein. Es ist weiter bevorzugt, dass der Treiberbaustein einen

Freigabeausgang umfasst, um seinen Freigabezustand anzuzeigen, wobei der Freigabeausgang mit einem weiteren Dateneingang des ersten Steuergeräts verbunden ist. Das erste Steuergerät kann dadurch den Zustand des Treiber ^¬ bausteins abtasten, ohne eine Datenaustausch über den Datenbus zu bewirken. Insbesondere kann das erste Steuergerät detek- tieren, wenn der Treiberbaustein seinen Freigabezustand ändert, ,

b

ohne dass dies durch eines der Steuergeräte veranlasst wurde. Dazu können beispielsweise ein Eintreten in einen Freigabe ^¬ zustand durch Signalisierung über den Datenbus oder ein Austreten aus dem Freigabezustand aufgrund eines selbstdiagnostizierten Fehlers zählen.

Die Erfindung wird nun mit Bezug auf die beigefügte Figur genauer beschrieben, die eine schematische Darstellung eines Steuersystems darstellt.

Die Figur zeigt ein Steuersystem 100 zur Verbindung mit einem Datenbus 105. Das Steuersystem 100 ist bevorzugterweise dazu eingerichtet, an Bord eines Kraftfahrzeugs verwendet zu werden. Dabei kann das Steuersystem 100 eine beliebige Steueraufgabe, etwa eine Motorsteuerung oder eine Bremsensteuerung, durchführen. Der Datenbus 105 kann beispielsweise einen CAN-Bus umfassen. Am Datenbus 105 können eines oder mehrere weitere Steuergeräte oder Steuersysteme angeschlossen sein, von denen eines eine Steueraufgabe durchführen kann, deren Fehlausführung die physische oder funktionale Sicherheit eines umgebenden

Systems, insbesondere des Kraftfahrzeugs, beeinträchtigen kann.

Das Steuersystem 100 umfasst ein erstes Steuergerät 110, ein zweites Steuergerät 115 und einen Treiberbaustein 120. Das erste Steuergerät 110 kann insbesondere als programmierbarer Mik ^¬ rocomputer ausgeführt sein. Bevorzugterweise wird ein konfi ^¬ gurierbarer Mikrocomputer verwendet, der Funktionseinheiten umfasst, die zunächst voneinander unabhängig sind und deren Interaktionen durch vorbestimmte Steuerbefehle konfiguriert werden können. Eine solche Ausführungsform wird auch Mikro- controller genannt. Die in der Figur gezeigten Elemente des ersten Steuergeräts 110 können miteinander integriert ausgeführt sein, beispielsweise als separat handhabbare Baugruppe. Die Integration kann umfassen, dass die Elemente auf einem ge- meinsamen Halbleitersubstrat gebildet sind. In diesem Fall kann auch von einem Einchip-Mikrocontroller gesprochen werden. Das zweite Steuergerät 115 kann ein beliebiges Steuergerät sein, das beispielsweise ebenfalls als programmierbarer Mikrocomputer ausgeführt sein kann, alternativ auch beispielsweise als an ^¬ wenderspezifischer integrierter Schaltkreis (ASIC) oder als Field Programmable Gate Array (FPGA) . Das zweite Steuergerät 115 ist separat vom ersten Steuergerät 110 ausgeführt und bevor- zugterweise dazu eingerichtet, eine Funktion des ersten

Steuergeräts 110 zu überwachen. Allerdings ist bevorzugt, dass sich die Steuergeräte 110 und 115 in räumlicher Nähe zueinander befinden, indem sie beispielsweise auf der gleichen Leiterplatte, in der gleichen Baugruppe oder im gleichen Gehäuse angeordnet sind. Das Steuersystem 100 ist bevorzugterweise eine separat handhabbare Einheit, die beispielsweise an Bord eines Kraftfahrzeugs angebracht wird. Ein Selbsttest des Steuersystems 100 kann dadurch vereinfacht sein. Eine derartige redundante Überwachung ist beispielsweise bei einer sicherheitsrelevanten Steuerung wie einer Bremsensteuerung an Bord eines Kraftfahrzeugs anzutreffen. Der Treiberbaustein 120 ist bevorzugterweise ebenfalls separat vom ersten Steuergerät 110 ausgeführt und dazu eingerichtet, Daten mit dem Datenbus 105 auszutauschen. Dazu können insbesondere Spannungen, Ströme oder andere physische Signale, die auf den Datenbus 105 definiert sind, durch den Treiberbaustein 120 generiert bzw. ausgewertet werden. Das erste Steuergerät 110 umfasst einen ersten Datenausgang 125 und bevorzugterweise einen zweiten Datenausgang 130. Die Da ^¬ tenausgänge 125, 130 sind bevorzugterweise als Anschlüsse des ersten Steuergeräts 110 physisch zugänglich. Der zweite Datenausgang 130 ist mit einem Freigabeeingang 135 des Trei- berbausteins 120 verbunden. Daten, die vom ersten Steuergerät 110 auf den Datenbus 105 ausgegeben werden sollen, werden über diese Verbindung zum Treiberbaustein 120 übertragen. Der erste Datenausgang 125 kann innerhalb des ersten Steuergeräts 110 deaktiviert werden. Der zweite Datenausgang 130 ist bevor- zugterweise davon unabhängig. Zur Deaktivierung kann beispielsweise innerhalb des ersten Steuergeräts 110 ein Aus ^¬ gangstreiber 140 vorgesehen sein, der über ein zugeordnetes Signal in einen hochohmigen Zustand versetzt werden kann. Dieses Signal wird innerhalb des ersten Steuergeräts 110 bevorzug ^¬ terweise mittels einer Logikschaltung 145 bereitgestellt, die dazu eingerichtet ist, wenigstens zwei Signale logisch mit ^¬ einander zu verknüpfen. Eins der Signale wird dabei durch eine interne Überwachungseinrichtung 150 bereitgestellt.

Die Logikschaltung 145 kann mit einem anderen Funktionsblock innerhalb des ersten Steuergeräts 110 integriert ausgeführt sein. Bevorzugterweise ist die Logikschaltung 145

konfigurierbar, sodass die Art der logischen Verknüpfung oder die miteinander verknüpften Signale ausgewählt werden können. Die Überwachungseinrichtung 150 ist dazu eingerichtet, eine Funktion des ersten Steuergeräts 110 intern zu überwachen. Dazu können beispielsweise ein Speicherschutz oder eine zeitgesteuerte Überwachungseinrichtung („Watchdog Timer") durch die Überwachungseinrichtung 150 implementiert sein. Im Betrieb des ersten Steuergeräts 110 kann die Überwachungseinrichtung 150 durch einen Mikroprozessor 155 kontaktiert werden, auf dem ein Überwachungsprogramm 160 abläuft.

Das erste Steuergerät 110 umfasst weiter einen ersten Daten ^¬ eingang 165 und optional noch einen zweiten Dateneingang 170 oder einen dritten Dateneingang 175. Der erste Dateneingang 165 ist außerhalb des ersten Steuergeräts 110 mit einem Ausgang 180 des zweiten Steuergeräts 115 verbunden und intern an die Logikschaltung 145 geführt. Die Logikschaltung 145 ist dazu eingerichtet, den ersten Datenausgang 125 beziehungsweise den Ausgangstreiber 140 abzuschalten, wenn wenigstens eines der Signale des ersten Datenausgangs 165 oder der Überwachungs- einrichtung 150 ein entsprechendes Fehlersignal führt.

Der Prozessor 155 ist bevorzugterweise mit dem zweiten Da ^¬ tenausgang 125 beziehungsweise dem Ausgangstreiber 140 verbunden, um Daten in Richtung des Datenbusses 105 ausgeben zu können. Ein sogenanntes CAN-Peripheral (CAN-Bus Controller) zur Steuerung von Versenden und Empfangen von Daten über den Datenbus 105 ist in Figur 1 nicht dargestellt, kann aber ebenfalls vorgesehen und auf übliche Weise verbunden werden, insbesondere mit dem dritten Dateneingang 170 und über den Ausgangstreiber 140 mit dem ersten Datenausgang 125. Empfängt der Treiberbaustein 120 Daten vom Datenbus 105, so leitet er diese bevorzugterweise über einen Ausgang 185 an den zweiten Eingang 170 des ersten

Steuergeräts 110 weiter, von wo aus sie der Mikroprozessor 155 entgegennehmen und verarbeiten kann.

In einer optionalen Ausführungsform ist der Treiberbaustein 120 dazu eingerichtet, freigegeben oder gesperrt zu werden. Der gesperrte Zustand wird gelegentlich auch Schlafzustand genannt. Das Einnehmen des Schlafzustands nennt man dann Einschlafen und das Verlassen des Schlafzustands Aufwachen. Über ein entsprechendes Signal am zweiten Datenausgang 130 des ersten Steuergeräts 110 kann der Treiberbaustein 120 in seinem

Freigabezustand beeinflusst, das heißt, Schlafen geschickt oder aufgeweckt werden. Bevorzugterweise umfasst der Treiberbaustein 120 darüber hinaus einen Freigabeausgang 190, der mit dem dritten Dateneingang 175 des ersten Steuergeräts 110 verbunden ist. Über den Freigabeausgang 190 zeigt der Treiberbaustein 120 seinen Freigabezustand an. Das erste Steuergerät 110 kann dadurch abtasten, ob ein über den zweiten Datenausgang 130 beziehungsweise den Freigabeeingang 135 gegebenes Signal durch den Treiberbaustein korrekt umgesetzt wurde. Außerdem kann das erste Steuergerät 110 über den dritten Dateneingang 175 abtasten, ob der Treiberbaustein 120 seinen Freigabezustand aus einem anderen Grund verändert als das Signal am zweiten Datenausgang 130. Beispielsweise kann der Treiberbaustein 120 sich selbst deaktivieren beziehungsweise einschlafen, wenn er einen Fehler, beispielsweise bei der Abwicklung eines Datentransfers zum oder vom Datenbus 105 entdeckt. Außerdem kann der Treiberbaustein 120 dazu eingerichtet sein, aus einem Schlafzustand geweckt zu werden, wenn über den Datenbus 105 entsprechende Signale an ihn gerichtet werden. ₁

Bezugs zeichenliste

100 Steuersystem

105 Datenbus

110 erstes Steuergerät

115 zweites Steuergerät

120 Treiberbaustein 125 erster Datenausgang

130 zweiter Datenausgang

135 Freigabeeingang

140 Ausgangstreiber

145 Logikschaltung

150 Überwachungseinrichtung

155 Mikroprozessor

160 Überwachungsprogramm 165 erster Dateneingang

170 zweiter Dateneingang

175 dritter Dateneingang

180 Ausgang

185 Ausgang

190 Freigabeausgang