Elektronische Steuereinheit

Die Erfindung betrifft eine elektronische Steuereinheit mit einem Mikrocontroller und zumindest zwei mit diesem zusammenwirkenden integrierten Halbleiterbausteinen.

Eine solche elektronische Steuereinheit ist aus der DE 102004 020 539 B3 bekannt. Solche bekannten elektronischen Steuereinheiten werden häufig als "Steuergerät" bezeichnet und als elektronische Baueinheit realisiert, in welcher vielfältige Steuer- und/oder Überwachungsfunktionen für elektronische bzw. elektrische Komponenten zusammengefasst sind und zur Anwendung in einem Kraftfahrzeug, insbesondere in einem Motorsteuergerät oder einem Getriebesteuergerät, dienen.

Die in der Vergangenheit stetig gestiegenen Anforderungen hinsichtlich der Funktionalitäten solcher Steuereinheiten haben dazu geführt, dass die gewünschten Funktionen heutzutage größtenteils durch Einsatz eines Mikrocontrollers implementiert werden. Der Begriff "Mikrocontroller" bezeichnet hierbei z. B. eine elektronische programmgesteuerte Steuereinrichtung, die typischerweise zumindest eine CPU (Central Processing Unit), ein RAM, ein ROM und I/O-Ports aufweist, jedoch bei einer Anwendung in einem Kraftfahrzeug sehr speziell ausgelegt ist, beispielsweise A/D-Wandler, Timer usw. aufweist. Alternativ kann die Funktion eines Mikrocontrollers auch durch eine festverdrahtete oder anwendungsspezifisch konfigurierbare elektronische Komponente (z. B. ASIC, FPGA etc.) implementiert sein.

Bei den von der Steuereinheit zu steuernden Komponenten kann es sich neben unmittelbar einer Brennkraftmaschine zuzuordnenden Komponenten wie einer Kraftstoffpumpe, einem Drosselklappenventil, einem Kraftstoffinjektor oder einer Lambdasonde auch um andere Komponenten des Fahrzeugs handeln. Eingangsseitig werden der Steuereinheit zur Steuerung benötigte Sensorsignale bzw. Messgrößen als Eingangssignale eingegeben, z. B. betreffend die Kurbelwellendrehgeschwindigkeit und -Stellung, die Motortemperatur, die Einlasslufttemperatur und -menge, die Fahrpedalstellung etc. Diese Aufzählung der zu steuernden bzw. sensierenden Komponenten ist keineswegs abschließend und dient lediglich der Veranschaulichung der Vielzahl denkbarer Funktionen einer Steuereinrichtung. Da ein Mikrocontroller bzw. dessen I/O-Ports technologiebedingt zumeist nicht zur direkten Ansteuerung der hier interessierenden Fahrzeugkomponenten geeignet sind, werden diese Komponenten üblicherweise durch zugeordnete Endstufen gesteuert, welche zu diesem Zweck eingangsseitig entsprechende Steuersignale des Mikrocontrollers -als dessen Ausgangssignale - erhalten und ausgangsseitig die zur Aktivierung und Deaktivierung der Komponenten erforderlichen Spannungen oder Ströme bereitstellen oder steuern, beispielsweise den Lade- und Entladestrom eines piezo- oder magnetisch betätigten Kraftstoffeinspritzventils.

Insbesondere im Hinblick auf die sicherheitskritischen Funktionen wird den Endstufen üblicherweise neben den Steuersignalen auch ein digitales, so genanntes Freigabesignal zugeführt, mittels welchem je nach Freigabesignalzustand eine Sperrung ("Disable" ) oder eine Freigabe ("Enable") der Aktivierung signalisiert wird. Diese von der eigentlichen Ansteuerung der Endstufe unabhängige Freigabe wird hierbei von einer Freigabesteuereinrichtung gegeben.

Eine solche Freigabesteuereinrichtung ist bei bekannten Steuereinrichtungen Teil einer so genannten Überwachungseinheit, welche den ordnungsgemäßen Betrieb des Mikrocontrollers überwacht, um im Falle eines Fehlers geeignete Maßnahmen zu treffen, beispielsweise den Mikrocontroller zurückzusetzen (Reset) und/oder mittels der Freigabesteuereinrichtung ein oder mehrere der erwähnten Freigabesignale auf denjenigen Freigabesignalzustand zu setzen, mit welchem jede zugeordnete Endstufe gesperrt bzw. abgeschaltet wird.

Eine solche Überwachungseinheit, oftmals als "Watchdog" bezeichnet, kann hierbei im Mikrocontroller integriert oder separat von diesem angeordnet sein. Die Funktion einer solchen Überwachungseinheit beruht beispielsweise darauf, dass diese dem Mikrocontroller von Zeit zu Zeit Aufgaben stellt und anhand der vom Mikrocontroller zurückgelieferten Resultate feststellt, ob der Mikrocontroller korrekt arbeitet oder nicht.

Wenn eine solche Überwachungseinheit eine gewisse Komplexität übersteigt, so ist es in der Praxis wirtschaftlich sinnvoll, diese Einheit (wie auch den Mikrocontroller) in einer von den Endstufen, bei denen es sich zumeist um Leistungsendstufen handelt, verschiedenen Technologie auszuführen, nämlich zweckmäßigerweise in einer Niedervolt-Technologie. Die elektrischen Verbindungen, welche zur Übertragung von Freigabesignalen zu den relevanten Endstufen vorgesehen sind (Abschaltpfade), können aus Gründen erhöhter Sicherheit mehrfach (redundant) ausgelegt werden. Ferner kann die Fähigkeit zur Abschaltung von Endstufen mittels der digitalen Freigabesignale anhand eines Selbsttests im inaktiven Systemzustand überprüft werden.

Wenn im Betrieb der Steuereinheit ein Fehler auftritt, der durch die Überwachungseinheit erkannt werden sollte, und Endstufen mittels des digitalen Freigabesignals in einen als "sicher" definierten Zustand überführt werden sollten, so ergeben sich bei den bekannten Steuereinheiten in der Praxis im Falle von Überspannungen jedoch Unzulänglichkeiten.

Jegliches Verhalten der in der Steuereinheit verwendeten elektronischen Bauteile kann nur innerhalb eines begrenzten, technologiebedingten Betriebsbereiches garantiert werden. Sobald dieser Bereich verlassen wird, z. B. bei Vorliegen unzulässig hoher Spannungen (z. B. Versorgungs- und/oder Signalspannungen) an irgendeiner Stelle des Systems, ist jede beliebige Konfiguration der Freigabesignale vorstellbar. Die Anschlusspins eines Steuergeräts sind in der Zielumgebung Spannungen ausgesetzt, die sich in der Regel außerhalb des für die Logikschaltkreise des Mikrocontrollers und ggf. der Überwachungseinheit spezifizierten Betriebsspannungsbereichs befinden und daher prinzipiell zur Störung oder sogar Zerstörung dieser Schaltkreise führen können.

Wenn die erwähnte Überwachungseinheit auch die Aufgabe einer Überspannungserkennung übernimmt, so kann der Fall eintreten, dass die überwachte Spannung selbst den zulässigen Betriebsspannungsbereich der Überwachungseinheit überschreitet, so dass ein Versetzen der Endstufen in den gewünschten vorbestimmten Fehlerfallzustand nicht mehr gewährleistet werden kann.

Beispielsweise kann es Vorkommen, dass im Überspannungsfall ein Freigabesignal deshalb nicht in den eine Sperrung der zugeordneten Endstufe bewirkenden Disable-Zustand überführt wird, weil die Überspannung die ordnungsgemäße Funktion der Überwachungseinheit bzw. deren Freigabesteuereinrichtung selbst beeinträchtigt.

Außerdem kann ein Überschreiten der zulässigen Spannungen an den Schaltkreisen des Steuergeräts, welche in einer Niedervolt-Technologie (z. B. 5V und/oder 3,3V) implementiert sind, auf Grund der hohen Sensibilität dieser Schaltkreise zu einer Undefinierten Anzahl an Folgefehlern führen.

Zur Lösung dieses Problems der oftmals unzulänglichen Sicherheit im Falle einer Überspannung ist es zwar denkbar, den Mikrocontroller und/oder die Überwachungseinheit robuster auszuführen. Solche Lösungen wären jedoch sehr teuer.

Die DE10 2008 004208 A1 offenbart zum Problem der Sicherheit solcher Steuereinheiten eine Einrichtung zum Überführen eines Apparats eines Kraftfahrzeugs in einen sicheren Zustand welche wenigstens zwei Steuergeräte umfasst, wobei mindestens eine zum Betrieb des Apparats erforderliche Komponente vorgesehen ist, wobei das erste Steuergerät ausgebildet ist, um abhängig von einem ersten Fehlerzustand die mindestens eine Komponente des Apparats so anzusteuern, dass der Apparat den sicheren Zustand einnimmt; und das zweite Steuergerät ausgebildet ist, um abhängig von einem zweiten Fehlerzustand die mindestens eine Komponente des Apparats so anzusteuern, dass der Apparat den sicheren Zustand einnimmt. Das erste Steuergerät kann dabei ausgebildet sein, mindestens ein erstes Fehlersignal zu empfangen, das den ersten Fehlerzustand anzeigt, wobei das zweite Steuergerät ausgebildet sein kann, mindestens ein zweites Fehlersignal zu empfangen, das den zweiten Fehlerzustand anzeigt. Eine Prüfeinrichtung kann ausgebildet sein, bei einer Fehlfunktion des ersten Steuergeräts das mindestens eine zweite Fehlersignal bereitzustellen, und bei einer Fehlfunktion des zweiten Steuergeräts das mindestens eine erste Fehlersignal bereitzustellen.

In der ISO 26262 sind Anforderungen bezüglich der Durchführung einer Gefährdungsanalyse und Risikoabschätzung definiert. Dazu müssen zunächst die potentiellen Gefährdungen des Systems identifiziert werden. Dies geschieht durch Betrachtung der Fehlfunktionen des untersuchten Systems in spezifischen Fahrsituationen. Anschließend wird jede Gefährdung mit einer Sicherheitsanforderungsstufe (ASIL) von A bis D klassifiziert oder als nicht sicherheitsrelevant QM eingeordnet. Anders als zum Beispiel in der IEC 61508 geschieht die Risikoanalyse in der ISO 26262 mittels einer festgelegten, qualitativen Methodik. Dazu muss für jede identifizierte Gefährdung einzeln die Schwere der Auswirkung, die Häufigkeit der Fahrsituation und die Beherrschbarkeit der Fehlfunktion in der jeweiligen Fahrsituation z. B. durch den Fahrer abgeschätzt werden. Aus einer vorgegebenen Tabelle lässt sich dann für jede Gefährdung die Einstufung QM oder ASIL A bis D ablesen.

Es ist die Aufgabe der Erfindung, eine elektronische Steuereinheit anzugeben, die auch für höhere ASIL-Level geeignet ist.

Die Aufgabe wird gelöst durch eine elektronische Steuereinheit mit einem Mikrocontroller und zumindest zwei mit diesem zusammenwirkenden integrierten Halbleiterbausteinen, bei der sowohl der Mikrocontroller als auch die Halbleiterbausteine Überwachungs-Anschlüsse aufweisen, die über einen seriellen Überwachungsbus miteinander verbunden sind, bei der sowohl der Mikrocontroller als auch die Halbleiterbausteine mit einem Abschaltbus verbunden sind, durch dessen Beaufschlagung mit einem Aktivierungssignal durch entweder den Mikrocontroller oder einen der Halbleiterbausteine die Steuereinheit in einen sicheren Zustand gebracht werden kann, bei der sowohl der Mikrocontroller als auch die Halbleiterbausteine Ansteuerein- und Ansteuerausgänge aufweisen, die alle über einen seriellen Ansteuerbus, sowie Systemein- und Systemausgänge aufweisen, die alle über einen seriellen Systembus miteinander verbunden sind, und bei der sowohl der Mikrocontroller als auch die Halbleiterbausteine eingerichtet sind, Ansteuer- und Systemsignale auf dem Ansteuerbus und dem Systembus zu verarbeiten und zu plausibilisieren.

Hierdurch ist es in vorteilhafter Weise möglich, dass sowohl der Mikrocontroller als auch die Halbleiterbauteile über alle wesentlichen, möglicherweise sicherheitsrelevanten Informationen verfügen und eine Sicherheitsabschaltung oder eine sonstige Maßnahme, um die Steuereinheit in einen sicheren Zustand zu versetzen, durchführen können. Die Halbleiterbauteile sind dabei übliche, in elektronischen Steuereinheiten benutzte periphere integrierte Schaltungsanordnungen.

Der Microcontroller oder ein Microprozessor übernimmt Steuerfunktionen in der elektronischen Steuereinheit. In einem Multiprozessor- oder Multicontrollersystem können auch mehrere Microcontroller oder Microprozessoren vorgesehen sein. Zum Erzeugen von Ansteuersignalen und Einlesen von Eingangssignalen können beispielsweise ASICs, programmierbare Logik-FPGAs oder CPLDs oder auch ein Ein-/Ausgabe-Microcontroller, der für spezielle Ein/Ausgabe-Aufgaben programmiert ist, verwendet werden. Diese können über eine serielle Schnittstelle kommunizieren und bei geeigneter Programmierung Überwachungssignale übernehmen. Die Halbleiterbausteine sind insbesondere als Microcontroller, Microprozessoren, FPGAs, CPLDs oder ASICs ausgebildet.

Der Überwachungsbus kann als eine serielle Überwachungsschnittstelle ausgebildet sein. Bevorzugt werden vom Überwachungsbus lediglich wenige Leitungen verwendet. Die Übertragungsgeschwindigkeit ist vorzugsweise an eine Fehlerreaktionszeit angepasst. Zusätzlich können Maßnahmen (beispielsweise Absicherung von Daten mit Prüfsumme, Transaction Counter, Time-Out-Überwachung) getroffen werden, um angestrebte Sicherheits-Ziele zu erreichen. Der Überwachungsbus kann zum Beispiel als ein bidirektionaler serieller Bus oder als eine SPI Schnittstelle oder als eine UART Schnittstelle im Multidrop Mode ausgebildet sein oder eine solche verwenden. Die Übertragung auf dem bidirektionalen seriellen Bus kann durch geeignete Maßnahmen wie beispielsweise Prüfsummen, Transaction Counter und/oder Time-Out-Überwachung abgesichert werden. Der Überwachungsbus kann beispielsweise ein oder mehrere der folgenden Signale übertragen:

- Sicherheitsrelevante Ein/Ausgabe-Signale binär (das heißt ein 1 :1 -Abbild der Ansteuersignale) oder kodiert (das heißt vorverarbeitete Signale, um die übertragene Datenmenge zu reduzieren). Diese können dann von einem anderen Halbleiterbaustein, beispielsweise einem ASIC, und/oder Logikbaustein gegengeprüft und/oder plausibilisiert werden.

- Spannungen und Ströme, die für die korrekte Funktion der elektronischen Steuereinheit überwacht werden sollen.

- Prüfsummen, beispielsweise um die Integrität von Speicherbereichen zu prüfen.

- Frage-Antwort Kommunikation zwischen Halbleiterbausteinen (beispielsweise einem Peripherie-Bausteinen) oder zwischen dem Microcontroller und einem Halbleiterbaustein (beispielsweise einem Peripherie-Baustein), um die korrekte Funktion zu prüfen.

- Spezielle Signale (beispielsweise Frage-Antwort Kommunikation wie oben erwähnt) mit zeitgerechter Übertragung, um einen Watchdog, beispielsweise einen Window-Watchdog, zu implementieren.

-Versorgungsspannungen, die auf Über-/Unterspannung überwacht werden sollen.

Der Ansteuerbus kann zur Übertragung von Ein-/Ausgabesignalen ausgebildet sein, die von der elektronischen Steuereinheit oder vom Microcontroller erzeugt und den Halbleiterbausteinen (beispielsweise Peripheriebausteinen) zugeführt werden. Insbesondere in einem Leistungstreiber gemessene Ströme und Spannungen werden von der elektronischen Steuereinheit erzeugt. In den Ein-/Ausgabesignalen können sicherheitsrelevante Signale enthalten sein. Diese Halbleiterbausteine (beispielsweise Peripheriebausteine) können dazu konfiguriert sein, über die Überwachungsschnittstelle den Zustand dieser Signale auszutauschen und anschließend gegenzuprüfen und/oder zu plausibilisieren.

Der Systembus kann zum Austausch von in der elektronischen Steuereinheit intern verwendeten Signalen zur Ansteuerung der Peripheriebausteine dienen. Es kann sich beispielsweise um einen parallelen oder seriellen Datenbus, beispielsweise einen 8Bit-Datenbus oder einen Bus zur Übertragung paralleler Ein-/Ausgabesignale oder einen SPI-Bus handeln. Signale auf dem Ansteuerbus können ungepufferte Pendants zu den Ausgangssignalen sein, jedoch nicht immer. Beispielsweise kann auch ein serieller Bus zur Übertragung zum Peripheriebaustein genutzt werden. Das Ansteuersignal wird dann im Halbleiterbaustein (insbesondere Peripheriebaustein) erzeugt. Signale zum Halbleiterbaustein (insbesondere Peripheriebaustein) können beispielsweise auf dem Systembus übertragen werden und Signale zu einem Aktuator oder Sensor können beispielsweise auf dem Ansteuerbus übertragen werden.

Der Abschaltbus überträgt beispielsweise Signale zur Abschaltung sicherheitsrelevanter Ausgänge, beispielsweise ein Relais zum Abschalten der Versorgungsspannung, und/oder ein Disable-Signal eines Leistungstreibers. Der Abschaltbus kann redundant ausgelegt werden, das heißt, es können mehrere Abschaltbusse vorgesehen sein.

In einer vorteilhaften Ausführung weisen die Halbleiterbausteine der elektronischen Steuereinheit auch eine Überwachungsfunktionalität für den Mikrocontroller aufweisen.

Sie können damit neben einer herkömmlichen Überwachungsschaltung - oft als Watchdog bezeichnet - die ordnungsgemäße Funktion des Mikrocontrollers überprüfen und diesen ggf. zurücksetzen oder abschalten.

Üblicherweise kann eine Steuerung mit Sicherheitszielen einen Watchdog und Spannungsmonitore enthalten und der Microcontroller kann Signale redundant einiesen. Zusätzlich kann der Mikrocontroller eine Sicherheitssoftware enthalten, um Plausibilisierungen und Prüfungen vorzunehmen. Es kann auch vorgesehen sein, einen zweiten Microcontroller oder dedizierten Überwachungsbaustein einzusetzen, um Hardwareredundanz bei der Überwachung sicherzustellen. Im vorliegenden Ansatz wird ausgenutzt, dass die sicherheitsrelevanten Informationen in den Halbleiterbausteinen (beispielsweise Peripheriebausteinen) der elektronischen Steuereinheit vorhanden sind. Die Halbleiterbausteine (beispielsweise Peripheriebausteine) können die Informationen über eine geeignete Schnittstelle austauschen. Die Information steht dann allen oder mehreren Halbleiterbausteinen (beispielsweise Peripheriebausteinen) zur Verfügung. Diese können somit eine verbesserte, redundante Überwachung mit minimaler Leiterplatten-Fläche und maximaler Parallelität realisieren. Es ist damit möglich, zusätzliche Bausteine wie Watchdog, Spannungsmonitore und bestenfalls auch einen Überwachungs-Microcontroller einzusparen.

In einer vorteilhaften Ausbildung der Erfindung sind der Mikrocontroller als auch die Halbleiterbausteine ausgebildet, Eingangssignale auf dem Ansteuerbus zu vergleichen und zu plausibilisieren.

Damit werden Eingangssignale nicht nur in einer Schaltungseinrichtung, wie beispielsweise dem Mikrocontroller, überprüft oder verarbeitet, sondern auch in den Halbleiterbausteinen, die dafür entsprechend ausgebildet sein müssen, also entsprechende Hardware- und/oder Softwareausrüstung aufweisen müssen.

In entsprechender Weise können der Mikrocontroller als auch die Halbleiterbausteine ausgebildet sein, Ausgangssignale redundant zu berechnen und zu vergleichen und zu plausibilisieren und an den Ansteuerbus anzulegen.

In einer weiteren vorteilhaften Ausbildung der elektronischen Steuereinheit weist diese außerdem zumindest einen Überwachungsbaustein auf, der mit dem Überwachungsbus, dem Ansteuerbus, sowie dem Systembus verbunden ist und eingerichtet ist, die Steuereinheit bei erkannten Unstimmigkeiten bei den Plausibilisierungsvorgängen in einen sicheren Zustand zu versetzen.

Die elektronische Steuereinheit kann beispielsweise als Steuereinheit, insbesondere Motorsteuereinheit oder Getriebesteuereienheit, in einem Kraftfahrzeug verwendet werden, insbesondere zum Steuern einer Kraftstoffpumpe, eines Drosselklappenventils, eines Kraftstoffinjektors oder einer Lambdasonde. Die Erfindung soll nachfolgend anhand eines Ausführungsbeispiels mit Hilfe einer Figur näher erläutert werden.

Die Figur zeigt eine elektronische Steuereinheit 1 m it einem Mikrocontroller 2 und zumindest zwei mit diesem zusammenwirkenden integrierten Halbleiterbausteinen 3. Sowohl der Mikrocontroller 2 als auch die Halbleiterbausteine 3 weisen Überwachungs-Anschlüsse 4 auf, die über einen seriellen Überwachungsbus 5 miteinander verbunden sind. Außerdem sind sowohl der Mikrocontroller 2 als auch die Halbleiterbausteine 3 mit einem Abschaltbus 6 verbunden, durch dessen Beaufschlagung mit einem Aktivierungssignal durch entweder den Mikrocontroller 2 oder einen der Halbleiterbausteine 3 die Steuereinheit 1 in einen sicheren Zustand gebracht werden kann.

Sowohl der Mikrocontroller 2 als auch die Halbleiterbausteine 3 weisen zudem Ansteuerein- und Ansteuerausgänge, die alle über einen seriellen Ansteuerbus 7, sowie Systemein- und Systemausgänge auf, die alle über einen seriellen Systembus 8 miteinander verbunden sind.

Sowohl der Mikrocontroller 2 als auch die Halbleiterbausteine 3 sind eingerichtet, Ansteuer- und Systemsignale auf dem Ansteuerbus 7 und dem Systembus 8 zu verarbeiten und zu plausibilisieren.

In vorteilhafter Weise können die Halbleiterbausteine 3 auch eine Überwachungsfunktionalität für den Mikrocontroller 2 aufweisen.

In einer vorteilhaften Ausführung der elektronische Steuereinheit 1 können der Mikrocontroller 2 als auch die Halbleiterbausteine 3 ausgebildet sein, Eingangssignale auf dem Ansteuerbus 7 zu vergleichen und zu plausibilisieren.

Außerdem können sowohl der Mikrocontroller 2 als auch die Halbleiterbausteine 3 ausgebildet sein, Ausgangssignale redundant zu berechnen und zu vergleichen und zu plausibilisieren und an den Ansteuerbus 7 anzulegen.

Im Ausführungsbeispiel der Fig. 1 weist die elektronische Steuereinheit 1 außerdem zumindest einen Überwachungsbaustein 9 auf, der mit dem Überwachungsbus 5, dem Ansteuerbus 7, sowie dem Systembus 8 verbunden ist und eingerichtet ist, die Steuereinheit 1 bei erkannten Unstimmigkeiten bei den Plausibilisierungsvorgängen in einen sicheren Zustand zu versetzen. Der Überwachungsbaustein 9 kann als eigenständiges Bauteil existieren oder es kann ein Überwachungsbaustein 9 in mindestens einen der Halbleiterbausteine 3 integriert sein. Figur 2 ist eine schematische Ansicht einer Anordnung, umfassend einen Microcontroller 2, einen Halbleiterbaustein 3, beispielsweise einen Peripheriebaustein, sowie eine Last 11 (beispielsweise einen Aktor) und einen Sensor 12. Der Halbleiterbaustein 3 ist über einen Systembus 8 mit dem Microcontroller 2 verbunden und über einen Ansteuerbus 7 mit der Last 11 und dem Sensor 12 verbunden. Der Systembus 8 kann einen Adressbus 8.1 , einen Datenbus 8.2 sowie Steuerleitungen 8.3 und 8.4, beispielsweise Chipselect CS und Read/Write RD/WR, aufweisen. Der Systembus 8 kann beispielsweise ein serieller Bus, insbesondere SPI, oder ein diskreter paralleler Ein-/Ausgabebus sein.