Verfahren zur Diagnose einer Sicherheitskomponente in einem Kraftfahrzeug Beschreibung

Hier beschrieben wir ein Verfahren zur Diagnose einer Sicherheitskomponente und insbesondere zur Diagnose einer Sicherheitskomponente in einem

Kraftfahrzeug.

Stand der Technik

Sicherheitskomponenten in Kraftfahrzeugen können grundsätzlich alle Arten von aktiven und passiven Sicherheitskomponenten sein, beispielsweise Airbags, Notbremssysteme etc.

Sicherheitskomponenten in einem Kraftahrzeug werden häufig in Abhängigkeit von Eingangsgrößen aktiviert oder deaktiviert, wobei dies häufig durch einen Vergleich einer oder mehrerer Eingangsgröße(n) mit einem oder mehreren Schwellwert(en) geschieht. Erreicht die Eingangsgröße den Schwellwert ist eine Bedingung erfüllt, die als Fehlerwert betrachtet werden kann. Häufig ist es so, dass Sicherheitskomponenten wie Airbags oder Notbremssysteme nicht durch nur einen überschrittenen Schwellwert ausgelöst werden. Vielmehr muss eine Mehrzahl von notwendigen und hinreichenden Bedingungen erfüllt sein, damit die Auslösung einer solchen Sicherheitskomponente erfolgt. Notwendige und hinreichende Bedingungen können jeweils in Form von Vergleichen von Betriebsparametern mit Schwellwerten implementiert sein. Derartige

Bedingungen sind normalerweise in Steuergeräten der einzelnen

Sicherheitskomponenten oder in zentralen Fahrzeugsteuergeräten (ECUs) hinterlegt.

Bei vielen ECUs (z.B. in einem Airbag) werden heute während der

Entwicklungsphase Testlimits (Schwel Iwerte) für eingebaute Selbsttest (Build-In Self-test, BIST) sowie die Limits zur An- und Abfilterung von Fehlern festgelegt und als über ECU-Lebensdauer konstante Werte in den ECUs programmiert. Solche Schwellwertbedingungen sollen durch das hier beschriebene Verfahren verbessert werden.

Offenbarung der Erfindung

Hier beschrieben wird ein Verfahren zum Betrieb einer Sicherheitskomponente in einem Kraftfahrzeug aufweisend die folgenden Schritte:

a) Feststellen eines hinterlegten Schwellwertes, welcher dazu vorgesehen ist mit einem Betriebsparameter der Sicherheitskomponente verglichen zu werden, um einen Fehlerwert zu setzen, wenn der Betriebsparameter den Schwellwert erreicht,

b) Ermitteln eines Fehlerwertes, wenn der Schwellwert erreicht wird, c) Sammeln von Schwellwertkorrekturdaten wenn der Schwellwert erreicht wird oder wenn eine Situation eintritt, in der ein Erreichen des Schwellwertes zu erwarten ist und Versenden von Schwellwertkorrekturdaten an eine zentrale Datenverarbeitung,

d) Empfangen mindestens eines korrigierten Schwellwertes zur Korrektur des Schwellwertes während des Betriebs der Sicherheitskomponente von einer zentralen Datenverarbeitung, wobei die Korrekturdaten aus Fehlerdaten ermittelt wurden, die in baugleichen Sicherheitskomponenten anderer Kraftfahrzeuge ermittelt wurden, und

e) Übernehmen des korrigierten Schwellwert als hinterlegter Schwellwert.

Das gemäß den Schritten a) bis e) beschriebene Verfahren wird in einer Sicherheitskomponente in einem Kraftfahrzeug ausgeführt, wenn diese

Sicherheitskomponente nach den beschriebenen Verfahren arbeitet. Das Verfahren kann zur Diagnose der Sicherheitskomponente verwendet werden bzw. insbesondere für eine Diagnose einer korrekten Funktion der

Sicherheitskomponente. Der zu überwachende Betriebsparameter ist dann kein Betriebsparameter, der bei Erreichen des Schwellwertes tatsächlich eine Auslösung der Sicherheitskomponente hervorruft, sondern es handelt sich um einen Betriebsparameter, der (nur) zum Feststellen einer korrekten

Betriebsweise der Sicherheitskomponente überwacht wird. Beispielsweise ist es denkbar, dass in einer Sicherheitskomponente die Feuchtigkeit oder der Druck als Betriebsparameter überwacht wird und es hierfür einen Schwellwert

(Feuchtigkeitsschwellwert oder Druckschwellwert) gibt. Wenn dieser unter- oder überschritten wird, könnte dies auf einen Fehler der Sicherheitskomponente hindeuten, der eine Wartung oder einen Austausch der Sicherheitskomponente erforderlich macht. Ein Anwendungsfall des Verfahrens wäre, beispielsweise, dass sich später herausstellt, dass ein bestimmter Druck oder eine Feuchtigkeit, die ursprünglich als kritisch angesehen wurde und zur Festlegung des initialen Schwellwertes geführt hat, sich später doch als unkritisch herausstellt, so dass der Schwellwert korrigiert werden kann bzw. dann in Schritt e) ein korrigierter Schwellwert übernommen wird.

Das Verfahren kann aber auch für den eigentlichen Betrieb der

Sicherheitskomponente verwendet werden. Dann ist der Betriebsparameter beispielsweise ein Betriebsparameter, der zum Auslösen eines Airbags verwendet wird und der Fehlerwert ist dann das Auslösesignal, welches den Airbag auslöst, wenn der Schwellwert erreicht wird. In dieser Konstellation können mit dem Verfahren initiale Schwellwerte zur Auslösung eines Airbags korrigiert werden, beispielsweise, wenn sich herausstellt, dass ein Airbag zu früh ausgelöst wurde und deswegen ein korrigierter Schwellwert in Schritt e) übernommen wird, welcher bewirkt, dass der Airbag erst später auslösen würde.

Eine Sicherheitskomponente ist jede beliebige Sicherheitskomponente eines Kraftfahrzeugs. Beispiele für solche Sicherheitskomponenten sind beispielsweise der bereits angesprochene Airbag, Bremssysteme, Systeme zur Durchführung von Notfallfahrmanövern, Gurtstraffer etc.

Das Feststellen eines hinterlegten Schwellwertes in Schritt a) umfasst normalerweise den Zugriff auf einen Speicherplatz in einem Steuergerät an welchem der hinterlegte Schwellwert abgelegt ist. Wie angegeben dient der Schwellwert dazu mit einem Betriebsparameter vergleichen zu werden, um einen Fehlerwert zu setzen, wenn der Schwellwert erreicht wird. Mit einem Erreichen ist hier gemeint, dass der Betriebsparameter den Schwellwert überschreitet oder unterschreitet, je nachdem um was für einen Betriebsparameter es sich handelt. Manche Betriebsparameter sollten maximale Schwellwerte nicht überschreiten. Andere Betriebsparameter sollten minimale Schwellwerte nicht unterschreiten. Der Schwellwert kann also wahlweise ein maximaler Schwellwert oder ein minimaler Schwellwert sein.

Ein Fehlerwert kann entweder ein Wert sein, der verwendet wird um eine

Auslösefunktion der Sicherheitskomponente zu aktivieren, beispielsweise einen Airbag zu öffnen oder ähnliches. Ein Fehlerwert kann auch ein Wert sein, welcher lediglich zu Diagnosezwecken erhoben wird, beispielsweise um festzustellen dass ein Airbag korrekt funktioniert oder ein Fehler in oder an dem Airbag vorliegt, welcher im Rahmen einer System-Wartung korrigiert werden sollte.

Mit dem Begriff„Fehlerwert“ ist insbesondere ein binärer Wert (ein binäres Flag) gemeint, welches in Abhängigkeit des Vergleichs von Schwellwert und

Betriebsparameter gesetzt wird oder nicht. Der Fehlerwert als binäres Flag kann also immer zwei verschiedene Zustände haben, beispielsweise„löst Airbag aus“/“löst Airbag nicht aus“ oder„Fehler liegt vor“/“Fehler liegt nicht vor“.

Ein Betriebsparameter ist jeder beliebige Betriebsparameter der

Sicherheitskomponente. Ein Betriebsparameter kann beispielsweise eine Temperatur oder ein Signal einer Auslösekomponente der

Sicherheitskomponente sein. Es ist auch möglich, dass ein Betriebsparameter ein berechneter Wert ist, welcher wiederum aus einer oder mehreren weiteren Betriebsgrößen berechnet wurde.

Das Ermitteln des Fehlerwertes erfolgt entsprechend in Schritt b) , wobei alles zuvor bereits für den Schwellwert im Zusammenhang mit Schritt a) Erläuterte auch für Schritt b) gilt.

Schritt b) definiert eine Alternative wann Schwellwertkorrekturdaten ermittelt werden, nämlich dann wenn eine Situation eintritt, in der ein Erreichen des Schwellwertes zu erwarten ist. Es gibt Situationen, in welchen das Erreichen des Schwellwertes selbst noch nicht eintritt, die jedoch trotzdem für eine Korrektur von Schwellwerten relevant sind, weil diese Situationen gegebenenfalls zeigen können, dass Schwellwerte großzügiger gesetzt werden können etc. Um auch solche Situationen mit zu erfassen wird alternativ vorgeschlagen

Schwellwertkorrekturdaten bereits dann zu sammeln, wenn ein Erreichen des Schwellwertes zu erwarten ist. Dass ein Erreichen des Schwellwertes zu erwarten ist, heißt nicht unbedingt, dass ein Erreichen des Schwellwertes später unbedingt eintreffen muss. Eine Situation, in der ein Erreichen des Schwellwertes zu erwarten ist, kann sich auch anders entwickeln als erwartet, so dass später das erwartete Erreichen des Schwellwertes tatsächlich nicht eintritt. Eine Situation in der ein Erreichen des Schwellwertes zu erwarten ist kann in einer einfachen Ausführungsvariante des Verfahrens beispielsweise durch einen sogenannten Vorschwellwert gekennzeichnet sein. Ein Vorschwellwert ist ein Schwellwert knapp oberhalb oder unterhalb des eigentlichen Schwellwertes (beispielsweise 10 Prozent oberhalb oder unterhalb des eigentlichen

Schwellwertes). Wenn dieser Vorschwellwert erreicht wird, liegt dann

definitionsgemäß eine Situation vor, in der ein Erreichen des Schwellwertes zu erwarten ist. Eine solche Situation kann aber auch durch komplexere

Bedingungen definiert sein, die zur Feststellung, ob eine derartige Situation vorliegt, geprüft werden. Beispielsweise können einer oder mehrere (weitere) Betriebsparameter oder Betriebsdaten eines Kraftfahrzeuges überwacht werden und mit Schwellwerten oder auch miteinander verglichen werden, um eine Situation zu erkennen, in der ein Erreichen des Schwellwertes zu erwarten ist. Betriebsdaten und Betriebsparameter umfassen hier insbesondere auf

Umfelddaten aus dem Umfeld des Kraftfahrzeuges, die mit einer sogenannten Umfeldsensorik ermittelt wurden.

Das Sammeln von Schwellwertkorrekturdaten in Schritt c) erfolgt insbesondere, in dem die relevanten Schwellwertkorrekturdaten in einen dafür vorgesehenen Speicher (beispielsweise ein Datenspeicher in einem Steuergerät, typischerweise ein RAM„random access memory“) geschrieben werden.

Schwellwertkorrekturdaten sind beispielsweise Daten betreffend den

Betriebsparameter vor, nach und während des Erreichen des Schwellwertes, sowie Daten bezüglich weiterer Betriebsparameter zum Zeitpunkt des Erreichen des Schwellwertes sowie davor und danach.

Das Versenden von Schwellwertkorrekturdaten an eine zentrale

Datenverarbeitung wird später eingehender erläutert. Die zentrale

Datenverarbeitung ist bevorzugt so ausgeführt, dass hier

Schwellwertkorrekturdaten von verschiedenen (vorzugsweise) baugleichen Sicherheitskomponente aus (bevorzugt) verschiedenen Kraftfahrzeugen zusammengeführt werden, um diese miteinander zu verarbeiten und basierend auf den Schwellwertkorrekturdaten mindestens einen korrigierten Schwellwert zu ermitteln. Ein miteinander Verarbeiten umfasst hier insbesondere mindestens eine der folgenden Maßnahmen:

Auswerten verschiedener Schwellwertkorrekturdaten,

Vergleichen verschiedener Schwellwertkorrekturdaten,

Verstehen verschiedener Schwellwertkorrekturdaten, und Interpretieren verschiedener Schwellwertkorrekturdaten bzw. insbesondere deren Bedeutung.

Das Empfangen von mindestens einem korrigierten Schwellwert zur Korrektur des Schwellwertes während des Betriebs erfolgt in Schritt d) von der zentralen Datenverarbeitung.

In Schritt e) wird dieser korrigierte Schwellwert dann übernommen, so dass die Sicherheitskomponente nach Schritt e) mit dem korrigierten Schwellwert betrieben wird.

Schwellwerte können insbesondere auch als BIST-Limits oder als

Fehlerfilterungslimits bezeichnet werden, weil diese Schwellwerte dazu dienen bestimmte Größen (Betriebsparameter) nur dann als Fehler zu erkennen, wenn der Schwellwert erreicht wird.

Das beschriebene Verfahren ermöglicht es während der Feldlebensdauer einer Sicherheitskomponente die erhobenen Schwellwertkorrekturdaten systematisch auszuwerten und basierend auf diesen Erkenntnissen die (BIST-Limits) und die Fehlerfilterungslimits per Flash-Over-The-Air (FOTA) anzupassen.

Schwellwertkorrekturdaten können insbesondere auch als Verhaltensdaten bezeichnet werden, weil Schwellwertkorrekturdaten das Verhalten der

Sicherheitskomponente bei Auftreten des Erreichens des Schwellwertes beschreiben.

Eine Anpassung der BIST-Limits und der Fehlerfilterungslimits während der aktiven Feldlebensdauer von ECUs kann unter anderem die folgenden Vorteile haben:

• Vermeidung von unnötigen Rückläufern/Rückrufen auf Grund zu eng gewählter Limits,

• Gezieltes Rückholen von auffälligen ECUs unter Vermeidung eines zu umfangreichen Rückrufs, und

• Nachträgliche Verschärfung von Limits bei neuen Hinweisen auf relevantes Fehlverhalten und somit Vermeidung von potentiell sicherheitsrelevanten Ausfällen. Wie bisher werden während der Entwicklungsphase einer ECU die initialen BIST- und Fehlerfilterungslimits definiert. Dies entspricht Schritt a) des beschriebenen Verfahrens bzw. einem noch vorgelagerten Schritt der Festlegung der

Schwellwerte in der Entwicklungsphase.

Während der Feldlebensphase eines Steuergerätes (ECUs) wird nun per systematischer Felddatenerfassung (systematic Field Data Exploration, sFDE) das Verhalten der ECUs im Feld beobachtet. Dies umfasst beispielsweise die Erfassung folgender Schwellwertkorrekturdaten (z.B. Stand der internen

Fehlerspeicher, Resetverhalten, Temperaturprofile, Vibrationsprofile, ...). Es ist möglich, dass das beschriebene Verfahren nur während einer ersten

Feldlebensphase einer Sicherheitskomponente durchgeführt wird, beispielsweise in den ersten Modellen eines Kraftfahrzeugs, die mit der Sicherheitskomponente ausgestattet sind oder im ersten Jahr in dem eine neuartige

Sicherheitskomponente im Feld eingesetzt wird. Später sind dann durch das Verfahren schon sehr gute korrigierte Schwellwerte verfügbar, so dass der Betrieb des beschriebenen Verfahrens abgestellt werden kann.

Besonders bevorzugt ist, wenn das Empfangen mindestens eines korrigierten Schwellwertes in Schritt d) während einer Wartung der Sicherheitskomponente oder des Kraftfahrzeuges erfolgt.

Bevorzugt erfolgt dann auch Schritt e) während der Wartung der

Sicherheitskomponente oder des Kraftfahrzeugs. Die Wartung der

Sicherheitskomponente oder des Kraftfahrzeugs kann beispielsweise eine „reguläre“ Fahrzeugwartung im Rahmen eines Werkstattaufenthalts

(Werkstattintervalls) sein. Bevorzugt werden die Schwellwertkorrekturdaten bei Anschluss eines Diagnosegeräts an das Kraftfahrzeug automatisch aus einem Steuergerät des Kraftfahrzeuges heruntergeladen. Bevorzugt werden die

Schwellwertkorrekturdaten dann anschließend oder direkt bei der Auswertung der Diagnose des Kraftfahrzeugs mit dem Diagnosegerät an die zentrale

Datenverarbeitung übermittelt. Gleiches gilt auch für das Empfangen mindestens eines korrigierten Schwellwertes

Besonders bevorzugt ist weiter, wenn das Versenden von

Schwellwertkorrekturdaten in Schritt c) oder das Empfangen mindestens eines korrigierten Schwellwertes in Schritt d) über eine Netzwerkschnittstelle während des regulären Betriebs des Kraftfahrzeuges erfolgt.

Eine solche Netzwerkschnittstelle kann beispielsweise eine (permanente) Mobilfunkverbindung eines Kraftfahrzeugs sein. Eine solche Mobilfunkverbindung ist in Kraftfahrzeugen häufig auch üblich, um Live-Daten einer Onboard- Diagnose an eine zentrale Datenverarbeitung zu übermitteln.

Die Schwellwertkorrekturdaten sind nicht nur Verhaltensdaten beschreibend das Verhalten der Sicherheitskomponente. Schwellwertkorrekturdaten sind auch Felddaten, die im Feld (im regulären Einsatzbetrieb von Kraftfahrzeugen) verwendet werden. Diese Felddaten werden beispielsweise auch zusammen mit den Daten aus Analysen von Feldrückläufern, Selbstanzeigen von Lieferanten und weiteren relevanten Daten von anderen Komponenten verglichen.

Basierend auf dieser Auswertung werden neue Limits für BIST und

Fehlerfilterung festgelegt und per Flash-Over-The-Air (FOTA) oder per

Werkstatttester in die ECUs eingespielt. Parallel werden diese neuen Limits auch in der Bosch-Produktion ausgerollt.

Besonders bevorzugt ist das Verfahren, wenn die Verfahrensschritte a) bis e) während des Verfahrens kontinuierlich wiederholt werden. Dabei werden bei Wiederholungen des Verfahrens gegebenenfalls auch bereits korrigierte

Schwellwerte als (neue) initiale Schwellwerte in Schritt a) betrachtet.

Besonders bevorzugt ist das Verfahren, wenn zum Sammeln von

Schwellwertkorrekturdaten in Schritt c) folgende Schritte ausgeführt werden: cl) Durchführen des Vergleichs des Schwellwertes mit dem Betriebsparameter; c2) Speichern von Zustandsinformationen, die einen Zustand der

Sicherheitskomponente beim Setzen des Fehlerwertes beschreiben; und c3) Bereitstellen der Zustandsinformationen für eine Ermittlung korrigierter

Schwellwerte als Schwellwertkorrekturdaten.

Der Vergleich des Schwellwertes in Schritt cl) entspricht dem Vergleich, der schon in Schritt a) vorgeschlagen wird. Schritt c2) entspricht dem Speichern einer Vielzahl von weiteren Betriebsparametern der Sicherheitskomponente vor, nach und während des Erreichens des Schwellwertes durch den Betriebsparameter. Schritt c3) stellt nochmal klar, dass alle (in den Schritten cl) und c2) gesammelten Informationen bereitgestellt werden.

Das beschriebene Verfahren wird nachfolgend anhand der Figur näher erläutert. Das Verfahren ist allerdings nicht auf die Ausführungsform in der Figur beschränkt.

Das Verfahren beginnt bei (i) mit der Festlegung von initialen Schwellwerten. Basierend auf diesen initialen Schwellwerten wird unter (ii) der Schwellwert für eine Sicherheitskomponente definiert. Dabei werden gegebenenfalls auch Daten aus einer Analyse von Felddaten (ix) einbezogen, sofern solche Daten verfügbar sind. So können die initialien Schwellwerte für die Sicherheitskomponente bereits Informationen aus Felddaten berücksichtigen.

Mit (iii) ist dann der Einsatz der Sicherheitskomponente im Feld beschrieben. Während des Einsatzes der Sicherheitskomponente erfolgt eine Online- Datensammlung (iv) von Fehlderdaten im Einsatz der Sicherheitskomponente.

Die Online-Datensammlung (iv) findet parallel zu dem Einsatz der

Sicherheitskomponente im Feld (iii) regelmäßig statt. Die Online-Datensammlung (iv) stellt die gesammelten Daten bevorzugt über eine hier als Pfeil dargestellte Netzwerkverbindung 2 einer Felddatenaufbereitung (vi) zur Verfügung.

Gleiches gilt für den Download neuer Sicherheitsdaten (v) aus der Analyse von Felddaten (ix). Auch dieser Download neuer Sicherheitsdaten (v) findet parallel zu dem Einsatz der Sicherheitskomponente im Feld (iii) regelmäßig statt. Die Analyse von Felddaten (ix) stellt dem Download neuer Sicherheitsdaten (v) diese neuen Sicherheitsdaten ebenfalls über eine hier als Pfeil dargestellte

Netzwerkverbindung 3 zur Verfügung.

Der Einsatz der Sicherheitskomponente ist mit dem Block (iii) hier auch dreimal (vor und nach der Online-Datensammlung (iv) und dem Download neuer Sicherheitsdaten (v)) dargestellt. Außerdem ist mit der Schleife 1 angedeutet, dass der Einsatz der Sicherheitskomponente im Feld (iii) prinzipiell dauerhaft angelegt ist. Dies stellt einen kontinuierlichen Einsatz der Sicherheitskomponente im Feld (iii) dar, während welchem regelmäßig mit der Online-Datensammlung (iv) Fehlerdaten gesammelt werden und während welchem regelmäßig mit dem Download neuer Sicherheitsdaten (v) neue Sicherheitsdaten eingelesen werden. Die Felddatenaufbereitung (vi) dient dazu aus den empfangenen Felddaten verwertbare Daten zu generieren, die dazu verwendet werden können die genannten Schwellwerte der Sicherheitskomponente zu verbessern. Um verwertbare Daten zu erzeugen verwertet die Felddatenaufbereitung (vi) bevorzugt auch Informationen aus weiteren Datenquellen, wie beispielsweise aus einer Expertendatenbank (x) oder aus einer manuellen Fehleranalyse (xi).

Die verwertbaren Daten werden mit einem Update (vii) in die

Datenbank mit Felddaten (viii) geschrieben. Aus dieser Datenbank mit Felddaten (viii) wird die Analyse von Felddaten (ix) mit Datenmaterial versorgt, um dann neue Sicherheitsdaten für den Download neuer Sicherheitsdaten (v) bereitstellen zu können. Die Felddaten (ix) können über den Link 6 auch (ii) zur Verfügung gestellt werden, um initiale Schwellwerte festzulegen.

Die Analyse von Felddaten (viii) stellt darüber hinaus bevorzugt auch Daten für die Bestimmung von initialen Schwellwerten unter (ii) zur Verfügung.

Die Verfahrensschritte (iii), (iv) und (v) werden bevorzugt in einer

Sicherheitskomponente 4 ausgeführt, die beispielsweise Teil eines

Kraftfahrzeugs sein kann.

Die Verfahrensschritte (i), (ii) sowie (vi), (vii), (viii), (ix), (x) und (xi) werden bevorzugt in einer zentralen Datenverarbeitung 5 durchgeführt, beispielsweise auf einem Server eines Herstellers der Sicherheitskomponente 4. Die

Sicherheitskomponente sind über Netzwerkverbindung 2 und 3, die

beispielsweise mit Hilfe von Mobilfunknetzen implementiert sind bevorzugt permanent oder temporär mit dieser zentralen Datenverarbeitung 5 verbunden.