DE102005059021B4

DE102005059021B4 - An embedded system and method for operating an embedded system with improved identification of erroneous signals being exchanged

Info

Publication number: DE102005059021B4
Application number: DE102005059021.7A
Authority: DE
Inventors: Peter Braitschink; Heino Brose; Markus Kutzner
Original assignee: Volkswagen AG
Current assignee: Volkswagen AG
Priority date: 2005-12-08
Filing date: 2005-12-08
Publication date: 2016-06-30
Anticipated expiration: 2025-12-09
Also published as: DE102005059021A1

Abstract

Verfahren zum Betreiben von über ein Datenkommunikationsnetzwerk (4) verknüpften eingebetteten Systemen (3, 3', 3''), insbesondere in einem Kraftfahrzeug, bei dem von einem der eingebetteten Systeme (3) zu einem weiteren der eingebetteten Systeme (3') zyklisch mindestens ein Signal (12) als Nutzdaten in einem Rahmen (8), der als Nutzdatenrahmen bezeichnet wird, übertragen wird, dadurch gekennzeichnet, dass von dem einen der eingebetteten Systeme (3) ein Konfidenzwert für das mindestens eine Signal (12) ermittelt wird und bei einer Änderung des Konfidenzwerts des mindestens einen Signals (12) über eine vorgegebene Änderungsschwelle mindestens ein zu dem mindestens einen Signal (12) zugeordnetes Diagnosesignal (12) als Diagnosedaten in einem Rahmen (8'), der als Diagnosedatenrahmen bezeichnet wird, zumindest zu dem mindestens einen weiteren eingebetteten System (3') übertragen wird, wobei das Diagnosesignal (12') eine Konfidenzwertinformation für das mindestens eine Signal (12) umfasst, wobei die Nutzdaten und die Diagnosedaten gemäß einem Format in den Rahmen (8, 8') übertragen werden, wobei das Format mindestens ein Kennzeichnungsbit (14, 14') umfasst, anhand dessen die Rahmen (8, 8') als Nutzdatenrahmen und Diagnosedatenrahmen gekennzeichnet werden.Method for operating embedded systems (3, 3 ', 3' ') linked via a data communication network (4), in particular in a motor vehicle, in which cyclic from one of the embedded systems (3) to another of the embedded systems (3') at least one signal (12) is transmitted as user data in a frame (8) which is referred to as user data frame, characterized in that one of the embedded systems (3) determines a confidence value for the at least one signal (12) and at least one diagnostic signal (12) associated with the at least one signal (12) as diagnostic data in a frame (8 '), which is referred to as a diagnostic data frame, at least to the one of the at least one signal (12) over a predetermined change threshold at least one further embedded system (3 ') is transmitted, wherein the diagnostic signal (12') has a confidence value information for the at least one signal (12). wherein the payload data and the diagnostic data are transmitted according to a format in the frames (8, 8 '), the format comprising at least one tag bit (14, 14'), on the basis of which the frames (8, 8 ') serve as payload frames and Diagnostic data frame.

Description

Die Erfindung betrifft ein Verfahren zum Betreiben von über ein Datenkommunikationsnetzwerk verknüpften eingebetteten Systemen, insbesondere in einem Kraftfahrzeug, bei dem von einem der eingebetteten Systeme zu einem weiteren der eingebetteten Systeme zyklisch mindestens ein Signal als Nutzdaten in einem Rahmen übertragen wird, sowie solche eingebetteten Systeme, eingebettete Empfängersysteme und ein solche eingebetteten Systeme und gegebenenfalls Empfängersysteme umfassendes Funktionssystem, insbesondere eines Kraftfahrzeugs.The invention relates to a method for operating embedded systems linked via a data communication network, in particular in a motor vehicle, in which at least one signal as user data in a frame is cyclically transmitted from one of the embedded systems to another of the embedded systems, as well as to such embedded systems, embedded receiver systems and such embedded systems and optionally receiver systems comprehensive functional system, in particular a motor vehicle.

In Kraftfahrzeugen werden heutzutage viele eingebettete Systeme verwendet. Eingebettete Systeme stellen eine Funktion und/oder Funktionalität für ein Gesamtsystem zur Verfügung, in das sie eingebettet sind. In einem Kraftfahrzeug stellen beispielsweise Steuergeräte vernetzte eingebettete Systeme dar, die beispielsweise von Sensoren erfasste Messsignale aufbereiten und über ein als Bussystem ausgebildetes Datenkommunikationsnetzwerk zur Verfügung stellen. Ein Steuergerät, welches über das als Bussystem ausgebildete Datenkommunikationsnetzwerk Signale empfängt und anhand der empfangenen Signale eine Bremsvorrichtung steuert und betätigt, ist ein anderes Beispiel für ein eingebettetes System in einem Kraftfahrzeug. Eingebettete Systeme, die lediglich Daten über das Datenkommunikationsnetzwerk empfangen, werden im Folgenden als eingebettete Empfängersysteme bezeichnet.In automobiles, many embedded systems are used today. Embedded systems provide a function and / or functionality for an overall system in which they are embedded. In a motor vehicle, for example, control devices represent networked embedded systems which, for example, process measurement signals detected by sensors and make them available via a data communication network designed as a bus system. A control unit which receives signals via the data communication network designed as a bus system and controls and actuates a braking device on the basis of the received signals is another example of an embedded system in a motor vehicle. Embedded systems that only receive data over the data communications network are hereafter referred to as embedded receiver systems.

Die eingebetteten Systeme bilden zusammen mindestens ein Funktionssystem. Ein Kraftfahrzeug kann jedoch auch mehrere voneinander getrennte Funktionssysteme umfassen. Ein Kraftfahrzeug kann selbst als ein übergeordnetes Funktionssystem aufgefasst werden. Die eingebetteten Systeme eines Funktionssystems sind vorzugsweise über ein Datenkommunikationsnetzwerk verknüpft. In modernen Personenkraftwagen sind die Datenkommunikationsnetzwerke bevorzugt als Bussysteme ausgestattet. Hierbei kommen insbesondere Bussysteme nach dem CAN-Bus-Standard oder dem Flexray-Bus-Standard zur Anwendung. Es werden jedoch auch andere standardisierte oder proprietäre Bussysteme als Datenkommunikationsnetzwerke verwendet.The embedded systems together form at least one functional system. However, a motor vehicle may also include several separate functional systems. A motor vehicle can itself be understood as a higher-level functional system. The embedded systems of a functional system are preferably linked via a data communications network. In modern passenger cars, the data communication networks are preferably equipped as bus systems. In particular, bus systems according to the CAN bus standard or the Flexray bus standard are used here. However, other standardized or proprietary bus systems are also used as data communication networks.

Ein Austausch von Daten zwischen den einzelnen in das Funktionssystem integrierten eingebetteten Systemen erfolgt über das Bussystem in der Regel in Form von Paketen oder Blöcken.An exchange of data between the individual embedded systems integrated in the functional system takes place via the bus system, usually in the form of packets or blocks.

Diese werden beispielsweise bei dem CAN-Bus-Standard als Rahmen (Frames) bezeichnet.For example, these are called frames in the CAN bus standard.

Neben Informationen, die eine Adressierung des Rahmens betreffen, enthält ein Rahmen Nutzdaten. Mit den Nutzdaten werden einzelne Signale übertragen. Beispielsweise stellen die aufbereiteten Messwerte eines Radimpulssensors ein Signal dar, welches die aktuelle Geschwindigkeit des Kraftfahrzeugs repräsentiert. Ein Rahmen kann einen oder mehrere solcher Signale umfassen. Bei den gebräuchlichsten Übertragungsstandards für Bussysteme in Kraftfahrzeugen ist vorgesehen, dass die Signale von den einzelnen eingebetteten Systemen zyklisch über das Datenkommunikationsnetzwerk ausgetauscht werden. Dies bedeutet, dass beispielsweise ein Steuergerät in vorfestgelegten Intervallen die von ihm erfassten und aufbereiteten Messwerte in Form von Signalen jeweils in einem Datenrahmen übermittelt. Die Übermittlung des Datenrahmens kann gezielt an ein anderes Steuergerät, d. h. ein anderes eingebettetes System, oder an alle oder mehrere eingebettete Systeme des Datenkommunikationsnetzwerkes erfolgen.In addition to information concerning an addressing of the frame, a frame contains user data. With the user data individual signals are transmitted. For example, the processed measured values of a wheel pulse sensor represent a signal which represents the current speed of the motor vehicle. A frame may include one or more such signals. In the most common transmission standards for bus systems in motor vehicles, it is provided that the signals from the individual embedded systems are cyclically exchanged over the data communication network. This means that, for example, a control unit transmits, at predefined intervals, the measured values which it has acquired and processed in the form of signals in each case in a data frame. The transmission of the data frame can be targeted to another controller, i. H. another embedded system, or to all or more embedded systems of the data communications network.

In einem Funktionssystem eines Kraftfahrzeugs ist beispielsweise vorgesehen, dass ein Steuergerät, welches die Messsignale eines Radimpulssensors empfängt und aufbereitet, alle 100 ms einen aus diesen Messsignalen errechneten Geschwindigkeitswert überträgt. Dieser Geschwindigkeitswert wird jeweils an einer vorfestgelegten Stelle in dem Rahmen übertragen, den dieses Steuergerät über das Datenkommunikationsnetzwerk sendet. Dies bedeutet, dass in dem Datenrahmen eine bestimmte Anzahl von Bits an einer bestimmten Stelle in dem Rahmen festgelegt ist, die für den Geschwindigkeitswert reserviert sind. Andere Steuergeräte des Funktionssystems, die diesen Rahmen empfangen, interpretieren diese entsprechenden Bits als Geschwindigkeitswert.In a functional system of a motor vehicle, it is provided, for example, that a control unit which receives and processes the measuring signals of a wheel pulse sensor transmits a speed value calculated from these measuring signals every 100 ms. This speed value is transmitted at a predetermined location in the frame that this controller sends via the data communication network. This means that in the data frame a certain number of bits are fixed at a certain location in the frame reserved for the speed value. Other controllers of the functional system that receive this frame interpret these corresponding bits as the velocity value.

Aus der DE 10 2004 022 057 A1 sind ein Verfahren und eine Vorrichtung zur Überwachung der Übertragung von medizinischen Daten in einem Kommunikationsnetzwerk bekannt, insbesondere in einem Bildkommunikationsnetzwerk, wobei als Netzteilnehmer mehrere technische Modalitäten zur Erfassung der medizinischen Daten, insbesondere von Bilddaten, und Datenverarbeitungseinheiten über das Kommunikationsnetzwerk miteinander verbunden sind und zwischen den Netzteilnehmern zu übertragende Daten und/oder Parameter auf Kompatibilität geprüft werden.From the DE 10 2004 022 057 A1 are known a method and a device for monitoring the transmission of medical data in a communication network, in particular in an image communication network, wherein as a network subscriber several technical modalities for acquiring the medical data, in particular of image data, and data processing units via the communication network are interconnected and between the Network subscribers to be transmitted data and / or parameters for compatibility.

Aus der DE 103 60 125 A1 ist ein Verfahren zum Mitprotokollieren von Nachrichten auf einem Datenbus und Zwischenspeichern der versendeten Nachrichten in einem zyklisch überschreibbaren, flüchtigen Speichermittel bekannt. Die dermaßen zwischengespeicherten Nachrichten können mit einem Übertragungsprogramm gezielt auf interessierende Merkmale untersucht werden. Mittels definierbarer Triggerereignisse, die beispielsweise aus einzelnen oder mehreren Merkmalen der Nachrichten gebildet werden, kann ein Abspeichern der zwischengespeicherten Nachrichten in ein nichtflüchtiges zweites Speichermittel initiiert werden. Hierzu wird mit einer Kontrolleinheit das Eintreffen des definierten Triggerereignisses festgestellt und anschließend der Dateninhalt des flüchtigen Speichermittels in die Speicherzellen des nichtflüchtigen Speichermittels übertragen. Der damit hauptsächlich erzielte Vorteil liegt in der Rückverfolgbarkeit des Busverkehrs. Die ausgetauschten Nachrichten können zurückverfolgt werden und geben damit die Möglichkeit festzustellen, von welchem Prozess und von welchem Steuergerät die fehlerhafte Nachricht auf den Bus gesandt wurde. Dies hilft entscheidend bei der Fehlersuche in komplexen Kommunikationsnetzwerken. Mit der Rückverfolgung der fehlerhaften Nachricht oder mit der Analyse, welche Nachricht einen Fehler im Kommunikationsnetzwerk schließlich ausgelöst hat, kann festgestellt werden, welcher Prozess für den Fehler verantwortlich ist und welcher Programmschritt den Fehler ausgelöst hat.From the DE 103 60 125 A1 A method is known for logging messages on a data bus and buffering the messages sent in a cyclic rewritable volatile memory means. The messages cached in this way can be examined in a targeted manner for features of interest using a transmission program. through definable trigger events, which are formed for example from one or more features of the messages, a storage of the cached messages can be initiated in a non-volatile second storage means. For this purpose, the arrival of the defined trigger event is determined with a control unit and then the data content of the volatile memory means is transferred to the memory cells of the non-volatile memory means. The main advantage is the traceability of bus traffic. The exchanged messages can be traced, giving the possibility to determine from which process and from which controller the bad message was sent on the bus. This helps significantly in troubleshooting complex communication networks. By tracing the erroneous message or analyzing which message has finally triggered an error in the communication network, it can be determined which process is responsible for the error and which program step triggered the error.

Eine Schwierigkeit besteht darin, als fehlerhaft erkannte Messwerte für die anderen eingebetteten Systeme kenntlich zu machen. Wird nur ein Signal von dem sendenden eingebetteten System zyklisch pro Rahmen übertragen, so besteht die Möglichkeit, das Senden von Signalen so lange zu unterlassen, wie die zu übertragenen Signale fehlerhaft sind. In der Regel werden jedoch von einem Steuergerät in einem Rahmen mehrere Signale übertragen, von denen ein einziges fehlerhaft sein kann. Wünschenswert ist es daher, ein als fehlerhaft erkanntes Signal für die anderen eingebetteten Systeme auf möglichst einfache Weise kenntlich zu machen. Ferner kann eine Fehlerhaftigkeit eines Signals, zumindest bei Signalen, deren Weiterverarbeitung zeitkritisch ist, häufig erst ermittelt werden, nachdem das Signal bereits übermittelt wurde.One difficulty is to identify erroneously recognized metrics for the other embedded systems. If only one signal from the sending embedded system is transmitted cyclically per frame, it is possible to omit the transmission of signals as long as the signals to be transmitted are faulty. Usually, however, several signals are transmitted by a control device in a frame, one of which may be faulty. It is therefore desirable to identify a detected as faulty signal for the other embedded systems in the simplest possible way. Furthermore, a faultiness of a signal, at least in the case of signals whose further processing is time-critical, can often only be determined after the signal has already been transmitted.

Der Erfindung liegt daher das technische Problem zugrunde, ein Verfahren zum Betreiben eingebetteter Systeme sowie ein eingebettetes System, ein eingebettetes Empfängersystem und ein Funktionssystem zu schaffen, mit denen eine zuverlässige und einfache Kennzeichnung von fehlerhaften und/oder nicht vertrauenswürdigen Signalen möglich ist.The invention is therefore based on the technical problem of providing a method for operating embedded systems and an embedded system, an embedded receiver system and a functional system with which a reliable and simple identification of faulty and / or untrustworthy signals is possible.

Das technische Problem wird erfindungsgemäß durch ein Verfahren mit den Merkmalen des Patentanspruchs 1, ein eingebettetes System mit den Merkmalen des Patentanspruchs 8, ein eingebettetes Empfängersystem mit den Merkmalen des Patentanspruchs 16 sowie ein integriertes Funktionssystem mit den Merkmalen des Patentanspruchs 17 erfindungsgemäß gelöst. Vorteilhafte Ausgestaltungen der Erfindung ergeben sich aus den Unteransprüchen.The technical problem is inventively solved by a method having the features of claim 1, an embedded system having the features of claim 8, an embedded receiver system having the features of claim 16 and an integrated functional system having the features of claim 17. Advantageous embodiments of the invention will become apparent from the dependent claims.

Bei einem Verfahren zum Betreiben von über ein Datenkommunikationsnetzwerk verknüpften eingebetteten Systemen, insbesondere in einem Kraftfahrzeug, bei dem von einem der eingebetteten Systeme zu einem weiteren der eingebetteten Systeme zyklisch mindestens ein Signal als Nutzdaten in einem Rahmen, der als Nutzdatenrahmen bezeichnet wird, übertragen wird, ist vorgesehen, dass von dem einen eingebeteten System ein Konfidenzwert für das mindestens eine Signal ermittelt wird und bei einer Änderung des Konfidenzwerts des mindestens einen Signals über eine vorgegebene Änderungsschwelle mindestens ein zu dem mindestens einen Signal zugeordnetes Diagnosesignal als Diagnosedaten in einem Rahmen, der als Diagnosedatenrahmen bezeichnet wird, zumindest zu dem mindestens einen weiteren eingebeteten System übertragen wird, wobei das Diagnosesignal eine Konfidenzwertinformation für das mindestens eine Signal umfasst. Hierdurch wird erreicht, dass als unplausibel oder fehlerhaft erkannte Signale den eingebetteten Systemen kenntlich gemacht werden, die das Signal empfangen. Ein Konfidenzwert kann eine Wahrscheinlichkeit für die Korrektheit des Signals angeben. Ebenso ist es möglich, dass der Konfidenzwert nur die Werte gültig und ungültig bzw. fehlerfrei oder fehlerhaft annehmen kann. Ferner ist es nicht notwendig, jeden einzelnen fehlerhaften Signalwert durch das Senden von Diagnosedaten zu kennzeichnen, sondern lediglich bei einer Änderung der Vertrauenswürdigkeit des Signals. Hierdurch kann die zu übertragende Datenmenge gering gehalten werden, wenn beispielsweise ein Sensor oder ein Steuergerät über eine längere Zeit ausfällt oder fehlerhafte, unplausible und/oder nicht vertrauenswürdige Signale liefert. So reicht es beispielsweise, wenn erneut Diagnosedaten versandt werden, sobald wieder plausible, fehlerfreie und/oder vertrauenswürdige Signaldaten festgestellt werden. Die Konfidenzwertinformation muss nicht den Konfidenzwert wiedergeben. Es ist ausreichend, dass die Konfidenzwertinformation eine Information über den Konfidenzwert enthält. Die vorgeschlagene Vorgehensweise zeichnet sich dadurch aus, dass Diagnosedaten nur dann übertragen werden, wenn Daten als nicht plausibel oder fehlerhaft erkannt worden sind oder als erneut fehlerfrei und plausibel erkannt worden sind, nachdem die vorangehend übermittelten Werte für das Signal als fehlerhaft und unplausibel erkannt worden waren. Erfindungsgemäß werden die Nutzdaten und die Diagnosedaten gemäß einem Format in den Rahmen übertragen, wobei das Format mindestens ein Kennzeichnungsbit umfasst, anhand dessen die Rahmen als Nutzdatenrahmen und Diagnosedatenrahmen gekennzeichnet werden. Durch das Anfügen beispielsweise eines Kennzeichnungsbits an die übertragenen Rahmen ist es möglich, diese als Nutzdatenrahmen oder Diagnosedatenrahmen zu kennzeichnen. Die Position des Kennzeichnungsbits in dem Rahmen kann beliebig gewählt werden.In a method for operating embedded systems linked via a data communication network, in particular in a motor vehicle, in which at least one signal as user data in a frame, which is referred to as payload data frame, is cyclically transmitted from one of the embedded systems to another of the embedded systems, it is provided that a confidence value for the at least one signal is determined by the one embedded system and when changing the confidence value of the at least one signal over a predetermined threshold of change at least one diagnostic signal associated with the at least one signal as diagnostic data in a frame, as a diagnostic data frame is at least to the at least one further embedded system is transmitted, wherein the diagnostic signal comprises a confidence value information for the at least one signal. This ensures that as implausible or incorrectly detected signals are indicated to the embedded systems that receive the signal. A confidence value may indicate a probability for the correctness of the signal. It is also possible that the confidence value can only accept the values valid and invalid or error-free or incorrect. Furthermore, it is not necessary to mark each individual erroneous signal value by the transmission of diagnostic data, but only in a change in the trustworthiness of the signal. As a result, the amount of data to be transmitted can be kept low if, for example, a sensor or a control unit fails over a longer time or supplies erroneous, implausible and / or untrustworthy signals. For example, it is sufficient if diagnostic data are sent again as soon as plausible, error-free and / or trustworthy signal data are again detected. The confidence value information does not have to reflect the confidence value. It is sufficient that the confidence value information contains information about the confidence value. The proposed procedure is distinguished by the fact that diagnostic data are only transmitted if data has been recognized as implausible or incorrect or if it has again been recognized as error-free and plausible after the previously transmitted values for the signal were recognized as erroneous and implausible , According to the invention, the payload data and the diagnostic data are transmitted according to a format in the frame, wherein the format comprises at least one flag bit, based on which the frames are identified as payload frames and diagnostic data frames. By attaching, for example, a tag bit to the transmitted frames, it is possible to identify them as payload frames or diagnostic data frames. The position of the flag in the frame can be arbitrarily selected.

Bei einer bevorzugten Ausführungsform der Erfindung ist vorgesehen, dass das mindestens eine Signal und gegebenenfalls weitere Signale in dem Nutzdatenrahmen in der gleichen Reihenfolge angeordnet sind und jeweils mit der gleichen Bitzahl codiert sind wie die entsprechenden Diagnosesignale in dem Diagnosedatenrahmen. Hierdurch wird eine einfache Auswertung der Nutzdaten als auch der Diagnosedaten ermöglicht. Insbesondere bei eingebetteten Systemen, die sehr hardwarenah ausgestaltet sind und über kein besonders ausgeprägtes Analyseverfahren der in den Rahmen übermittelten Informationen verfügen, ist dieses Vorgehen besonders vorteilhaft. In a preferred embodiment of the invention it is provided that the at least one signal and optionally further signals are arranged in the payload data frame in the same order and are coded in each case with the same number of bits as the corresponding diagnostic signals in the diagnostic data frame. This allows a simple evaluation of the user data as well as the diagnostic data. This procedure is particularly advantageous in the case of embedded systems which are very close to the hardware and have no particularly pronounced analysis method of the information transmitted to the frame.

Eine besonders bevorzugte Weiterbildung der Erfindung sieht vor, dass allen Bits des dem mindestens einen Signal zugeordneten Diagnosesignals eine logische Null zugewiesen wird, wenn der Konfidenzwert des mindestens einen Signals, das mit dem Nutzdatenrahmen übertragen wird, in einem vorfestgelegten Konfidenzwertebereich liegt, und andernfalls mindestens einem der Bits eine logische Eins zugewiesen wird, um das mindestens eine Signal als außerhalb des Konfidenzwertebereichs zu kennzeichnen. Diese Weiterbildung ermöglicht es auf einfache Weise, ein als fehlerhaft gekennzeichnetes Signal aufzuspüren. Wird in einem Diagnoserahmen in nur einem der Bits, die dem jeweiligen Signal gemäß dem Format zugeordnet sind, eine logische Eins detektiert, so wird das zugeordnete Signal als fehlerhaft, nicht plausibel und/oder nicht vertrauenswürdig gekennzeichnet. Hierdurch ist es möglich, auch Einbitsignale zuverlässig als fehlerhaft zu kennzeichnen. Ebenso ist es möglich, das entsprechende Signal auf einfache Weise als zuverlässig, fehlerfrei und/oder plausibel zu kennzeichnen, wenn die Störung des Signals beispielsweise wegen eines Wegfalls einer Störung eines Sensors nicht mehr vorhanden ist, der die zur Berechnung des Signals erforderlichen Messdaten erfasst.A particularly preferred development of the invention provides that a logical zero is assigned to all bits of the diagnostic signal associated with the at least one signal when the confidence value of the at least one signal transmitted with the payload frame is within a predetermined confidence value range, and otherwise at least one the bits are assigned a logic one to identify the at least one signal as being outside the confidence value range. This development makes it possible to easily detect a signal marked as faulty. If a logical one is detected in a diagnostic frame in only one of the bits which are assigned to the respective signal according to the format, then the associated signal is marked as erroneous, not plausible and / or untrustworthy. As a result, it is possible to reliably characterize also write signals as faulty. It is also possible to identify the corresponding signal in a simple manner as reliable, error-free and / or plausible, if the disturbance of the signal is no longer present, for example due to a loss of a fault of a sensor which detects the measurement data required for the calculation of the signal.

Bei einer besonders bevorzugten Weiterbildung der Erfindung ist vorgesehen, dass allen Bits des dem mindestens einen Signal zugeordneten Diagnosesignals eine logische Eins zugewiesen wird, wenn der Konfidenzwert außerhalb des vorfestgelegten Konfidenzwertebereichs des mindestens einen Signals liegt.In a particularly preferred development of the invention, it is provided that a logical one is assigned to all bits of the diagnostic signal associated with the at least one signal if the confidence value is outside the predetermined confidence value range of the at least one signal.

Bei einer Weiterbildung des Verfahrens ist vorgesehen, dass mit Hilfe der Bits des dem mindestens einen Signal zugeordneten Diagnosesignals ein Fehlercode codiert wird, wobei mindestens einem der Bits des Diagnosesignals eine logische Eins zugewiesen wird, wenn der Konfidenzwert außerhalb des vorfestgelegten Konfidenzwertebereichs des mindestens einen Signals liegt. Bei dieser Weiterbildung ist es immer noch möglich, Einbitsignale zuverlässig als vertrauenswürdig, fehlerfrei und plausibel bzw. fehlerbehaftet, nicht vertrauenswürdig oder unplausibel zu kennzeichnen. Bei Signalen, denen jedoch mehrere Bits zur Übertragung in den Rahmen zugeordnet sind, ist es zusätzlich möglich, noch weitere Informationen in Form eines Fehlercodes zu übertragen. Hierbei muss jedoch sichergestellt werden, dass sich die Fehlercodes eindeutig von dem Wert unterscheiden, der ein plausibles, fehlerfreies und/oder zuverlässiges Signal kennzeichnet. In diesem Zusammenhang wird darauf hingewiesen, dass die Definition des Begriffs logische Null und logische Eins frei wählbar ist und von einer sonstigen Standardkonvention abweichen kann. Dies bedeutet, dass im Rahmen des Anspruchs eine logische Eins und eine logische Null den entgegengesetzten Wert von einer sonst üblichen Standardisierung aufweisen können.In a refinement of the method, it is provided that an error code is coded with the aid of the bits of the diagnostic signal assigned to the at least one signal, wherein a logical one is assigned to at least one of the bits of the diagnostic signal if the confidence value lies outside the predefined confidence value range of the at least one signal , In this further development, it is still possible to reliably mark fail signals as trustworthy, error-free and plausible or error-prone, untrustworthy or implausible. For signals, however, which are assigned several bits for transmission in the frame, it is additionally possible to transmit more information in the form of an error code. However, it must be ensured that the error codes clearly differ from the value that characterizes a plausible, error-free and / or reliable signal. In this context, it should be noted that the definition of the term logical zero and logical one is arbitrary and may deviate from any other standard convention. This means that, within the scope of the claim, a logical one and a logical zero may have the opposite value from a standardization that is otherwise customary.

Es ist besonders bevorzugt, dass der Diagnoserahmen anstelle eines der Nutzdatenrahmen in einem Übertragungszyklus übertragen wird. Hierdurch wird ein Übertragungsprotokoll des Datenübertragungsnetzwerkes nicht beeinflusst, wenn für ein Signal eine Änderung des Konfidenzwerts festgestellt wird. In der Regel sind die Funktionssysteme, die eingebettete Systeme, insbesondere in einem Kraftfahrzeug, umfassen, so ausgebildet, dass ein Ausfall eines Rahmens in einem Übertragungszyklus verkraftet werden kann, ohne die Funktionen der einzelnen eingebetteten Systeme nennenswert zu beeinträchtigen. Dies bedeutet, dass die Funktionalität der einzelnen eingebetteten Systeme darauf vorbereitet ist, mit dem Ausfall einzelner Nutzdatenrahmen umzugehen. Somit kann anstelle eines Nutzdatenrahmens ein Diagnosedatenrahmen übertragen werden. Der Mehrwert, der in der korrekten Kennzeichnung von nicht plausiblen, nicht vertrauenswürdigen und/oder fehlerhaften Signalen bzw. der Kenntlichmachung von wieder vertrauenswürdigen, korrekten und plausiblen Signalen liegt, überwiegt in der Regel die Nachteile, die durch das Weglassen eines Nutzdatenrahmens hervorgerufen werden. Bei Systemen, bei denen einzelne Rahmenausfälle gut verkraftet werden, kann dieses Verfahren zur Kennzeichnung der fehlerhaften Signale in bereits bestehenden Systemen besonders einfach implementiert werden, ohne das große Veränderungen an dem System notwendig sind.It is particularly preferred that the diagnostic frame is transmitted instead of one of the payload frames in a transmission cycle. As a result, a transmission protocol of the data transmission network is not affected if a change in the confidence value is detected for a signal. In general, the functional systems, which include embedded systems, particularly in a motor vehicle, are designed such that a failure of a frame in a transmission cycle can be coped with without significantly impairing the functions of the individual embedded systems. This means that the functionality of each embedded system is prepared to deal with the failure of individual payload frames. Thus, instead of a payload data frame, a diagnostic data frame can be transmitted. The added value, which lies in the correct labeling of implausible, untrustworthy and / or erroneous signals or the recognition of again trustworthy, correct and plausible signals, usually outweighs the disadvantages caused by the omission of a payload data frame. In systems where single frame failures are well-tolerated, this method of identifying the faulty signals in existing systems can be implemented particularly easily without requiring major changes to the system.

Das eingebettete System kann so ausgestaltet werden, dass das Senden eines Diagnosedatenrahmens solange unterdrückt ist, wie ein kritischer Fahrzeugzustand vorherrscht. Ein kritischer Fahrzeugzustand liegt beispielsweise vor, wenn ein Antiblockiersystem aktiv in den Bremsvorgang eines Kraftfahrzeugs eingreift. Ein kritischer Zustand kann von dem eingebetteten System beispielsweise erkannt werden, indem von einem anderen eingebetteten System übertragene Signale ausgewertet werden. Ein Diagnosedatenrahmen kann, sofern die Fehlerhaftigkeit bzw. Korrektheit des Signals vor einer Übertragung des Signals in dem Nutzdatenrahmen festgestellt wird, vor dem Nutzdatenrahmen übertragen werden. Insbesondere bei Anwendungen, bei denen ein Signal möglichst in Echtzeit verarbeitet werden soll, kann ein Fehler von dem sendenden eingebetteten System häufig erst festgestellt werden, nachdem das fehlerhafte Signal mittels eines Nutzdatenrahmens bereits über das Datenkommunikationsnetzwerk übertragen wurde. Auch in solchen Fällen ist es jedoch für die anderen Steuergeräte häufig wichtig zu wissen, dass das übertragene Signal nicht plausibel, fehlerhaft und/oder nicht vertrauenswürdig ist bzw. wieder vertrauenswürdig, plausibel und/oder korrekt ist. Daher kann der Diagnosedatenrahmen auch nachträglich über das Datenkommunikationsnetzwerk übertragen werden.The embedded system may be configured to suppress the transmission of a diagnostic data frame as long as a critical vehicle condition prevails. A critical vehicle condition exists, for example, when an anti-lock braking system actively intervenes in the braking process of a motor vehicle. For example, a critical state can be detected by the embedded system by evaluating signals transmitted from another embedded system. A diagnostic data frame can, if so the error or correctness of the signal is detected before transmission of the signal in the payload frame, are transmitted before the payload frame. In particular, in applications where a signal is to be processed as possible in real time, an error from the sending embedded system often can only be determined after the faulty signal has already been transmitted via a data frame via the data communication network. Even in such cases, however, it is often important for the other controllers to know that the transmitted signal is not plausible, erroneous, and / or untrustworthy, or is again trustworthy, plausible, and / or correct. Therefore, the diagnostic data frame can also be transmitted later via the data communication network.

Bei einer weiteren vorteilhaften Weiterbildung ist vorgesehen, dass das weitere eingebettete System Rahmen empfängt und die empfangenen Rahmen darauf überprüft, ob es sich um einen Diagnosedatenrahmen handelt, und, sofern dies der Fall ist, überprüft, ob das dem mindestens einen Signal, welches von dem weiteren eingebetteten System weiter verarbeitet wird, zugeordnete Diagnosesignal das mindestens eine Signals als außerhalb des Konfidenzbereichs kennzeichnet, und, sofern dies der Fall ist, eine von einer normalen Weiterverarbeitung abweichende Weiterverarbeitung ausführt. Das beschriebene Vorgehen wird von einem eigebetteten Empfängersystem ebenso ausgeführt wie von einem eingebetteten System, welches sowohl Signale in Rahmen senden als auch Signale mittels übertragener anderer Rahmen empfangen kann. Mit der Aussage, dass die empfangenen Rahmen überprüft werden, ist lediglich gemeint, dass zumindest die Rahmen überprüft werden, die von dem jeweiligen eigebetteten System oder Empfängersystem auch analysiert werden, um ein Signal für eine Weiterverarbeitung zu extrahieren. Zusätzliche Rahmen können überprüft werden, müssen jedoch nicht überprüft werden.In a further advantageous embodiment, it is provided that the further embedded system receives frames and checks the received frames for whether it is a diagnostic data frame, and, if so, checks whether that the at least one signal, which of the further embedded system is processed, associated diagnostic signal that characterizes at least one signal as outside the confidence range, and, if so, performs a different from a normal further processing further processing. The described procedure is carried out by an embedded receiver system as well as by an embedded system which can both transmit signals in frames and receive signals by means of transmitted other frames. By saying that the received frames are checked, it is merely meant to check at least the frames that are also analyzed by the particular embedded system or receiver system to extract a signal for further processing. Additional frames can be checked but need not be checked.

Die Merkmale eines eingebetteten Systems, eines eingebetteten Empfängersystems sowie eines integrierten Funktionssystems weisen dieselben Vorteile auf wie die entsprechenden Merkmale des erfindungsgemäßen Verfahrens.The features of an embedded system, an embedded receiver system and an integrated functional system have the same advantages as the corresponding features of the method according to the invention.

Die Erfindung wird nachfolgend anhand eines bevorzugten Ausführungsbeispiels unter Bezugnahme auf eine Zeichnung näher erläutert. Hierbei zeigen:The invention will be explained in more detail below with reference to a preferred embodiment with reference to a drawing. Hereby show:

1 eine schematische Darstellung eines Kraftfahrzeugs mit einem Funktionssystem, welches eingebettete Systeme umfasst; 1 a schematic representation of a motor vehicle with a functional system comprising embedded systems;

2 eine schematische Darstellung eines Nutzdatenrahmens; 2 a schematic representation of a payload frame;

3 eine schematische Darstellung eines Diagnosedatenrahmens; und 3 a schematic representation of a diagnostic data frame; and

4 ein schematisches Flussdiagramm zur Erläuterung der Analyse empfangener Rahmen in einem eingebetteten System. 4 a schematic flow diagram for explaining the analysis of received frames in an embedded system.

1 zeigt eine schematische Darstellung eines Kraftfahrzeugs 1. Das Kraftfahrzeug 1 umfasst ein integriertes Funktionssystem 2. Das integrierte Funktionssystem 2 stellt für das Kraftfahrzeug 1 unterschiedliche Funktionalitäten zur Verfügung. Die zur Bereitstellung dieser Funktionalitäten notwendigen Funktionen werden von eingebetteten Systemen 3, 3', 3'' und ein eingebettetes Empfängersystem 3''' zur Verfügung gestellt. Die eingebetteten Systeme 3, 3', 3'' sind über ein Datenkommunikationsnetzwerk 4 miteinander in der Weise verknüpft, dass sie über das Datenkommunikationsnetzwerk 4 Daten austauschen können. Das Kraftfahrzeug 1 kann weitere Funktionssysteme und eingebettete Systeme (nicht dargestellt) umfassen. 1 shows a schematic representation of a motor vehicle 1 , The car 1 includes an integrated functional system 2 , The integrated functional system 2 represents for the motor vehicle 1 different functionalities available. The functions necessary to provide these functionalities are provided by embedded systems 3 . 3 ' . 3 '' and an embedded receiver system 3 ''' made available. The embedded systems 3 . 3 ' . 3 '' are via a data communication network 4 linked together in such a way that they are connected via the data communication network 4 Can exchange data. The car 1 may include other functional systems and embedded systems (not shown).

Das Datenkommunikationsnetzwerk 4 ist vorzugsweise als Bussystem ausgestaltet. Bei dem Bussystem kann es sich um einen CAN-Bus, einen Flexray-Bus oder ein anderes Bussystem handeln.The data communication network 4 is preferably designed as a bus system. The bus system may be a CAN bus, a Flexray bus or another bus system.

Mit dem eingebetteten System 3 sind Sensoren 5 über ein weiteres Bussystem 6 verknüpft. Das weitere Bussystem 6 ist vorzugsweise ein LIN-Bussystem (Local Interconnect Network), ein MOST-Bus (Media Oriented System Transport Bus) oder ebenfalls ein CAN-Bus oder Flexray-Bus. Die Sensoren 5 können auch über direkte Signalleitung (nicht dargestellt) mit dem eingebetteten System 3 verbunden sein. Das eingebundene System 3, welches beispielsweise als Steuergerät ausgebildet ist, wertet Messsignale der Sensoren 5 aus und bereitet diese auf. Bei den Sensoren 5 kann es sich beispielsweise um Radimpulsgebersensoren handeln. Aufgearbeitete Signale der Radimpulsgebersensoren geben beispielsweise eine zurückgelegte Strecke und eine Geschwindigkeit des Kraftfahrzeugs 1 an.With the embedded system 3 are sensors 5 via another bus system 6 connected. The further bus system 6 is preferably a LIN bus system (Local Interconnect Network), a MOST (Media Oriented System Transport Bus) or also a CAN bus or Flexray bus. The sensors 5 can also have direct signal line (not shown) with the embedded system 3 be connected. The integrated system 3 , which is designed for example as a control unit, evaluates measuring signals of the sensors 5 out and prepare these. With the sensors 5 it may be, for example, Radimpulsgebersensoren. Refurbished signals of the Radimpulsgebersensoren example give a covered distance and a speed of the motor vehicle 1 at.

Mittels einer Sendevorrichtung 7 überträgt das eingebettete System 3 die aufbereiteten Signale über das Datenkommunikationsnetzwerk 4. Die Übertragung erfolgt hierbei in so genannten Rahmen.By means of a transmitting device 7 transmits the embedded system 3 the processed signals via the data communication network 4 , The transmission takes place in so-called framework.

In 2 ist schematisch ein Aufbau eines als Nutzdatenrahmen ausgestalteten Rahmens 8 dargestellt. Der Rahmen 8 umfasst einen Rahmenkopf 9 (Frame Header), der notwendige Adressierungsinformationen und weitere Informationen umfasst, die zur Abwicklung eines Kommunikationsprotokolls eines jeweiligen Bussystems notwendig sind. (Es sind auch Übertragungsprotokolle bekannt, bei denen der Rahmenkopf 9 wegfallen kann). Der Rahmen 8 umfasst ferner einen Nutzdatenbereich 10. In dem Datenbereich 10 werden Nutzdaten übertragen. Die Ausgestaltung sowohl des Rahmenkopfes 9 als auch des Nutzdatenbereichs 10 sind zum einen von dem Übertragungsprotokoll des Datenkommunikationsnetzwerks 4 bzw. Bussystems abhängig, über das/den der Rahmen 8 übertragen wird. Zum andern ist die Struktur des Nutzdatenbereichs 10 davon abhängig, welches der eingebetteten Systeme 3, 3', 3'' den Rahmen 8 sendet. In dem integrierten Funktionssystem 2 senden die eingebetteten Systeme 3, 3', 3'' zyklisch jeweils versetzt Datenrahmen 8 über das Datenkommunikationsnetzwerk 4. In jedem Zyklus übertragen hierbei die eingebetteten Systeme 3, 3', 3'' jeweils die gleichen für das entsprechende eingebettete System 3, 3', 3'' spezifischen Signale. Dies bedeutet, dass beispielsweise das eingebettete System 3 alle 100 ms einen Rahmen ähnlich zu dem Rahmen 8 nach 2 über das Datenkommunikationsnetzwerk 4 überträgt. In dem Rahmen 8 ist ein erstes Signal 11 mit 8 Bits codiert, welches beispielsweise das Streckensignal ist. Als zweites Signal 12 ist beispielsweise das Geschwindigkeitssignal mit 11 Bits in dem Nutzdatenbereich 10 des Rahmens 8 codiert. Zusätzlich ist ein drittes Signal 13 mit einem Bit codiert. Allgemein können ein oder mehrere Signale in einem Rahmen ähnlich zu dem nach 2 übertragen werden. Der Rahmen 8 umfasst ferner ein Kennzeichnungsbit 14 (KZB), dem eine logische Null zugewiesen ist, was den Rahmen 8 als Nutzdatenrahmen kennzeichnet.In 2 is a schematic structure of a frame configured as a payload frame 8th shown. The frame 8th includes a frame head 9 (Frame Header), which includes necessary addressing information and other information necessary for handling a communication protocol of a respective bus system. (It Transmission protocols are also known in which the frame head 9 can be omitted). The frame 8th further comprises a payload area 10 , In the data area 10 payload data is transmitted. The embodiment of both the frame head 9 as well as the user data area 10 are, on the one hand, the transmission protocol of the data communication network 4 or bus system dependent on the / the frame 8th is transmitted. The other is the structure of the user data area 10 depending on which of the embedded systems 3 . 3 ' . 3 '' the frame 8th sends. In the integrated functional system 2 send the embedded systems 3 . 3 ' . 3 '' cyclically offset data frames 8th over the data communication network 4 , In each cycle, the embedded systems transfer this 3 . 3 ' . 3 '' each the same for the corresponding embedded system 3 . 3 ' . 3 '' specific signals. This means that, for example, the embedded system 3 every 100 ms a frame similar to the frame 8th to 2 over the data communication network 4 transfers. In the frame 8th is a first signal 11 encoded with 8 bits, which is for example the path signal. As a second signal 12 For example, the speed signal is 11 bits in the payload area 10 of the frame 8th coded. In addition, there is a third signal 13 coded with a bit. In general, one or more signals in a frame similar to that shown in FIG 2 be transmitted. The frame 8th also includes a flag bit 14 (KZB), which is assigned a logical zero, which is the frame 8th as payload data frame.

Das eingebettete System 3, das weitere eingebettete System 3' und das andere eingebettete System 3'' nach 1 müssen ihre Rahmen nicht notwendigerweise zyklisch mit derselben Zykluszeit übertragen. So kann beispielsweise eines der eingebetteten Systeme 3, 3', 3'', welches sicherheitsrelevante Signale zu übertragen hat, Datenrahmen in kürzen Zeitabständen, d. h. mit einer kürzeren Zykluszeit, zyklisch übertragen als die übrigen der eingebetteten Systeme 3, 3', 3''. Das eingebettete Empfängersystem 3''' empfangt lediglich Rahmen, versendet jedoch selber keine Rahmen.The embedded system 3 , the more embedded system 3 ' and the other embedded system 3 '' to 1 need not necessarily transmit their frames cyclically with the same cycle time. For example, one of the embedded systems 3 . 3 ' . 3 '' , which has safety-relevant signals to transmit, data frames in shorter time intervals, ie with a shorter cycle time, cyclically transmitted as the other embedded systems 3 . 3 ' . 3 '' , The embedded receiver system 3 ''' only receives frames, but does not send frames itself.

Das eingebettete System 3 überprüft mittels einer Konfidenzwertermittlungseinheit 15, ob die versandten oder zu versendenden Signale plausibel, fehlerfrei und/oder vertrauenswürdig sind. Die Konfidenzwertermittlung kann auf unterschiedliche Art und Weise ausgeführt werden. Als Konfidenzwert kann beispielsweise ein Wahrscheinlichkeitswert erzeugt werden, der ein Maß für die Vertrauenswürdigkeit und/oder Plausibilität des jeweiligen Signals ist. Der Konfidenzwert kann jedoch auch ein logischer Wert sein, der angibt, ob das Signal fehlerhaft oder fehlerfrei ist. Mittels einer Vergleichseinheit 16 wird von dem eingebetteten System 3 ermittelt, ob eine Konfidenzwertänderung für eines der Signale eingetreten ist. Die Überprüfung kann so ausgestaltet sein, dass eine Änderung erst dann detektiert wird, wenn eine Änderung über eine vorfestgelegte Änderungsschwelle stattgefunden hat. Dies ist insbesondere dann von Vorteil, wenn der Konfidenzwert ein Maß für die Wahrscheinlichkeit der Plausibilität und/oder Fehlerfreiheit angibt. Hierbei kann auch ermittelt werden, ob der Konfidenzwert in einem Konfidenzwertebereich liegt. Sobald das eingebettete System 3 eine Änderung des Konfidenzwertes für eines der Signale, beispielsweise das Geschwindigkeitssignal, ermittelt, wird mit Hilfe von einer Diagnosedatenbereitstellungseinheit 17 ein Datensatz bereitgestellt, mit dem ein so genannter Diagnosedatenrahmen codiert werden kann. Der Diagnosedatenrahmen weist das gleiche Format wie ein Nutzdatenrahmen auf. Jedem Signal in einem Nutzdatenrahmen ist genau ein Diagnosesignal in dem zugehörigen Diagnosedatenrahmen zugeordnet. Die Diagnosedaten umfassen zumindest eine Konfidenzwertinformation für das Signal, für das eine Konfidenzwertänderung festgestellt wurde. Bei einer besonders bevorzugten Ausführungsform ist vorgesehen, dass die Diagnosedaten so gewählt sind, dass den Bits der Diagnosesignale, die Signalen zugeordnet sind, die plausibel, fehlerfrei und vertrauenswürdig sind, jeweils eine logische Null zugewiesen wird. Lediglich den Bits von Diagnosesignalen, die zu einem nicht fehlerfreien, unplausiblen oder nicht vertrauenswürdigen Signal gehören, sind so codiert, dass mindestens einem Bit dieser Diagnosesignale eine logische Eins zugewiesen ist. Sind dem fehlerhaften, unplausiblen oder nicht vertrauenswürdigen Signal mehrere Bits zugeordnet, so kann als Konfidenzwertinformation in dem zugehörigen Diagnosesignal auch ein Fehlercode übertragen werden, wobei der Fehlercode so ausgestaltet ist, dass mindestens einem Bit eine logische Eins zugewiesen ist.The embedded system 3 checked by means of a confidence value determination unit 15 whether the sent or to be sent signals are plausible, error-free and / or trustworthy. The determination of the confidence value can be carried out in different ways. As a confidence value, for example, a probability value can be generated, which is a measure of the trustworthiness and / or plausibility of the respective signal. However, the confidence value may also be a logical value indicating whether the signal is faulty or error free. By means of a comparison unit 16 is from the embedded system 3 determines whether a confidence value change has occurred for one of the signals. The check can be designed such that a change is only detected when a change has taken place over a predefined change threshold. This is particularly advantageous if the confidence value indicates a measure of the probability of plausibility and / or freedom from errors. It can also be determined here whether the confidence value lies in a confidence value range. Once the embedded system 3 a change in the confidence value for one of the signals, for example the speed signal, is determined by means of a diagnostic data providing unit 17 provided a record with which a so-called diagnostic data frame can be encoded. The diagnostic data frame has the same format as a payload data frame. Each signal in a payload data frame is assigned exactly one diagnostic signal in the associated diagnostic data frame. The diagnostic data comprises at least one confidence value information for the signal for which a confidence value change has been detected. In a particularly preferred embodiment, it is provided that the diagnostic data are selected so that the bits of the diagnostic signals, the signals are assigned that are plausible, error-free and trustworthy, each assigned a logical zero. Only the bits of diagnostic signals which belong to a non-error-free, implausible or untrustworthy signal are coded such that at least one bit of these diagnostic signals is assigned a logical one. If several bits are assigned to the erroneous, implausible or untrustworthy signal, an error code can also be transmitted as confidence value information in the associated diagnostic signal, the error code being designed so that at least one bit is assigned a logical one.

Eine beispielhafte Ausgestaltung eines zu dem Nutzdatenrahmen 8 nach 2 zugehörigen Diagnosedatenrahmens 8' ist in 3 dargestellt. Ein erstes Diagnosesignal 11' ist dem ersten übertragenen Signal 11 des Nutzdatenrahmens 8 nach 2 zugeordnet. Alle Bits des ersten Diagnosesignals 11' weisen eine logische Null auf. Hieraus folgt, dass das erste Signal 11 in dem Nutzdatenrahmen 8 fehlerfrei, plausibel und/oder vertrauenswürdig ist. Das erste Diagnosesignal 11' ist das in dem Diagnosedatenrahmen 8' übertragene Diagnosesignal und ist wie das erste Signal 11 in dem Nutzdatenrahmen 8 nach 2 mit 8 Bits codiert. Die 11 zur Codierung eines zweiten Diagnosesignals 12' verwendeten Bits weisen alle eine logische Eins auf. Hierdurch wird das zugehörige Signal 11 des Nutzdatenrahmens 8 nach 2 als fehlerhaft kennzeichnet. Das dritte Diagnosesignal 13', welches mit einem Bit codiert ist, ist dem dritten Signal 13 des Rahmens 8 nach 2 zugeordnet. Der Nutzdatenrahmen 8 nach 2 und der Diagnosedatenrahmen 8' nach 3 weisen jeweils das gleiche Datenformat auf. Dies bedeutet, dass die Signale 11, 12, 13 in dem Rahmen 8 nach 2 und die Diagnosesignale 11', 12', 13' in dem Rahmen 8' nach 3 jeweils in der gleichen Reihenfolge angeordnet sind und mit einer gleichen Bitanzahl codiert sind. Um die Rahmen 8, die Nutzdatenrahmen sind, von den Rahmen 8', die Diagnosedatenrahmen sind, unterscheiden zu können, ist das Kennzeichnungsbit 14, 14' am Ende der Rahmen 8, 8' vorgesehen. In dem Nutzdatenrahmen ist diesem Kennzeichnungsbit 14 eine logische Null zugewiesen. In einem Diagnosedatenrahmen ist diesem Kennzeichnungsbit 14' eine logische Eins zugewiesen. Eine Zuweisung der logischen Zustände Eins und Null zu physikalischen Repräsentationen ist konventionsabhängig. Es ergibt, sich somit, dass eine Codierung ebenso in der Weise erfolgen kann, dass logische Einsen und logische Nullen vertauscht sind. Dies entspricht lediglich einer Konventionsänderung. Das Kennzeichnungsbit kann auch an einer anderen Stelle in dem Rahmen, beispielsweise In den Rahmenköpfen 9, 9' angeordnet sein.An exemplary embodiment of a payload data frame 8th to 2 associated diagnostic data frame 8th' is in 3 shown. A first diagnostic signal 11 ' is the first transmitted signal 11 of the payload frame 8th to 2 assigned. All bits of the first diagnostic signal 11 ' have a logical zero. It follows that the first signal 11 in the payload frame 8th error-free, plausible and / or trustworthy. The first diagnostic signal 11 ' this is in the diagnostic data frame 8th' transmitted diagnostic signal and is like the first signal 11 in the payload frame 8th to 2 encoded with 8 bits. The 11 for coding a second diagnostic signal 12 ' used bits all have a logical one. This will be the associated signal 11 of the payload frame 8th to 2 marked as defective. The third diagnostic signal 13 ' which is coded with one bit is the third signal 13 of the frame 8th to 2 assigned. The payload data frame 8th to 2 and the diagnostic data frame 8th' to 3 each have the same data format. This means that the signals 11 . 12 . 13 in the frame 8th to 2 and the diagnostic signals 11 ' . 12 ' . 13 ' in the frame 8th' to 3 are each arranged in the same order and are coded with an equal number of bits. To the frame 8th , which are payload frames, of the frames 8th' Being able to distinguish between diagnostic data frames is the flag bit 14 . 14 ' at the end of the frame 8th . 8th' intended. In the payload frame is this tag bit 14 assigned a logical zero. In a diagnostic data frame is this flag bit 14 ' assigned a logical one. An assignment of the logic states one and zero to physical representations is convention-dependent. It follows, therefore, that coding can also be done in such a way that logical ones and logical zeroes are interchanged. This is just a change of convention. The flag may also be located elsewhere in the frame, for example in the frame headers 9 . 9 ' be arranged.

Das Übertragen des Diagnosedatenrahmens nach 3 über das Datenkommunikationsnetzwerk 4 durch das eingebettete System 3 nach 1 kann vor dem Versenden oder nach dem Versenden des Datenrahmens 8 erfolgen, in dem das Signal enthalten ist, für das eine Konfidenzwertänderung festgestellt worden ist. Insbesondere bei zeitkritischen Signalen werden jedoch eine Plausibilitätsprüfung und/oder eine Prüfung auf Fehlerhaftigkeit erst nach dem Übertragen des Signals möglich sein. Die Übertragung des Diagnosedatenrahmens erfolgt jeweils in dem Übertragungszyklus der übertragenen Rahmen 8, 8' anstelle eines Nutzdatenrahmens.Transferring the diagnostic data frame after 3 over the data communication network 4 through the embedded system 3 to 1 can before sending or after sending the data frame 8th containing the signal for which a confidence value change has been detected. However, in the case of time-critical signals, in particular, a plausibility check and / or an error check will only be possible after the signal has been transmitted. The transmission of the diagnostic data frame takes place in each case in the transmission cycle of the transmitted frames 8th . 8th' instead of a payload data frame.

Die Diagnosedaten, die von der Diagnosedatenbereitstellungseinheit 17 bereitgestellt werden, sehen vorzugsweise vor, dass alle Signale, die fehlerhaft sind, als fehlerhaft in den Diagnosedaten bzw. Diagnosesignalen 11', 12', 13' nach 3 gekennzeichnet sind, auch wenn eine Konfidenzwertänderung für die entsprechenden Signale 11, 12, 13 nach 2 bereits durch einen vorher versandten Diagnosedatenrahmen als fehlerhaft bekannt gemacht worden sind.The diagnostic data provided by the diagnostic data delivery unit 17 are preferably provide that all signals that are faulty, as erroneous in the diagnostic data or diagnostic signals 11 ' . 12 ' . 13 ' to 3 Even if a confidence value change for the corresponding signals 11 . 12 . 13 to 2 have already been made known by a previously sent diagnostic data frame as faulty.

Das weitere eingebettete System 3' empfängt den von dem eingebetteten System 3 übermittelten Rahmen mittels einer Empfangsvorrichtung 18'. Mittels einer Überprüfungseinheit 19' werden die empfangenen Rahmen analysiert. Ebenso verfahren das andere eingebettete System 3'' und das eingebettete Empfängersystem 3''', die wie das eingebettete System 3 entsprechende Empfangsvorrichtungen 18, 18'', 18''' und Überprüfungseinheiten 19, 19'', 19''' umfassen.The further embedded system 3 ' receives the from the embedded system 3 transmitted frame by means of a receiving device 18 ' , By means of a verification unit 19 ' the received frames are analyzed. The same procedure is followed by the other embedded system 3 '' and the embedded receiver system 3 ''' that like the embedded system 3 corresponding receiving devices 18 . 18 '' . 18 ' and review units 19 . 19 '' . 19 ''' include.

In 4 ist schematisch ein Ablaufdiagramm einer mit einer der Überprüfungseinheiten 19, 19', 19'', 19''' ausgeführten Analyse dargestellt. Zunächst wird in ein Rahmen empfangen 30. Anschließend wird in einer ersten Abfrage 31 untersucht, ob das Kennzeichnungsbit 14, 14', das auch als Diagnose-Statusbit bezeichnet wird, des Rahmens 8, 8' (vergleiche 2, 3) eine logische Eins aufweist, die den Rahmen 8' als Diagnosedatenrahmen kennzeichnet. (Es versteht sich, dass nur die Rahmen 8, 8' analysiert werden müssen, die in dem jeweiligen eingebetteten System 3, 3', 3'' oder eingebetteten Empfängersystem 3''' auch analysiert werden, um für das jeweilige eingebettete System 3, 3', 3'' oder eingebettete Empfängersystem 3''' bestimmte Signale zu extrahieren.) Ist dies nicht der Fall, so enthält der Rahmen 8 Nutzdaten, die mittels einer Signalverarbeitungseinheit 20 des weiteren eingebetteten Systems 3' verarbeitet werden (vergleiche 1), wie mittels eines Signalverarbeitungsblocks 32 angedeutet ist. Hierbei wird beispielsweise das empfangene Geschwindigkeitssignal so aufbereitet, dass von dem weiteren eingebetteten System 3' eine als Anzeigeelement ausgestaltete Ausgabevorrichtung 21 angesteuert werden kann. Diese ist beispielsweise über eine Steuerleitung 22 direkt mit dem weiteren eingebetteten System 3' verbunden.In 4 Figure 3 is a schematic flow diagram of one of the verification units 19 . 19 ' . 19 '' . 19 ''' executed analysis. First, it is received in a frame 30 , Subsequently, in a first query 31 examines whether the flag bit 14 . 14 ' , also referred to as the diagnostic status bit, of the frame 8th . 8th' (see 2 . 3 ) has a logical one representing the frame 8th' identifies as diagnostic data frame. (It is understood that only the frame 8th . 8th' have to be analyzed in the respective embedded system 3 . 3 ' . 3 '' or embedded receiver system 3 ''' also be analyzed in order for the particular embedded system 3 . 3 ' . 3 '' or embedded receiver system 3 ''' extracting certain signals.) If this is not the case, then the frame contains 8th User data, which by means of a signal processing unit 20 the further embedded system 3 ' be processed (see 1 ), as by means of a signal processing block 32 is indicated. Here, for example, the received speed signal is processed so that of the other embedded system 3 ' an output device designed as a display element 21 can be controlled. This is for example via a control line 22 directly with the further embedded system 3 ' connected.

Ist dem Kennzeichnungsbit 14' des Rahmens 8' eine Eins zugewiesen, so verzweigt die erste Abfrage 31 zu einer zweiten Abfrage 33, bei der überprüft wird, ob das als zweites Signal 12 codierte zu verarbeitende Geschwindigkeitssignal mittels des zweiten Diagnosesignals 12' als fehlerhaft markiert ist. Hierbei werden die Diagnosedaten, die durch die Diagnosesignale 11', 12', 13' festgelegt sind und auch als Diagnosemaske bezeichnet werden, ausgewertet. Ist dies nicht der Fall, so wird das zuvor (bzw. anschließend) versandte zweite Signal 12 aus dem zuvor (bzw. anschließend) versandten Nutzdatenrahmen für die weitere Signalverarbeitung verwendet, wie dies mittels eines weiteren Signalverarbeitungsblocks 34 angedeutet ist. Ergibt die zweite Abfrage 33 jedoch, dass das zweite Signal 12, welches das zu verarbeitende Geschwindigkeitssignal umfasst, mittels des zweiten Diagnosesignals 12' als fehlerhaft, nicht vertrauenswürdig oder unplausibel gekennzeichnet ist, so wird das zweite Signal 12 nicht weiterverwendet, wie mittels eines anderen Signalverarbeitungsblocks 35 angedeutet ist, sondern stattdessen geeignete Maßnahmen eingeleitet. Diese Maßnahmen können beispielsweise bei dem weiteren eingebetteten System 3' eine Signalerzeugung umfassen, die ein Warnlicht in der als Anzeigeelement ausgestalteten Ausgabevorrichtung 21 aufleuchten lassen. Ferner kann das weitere eingebettete System 3', welches ebenfalls über eine Sendevorrichtung 7', eine Diagnosedatenbereitstellungseinheit 17', eine Vergleichseinheit 16' und eine Konfidenzwertermittlungseinheit 15' verfügt, eine Nachricht zu dem eingebetteten System 3 übertragen, um genauere Fehlerinformationen abzufragen.Is the flag bit 14 ' of the frame 8th' assigned a one, the first query branches 31 to a second query 33 , which checks if that as a second signal 12 encoded speed signal to be processed by means of the second diagnostic signal 12 ' marked as faulty. Here, the diagnostic data generated by the diagnostic signals 11 ' . 12 ' . 13 ' are defined and also referred to as a diagnostic mask, evaluated. If this is not the case, then the previously sent (or subsequently) second signal 12 used from the previously (or subsequently) dispatched Nutzdatenrahmen for further signal processing, as by means of another signal processing block 34 is indicated. Returns the second query 33 however, that the second signal 12 , which comprises the speed signal to be processed, by means of the second diagnostic signal 12 ' is marked as faulty, untrustworthy or implausible, then the second signal 12 not used further, such as by means of another signal processing block 35 is suggested, but instead appropriate action is taken. These measures may, for example, in the further embedded system 3 ' a signal generation comprising a warning light in the output device designed as a display element 21 light up. Furthermore, the further embedded system 3 ' which also has a transmitting device 7 ' , a diagnostic data delivery unit 17 ' , a comparison unit 16 ' and a confidence score unit 15 ' has a message to the embedded system 3 transmit to retrieve more accurate error information.

Das andere weitere eingebettete System 3' und das andere eingebettete System 3'' sind analog zu dem eingebetteten System 3 ausgestaltet und weisen jeweils auch eine Sendevorrichtung 7', 7'', eine Konfidenzwertermittlungseinheit 15', 15'', eine Vergleichseinheit 16', 16'' sowie eine Diagnosedatenbereitstellungseinheit 17' 17'' auf. Das eingebettete Empfängersystem 3'' nur dafür vorgesehen, Signale, die von dem eingebetteten System 3 oder dem weiteren eingebetteten System 3' oder anderen eingebetteten System 3'' übertragen werden, zu empfangen und auszuwerten.The other more embedded system 3 ' and the other embedded system 3 '' are analogous to the embedded system 3 configured and each also have a transmitting device 7 ' . 7 '' , a confidence score unit 15 ' . 15 '' , a comparison unit 16 ' . 16 '' and a diagnostic data providing unit 17 ' 17 '' on. The embedded receiver system 3 '' only intended to receive signals from the embedded system 3 or the other embedded system 3 ' or other embedded system 3 '' be transmitted, received and evaluated.

Die beschriebenen Ausführungsformen haben lediglich beispielhaften Charakter. Die eingebetteten, über das Datenkommunikationsnetzwerk vernetzten Systeme können eine beliebige Ausgestaltung annehmen und beliebige Funktionen zur Verfügung stellen, so lange eine Kennzeichnung fehlerhafter, unplausibler und/oder nicht vertrauenswürdiger Signale über das Versenden von Diagnosedatenrahmen zur analog zu der oben beschriebenen Vorgehensweise erfolgt. Beispielsweise können die Konfidenzwertermittlungseinheit, die Vergleichseinheit, die Diagnosedatenbereitstellungseinheit, die Überprüfungseinheit und die Signalverarbeitungseinheit in einer integrierten Schaltung ausgeführt sein. Alternativ können sie in Hard- und/oder Software mit einem programmierbaren Mikroprozessor ausgestaltet sein.The described embodiments are merely exemplary in nature. The embedded systems networked via the data communication network can take on any configuration and provide any functions as long as an identification of erroneous, implausible and / or untrustworthy signals via the transmission of diagnostic data frames to analogous to the procedure described above. By way of example, the confidence value determination unit, the comparison unit, the diagnosis data provision unit, the verification unit and the signal processing unit can be embodied in an integrated circuit. Alternatively, they may be configured in hardware and / or software with a programmable microprocessor.

BezugszeichenlisteLIST OF REFERENCE NUMBERS

11: Kraftfahrzeugmotor vehicle
22: Funktionssystemfunction system
33: eingebettetes Systemembedded system
3'3 ': weiteres eingebettetes Systemanother embedded system
3''3 '': anderes eingebettetes Systemother embedded system
3'''3 '' ': eingebettetes Empfängersystemembedded receiver system
44: DatenkommunikationsnetzwerkData communications network
55: Sensorensensors
66: weiteres Bussystemanother bus system
7, 7', 7''7, 7 ', 7' ': Sendevorrichtungtransmitting device
88th: Rahmen (Nutzdatenrahmen)Frame (user data frame)
8'8th': Rahmen (Diagnosedatenrahmen)Frame (diagnostic data frame)
99: Rahmenkopfframe head
1010: Nutzdatenbereichuser data area
11'11 ': erstes Signalfirst signal
11'11 ': erstes Diagnosesignalfirst diagnostic signal
1212: zweites Signalsecond signal
12'12 ': zweites Diagnosesignalsecond diagnostic signal
1313: drittes Signalthird signal
13'13 ': drittes Diagnosesignalthird diagnostic signal
14, 14'14, 14 ': Kennzeichnungsbitflag
1515: KonfidenzwertermittlungseinheitKonfidenzwertermittlungseinheit
1616: Vergleichseinheitcomparing unit
1717: DiagnosedatenbereitstellungseinheitDiagnostic data providing unit
18, 18', 18'', 18'''18, 18 ', 18' ', 18' '': Empfangsvorrichtungreceiving device
19, 19', 19'', 19'''19, 19 ', 19' ', 19' '': ÜberprüfungseinheitChecking unit
20, 20', 20'', 20'''20, 20 ', 20' ', 20' '': SignalverarbeitungseinheitSignal processing unit
2121: Ausgabevorrichtungoutput device
2222: Steuerleitungcontrol line
3030: Empfangen eines RahmensReceiving a frame
3131: erste Abfragefirst query
3232: SignalverarbeitungsblockSignal processing block
3333: zweite Abfragesecond query
34, 3534, 35: SignalverarbeitungsblöckeSignal processing blocks

Claims

Method for operating via a data communications network ( 4 linked embedded systems ( 3 . 3 ' . 3 '' ), in particular in a motor vehicle, in which one of the embedded systems ( 3 ) to another of the embedded systems ( 3 ' ) cyclically at least one signal ( 12 ) as user data in a frame ( 8th ), referred to as payload data frame, characterized in that one of the embedded systems ( 3 ) a confidence value for the at least one signal ( 12 ) and when the confidence value of the at least one signal ( 12 ) over a predetermined threshold of change at least one to the at least one signal ( 12 ) associated diagnostic signal ( 12 ) as diagnostic data in a frame ( 8th' ), which is referred to as diagnostic data frame, at least to the at least one further embedded system ( 3 ' ), the diagnostic signal ( 12 ' ) a confidence value information for the at least one signal ( 12 ), wherein the payload data and the diagnostic data are stored according to a format in the frames ( 8th . 8th' ), the format being at least one flag ( 14 . 14 ' ), by which the frameworks ( 8th . 8th' ) are identified as user data frames and diagnostic data frames.

Method according to claim 1, characterized in that the at least one signal ( 12 ) and possibly other signals ( 11 . 13 ) are arranged in the payload frame in the same order and each coded with the same number of bits are like the corresponding diagnostic signals ( 11 ' . 12 ' . 13 ' ) in the diagnostic data frame.

Method according to one of the preceding claims, characterized in that all of the bits (the at least one signal 12 ) associated diagnostic signal ( 12 ' ) is assigned a logic zero if the confidence value of the at least one signal ( 12 ), which is transmitted with the payload frame, is in a predetermined confidence value range, and otherwise at least one of the bits is assigned a logical one, to receive the at least one signal ( 12 ) as outside the confidence interval.

Method according to one of the preceding claims, characterized in that all bits of the at least one signal ( 12 ) associated diagnostic signal ( 12 ' ) is assigned a logical one if the confidence value outside the predetermined confidence value range of the at least one signal ( 12 ) lies.

Method according to one of claims 1 to 3, characterized in that by means of the bits of the at least one signal ( 12 ) associated diagnostic signal ( 12 ' ) an error code is coded, whereby at least one of the bits of the diagnostic signal ( 12 ' ) is assigned a logical one if the confidence value outside the predetermined confidence value range of the at least one signal ( 12 ) lies.

Method according to one of the preceding claims, characterized in that the diagnostic frame is transmitted instead of one of the payload data frames in a transmission cycle.

Method according to one of the preceding claims, characterized in that the further embedded system ( 3 ' ) Frame ( 8th . 8th' ) and the received frames ( 8th . 8th' ) checks whether this is a diagnostic data frame and, if so, checks whether that 12 ), which depends on the further embedded system ( 3 ' ) is processed, associated diagnostic signal ( 12 ' ) the at least one signal ( 12 ) is characterized as being outside the confidence interval and, if so, performing processing other than normal further processing.

Embedded system ( 3 ) with another embedded system ( 3 ' ) via a data communications network ( 4 ), in particular in a motor vehicle ( 1 ), comprising a transmitting device ( 7 ) for cyclically transmitting at least one signal ( 12 ) as user data in a frame ( 8th ), referred to as payload data, to the further embedded system ( 3 ' ), characterized by a confidence value determination unit ( 15 ) for determining a confidence value for the at least one signal ( 12 ) and a comparison unit ( 16 ) for detecting a change in the confidence value of the at least one signal ( 12 ) over a predetermined threshold of change and a diagnostic data providing unit for providing diagnostic data when the confidence value of the at least one signal changes ( 12 ) over the predetermined threshold of change, the diagnostic data representing the at least one signal ( 12 ) associated diagnostic signal ( 12 ' ) and by means of the transmitting device ( 7 ) in a framework ( 8th' ), referred to as a diagnostic data frame, at least to the further embedded system ( 3 ' ) and the diagnostic signal ( 12 ' ) a confidence value information for the at least one signal ( 12 ), wherein the transmitting device ( 7 ) is designed to store the payload data and the diagnostic data according to a format in the frames ( 8th . 8th' ), the format comprising at least one flag ( 14 . 14 ' ), by which the frameworks ( 8th . 8th' ) are marked as user data frames and diagnostic data frames.

Embedded system ( 3 ) according to claim 8, characterized in that in the diagnostic data frame that the at least one signal ( 12 ) associated diagnostic signal ( 12 ' ) and optionally further further signals ( 11 . 13 ) associated diagnostic signals ( 11 ' . 12 ' . 13 ' ) are arranged in a same sequence and each coded with an equal number of bits as the at least one signal ( 12 ) and, where appropriate, the other signals ( 11 . 13 ) in the payload frame.

Embedded system ( 3 ), Characterized in, according to one of claims 8 to 9, wherein the diagnostic data providing unit ( 17 ) is adapted to provide diagnostic data in which all bits of the at least one signal ( 12 ) associated diagnostic signal ( 12 ' ) is assigned a logic zero if the confidence value of the at least one signal ( 12 ), which is transmitted with the payload frame, is in a predetermined confidence value range, and otherwise at least one of the bits is assigned a logical one, for generating the at least one signal ( 12 ) as outside the confidence interval.

Embedded system ( 3 ) according to one of claims 8 to 10, characterized in that the diagnostic data providing unit ( 17 ) is adapted to provide diagnostic data in which all bits of the at least one signal ( 12 ) associated diagnostic signal ( 12 ' ) is assigned a logic one if the confidence value outside the predetermined confidence value range of the at least one signal ( 12 ) lies.

Embedded system ( 3 ) according to one of claims 8 to 10, characterized in that the diagnostic data providing unit ( 17 ) is configured to provide diagnostic data in which, with the aid of the bits of the at least one signal ( 12 ) associated diagnostic signal ( 12 ' ) an error code is coded, whereby at least one of the bits of the diagnostic signal ( 12 ' ) is assigned a logic one if the confidence value outside the predetermined confidence value range of the at least one signal ( 12 ) lies.

Embedded system ( 3 ) according to one of claims 8 to 12, characterized in that the diagnostic frame is transferable in place of a payload frame in a transmission cycle.

Embedded system ( 3 ) according to one of claims 8 to 13, characterized by a receiving device ( 18 ) for receiving other frames of the further embedded system ( 3 ) or another embedded system ( 3 '' ) via the data communications network ( 4 ), wherein at least one other signal is transmitted cyclically by means of the other frames, and a checking unit ( 19 ), by means of which the other received frames can be checked for whether it is a diagnostic data frame and, if so, it is also possible to check whether the at least one other signal transmitted by the embedded system ( 3 ) is further characterized by means of another diagnostic signal associated with the at least one other signal than outside the confidence interval and, if so, by means of a signal processing unit ( 20 ) deviating from the normal processing further processing is executable.

Embedded receiver system ( 3 ''' ) for interaction with an embedded system ( 3 ) with the features according to one of claims 8 to 14, characterized by a further receiving device ( 18 '' ) for receiving frames ( 8th . 8th' ) of the one embedded system ( 3 ) via the data communications network ( 4 ), whereby by means of the frame ( 8th . 8th' ) at least one signal ( 12 ) is transmitted cyclically, and another verification unit ( 19 ''' ), by which the received frame ( 8th . 8th' ) is verifiable on whether it is a diagnostic data frame, and if so, is also verifiable, if the at least one signal ( 12 ) in the framework ( 8th . 8th' ) by means of an associated diagnostic signal ( 12 ' ) is characterized as being outside a confidence interval and, if so, by means of another signal processing unit ( 20 ''' ) deviating from the normal processing further processing is executable.

Integrated functional system ( 2 ), in particular a motor vehicle ( 1 ) characterized by at least two embedded systems ( 3 . 3 ' . 3 '' ) with features according to one of claims 8 to 14 and a data communication network ( 4 ), through which the at least two embedded systems ( 3 . 3 ' . 3 '' ) are coupled.

Motor vehicle with an integrated functional system according to claim 16.