Procedimiento para el funcionamiento de una dirección asistida eléctrica.

Una arquitectura de ordenador y funcional para el funcionamiento de una dirección asistida eléctrica,

caracterizada por que se ejecutan prácticamente en paralelo una ruta de control (202) y una ruta de vigilancia (203) realizada de modo diversitario respecto a ésta en dos núcleos (core 1, core 2) respectivamente asignados de un microordenador (200) redundante y se detectan las diferencias de cálculo que se producen en la ruta de control (202) o en la ruta de vigilancia (203) a nivel funcional mediante un comparador (204) y se detectan los resultados de las distintas etapas de cálculo a nivel granular mediante un comparador de núcleos (205), pasándose en consecuencia de la diferencia detectada por el comparador (204) a nivel funcional a un funcionamiento de emergencia (206), en caso de que el comparador de núcleos (205) no haya diagnosticado ningún error de cálculo, para garantizar que siga estando disponible al menos una parte de la asistencia a la dirección o de las funciones de dirección, al menos durante un tiempo determinado.

Procedimiento para el funcionamiento de una dirección asistida eléctrica La presente invención se refiere a una arquitectura de ordenador y funcional para el funcionamiento de una dirección asistida eléctrica, presentando la unidad de control una arquitectura de ordenador con núcleo redundante, un llamado procesador "dual core".

Estado de la técnica

Al usar un microordenador para el cálculo y la regulación de la asistencia a la dirección en una servodirección eléctrica deben detectarse errores en el núcleo del ordenador y debe desconectarse el sistema en caso de haberse producido un error, puesto que ya no puede garantizarse un cálculo y una regulación seguros. La prueba de un error en el núcleo de ordenador del microordenador se realiza según el estado de la técnica mediante el cálculo doble de la asistencia a la dirección. Los algoritmos de cálculo necesarios para ello están concebidos de modo diversitario. Cuando se distinguen los resultados de una ruta de control (nivel 1) de la ruta de vigilancia diversitaria (nivel 2) , se parte de un error en el núcleo del ordenador. En consecuencia de la diferencia detectada, el sistema debe desconectarse de la forma más rápida posible y hacerse pasar así al estado seguro. No obstante, para el conductor, la desconexión de la asistencia a la dirección va unida a grandes restricciones del confort. Unas magnitudes de salida típicas son una especificación del valor teórico para el momento de asistencia del servomotor, aunque según el alcance de las funciones, también puede estar prevista la salida de magnitudes internas de la dirección, como por ejemplo la información acerca del ángulo de dirección para unidades de control asociadas.

El documento con el número de publicación internacional WO 2010/031520 A1 describe una arquitectura de ordenador y funcional para el funcionamiento de una servodirección eléctrica. Para ello, una unidad de control dispone de un ordenador principal y de un ordenador de vigilancia externo. El ordenador principal calcula a partir de señales de entrada señales de control para un servoaccionamiento y presenta además una unidad de vigilancia interna para la vigilancia de su función de dirección propia. Además, está prevista una unidad de vigilancia externa para la vigilancia de la función del ordenador principal. Tanto el ordenador principal como el ordenador de vigilancia externo tienen acceso a una ruta de desconexión del sistema en conjunto. Cuando se produce un error en el ordenador de vigilancia externo, se bloquea el acceso del ordenador de vigilancia a la ruta de desconexión. En este caso se permite un funcionamiento limitado del sistema de servodirección para evitar procesos de desconexión repentinos.

La Figura 1 muestra una arquitectura de ordenador según el estado de la técnica. En una unidad de microcontrolador single core (100) se alimentan valores de entrada (101) a una ruta de control (102) , que contiene distintos módulos funcionales software (SW) y a una ruta de vigilancia (103) , que tiene una estructura correspondientemente diversitaria (módulo funcional SW diversitario) .

Típicamente se usa como magnitud de entrada el momento de barra de torsión medido, que se palpa mediante un sensor en el árbol de dirección. En función de este momento, se determina una especificación del valor teórico para el momento de asistencia como magnitud de salida usándose funciones de la dirección y, dado el caso, otras funciones del confort de dirección.

Mediante un comparador (104) se detectan diferencias entre los resultados de cálculos de funciones de la ruta de control (102) y de la ruta de vigilancia (103) .

La ruta de vigilancia (103) implementa un módulo funcional SW correspondientemente diversitario respecto al módulo funcional SW originario, usándose un algoritmo distinto de la ruta de control.

El comparador (104) compara los resultados a nivel funcional, para detectar errores sistemáticos en el software.

Si el comparador detecta una diferencia, hay que partir de un error de cálculo o de un error sistemático del software. Como reacción a un resultado diferente, se produce la desconexión inmediata del sistema en conjunto (desconexión del sistema) .

Al usar un microordenador "redundant core" (200) , un ordenador en el que están integradas dos unidades de cálculo idénticas (core 1, core 2) en un chip, está previsto que los comandos de cálculo se ejecuten en paralelo, prácticamente en el mismo momento. Los distintos resultados de cálculo se comparan automáticamente a nivel granular mediante un comparador de núcleos (205) . En caso de haber una diferencia entre los resultados de las dos ALUs, se provoca una reacción correspondiente a un error. Esto conduce por lo general a una desconexión y, por lo tanto, a una transición al estado seguro del sistema.

Con la introducción de la norma de seguridad ISO 26262 se exigen medidas para la detección de errores sistemáticos del SW. Esta exigencia puede cumplirse, por ejemplo, mediante la implementación de algoritmos diversitarios de la ruta de control y de la ruta de vigilancia (véase en el estado de la técnica) . Si ahora se produce en 2 5

un sistema así concebido una diferencia entre la ruta de control y la ruta de vigilancia, no se trata de un error de cálculo sino de un error sistemático del SW o de un estado de funcionamiento del sistema, que no puede ser diagnosticado en uno o en los dos niveles. Si se produce este estado, el sistema también se desconecta de forma inmediata. Además, un C "dual core" según el estado de la técnica dispone de un comparador de núcleos implementado en el hardware. Este compara a nivel granular las distintas etapas de cálculo de las ALUs de los dos núcleos del micrordenador.

Si ahora se produce un error en el cálculo diversitario y el comparador de núcleos no detecta ninguna diferencia en el cálculo de los dos núcleos (core 1, core 2) , el error tiene su causa en el software o se presenta un estado del sistema que no puede ser dominado.

La solución según la invención prevé que en este caso el sistema no se desconecte de forma inmediata sino que se pase a un funcionamiento de emergencia, en el que puede garantizarse un guiado seguro del vehículo, dado el caso con una restricción del nivel de confort disponible en comparación con el pleno funcionamiento.

Por consiguiente, se propone una arquitectura de ordenador y funcional para el funcionamiento de una dirección asistida eléctrica, en la que se ejecutan prácticamente en paralelo una ruta de control y una ruta de vigilancia realizada de modo diversitario respecto a ésta en dos núcleos respectivamente asignados de un microordenador redundante y se detectan las diferencias de cálculo que se producen en la ruta de control o en la ruta de vigilancia a nivel funcional mediante un comparador y se detectan los resultados de las distintas etapas de cálculo a nivel granular mediante un comparador de núcleos, pasándose en consecuencia de la diferencia detectada por el comparador a nivel funcional a un funcionamiento de emergencia, en caso de que el comparador de núcleos no haya diagnosticado ningún error de cálculo, para garantizar que siga estando disponible al menos una parte de la asistencia a la dirección o de las funciones de dirección, al menos durante un tiempo determinado.

Además, la invención prevé que el funcionamiento de emergencia esté implementado mediante un programa de control específico (programa de emergencia) . El programa de emergencia puede estar realizado mediante una implementación y una parametrización correspondiente del programa de control respecto al tiempo de funcionamiento (en caso de producirse un error) .

Aquí, los valores de salida en el funcionamiento de emergencia son calculados por el programa de emergencia.

En una variante de realización especialmente preferible de la invención está previsto que el programa de emergencia esté implementado como módulo separado (programa de emergencia) y que esté preparado en la memoria de programas para su ejecución. En el funcionamiento normal, es decir, en el funcionamiento sin errores, no se ejecuta. Solo se activa en caso de haberse diagnosticado un error.

Según la invención está previsto que el funcionamiento de emergencia trabaje según una de las estrategias indicadas a continuación:

- la asistencia a la dirección se limita a un valor que está concebido como valor reducido en comparación con un valor normal o -la asistencia a la dirección se limita a un valor que está concebido como valor reducido en comparación con un valor normal, realizándose la reducción en función de la situación y/o de forma controlada en el tiempo mediante una rampa o -la... [Seguir leyendo]

1. Una arquitectura de ordenador y funcional para el funcionamiento de una dirección asistida eléctrica, caracterizada por que se ejecutan prácticamente en paralelo una ruta de control (202) y una ruta de vigilancia (203)

realizada de modo diversitario respecto a ésta en dos núcleos (core 1, core 2) respectivamente asignados de un microordenador (200) redundante y se detectan las diferencias de cálculo que se producen en la ruta de control (202) o en la ruta de vigilancia (203) a nivel funcional mediante un comparador (204) y se detectan los resultados de las distintas etapas de cálculo a nivel granular mediante un comparador de núcleos (205) , pasándose en consecuencia de la diferencia detectada por el comparador (204) a nivel funcional a un funcionamiento de emergencia (206) , en caso de que el comparador de núcleos (205) no haya diagnosticado ningún error de cálculo, para garantizar que siga estando disponible al menos una parte de la asistencia a la dirección o de las funciones de dirección, al menos durante un tiempo determinado.

2. La arquitectura de ordenador y funcional para el control de una dirección asistida eléctrica o una servodirección de acuerdo con la reivindicación 1, caracterizada por que el funcionamiento de emergencia (206) está implementado mediante un programa de emergencia específico.

3. La arquitectura de ordenador y funcional para el control de una dirección asistida eléctrica o una servodirección de acuerdo con la reivindicación 1 o 2, caracterizada por que el funcionamiento de emergencia (206) trabaja según 20 una de las estrategias indicadas a continuación:

- la asistencia a la dirección se limita a un valor que está concebido como valor reducido en comparación con un valor normal o -la asistencia a la dirección se limita a un valor que está concebido como valor reducido en comparación con 25 un valor normal, realizándose la reducción en función de la situación y/o de forma controlada en el tiempo mediante una rampa o -la asistencia a la dirección se reduce al valor cero, realizándose la reducción en función de la situación y/o de forma controlada en el tiempo mediante una rampa.

4. Una unidad de control o unidad combinada de motor/unidad de control, caracterizada por que presenta una arquitectura de ordenador y funcional reivindicada de acuerdo con las reivindicaciones 1 a 3.

5. Una dirección asistida, caracterizada por que está equipada con una unidad de control o una unidad combinada de motor/unidad de control de acuerdo con la reivindicación 4. 35