[发明专利]安全关键的机动车系统的微控制器系统和方法及其应用

说明书

技术领域

本发明涉及一种按照权利要求1前序部分所述的用于安全关键的机动车系统的微控制器系统、按照权利要求6的前序部分所述的用于运行用于安全关键的机动车系统的方法以及其应用。

背景技术

高度可用或防事故的车辆系统——如其需要用于自动化驾驶的应用——对各个机动车系统的电子构件的可用性和相互作用自由性以及在此特别是对相应微控制器提出提高的要求，微控制器执行通过该微控制器运行的车辆系统的基础软件。对于这些车辆系统相应地力求尽可能小的事故可能性。对于高度可用或防事故的车辆系统的例子是机动车的制动系统。这样的制动系统的故障意味着对于交通参与者的危险，因此必须不断监控该系统的功能能力，以便在出现故障时例如激活备份。故障公差冗余方案以特别的程度对于仅仅具有电子备份的机动车系统是重要的。

为了提高故障安全性，由文献DE 32 34 637 C2已知的是，以相同软件运行两个处理器，这也称为对称冗余。在文献DE 4137124A1中描述一种具有非对称冗余的微处理器系统，其中两个处理器以不同软件运行。

在文献DE 195 29 434 A1中描述了另一核芯冗余的系统，其中两个同步运行的处理器核芯设定在一个或多个芯片上，该些处理器核芯获得相同输入信息并且处理相同程序。两个处理器核芯在此通过单独的总线系统连接到只读存储器和写-读存储器上以及输入和输出单元上。总线系统相互间通过驱动级或旁路连接，它们对于两个处理器核芯能实现可用数据包括检测数据和命令的共同的读取和处理。两个处理器核芯中仅仅之一(直接)与完整的只读和写-读存储器连接，而第二处理器核芯的存储能力限于结合检测数据生成器检测数据(奇偶监控)的存储空间。对所有数据的访问在于通过旁路。由此两个处理器核芯能够分别处理完全的程序。

在文献EP1673667B1中描述了用于安全关键的应用的微控制器系统，其中用于驱控具有能力的负载的数字电路构件和模拟电路构件安装在共同的芯片或芯片载体上并且通过隔离的区域相互保护。

对于安全关键的机动车系统已知的微控制器(MCU)由编程模型方面看来是单核系统，自然地然而经常存在于多个处理器核芯，以便使得软件执行并行化。资源，如例如存储资源和/或外围资源自然不多次执行并且由处理器核芯共同使用。相比之下，多芯片微控制器多次提供完整的资源。芯片在该说明书的意义上理解为集成在单独的半导体基底上的电路。

由多核芯微控制器分享的资源的基本缺点是其易错性，如例如随机硬件错误，因为总是也涉及分享该资源的核芯。多次存在的子系统(核芯)的独立性因此也对于在该子系统中的错误产生。多核芯微控制器的故障概率因此极大地由在分享的资源中的错误确定并且例如在总故障率的40％的数量级上。

然而基于该多重设计，多芯片系统相比于多核芯系统精确度更高，这特别是对于当今具有例如大于4MB只读存储器和大于256KB主存储器的大的程序和数据存储器中的情况。高度可用的系统的多个芯片的应用因此表示成本的显著提高，特别是更大数量的集成电路以及基于的电路载体的提高的复杂性有助于这一点。

由于生产集成电路的高部件数量，存在对全部构件的极大的成本压力。其特别是针对安全设计的功能然而不应通过降低成本的措施限制。

发明内容

因此，本发明的任务在于，提供一种机构，该机构能实现对于安全关键的机动车系统的微控制器系统的至少一如既往高的可用性并且在此可尽可能成本低廉地实现。

该任务通过按照权利要求1的微控制器系统和按照权利要求6的方法实现。

本发明描述一种用于安全关键的机动车系统的微控制器系统，包括多个设置在公共的芯片上的子系统，其中至少一个子系统多通道地构成，其中微控制器系统的特征还在于，该微控制器系统设计为用于执行多个运行模式，其中子系统在第一运行模式下相互独立地运行并且借助于芯片内部的接口相互通信，在第二运行模式下，子系统中的至少之一借助于设定的数据传输器件调用另外的子系统中的至少之一的非局部资源运行，和/或子系统中的至少之一处于运行而子系统中的至少另一是非激活的。