DE10103951A1 - Energieversorgungseinrichtung für bordnetzgestützte, sicherheitsrelevante Systemkomponenten von Fahrzeugen - Google Patents

Abstract

Eine Energieversorgungseinrichtung für bordnetzgestützte Systemkomponenten von Fahrzeugen weist drei voneinander unabhängige Energieeinspeisungen (6, 7, 8), je eine durch einen Schalter (13.1 bis 16.3) zu öffnende und zu schließende Anschlussleitungen (9.1 bis 12.3) zwischen jeder Energieeinspeisung (6, 7, 8) und jeder Systemkomponente (2 bis 5) sowie Logik-Steuereinheiten (17, 18, 19) für die Schalter (13.1 bis 16.3) auf.

Description

Die Erfindung betrifft eine Energieversorgungseinrichtung für bordnetzgestützte, sicherheitsrelevante Systemkomponenten von Fahrzeugen und insbesondere für Bremskomponenten elektrome­ chanischer Bremssysteme in Kraftfahrzeugen.

Zum Hintergrund der Erfindung ist festzuhalten, dass sicher­ heitsrelevante Systemkomponenten von Fahrzeugen unterschied­ lichen Ausfallkriterien je nach Funktion und Einbauort unter­ liegen. Komponenten von elektromechanischen Bremssystemen beispielsweise sind besonders sicherheitskritische Bauteile und werden daher in ihren sicherheitstechnischen Anforderun­ gen sehr hoch eingestuft. Einige davon sind der Klasse der sogenannten "Fail-Operational-Systeme" zuzuordnen, die auch beim Auftreten einer definierten Anzahl von Fehlern noch kor­ rekt funktionieren müssen.

Bei vielen sicherheitsrelevanten Systemkomponenten von Fahr­ zeugen und gerade bei Sicherheitsbetrachtungen im Zusammen­ hang mit einem elektromechanischen Bremssystem spielt dessen Energieversorgung eine zentrale Rolle. Ein Ausfall der Ener­ gieversorgung würde zu einem vollständigen Ausfall des Brems­ systems führen, was natürlich nicht akzeptabel ist. Daher sind geeignete Maßnahmen vorzusehen, die Energieversorgung von sicherheitsrelevanten Systemkomponenten entsprechend aus­ fallsicher zu machen.

Davon ausgehend ist es die Aufgabe der vorliegenden Erfin­ dung, sicherheitsrelevante Systemkomponenten von Fahrzeugen und insbesondere elektromechanischer Bremssysteme zweitfehlerfest mit elektrischer Energie zu versorgen. Die Erfindung soll also gewährleisten, dass selbst nach dem Auftreten zwei­ er Fehler noch eine korrekte Energieversorgung der ange­ schlossenen Komponenten möglich ist.

Diese Aufgabe wird durch die im Kennzeichnungsteil des An­ spruches 1 angegebenen Merkmale gelöst. Demnach sind drei voneinander unabhängige Energieeinspeisungen vorgesehen, wo­ bei je eine Anschlussleitung zwischen jeder Energieeinspei­ sung und jeder Systemkomponente angelegt ist. In den drei je­ der Komponente parallel vorgeschalteten Anschlussleitungen ist jeweils ein Schalter angeordnet, um die jeweilige An­ schlussleitung zu öffnen und zu schließen. Für diese Funktion sind schließlich Logik-Steuereinheiten für die Schalter vor­ gesehen, wobei je eine gemeinsame Logik-Steuereinheit für die den ersten, zweiten und dritten Anschlussleitungen jeder Sys­ temkomponente zugeordneten Schaltern vorgesehen ist. Aufgrund dieser Auslegung der erfindungsgemäßen Energieversorgungsein­ richtung ist eine mehrfache Redundanz der Energieversorgung zu erreichen. Insbesondere ist eine beliebige Kombination von zwei Fehlern in der Energieversorgung - z. B. Kurz- und Fremd­ schlüsse der Versorgungsleitungen - in der Energieversorgung mit diesem System noch zu korrigieren.

Falls noch höhere Anforderungen an die Ausfallsicherheit ge­ stellt werden, so können auch über die Zahl von drei hinaus­ gehende unabhängige Energieeinspeisungen mit einer entspre­ chenden Anzahl von Anschlussleitungen und Logik- Steuereinheiten vorgesehen sein. Insoweit umfasst die in den Patentansprüchen angegebene Zahl von drei Energieeinspeisun­ gen auch Systeme mit über diese Zahl hinausgehenden Energie­ versorgungen.

Schließlich ist darauf hinzuweisen, dass durch das erfin­ dungsgemäße System sichergestellt wird, dass ein Zweifachfeh­ ler innerhalb der Energieversorgungseinrichtung nicht zum Ausfall der Energieversorgung auf einer der Komponenten- Anschlussleitungen führt. Näheres hierzu ist der Beschreibung des Ausführungsbeispiels entnehmbar, die auch die in den Un­ teransprüchen angegebenen Maßnahmen aufgreift und anhand der beigefügten Zeichnung erläutert.

Fig. 1 zeigt ein schematisches Schaubild einer Energiever­ sorgungseinrichtung für ein bordnetzgestützes elekt­ romechanisches Bremssystem in Kraftfahrzeugen.

Die Energieversorgungseinrichtung ist in Fig. 1 als Ganzes mit 1 bezeichnet. Sie versorgt vier Bremskomponenten 2, 3, 4, 5 eines nicht näher dargestellten elektromechanischen Brems­ systems in einem Kraftfahrzeug. Bei den Bremskomponenten kann es sich beispielsweise um die Stellmotoren für die Betätigung der Bremsbacken handeln.

Zur Versorgung der Komponenten 2, 3, 4, 5 sind drei parallele Energieeinspeisungen, nämlich eine erste Bordnetzeinspeisung 6, eine zweite Bordnetzeinspeisung 7 und eine Sicherheitssys­ tem-Energieeinspeisung 8 vorgesehen. Um die geforderte Zweit­ fehlerfestigkeit zu gewährleisten, ist vorzusehen, die beiden Bordnetz-Einspeisungen 5, 7 unabhängig voneinander auszule­ gen. Als Alternative hierzu bietet sich allenfalls an, eine Bordnetz-Einspeisung vorzusehen, die mit zwei unabhängigen Sicherheitsbatterie-Einspeisungen kombiniert ist.

Mit diesen drei Einspeisungen 6, 7, 8 ist jede Komponente 2, 3, 4, 5 über jeweils eine Anschlussleitung 9.1 bis 9.3, 10.1 bis 10.3, 11.1 bis 11.3 und 12.1 bis 12.3 verbunden. Diese Anschlussleitungen 9, 10, 11, 12 sind jeweils parallel den entsprechenden Komponenten 2, 3, 4, 5 vorgeschaltet. Die An­ schlussleitungen 9.1, 10.1, 11.1, 12.1 verbinden die Einspei­ sung 6 mit den jeweiligen Komponenten 2 bis 5, die Anschluss­ leitungen 9.2, 10.2, 11.2, 12.2 die Einspeisung 7 mit den Komponenten 2 bis 5 und die Anschlussleitungen 9.3, 10.3, 11.3, 12.3 die dritte Einspeisung 8 mit den Komponenten 2 bis 5.

In jeder Anschlussleitung 9.1 bis 12.3 ist jeweils ein Schal­ ter 13.1 bis 13.3, 14.1 bis 14.3, 15.1 bis 15.3 und 16.1 bis 16.3 angeordnet. Wie in Fig. 1 lediglich anhand der Schalter 13.1, 13.2 und 14.1 der Übersichtlichkeit halber angedeutet ist, sind den Schaltern 13.1 bis 16.3 jeweils Logik- Steuereinheiten 17, 18, 19 zugeordnet, wobei je eine gemein­ same Logik-Steuereinheit 17, 18, 19 für die den ersten bzw. zweiten bzw. dritten Anschlussleitungen 9.1 bis 12.1 bzw. 9.2 bis 12.2 bzw. 9.3 bis 12.3 der jeder Bremskomponente 2, 3, 4, 5 zugeordneten Schaltern 13.1 bis 16.1 bzw. 13.2 bis 16.2 bzw. 13.3 bis 16.3 vorgesehen ist. Die Logik-Steuereinheit 17 steuert also die Schalter 13.1, 14.1, 15.1 und 16.1. Entspre­ chendes gilt für die beiden anderen Logik-Steuereinheiten 18, 19.

Die drei Logik-Steuereinheiten 17, 18, 19 sind ferner mit ei­ ner Versorgungsdiagnose-Einheit 20 verbunden, die die drei Einspeisungen 6, 7, 8 auf ordnungsgemäße Funktion überwacht. Sobald an einer oder mehreren der Einspeisungen 6, 7, 8 ein Fehler auftritt, wird dies der entsprechenden Logik- Steuereinheit 17, 18, 19 gemeldet, die entsprechende Maßnah­ men ergreift, wie sie im Folgenden noch näher anhand einer Fehlfunktions-Auflistung dargestellt werden.

Die Schalter 13.1 bis 16.3 werden durch eine Schalterdiagno­ se-Einheit 21 überwacht, die wiederum mit den entsprechenden Logik-Steuereinheiten 17, 18, 19 verbunden ist. Aus Über­ sichtlichkeitsgründen sind lediglich Sammelleitungen 22, 23 von der Schalterdiagnose-Einheit 21 zu den Schaltern 13.1 bis 16.3 gezeigt. Letztere können im Übrigen durch elektromecha­ nische Relais oder - wie im Fall des Schalters 14.3 angedeu­ tet - als Halbleiterschalter z. B. in Form von MOSFET- Transistoren gebildet sein. In letzterem Falle ist die häufig zu findende bauartbedingte (sogenannte) parasitäre Diode 24 für die fehlersichere Auslegung der Energieversorgungsein­ richtung 1 zu berücksichtigen, d. h. es sind ein einfach re­ dundanter Verpolschutz in Form von z. B. zwei seriell geschal­ teten Dioden pro Energieeinspeisung 6, 7, 8 und eine "antise­ rielle" Ausführung der Schalter mit MOSFETs erforderlich. Ein solcher Verpolschutz ist in der beigefügten Fig. 1 durch das Bezugszeichen 25 angedeutet.

Mit einer erfindungsgemäßen Energieversorgungseinrichtung können nun beliebige Zweierkombinationen von Fehlern aus der folgenden Auflistung auftreten, ohne dass die Energieversor­ gung beeinträchtigt wird, d. h., dass die Fehler unter sicher­ heitstechnischen Aspekten tolerabel sind. In dieser Auflis­ tung sind der Fehlertyp und anschließend die zu seiner Tole­ rierung vorgesehene Maßnahme angegeben:

• - Schalter bleibt fehlerhaft in der Schaltstellung "auf": da jede angeschlossene Komponente mit jeweils einem Schalter pro Energieeinspeisung versehen ist, kann eine Spannungs­ versorgung über einen der intakten Schalter erfolgen.
• - Schalter bleibt fehlerhaft in Schalterstellung "zu" und/oder Kurzschluss in einer defekten Komponente gegen ein für die Versorgung der Komponenten 2, 3, 4, 5 zu nied­ riges Potential: Entkopplung der Versorgungen der Kompo­ nenten 2, 3, 4, 5 durch Öffnen der intakten Schalter, die mit dem fehlerhaften Schalter bzw. der fehlerhaften kurz­ geschlossenen Komponente direkt verbunden sind.
• - Eine Logik-Steuereinheit steuert die Schalter fehlerhaft in Schaltstellung "auf": Da drei parallele Logik- Steuereinheiten vorgesehen sind und jede davon jeweils nur eine System-Energieversorgung zu- bzw. abschalten kann, ist eine Dreifach-Auslegung (d. h. 2-fache Redundanz) gege­ ben.
• - Eine Logik-Steuereinheit steuert einen Schalter fehlerhaft in Schalterstellung "zu" und/oder Kurzschluss einer de­ fekten Komponente gegen ein für die Versorgung der Kompo­ nenten 2, 3, 4, 5 zu niedriges Potential: die Logik- Steuereinheiten sind so ausgeführt, dass ein Einfachfehler maximal die fehlerhafte Steuerung eines Schalters bewirken kann. Entkopplung der Versorgungen der nicht betroffenen Komponenten durch Öffnen der intakten Schalter, die mit dem fehlerhaft geschlossenen Schalter bzw. der fehlerhaft kurzgeschlossenen Komponente direkt verbunden sind.
• - Kurzschluss in einer Komponente: Die entsprechende Kompo­ nente kann über die ihr zugeordneten Schalter von allen drei Energieeinspeisungen entkoppelt werden.
• - Einspeisungsseitig liegt in den Energieeinspeisungen ein Kurzschluss einer Leitung gegen Masse vor: Die betroffene Energieeinspeisung kann durch Ausschalten der zugeordneten Schalter komplett entkoppelt werden.
• - Einspeisungsseitig liegt ein Kurzschluss einer Leitung gegen eine andere Bordnetzleitung mit unterschiedlichem Spannungsniveau vor: Es ist ein einfach redundanter Ver­ polschutz pro Energieeinspeisung vorgesehen.

Claims (6)

1. Energieversorgungseinrichtung für bordnetzgestützte, si­ cherheitsrelevante Systemkomponenten von Fahrzeugen, insbe­ sondere für Bremskomponenten elektromechanischer Bremssysteme in Kraftfahrzeugen, gekennzeichnet durch
drei voneinander unabhängige Energieeinspeisungen (6, 7, 8),
je eine durch einen Schalter (13.1 bis 16.3) zu öffnende und zu schließende Anschlussleitung (9.1 bis 12.3) zwi­ schen jeder Energieeinspeisung (6, 7, 8) und jeder System­ komponente (2, 3, 4, 5), wobei die drei Anschlussleitungen (9.1 bis 12.3) jeder Komponente (2, 3, 4, 5) dieser paral­ lel vorgeschaltet sind, und
Logik-Steuereinheiten (17, 18, 19) für die Schalter (13.1 bis 16.3), wobei je eine gemeinsame Logiksteuereinheit (17, 18, 19) für die den ersten, zweiten und dritten An­ schlussleitungen (9.1 bis 12.3) jeder Systemkomponente (2, 3, 4, 5) zugeordneten Schaltern (13.1 bis 16.3) vorgesehen ist.

2. Energieversorgungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die Logik-Steuereinheiten (17, 18, 19) jeweils mit einer Versorgungsdiagnose-Einheit (20) für die Energieeinspeisungen (6, 7, 8) gekoppelt sind.

3. Energieversorgungseinrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Schalter (13.1 bis 16. 3) jeweils mit einer Schalterdiagnose-Einheit (21) versehen sind, die wiederum mit den Logik-Steuereinheiten (17, 18, 19) gekoppelt sind.

4. Energieversorgungseinrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass zumindest ein Teil der Schalter (13.1 bis 16.3) jeweils als Halbleiter­ schalter (14.3) bestehend aus zwei antiseriell geschalteten MOSFETs ausgebildet ist.

5. Energieversorgungseinrichtung nach Anspruch 4, dadurch gekennzeichnet, dass in den die Halbleiterschalter (14.3) versorgenden Einspeisungsleitungen (6, 7, 8) eine Verpolschutzeinrichtung (25) vorgesehen ist.

6. Energieversorgungseinrichtung nach Anspruch 5, dadurch gekennzeichnet, dass die Verpolschutzeinrichtung (25) einfach redundant angelegt ist.