-
Technisches Gebiet
-
Die vorliegende Erfindung betrifft ein Schnittstellenmodul für ein Bordnetz eines Kraftfahrzeugs, einen Stromverteiler mit einem solchen Schnittstellenmodul sowie ein Bordnetz für ein Kraftfahrzeug. Dabei umfasst das Bordnetz ein konventionelles Teilbordnetz und ein hoch-verfügbares Sicherheitsbordnetz.
-
Stand der Technik
-
Das Bordnetz eines Fahrzeugs verbindet eine Energiequelle über Verteiler und Unterverteiler mit den verschiedenen Lasten oder Verbrauchern im Kraftfahrzeug. So kann man unter den Komponenten des Bordnetzes Stromverteiler wie Verteiler und Unterverteiler sowie Lasten, aber auch diese verbindende Leitungen verstehen. Dabei können die Leitungen über Steckverbindungen mit Schnittstellen der Verteiler, Unterverteiler oder Lasten verbunden sein.
-
In Kraftfahrzeugen werden immer mehr elektronische Schaltungen im Bordnetz benutzt. So sind immer mehr elektronische Schaltungen nutzende (vernetzte) Steuergeräte in einem Kraftfahrzeug verbaut, die untereinander Schaltinformationen oder Schaltbefehle austauschen oder Lasten schalten. Durch die Entwicklung in Richtung autonomes Fahren gewinnt dabei das Thema funktionale Sicherheit (FuSi) immer mehr an Bedeutung. Dabei wird sowohl bei den Steuergeräten wie auch bei den angeschlossenen Lasten zwischen einem quasi konventionellem Teil und einem hochverfügbaren Sicherheitsteil unterschieden.
-
Es existieren in heutigen Fahrzeugen bereits sicherheitsrelevante Funktionen, wie z.B. das automatisierte Lenken der Einparkfunktion. Diese Funktionen müssen Fail-Save ausgelegt werden, dass heißt, dass bei Erkennen eines Fehlers der sichere Zustand "aus" eingenommen wird und der Fahrer über Anzeigeinstrumente benachrichtigt wird. Systeme des autonomen Fahrens hingegen müssen Fail-Operational mit einem Fehler-Zustandsübergang in den sicheren Zustand "an" ausgelegt werden. Der Ausfall der Versorgung mit Energie (Versorgungsleitung) oder Kommunikation (Busleitung) für diese Funktion kann zu einer direkten Gefährdung von Menschen führen. Dieser sichere Zustand "an" muss solange gehalten werden, bis das Fahrzeug an einem sicheren Ort angehalten werden kann oder bis der Fahrer die Kontrolle übernehmen kann. Da der Sichere Zustand "an" ist, wird die Versorgung relevant für das Einhalten des Sicherheitsziels.
-
Zur Erhöhung der funktionalen Sicherheit beschreibt die deutsche Patentanmeldung
DE 10 2016 106 296 ein Verfahren zum Überwachen einer Verbindungsqualität zwischen Komponenten eines Bordnetzes über einen Data-Mining-Ansatz. Die deutsche Patentanmeldung
DE 10 2016 111 690 offenbart einen modularen Stromverteiler, bei dem eine Stromschiene separat zu einer Steuerelemente und Sicherungen aufweisenden Leiterplatte angeordnet ist.
-
Für das Bordnetz stellt sich für den für die funktionale Sicherheit relevanten Teilbereich die Anforderung der Interferenzfreiheit. Dabei wird unter Interferenzen eine Rückwirkung von Fehlern im konventionellen, nicht-FUSI relevanten Teilbereich verstanden, die zu einer Gefährdung des Sicherheitsziels führen. Beispiele hierfür sind ein Spannungseinbruch wegen Kurzschluss im Zuheizer oder eine Störung von Sensoren oder Steuergeräten auf Grund einer EMV-Gegenkopplung. Derartige Interferenzen sind in ihrer Auftrittswahrscheinlichkeit höher einzuschätzen als ein kompletter Ausfall einer Leitung. Mit anderen Worten können neben direkten Fehlern in der Versorgung (Leitungsabriss) Rückwirkungen der Fehler in anderen Systemen das Sicherheitsziel gefährden. Wenn sich die FUSI-Anforderungen in den "nicht-FUSI", konventionellen Anteil des Bordnetzes vererben, so wird dies erheblich Kostenimplikationen haben.
-
Beschreibung der Erfindung
-
Eine Aufgabe der Erfindung ist es daher, unter Einsatz konstruktiv möglichst einfacher Mittel den FUSI-Anteil des Bordnetzes "freizuschneiden" und einen dedizierten FUSI-Layer im Bordnetz einzuführen.
-
Die Aufgabe wird durch die Gegenstände der unabhängigen Ansprüche gelöst. Vorteilhafte Weiterbildungen der Erfindung sind in den abhängigen Ansprüchen, der Beschreibung und den begleitenden Figuren angegeben.
-
Ein Schnittstellenmodul ist eingerichtet, um zwischen einem konventionellen Teilbordnetz und einem hoch-verfügbaren Sicherheitsbordnetz angeordnet zu sein. Dabei ist das Schnittstellenmodul ausgebildet, eine Störung einer Komponente des Bordnetzes in Form einer ungeplanten Spannungsänderung oder ungeplanten Stromänderung zwischen dem Teilbordnetz und dem Sicherheitsbordnetz zu blocken. Beispielsweise wird somit eine Störung in Form eines Kurzschlusses im Teilbordnetz oder im Sicherheitsbordnetz isoliert und von den anderen Bereichen des Bordnetzes elektrisch getrennt.
-
Das Bordnetz umfasst eine Mehrzahl von Lasten, die sowohl im konventionellen Teilbordnetz als auch im Sicherheitsbordnetz angeordnet sein können. Unter einer Last kann hier jeglicher (elektrischer) Verbraucher verstanden werden, wie beispielsweise auch Sensoren. Im konventionellen Teilbordnetz sind zusätzlich zumindest eine primäre Spannungsversorgung und eine sekundäre Spannungsversorgung angeordnet, um das Bordnetz zu versorgen. Dabei kann unter einer Spannungsversorgung sowohl ein Energiespeicher als auch ein Generator sowie eine Kombination dieser verstanden werden. Die Spannungsversorgung kann weiterhin Gleichspannungswandler aufweisen. Die Spannungslage des Energiespeichers oder des Generators kann dabei der Spannungslage der angeschlossenen Last(en) entsprechen oder alternativ kann die Spannungslage über einen Gleichspannungswandler, auch als DC/DC-Wandler bezeichnet, angepasst werden.
-
Im Sicherheitsbordnetz ist zumindest eine Last angeordnet, die systemrelevant ist und somit nach den Prinzipien der funktionalen Sicherheit unter anderem eine redundante Stromversorgung benötigt. Je nach erforderlichem Sicherheitslevel oder Sicherheitsanforderungsstufe sind neben der redundanten Stromversorgung über primäre Spannungsversorgung und sekundäre Spannungsversorgung weitere Sicherheitsmaßnahmen zu ergreifen. Vorteilhaft werden durch das Schnittstellenmodul Störungen und Ausfälle isoliert und geblockt. Das Sicherheitsbordnetz umfasst die für die funktionale Sicherheit (FUSI) relevanten Lasten, weshalb diese auch als FUSI-relevante Lasten bezeichnet werden.
-
Mit dem Begriff der Sicherheitsanforderungsstufe wird in der internationalen Normung gemäß IEC 61508/IEC61511 auch ein Sicherheits-Integritätslevel (SIL) bezeichnet. In Bezug auf die Zuverlässigkeit von Sicherheitsfunktionen dient die Sicherheitsanforderungsstufe der Beurteilung von elektrischen/elektronischen/programmierbar elektronischen (E/E/PE)-Systemen. Aus dem angestrebten Level ergeben sich die sicherheitsgerichteten Konstruktionsprinzipien, die eingehalten werden müssen, damit das Risiko einer Fehlfunktion minimiert werden kann.
-
Wie eingangs dargestellt, ist eine Besonderheit der im Sicherheitsbordnetz angeordneten Lasten, dass ein sicherer Zustand (Safe State) definiert ist. Wenn ein System durch seine Eigendiagnose eine Funktionsstörung erkennt, soll es in einen Zustand wechseln, in dem keine Gefahr mehr vom System ausgeht. Dieser sichere Zustand ist von der Art des Gesamtsystems abhängig. Bei einer Motorsteuerung eines Pkw könnte dies der Zustand „Motor aus“ sein, bei einer Lenksteuerung für autonomes Fahren wäre der sichere Zustand "ein".
-
Es wird ein Schnittstellenmodul für die Versorgung dedizierter, hochverfügbarer Sicherheits-Bordnetzmodule vorgestellt. Ein (oder mehrere) Schnittstellenmodul(e) separieren den FUSI-Anteil vom konventionellen-Anteil. Störungen, wie z.B. Spannungseinbruch oder -ausfall oder Überspannung werden durch das Schnittstellenmodul geblockt. Daraus ergibt sich als Vorteil, dass der konventionelle Teil des Bordnetzes kommunal, d.h. gemeinsam, mit Fahrzeugen ohne autonomes Fahren verwendet werden kann und keine Mehrkosten im konventionellen Teil verursacht. Vorteilhaft wird mit dem vorgestellten Schnittstellenmodul eine Rückwirkungsfreiheit im Sicherheitsbordnetz für die für die funktionale Sicherheit relevanten Komponenten erreicht.
-
In einem bevorzugten Ausführungsbeispiel umfasst das Schnittstellenmodul eine Anzahl primärer Schalter zum Schalten der primären Spannungsversorgung auf die Last(en) im Sicherheitsbordnetz, sowie eine Anzahl sekundärer Schalter zum Schalten der sekundären Spannungsversorgung auf die Last(en) im Sicherheitsbordnetz als redundanten Versorgungszweig. Die Schalter werden von einer Steuerungseinrichtung angesteuert, um eine Störung einer Komponente des Bordnetzes in Form einer ungeplanten Spannungsänderung und ergänzend oder alternativ Stromänderung zwischen dem Teilbordnetz und dem Sicherheitsbordnetz zu blocken. Unter einer Komponente des Bordnetzes kann hier eine Last oder eine Verbindung wie ein Kabel oder eine Stromschiene, ein Verteiler oder ähnliches verstanden werden. Dabei können jeder Last im Sicherheitsbordnetz zumindest ein primärer Schalter und ein sekundärer Schalter zugeordnet sein. So kann ein Fehler isoliert werden und nur ein kleiner Teil des Bordnetzes, im Idealfall eine Last, von der primären Spannungsversorgung auf die sekundäre Spannungsversorgung umgeschaltet oder vom Bordnetz getrennt werden.
-
Günstig ist es auch, wenn die primären Schalter ausgebildet sind, auch im geschlossenen Zustand einen Stromfluss in Richtung des konventionellen Bordnetzes zu blocken, und die sekundären Schalter ausgebildet sind, auch im geschlossenen Zustand einen Stromfluss in Richtung des Sicherheitsbordnetzes zu blocken. Im Ersatzschaltbild kann man sich dies als eine Diode vorstellen. So können Störungen oder Ausfälle im Bordnetz in die entsprechende Richtung immer isoliert werden.
-
Die primären Schalter und sekundären Schalter können als Transistoren realisiert sein. Insbesondere können die primären und sekundären Schalter als MOSFETs ausgebildet sein. Diese blocken im geöffneten Zustand einen Stromfluss von Source in Richtung Drain. So kann das Schnittstellenmodul einfach als integrierte Schaltung realisiert werden.
-
Wenn die Schalter des Schnittstellenmoduls als Transistoren ausgebildet sind, so ist es günstig, wenn die primäre Spannungsversorgung jeweils mit Source der primären Schalter und die sekundäre Spannungsversorgung mit Drain der sekundären Schalter verbunden sind. So kann bei den primären Schaltern einfach ein Stromfluss im geschlossenen Zustand in Richtung des konventionellen Bordnetzes, und bei den sekundären Schaltern ein Stromfluss im geschlossenen Zustand in Richtung des Sicherheitsbordnetzes geblockt werden.
-
In einer günstigen Ausführungsform sind die sekundären Schalter als elektronische Sicherung ausgebildet. Wenn die elektronischen Sicherungen zusammen mit einer Steuerungseinrichtung einen Kurzschluss erkennen, können diese in den geöffneten Zustand schalten. Wenn die Last über eine zusätzliche redundante Stromversorgung verfügt, kann die Last über letztere weiter versorgt werden. Durch den Einsatz von elektronischen Sicherungen kann in Zusammenarbeit mit einer Steuerungseinrichtung eine höhere Sicherheit erzielt werden, da eine zusätzliche Fehlersensierung erfolgt.
-
Um den Sicherheitslevel zu erhöhen kann zwischen den sekundären Schaltern und der sekundären Spannungsversorgung ein Sicherheitsschalter angeordnet sein. Der Sicherheitsschalter ist ausgebildet, eine Rückspeisung von der primären Spannungsversorgung in die sekundäre Spannungsversorgung zu verhindern. Vorteilhaft blockt der Sicherheitsschalter auch im geschlossenen Zustand einen Stromfluss in Richtung der sekundären Spannungsversorgung. Dies sichert die sekundäre Spannungsversorgung vor Schäden durch einen Kurzschluss im Bereich des Schnittstellenmoduls oder des Sicherheitsbordnetzes.
-
Der Sicherheitsschalter kann als ein Sicherheitstransistor ausgebildet sein, dessen Source mit der sekundären Spannungsversorgung verbunden ist. So kann kostengünstig und effizient der Schalter realisiert werden.
-
Ferner kann das Schnittstellenmodul eine Überwachungseinrichtung zum Überwachen einer Versorgungsspannung der Last(en) im Sicherheitsbordnetz aufweisen, um eine Störung einer Komponente des Bordnetzes in Form einer ungeplanten Spannungsänderung und ergänzend oder alternativ einer ungeplanten Stromänderung zu sensieren, auszuwerten und zu erkennen. Die Überwachungseinrichtung kann eine die Versorgungsspannung repräsentierende Überwachungsinformation bereitstellen. Dabei ist die Steuerungseinrichtung ausgebildet, die Schalter unter Verwendung der Überwachungsinformation anzusteuern.
-
Vorteilhaft ist die Steuerungseinrichtung ausgebildet, die Schalter derart anzusteuern, dass bei Einbruch der Spannung unter einen Schwellwert der entsprechende Schalter geöffnet wird. Immer wenn die Spannung den vorabdefinierten Schwellwert unterschreitet, deutet dies auf einen Fehler hin. Im 12-V-Bordnetz kann dieser Schwellwert bei etwa 11 V liegen. Wenn auf diese Weise die primäre Spannungsversorgung von der Last abgeschaltet wird, wird parallel die sekundäre Spannungsversorgung zugeschaltet, das heißt, der zugeordnete sekundäre Schalter geschlossen. Sollte der Fehler im nachfolgenden Versorgungszweig sein und somit auch die sekundäre Stromquelle die Last nicht versorgen können, so wird auch die sekundäre Stromversorgung über den betroffenen Versorgungszweig gekappt, das heißt, der Schalter geöffnet.
-
Zusätzlich zur Spannungsüberwachung kann die Überwachungseinrichtung auch einen Strom an einem Eingang zumindest eines Schalters auf der Seite des Teilbordnetzes überwachen. So kann der über den Schalter in das Sicherheitsbordnetz eingespeiste Strom bestimmt werden. In diesem Fall repräsentiert die Überwachungsinformation zusätzlich den Strom. Vorteilhaft kann so mehr Information zum Zustand des Sicherheitsbordnetzes ausgewertet werden und eventuell schleichende Fehler bereits frühzeitig erkannt werden. So sind bereits vorausschauende Maßnahmen einleitbar.
-
Zur Erhöhung der Sicherheit kann zwischen einem Ausgang eines primären Schalters und einem Anschluss für die Last eine Sicherung angeordnet sein. Bei der Sicherung kann es sich um eine mechanische Sicherung, insbesondere eine Schmelzsicherung handeln. Bei einer Mehrzahl von Schaltern können für jeden Schalter separat entsprechende Sicherungen vorgesehen sein.
-
Die erfinderische Idee ist gut in einen Stromverteiler integrierbar. Dabei können die Schalter als elektronische Sicherungen oder als eine Kombination aus Schaltern und mechanischen Sicherungen ausgebildet sein. So kann platzsparend ein entsprechendes Schnittstellenmodul in den Stromverteiler integriert werden. Je nach Anwendungsfall kann so ein Stromverteiler für Lasten im Sicherheitsbordnetz oder für Lasten im Sicherheitsbordnetz und zusätzlich im konventionellen Teilbordnetz geschaffen werden.
-
Es wird weiterhin ein Bordnetz für ein Kraftfahrzeug vorgestellt, welches ein konventionelles Teilbordnetz und ein hoch-verfügbares Sicherheitsbordnetz umfasst. Das Teilbordnetz und das Sicherheitsbordnetz sind über eine Variante eines weiter oben beschriebenen Schnittstellemoduls verbunden.
-
In einer Variante weist das Bordnetz ein zweites Schnittstellenmodul auf. Eine Last, für die die Anforderung in Bezug auf die funktionale Sicherheit besonders hoch ist mit beispielsweise ASIL-Level D, ist sowohl über das erste Schnittstellenmodul als auch über das zweite Schnittstellenmodul angebunden. Dabei kann das zweite Schnittstellenmodul Energie aus der primären Spannungsversorgung und einer zweiten sekundären Spannungsversorgung auf die Last schalten. So können die Versorgungszweige und die Spannungsversorgung redundant ausgeführt werden und die Ausfallwahrscheinlichkeit weiter gesenkt werden.
-
Kurze Figurenbeschreibung
-
Nachfolgend wird ein vorteilhaftes Ausführungsbeispiel der Erfindung unter Bezugnahme auf die begleitenden Figuren erläutert. Es zeigen:
-
1 eine schematische Darstellung eines Bordnetzes mit einem konventionellen Teilbordnetz und einem Sicherheitsbordnetz gemäß einem Ausführungsbeispiel der vorliegenden Erfindung, und
-
2 einen vereinfachten Schaltplan eines Schnittstellenmoduls für ein Bordnetz eines Kraftfahrzeugs gemäß einem Ausführungsbeispiel der vorliegenden Erfindung.
-
Die Figuren sind lediglich schematische Darstellungen und dienen nur der Erläuterung der Erfindung. Gleiche oder gleichwirkende Elemente sind durchgängig mit den gleichen Bezugszeichen versehen.
-
1 zeigt eine schematische Darstellung eines Bordnetzes 100 in einem Kraftfahrzeug 104. Das Bordnetz 100 umfasst über ein Schnittstellenmodul 102 verbundenes konventionelles Teilbordnetz 106 und ein hoch-verfügbares Sicherheitsbordnetz 108. Das Teilbordnetz 106 umfasst eine primäre Spannungsversorgung 110 zur Versorgung von Lasten 112, 113, 114. Dabei stehen die Lasten 112 und 114 repräsentativ für Lasten im Sicherheitsbordnetz 108. Diese könnten beispielsweise Steuergeräte oder Aktoren für autonomes Fahren umfassen. Die Last 113 ist im konventionellen Teilbordnetz 106 angeordnet. Für die Lasten 112 und 114 ist eine redundante Stromversorgung vorgesehen. Hierzu ist eine sekundäre Stromversorgung 116 im Teilbordnetz 106 angeordnet und an das Schnittstellenmodul 102 angebunden. Auch die primäre Spannungsversorgung 110 ist mit dem Schnittstellenmodul 102 elektrisch verbunden.
-
Die Last 112 ist über zwei getrennte Leitungen mit dem Schnittstellenmodul 102 verbunden. Die Last 114 ist mit dem Schnittstellenmodul 102 über eine Leitung verbunden. In beiden Fällen kann eine redundante Spannungsversorgung bereitgestellt werden, wie diese im Rahmen der funktionalen Sicherheit gefordert wird.
-
Das Schnittstellenmodul 102 ist ausgebildet, Störungen und Ausfälle im Bordnetz zwischen dem Teilbordnetz 106 und dem Sicherheitsbordnetz 108 zu isolieren. Dabei werden Störungen oder Ausfälle indirekt durch ungeplante Spannungsänderungen oder Stromänderungen erkannt. Ein Absinken einer Versorgungsspannung U unter einen Schwellwert ist ein deutliches Zeichen für einen Fehler wie beispielsweise einen Kurzschluss oder einen Defekt in der Spannungsversorgung. Ein Anstieg des Stromflusses I über einen Schwellwert deutet beispielsweise auf einen Fehler im Bereich der Last hin. Eine Validierung kann zusätzlich über eine Auswertung über die Zeit erfolgen, d.h. in welchem Zeitraum eine Spannungsänderung oder Stromänderung aufgetreten ist.
-
2 zeigt einen vereinfachten Schaltplan eines Schnittstellenmoduls 102 für ein Bordnetz 100 gemäß einem bevorzugten Ausführungsbeispiel der vorliegenden Erfindung. Der Grundaufbau entspricht dem in 1 dargestellten Ausführungsbeispiel. Die primäre Spannungsversorgung 110 umfasst dabei eine 12V-Batterie, die über einen Stromverteiler 230 und einen Gleichstromwandler 232 mit einer Hochvolt-Batterie 234 elektrisch verbunden ist. In dem dargestellten Ausführungsbeispiel wird die sekundäre Spannungsversorgung 116 über eine Ladeeinheit 236 an die Hochvolt-Batterie 234 angebunden. Sowohl die primäre Spannungsversorgung 110 als auch die sekundäre Spannungsversorgung sind mit dem Schnittstellenmodul 102 elektrisch verbunden.
-
Das Schnittstellenmodul 102 umfasst im dargestellten Ausführungsbeispiel drei primäre Schalter Tp1, Tp2, Tpn zum Schalten der primären Spannungsversorgung 110 auf die Lasten 112, 114 sowie drei sekundäre Schalter Ts1, Ts2, Tsn zum Schalten der sekundären Spannungsversorgung 116 auf die Lasten 112, 114. So ist die primäre Spannungsversorgung 110 über einen Stromverteiler 120 jeweils mit einem Eingang der drei primären Schalter Tp1, Tp2, Tpn verbunden. Die sekundäre Spannungsversorgung 116 ist über einen Stromverteiler 120' mit einem Eingang der sekundären Schalter Ts1, Ts2, Tsn verbunden.
-
Zwischen dem Stromverteiler 120' und der sekundären Spannungsversorgung 116 ist ein Sicherheitsschalter Tqs angeordnet.
-
Der Ausgang des ersten primären Schalters Tp1 und der Ausgang des ersten sekundären Schalters Ts1 sind über einen Knotenpunkt (ohne Bezugszeichen) elektrisch verbunden, Der Knotenpunkt ist mit der Last 112 verbunden. Zwischen dem Knotenpunkt und dem Ausgang des ersten primären Schalters Tp1 ist eine Sicherung 238 angeordnet. In einem bevorzugten Ausführungsbeispiel handelt es sich dabei um eine Schmelzsicherung 238. Die gleiche Anordnung findet sich zwischen den weiteren Schaltern Tp2, Ts2, Tpn, Tsn und den Lasten 112, 114.
-
Eine Überwachungseinrichtung 118 ist eingerichtet, die Versorgungsspannung U zu den Lasten und den Strom I am Eingang zu den Schaltern Tp1, Ts1, Tp2, Ts2, Tpn, Tsn zu messen und auf über- oder unterschreiten eines spezifischen Schwellwerts zu überwachen. Dabei ist die Überwachungseinrichtung 118 eingerichtet, eine Überwachungsinformation 124 bereitzustellen.
-
Weiterhin ist eine Steuerungseinrichtung 122 vorgesehen, die ausgebildet ist, die Überwachungsinformation 124 zu empfangen und diese zu verarbeiten, um daraus abgeleitet eine Steuerungsinformation zur Ansteuerung der Schalter Tp1, Ts1, Tp2, Ts2, Tpn, Tsn, Tqs bereitzustellen. Im dargestellten Ausführungsbeispiel umfasst die Steuerungseinrichtung 122 Mikrocontroller µC sowie applikationsspezifische ASICs. Eine einfache Implementierung ist auch über Komparatoren möglich, die eine einen Schwellwert repräsentierende (temperaturkompensierte) Referenzspannung Uref mit der Versorgungsspannung U oder der diese repräsentierende Überwachungsinformation 126 der jeweiligen Lasten vergleichen.
-
In einem bevorzugten Ausführungsbeispiel handelt es sich bei den primären Schaltern Tp1, Tp2, Tpn und den sekundären Schaltern Ts1, Ts2, Tsn um Transistoren, insbesondere sind als MOSFETs ausgeführt. Die MOSFETs Tp1, Tp2, Tpn, Ts1, Ts2, Tsn sind in 2 mit einem Ersatzschaltplan dargestellt. Auch der Sicherheitsschalter Tqs ist in dem bevorzugten Ausführungsbeispiel als MOSFET ausgeführt. Der als MOSFET ausgeführte Sicherheitsschalter Tqs verhindert eine Rückspeisung von der primären Spannungsversorgung 110 in die sekundäre Spannungsversorgung 116. Im Vergleich zum Einsatz einer Diode weist der MOSFET vorteilhaft eine geringere Verlustleistung auf.
-
Bei einer Implementierung der Schalter Tp1, Tp2, Tpn, Ts1, Ts2, Tsn, Tqs als MOSFETS ist die primäre Spannungsversorgung 110 über den (primären) Stromverteiler 120 mit Source der MOSFETs Tp1, Tp2, Tpn verbunden. Die sekundäre Spannungsversorgung 116 ist über den (sekundären) Stromverteiler 120' mit Drain der MOSFETs Ts1, Ts2, Tsn verbunden. Beim als MOSFET ausgebildeten Sicherheitsschalter Tqs ist Drain mit dem (sekundären) Stromverteiler 120' und Source mit der sekundären Spannungsversorgung 116 verbunden. Die Steuerungseinrichtung 122 ist mit Gate der MOSFETs Tp1, Tp2, Tpn, Ts1, Ts2, Tsn, Tqs verbunden.
-
Im Folgenden wird die in 2 dargestellte Schaltung mit dem Schnittstellenmodul 102 mit anderen Worten beschrieben, um die Vorteile noch deutlicher hervorzuheben. Die konventionelle Batterie 110 versorgt über die Transistoren Tp1..Tpn die Fusi-Lastzweige 112, 114. Es können drei Fehlerszenarien unterschieden werden.
-
Bei einem Spannungseinbruch im konventionellen Bordnetzanteil 106 (beispielsweise als Folge eines Kurzschlusses), sensiert die Spannungsmessung U, dass die Spannung beispielsweise kleiner als 11 V ist, werden die sekundären Transitoren Ts1..Tsn durchgeschaltet und die primären Transistoren Tp1..n sperren. Die Versorgung erfolgt dann über eine sekundäre Quelle 116, die Teil des Schnittstellenmoduls 102 sein kann. Als sekundäre Quelle 116 kann beispielsweise eine kompakte 5 Ah 14-V-Quelle dienen, die eine typische pilotiertes-Fahren-Anordnung bis zu 10 min versorgen kann (je nach Leistungsbedarf im "Save-State-On").
-
In einem zweiten Fehlerfall wird ein Kurzschluss bei einer FUSI-Last 112, 114 angenommen. Ist im links dargestellten Versorgungspfad der Last 112 ein Kurzschluss, so brennt die DRX-TBS-Sicherung 238 nach dem primären Transistor Tp1 durch, der Transistor Tp1 kann in diese Richtung nicht sperren. Da die Spannung U am Ausgang einbricht, schaltet auch der sekundäre Transistor Ts1 durch. Das System versucht also den "State-On" zu halten. Für die Absicherungssysteme ist somit die laut ASIL-Level geforderte "Diversity" gegeben. Wenn der als elektronische Sicherung Ts1 ausgeführte Transistor Ts1 mit DRX-EFASic 122 auch einen Kurzschluss erkennt, so wird auch dieser Abschalten. Die FUSI-Last 112 kann dann über den zweiten Pfad versorgt werden.
-
In einem dritten Szenario werden versagende Versorgungsleitungen im FUSI-Bordnetzanteil 108 angenommen. Das Schnittstellenmodul 102 versorgt auch Lasten 114, die nur einen Leistungsanschluss aufweisen. Dafür ist ein Algorithmus zur Leitungsdiagnose implementiert der sich anbahnende Fehler wie degradierende Kontakte frühzeitig erkennt.
-
Bezugszeichenliste
-
- 100
- Bordnetz
- 102
- Schnittstellenmodul
- 104
- Kraftfahrzeug
- 106
- konventionelles Teilbordnetz
- 108
- Sicherheitsbordnetz
- 110
- primäre Spannungsversorgung
- 112
- Last
- 114
- Last
- 116
- sekundäre Spannungsversorgung
- 118
- Überwachungseinrichtung
- 120, 120'
- Stromverteiler
- 122
- Steuerungseinrichtung
- 124
- Überwachungsinformation
- 126
- Schwellwert
- 230
- Stromverteiler
- 232
- Gleichspannungswandler, DC/DC-Wandler
- 234
- Hochvolt-Batterie
- 236
- Ladeeinheit aus Spannungsniveau X
- 238
- Sicherung, Schmelzsicherung
- Tp1, Tp2, Tpn
- primärer Schalter
- Ts1, Ts2, Tsn
- sekundärer Schalter
- Tqs
- Sicherheitstransistor
- DC/DC
- Gleichspannungswandler
- U
- Versorgungsspannung
- µC
- Steuereinrichtung, Mikrocontroller
- EFASic
- Steuerungs-ASIC: Treiber & Ansteuerung für MOSFETs
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- DE 102016106296 [0005]
- DE 102016111690 [0005]
-
Zitierte Nicht-Patentliteratur
-
- IEC 61508/IEC61511 [0012]
