DE102020129130B3

DE102020129130B3 - Verfahren und System zu einem Sicherheitskonzept einer Wechselstrombatterie

Info

Publication number: DE102020129130B3
Application number: DE102020129130.2A
Authority: DE
Inventors: Daniel Simon; Harald Schöffler; Sven Lill; Hermann Helmut Dibos; Eduard Specht; Christian Korte; Jan Kacetl; Tomas Kacetl
Original assignee: Dr Ing HCF Porsche AG
Current assignee: Dr Ing HCF Porsche AG
Priority date: 2020-11-05
Filing date: 2020-11-05
Publication date: 2022-01-27
Anticipated expiration: 2040-11-06
Also published as: GB2602712A; KR102592117B1; US20220140768A1; JP2022075577A; CN114527399A; KR20220061866A; GB2602712B; JP7284237B2; US11777436B2

Abstract

Die Erfindung betrifft ein Verfahren zu einem Sicherheitskonzept einer Wechselstrombatterie, bei welchem die Wechselstrombatterie einen Zentralcontroller, eine Mehrzahl an Batteriemodulen, welche jeweilig eine Leistungsplatine mit einer Mehrzahl an Schaltzuständen aufweisen, eine Mehrzahl an Schützen, eine Mehrzahl an Stromsensoren, eine Fehlerschleife und einen Hochgeschwindigkeitsbus umfasst und mit einer Traktionsmaschine verbunden ist, wobei der Zentralcontroller eine Hardware-programmierbare Prozessoreinheit mit mindestens einem Mikroprozessorkern aufweist, auf welcher ein Steuerprogramm zum Ansteuern der Batteriemodule, der Mehrzahl an Schützen und der Fehlerschleife konfiguriert wird und durch das Steuerprogramm ein Zustandsautomat realisiert wird, wobei ausgehend von dem Zentralcontroller die Batteriemodule über den Hochgeschwindigkeitsbus und die Fehlerschleife konnektiert werden, wobei bei Auftreten eines Abbruchfehlers die Wechselstrombatterie in einen sicheren Zustand versetzt wird, wobei der sichere Zustand mindestens durch eine Notabschaltung des Zentralcontrollers, durch einen Schaltzustand „Bypass“ auf jedem Batteriemodul und einer jeweiligen Sicherungsschaltstellung jeden Schützes erreicht wird. Ferner wird ein System, auf dem das Verfahren ausgeführt wird, vorgestellt.

Description

Die vorliegende Erfindung betrifft ein Verfahren zu einem Sicherheitskonzept einer Wechselstrombatterie, durch welche ein Traktionssystem eines Elektrofahrzeugs versorgt wird. Ferner wird ein System, auf dem das Verfahren ausgeführt wird, vorgestellt.
In Elektrofahrzeugen wird zu einer Energieversorgung des Traktionssystems eine Wechselstrombatterie eingesetzt, wobei durch fortlaufend wechselnde Verschaltung von Gleichspannungsquellen eine oder mehrere Phasen zur Wechselstromversorgung einer Traktionsmaschine erzeugt werden. Beim Auftreten eines Fehlers, bspw. eines Kabelbruchs innerhalb der Wechselstromversorgung, muss das Traktionssystem in einen sicheren Zustand versetzbar sein. Eine solche Aufgabe kann bspw. von einer Steuerung des Traktionssystems, insbesondere einer Steuerung der Wechselstrombatterie, über innerhalb des Traktionssystems zu einer Unterbrechung bzw. Schließung von elektrischen Verbindungen zwischen verschiedenen Komponenten angeordneten Schützen ausgeführt werden.
In der Druckschrift US 2017 / 0 005 371 A1 werden Systeme und Verfahren zum Speichern von Energie zur Nutzung durch ein Elektrofahrzeug beschrieben. Die Systeme umfassen Batteriestränge, welche unabhängig voneinander über einen jeweiligen steuerbaren Schalter mit einer Fahrzeugenergieversorgung verbunden werden können.
Die US-amerikanische Druckschrift US 2018 / 0 134 279 A1 umfasst ein Batteriesteuerungsmodul und eine Steuerung. Das Batteriesteuerungsmodul gibt in regelmäßigen Zeitabständen einen Ladungszustand der Batterie aus, wohingegen die Steuerung bei Ausbleiben einer Benachrichtigung zum Ladungszustand dazu konfiguriert ist, einen Leistungsfluss zwischen der Batterie und einem elektrischen Antriebsstrang auf einen Grenzwert zu beschränken. Der Grenzwert ergibt sich dabei aus einem abgeschätzten Ladungszustand.
Die Druckschrift US 2017 / 0 120 770 A1 offenbart Systeme und Verfahren zur Versorgungsunterbrechung zwischen Batterie und Traktionssystem unter Last. Das System weist mindestens einen Schütz auf, der hierzu geöffnet werden kann.
Während eines Betriebes des Elektrofahrzeuges können verschiedene Betriebszustände des Traktionssystems gewünscht sein, die eine unterschiedliche Verschaltung von Wechselstrombatterie, Traktionsmaschine und einer Anschluss-Peripherie bedingen. Aus einer jeweiligen Hardware-Verschaltung von Komponenten des Traktionssystems, Gefahren- und Risikoanalysen und funktionalen Sicherheitsvorschriften ergeben sich für einen jeweiligen Betriebszustand Anforderungen an die Ansteuerung der Schütze und der Batteriemodule, wofür ein Sicherheitskonzept notwendig ist.
Die Druckschrift EP 3 731 392 A1 beschreibt einen Multilevelumrichter bestehend aus in jeweiligen Modulen angeordneten Kapazitäten, wobei diese Module einen Strang formen. Zur Überbrückung im Fehlerfall wird jedem Modul mindestens ein Schütz zugeordnet, wodurch es auch möglich ist, alle Module zu überbrücken. Weiter umfasst der Multilevelumrichter eine Versorgungsplatine und eine Kontrollerplatine, deren Ausfälle zum Überbrücken der Kapazitätsmodule führen.
Die Druckschrift DE 10 2018 106 162 A1 zeigt eine Wechselstrombatterie für ein Fahrzeug mit der Überbrückung von defekten Modulen. Weiter werden eine übergeordnete Steuerung und eine Modulsteuerung ausgebildet, wobei die zentrale Steuerung die Modulsteuerung ein- und ausschalten kann und wobei die jeweiligen Steuerungen miteinander kommunizieren können.
Die Druckschrift DE 10 2009 053 113 A1 bildet eine Sicherheitsverriegelung mehrerer Lasten u.a. einer Batterie für ein Elektrofahrzeug aus. Ein Kontroller, der Bestandteil des Systems ist, kann dieses aktivieren und deaktivieren. Weiter wird ein Verfahren zur Systemabschaltung im Fehlerfall beschrieben.
Vor diesem Hintergrund ist es eine Aufgabe der vorliegenden Erfindung, ein Verfahren zu einem Sicherheitskonzept für eine Wechselstrombatterie vorzustellen, bei dem bei einer Unterbrechungsanforderung zu einer Leistungsbereitstellung der Wechselstrombatterie für eine Traktionsmaschine die Wechselstrombatterie in einen sicheren Zustand versetzt wird. Ferner soll ein System, auf dem das Verfahren ausgeführt wird, vorgestellt werden.
Zur Lösung der voranstehend genannten Aufgabe wird ein Verfahren zu einem Sicherheitskonzept einer Wechselstrombatterie vorgeschlagen, bei welchem die Wechselstrombatterie mit einer Traktionsmaschine verbunden ist und einen Zentralcontroller, eine Mehrzahl an in mindestens einem Strang angeordneten Batteriemodulen, welche jeweilig eine Leistungsplatine mit einer Mehrzahl an Schaltzuständen aufweisen, eine Mehrzahl an Schützen, eine Mehrzahl an Stromsensoren, eine Fehlerschleife und einen Hochgeschwindigkeitsbus umfasst. Der Zentralcontroller weist eine Hardware-programmierbare Prozessoreinheit mit mindestens einem Mikroprozessorkern auf. Auf dieser Hardware-programmierbaren Prozessoreinheit wird ein Steuerprogramm zum Ansteuern der Batteriemodule, der Mehrzahl an Schützen und der Fehlerschleife konfiguriert. Dabei wird durch das Steuerprogramm ein Zustandsautomat realisiert, wobei ausgehend von dem Zentralcontroller die Batteriemodule über den Hochgeschwindigkeitsbus und die Fehlerschleife konnektiert werden. Bei Erkennen eines Abbruchfehlers wird die Wechselstrombatterie durch den Zentralcontroller in einen sicheren Betriebszustand versetzt, indem jedes Batteriemodul von dem Zentralcontroller über den Hochgeschwindigkeitsbus dazu aufgefordert wird, einen Schaltzustand „Bypass“ einzunehmen, indem von jedem Schütz eine jeweilige Sicherungsschaltstellung eingenommen wird, und indem abschließend eine Abschaltung des Zentralcontrollers durchgeführt wird. Die Aufforderung an jedes Batteriemodul, den Schaltzustand „Bypass“ einzunehmen, und an jeden Schütz, eine jeweilige Sicherungsschaltstellung einzunehmen, kann gleichzeitig erfolgen, weil die Aufforderung an jedes Batteriemodul und ein Einnehmen des Schaltzustandes „Bypass“ bspw. in einem Mikrosekunden-Bereich stattfindet und eine Schützansteuerung bspw. in einem Zeitbereich oberhalb von 10 Millisekunden erfolgt. Danach verharrt der Zustandsautomat in dem sicheren Betriebszustand und ein Verlassen dieses sicheren Betriebszustandes ist nur mittels eines Neustarts möglich. Dadurch wird vorteilhaft funktionalen Sicherheitsvorgaben Rechnung getragen.
Der Abbruchfehler ist ein Ereignis in der Wechselstrombatterie, bei dessen Vorliegen ein sofortiges Übergehen in einen sicheren Zustand der Wechselstrombatterie und ihrer Komponenten erfolgen muss.
Ein Hardware-programmierbarer Prozessor ist vorteilhaft vollständig testbar, so dass falsche Ansteuerungen durch Testreihen im Vorfeld ausgeschlossen werden können. Mit dessen Hilfe weist das erfindungsgemäße Verfahren zu jedem Zeitpunkt die jeweiligen Schützschaltzustände, d. h. offen oder geschlossen, sicher einem jeweiligen Betriebszustand des Traktionssystems zu und erfüllt damit alle durch Gefahren- und Risikoanalysen sowie der funktionalen Sicherheit gestellten Sicherheitsanforderungen an ein gesteuertes Traktionssystem.
Für einen jeweiligen Schütz kann die jeweilige Sicherungsschaltstellung unterschiedlich gegeben sein. So ist im Falle eines sogenannten AKS-Schützes, also einem Schütz für einen aktiven Kurzschluss der Traktionsmaschine, die Sicherungsschaltstellung bei einer geschlossenen Schaltstellung, vom Fachmann auch als „normal closed“ bzw. als „Öffner-Kontakt“ bezeichnet, um Phasen der Traktionsmaschine kurz zu schließen, gegeben. Demgegenüber bedeutet die Sicherungsschaltstellung für einen Schütz zwischen einem Batteriemodulstrang und einem Ladeanschluss eine offene Schaltstellung, um eine elektrische Verbindung zu unterbrechen.
Insbesondere für die Ansteuerung einer Mehrzahl an Schützen, die zeitlich und vom jeweiligen Betriebszustand abhängig koordiniert werden müssen, ist eine programmtechnische Hardware-Umsetzung gemäß dem erfindungsgemäßen Verfahren vorteilhaft, da Anpassungen im Zustandsautomaten an ein programmtechnisch gesteuertes Fahrzeuggesamtsystem und/oder eine programmtechnisch gesteuerte Wechselstrombatterie, etwa einem modularen Multilevelkonverter mit serieller und paralleler Konnektivität, bspw. beschrieben in „Goetz, S.M.; Peterchev, A.V.; Weyh, T., „Modular Multilevel Converter With Series and Parallel Module Connectivity: Topology and Control,“ Power Electronics, IEEE Transactions on, Vol. 30, No.1, S. 203-215, 2015. doi: 10.1109/TPEL.2014.2310225, einfach, unkompliziert und rein programmtechnisch vorgenommen werden können.
Bei dem jeweiligen Batteriemodul bedeutet der Schaltzustand „Bypass“, dass Schalter der jeweiligen Leistungsplatine dergestalt geschaltet sind, dass ein jeweiliges im jeweiligen Batteriemodul angeordnetes Energiespeicherelement bei einer Stromdurchleitung durch jeweilige Batteriemodulanschlüsse umgangen wird. Genauer gibt es bei einer Ausgestaltung eines jeweiligen Batteriemoduls mit zwei Eingangs- und zwei Ausgangsanschlüssen auch zwei Möglichkeiten, den Schaltzustand „Bypass“ einzunehmen, hier als „Bypass+“ und als „Bypass-“ bezeichnet. Bei „Bypass+“ bleibt eine Polarität in einer Zuordnung zwischen den beiden Eingangs- und Ausgangsanschlüssen des jeweiligen Batteriemoduls erhalten, bei „Bypass-“ wird sie getauscht. Der Schaltzustand „Bypass“ bedeutet nun über das bloße Umgehen des jeweiligen Energiespeicherelementes hinaus, dass entweder alle Batteriemodule „Bypass-“ oder „Bypass+“ oder alle Batteriemodule parallel und nur ein der Traktionsmaschine nächstes Batteriemodul (pro Phase bzw. Modulstrang) entweder „Bypass-“ oder „Bypass+“ geschaltet sind.
In einer Ausführungsform des erfindungsgemäßen Verfahrens wird ein Abbruchfehler bei Vorliegen eines Ereignisses aus folgender Liste erhalten: Drahtbruch, Fehlerschleife führt einen Trigger, ein mit Zentralcontroller verbundener CAN-Bus gibt falschen Betriebszustand vor.
Der jeweilige Betriebszustand kann bspw. aus folgender Liste gewählt sein: „Idle“ bzw. Ruhezustand, Motorbetrieb, Gleichspannungsladen, Wechselspannungsladen, Ausgeschaltet. Der Betriebszustand „Idle“ ist ein sicherer Zustand, d. h. der aktive Kurzschluss über Schütze ist bereits vorhanden. Wird durch den CAN-Bus ein falscher Betriebszustand vorgegeben, so wird eine Fehlernachricht an den CAN-Bus gemeldet und ein sogenannter „soft shutdown“, also ein weiches Herunterfahren, eingeleitet. Es ist aber auch möglich, diesen Vorgang als einen normalen Fehler zu behandeln (Spielschutz).
Der bei einem sogenannten „QuickStop“ erreichte sichere Betriebszustand kann nur von einem Betriebszustand „Motor-aus“ eingenommen werden. Als mögliche Transitionsbedingung zwischen diesen Betriebszuständen gibt es bspw. erstens, dass eine Drehmomentenvorgabe von einem Motorsteuergerät ausgefallen ist (CAN-Botschaft wird überwacht), oder bspw. zweitens, dass eine Motorregelung ein angefordertes Drehmoment oder eine angeforderte Drehzahl nicht erreichen kann, z.B. weil das Motorsteuergerät vorgegebene Grenzen ignoriert, wobei dies nur für einen kurzen Zeitrahmen tolerierbar ist und danach umgehend der „QuickStop“ eingeleitet wird. Hierbei entspricht der „QuickStop“ einer Nullmomentenregelung. Ein zusätzlicher Eingriff eines Nutzers in eine Befehlskette im Zustandsautomaten ist nicht erforderlich.
Zu einer Wiederaufnahme eines Fahrbetriebs nach Erreichen des sicheren Betriebszustandes der Wechselstrombatterie muss zunächst die Motorregelung auf einen Nullwert des Drehmomentes, also dem Nullmoment, gestellt werden. Bei diesem Fall ist kein Drehmoment an einer von der Wechselstrombatterie versorgten Traktionsmaschine mehr vorhanden und das Elektrofahrzeug ist zum Stillstand gekommen. Um aus dem „QuickStop“ zurück zum Betriebszustand „Motor“ zu kommen, müssen folgende Bedingungen alle erfüllt sein: Erstens müssen jeweilige Input Parameter der Motorregelung in einem jeweiligen gültigen Bereich liegen, zweitens muss eine CAN-Botschaft vom Motorsteuergerät vorhanden sein, drittens muss die Fahrzeuggeschwindigkeit auf Null gewesen sein, und viertens darf ein sogenannter Fatal Error (IRQ) nicht ausgelöst haben.
Eine wichtige Funktion bei der Ausführung des erfindungsmäßen Verfahrens nimmt dabei im Zentralcontroller ein einen jeweiligen Steuerbefehl über den Hochgeschwindigkeitsbus kommunizierendes Unterprogramm des Steuerprogrammes, ein, im Folgenden als HSB_CMD_TX bezeichnet. HSB_CMD_TX ist bspw. als IP-core programmiert in VHDL und wird auf der Hardware-programmierbaren Prozessoreinheit ausgeführt. So überwacht HSB_CMD_TX die Fehlerschleife auf etwaiges Auftreten eines Triggers, der den Abbruchfehler anzeigt. Der Trigger kann bspw. durch einen Spannungsabfall in der Fehlerschleife angezeigt sein, bspw. durch Unterbrechung (Öffnung eines Schalters) der im fehlerfreien Fall eine Spannung aufweisenden Fehlerschleife, wobei der Schalter durch einen Sensor gesteuert ist. Hierzu stellt HSB_CMD_TX der Hardware-programmierbaren Prozessoreinheit einen Eingang für die Fehlerschleife zur Verfügung. Weiterhin kann HSB_CMD_TX der Hardware-programmierbaren Prozessoreinheit einen Triggersignal-Eingang für weitere Überwachungen und/oder eine Software-Schnittstelle zu dem mindestens einen Mikroprozessorkern als weiteren Trigger-Eingang bereitstellen. Sollte einer der voranstehenden Triggersignal-Eingänge den Abbruchfehler anzeigen, so würde in einer Broadcast-Nachricht des HSB_CMD_TX (an alle Batteriemodule) ein sogenanntes Abbruchfehler-Bit gesetzt werden, so dass alle Batteriemodule gleichzeitig in den Schaltzustand „Bypass“ wechseln. Falls der Abbruchfehler in einem einzelnen Strang von mehreren Strängen (bspw. drei beim Drehstrom) an Batteriemodulen auftreten, so ist dadurch ein Mechanismus aufgezeigt, wie ein Abbruchfehler in dem einzelnen Strang zu einem sicheren Betriebszustand der Wechselstrombatterie in allen Strängen gespiegelt werden kann. Umgekehrt führt auch ein Interrupt am Mikroprozessorkern zu einem gleichen Verhalten wie bei Auftreten eines Abbruchfehlers und die Wechselstrombatterie wird in einen sicheren Betriebszustand überführt, wobei bspw. auch ein auf dem Mikroprozessorkern realisierter Zustandsautomat in einen Fehlerzustand gesteuert und gegen ein Wiedereinschalten gesichert wird, so dass ein Neustart erforderlich ist.
Ein mögliches Szenario für den Zentralcontroller bei Auftreten eines Abbruchfehlers stellt sich wie folgt: An alle Batteriemodule wird die Broadcast-Nachricht „Bypass“ geschickt. Dies bedeutet vorteilhaft, dass durch die Broadcast-Nachricht „Bypass“ an alle Batteriemodule gleichzeitig jeweilige Schaltstellungen übermittelt werden, also dass dadurch alle Batteriemodule bspw. entweder „Bypass-“ oder „Bypass+“ oder alle Batteriemodule parallel und nur ein der Traktionsmaschine nächstes Batteriemodul (pro Phase bzw. Modulstrang) entweder „Bypass-“ oder „Bypass+“ geschaltet werden. Schütze in Verbindungen zwischen den Strängen der Wechselstrombatterie und der Traktionsmaschine werden geöffnet (um die Wechselstrombatterie von der Traktionsmaschine abzukoppeln) und hierzu zeitlich verzögert die AKS-Schütze geschlossen. Im Zustandsautomat wird ein Zustand „MOTOR-FEHLER“ eingenommen, welches einen finalen Zustand nach einem Notfall-Abschaltvorgang darstellt. Dieser Zustand kann nur durch einen Befehl zu einem Herunterfahren verlassen werden, um anschließend durch Nutzereingriff mit einem Power-On-Reset-Befehl einen Neustart zu erzwingen. Der Nutzereingriff ist bspw. ein Shutdown-Signal per CAN.
In einer anderen Ausführungsform des erfindungsgemäßen Verfahrens wird eine intrinsische Sicherheit des Zentralcontrollers realisiert, indem bei folgenden Szenarien, bei denen

• durch ein Eingangssignal ein sofortiges Herunterfahren verlangt wird,
• fälschlicherweise ein Null-Drehmoment gemeldet wird,
• aus einer Überwachung der Fehlerschleife auf einen Abbruchfehler geschlossen wird,
• durch einen Messsensor eines Phasenstrom zu der Traktionsmaschine ein Abbruchfehler ausgegeben wird,
• durch eine Plausibilitätsüberprüfung mindestens zweier Messsensoren, bspw. der Stromsensoren zur Traktionsmaschine, ein Abbruchfehler ausgegeben wird,
• durch einen zusätzlich angeordneten Gleichstromwandler ein Abbruchfehler ausgegeben wird,

• alle Stromsensoren ausfallen,
• alle Stromsensoren bis auf einen Stromsensor ausfallen,
• mindestens eine den Phasenstrom betreffende Sicherung auslöst,
• ein Resolver, welcher einen Drehwinkel eines Rotors in der Traktionsmaschine misst, fehlerhaft ist bzw. sich aus dessen Signal eine falsche Rotorlage ergibt, was wiederum durch eine Plausibilitätsüberwachung feststellbar ist oder festgestellt wird,
• ein jeweiliger Phasenstrom außerhalb eines zulässigen Bereichs ist (bspw. durch Drahtbruch),
• ein Leistungsfluss zur Traktionsmaschine außerhalb eines zulässigen Bereichs ist.

In einer weiteren Ausführungsform des erfindungsgemäßen Verfahrens werden in jedem Batteriemodul ein Stromsensor und eine Modulsteuerung mit einem Mikroprozessor angeordnet. Durch die Modulsteuerung wird bei Erkennen des Abbruchfehlers ein Trigger auf die Fehlerschleife gegeben. Dieser Trigger löst dann die Versetzung der Wechselstrombatterie in den sicheren Zustand aus, wobei die Modulsteuerung des den Trigger auslösenden Batteriemoduls unmittelbar den Schaltzustand „Bypass-“ umsetzt, alle anderen Batteriemodule ihren aktuellen Zustand beibehalten und im nächsten Takt ohne weitere Kommandierung ebenfalls in den Schaltzustand „Bypass-“ wechseln. Der Zentralcontroller, vielmehr der HSB_CMD_TX-IP-core detektiert diesen Fehler und spiegelt ihn auf weitere Phasen bzw. Modulstränge. Im Folgenden sendet der Zentralcontroller in jeder Broadcast-Nachricht den Fehler synchron an alle Module. Die Modulsteuerung kann wiederum eine Hardware-programmierbare Prozessoreinheit aufweisen, auf welche eine Modulsteuersoftware implementiert ist. Auch bei der Modulsteuersoftware kann ein Modulzustandsautomat verwirklicht sein.
Eine wichtige Funktion bei der Ausführung des erfindungsmäßen Verfahrens nimmt dabei in jedem Batteriemodul ein in der Modulsteuerung implementiertes und einen jeweiligen Steuerbefehl über den Hochgeschwindigkeitsbus empfangendes bzw. abarbeitendes Programmteil ein, im Folgenden als HSB_CMD_RX bezeichnet, welches als IP-core in VHDL implementiert und auf einem FPGA ausgeführt wird,. Das HSB_CMD_RX ist mit dem Hochgeschwindigkeitsbus verbunden und kann bspw. eine Broadcast-Nachricht von dem HSB_CMD_TX des Zentralcontrollers erhalten, in der ein sogenanntes Abbruchfehler-Bit gesetzt ist. Dies würde dann im jeweiligen Batteriemodul das HSB_CMD_RX an die Modulsteuerung mitteilen, welche daraufhin das jeweilige Batteriemodul in einen gesicherten Schaltzustand, bspw. „Bypass-“, überführt.
Ein mögliches Szenario für ein jeweiliges Batteriemodul in einen gesicherten Schaltzustand zu wechseln, ergibt sich wie folgt für zwei mögliche Ausgangszustände: In einem ersten Ausgangszustand ist die jeweilige Modulsteuerung entweder nicht unter Strom, oder sie ist gerade mit einem Neustart beschäftigt oder sie ist nicht komplett hochgefahren. Dabei ist das jeweilige Batteriemodul intrinsisch in einem Zustand „PASSIV“, d. h. alle Schalter des Batteriemoduls sind in einem nichtleitendem Zustand. Benachbarte Batteriemodule sind entkoppelt und in dem jeweiligen Modulstrang fließt kein Strom zur Traktionsmaschine. Ein solcher Zustand ist nur sicher bei einem Stillstand der Traktionsmaschine, so dass keine Induktionsspannung möglich ist. In einem zweiten Ausgangszustand ist die jeweilige Modulsteuerung (hier „CB“ als Kurzbezeichnung für Control-Board) komplett hochgefahren und wird durch die Modulsteuersoftware gesteuert. Der durch die Modulsteuersoftware realisierte Modulzustandsautomat kann nun folgende Zustandsübergänge aufweisen:

• aus dem Zustand „CB_INIT“, welcher nach dem Zustand „POR“ (abgekürzt für „Power-On-Reset“) eingenommen wurde, wird in den Zustand „Bypass-“ gewechselt.
• aus dem Zustand „CB_ERROR“, welcher ein Auftreten eines Abbruchfehlers bedeutet, wird in den Zustand „Bypass-“ gewechselt.
• aus dem Zustand „CP_RUN“ wird je nach Inhalt einer zu empfangenden Broadcastnachricht agiert, jedenfalls solange die Fehlerschleife keinen Trigger führt (hier auch als „Fehlerschleife ist oben“ bezeichnet).
• aus dem Zustand „CB_SHUTDOWN“, welcher nach einem Shutdown-Befehl des Zentralcontrollers eingenommen wurde, wird in den Zustand „BYPASS-“ gewechselt. Daraus wird final in den Zustand „PASSIV“ gewechselt und heruntergefahren.

Damit wird schließlich aus allen möglichen Zuständen des Modulzustandsautomaten der Zustand „BYPASS-“ erreicht.
In einer noch weiteren Ausführungsform des erfindungsgemäßen Verfahrens weist die Wechselstrombatterie mindestens eine Peripherieeinheit aus folgender Liste auf: Niedervoltgleichspannungswandler, Stromsensor zu einem jeweiligen Phasenstrom der Traktionsmaschine, Ladestecker. Die mindestens eine Peripherieeinheit wird mit der Fehlerschleife verbunden. Durch die mindestens eine Peripherieeinheit wird bei Erkennen des Abbruchfehlers ein Trigger auf die Fehlerschleife gegeben. Der Trigger kann auch dadurch gebildet sein, dass im fehlerfreien Fall die Fehlerschleife ein Spannungssignal einer gewissen Spannungshöhe führt und bei Auftreten eines Fehlers die Fehlerschleife bspw. von demjenigen Batteriemodul, in dem der Fehler auftritt, unterbrochen wird, so dass am Zentralcontroller das Spannungssignal der Fehlerschleife auf 0 V fällt. Ein Isolationswächter ist eine weitere Peripherieeinheit, welch zwar nicht zu einem Abbruchfehler führt, jedoch ein (Wieder-)Einschalten verhindern kann.
In einer fortgesetzt weiteren Ausführungsform des erfindungsgemäßen Verfahrens wird als die Hardware-programmierbare Prozessoreinheit ein FPGA gewählt und der Zustandsautomat wird durch das Steuerprogramm auf dem mindestens einen Mikroprozessorkern realisiert. Das FPGA steht als Abkürzung für ein „Field Programmable Gate Array“, zu Deutsch „betriebsbezogen programmierbare Gatter-Anordnung“. Auf einem FPGA ist bspw. zu einem Start des die erfindungsgemäße Schützansteuerung aufweisenden Elektrofahrzeuges eine jeweilige Prozessor-Programmierung konfigurierbar, welche als Hardware-Umsetzung gilt und entsprechend sicher ausführbar ist. Zu Betriebsbeginn wird das Steuerprogramm durch einen Programmlader auf der Hardware-programmierbaren Prozessoreinheit konfiguriert. Der die Hardware-programmierbare Prozessoreinheit jeweilig neu beim Betriebsstart mit dem Steuerprogramm versorgende Programmlader kann bspw. ein First Stage Boot Loader, abgekürzt als FSBL und deutsch „Erststufen-Startprogramm-Lader“ sein.
In einer fortgesetzt noch weiteren Ausführungsform des erfindungsgemäßen Verfahrens wird eine intrinsische Sicherheit des jeweiligen Batteriemoduls bzw. seiner Modulsteuerung realisiert durch folgende Szenarien, bei denen ein Eingangssignal zur (jeweiligen) Modulsteuerung einen Abbruchfehler anzeigt, da

• ein Stromsensor eine Fehlermeldung über ein RS485-Interface aussendet
• ein Stromsensor eine unterbrochene Verbindung feststellt
• Spannungswerte außerhalb eines festgelegen Bereichs festgestellt werden
• ein Temperatursensor eine Überschreitung eines vorgegebenen Temperaturbereichs feststellt (bspw. oberhalb von 86 °C)
• das HSB_CMD_RX (IP-core) eine Funktionszeitdauer überschreitet („Timeout“ eines regelmäßig gesendeten Signals)
• ein Wächter bzw. dessen Messsensor einen kurzzeitigen Spannungseinbruch feststellt (Watchdog brownout-detection).

Ferner wird ein System zu einem Sicherheitskonzept einer Wechselstrombatterie beansprucht, bei welchem die Wechselstrombatterie einen Zentralcontroller, eine Mehrzahl an Batteriemodulen, welche jeweilig eine Leistungsplatine mit einer Mehrzahl an Schaltzuständen aufweisen, eine Mehrzahl an Schützen, eine Mehrzahl an Stromsensoren, eine Fehlerschleife und einen Hochgeschwindigkeitsbus umfasst und mit einer Traktionsmaschine verbunden ist. Der Zentralcontroller weist eine Hardware-programmierbare Prozessoreinheit mit mindestens einem Mikroprozessorkern auf. Auf der Hardware-programmierbaren Prozessoreinheit ist ein Steuerprogramm zum Ansteuern der Batteriemodule, der Mehrzahl an Schützen und der Fehlerschleife konfiguriert, wobei durch das Steuerprogramm ein Zustandsautomat realisiert ist. Ausgehend von dem Zentralcontroller sind die Batteriemodule über den Hochgeschwindigkeitsbus und die Fehlerschleife konnektiert. Dabei ist der Zentralcontroller dazu konfiguriert, bei Erkennen eines Abbruchfehlers die Wechselstrombatterie in einen sicheren Betriebszustand zu versetzen. Dies beinhaltet, über den Hochgeschwindigkeitsbus jedes Batteriemodul dazu aufzufordern, einen Schaltzustand „Bypass“ einzunehmen, bei jedem Schütz eine jeweilige Sicherungsschaltstellung anzuweisen, und abschließend eine Abschaltung des Zentralcontrollers durchzuführen.
In einer Ausgestaltung des erfindungsgemäßen Systems liegt ein Abbruchfehler bei einem Ereignis aus folgender Liste vor: Drahtbruch, Fehlerschleife führt einen Trigger, ein mit Zentralcontroller verbundener CAN-Bus gibt einen falschen Betriebszustand vor.
In einer anderen Ausgestaltung des erfindungsgemäßen Systems umfasst der Zentralcontroller eine Fehlerschleife und jedes Modul eine weitere Fehlerschleife, wobei alle Module auf einer Phase mit der korrespondierenden Phase des Zentralcontrollers verbunden sind. Darüber hinaus sind die drei Phasen im Zentralcontroller über den HSB_CMD_RX (IP-core) verbunden und bilden somit zusammen eine Fehlerschleife über das Gesamtsystem
In einer weiteren Ausgestaltung des erfindungsgemäßen Systems sind in jedem Batteriemodul ein Stromsensor und eine Modulsteuerung mit einem Mikroprozessor angeordnet. Dabei ist die Modulsteuerung dazu konfiguriert, bei Erkennen des Abbruchfehlers den Trigger auf die Fehlerschleife zu geben.
In einer noch weiteren Ausgestaltung des erfindungsgemäßen Systems weist die Wechselstrombatterie mindestens eine mit der Fehlerschleife verbundene Peripherieeinheit aus folgender Liste auf: Niedervoltgleichspannungswandler, Stromsensor zu einem jeweiligen Phasenstrom der Traktionsmaschine. Dabei ist die mindestens eine Peripherieeinheit mit der Fehlerschleife verbunden. Zusätzlich ist die mindestens eine Peripherieeinheit dazu konfiguriert, bei Erkennen eines Abbruchfehlers den Trigger auf die Fehlerschleife zu geben.
In einer fortgesetzt weiteren Ausgestaltung des erfindungsgemäßen Systems ist die Hardware-programmierbare Prozessoreinheit ein FPGA und der Zustandsautomat ist durch das Steuerprogramm auf dem mindestens einen Mikroprozessorkern realisiert.
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und der beiliegenden Zeichnung.
Es versteht sich, dass die voranstehend genannten und die nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.

1 zeigt ein Blockschaltbild eines Zentralcontrollers zu einer Behandlung eines Abbruchfehlers in einer Ausgestaltung des erfindungsgemäßen Systems.
2 zeigt ein Blockschaltbild einer Modulsteuerung zu einer Behandlung eines Abbruchfehlers in einer weiteren Ausgestaltung des erfindungsgemäßen Systems.

In 1 wird ein Blockschaltbild eines Zentralcontrollers 100 zu einer Behandlung eines Abbruchfehlers in einer Ausgestaltung des erfindungsgemäßen Systems gezeigt, wobei Abläufe 101, 102 auf dem Zentralcontroller, bezeichnet durch einen Pfeil mit Bezugszeichen 103, und Signalübermittlungen 134, 143 an eine Steuerplatine, bezeichnet durch einen Pfeil mit Bezugszeichen 104, stattfinden. Die Abläufe 101 auf mindestens einem dedizierten Mikroprozessor des Zentralcontrollers 100 werden durch Überwachungseinrichtungen wie einem On-Chip Temperatur-Monitoring 110, eine Stromsensorenüberprüfung 111, einer ErrorLine Leiterunterbrechungsdetektion 112, und einer HSB_Data Timeout Überwachung 113, also einer Überwachung einer Zeitüberschreitung einer Signalübermittlung in einem Hochgeschwindigkeitsbus zur Datenübermittlung, gebildet, und melden einen Abbruchfehler an einen Traktionssystem-Zustandsautomaten 114. Dem Traktionssystem-Zustandsautomaten 114 kann auch einen Fatal Error IRQ 115, der von einem HSB_CMD-Block 127 ausgelöst wurde, gemeldet werden. Seinerseits meldet der Traktionssystem-Zustandsautomat 114 wiederum einen Abbruchfehler dem HSB_CMD-Block 127. Die Abläufe auf einer Hardware-programmierbaren Prozessoreinheit 102, hier einem FPGA, finden durch Blöcke mit Analog-Digital-Wandler wie Sync. ADC 120 und „ADC_RAW innerhalb vorgegebenen Bereichs“ 121 statt, sie finden weiter in Blöcken wie einem Skalierer 122, Resolver/Dekodierer 123, Permanent Magnet Synchronous Motor-Steuerung 124, einem Delta-Sigma-Modulator 125, und einem Scheduler statt, welche einen Abbruchfehler dem HSB_CMD-Block 127 melden. Eine solche Abbruchfehlermeldung erhält der HSB_CMD-Block 127 auch direkt aus dem „ADC_RAW-Signal liegt innerhalb vorgegebenem Bereich“-Block 121, dem Zero-Sequenz-Strom/Resolver 128 und dem Saturation/Power Limit-Block 129. Der HSB_CMD-Block 127 sendet Befehle als HSB_CMD 134 an eine Steuerplatine, mit der bspw. alle Batteriemodule verbunden sind, und überwacht eine Fehlerschleife 143, welche mit der Steuerplatine verbunden ist.
In 2 wird ein Blockschaltbild einer Modulsteuerung 200 zu einer Behandlung eines Abbruchfehlers in einer weiteren Ausgestaltung des erfindungsgemäßen Systems gezeigt, wobei Abläufe 201, 202 auf der Modulsteuerung, bezeichnet durch einen Pfeil mit Bezugszeichen 203, und Signalübermittlungen 234, 243 an die Steuerplatine bzw. an elektrische Verbindungen mit dieser Steuerplatine, bezeichnet durch einen Pfeil mit Bezugszeichen 204, stattfinden. Die Abläufe 201 auf mindestens einem dedizierten Mikroprozessor der Modulsteuerung 200 werden durch Überwachungseinrichtungen wie einem On-Chip Temperatur-Monitoring 210, einer Stromsensor Leiterunterbrechungsdetektion 211, und einem „Stromsensor Schwellwert erreicht Signal“-Block 212 gebildet, und melden einen Abbruchfehler an einen Modulzustandsautomaten 213. Seinerseits meldet der Modulzustandsautomat 213 wiederum einen Abbruchfehler dem Batteriemodul-seitigen HSB_CMD-Block 221. In einem Ablauf auf einer Hardware-programmierbaren Prozessoreinheit 202 der Modulsteuerung 200, auch hier bspw. ein FPGA, wird durch ein Modul „Unterspannung/Überspannung Detektion“ ein Abbruchfehler dem Batteriemodul-seitigen HSB_CMD-Block 221 gemeldet. Der Batteriemodul-seitige HSB_CMD-Block 221 empfängt Befehle als HSB_CMD 234 und ist mit einer Fehlerschleife 243 verbunden.
Bezugszeichenliste

100: Zentraler Kontroller
101: Abläufe auf Mikroprozessor des Zentralcontroller
102: Abläufe auf FPGA Zentralcontroller
103: Abläufe auf Zentralem Kontroller
104: von dem Zentralcontroller zur Steuerplatine
110: On-Chip Temperatur-Monitoring
111: Stromsensorenüberprüfung
112: ErrorLine Leiterunterbrechungsdetektion
113: HSB_Data Timeout Überwachung
114: Traktionssystem-Zustandsautomat
115: Fatal Error IRQ
120: Sync. ADC
121: ADC_RAW in range
122: Skalierer
123: Resolver/Dekodierer
124: Permanent Magnet Synchronous Motor-Steuerung
125: Delta-Sigma-Modulator
126: Scheduler
127: HSB_CMD-Block
128: Zero-Sequenz-Strom/Resolver
129: Saturation/Power Limit
134: HSB_CMD an Steuerplatine
143: Fehlerschleife von Steuerplatine
200: Modulsteuerung
201: Abläufe auf Mikroprozessor der Modulsteuerung
202: Abläufe auf FPGA Modulsteuerung
203: Abläufe auf Modulsteuerung
204: von der Modulsteuerung zur Steuerplatine
210: On-Chip Temperatur-Monitoring
211: Stromsensor Leiterunterbrechungsdetektion
212: Stromsensor Schwellwert erreicht Signal
213: Modulzustandsautomat
220: Modul Unterspannung/Überspannung Detektion
221: HSB_CMD
234: HSB_CMD von Steuerplatine
243: Error Line an Steuerplatine

Claims

Verfahren zu einem Sicherheitskonzept einer Wechselstrombatterie, bei welchem die Wechselstrombatterie einen Zentralcontroller (100), eine Mehrzahl an in mindestens einem Strang angeordneten Batteriemodulen, welche jeweilig eine Leistungsplatine mit einer Mehrzahl an Schaltzuständen aufweisen, eine Mehrzahl an Schützen, eine Mehrzahl an Stromsensoren, eine Fehlerschleife (143, 243) und einen Hochgeschwindigkeitsbus umfasst und mit einer Traktionsmaschine verbunden ist, wobei der Zentralcontroller (100) eine Hardware-programmierbare Prozessoreinheit (102) mit mindestens einem Mikroprozessorkern (101) aufweist, auf welcher ein Steuerprogramm zum Ansteuern der Batteriemodule, der Mehrzahl an Schützen und der Fehlerschleife (143, 243) konfiguriert wird, wobei durch das Steuerprogramm ein Zustandsautomat realisiert wird, wobei ausgehend von dem Zentralcontroller (100) die Batteriemodule über den Hochgeschwindigkeitsbus (134, 234) und die Fehlerschleife (143, 243) konnektiert werden, wobei bei Erkennen eines Abbruchfehlers die Wechselstrombatterie durch den Zentralcontroller (100) in einen sicheren Betriebszustand versetzt wird, indem jedes Batteriemodul von dem Zentralcontroller (100) über den Hochgeschwindigkeitsbus (134, 234) dazu aufgefordert wird, einen Schaltzustand „Bypass“ einzunehmen, indem von jedem Schütz eine jeweilige Sicherungsschaltstellung eingenommen wird, und indem schließlich eine Abschaltung des Zentralcontrollers (100) durchgeführt wird.
Verfahren nach Anspruch 1, bei dem der Abbruchfehler bei Vorliegen eines Ereignisses aus folgender Liste erhalten wird: Drahtbruch, Fehlerschleife (143, 243) führt einen Trigger, ein mit dem Zentralcontroller (100) verbundener CAN-Bus gibt einen falschen Betriebszustand vor.
Verfahren nach einem der voranstehenden Ansprüche, bei dem in jedem Batteriemodul ein Stromsensor und eine Modulsteuerung (200) mit einem Mikroprozessor (201) angeordnet werden, und wobei durch die Modulsteuerung (200) bei Erkennen des Abbruchfehlers der Trigger auf die Fehlerschleife (143, 243) gegeben wird.
Verfahren nach einem der voranstehenden Ansprüche, bei dem die Wechselstrombatterie mindestens eine Peripherieeinheit aus folgender Liste aufweist, wobei die mindestens eine Peripherieeinheit mit der Fehlerschleife (143, 243) verbunden wird und durch die mindestens eine Peripherieeinheit bei Erkennen des Abbruchfehlers der Trigger auf die Fehlerschleife (143, 243) gegeben wird: Niedervoltgleichspannungswandler, Stromsensor zu einem jeweiligen Phasenstrom der Traktionsmaschine, Ladestecker.
Verfahren nach einem der voranstehenden Ansprüche, bei dem als die Hardware-programmierbare Prozessoreinheit ein FPGA (102) gewählt wird und der Zustandsautomat durch das Steuerprogramm auf dem mindestens einen Mikroprozessorkern (101) realisiert wird.
System zu einem Sicherheitskonzept einer Wechselstrombatterie, bei welchem die Wechselstrom batterie einen Zentralcontroller (100), eine Mehrzahl an in mindestens einem Strang angeordneten Batteriemodulen, welche jeweilig eine Leistungsplatine mit einer Mehrzahl an Schaltzuständen aufweisen, eine Mehrzahl an Schützen, eine Mehrzahl an Stromsensoren, eine Fehlerschleife (143, 243) und einen Hochgeschwindigkeitsbus umfasst und mit einer Traktionsmaschine verbunden ist, wobei der Zentralcontroller (100) eine Hardware-programmierbare Prozessoreinheit (102) mit mindestens einem Mikroprozessorkern (101) aufweist, auf welcher ein Steuerprogramm zum Ansteuern der Batteriemodule, der Mehrzahl an Schützen und der Fehlerschleife (143, 243) konfiguriert ist und durch das Steuerprogramm ein Zustandsautomat realisiert ist, wobei ausgehend von dem Zentralcontroller (100) die Batteriemodule über den Hochgeschwindigkeitsbus (134, 234) und die Fehlerschleife (143, 243) konnektiert sind, wobei der Zentralcontroller (100) dazu konfiguriert ist, bei Erkennen eines Abbruchfehlers die Wechselstrombatterie in einen sicheren Betriebszustand zu versetzen, was beinhaltet, über den Hochgeschwindigkeitsbus (134, 234) jedes Batteriemodul dazu aufzufordern, einen Schaltzustand „Bypass“ einzunehmen, bei jedem Schütz eine jeweilige Sicherungsschaltstellung anzuweisen, und schließlich eine Abschaltung des Zentralcontrollers (100) durchzuführen.
System nach Anspruch 6, bei dem der Abbruchfehler bei einem Ereignis aus folgender Liste vorliegt: Drahtbruch, Fehlerschleife (143, 243) führt einen Trigger, ein mit Zentralcontroller (100) verbundener CAN-Bus gibt einen falschen Betriebszustand vor.
System nach einem der Ansprüche 6 oder 7, bei dem in jedem Batteriemodul ein Stromsensor und eine Modulsteuerung (200) mit einem Mikroprozessor (201) angeordnet sind, und wobei die Modulsteuerung (200) dazu konfiguriert ist, bei Erkennen des Abbruchfehlers den Trigger auf die Fehlerschleife (143, 243) zu geben.
System nach einem der Ansprüche 6 bis 8, bei dem die Wechselstrombatterie mindestens eine mit der Fehlerschleife verbundene Peripherieeinheit aus folgender Liste aufweist, wobei die mindestens eine Peripherieeinheit mit der Fehlerschleife (143, 243) verbunden ist und die mindestens eine Peripherieeinheit dazu konfiguriert ist, bei Erkennen eines Abbruchfehlers den Trigger auf die Fehlerschleife (143, 243) zu geben: Niedervoltgleichspannungswandler, Stromsensor zu einem jeweiligen Phasenstrom der Traktionsmaschine.
System nach einem der Ansprüche 6 bis 9, bei dem die Hardware-programmierbare Prozessoreinheit ein FPGA (102) ist und der Zustandsautomat durch das Steuerprogramm auf dem mindestens einen Mikroprozessorkern (101) realisiert ist.