-
Die vorliegende Erfindung betrifft ein Verfahren zur Vorbereitung einer Betankung. Die vorliegende Erfindung betrifft darüber hinaus eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium.
-
Stand der Technik
-
US2013139897A1 stellt ein System und ein Verfahren zum sicheren Befüllen von Wasserstoff unter Verwendung von Echtzeit-Wasserstofftank-Ausdehnungsdaten bereit. Das System umfasst eine Ausdehnungs-Messeinheit, eine fahrzeugseitige Steuereinheit, eine tankstellenseitige Steuereinheit und eine drahtlose Kommunikationseinheit. Die Ausdehnungs-Messeinheit ist auf einem Wasserstofftank des Fahrzeugs angeordnet und misst den Grad der Ausdehnung des Wasserstofftanks und erzeugt ein entsprechendes Ausgangssignal. Die fahrzeugseitige Steuereinheit wandelt das Ausgangssignal in ein drahtloses Ausgangssignal um. Die tankstellenseitige Steuereinheit stoppt das Wasserstoffnachfüllen durch eine Wasserstoff-Füllvorrichtung, wenn das drahtlose Ausgangssignal einen unsicheren Grad der Tankausdehnung anzeigt. Die drahtlose Kommunikationseinheit ist vorgesehen, um eine drahtlose Datenkommunikation zwischen der fahrzeugseitigen Steuereinheit und der tankstellenseitigen Steuereinheit durchzuführen.
-
US2020276909A1 ,
US10800281B2 und
US2020346554A1 beschreiben weitere Kommunikationssysteme und Verfahren zur Wasserstoffbetankung und Aufladung von Elektrofahrzeugen.
-
US2018213376A1 offenbart ein Verfahren zur Konfiguration sogenannter V2X - Kommunikation.
-
DE102007041621A1 betrifft ein Verfahren zur Stabilisierung des Datenaustauschs über eine Datenfunkverbindung zwischen Feldbusgeräten, wobei Daten von zumindest einem ersten Feldbusgerät über eine erste Kabelverbindung auf ein erstes Datenfunkmodem übertragen werden, über die Datenfunkverbindung auf zumindest ein zweites Datenfunkmodem übertragen und anschließend über eine zweite Kabelverbindung zumindest einem zweiten Feldbusgerät zugeführt werden. Dabei ist vorgesehen, dass im Falle einer Unterbrechung des Datenaustauschs die Datenfunkverbindung über eine Soft- oder Hardwarefunktion offengehalten wird. Die Veröffentlichung betrifft weiterhin eine entsprechende Vorrichtung. Verfahren und Vorrichtung verringern die Unterbrechungsdauer der Datenverbindung auf Grund von kurzseitiger Unterbrechung des Datenaustauschs wie beispielhafte Funkstörungen und erhöhen so die Verfügbarkeit von angeschlossenen Anlagen und Maschinen.
-
Offenbarung der Erfindung
-
Die Erfindung stellt ein Verfahren zur Vorbereitung einer Betankung, eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes maschinenlesbares Speichermedium gemäß den unabhängigen Ansprüchen bereit.
-
Der erfindungsgemäße Ansatz fußt auf der Erkenntnis, dass das beschleunigte Tanken z. B. von Wasserstoffgas die Thermodynamik des Betankungsvorgangs berücksichtigen und damit den Vorgang geschlossen regeln sollte. Dabei dürfen aus Gründen der (funktionalen und allgemeinen) Sicherheit die für den Tankbehälter festgelegten Werte für Maximaltemperatur und Maximaldruck zu keiner Zeit überschritten werden.
-
Bekannte Verfahren zur Übertragung von Daten vom Fahrzeug zur Tanksäule weisen in dieser Hinsicht verschiedene Nachteile auf. So wird eine herkömmliche unidirektionale Infrarotverbindung des Fahrzeuges zur Tanksäule durch Kratzer auf der Sende- oder Empfangs-Optik sowie durch Eisbildung um den Tankrüssel oder -stutzen stark beeinträchtigt und ist deshalb in der Praxis von Ausfällen betroffen, was ein beschleunigtes Betanken vereitelt. Eine solche unidirektionale Verbindung sieht zudem keinen Rückkanal von der Tanksäule zum Fahrzeug vor, sodass kein Abruf der unterstützten Tankverfahren und somit keine Einigung auf ein für die vorliegende Kombination von Fahrzeug und Tanksäule optimales Verfahren stattfinden kann.
-
Die vorgeschlagene Methode trägt ferner dem Umstand Rechnung, dass metallische Kontakte, wie sie für eine drahtgebundene Kommunikation unerlässlich sind, im Rahmen einer Wasserstoffbetankung insbesondere in der Nähe der Tankkupplung zu vermeiden sind, weil hier ein etwaiger Funkenschlag das Wasserstoffgas explosiv entzünden könnte. Zum Schutz der Tankstelle vor Explosionen ist die drahtlose (funkbasierte) Kommunikation somit der drahtgebundenen vorzuziehen.
-
Die Anwendung von Funk birgt aufgrund der ungehinderten Ausbreitung der Funkwellen jedoch besondere Herausforderungen, die erfindungsgemäß bewältigt werden. So bedarf es eines auslösenden Ereignisses zur Aktivierung des Gesamtvorgangs. Ferner muss die Funkverbindung so zuverlässig Daten übertragen, dass die funktionale und allgemeine Sicherheit der Betankung garantiert werden kann. Insbesondere sollten Dritte, die sich in Funkreichweite von Fahrzeug oder Tanksäule befinden, den Ablauf weder - etwa durch Störsendung (jamming) oder Überlastungsangriffe (denial of service, DoS) - beeinträchtigen noch manipulieren können. Schließlich ist zu bedenken, dass sämtliche Fahrzeuge und Tanksäulen innerhalb der Funkreichweite, die in der Regel eine gesamte Tankstelle erfasst, gegenseitige Funksignale empfangen. Die im Rahmen einer einzelnen Betankung interagierenden Teilnehmer, also Fahrzeug und Tanksäule, müssen einander deshalb selbstständig finden und identifizieren.
-
Zusammenfassend muss die Funkverbindung folglich vor der Betankung informations- und funktionssicher sein. Dies wird dadurch erschwert, dass bei einer Funkdatenübertragung viele Pakete (typischerweise 10 %) verloren gehen. Nach dem Verlust mehrerer Pakete ist oftmals ein Verbindungsneuaufbau notwendig, welcher typischerweise eine längere Zeit benötigt, als die erforderliche funktionale Sicherheit zulässt. Dieser erneute Verbindungsaufbau ist durch die verwendete Funktechnologie bedingt und aus Kompatibilitätsgründen auf Anwendungsebene nicht beeinflussbar. Deshalb sollte das System in einen sicheren Zustand übergehen, wenn ein neuer Verbindungsaufbau notwendig ist. Dies wiederum führt zu einem - aus Anwendersicht inakzeptablen - Abbruch oder einer deutlichen Verlangsamung des Betankungsvorgangs, obgleich die funktionale Sicherheit durch den Verlust einiger Pakete nicht zwingend beeinträchtigt wäre.
-
Die Aufgabe der Erfindung besteht vor diesem Hintergrund darin, im Falle von Paketverlusten einen erneuten Aufbau der Verbindung zu verhindern, indem letztere im Rahmen der funktionalen Sicherheitsanforderungen aufrechterhalten und damit ein Betankungsabbruch verhindert wird.
-
Diese Aufgabe wird erfindungsgemäß dadurch gelöst, dass pro Regelzyklus mehrere, vorzugsweise unterschiedliche Pakete über die Funkverbindung gesendet werden oder der Empfänger im Falle von Paketverlusten innerhalb einer funktional sicheren Toleranzzeit das letzte korrekte empfangene Paket reproduziert.
-
Ein Vorzug des vorgeschlagenen Ansatzes liegt hierbei in seiner Unabhängigkeit von der verwendeten Funktechnologie, Tankstellen-Infrastruktur und Hardware. Es kann insbesondere für die Betankung beliebiger (gasförmiger oder flüssiger) Kraftstoffe sowie das Laden von Elektrofahrzeugen verwendet werden, ohne dass der Betankungs- bzw. Ladevorgang durch einen erneuten Verbindungsaufbau unnötigerweise abgebrochen oder verlangsamt wird. Auf diese Weise lässt sich der Vorgang schneller und somit kostengünstiger durchführen, die Auslastung der Tankstelle erhöhen sowie die Wartezeit der Fahrer verkürzen.
-
Die Verwendung eines erfindungsgemäßen Verfahrens birgt ferner den Kostenvorteil, dass keine zusätzlichen Hardware-Komponenten benötigt werden. Es kann vielmehr mit an sich bekannten Sendern und Empfängern umgesetzt werden, welche in großer Vielfalt am Markt verfügbar und in Tankstellen sowie - insbesondere teilautomatisierten - Fahrzeugen in der Regel bereits vorgesehen sind und im Rahmen eines erfindungsgemäßen Verfahrens ohne nennenswerten konstruktiven Mehraufwand wiederverwendet werden können.
-
Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen des im unabhängigen Anspruch angegebenen Grundgedankens möglich.
-
Figurenliste
-
Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt:
- 1 die Vorbereitung und Initialisierungsphase einer Betankung.
- 2 den Signalfluss der am Verfahren beteiligten Komponenten.
-
Ausführungsformen der Erfindung
-
Exemplarisch wird ein Betankungsszenario an einer Tankstelle betrachtet, an der beispielsweise ein Brennstoffzellenfahrzeug mit gasförmigem Wasserstoff betankt werden soll. Das Verfahren ist jedoch auf alle Arten von Kraftstoffen (gasförmig, flüssig, kryogen etc.) sowie auf das Laden von Elektrofahrzeugen anwendbar. Außerdem ist es unerheblich, ob die Betankung manuell oder automatisch erfolgt bzw. abgerechnet wird oder ein konventionelles, (teil-)automatisiertes oder autonomes Fahrzeug betrifft. In Betracht kommt ferner, dass ein herkömmliches, teilautomatisiertes oder autonomes Betankungsfahrzeug zum zu betankenden Fahrzeug fährt und dieses betankt. Schließlich kann das Verfahren mit beliebigen anderen Verfahren der IT-Sicherheit oder der funktionalen Sicherheit kombiniert werden.
-
Erfindungsgemäß werden vor, während oder nach dem Betankungsvorgang über eine Funktechnologie Daten übertragen, beispielsweise die Werte für Druck und Temperatur im Tankbehälter. Denkbar ist, dass zumindest ein Teil dieser Datenübertragung erhöhte Anforderungen an IT-Sicherheit und funktionale Sicherheit erfüllen muss.
-
1 zeigt die erfindungsgemäße Vorbereitung (10) zum Betrieb einer solchen Funkverbindung. Während und nach dem Aufbau einer funktional sicheren Verbindung (18) kann das erfindungsgemäße Verfahren für die Funkkommunikation eingesetzt werden.
-
Die Datenübertragung stellt dabei einen Teil einer Regelung dar, bei der periodisch mit einer vorgegebenen Zykluszeit Sensordaten ausgelesen und an die Tanksäule übertragen werden, welche auf der Grundlage der empfangenen Daten nach einem Regelalgorithmus Aktoren ansteuert.
-
Eine typische Zykluszeit für die Wasserstoffbetankung anhand eines thermodynamischen Modells und entsprechenden Protokolls beträgt 100 ms, wobei das Regelverhalten so träge ist, dass Paketverluste ohne Einbuße der funktionalen Sicherheit (FuSi) typischerweise über eine Dauer von bis zu 1 s (nachfolgend: „FuSi-Toleranzzeit“) geduldet werden können, bevor die Betankungsrate stark gedrosselt bzw. das Tanksystem in einen sicheren Zustand versetzt werden muss.
-
Jedoch wird bei herkömmlichen Systemen bereits nach einer deutlich kürzeren Zeitspanne ein - mitunter zeitaufwändiger - Verbindungsaufbau eingeleitet, wenn eine bestimmte Anzahl oder ein gewisser Anteil der Pakete den Empfänger nicht erreicht. Wann genau ein erneuter Verbindungsaufbau initiiert wird und wie lange dies dauert, hängt u. a. von der Funktechnologie und Belegung des Funkkanals im Hinblick auf gleichartige Sender und Störsignale ab. Diese Umstände können weder vom Endanwender noch durch die Anwendungssoftware hinreichend beeinflusst werden. Die Verzögerung durch einen erneuten Verbindungsaufbau bewirkt, dass das System in einen sicheren Zustand übergeht, weil bis zur vollständigen Wiederherstellung der Verbindung in der Regel auch die FuSi-Toleranzzeit deutlich überschritten ist. Durch den Einsatz eines erfindungsgemäßen Kommunikationssystems lässt sich dies verhindern, indem die Datenverbindung - innerhalb der durch die FuSi-Toleranzzeit vorgegebenen Grenzen - aufrechterhalten wird, bis ein neues Paket empfangen und die Regelung fortgesetzt werden kann.
-
Die relevanten Komponenten eines solchen Kommunikationssystems (30) sind dem Signalflussdiagramm der 2 zu entnehmen. Von einer Quelle (Sensoren) werden mit jedem Mess- oder Regelzyklus periodisch Daten an ein Funktionssicherheitsmodul (32) gesendet. Zweckmäßigerweise implementiert letzteres ein Black-Channel-Protokoll. Dessen Protokolldateneinheiten (im Folgenden kurz: „Datenpakete“) werden durch Funkkommunikationsmodule (31) übertragen und seitens des Empfängers (typischerweise einer Tanksäule) dekodiert. Dessen Funkkommunikationsmodul (31) kann Paketverluste (z. B. anhand fehlerhafter Prüfsummen oder Lücken in der Paketsequenz) detektieren und dem in der Verarbeitungsreihenfolge nachfolgenden Funktionssicherheitsmodul (32) melden. In letzterem Modul (32) werden gemäß dem Black-Channel-Protokoll eingehende Pakete dekodiert und womöglich weitere fehlerhafte Pakete verworfen oder Paketverluste detektiert.
-
Verstöße im Protokollablauf, welche Anforderungen an die funktionale Sicherheit verletzen, führen dazu, dass das Funktionssicherheitsmodul (32) den Übergang in einen sicheren Zustand einleitet. Dies erfolgt insbesondere, wenn innerhalb der FuSi-Toleranzzeit kein erneutes, gültiges Paket empfangen wurde und deshalb von einer schwerwiegenden Störung der Funkübertragung auszugehen ist. Dieser Übergang erfolgt bei einem konventionellen System dieser Gattung auch, wenn die Ausbreitungsbedingungen zwar den Empfang des nächsten Pakets erlauben würden, das Funkkommunikationsmodul (31) des Senders oder Empfängers aufgrund einer Häufung von Übertragungsverlusten aber bereits einen zeitaufwändigen Verbindungsneuaufbau initiiert hat.
-
Um den beschriebenen Verbindungsabbruch und dadurch bedingten Übergang in den sicheren Zustand zu vermeiden, wird erfindungsgemäß mindestens eine der nachfolgenden Maßnahmen ergriffen:
- a) Innerhalb eines Zyklus sendet das Funktionssicherheitsmodul (32) des Senders mehrere Pakete. Diese können beispielsweise zeitversetzt, auf unterschiedlichen Frequenzkanälen, über verschiedene Antennen oder in unterschiedlichen Nutzdatenströmen übertragen werden, die nach einem Codemultiplexverfahren (code division multiple, CDM) gebündelt werden. Beliebige Kombinationen dieser Vervielfältigung kommen in Betracht. Der Begriff „Vervielfältigung“ ist hierbei in einem weiten Wortsinn auszulegen, der über die Duplikation des zu sendenden Paketes hinaus beispielsweise eine mögliche Vorwärtsfehlerkorrekturkodierung einschließt. In Betracht kommen etwa ein Raum-Zeit-Frequenz-Blockcode (space-time-frequency block coding, STFBC) oder vorzugsweise ratenloser Auslöschungscode (packet erasure code), wobei Kodierung und Dekodierung gemäß einem Schiebefensterprotokoll (sliding window protocol) erfolgen. Das Funkkommunikationsmodul (31) des Empfängers dekodiert und dessen Funktionssicherheitsmodul (32) kombiniert die Daten gemäß der gewählten Methode zu einem Paket oder filtert diese derart, dass es nur ein gültiges Paket pro Zyklus ausgibt.
- b) Bei Paketverlusten dupliziert das Funktionssicherheitsmodul (32) des Empfängers das letzte korrekt empfangene Paket periodisch in jedem Zyklus, bis ein neues Paket korrekt empfangen wird oder die FuSi-Toleranzzeit überschritten ist.
-
Durch beide Maßnahmen werden die Auswirkungen von Paketverlusten abgemildert und insbesondere ein erneuter Verbindungsaufbau verhindert, sodass das System nicht unnötigerweise in einen sicheren Zustand versetzt werden muss.
-
Seitens des Empfängers kann sich das Verfahren im Funktionssicherheitsmodul (32) wie folgt gestalten:
- Schritt 0) Ein Timeout-Zähler des Funktionssicherheitsmodules (32) wird initialisiert.
- Schritt 1) Ein Paket wird empfangen und auf seine Integrität überprüft.
- Schritt 2) Bei erfolgreicher Prüfung wird der Timeout-Zähler zurückgesetzt und das Paket in einem Speicher abgelegt, wobei der bisherige Speicherinhalt überschrieben werden kann.
- Schritt 3) Das empfangene Paket wird zur Vorbereitung (10 - 1) der Betankung herangezogen. Bei längeren Empfangspausen wird stattdessen mittels eines Zeitgebers (33) periodisch der letzte korrekt empfangene Wert aus dem Speicher verwendet.
- Schritt 4) Wenn der Timeout-Zähler die FuSi-Toleranzzeit überschreitet, wird das System (30) selbsttätig in einen sicheren Zustand versetzt oder die Weitergabe von Paketen durch das Funktionssicherheitsmodul (32) ausgesetzt, bis nachgeordnete Module diesen Zustandsübergang einleiten.
- Schritt 5) Der Timeout-Zähler wird inkrementiert und das Verfahren mit Schritt 1) fortgesetzt.
-
Es versteht sich, dass in einer alternativen Ausführungsform der Timeout-Zähler in Schritt 2) auf die FuSi-Toleranzzeit zurückgesetzt und in Schritt 5) dekrementiert werden mag, ohne den Rahmen der Erfindung zu verlassen. Werden ausgehende Pakete vom Sender mit einer fortlaufenden Nummer versehen, können in einer weiteren Variante auch diese gezählt und die zwischen dem Empfang zweier Pakete verstrichene Zeitspanne daraus abgeleitet werden. In diesem Fall wird das System in den sicheren Zustand versetzt, wenn die solchermaßen errechnete Zeitspanne die Toleranzzeit überschreitet.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- US 2013139897 A1 [0002]
- US 2020276909 A1 [0003]
- US 10800281 B2 [0003]
- US 2020346554 A1 [0003]
- US 2018213376 A1 [0004]
- DE 102007041621 A1 [0005]
