DE10235527C1 - Vorrichtung und Verfahren zur redundanten Spannungsversorgung sicherheitsrelevanter Systeme - Google Patents

Abstract

Die vorliegende Erfindung offenbart eine Vorrichtung und ein Verfahren zur redundanten Spannungsversorgung sicherheitsrelevanter Systeme, insbesondere in Kraftfahrzeugen. Es wird sowohl ein Ausfall einer Spannungsversorgung an sicherheitsrelevanten Systemen erkannt und daraufhin eine Umschaltung auf eine andere Spannungsversorgung veranlasst als auch sichergestellt, dass auch bei einem Ausfall von einer oder zwei Ansteuereinrichtungen zur Spannungsumschaltung eine Rückfallebene vorhanden ist, durch die dann die Spannungsumschaltung übernommen wird. Auf diese Weise wird sowohl bei einem Ausfall einer Spannungsversorgung sicherheitsrelevanter Systems als auch bei einem Ausfall von Ansteuereinrichtungen sichergestellt, dass dennoch eine Spannungsumschaltung erfolgt und auf diese Weise die Verfügbarkeit sicherheitsrelevanter Systeme erheblich verbessert wird.

Description

Die Erfindung betrifft eine Vorrichtung und ein Verfahren zur redundanten Spannungsversorgung sicherheitsrelevanter Syste­ me, insbesondere in Kraftfahrzeugen.

Zur Sicherstellung der Versorgung sicherheitsrelevanter Sys­ teme, insbesondere in Kraftfahrzeugen, sind bisher verschie­ dene Systeme mit redundanter Spannungsversorgung vorgeschla­ gene worden.

Die WO 99/42331 offenbart eine Spannungsversorgungsschaltung für sicherheitsrelevante Systeme, wie beispielsweise elektri­ sche Bremsen, in Kraftfahrzeugen, bei der den Systemen eigene Zusatzbatterien zugeordnet sind, die mit Hilfe einer Lade­ schaltung und Umschalteinheit sowie über Mittel zur Überwa­ chung und Verteilung der elektrischen Energie mit einer Bord­ netzbatterie und/oder dem Generator verbindbar sind. Im übli­ chen Betrieb werden die sicherheitsrelevanten Systeme aus der ihnen zugeordneten Zusatzbatterie versorgt, bei einem Defekt der Zusatzbatterie oder bei einer zu stark entladenen Zusatz­ batterie erfolgt eine Umschaltung und die sicherheitsrelevan­ ten Systeme werden direkt aus der Bordnetzbatterie versorgt. Aufgrund dieser Umschaltung bei nicht mehr ausreichender E­ nergie der Zusatzbatterie auf die Bordnetzbatterie wird auf eine Überwachungsschaltung für die Zusatzbatterie verzichtet.

Weiterhin ist aus der DE 100 53 584 A1 eine redundante Span­ nungsversorgung für sicherheitsrelevante Verbraucher bekannt. Diese Einrichtung weist eine im Bordnetz angeordnete erste Spannungsversorgung und eine zweite Spannungsversorgung auf, wobei die erste und zweite Spannungsversorgung über ein Ent­ kopplungselement verbunden sind. Das Entkopplungselement, beispielsweise eine Diode, einen Schalter mit Stromrichtungs­ erkennung oder Feldeffekttransistoren mit einer internen Kurzschlussstromerkennung, gewährleistet einen gerichteten Stromfluss von der ersten zur zweiten Spannungsversorgung. Zudem sind die erste Spannungsversorgung ein zweites Entkopp­ lungselement und die zweite Spannungsversorgung über ein drittes Entkopplungselement mit dem sicherheitsrelevanten Verbraucher verbunden und stellen einen gerichteten Strom­ fluss sicher. Wenn die Spannung der ersten Spannungsversor­ gung unter die der zweiten Spannungsversorgung fällt, wird das Entkopplungselement durchlässig, so dass die zweite Span­ nungsversorgung die Spannungsversorgung des sicherheitsrele­ vanten Verbrauchers übernimmt.

Schließlich ist aus der DE 198 55 245 A1 eine redundante Spannungsversorgung für elektrische Verbraucher in einem Fahrzeugbordnetz angeben, die insbesondere bei elektrisch be­ tätigbaren Bremsen zum Einsatz kommt. Zur Sicherstellung der Spannungsversorgung wird der elektrische Verbraucher über Trennmodule gleichzeitig an zwei getrennte Spannungszweige angeschlossen, die über Lade-Trennmodule jeweils mit einem eigenen Spannungsspeicher in Verbindung stehen. Falls in ei­ nem Versorgungszweig ein Fehler auftritt, der die Spannungs­ versorgung für den Verbraucher gefährdet, wird dieser Versor­ gungszweig mittels geeigneter Umschaltmittel geöffnet und die Spannungsversorgung nur noch vom funktionsfähigen Spannungs­ zweig übernommen. Trennmodule und Lade-Trennmodule können in einem Batteriestecker integriert sein.

Somit bietet der vorstehend angeführte Stand der Technik ver­ schiedene Lösungen zur Verbesserung der Ausfallsicherheit bei sicherheitsrelevanten Systemen, nämlich im Fall eines Aus­ falls der Spannungsversorgung, durch den beispielsweise bei einer elektrohydraulischen Bremse (EHB), einer elektrohydrau­ lischen Lenkung (EHL), usw. ohne Rückfallebene keine Brems- bzw. Lenkwirkung mehr vorhanden wäre, indem eine Umschaltung auf eine Ersatzenergieversorgung erfolgt.

Jedoch ist in diesen herkömmlichen Ausführungsformen keine Sicherheitsfunktion ausgebildet, durch die auch ein Ausfall der Ansteuerlogik kompensiert werden könnte, der ebenfalls zu einem vollständigen Ausfall von sicherheitsrelevanten Syste­ men, wie beispielsweise der elektrohydraulischen Bremse (EHB), der elektrohydraulischen Lenkung (EHL), usw. führen kann, da dann eine Umschaltung im Fall eines Spannungsausfall nicht mehr erfolgen kann. Herkömmlich werden nämlich bestimm­ te Spannungen im Fahrzeug über angesteuerte Relais dem Bord­ netz zur Verfügung gesteht und exklusiv angesteuert.

Daher ist es Aufgabe der vorliegenden Erfindung, eine Vor­ richtung zur redundanten Spannungsversorgung sicherheitsrele­ vanter Systeme auszubilden, mit der auf einfache Weise und kostengünstig sowohl ein Ausfall der Spannungsversorgung als auch ein Ausfall der Ansteuerlogik zur Umschaltung im Fall eines Ausfalls der Spannungsversorgung kompensiert werden kann.

Diese Aufgabe wird durch eine Vorrichtung zur redundanten Spannungsversorgung sicherheitsrelevanter Systeme mit den Merkmalen von Anspruch 1 sowie ein Verfahren zur redundanten Spannungsversorgung sicherheitsrelevanter Systeme mit den Merkmalen von Anspruch 3 gelöst.

Bei der erfindungsgemäßen Vorrichtung und dem erfindungsgemä­ ßen Verfahren erfolgt somit nun sowohl eine Überwachung, ob verschiedene Spannungen an sicherheitsrelevanten Systemen vorhanden sind, als auch eine Überwachung, ob ein Einschalten einer Spannung durch eine erste Ansteuereinrichtung und/oder eine zweite Ansteuereinrichtung als erste Rückfallebene er­ folgt ist, und im Falle eines Ausfalls der ersten und zweiten Ansteuereinrichtung das Einschalten der Spannung durch eine dritte Ansteuereinrichtung.

Auf diese Weise wird die Verfügbarkeit der Spannungsversor­ gung bei Zündung "ein" erhöht und durch die Ausbildung von zwei Rückfallebenen, durch die ebenfalls das Umschalten er­ folgen kann, eine erhebliche Erhöhung der Ausfallsicherheit.

Darüber hinaus stellt die erfindungsgemäße Vorrichtung zur redundanten Spannungsversorgung sicherheitsrelevanter Systeme eine äußerst kostengünstige Lösung dar, da die einzelnen An­ steuereinrichtungen zur Ansteuerung exklusiver Relais für je­ weils eine Spannungsversorgung bereits in herkömmlichen Vor­ richtungen ausgebildet sind, zusätzlich lediglich die Verbin­ dung und der Informationsaustausch über Kommunikationskanäle, wie beispielsweise den CAN-Bus realisiert und eine Ansteue­ rung aller Relais durch jede der Ansteuereinrichtungen ermög­ licht werden muss.

Ausführungsbeispiele der Erfin­ dung werden nachfolgend unter Bezugnahme auf die Zeichnung genauer erläutert.

Dabei zeigen:

Fig. 1 ein vereinfachtes Blockschaltbild der erfindungsgemä­ ßen Vorrichtung zur redundanten Spannungsversorgung sicherheitsrelevanter Systeme und

Fig. 2 mit Fig. 2a und 2b ein Ablaufdiagramm, das den Funk­ tionsablauf des erfindungsgemäßen Verfahrens zur re­ dundanten Spannungsversorgung sicherheitsrelevanter Systeme veranschaulicht.

Im folgenden wird nun zunächst unter Bezugnahme auf Fig. 1 genauer auf den vereinfachten Aufbau der erfindungsgemäßen Vorrichtung zur redundanten Spannungsversorgung eingegangen.

In Fig. 1 ist mit 11 ein CAN-Bus, als ein Beispiel für Kommu­ nikationskanäle, bezeichnet, über den Kommunikationssignale übertragen werden. Die erfindungsgemäße Vorrichtung zur re­ dundanten Spannungsversorgung weist eine erste Ansteuerein­ richtung 1 auf, die über eine Leitung Sp1 das Vorhandensein einer Spannung an einem oder mehreren sicherheitsrelevanten System(en) 5 überwacht und beim Fehlen einer dort anliegenden Spannung über ein Steuersignal St1 ein oder mehrere in einer Relaiseinheit 4 enthaltene Relais ansteuern kann, so dass an­ schließend wieder eine Spannung an dem/den sicherheitsrele­ vanten System(en) 5 anliegt. Zusätzlich gibt die erste An­ steuereinrichtung 1 eine Anforderungsbotschaft Anf1 an den CAN-Bus 11 aus, wenn eine Ansteuerung eines oder mehrere Re­ lais in der Relaiseinheit 4 erfolgen soll, um eine Spannungs­ versorgung des/der sicherheitsrelevanten Systeme 5 wiederher­ zustellen. Über diese Relais der Relaiseinheit 4 wird eine Spannungsversorgung für sicherheitsrelevante elektrische Sys­ teme 5, wie beispielsweise eine elektrohydraulische Bremse (EHB), eine elektrohydraulische Lenkung (EHL), usw., ein- und ausgeschaltet.

Weiterhin umfasst die erfindungsgemäße Vorrichtung eine zwei­ te Ansteuereinrichtung 2, die über eine Leitung Sp2 das Vor­ handensein einer Spannung an dem einen oder mehreren sicher­ heitsrelevanten System(en) 5 überwacht und beim Fehlen einer dort anliegenden Spannung ebenfalls die Relais in der Relais­ einheit 4 ansteuern kann. Wenn die zweite Ansteuereinrichtung 2 die Anforderungsbotschaft Anf1 von der ersten Ansteuerein­ richtung 1 über den CAN-Bus 11 empfängt, überprüft sie, ob ein Schalten der Relaiseinheit 4, d. h. eine Wiederherstellung der Spannungsversorgung des einen oder mehrerer sicherheits­ relevanter Systeme 5, durch die erste Ansteuereinrichtung 1 ausgelöst wurde und erfolgt ist. Falls kein Schalten der Re­ laiseinheit 4 erfolgt ist und zusätzlich über die Leitung Sp2 ermittelt wird, dass an dem/den sicherheitsrelevanten Sys­ tem(en) 5 keine Spannung anliegt, erfolgt eine Ansteuerung des/der Relais in der Relaiseinheit 4, um eine Spannungsver­ sorgung wieder herzustellen, durch die zweite Ansteuerein­ richtung. Außerdem ist die zweite Ansteuereinrichtung 2 der­ art ausgebildet, dass sie in einem Fall, in dem sie trotz fehlender Spannung an dem/den sicherheitsrelevanten Sys­ tem(en) 5 kein Schalten des/der Relais in der Relaiseinheit 4 bewirken kann, eine Anforderungsbotschaft Anf2 auf den CAN- Bus 11 legt.

Ergänzend zu diesen beiden ersten und zweiten Ansteuerein­ richtungen 1 und 2 ist außerdem eine dritte Ansteuereinrich­ tung 3 ausgebildet, die über eine Leitung Sp3 das Vorhanden­ sein einer Spannung an dem einen oder mehreren sicherheitsre­ levanten System(en) 5 überwacht und beim Fehlen einer dort anliegenden Spannung ebenfalls die Relais in der Relaisein­ heit 4 ansteuern kann. Im Fall, dass die Ansteuereinrichtung 3 sowohl eine Anforderungsbotschaft Anf1 von der ersten An­ steuereinrichtung 1 als auch eine Anforderungsbotschaft Anf2 von der zweiten Ansteuereinrichtung 2 über den CAN-Bus emp­ fängt und das Fehlen einer Spannung an dem/der sicherheitsre­ levanten System(en) 5 erfasst, steuert die Ansteuereinrich­ tung 3 die Relaiseinheit 4 derart an, das ein Umschalten des/der Relais erfolgt, so dass eine Spannungsversorgung des/der sicherheitsrelevanten Systeme 5 wieder hergestellt wird.

Nachfolgend wird nun unter Bezugnahme auf Fig. 2 mit den Fig. 2a und 2b auf das erfindungsgemäße Verfahren zur redundanten Spannungsversorgung sicherheitskritischer Systeme näher ein­ gegangen.

Zu Beginn wird in Schritt S1 durch die Ansteuereinrichtung 1 über eine Leitung Sp1 überwacht, ob an einem oder mehreren sicherheitsrelevanten Systemen 5 eine Spannung erfassbar ist. Sollte dies der Fall sein, ist der Ablauf beendet und es wird wieder zum Beginn (Überwachung) zurückgekehrt.

Wenn in Schritt S1 festgestellt wird, dass an einem oder meh­ reren sicherheitsrelevanten Systemen 5 keine Spannung an­ liegt, steuert die erste Ansteuereinrichtung 1 in Schritt S2 die Relaiseinheit 4 durch ein Steuersignal St1 an, so dass wieder eine Spannung an das/die sicherheitsrelevante(n) Sys­ tem(e) angelegt wird. Ansonsten endet der Ablauf nach Schritt S1.

Anschließend wird in Schritt S3 eine Anforderungsbotschaft Anf1, die aussagt, dass die Umschaltung des Relais zur Span­ nungsversorgung erforderlich ist, auf den CAN-Bus 11 ausgege­ ben. Diese Anforderungsbotschaft Anf1 wird in Schritt S4 durch die zweite Ansteuereinrichtung 2 empfangen. Daraufhin überprüft die zweite Ansteuereinrichtung 2 in Schritt S5, ob das Ansteuern/Umschalten der Relaiseinheit 4 durch die erste Ansteuereinrichtung 1 erfolgreich war. Falls dies der Fall ist, endet der Ablauf. Ansonsten schreitet der Ablauf zu ei­ nem Schritt S6 fort, in dem über eine Leitung Sp2 festge­ stellt wird, ob eine Spannung an einem oder mehreren sicher­ heitsrelevanten Systemen 5 anliegt. Im positiven Fall endet der Ablauf, in negativen Fall wird zu einem Schritt S7 fort­ geschritten, in dem überprüft wird, ob ein Ansteuern/Schalten der Relaiseinheit 4 durch die zweite Ansteuereinheit 2 mög­ lich ist. Wenn das Ansteuern/Schalten in Schritt S7 als mög­ lich beurteilt wird, erfolgt anschließend in Schritt S8 über das Steuersignal St2 das Ansteuern/Schalten der Relaiseinheit 4 durch die zweite Ansteuereinrichtung 2 und dann endet der Ablauf.

Wenn ein Ansteuern/Schalten der Relaiseinheit 4 durch die zweite Ansteuereinrichtung 2 aus irgendwelchen Gründen, bei­ spielsweise eine Unterbrechung der Leitung für das Steuersig­ nal St2 nicht möglich ist, gibt die zweite Ansteuereinrich­ tung 2 in einem Schritt S9 eine Anforderungsbotschaft Anf2 auf den CAN-Bus 11 aus. Diese Anforderungsbotschaft Anf2 der zweiten Ansteuereinrichtung 2 wird in Schritt S10 zusammen mit der Anforderungsbotschaft Anf1 der ersten Ansteuerein­ richtung 1 durch die dritte Ansteuereinrichtung 3 empfangen. Daraufhin erfolgt in Schritt S11 durch ein Steuersignal St3 ein Ansteuern/Schalten der Relaiseinheit 4 durch die dritte An­ steuereinrichtung 3. Danach endet der Ablauf.

Die vorstehend beschriebene erfindungsgemäße Vorrichtung und das Verfahren zur redundanten Spannungsversorgung sicher­ heitsrelevanter Systeme ist kostengünstig zu realisieren, da die einzelnen Ansteuereinrichtungen zur Ansteuerung exklusi­ ver Relais für jeweils eine Spannungsversorgung bereits in herkömmlichen Vorrichtungen ausgebildet sind, zusätzlich le­ diglich die Verbindung und der Informationsaustausch über den CAN-Bus, als ein Beispiel für Kommunikationskanäle, wie bei­ spielsweise auch Steuerleitungen, LIN, usw., realisiert und eine Ansteuerung aller Relais durch jede der Ansteuereinrich­ tungen ermöglicht werden muss.

Auf diese Weise kann einfach, ohne großen zusätzlichen Schal­ tungs- oder Bauteilaufwand und kostengünstig eine zuverlässi­ ge Vorrichtung und ein Verfahren zur redundanten Spannungs­ versorgung sicherheitsrelevanter Systeme verwirklicht werden.

Der Vorteil der erfindungsgemäßen Vorrichtung und des Verfah­ rens zur redundanten Spannungsversorgung sicherheitsrelevan­ ter Systeme liegt dabei in der zweifachen Redundanz zum Schalten der Relais. Eine Sicherstellung spezieller Span­ nungsversorgungen führt zu einer höheren Verfügbarkeit von sicherheitskritischen Systemen.

Selbstverständlich versteht sich für den Fachmann, dass an­ stelle der im bevorzugten Ausführungsbeispiel verwendeten drei Ansteuereinrichtungen auch mehr Ansteuereinrichtungen o­ der jeweils 3 Ansteuereinrichtungen aus einer Vielzahl von im Fahrzeug vorhandenen Ansteuereinrichtungen für Relais verwen­ det werden können.

Claims (4)

1. Vorrichtung zur redundanten Spannungsversorgung sicher­ heitsrelevanter Systeme, insbesondere in Kraftfahrzeugen, mit:
mindestens einer ersten Ansteuereinrichtung (1), einer zweiten Ansteuereinrichtung (2) und einer dritten Ansteu­ ereinrichtung (3), die jeweils zur Ansteuerung von Relais in einer Relaiseinheit (4) zur Umschaltung von Spannungs­ versorgungen sicherheitsrelevanter Systeme (5) ausgebil­ det sind, dadurch gekennzeichnet, dass
die Ansteuereinrichtungen (1, 2, 3) mit einem Kommunika­ tionskanal (11) in Verbindung stehen,
die erste und zweite Ansteuereinrichtung (1, 2) jeweils eine Einrichtung zur Überwachung einer an den sicher­ heitsrelevanten Systemen (5) anliegenden Spannung aufwei­ sen,
die erste Ansteuereinrichtung (1) im Fall, dass die Ein­ richtung zur Überwachung einer an den sicherheitsrelevan­ ten Systemen (5) anliegenden Spannung erkennt, dass keine Spannung anliegt, einen Schaltvorgang der Relaiseinheit (4) ansteuern und eine Anforderungsbotschaft (Anf1) auf den Kommunikationskanal (11) ausgeben kann;
die zweite Ansteuereinrichtung (2) eine Einrichtung zur Überprüfung, ob ein Ansteuerung und Schalten der Relais­ einheit (4) durch die erste Ansteuereinrichtung erfolgt ist, aufweist, und im Fall, dass die Einrichtung zur Ü­ berprüfung festgestellt hat, dass keine Ansteuerung oder ein Schalten durch erste Ansteuereinrichtung erfolgt ist, und die Einrichtung zur Überwachung einer an den sicher­ heitsrelevanten Systemen (5) anliegenden Spannung er­ kennt, dass keine Spannung anliegt, einen Schaltvorgang der Relaiseinheit (4) ansteuern kann und, falls eine An­ steuerung eines Schaltvorgangs der Relaiseinheit (4) nicht möglich ist, eine weitere Anforderungsbotschaft (Anf2) auf den Kommunikationskanal (11) ausgeben kann, und
die dritte Ansteuereinrichtung (3) die Anforderungsbot­ schaften (Anf1, Anf2) von der ersten und zweiten Ansteu­ ereinrichtung (1, 2) vom Kommunikationskanal (11) empfan­ gen und bei Empfang beider Anforderungsbotschaften (Anf1, Anf2) einen Schaltvorgang der Relaiseinheit (4) ansteuern kann.

2. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass anstelle der Relaiseinheit (4) mit Relais auch eine ande­ re Einheit zur Umschaltung von Spannungen verwendet wer­ den kann.

3. Vorrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass der Kommunikationskanal (11) ein CAN-Bus ist.

4. Verfahren zur redundanten Spannungsversorgung sicher­ heitsrelevanter Systeme, insbesondere in Kraftfahrzeugen, gekennzeichnet durch die Schritte:
(S1) Überwachen, ob an einem oder mehreren sicherheitsre­ levanten Systemen (5) eine Spannung erfassbar ist, über eine erste Leitung (Sp1) durch eine erste Ansteuerein­ richtung (1); Rückkehr zum Beginn, wenn dies der Fall ist;
(S2) wenn in Schritt S1 festgestellt wird, dass an einer oder mehreren sicherheitsrelevanten Systemen (5) keine Spannung anliegt, Ansteuern einer Relaiseinheit (4) durch ein erstes Steuersignal (St1) durch die erste Ansteuer­ einrichtung (1), so dass wieder eine Spannung an das/die sicherheitsrelevante(n) System(e) (5) angelegt wird;
(S3) Ausgeben einer ersten Anforderungsbotschaft (Anf1), die aussagt, dass die Umschaltung zumindest eines Relais der Relaiseinheit (4) zur Spannungsversorgung erforder­ lich ist, auf einen Kommunikationskanal (11) durch die erste Ansteuereinrichtung (1);
(S4) Empfangen der ersten Anforderungsbotschaft (Anf1) durch die zweite Ansteuereinrichtung (2);
(S5) Überprüfen, ob die Ansteuerung/Umschaltung der Re­ laiseinheit (4) durch die erste Ansteuereinrichtung (1) erfolgreich war, durch die zweite Ansteuereinrichtung (2); falls dies der Fall ist, Rückkehr zum Beginn;
(S6) Festgestellen, ob eine Spannung an einer oder mehre­ ren sicherheitsrelevanten Systemen (5) anliegt, über ein zweite Leitung (Sp2) durch die zweite Ansteuereinrichtung (2); im positiven Fall Rückkehr zum Beginn;
(S7) im negativen Fall Überprüfen, ob eine Ansteue­ rung/ein Schalten der Relaiseinheit (4) durch die zweite Ansteuereinheit (2) möglich ist;
(S8) wenn die Ansteuerung/das Schalten in Schritt S7 als möglich beurteilt wird, über ein zweites Steuersignal (St2) Ansteuern/Schalten der Relaiseinheit (4) durch die zweite Ansteuereinrichtung (2), dann Rückkehr zum Beginn;
(S9) wenn ein Ansteuern/Schalten der Relaiseinheit (4) durch die zweite Ansteuereinrichtung (2) aus irgendwel­ chen Gründen, wie beispielsweise eine Unterbrechung der Leitung für das zweite Steuersignal, nicht möglich ist, Ausgeben einer zweiten Anforderungsbotschaft (Anf2) auf den Kommunikationskanal (11) durch die zweite Ansteuer­ einrichtung (2);
(S10) Empfangen der zweiten Anforderungsbotschaft (Anf2) der zweiten Ansteuereinrichtung (2) zusammen mit der ers­ ten Anforderungsbotschaft (Anf1) der ersten Ansteuerein­ richtung (1) durch die dritte Ansteuereinrichtung (3);
(S11) Ansteuern/Schalten der Relaiseinheit (4) durch die dritte Ansteuereinrichtung (3) durch ein drittes Steuer­ signal (St3); anschließend Rückkehr zum Beginn.