CN110857072A

CN110857072A - 用于确保切断装置的功能安全性和完整性的方法以及车辆

Info

Publication number: CN110857072A
Application number: CN201910719223.6A
Authority: CN
Inventors: O·C·切利克; S·克吕格尔
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 2018-08-22
Filing date: 2019-08-06
Publication date: 2020-03-03
Anticipated expiration: 2039-08-06
Also published as: DE102018214201A1; CN110857072B

Abstract

本发明涉及一种用于在车辆中确保切断装置的功能安全性和完整性的方法，其中，预防性地控制能量供给器的切断，其中从用于确定无碰撞的行驶路线的路径规划查明如下时间段，在该时间段之内能够实施操纵而不发生碰撞，其中，如果所检测的时间段的值达到或低于预定的临界值，则输出碰撞警报，该碰撞警报将用于切断能量供给的系统置于待命模式中。

Description

用于确保切断装置的功能安全性和完整性的方法以及车辆

技术领域

本发明涉及一种用于在车辆中预防性地控制能量供给器的切断的方法以及车辆。

背景技术

在车辆中存在的能量供给器(如电池、变换器亦或能量导线)必须在碰撞情况下断开，以便应对短路和因此火灾危险，并且以便保护撞击后(Post-Crash)相关的车载电网。目前，该断开通过加速度传感器或耐压软管来实施。

在此，在撞击情况下、即当实际上发生冲撞或碰撞时生成切断信息。由此强制必需的是，能够非常快地切断蓄能器，所述切断通常少于20ms。这由于必须使用电力电子开关而意味着高成本以及解决方案选项的强烈技术上的限制。

特别是在高度自动化直至自主行驶的范围内，鉴于“故障后可操作性(FailOperational)”、即可靠的能量供给对能量供给器提出了越来越严格的要求。因此，切断机制相应地受到关于功能安全性和完整性的高要求。

发明内容

因此，本发明的目的在于，提供一种相应的方法和系统，其中能改善地控制能量存储器的切断。按照本发明，该目的通过各独立权利要求的特征实现。有利的实施方案是各从属权利要求的技术方案。

对车载能量网络(Energiebordnetz)的能量管理存在两个对立的要求，基于该事实，必需提供一种用于特别是在撞击情况下、更确切地说是在引起或可能引起碰撞事故情况下切断能量存储器的解决方案。

一方面，对车载能量网络的能量管理的要求在于，不允许对撞击后相关的车载电网的车载电网稳定性产生负面影响，即例如不允许持续的短路。也不允许出现关于可能的热事件的负面影响并且不允许对撞击后不相关的车载电网区域进行馈电回收(Rückspeisung)。为了预防性地阻止这些，要求切断非撞击后相关的系统。

另一方面，特别是在AD运行中(AD＝自主/自动的行驶系统、即自主/自动化的行驶系统)、即在高度自动化行驶的运行中(在其中存在具有高完整性要求的自动化的行驶功能或行驶辅助系统)，应当避免次级车载能量网络的错误的撞击切断、但也应当避免在初级车载能量网络中安全相关的组件的错误的撞击切断，所述初级车载能量网络具有非常高的完整性要求，通常至少是ASIL B(D)。在AD运行中，也应当避免次级车载能量网络与在初级车载能量网络中安全相关的组件的错误的共同撞击切断。这意味着，在车辆运行期间必须保证合作系统(Partnersysteme)的可靠的能量供给，其中，对能量供给设定了速度相关的安全目标。此外，应当避免高压(HV)系统的错误的切断，因为在此例如进行了(例如通过烟火技术而)不可逆的断开。

就此而言，应当确保能量供给装置、特别是锂离子(Li-Ion)蓄能器的切断，通过这样能应对两个要求。特别是涉及锂离子蓄能器，因为对于热事件的高风险由此出发，并且另一方面能够持续地提供高的电流，这在短路时提高火灾危险。原则上也可以进行其他电池种类、例如铅蓄电池的切断。

在针对安全相关的电气/电子系统的标准ISO 26262中，定义了所谓的ASI等级(缩写为ASIL)，其中，ASIL代表“汽车安全完整性等级(Automotive Safety IntegrityLevel)”。在此，在开发用于排除故障风险的组件时按照其含义配设ASIL分级。在从A至D的范围中进行该分级，其中，对关于系统的失灵概率的功能安全性的安全要求在此从A提高至D。因此，涉及到能量存储器，参与到能量供给中的所有功能受制于关于完整性的更严格的要求。因此，切断装置也如此。

为了解决对立的要求的上述提到的问题，提供预防性地切断或触发接口，用于切断或者说断开例如电池、变换器或气囊的能量供给，并且通过使用用于确定无碰撞行驶路线的路径规划的数据来提供预测撞击(PreCrash)功能。所提出的解决方案对于自动化车辆、即至少在AD模式中行驶的车辆(亦即当驾驶员在场，但不再参与到行驶过程中时)特别有利。下文借助于在AD模式中的车辆描述该方法。

为了在AD模式中行驶，车辆具有大量用于路径规划的传感机构。由大量传感器在中央控制器中计算路径，所述各传感器包括从用于图像处理的传感器到不同规格的雷达、激光雷达、超声波传感器、加速度传感器等等。副产品是预测包括损坏影响的碰撞的可能性。此外，这些信息可以用于直接切断诸如电池、导线或变换器的能量供给器。

通过使用来源于路径规划的信息可以进行在ASIL D中的撞击切断或可以阻止在ASIL D中错误地触发撞击切断，而不必安装其他(冗余的)传感机构或逻辑机构。因此，可以预防性地处理，由此必须对执行机构提出更低的要求。此外，可以取消(例如用于气囊的)附加传感机构。

因此，提出一种用于在车辆中预防性地控制能量供给器的切断的方法，其中，从路径规划查明时间段，在该时间段之内能够实施操纵而不发生无碰撞。根据所检测的时间段输出碰撞警报，所述碰撞警报将用于切断能量供给的系统置于待命模式中。

因此，由用于规划行驶路线的已经存在的数据前瞻性地查明可能的碰撞情况。在可能撞击的情况下、即当达到或低于预定的临界值时，则输出碰撞警报并且因此使所述系统置于待命模式中，但能量供给(仍)未切断。所述待命模式的特征在于进行定期的检验：情况是否已改变、即发生撞击的概率是更高还是更低。因此，在概率提高以及因此撞击的情况下可以实现更快地反应、即切断能量存储器。待命模式一直保持激活直至进行解除警报、即撞击的概率降级或者探测到撞击并且因此进行能量供给的切断。

路径规划对于在AD模式中的行驶是必需的，其中，在此为了预测无碰撞的行驶路线也涉及预测碰撞，通常通过确定最后操纵时间TLM(Time-to-Last-Manoever)、即直至何时必须实施操纵用以阻止碰撞的时间段，或至碰撞的时间TTC(Time-To-Collision)、即直至碰撞的剩余的时间段。按照本发明附加地使用由路径规划已知的数据，以便满足上述对于在AD模式中行驶的功能安全性的要求。这是，除了在撞击情况下，允许尽可能地不切断用于在AD模式中实施行驶的能量供给，如果由此由于能量存储器(即例如锂离子电池)的损毁而可能发生损坏风险的化。该风险通过下文所述的相应分级来确定。

用于自动化行驶功能的能量供给通常分为两个独立的通道，即初级车载能量网络和次级车载能量网络。这些车载能量网络通常是低压电网，即例如12V的电网。所提出的方法能原则上也可以应用到对于所有撞击后不相关的范围的整个能量供给上，因为以ASIL D由路径规划已经保证了最高安全级别。

AD模式可理解为在其中车辆高度自动化地行驶的模式。高度自动化可理解为处于辅助行驶与自主行驶之间的模式。在高度自动化行驶的情况下，车辆已经预先规划并且至少在大多数情况下接管行驶任务。因此，车辆即将自主行驶。在本文献的范围内，AD模式理解为至少包括高度自动化行驶的模式、也即直至自主行驶的模式。

由于预测了可能的撞击而从临界值起输出碰撞警报，所述临界值可以由本领域技术人员选择，如果使用至碰撞的时间TTC，那么临界值有利地处于从直至撞击500ms或更短、或者300ms或更短、或者200ms或更短的范围内。如果使用最后操纵时间TLM，则该值可以选择为零，因为还总是剩余足够的时间、即TTC至少500ms或更短的供使用的反应时间来阻止碰撞。

此外规定，如果在输出碰撞警报之后未探测到撞击，则阻止切断用于在AD模式中实施行驶的能量供给。而如果在输出碰撞警报之后探测到撞击，则准许切断用于在AD模式中实施行驶的能量供给。

在路径规划中，已经查明能为按照本发明的方法而使用的大量信息。因此，在ASILD中计算例如所谓的安全评分SSC(Safety Score)。也确定最后操纵时间TLM。在此，时间段可理解为直至何时必须实施操纵用以阻止碰撞，或TLM给出供使用的反应时间，在该反应时间之内能够阻止碰撞。也可以计算至碰撞的时间TTC、即直至碰撞的时间段，其中，通常仅仅使用TLM。由于该原因，作为其中能实施操纵而不发生碰撞的时间段有利地使用TLM。SSC在潜在地遭受碰撞的路径中非常大，其中，在不可避免碰撞的情况下、即TLM＝0的情况下，根据损坏严重性而超过确定的阈值。

此外规定，所述用于切断能量供给的系统输出主动的反馈：所述系统收到了碰撞警报并且在待命模式中。因此存在附加的控制层。如果未接收到反馈信号，则可以再次发送相应的信号，直至存在反馈信号。

此外规定，如果对于所述时间段未输出值或输出无效的值，则阻止切断用于在AD模式中实施行驶的能量供给。这用于维持用于在AD模式中行驶的能量供给，以便保证功能安全性。

此外规定，根据所检测的时间段进行评估：是否即将发生碰撞以及以何种概率即将发生碰撞。此外规定，附加地进行评估：以何种严重性即将发生碰撞。在此，概念严重性可按照ISO26262的概念“严重度(Severity)”的意义理解，即出现的错误的严重性，亦即，对用户或周围环境存在怎样的危险。此外规定，该评估分级别地进行，其中，所述级别划分为出现碰撞的概率。

在此，例如划分成三个级别：级别0：没有即将发生的碰撞、级别1：可能碰撞、级别2：不可避免碰撞。附加地，例如可以再进一步细化级别2。例如可以定义，级别2为错误可控性分级为CS1的不可避免碰撞。于是，级别3可以分级为错误可控性分级为CS2的不可避免碰撞，并且级别4可以分级为错误可控性分级为CS3的不可避免碰撞。其他级别或中间级别同样是可能的。概念CS1-CS3表示碰撞的严重性或者说撞击严重性CS，其中，使用按照ISO26262的评估判据。撞击严重性CS可以由差速度以及物体的类型与性质来查明并且划分成级别。从级别2起，TLM等于0，即碰撞是如上文所述不可避免。在级别3的情况下，所述差速度与物体的类型和性质有关地超过临界值，并且撞击严重性CS提高。此外规定，通过路径规划来查明在撞击中的冲撞方向并且将该评估汇入到撞击严重性CS中。因此，如果即将发生前部撞击，但关键组件仅位于后部，则可以抑制撞击断开，以便对于后续事故的探测与反应仍有反应能力。

该评估有助于判断：是否(不可避免地)即将发生碰撞或是否仅仅可能地即将发生碰撞。因此，可以做出判断：是否阻止切断用于在AD模式中实施行驶的能量供给。例如如果识别出级别2或更高的级别，则可以进行切断；而如果仅仅识别出级别0或1、即不一定碰撞，则不进行切断。

原则上，仅当车辆在AD模式中行驶或能在AD模式中行驶时，才规定使用所述方法，因为于是才存在相应的系统且相应的系统才是激活的。就此而言，也称为撞击锁定的控制装置仅在AD模式中实施切断用于在AD模式中实施行驶的能量供给。这意味着，在此将尽可能不切断能量供给预定为要求。因此，在此仅在实际撞击的情况中切断能量供给，以便阻止由于能量存储器的损坏。

倘若驾驶员参与，则有利地按照标准地分析撞击信号，因此不应用所述方法。

为了能应用所述方法，还提出了一种车辆，其设计为用于在AD模式中行驶。为此，该车辆应当具有至少一个能量供给单元，该能量供给单元设置为用于给控制单元供给能量，该控制单元设置为用于在AD模式中实施行驶。

此外，该车俩应当具有用于监控车辆的周围环境的传感机构和至少一个处理装置。所述处理装置应当与传感机构和控制单元处于连接，使得所述处理装置能接收和发送信号和/或数据。

此外，所述处理装置还应当设置为用于分析传感机构的信号和/数据，使得能实施用于查明无碰撞的行驶路线的路径规划，从而能查明时间段：在该时间段之内能实施操纵而不发生碰撞。

于是，所述处理装置还有利地设置为，根据所检测的时间段输出碰撞警报，如果所检测的时间段的值达到或低于预定的临界值，则该碰撞警报将用于切断能量供给的系统置于待命模式中。为此，所述处理装置可以设置在唯一的单元中或者以多个彼此至少处于通信连接中的控制装置的形式设置。

因此，本发明的优点在于，附加地处理数据，使得在车辆中能实现前瞻性地、即预言性地控制能量供给器的切断，所述数据通过在车辆中存在的系统、也与所使用的用于切断的技术无关地可供使用。为此，如果达到或低于预测可能的碰撞的预定的临界值，则激活碰撞警报。因此，所述系统处于待命状态并且能在实际发生撞击时更快地实施切断也被称为能量供给器的能量存储器。

本发明的其他特征和优点借助于示出了按照本发明细节的附图由以下对本发明各实施例的说明以及由各权利要求得出。各个特征可以在本发明的变形方案中本身单独地或者多个地以任意组合的形式实现。

附图说明

以下借助附图更详细地阐述本发明各优选的实施方式。

图1示出按照本发明的一种实施方式的方法的流程图。

具体实施方式

所提出的方法以一种实施方式实现，其方式为，在激活的AD模式1中检测来自用于车辆无碰撞的行驶路线规划的路径规划的信息，并且接着基于这些信息来实施上述过程。因此，如果AD模式1激活Y，则基于路径规划T进行判断：是否应当发送碰撞警报K。如果如上所述达到或低于预定的临界值，则进行这点。如果发送碰撞警报K，则也(例如以上文所述的级别的形式)检测以何种概率出现撞击C。如果识别出了确定的级别Y，则准许A用于切断的可能性。如果未识别出N可能的撞击C(即例如级别0或1)，则进行阻止NA切断。这意味着，不仅不进行主动的切断，而且还主动地阻止切断，例如通过不理会(beachten)通常为了切断而激活的端子。如果在发送碰撞警报K之后探测到实际撞击，则能比以前更快地进行切断。

通过所述方法已经可以在准备阶段、即例如在借助于TLM或TTC检测到可能即将发生撞击时，通过碰撞警报K将用于切断的系统置于待命中，从而根据出现撞击C的识别出的概率，给出用于切断例如电池的准许。

如果AD模式1未激活N、即例如驾驶员驾驶车辆，并且识别出了撞击Y，则如之前常见的那样进行切断A。如果未识别出撞击，则不进行NA切断。

为了识别是否即将发生撞击，在确定所计算的路径时检测例如安全评分(SSC)和最后操纵时间(TLM)。如果最后操纵时间(TLM)小于实际等待时间，那么可能碰撞。如果最后操纵时间(TLM)等于零，那么碰撞不可避免。通过确定SSC和预测的差速度以及障碍的种类或性质，可以推断出损坏严重性，这同样汇入到是否应当准许切断的评估中。例如在检测到TTC为500ms或更短、或者300ms或更短、或者200ms或更短的时，可以在任何情况下准许切断。在全自动化的车辆中，例如识别出行人或自行车骑行者，但因为撞击严重性小而不切断能量供给。这确保了整个传感器/执行器组，以便即使在最后几毫秒之内还能够最佳地做出反应。

可以根据所检测的错误的严重性和因此对于驾驶员和周围环境的影响来选择如上文所述的分为各级别的分级。

Claims

1.用于在车辆中确保切断装置的功能安全性和完整性的方法，其中，预防性地控制能量供给器的切断，其中从用于确定无碰撞的行驶路线的路径规划(T)查明如下时间段，在该时间段之内能够实施操纵而不发生碰撞，如果所检测的时间段的值达到或低于预定的临界值，则输出碰撞警报(K)，该碰撞警报将用于切断能量供给的系统置于待命模式中。

2.按照权利要求1所述的方法，其中，如果所检测的时间段是至碰撞的时间，则所述预定的临界值为500ms或更短、或者300ms或更短、或者200ms或更短；如果所检测的时间段是最后操纵时间，则所述预定的临界值为零。

3.按照权利要求1或2所述的方法，其中，如果在输出碰撞警报之后未探测到撞击(C)，则阻止(NA)切断用于在AD模式中实施行驶的能量供给，而如果在输出碰撞警报(K)之后探测到撞击(C)，则准许(A)切断用于在AD模式中实施行驶的能量供给。

4.按照上述权利要求之一所述的方法，其中，所述用于切断能量供给的系统输出主动的反馈：所述系统收到了碰撞警报(K)。

5.按照上述权利要求之一所述的方法，其中，如果对于所述时间段未输出值或输出无效的值，则阻止(NA)切断用于在AD模式中实施行驶的能量供给。

6.按照上述权利要求之一所述的方法，其中，根据所检测的时间段进行评估，是否即将发生碰撞以及以何种概率即将发生碰撞。

7.按照权利要求6所述的方法，其中，附加地进行评估：以何种严重性即将发生碰撞。

8.按照权利要求7所述的方法，其中，所述评估分级别地进行，所述级别至少划分为：

级别0：没有即将发生的碰撞，

级别1：可能碰撞，

级别2：不可避免碰撞，从级别2的情况起才实施切断用于在AD模式中实施行驶的能量供给。

9.按照权利要求8所述的方法，其中，附加于级别2存在其他级别，所述其他级别根据碰撞的严重性来划分。

10.车辆，其构成为用于在AD模式中行驶，所述车辆至少具有：

-至少一个能量供给单元，该能量供给单元设置为用于给控制单元供给能量，该控制单元设置为用于在AD模式中实施行驶，

-用于监控车辆的周围环境的传感机构，

-至少一个处理装置，该处理装置与传感机构和控制单元处于连接，使得所述处理装置能够接收和发送信号和/或数据，其中，所述处理装置还设置为用于分析传感机构的信号和/或数据，使得能实施用于确定无碰撞的行驶路线的路径规划(T)，从而能查明如下时间段，在该时间段之内能够实施操纵而不发生碰撞，其中，所述处理装置还设置为，如果所检测的时间段的值达到或低于预定的临界值，则根据所检测的时间段输出碰撞警报(K)，该碰撞警报将用于切断能量供给的系统置于待命模式中。