DE10103951B4

DE10103951B4 - Energieversorgungseinrichtung für bordnetzgestützte, sicherheitsrelevante Systemkomponenten von Fahrzeugen

Info

Publication number: DE10103951B4
Application number: DE10103951A
Authority: DE
Inventors: Thomas Dr. Brandmeier; Michael Doericht; Stefan Hackl; Markus Dr. Kucera; Ludwig Schifferl
Original assignee: Siemens AG
Current assignee: Continental Automotive GmbH
Priority date: 2001-01-30
Filing date: 2001-01-30
Publication date: 2005-01-05
Anticipated expiration: 2021-01-31
Also published as: FR2820251B1; DE10103951A1; ITMI20020152A0; ITMI20020152A1; FR2820251A1

Abstract

Energieversorgungseinrichtung für bordnetzgestützte, sicherheitsrelevante Systemkomponenten von Fahrzeugen, insbesondere für Bremskomponenten elektromechanischer Bremssysteme in Kraftfahrzeugen, mit
– drei voneinander unabhängigen Energieeinspeisungen (6, 7, 8),
– je einer durch einen Schalter (13.1 bis 16.3) zu öffnenden und zu schließenden Anschlussleitung (9.1 bis 12.3) zwischen jeder Energieeinspeisung (6, 7, 8) und jeder Systemkomponente (2, 3, 4, 5), wobei die drei Anschlussleitungen (9.1 bis 12.3) jeder Komponente (2, 3, 4, 5) dieser parallel vorgeschaltet sind,
gekennzeichnet durch
– Logik-Steuereinheiten (17, 18, 19) für die Schalter (13.1 bis 16.3), wobei je eine gemeinsame Logiksteuereinheit (17, 18, 19) für die den ersten, zweiten und dritten Anschlussleitungen (9.1 bis 12.3) jeder Systemkomponente (2, 3, 4, 5) zugeordneten Schaltern (13.1 bis 16.3) vorgesehen ist.

Description

Die Erfindung betrifft eine Energieversorgungseinrichtung für bordnetzgestützte, sicherheitsrelevante Systemkomponenten von Fahrzeugen und insbesondere für Bremskomponenten elektromechanischer Bremssysteme in Kraftfahrzeugen.

Zum Hintergrund der Erfindung ist festzuhalten, dass sicherheitsrelevante Systemkomponenten von Fahrzeugen unterschiedlichen Ausfallkriterien je nach Funktion und Einbauort unterliegen. Komponenten von elektromechanischen Bremssystemen beispielsweise sind besonders sicherheitskritische Bauteile und werden daher in ihren sicherheitstechnischen Anforderungen sehr hoch eingestuft. Einige davon sind der Klasse der sogenannten „Fail-Operational-Systeme" zuzuordnen, die auch beim Auftreten einer definierten Anzahl von Fehlern noch korrekt funktionieren müssen.

Bei vielen sicherheitsrelevanten Systemkomponenten von Fahrzeugen und gerade bei Sicherheitsbetrachtungen im Zusammenhang mit einem elektromechanischen Bremssystem spielt dessen Energieversorgung eine zentrale Rolle. Ein Ausfall der Energieversorgung würde zu einem vollständigen Ausfall des Bremssystems führen, was natürlich nicht akzeptabel ist. Daher sind geeignete Maßnahmen vorzusehen, die Energieversorgung von sicherheitsrelevanten Systemkomponenten entsprechend ausfallsicher zu machen.

Aus der Druckschrift 196 51 612 A1 ist eine gattungsbildende Energieversorgungseinrichtung für bordnetzgestützte, sicherheitsrelevante Systemkomponenten von Kraftfahrzeugen bekannt.

Dabei sind mindestens zwei voneinander unabhängige Energieeinspeisungen vorgesehen, die jeweils über einen steuerbaren Schalter mit einer Systemkomponente verbunden sind.

Davon ausgehend ist es die Aufgabe der vorliegenden Erfindung, sicherheitsrelevante Systemkomponenten von Fahrzeugen und insbesondere elektromechanischer Bremssysteme zweitfeh lerfest mit elektrischer Energie zu versorgen. Die Erfindung soll also gewährleisten, dass selbst nach dem Auftreten zweier Fehler noch eine korrekte Energieversorgung der angeschlossenen Komponenten möglich ist.

Diese Aufgabe wird durch die im Kennzeichnungsteil des Anspruches 1 angegebenen Merkmale gelöst. Demnach sind drei voneinander unabhängige Energieeinspeisungen vorgesehen, wobei je eine Anschlussleitung zwischen jeder Energieeinspeisung und jeder Systemkomponente angelegt ist. In den drei jeder Komponente parallel vorgeschalteten Anschlussleitungen ist jeweils ein Schalter angeordnet, um die jeweilige Anschlussleitung zu öffnen und zu schließen. Für diese Funktion sind schließlich Logik-Steuereinheiten für die Schalter vorgesehen, wobei je eine gemeinsame Logik-Steuereinheit für die den ersten, zweiten und dritten Anschlussleitungen jeder Systemkomponente zugeordneten Schaltern vorgesehen ist. Aufgrund dieser Auslegung der erfindungsgemäßen Energieversorgungseinrichtung ist eine mehrfache Redundanz der Energieversorgung zu erreichen. Insbesondere ist eine beliebige Kombination von zwei Fehlern in der Energieversorgung – z.B. Kurz- und Fremdschlüsse der Versorgungsleitungen – in der Energieversorgung mit diesem System noch zu korrigieren.

Falls noch höhere Anforderungen an die Ausfallsicherheit gestellt werden, so können auch über die Zahl von drei hinausgehende unabhängige Energieeinspeisungen mit einer entsprechenden Anzahl von Anschlussleitungen und Logik-Steuereinheiten vorgesehen sein. Insoweit umfasst die in den Patentansprüchen angegebene Zahl von drei Energieeinspeisungen auch Systeme mit über diese Zahl hinausgehenden Energieversorgungen.

Schließlich ist darauf hinzuweisen, dass durch das erfindungsgemäße System sichergestellt wird, dass ein Zweifachfehler innerhalb der Energieversorgungseinrichtung nicht zum Ausfall der Energieversorgung auf einer der Komponenten-Anschlussleitungen führt. Näheres hierzu ist der Beschreibung des Ausführungsbeispiels entnehmbar, die auch die in den Unteransprüchen angegebenen Maßnahmen aufgreift und anhand der beigefügten Zeichnung erläutert.
1 zeigt ein schematisches Schaubild einer Energieversorgungseinrichtung für ein bordnetzgestützes elektromechanisches Bremssystem in Kraftfahrzeugen.
Die Energieversorgungseinrichtung ist in 1 als Ganzes mit 1 bezeichnet. Sie versorgt vier Bremskomponenten 2, 3, 4, 5 eines nicht näher dargestellten elektromechanischen Bremssystems in einem Kraftfahrzeug. Bei den Bremskomponenten kann es sich beispielsweise um die Stellmotoren für die Betätigung der Bremsbacken handeln.
Zur Versorgung der Komponenten 2, 3, 4, 5 sind drei parallele Energieeinspeisungen, nämlich eine erste Bordnetzeinspeisung 6, eine zweite Bordnetzeinspeisung 7 und eine Sicherheitssystem-Energieeinspeisung 8 vorgesehen. Um die geforderte Zweitfehlerfestigkeit zu gewährleisten, ist vorzusehen, die beiden Bordnetz-Einspeisungen 5, 7 unabhängig voneinander auszulegen. Als Alternative hierzu bietet sich allenfalls an, eine Bordnetz-Einspeisung vorzusehen, die mit zwei unabhängigen Sicherheitsbatterie-Einspeisungen kombiniert ist.
Mit diesen drei Einspeisungen 6, 7, 8 ist jede Komponente 2, 3, 4, 5 über jeweils eine Anschlussleitung 9.1 bis 9.3, 10.1 bis 10.3, 11.1 bis 11.3 und 12.1 bis 12.3 verbunden. Diese Anschlussleitungen 9, 10, 11, 12 sind jeweils parallel den entsprechenden Komponenten 2, 3, 4, 5 vorgeschaltet. Die Anschlussleitungen 9.1, 10.1, 11.1, 12.1 verbinden die Einspeisung 6 mit den jeweiligen Komponenten 2 bis 5, die Anschlussleitungen 9.2, 10.2, 11.2, 12.2 die Einspeisung 7 mit den Komponenten 2 bis 5 und die Anschlussleitungen 9.3, 10.3, 11.3, 12.3 die dritte Einspeisung 8 mit den Komponenten 2 bis 5.
In jeder Anschlussleitung 9.1 bis 12.3 ist jeweils ein Schalter 13.1 bis 13.3, 14.1 bis 14.3, 15.1 bis 15.3 und 16.1 bis 16.3 angeordnet. Wie in 1 lediglich anhand der Schalter 13.1, 13.2 und 14.1 der Übersichtlichkeit halber angedeutet ist, sind den Schaltern 13.1 bis 16.3 jeweils Logik-Steuereinheiten 17, 18, 19 zugeordnet, wobei je eine gemeinsame Logik-Steuereinheit 17, 18, 19 für die den ersten bzw. zweiten bzw. dritten Anschlussleitungen 9.1 bis 12.1 bzw. 9.2 bis 12.2 bzw. 9.3 bis 12.3 der jeder Bremskomponente 2, 3, 4, 5 zugeordneten Schaltern 13.1 bis 16.1 bzw. 13.2 bis 16.2 bzw. 13.3 bis 16.3 vorgesehen ist. Die Logik-Steuereinheit 17 steuert also die Schalter 13.1, 14.1, 15.1 und 16.1. Entsprechendes gilt für die beiden anderen Logik-Steuereinheiten 18, 19.
Die drei Logik-Steuereinheiten 17, 18, 19 sind ferner mit einer Versorgungsdiagnose-Einheit 20 verbunden, die die drei Einspeisungen 6, 7, 8 auf ordnungsgemäße Funktion überwacht. Sobald an einer oder mehreren der Einspeisungen 6, 7, 8 ein Fehler auftritt, wird dies der entsprechenden Logik-Steuereinheit 17, 18, 19 gemeldet, die entsprechende Maßnahmen ergreift, wie sie im Folgenden noch näher anhand einer Fehlfunktions-Auflistung dargestellt werden.
Die Schalter 13.1 bis 16.3 werden durch eine Schalterdiagnose-Einheit 21 überwacht, die wiederum mit den entsprechenden Logik-Steuereinheiten 17, 18, 19 verbunden ist. Aus Übersichtlichkeitsgründen sind lediglich Sammelleitungen 22, 23 von der Schalterdiagnose-Einheit 21 zu den Schaltern 13.1 bis 16.3 gezeigt. Letztere können im Übrigen durch elektromechanische Relais oder – wie im Fall des Schalters 14.3 angedeutet – als Halbleiterschalter z.B. in Form von MOSFET-Transistoren gebildet sein. In letzterem Falle ist die häufig zu findende bauartbedingte (sogenannte) parasitäre Diode 24 für die fehlersichere Auslegung der Energieversorgungseinrichtung 1 zu berücksichtigen, d.h. es sind ein einfach redundanter Verpolschutz in Form von z.B. zwei seriell geschalteten Dioden pro Energieeinspeisung 6, 7, 8 und eine „antiserielle" Ausführung der Schalter mit MOSFETs erforderlich. Ein solcher Verpolschutz ist in der beigefügten 1 durch das Bezugszeichen 25 angedeutet.
Mit einer erfindungsgemäßen Energieversorgungseinrichtung können nun beliebige Zweierkombinationen von Fehlern aus der folgenden Auflistung auftreten, ohne dass die Energieversorgung beeinträchtigt wird, d.h., dass die Fehler unter sicherheitstechnischen Aspekten tolerabel sind. In dieser Auflistung sind der Fehlertyp und anschließend die zu seiner Tolerierung vorgesehene Maßnahme angegeben:

– Schalter bleibt fehlerhaft in der Schaltstellung „auf": da jede angeschlossene Komponente mit jeweils einem Schalter pro Energieeinspeisung versehen ist, kann eine Spannungsversorgung über einen der intakten Schalter erfolgen.
– Schalter bleibt fehlerhaft in Schalterstellung „zu" und/oder Kurzschluss in einer defekten Komponente gegen ein für die Versorgung der Komponenten 2, 3, 4, 5 zu niedriges Potential: Entkopplung der Versorgungen der Komponenten 2, 3, 4, 5 durch Öffnen der intakten Schalter, die mit dem fehlerhaften Schalter bzw. der fehlerhaften kurzgeschlossenen Komponente direkt verbunden sind.
– Eine Logik-Steuereinheit steuert die Schalter fehlerhaft in Schaltstellung „auf": Da drei parallele Logik-Steuereinheiten vorgesehen sind und jede davon jeweils nur eine System-Energieversorgung zu- bzw. abschalten kann, ist eine Dreifach-Auslegung (d.h. 2-fache Redundanz) gegeben.
– Eine Logik-Steuereinheit steuert einen Schalter fehlerhaft in Schalterstellung „zu" und/oder Kurzschluss einer defekten Komponente gegen ein für die Versorgung der Komponenten 2, 3, 4, 5 zu niedriges Potential: die Logik-Steuereinheiten sind so ausgeführt, dass ein Einfachfehler maximal die fehlerhafte Steuerung eines Schalters bewirken kann. Entkopplung der Versorgungen der nicht betroffenen Komponenten durch Öffnen der intakten Schalter, die mit dem fehlerhaft geschlossenen Schalter bzw. der fehlerhaft kurzgeschlossenen Komponente direkt verbunden sind.
– Kurzschluss in einer Komponente: Die entsprechende Komponente kann über die ihr zugeordneten Schalter von allen drei Energieeinspeisungen entkoppelt werden.
– Einspeisungsseitig liegt in den Energieeinspeisungen ein Kurzschluss einer Leitung gegen Masse vor: Die betroffene Energieeinspeisung kann durch Ausschalten der zugeordneten Schalter komplett entkoppelt werden.
– Einspeisungsseitig liegt ein Kurzschluss einer Leitung gegen eine andere Bordnetzleitung mit unterschiedlichem Spannungsniveau vor: Es ist ein einfach redundanter Verpolschutz pro Energieeinspeisung vorgesehen.

Claims

Energieversorgungseinrichtung für bordnetzgestützte, sicherheitsrelevante Systemkomponenten von Fahrzeugen, insbesondere für Bremskomponenten elektromechanischer Bremssysteme in Kraftfahrzeugen, mit – drei voneinander unabhängigen Energieeinspeisungen (6, 7, 8), – je einer durch einen Schalter (13.1 bis 16.3) zu öffnenden und zu schließenden Anschlussleitung (9.1 bis 12.3) zwischen jeder Energieeinspeisung (6, 7, 8) und jeder Systemkomponente (2, 3, 4, 5), wobei die drei Anschlussleitungen (9.1 bis 12.3) jeder Komponente (2, 3, 4, 5) dieser parallel vorgeschaltet sind, gekennzeichnet durch – Logik-Steuereinheiten (17, 18, 19) für die Schalter (13.1 bis 16.3), wobei je eine gemeinsame Logiksteuereinheit (17, 18, 19) für die den ersten, zweiten und dritten Anschlussleitungen (9.1 bis 12.3) jeder Systemkomponente (2, 3, 4, 5) zugeordneten Schaltern (13.1 bis 16.3) vorgesehen ist.
Energieversorgungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die Logik-Steuereinheiten (17, 18, 19) jeweils mit einer Versorgungsdiagnose-Einheit (20) für die Energieeinspeisungen (6, 7, 8) gekoppelt sind.
Energieversorgungseinrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Schalter (13.1 bis 16.3) jeweils mit einer Schalterdiagnose-Einheit (21) versehen sind, die wiederum mit den Logik-Steuereinheiten (17, 18, 19) gekoppelt sind.
Energieversorgungseinrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass zumindest ein Teil der Schalter (13.1 bis 16.3) jeweils als Halbleiterschalter (14.3) bestehend aus zwei antiseriell geschalteten MOSFETs ausgebildet ist.
Energieversorgungseinrichtung nach Anspruch 4, dadurch gekennzeichnet, dass in den die Halbleiterschalter (14.3) versorgenden Einspeisungsleitungen (6, 7, 8) eine Verpolschutzeinrichtung (25) vorgesehen ist.
Energieversorgungseinrichtung nach Anspruch 5, dadurch gekennzeichnet, dass die Verpolschutzeinrichtung (25) einfach redundant angelegt ist.