-
Die
Erfindung betrifft ein Bordnetzsystem für ein Kraftfahrzeug nach dem
Oberbegriff des Anspruchs 1 sowie ein intelligentes Energieversorgungsgerät gemäß dem Oberbegriff
des Anspruchs 9 und ein Steuergerät gemäß dem Oberbegriff des Anspruchs
10.
-
Es
ist bekannt, elektrische Verbraucher, die in einem Kraftfahrzeugbordnetz
eingebunden sind über
Schmelzsicherungen abzusichern, so dass etwa bei einem Fehlverhalten
eines Verbrauchers in Form eines elektrischen Kurzschlusses dieser
Verbraucher oder eine diesem Verbraucher zugeordnete Gruppe von
Verbrauchern aufgrund eines „Durchbrennens" der bordnetzseitig
zugeordneten Schmelzsicherung vom Bordnetz getrennt wird.
-
Darüber hinaus
verfügen
einzelne Verbraucher über
einen eigenen Überstromschutz
und/oder eigene Abschalteinrichtungen. Sofern dabei ein individuelles – aufgrund
von Prüfroutinen
initiiertes – Abschalten
von Verbrauchern vorgesehen ist, geschieht dies entweder durch Eigendiagnose
des jeweiligen Verbrauchers, in dem dieser selbständig, durch
ein Ereignis initiiert oder aufgrund einer dauernd oder in zeitlichen
Abständen
ablaufenden Prüfroutine,
einen Fehler erkennt und daraufhin eigenständig durch den eigenen Prozessor
veranlasst, sich selbst abschaltet. Alternativ kann ein Fehler auch
aufgrund einer Fremddiagnose beispielsweise durch ein übergeordnetes
Steuergerät
erkannt werden. Hierbei erfolgt die Abschaltung aber ebenfalls eigenständig durch
den Prozessor des als fehlerhaft erkannten Verbrauchers.
-
Der
Erfindung liegt die Aufgabe zugrunde, ein Bordnetzsystem für ein Kraftfahrzeug,
ein intelligentes Energieversorgungsgerät sowie ein Steuergerät zu schaffen,
wodurch eine verbesserte Funktionssicherheit gewährleistet werden kann.
-
Diese
Aufgabe wird durch die Gesamtheit der Merkmale des Anspruchs 1 gelöst. Bei
dem erfindungsgemäßen Bordnetzsystem
ist zumindest ein intelligentes Energieversorgungsgerät vorhanden,
welches im Stande ist, ein als fehlerbehaftet detektiertes Steuergerät in einen
sicheren Zustand zu überführen. Erfindungsgemäß ist hierfür das Energieversorgungsgerät bzw. jedes
Energieversorgungsgerät
derart ausgebildet, dass es bei Vorliegen einer Fehlfunktion eines
Steuergerätes,
dieses durch Trennung von der Energieversorgung abschaltet und/oder
bei Vorliegen einer Störung
des Datenaustausches (Kommunikationsstörung) bei einem Steuergerät, dieses in
einen stand-alone-Betrieb überführt. Die
Erkennung, ob ein Steuergerät
fehlerbehaftet ist, kann sowohl durch die Steuergeräte selbst,
als auch durch das/die Energieversorgungsgeräte) oder durch beide Gerätearten
gemeinsam festgestellt werden. Von Bedeutung ist die Unterscheidung
der Fehlerarten in zum einen, das Vorliegen einer Fehlfunktion eines Steuergerätes – in diesem
Fall arbeitet das Steuergerät
nicht mehr ordnungsgemäß – und zum
anderen, das Vorliegen einer Störung
des Datenaustausches bei einem Steuergerät – in diesem Fall ist das Steuergerät als solches
fehlerfrei, allerdings ist die Kommunikation mit diesem Steuergerät im Kommunikationsverbund
fehlerbehaftet. Zur Optimierung der Funktionalität und der Sicherheit eines
Bordnetzsystems kann auf die unterschiedlichen Fehlerarten unterschiedlich
reagiert werden.
-
Die
energiemäßige Abschaltung
eines wegen Fehlfunktion fehlerbehafteten Steuergerätes erfolgt
gemäß der Erfindung
stets fremdgesteuert, also nicht durch das fehlerbehaftete Steuergerät selbst, sondern
durch ein Energieversorgungsgerät
oder aber ein anderes fehlerfreies Steuergerät. Vorzugsweise erfolgt die
Energieabschaltung ausschließlich durch
ein Energieversorgungsgerät.
Zum Zwecke der Energieabschaltung können beispielsweise in die Versorgungsleitungen
der Steuergeräte
steuerbare Halbleiterschalter angeordnet werden.
-
Die Überführung in
den stand-alone-Betrieb – in
dem ein Steuergerät
keine oder eine gestörte Kommunikation
mehr zu anderen Steuergeräten
hat und ausschließlich
aufgrund seiner lokal verfügbaren (Sensor-)Informationen
einen oder mehrere lokal angebundene Aktuatoren ansteuert – kann sowohl fremdgesteuert,
das heißt
durch ein anderes Steuergerät
oder ein Energieversorgungsgerät
oder durch das aufgrund einer Kommunikationsstörung fehlerbehaftete Steuergerät selbst
realisiert werden. In einer bevorzugten Ausführung findet die Überführung in
einen stand-alone-Betrieb stets durch das fehlerbehaftete Steuergerät selbst
statt, sobald dieses eine Kommunikationsstörung bei seinem Datenaustausch realisiert
(selbst feststellt oder durch andere Geräte mitgeteilt bekommt). Eine
derartige Kommunikationsstörung
kann darin begründet
sein, dass entweder der Datenaustausch gänzlich unterbrochen oder erkennbar
fehlerbehaftet ist.
-
Ein
stand-alone-Betrieb findet vorzugsweise Anwendung, wenn mehrere
oder gar alle Steuergeräte
in ihrer Kommunikation gestört
bzw. unterbrochen sind (Totalausfall der Kommunikation). In diesem
Fall ist ein stand-alone-Betrieb der einzelnen Steuergeräte einem
Totalausfall der Steuergeräte
vorzuziehen und so eine Art Notsteuerung des Systems gewährleistet.
-
Für den Fall,
das nur ein einzelnes Steuergerät
bzw. ein einzelnes Steuergerät
einer Gruppe von funktionell zugehörigen Steuergeräten in seiner Kommunikation
gestört
ist (was insbesondere über die
anderen Steuergeräte
festgestellt wird), kann dieses zwar in den stand-alone-Betrieb überführt werden
bzw. sich selbst in diesen Betrieb schalten, bevorzugt wird es jedoch
von dem Energieversorgungsgerät
abgeschaltet (von der Energieversorgung getrennt).
-
In
einer besonders bevorzugten Ausführungsform
der Erfindung ist das intelligente Energieversorgungsgerät redundant
ausgeführt.
Auf diese Weise wird ein als fehlerbehaftet detektiertes Steuergerät erst von
der Energieversorgung getrennt, wenn tatsächlich beide Energieversorgungsgeräte das entsprechende
Steuergerät
von ihrer Energieversorgung trennen.
-
Zur
Erkennung von Fehlfunktionen ist die Erfassung von Ausgangsgrößen (insbesondere
Kommunikationsdaten und jegliche Art von Prozessgrößen) der
zu überwachenden
Steuergeräte
erforderlich. Die erfassten Ausgangsgrößen werden dann im Wege der
Datenkommunikation innerhalb des Kommunikationsverbundes weitergeleitet
und verarbeitet.
-
Im
Folgenden wird die Erfindung anhand von Figuren näher erläutert. Es
zeigen:
-
1:
die schematische Darstellung eines erfindungsgemäßen Bordnetzsystems mit einem
intelligenten Energieversorgungsgerät und einer Mehrzahl von mit
diesem energiemäßig und
datentechnisch verbundenen Steuergeräten,
-
2:
ein Bordnetzsystem gemäß 1 mit ausgefallener
Datenkommunikation zwischen allen Teilnehmern,
-
3:
ein Bordnetzsystem gemäß 1 mit ausgefallener
Datenkommunikation bei einem Teilnehmer und
-
4:
ein Bordnetzsystem mit redundant ausgeführter Energieversorgung.
-
1-3 zeigen
das erfindungsgemäße Bordnetzsystem
für ein
Kraftfahrzeug in einer bevorzugten Ausführung in einer schematischen
Darstellung. Das erfindungsgemäße System
umfasst ein intelligentes Energieversorgungsgerät 2 sowie eine Mehrzahl
von Steuergeräten 4.
-
Dabei
sind die Steuergeräte 4 über eine Kommunikationsverbindung 6 (insbesondere
einen Bus) datentechnisch sowohl untereinander als auch mit dem
Energieversorgungsgerät 2 verbunden.
In einer Weiterbildung kann mindestens eine weitere Kommunikationsverbindung 6 (nicht
dargestellt) z.B. für
eine redundante Datenübertragung
oder eine getrennte Übertragung
verschiedenartiger Daten vorgesehen sein. So könnten über eine erste Kommunikationsverbindung 6 alle
Prozessdaten zur Steuerung von Prozessfunktionen und über die
zweite Kommunikationsverbindung 6 Daten zur Steuerung für eine Abschaltung
oder eine Überführung in
den stand-alone-Betrieb ausgetauscht werden. Bei einer Datenkommunikation
innerhalb eines derartigen – ein
intelligentes Energieversorgungsgerät 2 sowie eine Mehrzahl
von Steuergeräten 4 umfassenden – Kommunikationsverbundes,
kann in anderen Ausführungen
der Datenaustausch teilweise oder gänzlich drahtlos (z.B. Funk,
Infrarot oder dergleichen) realisiert werden.
-
Zum
Zwecke der Energieversorgung ist jedes Steuergerät 4 zusätzlich über eine
Energieversorgungsverbindung 8 (vorzugsweise über eine
elektrische Ader-Leitung oder einen Versorgungsbus) mit dem Energieversorgungsgerät 2 verbunden.
Ein Steuergerät 4 gemäß der Erfindung
ist beispielsweise ein intelligenter Aktuator A, wie ein Bremssteuergerät o.d.,
welcher wiederum hierarchisch untergeordnete, in der Regel nicht
intelligent ausgeführte
Aktuatoren, wie beispielsweise elektrische oder elektro hydraulische
Aggregate zur Betätigung
der tatsächlichen
Bremselemente, ansteuert. Um eine gezielte Ansteuerung der Aktuatoren
A vornehmen zu können,
benötigt
jedes Steuergerät 4 Informationen.
Diese Informationen können
einfache Befehle eines übergeordneten
Steuergerätes 4 oder
des Energieversorgungsgerätes 2 sein.
Diese Informationen können
aber auch aufgrund eigener Daten des Steuergerätes 4 vorliegen. Hierfür sind die
Steuergeräte 4 vorzugsweise
mit Sensoren S verbunden. Mit Hilfe der eigenen Sensordaten kann
insbesondere in einem stand-alone-Betrieb eine gewisse Grundfunktionalität aufrechterhalten
werden.
-
Aufgrund
der erfindungsgemäßen Ausgestaltung
des Bordnetzsystems verfügt
das Energieversorgungsgerät 2 über alle
Informationen bezüglich
Fehlfunktionen einzelner Steuergeräte 4 oder einer unterbrochenen
oder fehlerhaften Kommunikation einzelner Steuergeräte 4 innerhalb
des Kommunikationsverbundes.
-
Eine
Detektierung eines fehlerbehafteten Steuergerätes 4 aufgrund von
Fehlfunktionen desselben oder aufgrund einer unterbrochenen oder
gestörten
Datenkommunikation desselben, erfolgt bevorzugt über das intelligente Energieversorgungsgerät 2.
Alternativ kann diese Detektierung auch über jedes andere Steuergerät 4 innerhalb
des Kommunikationsverbundes realisiert werden. Bei einer Fehlerbehaftung
aufgrund einer Fehlfunktionalität
ist eine Detektierung jedoch nicht durch das fehlerbehaftete Steuergerät 4 selbst
zulässig.
-
Aufgrund
einer Detektierung im vorstehend genannten Sinne wird das erkannte
Steuergerät 4 in einen
sicheren Zustand überführt in dem
es entweder durch Trennung von der Energieversorgung abgeschaltet
wird oder in einen stand-alone-Betrieb überführt wird.
-
Bevorzugt
erfolgt eine Abschaltung, in dem das detektierte Steuergerät 4 von
der Energieversorgung durch das Energieversorgungsgerät 2 abgetrennt
wird. Ein stand-alone-Betrieb
ist vorzugsweise nur dann vorgesehen, wenn das detektierte Steuergerät 4 in
seiner Funktion fehlerfrei ist und lediglich aufgrund einer Störung des
Datenaustauschs (Kommunikationsstörung) als fehlerbehaftet detektiert wurde.
-
Eine Überführung in
den stand-alone-Betrieb kann sowohl von einem „dritten" Gerät
(Energieversorgungsgerät 2 oder
Steuergerät 4)
innerhalb des Kommunikationsverbundes als auch von dem betroffenen
Steuergerät 4 selbst
veranlasst werden. Bevorzugt erfolgt eine Schaltung in den stand-alone-Betrieb
stets durch das mit einer Kommunikationsstörung behaftete Steuergerät selbst.
-
Bevor
ein als fehlerhaft detektiertes Steuergerät 4 abgeschaltet wird,
wird ggf. überprüft, ob es sich
um ein Steuergerät 4 für einen
sogenannten „sicheren
Betrieb" handelt
(z.B. Steuergeräte
für drive-by-wire
Anwendungen). Ist dies der Fall, erfolgt eine Abschaltung vorzugsweise
nur bei übereinstimmendem
Abschaltkommando mehrerer überwachender
Steuergeräte 4 und/oder
Energieversorgungsgeräte 2 oder
eines oder mehrerer in der Priorität übergeordneter Steuergeräte 4 oder
Energieversorgungsgeräte 2.
-
In
einer Weiterbildung der Erfindung ist der stand-alone-Betrieb eines
Steuergerätes 4 durch
die anderen Geräte
des Kommunikationsverbundes überprüfbar. Sollten
eine Mehrheit der Geräte
innerhalb des Kommunikationsverbundes ein im stand-alone-Betrieb befindliches
beziehungsweise ein in den stand-alone-Betrieb zu überführendes Steuergerät 4 aufgrund
bestimmter zu überprüfender Kriterien
eher einem abgeschalteten Zustand zuordnen, wird das sich im stand-alone-Betrieb
befindende Steuergerät 4 von
der Energieversorgung getrennt. Hierfür kann ein Abschaltbefehl auf
Anforderung der Steuergeräte 4 an
das Energieversorgungsgerät 2 übermittelt
bzw. von dem Energieversorgungsgerät 2 aufgrund der Prüfungsergebnisse
der Steuergeräte 4 generiert
werden. Bei der Überprüfung bestimmter Kriterien
wird beispielsweise geprüft,
ob das überprüfte Steuergerät 4 lediglich
ein einzelnes bzw. eines aus einer Gruppe mehrerer funktional zusammengehörender Steuergeräte 4 ist,
so dass eine wichtige Funktion bei einer Abschaltung dieses Steuergerätes 4 nicht
gefährdet
ist.
-
Für den Fall,
dass alle oder mehrere Steuergeräte 4 in
ihrer Kommunikation gestört
oder unterbrochen sind, erfolgt vorzugsweise keine Abschaltung von
der Energieversorgung, sondern stattdessen eine Umschaltung der
Steuergeräte 4 in
den stand-alone-Betrieb. So können
die Folgen eines Totalausfalls eines Systems abgemildert werden,
in dem noch eine gewisse Grundfunktionalität aufrechterhalten wird.
-
Vorzugsweise
werden die Steuergeräte 4 in regelmäßigen Zeitabständen innerhalb
des Kommunikationsverbundes darauf hin überprüft, ob sie sich in einem Zustand „ausgefallen" befinden. Zur Reaktivierung
ausgefallener Steuergeräte 4 können diese einzeln
kurzzeitig von der Energieversorgung getrennt werden (sog. power-down-reset).
Nach Wiederhochfahren des zuvor ausgefallenen Steuergerätes 4 kann
eine Reintegration in das Kommunikationsnetz erfolgen bzw. wird
eine Reintegration zumindest versucht. Auf diese Weise können als
fehlerbehaftet detektierte und deshalb ursprünglich abgeschaltete Steuergeräte 4 als
auch Steuergeräte 4,
die sich beispielsweise „softwaremäßig aufgehängt" haben und deshalb
nicht mehr im Kommunikationsverbund sind, die ansonsten aber fehlerfrei
und funktionsfähig
sind wieder in den Kommunikationsverbund integriert werden. Ein
power-down-reset wird mit Vorteil nur dann eingeleitet, wenn durch
eine Mehrheit von überwachenden
Steuergeräten 4 und/oder
Energieversorgungsgeräten 6 ein
Zustand „ausgefallen" für des entsprechende
Steuergerät
erkannt wurde. Eine solche Mehrheit muss nicht zwingend aufgrund der
Geräteanzahl
allein erfolgen, hier können
auch unterschiedliche Gewichtungen bzw. Prioritäten einzelner Geräte berücksichtigt
werden.
-
In
der 2 ist schematisch ein (Gesamt-)Kommunikationsausfall
im Bordnetzsystem dargestellt, während
die 3 den Kommunikationsausfall bei einem einzelnen
Steuergerät 4 zeigt.
-
Eine
besonders bevorzugte Ausführung
der Erfindung ist in 4 dargestellt, wo die Energieversorgung
redundant ausgeführt
ist. Hierfür
sind vorzugsweise zwei intelligente Energieversorgungsgeräte 2 vorhanden,
die jeweils über
eine eigene Energieversorgungsverbindung 8a, 8b selbständig jedes einzelne
(zumindest aber die wichtigsten) Steuergeräte) 4 mit Energie
versorgen. Auf diese Weise wird in erhöhtem Maße sichergestellt, dass Fehlabschaltungen
von Steuergeräten 4 aufgrund
von fehlerhaften Informationen im System vermieden werden. Bevor
ein Steuergerät 4 energiemäßig abgeschaltet wird,
müssen
erst beide Energieversorgungsgeräte 2 das
Steuergerät 4 tatsächlich abschalten – ansonsten
bleibt stets zumindest eine Energieversorgung aufrecht erhalten
und so das entsprechende Steuergerät 4 im System eingebunden.
-
Darüber hinaus
betrifft die Erfindung ein intelligentes Energieversorgungsgerät 2 sowie
ein Steuergerät 4 für ein vorstehend
beschriebenes Bordnetzsystem. Das erfindungsgemäße Energieversorgungsgerät 2 ist
derart ausgebildet, dass jedes energiemäßig angebundene Steuergerät 4 selektiv abschalten
kann. Das erfindungsgemäße Steuergerät 4 ist
erfindungsgemäß derart
ausgebildet, dass es bei Vorliegen einer Kommunikationsstörung sich selbst
in den vorstehend beschriebenen stand-alone-Betrieb schaltet.