DE102011085463A1

DE102011085463A1 - Steuereinrichtung und Hybridantrieb mit einer Brennkraftmaschine, einem Elektromotor und einem elektrischen Energiespeicher oder dergleichen Antriebspaket

Info

Publication number: DE102011085463A1
Application number: DE102011085463A
Authority: DE
Inventors: Ingo Lehmann
Original assignee: MTU Friedrichshafen GmbH
Current assignee: Rolls Royce Solutions GmbH
Priority date: 2011-10-28
Filing date: 2011-10-28
Publication date: 2013-05-02
Anticipated expiration: 2031-10-29
Also published as: DE102011085463B4

Abstract

Die Erfindung betrifft eine Steuereinrichtung zur Steuerung eines Antriebspakets mit einer Anzahl von unterschiedlichen Antriebskomponenten – insbesondere zur Steuerung eines Hybridantriebs mit einem Brennkraftmotor, einem Elektromotor und einem elektrischen Energiespeicher für ein Schienenfahrzeug – mit einer Basisplattform, auf der – ein erstes Steuermodul und ein zweites Steuermodul angeordnet ist, wobei das erste und zweite Steuermodul zur Ausführung einer Steuer- und/oder Regelfunktion für das Antriebspaket ausgebildet ist. Erfindungsgemäß ist vorgesehen, dass das erste und zweite Steuermodul zur Ausführung der gleichen Steuer- und/oder Regelfunktion für das eine Antriebspaket wenigstens für eine sicherheitsrelevante Funktion redundant ausgelegt ist, und ein drittes Steuermodul zur Ausführung einer Rechenfunktion für die Steuer- und/oder Regelfunktion des ersten Steuermoduls und des zweiten Steuermoduls ausgebildet ist, wobei das dritte Steuermodul über einen externen Datenbus mit dem ersten und zweiten Steuermodul und das erste und zweite Steuermodul über internen Datenbus miteinander kommunizierend verbunden ist.

Description

Die Erfindung betrifft eine Steuereinrichtung und einen Hybridantrieb mit einer Brennkraftmaschine, einem Elektromotor und einem elektrischen Energiespeicher oder dergleichen Antriebspaket.
Ein Antriebspaket der eingangs genannten Art hat sich für einen Traktionsstrang eines Schienenfahrzeugs bewährt. Das Antriebspaket eines Hybridantriebs ist beispielsweise wie in DE 10 2009 014 591 A1 beschrieben in einem Triebkopf des Schienenfahrzeugs untergebracht. Dort ist eine Doppelantriebsanlage beschrieben, wobei jede der Antriebsanlagen derselben eine Brennkraftmaschine und eine Übersetzungseinheit umfasst. Bei der Steuerung wird anhand einer Soll-Ist-Abweichung des Antriebsmoments und einer Prädiktionsantriebsart über einen Traktionsmanager eine Soll-Antriebsart im Sinne eines Einfach- oder Doppelantriebs, ein Soll-Betriebspunkt sowie eine Soll-Übersetzungsstufe für die Übersetzungseinheiten festgelegt. Ein erstes Steuergerät ist dabei für einen A-seitigen Schienenfahrzeugteil und ein zweites Steuergerät für einen B-seitigen Schienenfahrzeugteil vorgesehen. Die Antriebsanlagen der A- und B-Seite sind mit Brennkraftmaschinen gleicher Leistungsabgabe symmetrisch und identisch aufgebaut. Nach Erreichen der maximal zulässigen Fahrzeuggeschwindigkeit ist nur noch diejenige Antriebsleistung erforderlich, welche zur Beibehaltung des Beharrungszustands notwendig ist. Im Beharrungszustand wird die zum Vortrieb vorgesehene Brennkraftmaschine auf einen Betriebspunkt nahe der Volllastkurve eingestellt und die andere Brennkraftmaschine auf einen Betriebspunkt nahe der Leerlaufdrehzahl.
Die einzelne für ein einziges Antriebspaket vorgesehene Steuereinrichtung ist noch verbesserbar. Wünschenswert ist insbesondere eine im Hinblick auf eine Optimierungsstrategie ausgelegte Hardware- und Softwarearchitektur für die Steuereinrichtung.
An dieser Stelle setzt die Erfindung an, deren Aufgabe es ist eine Steuereinrichtung und einen Hybridantrieb mit einem Antriebspaket anzugeben – insbesondere für einen Traktionsstrang eines Schienenfahrzeugs –, die im Hinblick auf eine Optimierungsstrategie einer Steuer- und/oder Regelfunktion für das Antriebspaket verbessert ist.
Die Aufgabe betreffend die Steuereinrichtung wird durch eine Steuereinrichtung mit den Merkmalen des Anspruchs 1 gelöst. Die Aufgabe hinsichtlich des Hybridantriebs, insbesondere hinsichtlich des Hybridantriebs mit Traktionsstrang für ein Schienenfahrzeug, wird mit den Merkmalen des Anspruchs 21 gelöst. Die Erfindung führt auch auf ein Schienenfahrzeug mit einem Hybridantrieb gemäß dem Konzept der Erfindung.
Die Erfindung geht von der Überlegung aus, dass die Implementierung einer Optimierungsfunktion für eine Steuer- und/oder Regelfunktion für ein Antriebspaket unterschiedlichen Randbedingungen genügen sollte.
Zum einen erweist sich die Steuer- und Regelfunktion für das Antriebspaket als wesentlich für die Funktionstüchtigkeit des Antriebspakets. Beispielsweise kann ein Traktionsausfall bei einem Antriebspaket für ein Traktionsstrang eines Schienenfahrzeugs nicht toleriert werden. Wenigstens eine sicherheitsrelevante Funktion hat geeigneten Sicherheitsbedingungen zu unterliegen; die Auslegungskriterien sind also besonders sicherheitsrelevant. Vorliegend sind unter Sicherheitsbedingungen beispielsweise die in EN 61508 niedergelegten funktionalen Sicherheiten elektronischer Systeme zu verstehen. Insbesondere betrifft dies traktionsändernde oder dgl. menschengefährdende Funktionen. Eine Anweisung zum Anfahren eines Zuges ist sicherheitsrelevant und kann nur unter Berücksichtigung von Sicherheitsbedingungen einer bestimmten Stufe – z. B. SIL1 bis SIL4 – erfolgen. Auch widersprüchliche Anweisungen eines Zugsteuergeräts und eines Bremssteuergeräts können z. B. nicht hingenommen werden, da diese ggfs. bremswegverlängernd wirken könnten.
Zum Anderen besteht beim Steuern- und/oder Regeln, insbesondere im Schienenverkehr, der Bedarf nach – insbesondere vorausschauenden, sogenannten prädiktiven – Optimierungsfunktionalitäten. Die Erfindung hat erkannt, dass für eine Optimierungsfunktion andere Rahmenbedingungen herrschen sollten als für eine sicherheitsrelevante Funktion.
Die Erfindung geht aus von einer Steuereinrichtung mit einer Basisplattform auf der ein erstes Steuermodul und ein zweites Steuermodul angeordnet ist, wobei das erste und zweite Steuermodul zur Ausführung einer Steuer- und/oder Regelfunktion für das Antriebspaket ausgebildet ist. Erfindungsgemäß ist das erste und zweite Steuermodul zur Ausführung der gleichen Steuer- und/oder Regelfunktion für das eine Antriebspaket ausgelegt. Die Steuer- und/oder Regelfunktion ist für eine sicherheitsrelevante Funktion redundant ausgelegt. Mit der redundanten Auslegung kann ein besonders hoher Sicherheitsstandart erreicht werden, insbesondere beispielsweise im Rahmen einer höheren SIL-Stufe von SIL3 oder SIL4.
Darüber hinaus ist erfindungsgemäß vorgesehen, dass ein drittes Steuermodul – insbesondere separat und zusätzlich zum ersten und zweiten Steuermodul – auf der Basisplattform angeordnet ist; d. h. eine getrennte Ausführung und Anordnung des ersten und zweiten Steuermoduls einerseits und des dritten Steuermoduls andererseits unterstützt die unabhängige Realsierung der sicherheitsrelevanten Funktion möglichst ohne, dass eine nicht-sicherheitsrelevante Funktion Eingriff haben kann. Das dritte Steuermodul ist auf die Ausführung einer Rechenfunktion für die Steuer- und/oder Regelfunktion des ersten Steuermoduls und des zweiten Steuermoduls ausgebildet.
Erfindungsgemäß ist darüber hinaus vorgesehen, dass das dritte Steuermodul über einen externen Datenbus mit dem ersten und zweiten Steuermodul kommunizierend verbunden ist und das erste und zweite Steuermodul über einen internen Datenbus miteinander kommunizierend verbunden sind.
Die Erfindung hat erkannt, dass die Ausführung von Optimierungsfunktionen, insbesondere von zugeordneten Optimierungsalgorithmen, beispielsweise zeitlichen und rechenaufwandsbezogenen Rahmenbedingungen unterliegen, die gegebenenfalls nicht vorhersehbar sind; insbesondere können diese fahrsituationsabhängig nur bedingt in einen Sicherheitsstandards genügenden unabhängigen Taktprozess – insbesondere unabhängig von einem Interrupt-Prozess – eingepasst werden. Beispielsweise kann die Ausführung der Rechenfunktion in einem Rechenmodul des dritten Steuermoduls – etwa die Durchführung von komplexen Optimierungsalgorithmen wie die Lösung von Differentialgleichungssystemen, neuronalen Netzen oder MonteCarlo-Simulationen – zum Einen zeitunkritisch erfolgen und zum Anderen kann dies nicht die sicherheitsrelevante Ausführung der Steuer- und/oder Regelfunktion gefährden.
Die Steuereinrichtung gemäß dem Konzept der Erfindung betrifft insbesondere eine Hardware-Steuereinrichtung. Die Erfindung umfasst insbesondere eine auf Hardware beschränkte Hardware-Steuereinrichtung mit einem ersten Hardware-Steuermodul, einem zweiten Hardware-Steuermodul und einem dritten Hardware-Steuermodul. Das Konzept der Erfindung ist jedoch nicht beschränkt auf eine Hardware-Steuereinrichtung sondern bezieht sich insbesondere auch auf eine Hardware-Steuereinrichtung in Kombination mit einer dazu angepassten Software-Steuereinrichtung. Demgemäß können dem ersten Steuermodul ein erstes Hardware-Steuermodul und ein erstes Software-Steuermodul zugeordnet sein. Dem zweiten Steuermodul können ein zweites Hardware-Steuermodul und ein zweites Software-Steuermodul zugeordnet sein. Dem dritten Steuermodul können ein drittes Hardware-Steuermodul und ein drittes Software-Steuermodul zugeordnet sein. Das Konzept der Erfindung ist grundsätzlich auch anwendbar auf eine bloße Software-Steuereinrichtung mit einem ersten Software-Steuermodul und einem zweiten Software-Steuermodul sowie einem dritten Software-Steuermodul. Die Erfindung umfasst insbesondere eine auf Software beschränkte Software-Steuereinrichtung mit einem ersten Software-Steuermodul, einem zweiten Software-Steuermodul und einem dritten Software-Steuermodul.
Die redundante Auslegung des ersten und zweiten Steuermoduls zur Ausführung dergleichen sicherheitsrelevanten Funktion der Steuer- und/oder Regelfunktion für das eine Antriebspaket umfasst insbesondere die Maßnahme, dass im Betrieb die wenigstens eine sicherheitsrelevante Funktion der Steuer- und/oder Regelfunktion für das Antriebspaket von einem dominanten Steuermodul, also eines von dem ersten und zweiten Steuermodul, vorgegeben und ausgeführt wird. Die gleiche übernehmbare Steuer- und/oder Regelfunktion wird von dem nicht-dominanten Steuermodul, also das andere von dem ersten und zweiten Steuermodul, vorgegeben ohne ausgeführt zu werden. Somit besteht in einem Fehlerfalle die Möglichkeit, dass ein nicht-dominantes Steuermodul die sicherheitsrelevante Funktion für das Antriebspaket vom fehlerhaften dominanten Steuermodul übernimmt und danach das bis dahin dominante Steuermodul als nicht-dominantes Steuermodul geführt wird. Anders ausgedrückt kann die von dem ersten (dominanten) Steuermodul vorgegebene sicherheitsrelevante Funktion abgleichbar mit der von dem (nicht-dominanten) Steuermodul vorgegebenen sicherheitsrelevanten Funktion sein. Dazu kann im Falle eines Normalabgleichs der sicherheitsrelevanten Funktion, diese ausgeführte Steuer- und/oder Regelfunktion für das eine Antriebspaket weiter von dem gleichen (bis dahin und weiter dominanten) Steuermodul vorgegeben werden. Im Falle eines Fehlerabgleichs der vorgegebenen sicherheitsrelevanten Funktion, kann diese ausgeführte Steuer- und/oder Regelfunktion für das eine Antriebspaket gewechselt werden und von dem anderen (bis dahin nicht-dominanten und nun dominanten) Steuermodul ausgeführt werden. Das dominante Steuermodul wechselt im Falle eines Fehlerabgleichs also in ein nicht-dominantes Steuermodul und im Falle eines Normalabgleichs bleibt es weiter ein dominantes Steuermodul, bzw. das nicht-dominante Steuermodul wechselt im Falle eines Fehlerabgleichs in ein dominantes Steuermodul und bleibt im Falle eines Normalabgleichs weiter ein nicht-dominantes Steuermodul.
Vorteilhafte Weiterbildungen der Erfindung sind den Unteransprüchen zu entnehmen und geben im Einzelnen vorteilhafte Möglichkeiten an, das oben erläuterte Konzept im Rahmen der Aufgabenstellung sowie hinsichtlich weiterer Vorteile zu realisieren.
Vorzugsweise ist das dritte Steuermodul zur Ausführung einer Rechenfunktion für die Steuer- und/oder Regelfunktion derart beschränkt, dass die Steuer- und/oder Regelfunktion selbst nicht ausführbar ist. Dadurch wird eine Eingriffsmöglichkeit einer nicht-sicherheitsrelevanten Funktion in eine sicherheitsrelevante Funktion besonders sicher vermieden. Das dritte Steuermodul kann so vorteilhaft in besonders angepasster Weise auf die Optimierungsfunktion ausgelegt sein. Im Rahmen einer besonders bevorzugten Weiterbildung kann das dritte Steuermodul auf die Ausführung der Rechenfunktion für die Steuer- und/oder Regelfunktion des ersten und zweiten Steuermoduls, d. h. insbesondere auch zur Unterstützung der Steuer- und/oder Regelfunktion, beschränkt werden. In besonders bevorzugter Weise eignet sich das dritte Steuermodul damit zur Ausführung von Optimierungsalgorithmen. Dazu kann beispielsweise eine Datenauswertung und/oder ein Beobachteralgorithmus auf dem dritten Steuermodul ausgeführt werden. Die Optimierungsalgorithmen können ausgebildet sein, der Steuer- und/oder Regelfunktion eine optimierte Betriebsführung, insbesondere eine prädiktiv bestimmte Betriebsführung, für das Antriebspaket zu ermöglichen.
Bevorzugt ist auf dem ersten und zweiten Steuermodul mittels einer sicherheitsrelevanten Programmapplikation die sicherheitsrelevante Funktion ausführbar, insbesondere zunächst nur freigebbar. Dadurch lässt sich der Aufwand für eine sicherheitsrelevante Funktion besonders effektiv gestalten. Insbesondere in Verknüpfung damit hat es sich als bevorzugt erwiesen, dass auf dem ersten und zweiten Steuermodul mittels einer nicht notwendigerweise sicherheitsrelevanten Programmapplikation eine Steuer- und/oder Regelfunktion für das eine Antriebspaket ausführbar ist.
Nach einer Weiterbildung der Erfindung kann eine sicherheitsrelevante Programmapplikation zur redundanten Ausführung der sicherheitsrelevanten Funktion in einer Partition gekapselt sein, insbesondere nur zur Ausführung auf der ersten und zweiten Steuereinrichtung vorgesehen sein. Insbesondere ist das dritte Steuermodul ausgebildet die Steuer- und/oder Regelfunktion selbst nicht auszuführen. Das dritte Steuermodul lässt sich so vorteilhaft im Hinblick auf die Optimierungsfunktion verbessern. Bevorzugt wird über die vorgenannte Partition zusätzlich erreicht, dass die somit partitionierte Optimierungsfunktion selbst nicht die redundante Ausführung der Steuer- und/oder Regelfunktion, wie sie auf dem ersten und zweiten Steuermodul redundant ausgeführt wird, gefährdet oder beeinträchtigt.
Besonders bevorzugt umfassen die Optimierungsalgorithmen eine Datenauswertung und/oder einen Beobachteralgorithmus, der ausbildet ist, der Steuer- und/oder Regelfunktion eine prädiktiv bestimmte Betriebsführung des Antriebspakets zu ermöglichen. Insbesondere kann ein Modulsystem aus dem ersten, zweiten und dritten Steuermodul einen prädiktiven Antriebspaketcontroller bilden, der zur Ausführung eines prädiktiven Trackmanagements mit partitionierter sicherheitsrelevanten Funktion ausgebildet ist. Insbesondere kann diese Weiterbildung vorteilhaft genutzt werden, um einen Hybridantrieb mit einer Brennkraftmaschine, einem Elektromotor und einem elektrischen Energiespeicher oder dergleichen Antriebspaket, – insbesondere Hybridantrieb für einen Triebkopf eines Schienenfahrzeugs, insbesondere Hybridantrieb mit Traktionsstrang für ein Schienenfahrzeug – mit einer prädiktiven Steuereinrichtung bereitzustellen.
Grundsätzlich lässt sich das Konzept der Erfindung bzw. einer der Weiterbildungen dadurch ergänzen, dass das dritte Steuermodul zur Steuerung und/oder Regelung von Service und Komfortfunktionen zusätzlich ausgebildet ist; auch diese haben regelmäßig eine geringere Sicherheitsrelevanz als die eigentlichen Steuer- und/oder Regelfunktionen für den Antriebsprozess selbst des Antriebspakets. Zusätzlich oder alternativ zur vorgenannten Weiterbildung lässt sich das dritte Steuermodul auch als Dialog-Schnittstelle für weitere Daten nutzen, sofern sie sich nicht für die Steuer- und/oder Regelfunktion, insbesondere den damit verbundenen sicherheitsrelevanten Daten beziehen.
Insbesondere kann eine nicht notwendigerweise sicherheitsrelevante Programmapplikation einer Steuer- und/oder Regelfunktion für das eine Antriebspaket auf dem ersten und zweiten Steuermodul und eine nicht sicherheitsrelevante rechenbezogene Programmapplikation zur Ausführung der Rechenfunktion auf dem dritten Steuermodul über einen externen Datenbus miteinander kommunizierend verbunden sein.
Der interne Datenbus eignet sich insbesondere zur Auslegung mit einer höheren Übertragungsrate als der externe Datenbus. Der interne Datenbus lässt sich insbesondere zu einem determinierten Redundanzabgleich zwischen dem ersten und zweiten Steuermodul nutzen. Zusätzlich oder alternativ kann der interne Datenbus auch zu einem determinierten Integerabgleich des ersten und zweiten Steuermoduls ausgebildet sein. Dadurch wird in besonders bevorzugter Weise die Redundanz des ersten und zweiten Steuermoduls und/oder eine Integeraussage des ersten und/oder zweiten Steuermoduls gewährleistet. Im Rahmen einer besonders bevorzugten Weiterbildung kann der externe Datenbus beispielsweise getrennt werden, um ein Integerabgleich des ersten und zweiten Steuermoduls über den internen Datenbus vorzunehmen. Bevorzugt ist der interne und externe Datenbus auf derselben Busleitung realisiert, bei welcher der externe Datenbus für einen Integerabgleich unterbrechbar ist.
Insbesondere ist der externe Datenbus zur deterministischen Abfrage von optimierten Steuer- und Regeldaten zur Ausführung der Steuer- und/oder Regelfunktionen ausgebildet. Da das dritte Steuermodul bevorzugt zur Ausbildung der Rechenfunktion für Optimierungsalgorithmen für die Steuer- und/oder Regelfunktion ausgebildet sein kann, lässt sich der externe Datenbus vor allem für die deterministische Abfrage der Rechenergebnisse aus der Rechenfunktion auslegen.
Bevorzugt ist ein Datenbus, insbesondere ein interner und externer Datenbus, in Form eines ETHERNET-Bus ausgebildet. Grundsätzlich möglich ist jedoch auch ein Kann-Bus oder dergleichen beschränkterer Busauslegung. Grundsätzlich erweist sich ein ETHERNET-Bus als besonders vorteilhaft, da dieser vergleichsweise hohe Kapazitäten, Flexibilität und Schnelligkeit zur Verfügung stellt. Im Rahmen der separaten Ausführung der Steuermodule hat es sich als besonders bevorzugt erwiesen, dass eine Schnittstellt als eine Steckverbindung zum Datenbus ausgeführt ist.
Im Rahmen der bevorzugten Beschränkung des dritten Steuermoduls auf die Rechenfunktion hat es sich als vorteilhaft erwiesen, dass nur das erste und zweite Steuermodul jeweils eine I/O-Schnittstelle zur Basisplattform aufweisen, während das dritte Steuermodul ohne I/O-Schnittstelle zur Basisplattform ausgeführt ist. Eine Steuer- und/oder Regelfunktion des dritten Steuermoduls ist damit selbst nicht ausführbar. Gleichwohl hat es sich als vorteilhaft erwiesen, dass dem dritten Steuermodul Schnittstellendaten zur Verfügung stehen, die auch den ersten und zweiten Steuermodul zur Verfügung stehen. Vorteilhaft lässt sich für das dritte Steuermodul und damit ein Zugriff auf die I/O-Schnittstelle des ersten und zweiten Steuermoduls zuordnen. Im Rahmen einer besonders bevorzugten Realisierung dieser Weiterbildung, verfügt das dritte Steuermodul über eine SPI-Schnittstelle mit dem ersten und zweiten Steuermodul. Eine SPI-Schnittstelle genügt insofern den normierten Schnittstellenerfordernissen zwischen sicherheitsrelevanten Systemen und nicht sicherheitsrelevanten Systemen (EN 50129). Generisch ist die Sicherheitsrelevanz von Systemen betreffend die SIL-Stufen in der Norm EN 61508 angegeben.
Das Konzept der Erfindung führt insbesondere auf eine Steuereinrichtung, die für ein Antriebspaket eines Schienenfahrzeugs angepasst ist. Vorzugsweise weist eine solche Steuereinrichtung, ein drittes Steuermodul auf, dass einen prädiktiven Antriebspaket-Controller, insbesondere einen Bahn-Hybridcontroller aufweist, der zur Ausführung eines prädiktiven Track-Managements ausgebildet ist. Eine bevorzugte Ausführung des prädiktiven Track-Managements sieht vor, dass ein elektronischer Streckenfahrplan streckenabschnittsbezogen über ein Zugsteuergerät vorgegeben wird und eine streckenabschnittsbezogene Antriebsart des Schienenfahrzeugs mittels des elektronischen Streckenfahrplans prädiktiv bestimmt wird. Die betrifft insbesondere eine leistungsbezogene prädiktive Betriebsführung des Bahn-Hybridantriebs wie sie in DE 10 2008 038 753 A1 im Detail beschrieben ist. DE 10 2008 038 753 A1 wird an dieser Stelle mit dem gesamten Offenbarungsgehalt durch Zitat in die vorliegenden Anmeldungsunterlagen aufgenommen.
Im Rahmen einer besonders bevorzugten Weiterbildung ist an den prädiktiven Antriebspaket-Controller wenigstens ein Modell für wenigstens eine Antriebskomponente, vorzugsweise für mehrere unterschiedliche Antriebskomponenten, angeschlossen. Dies kann ein Antriebsmodell für den Brennkraftmotor und den Elektromotor betreffen. Besonders bevorzugt umfasst dies ein Modell für den elektrischen Energiespeicher. Insbesondere lässt sich der prädiktive Antriebspaket-Controller unter Zugrundelegung eines Energiespeichermodells ausführen. Beispielsweise lässt sich die streckenabschnittsbezogene Betriebsführung des Antriebspakets prädiktiv hinsichtlich der Antriebsart und/oder prädiktiv hinsichtlich der Betriebsführung des elektrischen Energiespeichers ausführen. Entsprechende Rechenfunktionen zur modellbasierten Ausführung von prädiktiven Optimierungsalgorithmen sind auf dem dritten Steuermodul durchführbar. Das dritte Steuermodul kann besonders vorteilhaft hinsichtlich Rechenkapazität und Schnelligkeit geeignet ausgelegt werden ohne dass die sicherheitsrelevanten Steuer- und/oder Regelfunktionen des ersten und zweiten Steuermoduls berührt werden.
Ausführungsbeispiele der Erfindung werden nun nachfolgend anhand der Zeichnung im Vergleich zum Stand der Technik, welcher zum Teil ebenfalls dargestellt ist, beschrieben. Diese soll die Ausführungsbeispiele nicht notwendigerweise maßstäblich darstellen, vielmehr ist die Zeichnung, wo zur Erläuterung dienlich, in schematisierter und/oder leicht verzerrter Form ausgeführt. Im Hinblick auf Ergänzungen der aus der Zeichnung unmittelbar erkennbaren Lehren wird auf den einschlägigen Stand der Technik verwiesen. Dabei ist zu berücksichtigen, dass vielfältige Modifikationen und Änderungen betreffend die Form und das Detail einer Ausführungsform vorgenommen werden können, ohne von der allgemeinen Idee der Erfindung abzuweichen. Die in der Beschreibung, in der Zeichnung sowie in den Ansprüchen offenbarten Merkmale der Erfindung können sowohl einzeln als auch in beliebiger Kombination für die Weiterbildung der Erfindung wesentlich sein. Zudem fallen in den Rahmen der Erfindung alle Kombinationen aus zumindest zwei der in der Beschreibung, der Zeichnung und/oder den Ansprüchen offenbarten Merkmale. Die allgemeine Idee der Erfindung ist nicht beschränkt auf die exakte Form oder das Detail der im Folgenden gezeigten und beschriebenen bevorzugten Ausführungsform oder beschränkt auf einen Gegenstand, der eingeschränkt wäre im Vergleich zu dem in den Ansprüchen beanspruchten Gegenstand. Insbesondere ist das Konzept der Erfindung nicht beschränkt auf eine vorliegend als besondere Ausführungsform beschriebene Steuereinrichtung für einen Bahnhybridantrieb; das Konzept ist grundsätzlich auch anwendbar im Bereich von Wasserfahrzeugen, wie einer Yacht oder Fähre oder dergleichen, insbesondere wenn diese nach einem festen Fahrplan verkehren; das Konzept ist grundsätzlich auch anwendbar im Bereich von schweren Nutz- und Landfahrzeugen. Bei angegebenen Bemessungsbereichen sollen auch innerhalb der genannten Grenzen liegende Werte als Grenzwerte Offenbart und beliebig einsetzbar und beanspruchbar sein. Weitere Vorteile, Merkmale und Einzelheiten der Erfindung ergeben sich aus der nachfolgenden Beschreibung der bevorzugten Ausführungsbeispiele sowie anhand der Zeichnung; diese zeigt in:
1: ein Schema eines grundsätzlichen Hardware-und Software-Aufbaus für eine Steuereinrichtung, vorliegend zur Steuerung eines Bahn-Hybridantriebs, d. h. eines Antriebspakets mit einem Brennkraftmotor, einem Elektromotor und einem elektrischen Energiespeicher für einen Traktionsstrang eines Schienenfahrzeugs;
2: ein Funktionsschema eines Triebkopfes mit einem Bahn-Hybridantrieb in Kombination mit einem Traktionsstrang sowie mit einer Steuereinrichtung, die einen Antriebspaketcontroller mit einem ersten, zweiten und dritten Steuermodul aufweist, d. h. mit partitionierter Steuer- und/oder Regelfunktion in redundanter Auslegung einerseits und einer Optimierungsfunktion andererseits;
3: eine schematische Darstellung der redundant geführten ersten und zweiten Steuermodule separat von einem dritten Steuermodul auf einer Basisplattform, wobei weitere Paare eines ersten und zweiten Steuermoduls auf vorliegend wenigstens einer weiteren separaten Basisplattform – ggfs. auch der gleichen Basisplattform – vorgesehen sind; dies zur Erhöhung der Verfügbarkeit der durch die ersten und zweiten Steuermodule vorgegebenen sicherheitsrelevanten Funktion;
4: eine konkrete Ausführung einer Hardware-Steuereinrichtung gemäß dem Konzept der 1 bis 3 mit einem ersten, zweiten und dritten Steuermodul (UniversellesControlModul 1 bis 3) zur Darstellung einer prädiktiven Steuer- und/oder Regelfunktion für einen Hybridantrieb eines Schienenfahrzeugs;
5: eine konkrete Auslegung des dritten Steuermoduls (UniversellesControlModul 3) bei der Steuereinrichtung der 4;
1 zeigt schematisch den Hardware- und Software-Aufbau einer Steuereinrichtung 100 zur Steuerung eines Antriebspakets mit einer Anzahl von unterschiedlichen Antriebskomponenten wie dieser grundsätzlich allgemein einsetzbar ist, um eine Steuer- und/oder Regelfunktion einer höheren Sicherheitsrelevanz in Kombination mit einer Rechenfunktion niedrigerer Sicherheitsrelevanz zur Optimierung der Steuer- und Regelfunktion umzusetzen. Die Steuereinrichtung 100 ist auf einer Basisplattform 101 – hier eine standardisierte Basishardware mit entsprechenden Schnittstellen und Stromversorgung – mit einer geeigneten zweckmäßig ausgebildeten Betriebssystemsoftware 102 realisiert – auch als OperationSystem bezeichnet.
Auf der Basisplattform 101 ist eine Anordnung eines ersten, zweiten und dritten Steuermoduls 111, 121, 131 vorgesehen, die als Hardware-Steuermodul – wie in 4 dargestellt – ausgeführt sind. Davon sind das erste und zweite Steuermodul 111, 121 zur Ausführung der gleichen Steuer- und/oder Regelfunktion für ein in 2 dargestelltes Antriebspaket 200 in Form eines Hybridantriebs ausgelegt, insbesondere wenigstens für eine sicherheitsrelevante Funktion redundant ausgelegt. Das dritte Steuermodul 131 ist zur Ausführung einer Rechenfunktion 132 für die Steuer- und/oder Regelfunktion des ersten Steuermoduls 111 und des zweiten Steuermoduls 121 ausgebildet.
In 1 ist zunächst der Software-Aufbau 104 – vorliegend für beide Steuermodule 111, 121 gleich – beispielhaft und grundsätzlich gezeigt. Er umfasst ein Applikations-Exekutiv-Modul 105 (APEX) mit einer aufgesetzten Partitionierung 103 für eine Resourcen-Partitionierung und eine Zeit-Partitionierung, was das sichere Ausführen verschiedener Anwendungen auf der Basisplattform 101 zur gleichen Zeit sichert. Grundsätzlich läuft in jedem Teil der Partitionierung 103 eine eigene Anwendung wobei Multitasking in einem Partitionsteil erlaubt ist. Die Anzahl der Partitionierungsteile ist grundsätzlich nicht beschränkt. Die Partitionierung 103 sichert die weitgehend unabhängige und damit sichere Ausführung der hier exemplarisch gezeigten unterschiedlichen Applikationen AppliA und AppliB. Die Applikation AppliA ist in einem ersten Teil 103.1 der Partitionierung 103 gekapselt und die Applikation AppliB ist in einem zweiten Teil 103.2 der Partitionierung 103 gekapselt.
Die Applikation AppliA ist vorliegend eine sicherheitsrelevante Programmapplikation – in 2 als SiSy (Sicherheitssystem) bezeichnet – mittels der eine sicherheitsrelevante Funktion der Stufe SIL3 freigebbar ist. Dies kann beispielsweise das Anfahren einer Traktion oder auch das Abschalten einer Traktion betreffen, die beide potenziell personengefährdende Funktionen darstellen. Die Applikation AppliA läuft auf dem ersten Steuermodul 111 und analog – redundant – läuft eine weitere gleiche Applikation AppliA auf dem zweiten Steuermodul 121 als weitere sicherheitsrelevante Programmapplikation – in 2 als weiteres SiSy (Sicherheitssystem) bezeichnet.
Die Applikation AppliB ist vorliegend eine nicht sicherheitsrelevante Programmapplikation – in 2 als HPPST (HybridPowerPackSteuerung) bezeichnet – mittels der eine nicht sicherheitsrelevante Steuer- und/oder Regelfunktion der Stufe SIL0 ausführbar ist. Die Applikation AppliB läuft auf dem ersten Steuermodul 111. Analog läuft eine weitere gleiche Applikation AppliB – in 2 als PMon (PowerMonitor) bezeichnet – auf dem zweiten Steuermodul 121.
Die redundante Auslegung des ersten und zweiten Steuermoduls 111, 121 zur Ausführung dergleichen sicherheitsrelevanten Funktion mittels einer sicherheitsrelevanten Programmapplikation SiSy der Steuer- und/oder Regelfunktion für das eine Antriebspaket 200 umfasst insbesondere die Maßnahme, dass im Betrieb die wenigstens eine sicherheitsrelevante Funktion mittels der sicherheitsrelevanten Programmapplikation SiSy der Steuer- und/oder Regelfunktion für das Antriebspaket 200 von einem dominanten Steuermodul, also hier von dem ersten Steuermodul 111, vorgegeben und ausgeführt wird; dementsprechend erfolgt nach Freigabe der sicherheitsrelevanten Funktion durch das Sicherheitssystem mittels der sicherheitsrelevanten Programmapplikation SiSy im (dominanten) ersten Steuermodul 111 die nicht notwendigerweise sicherheitsrelevante Umsetzung im Rahmen der HybridPowerPackSteuerung HPPST.
Die gleiche – grundsätzlich übernehmbare – sicherheitsrelevante Funktion mittels einer sicherheitsrelevanten Programmapplikation SiSy und Steuer- und/oder Regelfunktion wird von dem nicht-dominanten Steuermodul, also hier das zweite Steuermodul 121, vorgegeben ohne ausgeführt zu werden. Der PowerMonitor PMon im (nicht-dominanten) zweiten Steuermodul 121 gibt im Prinzip die gleichen Maßnahmen vor, wie die Hybrid-PowerPackSteuerung HPPST im (dominanten) ersten Steuermodul 111. Somit besteht in einem Fehlerfalle die Möglichkeit, dass das nicht-dominante zweite Steuermodul 121 die sicherheitsrelevante Funktion für das Antriebspaket 200 vom fehlerhaften dominanten Steuermodul übernimmt und danach das bis dahin dominante erste Steuermodul 111 als nicht-dominantes Steuermodul geführt wird. Anders ausgedrückt kann die von dem ersten (dominanten) Steuermodul 111 vorgegebene sicherheitsrelevante Funktion SiSy abgleichbar mit der von dem zweiten (nicht-dominanten) Steuermodul 121 vorgegebenen sicherheitsrelevanten Funktion SiSy sein. Dazu kann im Falle eines Normalabgleichs der sicherheitsrelevanten Funktion SiSy, diese ausgeführte Steuer-und/oder Regelfunktion für das eine Antriebspaket 200 weiter von dem gleichen (bis dahin und weiter dominanten) ersten Steuermodul 111 vorgegeben werden. Im Falle eines Fehlerabgleichs der vorgegebenen sicherheitsrelevanten Funktion mittels der sicherheitsrelevanten Programmapplikationen SiSy, SiSy kann diese ausgeführte Steuer- und/oder Regelfunktion für das eine Antriebspaket 200 gewechselt werden und von dem anderen (bis dahin nicht-dominanten und nun dominanten) zweiten Steuermodul 121 ausgeführt werden.
Das dominante erste Steuermodul 111 wechselt im Falle eines Fehlerabgleichs also in ein nicht-dominantes Steuermodul und im Falle eines Normalabgleichs bleibt es weiter ein dominantes Steuermodul, bzw. das nicht-dominante zweite Steuermodul 121 wechselt im Falle eines Fehlerabgleichs in ein dominantes Steuermodul und bleibt im Falle eines Normalabgleichs weiter ein nicht-dominantes Steuermodul.
Die separaten Steuermodule 111, 121, 131 wiederum sind aus sicherheitsrelevanten Aspekten heraus gegeneinander geschützt; beispielsweise zur Vermeidung von Überladungen oder Fehlzugriffen. Das ebenfalls separate dritte Steuermodul 131 dient zur Darstellung von Optimierungsfunktionen für die Steuer- und/oder Regelfunktion der ersten und zweiten Applikation AppliA, AppliB; d. h. eine modellbasierte optimierende Prädiktionsrechnung auf dem dritten Steuermodul 131 – umfassend das Rechenmodell MODELL und das Rechenmodul OPTpräd – ist wie die jeweiligen nicht-sicherheitsrelevanten Applikationen AppliB (HPPST und PMon) auf dem ersten und zweiten Steuermodul 111, 121 nicht sicherheitsrelevant; d. h. SIL0. Dagegen sind die freigebenden sicherheitsrelevanten Programmapplikation SiSy zur Darstellung der sicherheitsrelevanten Funktion SiSy sicherheitsrelevant auf SIL3.
Vorliegend werden also Softwarekomponenten (Applikationen) höherer Sicherheitsrelevanz (AppliA, SiSy) von den Softwarekomponenten niedrigerer Sicherheitsrelevanz (AppliB, PMon, HPPST) partitioniert jeweils auf dem ersten und zweiten Steuermodul 111, 121 bzw. auf ein separates Steuermodul 131 ausgelagert; letzteres ist vorliegend zur Ausführung einer Rechenfunktion 132 für die Steuer- und/oder Regelfunktion derart beschränkt, dass die Steuer- und/oder Regelfunktion selbst nicht ausführbar ist. Durch das Ressourcen Partitioning soll das Gesamtsystem so entwickelt und erweiterbar sein, dass vor der Inbetriebnahme so konfigurierbar ist, dass die Verfügbarkeit von Ressourcen (CPU-Zuteilung, Kommunikationsbandbreite etc.) im Umfang der Konfiguration garantiert und nicht vom zufälligen Aufeinandertreffen mehrerer Ereignisse ungünstig beeinflusst werden kann.
Aufgrund der Partitionierung 103 dieser Art auf dem ersten und zweiten Steuermodul 111, 121 und der separaten Ausführung des dritten Steuermoduls 131 kann dennoch eine integrierte Sicherheitslösung nach SIL3 angeboten werden, die zusätzlich eine Optimierungsfunktionen zur Verfügung stellt. Beispielsweise wird ein zusätzlicher Beobachter als Recheneinheit auf der die sicherheitsrelevanten Funktionen beinhaltenden ersten und zweiten Steuermodule 111, 121 nicht mehr benötigt, da dieser auf das dritte Steuermodul 131 ausgelagert ist. Darüberhinaus ist auf dem Betriebssystem 102 eine sicherheitsrelevante Partitionierung 103 für die SIL3-Funktionen und SILI0-Funtkionen mittels des APEX 105 implementiert. Im ersten Teil 103.1 der Partitionierung 103 ist die sicherheitsrelevante Applikation AppliA gekapselt. Im zweiten Teil 103.2 der Partitionierung 103 ist die nicht-sicherheitsrelevante Applikation AppliB getrennt von der restlichen Software gekapselt. Das Resourcen-, Schnittstellen- und Zeitmanagement der APEX trennt die SIL3-Funktionen und SILI0-Funtkionen von einander und den sonstigen Funktionalitäten der Steuereinrichtung 100. Im sicherheitsrelevanten ersten Teil 103.1 der Partitionierung 103 wird die Applikation AppliA (SiSy) nach einem fest definierten Zeitschaltmodell ausgeführt und ist somit nicht Interrupt gesteuert. Dagegen kann die der Optimierungsfunktion dienende Software bzw. Rechenfunktion der Applikation AppliB (HPPST, PMon) interrupt gesteuert sein.
Die vorliegende Ausführungsform einer integrierten Sicherheitslösung nach SIL3 hat den Vorteil, dass eine Entwicklung im Ansatz beschleunigt und kostengünstiger organisiert werden kann. Ein Zertifizierungsaufwand für die integrierte Sicherheitslösung nach SIL3, die gleichwohl funktionsoptimiert ist, lässt sich reduzieren. Darüber hinaus wird die Möglichkeit eröffnet, Teile der Entwicklung wiederzuverwenden ohne die Gesamtzertifizierung durchlaufen zu müssen. Dies führt zu einem bevorzugten inkrementellen Zertifizierungsverfahren, bei dem dennoch eine dynamische und Up-to-Date-Entwicklung von Optimierungsfunktionen möglich ist.
Das System wird ein Fail-Passive-Verhalten haben; um weitere Anwendungen und Anforderungen für die Zukunft erfüllen zu können, ist es wichtig auch Redundanz-Managementkonzepte in der Software zu haben, welche in der Lage ist, einer Fail-Active-Anforderung gerecht zu werden; dies wird vorliegend durch die Darstellung der redundanten ersten und zweiten Steuermodule 111, 121 jeweils mit den Applikationen AppliA, AppliB erreicht.
Insgesamt wird eine integrierte Sicherheitslösung möglich, welche zusätzliche Rechner einspart und eine Nachqualifikation nicht nur der Software, sondern auch der Hardware durch Änderung in nichtsicherheitsrelevante Partitionen unnötig macht. Es können z. B. komplette Softwarecodes von anderen Steuergeräten in einer Partition abgelegt werden und somit auf die Hardware und auf die Qualifikation derselben verzichtet werden. Software kann für andere sicherheitsrelevante Anwendung verwendet werden.
2 zeigt – wie bereits teilweise erläutert – die Hardwareseite der Umsetzung des in 1 gezeigten Partitionskonzeptes; dies für ein Antriebspaket 200 mit einer Anzahl von unterschiedlichen Antriebskomponenten, nämlich vorliegend einem Hybridantrieb eines Dieselmotors 210, eines Elektromotors 220, der als Generatormotor (Statorgenerator) und einem Energiespeicher 230 ausgeführt ist (vorliegend eine Batterie, grundsätzlich jedoch auch jedes andere Powerpack wie beispielsweise ein Superkondensator oder dergleichen). Zu dem so als Hybridantrieb ausgelegten Antriebspaket 200 gehört auch ein Traktionsstrang, der ein Getriebe 240 aufweist, das über eine Welle mit dem Elektromotor 220 verbunden ist. Über eine weitere Welle lässt sich das Drehmoment des Getriebes 240 auf ein Wendegetriebe 250 umlegen, dass die Traktionsleistung auf die Achsen und damit auf die Räder des Triebkopfes 1000 für ein Schienenfahrzeug weitergibt.
Eine Steuereinrichtung 100, wie sie grundsätzlich im Soft- und Hardwareaufbau der 1 gezeigt ist, ist zur Umsetzung von sicherheitsrelevanten Funktionen mittels der sicherheitsrelevanten Programmapplikation SiSy – bei höherer Sicherheitsstufe SIL3 – redundant ausgelegt; d. h. das erste und zweite Steuermodule 111, 121 ist wie erläutert redundant ausgelegt. Das dritte Steuermodul 130 ist vorliegend mit einer Rechenfunktion 132 zur Unterstützung der Steuer- und/oder Regelfunktionen, insbesondere der nicht sicherheitsrelevanten Steuer- und/oder Regelfunktionen der AppliB (HPPST, PMon), die auf dem zweiten Teil 103.2 der Partitionierung des ersten und zweiten Steuermoduls 111, 121 laufen, ausgebildet. Das dritte Steuermodul 131 weist dazu allgemein zur Ausführung von Optimierungsalgorithmen ein Rechenmodul – hier ein auf einem Prädiktionsmodell MODELL basierendes Prädiktionsmodul OPTpräd – für die Steuer- und/oder Regelfunktion auf. Vorliegend umfassen die Optimierungsalgorithmen Rechenfunktionen 132 wie die Lösung von Differentialgleichungssystemen, neuronalen Netzen und Monte Carlo-Simulationen, um eine prädiktiv bestimmte Betriebsführung des Hybridantriebs zu ermöglichen.
Das dritte Steuermodul 131 kann auch einen hier nicht gezeigten Monitor aufweisen, der die Ergebnisse des Optimierungsalgorithmus hinsichtlich Sicherheitserfordernisse überprüft. Der Monitor übernimmt beispielsweise ein Sicherheitsmanagement mittels dem Eingangsgrößen, Ausgangsgrößen und Parameter eines Prädiktionsmodells MODELL für das Rechenmodul OPTpräd überwacht werden. Insgesamt wird mittels dem Modulsystem aus dem ersten, zweiten und dritten Steuermodul 111, 121, 131 somit ein prädiktiver Antriebspaket-Controller 160 realisiert, der beispielsweise für die prädiktive Bestimmung einer Antriebsart oder prädiktive Betriebsführung eines elektrischen Energiespeichers ausgelegt sein kann.
Die prädiktive Regelung gehört zur Klasse der modellbasierten Regelungsverfahren und gestattet eine Vorhersage in die Zukunft, dem sogenannten Prädiktionshorizont. Die eignet sich insbesondere für nicht messbare Regelstrecken, die somit über eine modellbasierte Prädiktionsregelung ersetzt werden. Zentraler Gedanke der Anwendung im Hinblick auf einen Triebkopf 1000 eines Schienenfahrzeugs der 2 ist die Nutzung eines elektronischen Streckenfahrplans SPL, der über Zugsteuergerät ZSG der Steuerung 100 zur Verfügung steht. Danach kann ein elektronischer Streckenfahrplan streckenabschnittsbezogen über ein Steuergerät vorgegeben werden und eine streckenabschnittsbezogene Antriebsart AA des Schienenfahrzeugs mittels des elektronischen Streckenfahrplans prädiktiv bestimmt werden. Die Betriebsführung des elektrischen Energiespeichers lässt sich beispielsweise unter Nutzung eines Energiespeichermodells i Rahmen des Prädiktionsmodells MODELL prädiktiv bestimmen. Beispielsweise kann unter Einbindung des Bremssteuergerätes und Modellierung des Energiespeichers ein Ladevorgang für den Energiespeicher streckenabschnittsbezogen prädiktiv gesteuert werden. D. h. ein Batteriespeichergerät umfasst ein Batterie-Management-System BMS und ein Batteriemodell BM zur Darstellung einer prädiktiven Steuerung auch der Batterieführung. Andere, hier nicht genannte Geräte, die in eine Steuereinrichtung 100 implementier werden können, sind lediglich der Vollständigkeit halber genannt, jedoch nicht im Einzelnen aufgeführt. Dazu gehören beispielsweise, aber nicht abschließend, ein Getriebesteuergerät GS, ein Umrichter-Steuergerät VCU, ein Steuergerät zur Festlegung des Abgases SCR sowie gegebenenfalls auch eine Einheit zur Angabe eines Höhenprofils für die Fahrstrecke. Insgesamt wird es beispielsweise möglich, den elektronischen Streckenfahrplan SPL auszuwerten und in Fahrprofil von Streckenabschnitten umzusetzen. Streckenabschnittsbezogen – und über die gesamte Fahrstrecke soweit möglich – lässt sich somit eine Abfolge von Prädiktionshorizonten erstellen, für die eine Antriebsart AA und eine prädiktiv bestimmte Batterieführung zur Verfügung steht.
Die einzelnen Bus-Systeme sind in 2 mit unterschiedlichen Strichstärken dargestellt. Insbesondere ist die Vernetzung der Steuereinrichtung 100 mit durchgezogener Strichstärke dargestellt. Die Verbindungen der redundant ausgeführten ersten und zweiten Steuereinheit 111, 121 untereinander wird als interner Datenbus 301 und die Verbindung derselben zum dritten Steuermodul 131 wird vorliegend auch als sogenannter externer Datenbus bezeichnet. Konkret sind die nicht-sicherheitsrelevante Rechenfunktion 132 des dritten Steuermoduls 131 sowie die nicht-sicherheitsrelevanten AppliB (PMon, HPPST) des ersten und zweiten Steuermoduls 111, 121 über einen externen Datenbus 302 verbunden. Der interne und externe Datenbus 301, 302 hat vorliegend als ETHERNET-Bus eine höhere Datenübertragungsrate und Kapazität als ein CAN-Bus und ist in Form der gleichen Leitung gebildet. Der interne und externe Datenbus 301, 302 sind somit auf derselben in 3 gezeigten Busleitung 300 realisiert, wobei der externe Datenbus 302 für einen Integerabgleich der ersten und zweiten Steuermodule 111, 121 kurzzeitig unterbrechbar ist. Der Integerabgleich stellt insbesondere die Redundanz der ersten und zweiten Steuermodule 111, 121 im Rahmen einer Integeraussage sicher.
Außerdem sind das erste, zweite und dritte Steuermodul 111, 121, 131 – somit der prädiktive Antriebspaket-Controller 160 – über einen weiteren mit durchgezogenen Linien gezeigten Signalbus 303 mit dem Zugsteuergerät ZSG und dem Bremssteuergerät BSG verbunden. Der Steuerbus 304 zu dem als Hybridantrieb ausgebildeten Antriebspaket 200 ist mit gestrichelter Linie dargestellt. Beispielsweise kann ein Bremssteuergerät BSG über das erste oder zweite redundante Steuermodul 111, 121 – je nach dem welches dominant ist – auf den Antriebsstrang des Antriebspakets 200 zugreifen. Durch einen Integerabgleich wird sichergestellt, dass keine unsicheren Fahrzustände auftreten können. Eine mittels des dritten Steuermoduls 131 zur Verfügung gestellte Rechenfunktion 132 für einen prädiktiven Antriebspaketcontroller 160 dient lediglich zur Optimierung des übergeordneten Anlagenrechners, wie hier der Antriebspaketcontroller 160 und greift über eine nicht sicherheitsrelevante Verbindung des Steuerbus 304 auf den Antriebsstrang zu.
3 zeigt das erste und zweite Steuermodul 111, 121 jeweils mit der sicherheitsrelevanten Programmapplikation SiSy – bei höherer Sicherheitsstufe SIL3 – redundant ausgelegt hinsichtlich der sicherheitsrelevanten Funktionalität, wobei die zugeordnete sicherheitsrelevante Programmapplikation SiSy in einem ersten Teil 103.1 der Partitionierung 103 gekapselt ist. Die nicht sicherheitsrelevante Programmapplikation HPPST (Hybrid-PowerPackSteuerung) des hier dominierend dargestellten ersten Steuermoduls 111 ist in einem zweiten Teil 103.2 der Partitionierung 103 gekapselt. Auf dem nicht dargestellten dritten Steuermodul 131 ist vorliegend eine Rechenfunktion 132 zur Unterstützung der Steuer- und/oder Regelfunktionen, insbesondere der nicht sicherheitsrelevanten Steuerund/oder Regelfunktionen der AppliB (HPPST, PMon), ausgebildet. Dazu weist die Rechenfunktion 132 hier ein auf einem Prädiktionsmodell MODELL basierendes Prädiktionsmodul OPTpräd auf.
In 3 ist deutlich gemacht, dass die redundante Kombination von erstem und zweitem Steuermodul 111, 121 auch mehrfach ausgeführt sein kann, beispielsweise wie in 3 dreifach oder mehrfach. Dazu können beispielsweise drei oder mehr Basisplattformen oder drei oder mehr Sätze von Prozessorkernen 1, 2, 3 vorgesehen sein, wobei jeder der Prozessorkerne 1, 2, 3 die redundante Ausführung der sicherheitsrelevanten Programmapplikation SiSy gewährleistet. Die Verfügbarkeit einer Integeraussage für die sicherheitsrelevante Programmapplikation SiSy wird dadurch erhöht. Beispielsweise kann eine APEX 105 der 1 in angepasster Weise derart ausgelegt werden, dass die Prozessorkerne 1, 2, 3 zyklisch abgefragt werden. So kann im Falle eines Fehlerabgleichs bei einem der Prozessorkerne 1, 2, 3 – also einer zunächst fehlenden Integeraussage – ein ggfs. Normalabgleich und eine positive Integeraussage bei einem der anderen Prozessorkerne 1, 2, 3 abgefragt werden.
In 3 ist deutlich gemacht, dass der interne und externe Datenbus 301, 302 zwischen den redundanten Steuermodulen 111, 121 auf dergleichen Busleitung 300 realisiert sind. Das erste und zweite Steuermodul sind über einen sehr schnell internen Datenbus 301, hier ein ETHERNET-Datenbus, miteinander verbunden. Dieser ermöglicht einen determinierten Redundanzabgleich des ersten und zweiten Steuermoduls 111, 121, nämlich unabhängig vom Interrupt in einem fest definierten Zeitscheibenmodell. Dieses kann beispielsweise so ausgelegt werden, dass alle Aufgaben in einer Zeitscheibe erledigt werden; dies erhöht die Verlässlichkeit der sicherheitsrelevanten Funktionen. Die Verbindung über den externen Datenbus 302 zwischen dem dritten Steuermodul 131 und dem ersten und zweiten Steuermodul 111, 121 ist vorteilhaft auch mit dem ETHERNET-Bus realisiert.
Im Einzelnen sind die als Steckverbindung zur Busleitung 300 ausgeführten Steuermodule 111, 121, 131 in den folgenden 4 und 5 gezeigt. Die Busleitung 300, d. h. der interne und externe Datenbus 301, 302 verbindet die Steuermodule 111, 121, 131; der sicherheitsrelevante interne Datenbus 301 die Steuermodule 111, 121 und der nicht sicherheitsrelevante externe Datenbus 302 die Steuermodule 111, 121 mit dem dritten Steuermodul 131. 4 zeigt eine besonders bevorzugte Realisierung einer Steuereinrichtung mit dem in 1 bis 3 erläuterten Konzept; dazu dient die hier gezeigte Hardware-Auslegung. Die Steuereinrichtung 100 weist ein erstes Steuermodul 111 als Teil einer ersten Steuereinheit 110 und ein zweites Steuermodul als Teil einer zweiten Steuereinheit 120 auf, die zur Ausführung der gleichen Steuer- und/oder Regelfunktion für ein und dasselbe Antriebspaket 200 – beispielsweise den Hybridantrieb der 2 – redundant ausgelegt sind. D. h. wie erläutert hat die erste bzw. zweite Steuereinheit 110, 120 jeweils ein eigenes Steuermodul 111 bzw. 121 sowie jeweils ein eigenes I/O-Schnittstellenmodul 112 bzw. 122. Jedes der Module hat eine separate Stromversorgung 113 bzw. 123 und 114 bzw. 124. Die Stromversorgungen 113, 114 bzw. 123, 124 sind über Stromanbindungen 143, 144 bzw. 153, 154 an eine gemeinsame Stromschiene 150 angeschlossen, die an eine zentrale Stromversorgung 140 für die Steuereinrichtung 100 anschließt. Jede der ersten und zweiten Steuereinheit 110, 120 ist mittels einer funktional- und hardwaremäßig realisierten Sicherheitsgrenze 115, 125 gegenüber der Umgebung abgegrenzt.
Separat und zusätzlich zur ersten und zweiten Steuereinheit 110, 120 ist eine dritte Steuereinheit 130 auf einer Standard-Hardware einer Basisplattform 101 aufgebracht. Die dritte Steuereinheit 130 weist ein eigenes Steuermodul 131 mit separater Stromversorgung 133 auf. Die Stromversorgung 133 ist wieder über eine Stromleitung 134 an die Stromschiene 150 und damit an die zentrale Stromversorgung 140 angebunden.
Der interne Datenbus 301 zwischen dem ersten und dem zweiten Steuermodul 111, 121 ist als ein schneller ETHERNET-Bus gebildet. Auch der externe Datenbus 302 zwischen dem dritten Steuermodul 131 und dem ersten und zweiten Steuermodul 111, 121 ist als ein ETHERNET-Bus fortgesetzt.
Die dritte Steuereinheit 131 ist auf die Ausführung einer Rechenfunktion 132 für die Steuer- und/oder Regelfunktion des ersten und zweiten Steuermoduls 111, 121 beschränkt. Die dritte Steuereinheit 130 weist kein eigenes Schnittstellenmodul auf. Vielmehr ist dem dritten Steuermodul 131 über den externen Datenbus 302 und dem internen Datenbus 301 ein Zugriff auf die Schnittstellenmodule 112, 122 erlaubt; dazu ist eine in 5 näher dargestellte Schnittstellensystematik des dritten Steuermoduls 131 vorgesehen. Die dargestellten SPI-Schnittstellen sind auf ein I/O-Schnittstellenmodul 112, 122 der ersten und zweiten Steuereinheit 110, 120 gemapt.
5 zeigt dazu im Detail die Vorderseite des dritten Steuermoduls 131 mit dem zentralen Prozessormodul 131.1; nämlich einem Mikroprozessorcontroller 5566M Freescale 132 MHz. Dieser hat vier SPI-Schnittstellen SPI1 bis SPI4, zwei SCI-Schnittstellen, SCI1, SCI2 sowie vier CAN-Bus-Schnittstellen, CAN2.B1 bis CAN2.B4. Außerdem ist dargestellt die schnelle Schnittstelle zum externen Datenbus 302 (Fast ETHERNET) sowie eine TPU- und MIOS-Einheit. Das Steuermodul 131 weist außerdem eine Speichereinheit 131.2, einen Gleichstromwandler 131.3 und ein Adaptionsmodul 131.4 auf. Letzteres dient zur Anpassung von Übertragungsraten der an den Schnittstellen bzw. der Busleitung 300 anstehenden Datenraten.
Bezugszeichenliste

1: Prozessorkern
2: Prozessorkern
3: Prozessorkern
100: Steuereinrichtung
101: Basisplattform
102: Betriebssystemsoftware
103: Partitionierung
103.1: erster Teil der Partition
103.2: zweiter Teil der Partition
104: Software-Aufbau
105: Applikations-Exekutiv-Modul (APEX)
110: erste Steuereinheit
111: erstes Steuermodul
112, 122: I/O-Schnittstellenmodul
113, 123: separate Stromversorgung
114, 124: separate Stromversorgung
115, 125: Sicherheitsgrenze
120: zweite Steuereinheit
121: zweites Steuermodul
130: dritte Steuereinheit
131: drittes Steuermodul
131.1: zentrales Prozessormodul
131.2: Speichereinheit
131.3: Gleichstromwandler
131.4: Adaptionsmodul
132: Rechenfunktion
133, 140: Stromversorgung
134: Stromleitung
143, 144: Stromanbindung
150: Stromschiene
153, 154: Stromanbindung
160: Antriebs-Controller
200: Antriebspaket
210: Dieselmotor
220: Elektromotor
230: Energiespeicher
240: Getriebe
250: Wendegetriebe
300: Busleitung
301: interner Datenbus
302: externer Datenbus
303: Signalbus
304: Steuerbus
1000: Triebkopf
AA: Antriebsart
AppliA, AppliB: nicht-sicherheitsrelevante Applikation
BMS: Batterie-Management-System
BSG: Batteriespeichergerät
GS: Getriebesteuergerät
MODELL: Prädiktionsmodell
OPTpräd: Prädiktionsmodul
PMon: PowerMonitor
SCR: Steuergerät zur Festlegung des Abgases
SIL0, SIL1, SIL2, SIL3, SIL4: Sicherheitsstufen
SiSy: sicherheitsrelevante Programmapplikation für sicherheitsrelevante Funktion
SPL: Streckenfahrplan
VCU: Umrichter-Steuergerät
ZSG: Flugsteuergerät

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102009014591 A1 [0002]
DE 102008038753 A1 [0026, 0026]

Zitierte Nicht-Patentliteratur

EN 61508 [0007]
EN 50129 [0025]
Norm EN 61508 [0025]

Claims

Steuereinrichtung (100) zur Steuerung eines Antriebspakets (200) mit einer Anzahl von unterschiedlichen Antriebskomponenten – insbesondere zur Steuerung eines Hybridantriebs mit einem Brennkraftmotor (210), einem Elektromotor (220) und einem elektrischen Energiespeicher (230) für ein Schienenfahrzeug – mit einer Basisplattform (101), auf der – ein erstes Steuermodul (111) und ein zweites Steuermodul (121) angeordnet ist, wobei das erste und zweite Steuermodul (111, 121) zur Ausführung einer Steuer- und/oder Regelfunktion für das Antriebspaket (200) ausgebildet ist, dadurch gekennzeichnet, dass das erste und zweite Steuermodul (111, 121) zur Ausführung der gleichen Steuerund/oder Regelfunktion für das eine Antriebspaket (200) wenigstens für eine sicherheitsrelevante Funktion redundant ausgelegt ist, und – ein drittes Steuermodul (131) zur Ausführung einer Rechenfunktion (132) für die Steuerund/oder Regelfunktion des ersten Steuermoduls (111) und des zweiten Steuermoduls (121) ausgebildet ist, wobei – das dritte Steuermodul (131) über einen externen Datenbus (302) mit dem ersten und zweiten Steuermodul (111, 121) und das erste und zweite Steuermodul (111, 121) über internen Datenbus (301) miteinander kommunizierend verbunden ist.
Steuereinrichtung (100) nach Anspruch 1, dadurch gekennzeichnet, dass das dritte Steuermodul (131) zur Ausführung einer Rechenfunktion (132) für die Steuer- und/oder Regelfunktion derart beschränkt ist, dass die Steuer- und/oder Regelfunktion selbst nicht ausführbar ist.
Steuereinrichtung (100) nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass auf dem ersten und zweiten Steuermodul (111, 121) mittels einer sicherheitsrelevanten Programmapplikation (SiSy) die sicherheitsrelevante Funktion ausführbar, insbesondere freigebbar, ist.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass auf dem ersten und zweiten Steuermodul (111, 121) mittels einer nicht notwendigerweise sicherheitsrelevanten Programmapplikation (HPPST, PMon) eine Steuerund/oder Regelfunktion für das eine Antriebspaket (200) ausführbar ist.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass eine nicht notwendigerweise sicherheitsrelevante Programmapplikation (HPPST, PMon) einer Steuer- und/oder Regelfunktion für das eine Antriebspaket (200) auf dem ersten und zweiten Steuermodul (111, 121) und eine nicht sicherheitsrelevante rechenbezogene Programmapplikation (MODELL, OPTpräd) zur Ausführung der Rechenfunktion (132) auf dem dritten Steuermodul (131) über einen externen Datenbus (302) miteinander kommunizierend verbunden ist.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass eine sicherheitsrelevante Funktion wenigstens eine traktionsändernde oder dgl. menschengefährdende Funktion umfasst, insbesondere der sicherheitsrelevanten Funktion aus der Steuer- und/oder Regelfunktion eine höhere Sicherheitsrelevanz, insbesondere SIL-Stufe (1–4), zugeordnet ist als der Rechenfunktion (132), insbesondere SIL-Stufe (0).
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass das erste und zweite Steuermodul (111, 121) zur redundanten Ausführung der sicherheitsrelevanten Funktion separat und zusätzlich zum dritten Steuermodul (131) auf der Basisplattform (101) angeordnet ist.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass eine sicherheitsrelevante Programmapplikation (SiSy) zur redundanten Ausführung der sicherheitsrelevanten Funktion in einer Partitionierung (103) gekapselt ist, insbesondere nur zur Ausführung auf dem ersten und zweiten Steuermodul (111, 121) vorgesehen ist.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass die Basisplattform (101) eine Anzahl von Steuersystemen mit einem ersten und zweiten Steuermodul (111, 121) aufweist und/oder mittels des ersten und zweiten Steuermoduls (111, 121) eine Anzahl von sicherheitsrelevanten Programmapplikationen (SiSy) redundant für die sicherheitsrelevante Funktion ausführbar ist.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, dass der externe Datenbus (302) zur deterministischen Abfrage von optimierten Steuer- und Regeldaten zur Ausführung der Steuer- und/oder Regelfunktion ausgebildet ist, insbesondere der interne Datenbus (301) eine höhere Übertragungsrate hat als der externe Datenbus (302).
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, dass der interne Datenbus (301) zu einem determinierten Redundanzabgleich des ersten und zweiten Steuermoduls (111, 121) und/oder zu einem determinierten Integerabgleich des ersten und zweiten Steuermoduls (111, 121) ausgebildet ist, insbesondere der interne Datenbus (301) eine höhere Übertragungsrate hat als der externe Datenbus (302).
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 11, dadurch gekennzeichnet, dass der interne und externe Datenbus (301, 302) auf derselben Busleitung (300) realisiert ist, bei welcher der externe Datenbus (302) für einen Integer- und/oder Redundanzabgleich unterbrechbar ist.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 12, dadurch gekennzeichnet, dass ein interner und externer Datenbus (301, 302) eine höhere Datenübertragungsrate aufweist als ein CAN-Bus, insbesondere in Form eines ETHERNET-Bus gebildet ist
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 13, dadurch gekennzeichnet, dass eine Schnittstelle mittels einer Steckverbindung zum Datenbus gebildet ist.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 14, dadurch gekennzeichnet, dass nur eine erste Steuereinheit (110) mit dem ersten Steuermodul (111) und eine zweite Steuereinheit (120) mit dem zweiten Steuermodul (121) jeweils eine I/O-Schnittstelle (112, 122) zur Basisplattform (101) aufweisen und eine dritte Steuereinheit (130) mit dem dritten Steuermodul (131) ohne eine solche I/O-Schnittstelle (112, 122) zur Basisplattform (101) ausgeführt ist, insbesondere das dritte Steuermodul (131) Zugriff auf die I/O-Schnittstellen (112, 122) der ersten und zweiten Steuereinheiten (110, 120) hat.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 15, dadurch gekennzeichnet, dass eine dritte Steuereinheit (130) über eine SPI-Schnittstelle mit einer ersten und zweiten Steuereinheit (110, 120) verbunden ist, insbesondere ein I/O-Kanal der SPI-Schnittstelle auf eine I/O-Schnittstelle (112, 122) der ersten und zweiten Steuereinheit (110, 120) gemapt ist.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 16, dadurch gekennzeichnet, dass eine dritte Steuereinheit (130) zur Steuerung und/oder Regelung von Service- und Komfortfunktionen ausgebildet ist und/oder eine Dialogschnittstelle aufweist.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 17, dadurch gekennzeichnet, dass das dritte Steuermodul (131) zur Ausführung der Rechenfunktion für Optimierungsalgorithmen für die Steuer- und/oder Regelfunktion ausgebildet ist.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 18, dadurch gekennzeichnet, dass die Optimierungsalgorithmen eine Datenauswertung und/oder einen Beobachteralgorithmus umfassen, der ausbildet ist, der Steuer- und/oder Regelfunktion eine prädiktiv bestimmte Betriebsführung des Antriebspaket (200) zu ermöglichen.
Steuereinrichtung (100) nach einem der Ansprüche 1 bis 19, dadurch gekennzeichnet, dass das Modulsystem aus dem ersten, zweiten und dritten Steuermodul (111, 121, 131) Teil eines prädiktiven Antriebspaket-Controllers (160) sind, der zur Ausführung eines prädiktiven Trackmanagements mit partitionierter sicherheitsrelevanter Funktion ausgebildet ist.
Hybridantrieb mit einer Brennkraftmaschine, einem Elektromotor (220) und einem elektrischen Energiespeicher (230) oder dergleichen Antriebspaket (200), – insbesondere Hybridantrieb für einen Triebkopf (1000) eines Schienenfahrzeugs, insbesondere Hybridantrieb mit Traktionsstrang für ein Schienenfahrzeug – mit einer Steuereinrichtung (100) nach einem der Ansprüche 1 bis 20.