-
Technisches Gebiet
-
Die vorliegende Erfindung betrifft eine Vorrichtung zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes, insbesondere eines elektrischen Bordnetzes beziehungsweise Energie-Bordnetzes eines Kraft-, Hybrid- oder Elektrofahrzeus. Ferner betrifft die Erfindung ein Verfahren zum Absichern von wenigstens einer Bordnetz-Komponente eines solchen Fahrzeug-Bordnetzes.
-
Stand der Technik
-
Aus der Praxis sind Fahrzeug-Bordnetze bekannt, die dazu dienen, eine Vielzahl von elektrischen Verbrauchern beziehungsweise Lasten mit elektrischer Energie zu versorgen. Zum Schalten dieser Lasten können beispielsweise Halbleiterschalter als so genannte High-Side-Schalter eingesetzt werden, die die jeweiligen Verbraucher wahlweise mit elektrischer Energie versorgen oder abschalten.
-
Des Weiteren ist aus der Praxis bekannt, dass in einem Fahrzeug-Bordnetz elektrische Überströme als elektrische Fehlfunktionen auftreten können, die beispielsweise durch eine Überlast oder einen elektrischen Kurzschluss verursacht werden. Bei den Kurzschlüssen können beispielsweise eine ungewünschte elektrische Verbindung zwischen einer Spannung führenden elektrischen Leitung und Masse oder eine unerwünschte elektrische Verbindung zwischen zwei eine elektrische Spannung führenden elektrischen Leitungen sporadisch oder dauerhaft sowie in unterschiedlicher Ausprägung auftreten. In jedem Fall ist es für die Funktionssicherheit eines Fahrzeugs erforderlich, das Fahrzeug-Bordnetz gegen unerwünschte elektrische Überströme und/oder Kurzschlüsse abzusichern. Damit soll insbesondere ein Schutz vor thermischer Überlastung gewährleistet werden.
-
Ist der Schutz gegen thermische Überlast ein Sicherheitsziel gemäß der funktionalen Sicherheit, so darf die Restfehlerwahrscheinlichkeit, dass dieses Sicherheitsziel durch die Vorrichtung nicht erreicht wird, nicht höher sein als eine vorgegeben Metrik (z.B. 100 Fit, Fehler in Time). Zu dem hierfür notwendigen Sicherheitskonzept gehört ein Diagnose-Abdeckungs-Grad von z.B. mindestens 90%. Latente Fehler, die dazu führen können, dass thermische Überlast nicht detektiert und abgeschaltet werden kann, müssen also zu 90% erkannt werden, bevor ein Schadensfall z.B. durch Kurzschluss eintritt. Erkennt die Diagnose, dass zum Beispiel die Kurzschlusserkennung nicht funktioniert, so liegt ein latenter Fehler vor. Der Fehler ist deshalb latent, da für den Eintritt eines Schadensfalls neben dem Ausfall der Kurzschlusserkennung noch das Eintreten eines Kurzschlusses hinzukommen muss. Wird von der Diagnose ein (latenter) Fehler erkannt, so muss die Vorrichtung in einen vordefinierten, sicheren Zustand gebracht werden. Beispielshaft ist für das Sicherheitsziel Schutz gegen thermische Überlast der sichere Zustand AUS (Abschalten Lastpfad).
-
Üblicherweise ist es deshalb für zahlreiche Fahrzeugfunktionen notwendig, dass diese beim Vorliegen einer solchen elektrischen Fehlfunktion in eine Art „Not-Aus“ als einzunehmenden Sicherheitszustand geschaltet werden, um dadurch den Sicherheitsanforderungen an ein Fahrzeug zu entsprechen. So wird beispielsweise ein Antiblockiersystem, bei dem eine elektrische Fehlfunktion vorliegt, zur (Fahr-) Sicherheit abgeschaltet und dies dem Fahrzeugführer signalisiert. Ein üblicher Sicherheitszustand für Fahrzeugfunktionen ist im Fehlerfall also das Zwangsabschalten der jeweiligen Fahrzeugfunktion.
-
Im Zusammenhang mit weitergehenden Fahrzeugfunktionen, wie sie beispielsweise für ein autonomes Fahren und/oder so genannte Drive-by-Wire-Systeme eines Fahrzeugs umgesetzt werden, hat es sich als beachtenswert erwiesen, dass als ein neues Sicherheitsziel die verfügbarkeitsrelevante Versorgung sicherheitskritischer Funktionen hinzukommt. Für dieses Sicherheitsziel ist auch eine Diagnoseabdeckung zu implementieren. Die Diagnose soll erkennen, ob die verfügbarkeitsrelevante Versorgung durch (latente) Fehler im System bedroht ist. Werden solche (latenten) Fehler erkannt, so muss der sichere Zustand eingenommen werden und der ist in diesem Fall AN oder zumindest so lange AN, bis das Fahrzeug sicher abgestellt werden kann und die verfügbarkeitsrelevante Funktion abgeschaltet werden kann.
-
Die
DE 10 2011 100 392 A1 beschreibt eine Schaltungsanordnung zur Überwachung eines Sicherheitsstromkreises. Die
DE 10 2009 039 504 A1 beschreibt ein Verfahren zur Fehlererkennung in einem Antriebsstrang. Die
DE 10 2006 016 454 A1 offenbart ein Verfahren zum Betreiben eines elektrischen Bordnetzes eines Kraftfahrzeuges mit einer Brennstoffzelle. Die
DE 10 2004 057 828 A1 beschreibt eine Vorrichtung zur Notabschaltung elektrischer Stromversorgungskreise in einem Kraftfahrzeug. Der
DE 199 64 097 A1 ist eine Schutzschaltung für eine elektronische Einheit gegen länger anhaltende Überspannung zu entnehmen. Die
DE 100 40 246 A1 beschreibt eine Vorrichtung zur Ansteuerung wenigstens eines Verbrauchers.
-
Für eine Vorrichtung zum Absichern einer Bordnetzkomponente entsteht nun die Herausforderung, das die zwei Sicherheitsziele Schutz gegen thermische Überlast und verfügbarkeitsrelevante Versorgen sicherheitskritischer Funktionen gleichzeitig zu erfüllen sind. Erkennt nun die mit dem Sicherheitsziel Schutz gegen thermische Überlast verknüpfte Diagnose einen latenten Fehler (Fehler in Kurzschlusserkennung), so müsste das System in den sicheren Zustand AUS gebracht werden (auch wenn noch kein Kurzschluss vorliegt). Der sichere Zustand AUS des ersten Sicherheitsziels ist aber gleichzeitig der unsichere Zustand des zweiten Sicherheitsziels verfügbarkeitsrelevante Versorgen sicherheitskritischer Funktionen und führt somit zur Verletzung des zweiten Sicherheitsziels.
-
So ist es beispielsweise beim autonomen Fahren nachvollziehbar, dass dort ein Zwangsabschalten einer (fahr-) sicherheitsrelevanten Fahrzeugfunktion basierend auf der Erkennung eines latenten Fehlers im Rahmen einer Diagnose nicht erwünscht ist. Vielmehr ist es bei solchen Fahrzeugfunktionen wünschenswert, dass eine verfügbarkeitsrelevante Versorgung der Fahrzeugfunktion, beispielweise eines elektrischen Verbrauchers oder einer elektrischen Last, mit elektrischer Energie zuverlässig weiter erfolgt. Bei solchen Fahrzeugfunktionen ist ein üblicher Sicherheitszustand also das Aufrechterhalten der Energieversorgung, um das Abschalten zu verhindern.
-
Hieraus ergibt sich ein Zielkonflikt bei den beiden gegensätzlichen Sicherheitszuständen, nämlich zwischen Abschalten und Aufrechterhalten der Energieversorgung. Es besteht deshalb der Wunsch nach einer Lösung dieses Zielkonflikts.
-
Beschreibung der Erfindung
-
Die Aufgabe der Erfindung ist es daher, unter Einsatz konstruktiv möglichst einfacher Mittel eine Möglichkeit zur Absicherung einer Bordnetz-Komponente zu schaffen, mit der die Funktionssicherheit der Bordnetz-Komponente verbessert wird.
-
Diese Aufgabe wird durch die Gegenstände mit den Merkmalen der unabhängigen Ansprüche gelöst. Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen, der nachfolgenden Beschreibung sowie den Figuren angegeben.
-
Die erfindungsgemäße Vorrichtung zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes umfasst wenigstens einen Halbleiterschalter, der mit der wenigstens einen Bordnetz-Komponente elektrisch leitfähig verbunden ist. Zudem verfügt die Vorrichtung über einen Schaltkreis, der mit dem Halbleiterschalter elektrisch leitfähig verbunden ist und der eine Erfassungseinrichtung zur Erfassung einer insbesondere elektrischen Fehlfunktion des Fahrzeug-Bordnetzes sowie eine Ansteuereinrichtung zum Ansteuern des Halbleiterschalters aufweist. Des Weiteren weist die Vorrichtung eine Steuereinheit auf, die zumindest mit dem Schaltkreis kommunikationsfähig verbunden ist. Erfindungsgemäß ist die Vorrichtung dazu eingerichtet, den Halbleiterschalter in Abhängigkeit von der Erfassung einer insbesondere elektrischen Fehlfunktion in einen ersten Sicherheitszustand, in dem der Halbleiterschalter ausgeschaltet ist, und ferner den Halbleiterschalter in Abhängigkeit von wenigstens einem vorbestimmten Fahrzeugzustand vorzugsweise durch die Steuereinheit wahlweise in den ersten Sicherheitszustand oder in einen zweiten Sicherheitszustand zu schalten, in dem der Halbleiterschalter eingeschaltet ist.
-
In anderen Worten ist die erfindungsgemäße Vorrichtung zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes dazu konfiguriert, einen Zielkonflikt zwischen sich bislang einander ausschließenden Sicherheitszuständen zu beheben. Nämlich zwischen einerseits dem ersten Sicherheitszustand, der insbesondere, aber nicht ausschließlich dem Schutz der Bordnetz-Komponente vor einer elektrischen Fehlfunktion dient, und andererseits dem zweiten Sicherheitszustand, der insbesondere einer verfügbarkeitsrelevanten Versorgung der Bordnetz-Komponente mit elektrischer Energie dient. Dabei funktioniert die erfindungsgemäße Vorrichtung ausschließlich elektrisch und/oder elektronisch und kommt ohne ein zusätzliches, mechanisches Back-up-System aus, so dass sie sich insbesondere für so genannte Drive-by-Wire-Konzepte und autonomes Fahren eines Fahrzeugs eignet.
-
Das Fahrzeug-Bordnetz kann eine Vielzahl von unterschiedlichen elektrischen und/oder elektronischen Bauelementen oder Baugruppen sowie von elektrischen Leitungen als Bordnetz-Komponenten umfassen. Die Vorrichtung ist dazu eingerichtet, eine, zwei oder mehrere Komponenten des Fahrzeug-Bordnetzes insbesondere auch gleichzeitig abzusichern. Bei der abzusichernden Bordnetz-Komponente kann es sich im einfachsten Fall beispielsweise um eine elektrische Leitung des Fahrzeug-Bordnetzes handeln, die gegen eine elektrische oder thermische Überlast oder einen elektrischen Überstrom abgesichert werden soll. Dabei kann die elektrische Leitung in einem Kabelbaum des Fahrzeug-Bordnetzes angeordnet sein. Zudem kann die Bordnetz-Komponente im Prinzip jeder elektrische oder elektronische Verbraucher, jede elektrische Last, ein Stellelement, Sensor, Steuergerät oder dergleichen eines Fahrzeug-Bordnetzes sein, sofern diese Bordnetz-Komponente gegen eine Fehlfunktion abgesichert werden soll. Insbesondere kann die Bordnetz-Komponente direkt oder indirekt eine für das damit ausgestatte Fahrzeug sicherheitsrelevante (Fahr-)Funktion übernehmen, wie beispielsweise elektrisches Lenken, Bremsen, autonomes Fahren oder dergleichen, so dass hierfür eine verfügbarkeitsrelevante Versorgung der Bordnetz-Komponente mit elektrischer Energie sichergestellt werden soll.
-
Der Halbleiterschalter kann beispielsweise ein Feldeffekttransistor (kurz FET), vorzugsweise ein MetallOxid-Halbleiter-Feldeffekttransistor (kurz MOSFET), besonders bevorzugt ein n-Typ-MOSFET sein. Der Einsatz solcher Halbleiterschalter zeichnet sich gegenüber herkömmlichen Schaltelementen, wie etwa Relais und einer dabei zusätzlich erforderlichen Absicherung über Schmelzsicherungen durch vergleichsweise schnelle Schaltvorgänge bei gleichzeitiger Absicherung aus. Zudem ist ein vergleichsweise einfaches Messen eines daran anliegenden elektrischen Stroms für ein intelligentes Energiemanagement, eine im Wesentlichen frei konfiguriere Absicherung von angeschlossenen elektrischen Leitungen über konfigurierbare Sicherungskennlinien, eine dadurch mögliche Reduzierung eines Leitungsquerschnitts und eine weitgehend dezentrale Stromverteilung in nicht zugänglichen Bauräumen eines Fahrzeugs, gegebenenfalls direkt im jeweiligen Kabelsatz möglich.
-
Bei der elektrischen Fehlfunktion kann es sich beispielsweise um eine elektrische und/oder thermische Überlast oder einen elektrischen Überstrom handeln. Eine solche elektrische Fehlfunktion kann zum Beispiel durch (auch harte) Kurzschlüsse innerhalb des Fahrzeug-Bordnetzes auftreten. Die Fehlfunktion kann insbesondere transient sein, also vorübergehend und nicht dauerhaft sein beziehungsweise sporadisch auftreten.
-
Unter Schaltkreis kann eine Einheit oder Baugruppe einer elektrischen oder elektronischen Schaltung verstanden werden, die die erfindungsgemäß definierte Funktion erfüllt. Unter einer kommunikationsfähigen Verbindung zwischen Steuereinheit und Schaltkreis kann jede Art der physikalischen Informationsübertragung zwischen Steuereinheit und Schaltkreis verstanden werden, also beispielsweise eine Informationsübertragung über eine elektrische Leitung, eine Datenleitung, einen Daten-Bus oder dergleichen. Es hat sich als vorteilhaft erwiesen, wenn der Schaltkreis über ein BusSystem, insbesondere über ein so genanntes Serial-Peripheral-Interface (kurz SPI) verfügt.
-
Die Steuereinheit kann separat zu dem Schaltkreis ausgebildet und/oder angeordnet sein. Alternativ dazu kann die Steuereinheit auch in den Schaltkreis integriert sein.
-
Der zu berücksichtigende Fahrzeugzustand kann aus einer Vielzahl von vorbestimmten Fahrzeugzuständen ausgewählt sein. Beispielhaft kann dies eine Aufwachphase eines Fahrzeugs, ein geschaltetes Plus beziehungsweise Zündungsplus („Klemme 15 an“) und/oder ein aktiver Fahrzyklus des Fahrzeugs sein.
-
Mit dieser Konfiguration ermöglicht es die erfindungsgemäße Vorrichtung vorteilhafterweise, dass einerseits eine Absicherung einer Bordnetz-Komponente gegen insbesondere transiente elektrische Überlasten gewährleistet ist. Andererseits wird aber eine verfügbarkeitsrelevante Versorgung der Bordnetz-Komponente mit elektrischer Energie wegen eines Einzelfehlers zumindest nicht dauerhaft unterbrochen. Ohne die erfindungsgemäße Konfiguration zur Absicherung einer Bordnetz-Komponente müssten für ein funktionssicheres Abschalten beim Auftreten von beispielsweise einer elektrischen Überlast sonst zwei Halbleiterschalter in Reihe geschaltet werden und für das verfügbarkeitsrelevante Versorgen einer Bordnetz-Komponente nochmals zwei Halbleiterschalter parallel geschaltet werden. Das bedeutet, dass eine serielle Redundanz für die Absicherung gegen eine elektrische Fehlfunktion und eine zusätzliche, parallele Redundanz für das verfügbarkeitsrelevante Versorgen vorgesehen sein müssten. Dies ist aus Kostengründen sowie der knapp bemessenen Bauraumverfügbarkeit in einem Fahrzeug und einer vergleichsweise hohen Verlustleistung nicht erwünscht. Die erfindungsgemäße Konfiguration zeichnet sich also durch eine konstruktiv besonders einfache Möglichkeit zur Absicherung einer Bordnetz-Komponente aus, mit der die Funktionssicherheit der Bordnetz-Komponente verbessert wird.
-
Eine besonders vorteilhafte Weiterbildung der Erfindung sieht vor, dass der erste Sicherheitszustand oder der zweite Sicherheitszustand durch die Steuereinheit in Abhängigkeit von dem wenigstens einen Fahrzeugzustand priorisiert sind. In anderen Worten, kann der zu schaltende Sicherheitszustand im Prinzip jederzeit durch eine dem Schaltkreis übergeordnete (Steuer-)Instanz vorgegeben werden und kann in Abhängigkeit eines jeweiligen Fahrzeugzustands und/oder Zustand des Fahrzeug-Bordnetzes geändert werden. Im Gegensatz zum Stand der Technik ist der zu schaltende Sicherheitszustand also nicht unveränderbar festgelegt, sondern an einen jeweiligen Fahrzeugzustand anpassbar.
-
Für einen möglichst effektiven Schutz des Halbleiterschalters vor Beschädigung kann es vorteilhaft sein, wenn der Schaltkreis eine Fehlfunktionsabschalteinrichtung aufweist, die den Halbleiterschalter in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion zumindest zeitweise in den ersten Sicherheitszustand zwangsschaltet. Die Zeitdauer für dieses Zwangsabschalten kann beispielsweise etwa 50 bis 150 µS, vorzugsweise etwa 100 µS betragen. Die Fehlfunktionsabschalteinrichtung kann für eine zeitlich möglichst zügige Abschaltung des Halbleiterschalters so angeordnet sein, dass sie den Halbleiterschalter auf direktem Wege schaltet, ohne beispielsweise die Steuereinheit einzubinden. Idealerweise kann auch vorgesehen sein, dass die Zwangsabschaltung insbesondere je nach Schwere der elektrischen Fehlfunktion und/oder je nach zu erfüllender Fahrzeugfunktion stets, das heißt in jedem Fall aktiv ist. Auf diese Weise kann der Halbleiterschalter bei einer elektrischen Fehlfunktion zeitlich zügig abgeschaltet werden, um eine elektrisch oder thermisch bedingte Beschädigung des Halbleiterschalters und gegebenenfalls auch der damit elektrisch leitfähig verbundenen Bordnetz-Komponente zu vermeiden.
-
Eine weitere, vorteilhafte Weiterbildung der Erfindung sieht vor, dass die Vorrichtung dazu eingerichtet ist, ein Ansteuersignal des Schaltkreises durch insbesondere ein Ansteuersignal der Steuereinheit wahlweise zu ersetzen, zu überlagern beziehungsweise zu übersteuern oder dergleichen, um den Halbleiterschalter in den zweiten Sicherheitszustand zwangszuschalten. Durch das wahlweise Ersetzen des Ansteuersignals des Schaltkreises insbesondere durch ein Ansteuersignal der Steuereinheit ist es auf besonders einfache Weise möglich, den Halbleiterschalter sowohl in Abhängigkeit der elektrischen Fehlfunktion in den ersten Sicherheitszustand als auch in Abhängigkeit von dem wenigstens einen Fahrzeugzustand in den ersten Sicherheitszustand oder den zweiten Sicherheitszustand zu schalten. Das heißt, dass trotz der Veranlassung eines Schaltens des Halbleiterschalters in den ersten Sicherheitszustand durch den Schaltkreis, beispielweise durch die Ansteuereinrichtung und/oder die Fehlfunktionsabschalteinrichtung, entweder stattdessen oder zeitlich danach dennoch in den zweiten Sicherheitszustand geschaltet werden kann.
-
Eine elektrische Fehlfunktion lässt sich auf besonders zuverlässige und konstruktiv einfache Weise erfassen, wenn die Vorrichtung, insbesondere die Erfassungseinrichtung dazu eingerichtet sind, einen Spannungsabfall UDS-On an dem Halbleiterschalter zu erfassen. Vorzugsweise kann die Vorrichtung dazu eingerichtet sein, einen Spannungsabfall an beziehungsweise über dem Drain-Source-Widerstand des Halbleiterschalters, zum Beispiel eines MOSFETs, insbesondere im durchgeschalteten Zustand zu erfassen beziehungsweise zu messen. Hierfür können die Vorrichtung, insbesondere die Erfassungseinrichtung eine Art Messbrückenschaltung umfassen, deren erster Zweig mit einem Drain-Anschluss des Halbleiterschalters und deren zweiter Zweig mit einem Source-Anschluss des Halbleiterschalters elektrisch verbunden ist. Dieser erfassbare Spannungsabfall ist zu dem vom Halbleiterschalter zu schaltenden elektrischen Strom proportional, so dass auf diese Weise eine indirekte Erfassung des elektrischen Stroms zur Bestimmung einer elektrischen Fehlfunktion, beispielsweise eines elektrischen Überstroms möglich ist.
-
Für eine möglichst einfache Auswertung beziehungsweise Bestimmung, ob eine elektrische Fehlfunktion vorliegt, hat es sich als vorteilhaft erwiesen, wenn die Erfassungseinrichtung einen Differenzverstärker sowie eine davon gespeiste Auswerteeinheit für die Erfassung einer elektrischen Fehlfunktion umfasst. Bei dem Differenzverstärker kann es sich auch um einen Komparator handeln, der zwei elektrische Spannungen miteinander vergleicht. Als Auswerteeinheit eignet sich beispielsweise ein Analog-Digital-Wandler, der das analoge Spannungssignal in ein digitales Signal wandelt. So kann der Spannungsabfall über dem Drain-Source-Widerstand des Halbleiterschalters dem Differenzverstärker und nachfolgend dem Analog-Digitalwandler zugeführt. Das digitale Signal lässt sich vergleichsweise einfach auswerten, beispielsweise durch die Steuereinheit. Zur Auswertung kann beispielsweise ein Software-Filter vorgesehen sein, das sich vergleichsweise flexibel an unterschiedlichste Fahrzeugtypen und deren Anforderungen hinsichtlich der Absicherung des jeweiligen Fahrzeug-Bordnetzes anpassen lässt.
-
Für ein zeitlich möglichst schnelles Ansteuern des Halbleiterschalters, kann es vorteilhaft sein, wenn der Schaltkreis, insbesondere die Ansteuereinrichtung einen Gate-Treiber umfassen. Zusätzlich können der Schaltkreis, insbesondere die Ansteuereinrichtung eine Ladungspumpe zur Erzeugung einer bestimmten Gate-Spannung umfassen.
-
Für eine möglichst klein bauende Vorrichtung und insbesondere bei hohen Stückzahlen vergleichsweise kostengünstige Bereitstellung der Vorrichtung kann es vorteilhaft sein, wenn der Schaltkreis ein integrierter Schaltkreis, insbesondere ein ASIC also eine anwendungsspezifische integrierte Schaltung (englisch Application Specific Integrated Circuit) ist.
-
Es hat sich als vorteilhaft erwiesen, wenn die Steuereinheit ein Mikrocontroller ist, der dazu eingerichtet ist, eine Vielzahl von Fahrzeugzuständen zu ermitteln. Für die Ermittlung eines jeweiligen Fahrzeugzustands kann die Steuereinheit kommunikationsfähig mit einem Fahrzeug-Bus, wie etwa einem LIN- oder CAN-Bus verbunden sein. Der Mikrocontroller kann beispielsweise ein Batteriemanagementsystem, etwa ein Batterie-Steuergerät oder ein anderes Fahrzeug-Steuergerät sein.
-
Die Erfindung betrifft auch ein Verfahren zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes. Dieses Verfahren umfasst die Schritte:
- - Vorsehen beziehungsweise Bereitstellen von wenigstens einem Halbleiterschalter, der mit der wenigstens einen Bordnetz-Komponente elektrisch leitfähig verbunden ist.
- - Vorsehen beziehungsweise Bereitstellen von einem Schaltkreis, der mit dem Halbleiterschalter elektrisch leitfähig verbunden ist und der eine Erfassungseinrichtung zur Erfassung einer elektrischen Fehlfunktion des Fahrzeug-Bordnetzes sowie eine Ansteuereinrichtung zum Ansteuern des Halbleiterschalters aufweist.
- - Vorsehen beziehungsweise Bereitstellen von einer Steuereinheit, die zumindest mit dem Schaltkreis kommunikationsfähig verbunden ist.
-
Erfindungsgemäß wird der Halbleiterschalter in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion in einen ersten Sicherheitszustand, in dem der Halbleiterschalter ausgeschaltet ist, und ferner in Abhängigkeit von wenigstens einem vorbestimmten Fahrzeugzustand vorzugsweise durch die Steuereinheit wahlweise in den ersten Sicherheitszustand oder in einen zweiten Sicherheitszustand geschaltet wird, in dem der Halbleiterschalter eingeschaltet ist.
-
Für das erfindungsgemäße Verfahren können sämtliche Merkmale der vorstehend beschriebenen Vorrichtung zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes entsprechend genutzt werden.
-
Eine besonders vorteilhafte Weiterbildung der Erfindung sieht vor, dass der erste Sicherheitszustand oder der zweite Sicherheitszustand in Abhängigkeit des wenigstens einen Fahrzeugzustands vorzugsweise durch die Steuereinheit priorisiert werden kann. Demnach kann vorzugsweise die Steuereinheit ein Ausgangssignal des Schaltreises ersetzen, überlagern beziehungsweise übersteuern oder dergleichen, um zwangsweise einen bestimmten, gegebenenfalls priorisierten Sicherheitszustand zu schalten. In anderen Worten, wird der zu schaltende Sicherheitszustand im Prinzip jederzeit durch eine dem Schaltkreis übergeordnete (Steuer-)Instanz vorgegeben und kann in Abhängigkeit eines jeweiligen Fahrzeugzustands und/oder Zustand des Fahrzeug-Bordnetzes geändert werden.
-
Für einen möglichst guten Schutz vor Beschädigungen des Halbleiterschalters kann vorgesehen sein, dass der Halbleiterschalter in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion zumindest zeitweise in den ersten Sicherheitszustand zwangsgeschaltet wird. Hierfür kann es vorteilhaft sein, wenn der Schaltkreis eine Fehlfunktionsabschalteinrichtung aufweist, durch die der Halbleiterschalter in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion zumindest zeitweise in den ersten Sicherheitszustand zwangsschaltet wird. Die Fehlfunktionsabschalteinrichtung kann für eine zeitlich möglichst zügige Abschaltung des Halbleiterschalters so angeordnet sein, dass der Halbleiterschalter auf direktem Wege geschaltet werden kann, ohne beispielsweise die Steuereinheit mit einzubinden.
-
Für eine möglichst hohe Funktionssicherheit des Fahrzeug-Bordnetzes kann es vorteilhaft sein, wenn bei einer elektrischen Fehlfunktion stets, das heißt in jedem Fall, zumindest zeitweise in den ersten Sicherheitszustand zwangsgeschaltet wird.
-
Eine weitere, vorteilhafte Weiterbildung der Erfindung sieht vor, dass ein Ansteuersignal des Schaltkreises durch die Steuereinheit in Abhängigkeit des wenigstens einen vorbestimmten Fahrzeugzustands wahlweise ersetzt, überlagert oder dergleichen werden kann, um den Halbleiterschalter zumindest zeitweise in den zweiten Sicherheitszustand zwangszuschalten. So kann der Halbleiterschalter auch bei Erfassung und/oder Vorliegen einer elektrischen Fehlfunktion trotzdem zumindest zeitweise in den zweiten Sicherheitszustand geschaltet werden.
-
Es kann auch vorteilhaft sein, wenn in Abhängigkeit des wenigstens einen Fahrzeugzustands zumindest einmalig von dem zwangsgeschalteten ersten Sicherheitszustand in den zweiten Sicherheitszustand geschaltet wird und nur beim erneuten Erfassen derselben elektrischen Fehlfunktion wieder in den ersten Sicherheitszustand geschaltet wird.
-
Die Erfindung lässt sich besonders vorteilhaft in einem Fahrzeug, beispielsweise einem Kraftfahrzeug oder einem Hybrid- oder Elektrofahrzeug einsetzen.
-
Figurenliste
-
Nachfolgend werden vorteilhafte Ausführungsbeispiele der Erfindung unter Bezugnahme auf die begleitenden Figuren erläutert. Es zeigen:
- 1 ein schematisch dargestelltes Blockschaltbild einer erfindungsgemäßen Vorrichtung zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes mit einem zu schaltenden Lastkanal und
- 2 das schematisch dargestellte Blockschaltbild einer erfindungsgemäßen Vorrichtung zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes aus 1, wobei dieses um einen zu schaltenden Lastkanal erweitert ist.
-
Die Figuren sind lediglich schematische Darstellungen und dienen nur der Erläuterung der Erfindung. Gleiche Elemente sind durchgängig mit den gleichen Bezugszeichen versehen.
-
1 zeigt in einem schematisch dargestellten Blockschaltbild eine erfindungsgemäße Vorrichtung 1 zum Absichern von wenigstens einer Bordnetz-Komponente eines (hier nur auszugsweise dargestellten) Fahrzeug-Bordnetzes. Bei dem Fahrzeug-Bordnetz handelt es sich hier um ein elektrisches Bordnetz, ein so genanntes Energie-Bordnetz eines Kraftfahrzeugs.
-
Das Fahrzeug-Bordnetz umfasst einen elektrischen Verbraucher beziehungsweise eine elektrische Last 2 und eine damit verbundene elektrische Leitung 3. Die durch die Vorrichtung 1 abzusichernde Bordnetz-Komponente können beispielsweise die elektrische Last 2 oder die elektrische Leitung 3 oder beide Elemente sein. In diesem Ausführungsbeispiel ist beispielhaft genau ein einziger Lastkanal dargestellt.
-
Aus 1 geht hervor, dass die Vorrichtung 1 einen Halbleiterschalter 4 aufweist, der über die elektrische Leitung 3 mit der elektrischen Last 2 elektrisch leitfähig verbunden ist. Der Halbleiterschalter 4 ist in diesem Ausführungsbeispiel als Metall-Oxid-Halbleiter-Feldeffekttransistor (kurz MOSFET), insbesondere als n-Typ-MOSFET ausgeführt. Demzufolge verfügt der Halbleiterschalter 4 über einen Drain-Anschluss 5, einen Source-Anschluss 6 und ein Gate 7 beziehungsweise einen Gate-Anschluss. Ein solcher Halbleiterschalter 4 weist im eingeschalteten Zustand einen Drain-Source-Widerstand RDS-On auf, an dem ein erfassbarer beziehungsweise messbarer Spannungsabfall UDS-On auftritt, der proportional zu einem hier zu erfassenden elektrischen Strom ist. Als mögliche Schaltstellungen kann der Halbleiterschalter 4 einen ersten Sicherheitszustand, in dem der Halbleiterschalter 4 gesperrt beziehungsweise ausgeschaltet ist, und einen zweiten Sicherheitszustand einnehmen, in dem der Halbleiterschalter 4 eingeschaltet ist.
-
Des Weiteren umfasst die Vorrichtung 1 einen Schaltkreis 8, der über eine oder mehrere elektrische Leitungen mit dem Halbleiterschalter 4 elektrisch leitfähig verbunden ist oder, alternativ dazu, eine integrale Baueinheit bildet. In diesem Ausführungsbeispiel ist der Schaltkreis 8 als integrierter Schaltkreis (kurz IC), insbesondere als anwendungsspezifische integrierte Schaltung (englisch application-specific integrated circuit, kurz ASIC) ausgeführt.
-
Der Schaltkreis 8 weist eine Erfassungseinrichtung 9 zur Erfassung einer elektrischen Fehlfunktion des Fahrzeug-Bordnetzes auf, wobei die Erfassungseinrichtung 9 in diesem Ausführungsbeispiel eine Anordnung mit einem ersten Zweig 10 und einem zweiten Zweig 11 zum Erfassen beziehungsweise Messen des Spannungsabfalls UDS-On des Halbleiterschalters 4 umfasst. Der erste Zweig 10 ist mit dem Drain-Anschluss 5, der zweite Zweig 11 ist mit dem Source-Anschluss 6 des Halbleiterschalters 4 verbunden. Der Schaltreis 8 umfasst ferner einen mit dem erfassten Spannungsabfall UDS-On gespeisten Differenzverstärker 12 und einen davon gespeisten Analog-Digital-Wandler 13 zum Umsetzen des analogen Signals des Differenzverstärkers 12 in ein digitales Signal.
-
Der Schaltkreis 8 weist ferner eine Ansteuereinrichtung 14 zum Ansteuern des Halbleiterschalters 4 auf, die in diesem Ausführungsbeispiel im Wesentlichen einen Gate-Treiber 15 und eine diesen speisende Ladungspumpe 16 umfasst.
-
Des Weiteren verfügt der Schaltkreis 8 über eine Auswerteinheit 17 mit einer Auswertelogik zur (Vor-) Auswertung des von der Erfassungseinrichtung 9 gelieferten Signals. Zudem ist eine serielle Schnittstelle 18 vorgesehen, die hier als so genanntes Serial-Peripheral-Interface (kurz SPI) ausgeführt ist, zur kommunikationsfähigen Anbindung des Schaltkreises 8 an andere Elemente der Vorrichtung 1.
-
In 1 ist zudem erkennbar, dass der Schaltkreis 8 eine Fehlfunktionsabschalteinrichtung 19 aufweist, die als eine Art Schnellabschaltung für den Halbleiterschalter 4 funktioniert (Schnellabschaltung für harte (transiente) Kurzschlüsse). Hierfür ist die Fehlfunktionsabschalteinrichtung 19 innerhalb des Schaltkreises 8 direkt mit dem Gate-Treiber 15 beziehungsweise der Ladungspumpe 16 elektrisch leitfähig verbunden. Die Funktion der Fehlfunktionsabschalteinrichtung 19 wird weiter unten detaillierter erläutert.
-
Die Vorrichtung 1 weist auch eine Steuereinheit 20 auf, die über die serielle Schnittstelle 18 kommunikationsfähig mit dem Schaltkreis 8 verbunden ist. Aus 1 geht hervor, dass die Steuereinheit 20, bei der es sich hier beispielhaft um ein Batteriemanagementsystem handelt, mit einem (hier als Pfeil angedeutetes) Fahrzeug-Bussystem 21 kommunikationsfähig verbunden ist, um unter anderen Informationen über einen jeweiligen Fahrzeugzustand zu erhalten. In der Steuereinheit 20 ist ein Software-Filter implementiert, das ausgehend von dem durch die Erfassungseinrichtung 9 und/oder die Auswerteinheit 17 des Schaltkreises 8 verarbeiteten Spannungsabfall UDS-On über dem Halbleiterschalter 4 eine elektrische Fehlfunktion bestimmt. Die elektrische Fehlfunktion kann beispielsweise ein elektrischer Überstrom sein, also ein elektrischer Strom, der den größten dauernd zulässigen Strom infolge von Kurzschlüssen beziehungsweise Überlastung überschreitet.
-
2, die ebenfalls ein schematisch dargestelltes Blockschaltbild der erfindungsgemäßen Vorrichtung 1 zeigt, soll veranschaulichen, dass die Vorrichtung 1 auch in der Lage ist, mehr als einen Lastkanal, nämlich zwei, drei, vier oder mehr Lastkanäle abzusichern. Die dafür zusätzlich notwendigen Elemente entsprechen aber konstruktiv und funktional denen der vorstehend Vorrichtung 1. Zur besseren Veranschaulichung sind die Bezugszeichen der Elemente, die für den weiteren, abzusichernden Lastkanal verwendet werden, um den Kleinbuchstaben „a“ ergänzt.
-
Anhand von 1, die die Vorrichtung 1 in einem schematisch dargestellten Blockschaltbild zeigt, sollen nun ein möglicher Betrieb der Vorrichtung 1 beziehungsweise ein Verfahren zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes näher erläutert werden.
-
Im Allgemeinen steuert die Steuereinheit 20 über die serielle Schnittstelle 18, ob der in diesem Ausführungsbeispiel einzige Lastkanal mit der elektrischen Last 2 eingeschaltet oder ausgeschaltet sein soll. Der Schaltkreis 8 erzeugt über die Ladungspumpe 16 die notwendige Gate-Spannung, die über den Gate-Treiber 15 zur Ansteuerung des Halbleiterschalters 4 auf dessen Gate 7 durchgeschaltet wird.
-
Um während des Betriebs des Fahrzeugs beziehungsweise der Vorrichtung 1 eine mögliche elektrische Fehlfunktion zu erfassen, erfasst beziehungsweise misst der Schaltkreis 8 den zu dem eigentlich zu erfassenden Strom proportionalen Spannungsabfall UDS-On über dem Halbleiterschalter 4. Hierfür wird der erfasste Spannungsabfall UDS-On dem Differenzverstärker 12 zugeführt. Dieser wiederum gibt das daraus erhaltene Signal an den Analog-Digital-Wandler 13 weiter. Nach der Analog-Digital-Wandlung des Signals aus dem Differenzverstärker 12 wird dieses über die Auswertelogik der (Vor-)Auswerteeinheit 17 und die serielle Schnittstelle 18 an die Steuereinheit 20 weitergeleitet beziehungsweise übertragen. In der Steuereinheit 20 ist das Software-Filter implementiert, das ausgehend von der (indirekten) Strommessung die Last- beziehungsweise Überlastsituation als mögliche elektrische Fehlfunktion der elektrischen Leitung 3 und/oder der elektrischen Last 2 bestimmt.
-
Für harte Kurzschlüsse ist die Fehlfunktionsabschalteinrichtung 19 als eine Art Schnellabschaltung implementiert. Diese kann direkt, das heißt ohne den zusätzlichen Kommunikationsweg über die Steuereinheit 20 bei harten, transienten Kurzschlüssen eine Sofortabschaltung des Halbleiterschalters 4 vornehmen, um so den Halbleiterschalter 4 und/oder die elektrische Last 2 vor Beschädigung zu schützen.
-
Je nach Fahrzeugzustand, der beispielsweise über die Steuereinheit 20 und/oder den damit verbundenen Fahrzeug-Bus ermittelt wird, kann die Vorrichtung 1 nun zwischen dem ersten Sicherheitszustand und dem zweiten Sicherheitszustand wechseln, so dass der zu schaltende Sicherheitszustand je nach Fahrzeugzustand variabel beziehungsweise priorisierbar ist.
-
Beispielhaft kann eine für einen möglichst funktionssicheren Fahrzeugbetrieb sinnvolle Priorisierung des ersten Sicherheitszustands und des zweiten Sicherheitszustands wie nachfolgend beschrieben ausgeführt werden.
-
Als ein möglicher Fahrzeugzustand kommt die so genannte Aufwachphase des Fahrzeugs in Betracht. Hier ist vorgesehen, dass der erste Sicherheitszustand priorisiert und dementsprechend als einzunehmender Sicherheitszustand von der Steuereinheit 20 an den Schaltkreis 8 vorgegeben, das heißt vorbestimmt wird. In dieser Aufwachphase des Fahrzeugs erfolgen insbesondere eine Diagnose hinsichtlich einer elektrischen Fehlfunktion und gegebenenfalls eine Art Schnellabschaltung durch die Fehlfunktionsabschalteinrichtung 19. Es erfolgt zudem eine Diagnose der Ansteuerung des Halbleiterschalters 4.
-
Während dieser Aufwachphase sorgen erfasste beziehungsweise diagnostizierte elektrische Fehlfunktionen dafür, dass der Halbleiterschalter 4 so lange ausgeschaltet bleibt, also im ersten Sicherheitszustand verbleibt, bis die Fehlfunktion behoben ist. Durch eine Rückkopplung der Vorrichtung 1, insbesondere der Steuereinheit 20 zu anderen Fahrzeugfunktionen wird auch der Eintritt in einen Fahrzyklus beziehungsweise in eine Fahrbereitschaft unterbunden, so dass das Fahrzeug nicht in den (Fahr-)Betrieb genommen werden kann. Wird dagegen keine elektrische Fehlfunktion erfasst beziehungsweise diagnostiziert, so erteilt die Vorrichtung 1, insbesondere die Steuereinheit 20 eine Freigabe zum Eintritt in den Fahrzyklus.
-
Anders gestaltet sich die Priorisierung im beispielhaften Fahrzeugzustand mit geschaltetem Plus („Klemme 15 an“) und bereits begonnenem Fahrzyklus. Denn in diesem Fahrzeugzustand hat bei verfügbarkeitsrelevanten Funktionen der Bordnetz-Komponente der zweite Sicherheitszustand Priorität und wird entsprechend von der Steuereinheit 20 an den Schaltkreis 8 vorgegeben.
-
Verfügbarkeitsrelevante Funktionen, wie beispielsweise Drive-by-Wire-Funktionen, sollen aus (Fahr-)Sicherheitsgründen in diesem Fahrzeugzustand eingeschaltet bleiben und müssen deshalb weiterhin funktionssicher mit elektrischer Energie versorgt werden. Die Erfassung beziehungsweise Diagnose der elektrischen Fehlfunktion ist aber dennoch aktiv. Wird eine elektrische Fehlfunktion erfasst, so wird (trotzdem) in den zweiten Sicherheitszustand gewechselt beziehungsweise ein bereits geschalteter zweiter Sicherheitszustand (trotzdem) beibehalten. Jedoch wird die Fehlfunktion an die Steuereinheit 20 kommuniziert und dort gespeichert. Bei (zumindest temporären) Nichtvorliegen einer elektrischen Fehlfunktion verbleibt der Halbleiterschalter 4 so lange im zweiten Sicherheitszustand, solange keine (transiente) elektrische Überlast erfasst und der Halbleiterschalter 4 gegebenenfalls durch die Fehlfunktionsabschalteinrichtung 19 zeitlich zügig abgeschaltet wird. Die Steuereinheit 20 kann in Abhängigkeit einer darin abgespeicherten Steuerfunktion entscheiden, zu welchem Zeitpunkt oder bei welchem Ereignis in den ersten Sicherheitszustand gewechselt wird.
-
Um den Halbleiterschalter 4 aber vor Beschädigung zu schützen, ist die Fehlfunktionsabschalteinrichtung 19 in jedem Fall aktiv, da bei einem zeitlich zu langsamen Abschalten des Halbleiterschalters 4 dieser beschädigt werden könnte. Als mögliche elektrische Fehlfunktion seien beispielhaft ein harter Kurzschluss oder ein interner Fehler, beispielsweise durch elektromagnetische Strahlung genannt. Liegt die Priorisierung nun auf dem zweiten Sicherheitszustand, in dem der Halbleiterschalter 4 eingeschaltet ist und bleiben soll, wird der Halbleiterschalter 4 zwar kurzzeitig in den ersten Sicherheitszustand (um-)geschaltet. Die Steuereinheit 20 veranlasst aufgrund der Priorisierung des zweiten Sicherheitszustands aber ein rasches Umschalten (zurück) in den ersten Sicherheitszustand. Dies kann vergleichsweise zügig erfolgen, nämlich etwa in 50 bis 150 µs, vorzugsweise in etwa 100 µs. Nur dann, wenn die elektrische Fehlfunktion nochmals auftritt und die Fehlfunktionsabschalteinrichtung 19 den Halbleiterschalter 4 (automatisch) in den ersten Sicherheitszustand schaltet, wird dauerhaft der erste Sicherheitszustand eingenommen und gegebenenfalls priorisiert.
-
Auf diese Weise kann der Halbleiterschalter 4 in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion insbesondere durch die Fehlfunktionsabschalteinrichtung 19 in den ersten Sicherheitszustand geschaltet werden, in dem der Halbleiterschalter 4 (auch zwangsweise) ausgeschaltet ist.
-
Ferner kann ein Ansteuersignal der Fehlfunktionsabschalteinrichtung 19 aber durch die Steuereinheit 20 in Abhängigkeit von wenigstens einem vorbestimmten Fahrzeugzustand ersetzt beziehungsweise überlagert werden und dadurch der Halbleiterschalter 4 wahlweise (trotzdem) in den zweiten Sicherheitszustand geschaltet werden, in dem der Halbleiterschalter 4 eingeschaltet ist. Damit wird gewährleistet, dass einerseits eine zeitlich zügige Absicherung der Bordnetz-Komponente und des Halbleiterschalters 4 gegen eine transiente elektrische Überlast erfolgt, andererseits aber nicht wegen eines Einzelfehlers eine verfügbarkeitsrelevante Versorgung der Bordnetz-Komponente mit elektrischer Energie unterbleibt.
-
Ausgehend von den dargestellten Ausführungsbeispielen können die erfindungsgemäße Vorrichtung 1 und das erfindungsgemäße Verfahren in vielerlei Hinsicht abgewandelt werden.
-
Beispielsweise ist denkbar, dass mehr als zwei Fahrzeugzustände vorbestimmt und/oder ermittelt werden, die unterschiedlich stark priorisiert werden. Es ist auch nicht zwingend notwendig, dass der Schaltkreis 8 als ASIC ausgeführt ist. Es muss auch nicht zwingend ein Software-Filter zur Auswertung einer möglichen elektrischen Fehlfunktion verwendet werden. Vielmehr kann hierfür ein elektronisches Bauelement vorgesehen sein, beispielsweise eine Kippstufe, ein Komparator oder dergleichen.
-
Bezugszeichenliste
-
- 1
- Vorrichtung
- 2, 2a
- elektrischer Verbraucher / elektrische Last
- 3, 3a
- elektrische Leitung
- 4, 4a
- Halbleiterschalter
- 5, 5a
- Drain-Anschluss
- 6, 6a
- Source-Anschluss
- 7, 7a
- Gate / Gate-Anschluss
- 8
- Schaltkreis
- 9, 9a
- Erfassungseinrichtung
- 10, 10a
- erster Zweig
- 11, 11a
- zweiter Zweig
- 12, 12a
- Differenzverstärker
- 13
- Analog-Digital-Wandler
- 14, 14a
- Ansteuereinrichtung
- 15, 15a
- Gate-Treiber
- 16, 16a
- Ladungspumpe
- 17
- Auswerteinheit
- 18
- serielle Schnittstelle
- 19, 19a
- Fehlfunktionsabschalteinrichtung
- 20
- Steuereinheit
- 21
- Fahrzeug-Bussystem
