DE102016121447A1

DE102016121447A1 - Vorrichtung und Verfahren zum Absichern einer Bordnetzkomponente eines Fahrzeug-Bordnetzes

Info

Publication number: DE102016121447A1
Application number: DE102016121447.7A
Authority: DE
Inventors: Michael Wortberg; Anton BACHMEIER; Anton Ederer
Original assignee: Lisa Draexlmaier GmbH
Current assignee: Lisa Draexlmaier GmbH
Priority date: 2016-11-09
Filing date: 2016-11-09
Publication date: 2018-05-09
Anticipated expiration: 2036-11-10
Also published as: DE102016121447B4

Abstract

Die Erfindung betrifft eine Vorrichtung (1) zum Absichern von wenigstens einer Bordnetz-Komponente (2, 3) eines Fahrzeug-Bordnetzes. Die Vorrichtung weist wenigstens einen Halbleiterschalter (4) auf, der mit der wenigstens einen Bordnetz-Komponente (2, 3) elektrisch leitfähig verbunden ist. Zudem ist ein Schaltkreis (8) vorgesehen, der mit dem Halbleiterschalter (4) elektrisch leitfähig verbunden ist und der eine Erfassungseinrichtung (9) zur Erfassung einer elektrischen Fehlfunktion des Fahrzeug-Bordnetzes sowie eine Ansteuereinrichtung (14) zum Ansteuern des Halbleiterschalters (4) aufweist. Des Weiteren verfügt die Vorrichtung (1) über eine Steuereinheit (20), die zumindest mit dem Schaltkreis (8) kommunikationsfähig verbunden ist. Erfindungsgemäß ist die Vorrichtung (1) dazu eingerichtet, den Halbleiterschalter (4) in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion in einen ersten Sicherheitszustand, in dem der Halbleiterschalter (4) ausgeschaltet ist, und ferner in Abhängigkeit von wenigstens einem vorbestimmten Fahrzeugzustand wahlweise in den ersten Sicherheitszustand oder in einen zweiten Sicherheitszustand zu schalten, in dem der Halbleiterschalter (4) eingeschaltet ist. Ferner betrifft die Erfindung ein Verfahren zum Absichern von wenigstens einer Bordnetz-Komponente (2, 3) eines Fahrzeug-Bordnetzes.

Description

Technisches Gebiet
Die vorliegende Erfindung betrifft eine Vorrichtung zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes, insbesondere eines elektrischen Bordnetzes beziehungsweise Energie-Bordnetzes eines Kraft-, Hybrid- oder Elektrofahrzeus. Ferner betrifft die Erfindung ein Verfahren zum Absichern von wenigstens einer Bordnetz-Komponente eines solchen Fahrzeug-Bordnetzes.
Stand der Technik
Aus der Praxis sind Fahrzeug-Bordnetze bekannt, die dazu dienen, eine Vielzahl von elektrischen Verbrauchern beziehungsweise Lasten mit elektrischer Energie zu versorgen.
Zum Schalten dieser Lasten können beispielsweise Halbleiterschalter als so genannte High-Side-Schalter eingesetzt werden, die die jeweiligen Verbraucher wahlweise mit elektrischer Energie versorgen oder abschalten.
Des Weiteren ist aus der Praxis bekannt, dass in einem Fahrzeug-Bordnetz elektrische Überströme als elektrische Fehlfunktionen auftreten können, die beispielsweise durch eine Überlast oder einen elektrischen Kurzschluss verursacht werden. Bei den Kurzschlüssen können beispielsweise eine ungewünschte elektrische Verbindung zwischen einer Spannung führenden elektrischen Leitung und Masse oder eine unerwünschte elektrische Verbindung zwischen zwei eine elektrische Spannung führenden elektrischen Leitungen sporadisch oder dauerhaft sowie in unterschiedlicher Ausprägung auftreten. In jedem Fall ist es für die Funktionssicherheit eines Fahrzeugs erforderlich, das Fahrzeug-Bordnetz gegen unerwünschte elektrische Überströme und/oder Kurzschlüsse abzusichern. Damit soll insbesondere ein Schutz vor thermischer Überlastung gewährleistet werden.
Ist der Schutz gegen thermische Überlast ein Sicherheitsziel gemäß der funktionalen Sicherheit, so darf die Restfehlerwahrscheinlichkeit, dass dieses Sicherheitsziel durch die Vorrichtung nicht erreicht wird, nicht höher sein als eine vorgegeben Metrik (z.B. 100 Fit, Fehler in Time). Zu dem hierfür notwendigen Sicherheitskonzept gehört ein Diagnose-Abdeckungs-Grad von z.B. mindestens 90%. Latente Fehler, die dazu führen können, dass thermische Überlast nicht detektiert und abgeschaltet werden kann, müssen also zu 90% erkannt werden, bevor ein Schadensfall z.B. durch Kurzschluss eintritt. Erkennt die Diagnose, dass zum Beispiel die Kurzschlusserkennung nicht funktioniert, so liegt ein latenter Fehler vor. Der Fehler ist deshalb latent, da für den Eintritt eines Schadensfalls neben dem Ausfall der Kurzschlusserkennung noch das Eintreten eines Kurzschlusses hinzukommen muss. Wird von der Diagnose ein (latenter) Fehler erkannt, so muss die Vorrichtung in einen vordefinierten, sicheren Zustand gebracht werden. Beispielshaft ist für das Sicherheitsziel Schutz gegen thermische Überlast der sichere Zustand AUS (Abschalten Lastpfad).
Üblicherweise ist es deshalb für zahlreiche Fahrzeugfunktionen notwendig, dass diese beim Vorliegen einer solchen elektrischen Fehlfunktion in eine Art „Not-Aus“ als einzunehmenden Sicherheitszustand geschaltet werden, um dadurch den Sicherheitsanforderungen an ein Fahrzeug zu entsprechen. So wird beispielsweise ein Antiblockiersystem, bei dem eine elektrische Fehlfunktion vorliegt, zur (Fahr-) Sicherheit abgeschaltet und dies dem Fahrzeugführer signalisiert. Ein üblicher Sicherheitszustand für Fahrzeugfunktionen ist im Fehlerfall also das Zwangsabschalten der jeweiligen Fahrzeugfunktion.
Im Zusammenhang mit weitergehenden Fahrzeugfunktionen, wie sie beispielsweise für ein autonomes Fahren und/oder so genannte Drive-by-Wire-Systeme eines Fahrzeugs umgesetzt werden, hat es sich als beachtenswert erwiesen, dass als ein neues Sicherheitsziel die verfügbarkeitsrelevante Versorgung sicherheitskritischer Funktionen hinzukommt. Für dieses Sicherheitsziel ist auch eine Diagnoseabdeckung zu implementieren. Die Diagnose soll erkennen, ob die verfügbarkeitsrelevante Versorgung durch (latente) Fehler im System bedroht ist. Werden solche (latenten) Fehler erkannt, so muss der sichere Zustand eingenommen werden und der ist in diesem Fall AN oder zumindest so lange AN, bis das Fahrzeug sicher abgestellt werden kann und die verfügbarkeitsrelevante Funktion abgeschaltet werden kann.
Die DE 10 2011 100 392 A1 beschreibt eine Schaltungsanordnung zur Überwachung eines Sicherheitsstromkreises. Die DE 10 2009 039 504 A1 beschreibt ein Verfahren zur Fehlererkennung in einem Antriebsstrang. Die DE 10 2006 016 454 A1 offenbart ein Verfahren zum Betreiben eines elektrischen Bordnetzes eines Kraftfahrzeuges mit einer Brennstoffzelle. Die DE 10 2004 057 828 A1 beschreibt eine Vorrichtung zur Notabschaltung elektrischer Stromversorgungskreise in einem Kraftfahrzeug. Der DE 199 64 097 A1 ist eine Schutzschaltung für eine elektronische Einheit gegen länger anhaltende Überspannung zu entnehmen. Die DE 100 40 246 A1 beschreibt eine Vorrichtung zur Ansteuerung wenigstens eines Verbrauchers.
Für eine Vorrichtung zum Absichern einer Bordnetzkomponente entsteht nun die Herausforderung, das die zwei Sicherheitsziele Schutz gegen thermische Überlast und verfügbarkeitsrelevante Versorgen sicherheitskritischer Funktionen gleichzeitig zu erfüllen sind. Erkennt nun die mit dem Sicherheitsziel Schutz gegen thermische Überlast verknüpfte Diagnose einen latenten Fehler (Fehler in Kurzschlusserkennung), so müsste das System in den sicheren Zustand AUS gebracht werden (auch wenn noch kein Kurzschluss vorliegt). Der sichere Zustand AUS des ersten Sicherheitsziels ist aber gleichzeitig der unsichere Zustand des zweiten Sicherheitsziels verfügbarkeitsrelevante Versorgen sicherheitskritischer Funktionen und führt somit zur Verletzung des zweiten Sicherheitsziels.
So ist es beispielsweise beim autonomen Fahren nachvollziehbar, dass dort ein Zwangsabschalten einer (fahr-) sicherheitsrelevanten Fahrzeugfunktion basierend auf der Erkennung eines latenten Fehlers im Rahmen einer Diagnose nicht erwünscht ist. Vielmehr ist es bei solchen Fahrzeugfunktionen wünschenswert, dass eine verfügbarkeitsrelevante Versorgung der Fahrzeugfunktion, beispielweise eines elektrischen Verbrauchers oder einer elektrischen Last, mit elektrischer Energie zuverlässig weiter erfolgt. Bei solchen Fahrzeugfunktionen ist ein üblicher Sicherheitszustand also das Aufrechterhalten der Energieversorgung, um das Abschalten zu verhindern.
Hieraus ergibt sich ein Zielkonflikt bei den beiden gegensätzlichen Sicherheitszuständen, nämlich zwischen Abschalten und Aufrechterhalten der Energieversorgung. Es besteht deshalb der Wunsch nach einer Lösung dieses Zielkonflikts.
Beschreibung der Erfindung
Die Aufgabe der Erfindung ist es daher, unter Einsatz konstruktiv möglichst einfacher Mittel eine Möglichkeit zur Absicherung einer Bordnetz-Komponente zu schaffen, mit der die Funktionssicherheit der Bordnetz-Komponente verbessert wird.
Diese Aufgabe wird durch die Gegenstände mit den Merkmalen der unabhängigen Ansprüche gelöst. Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen, der nachfolgenden Beschreibung sowie den Figuren angegeben.
Die erfindungsgemäße Vorrichtung zum Absichern von wenigstens einer sicherheitsrelevanten Bordnetz-Komponente eines Fahrzeug-Bordnetzes umfasst wenigstens einen Halbleiterschalter, der mit der wenigstens einen sicherheitsrelevanten Bordnetz-Komponente elektrisch leitfähig verbunden ist. Zudem verfügt die Vorrichtung über einen Schaltkreis, der mit dem Halbleiterschalter elektrisch leitfähig verbunden ist und der eine Erfassungseinrichtung zur Erfassung einer insbesondere elektrischen Fehlfunktion des Fahrzeug-Bordnetzes sowie eine Ansteuereinrichtung zum Ansteuern des Halbleiterschalters aufweist. Des Weiteren weist die Vorrichtung eine Steuereinheit auf, die zumindest mit dem Schaltkreis kommunikationsfähig verbunden ist. Erfindungsgemäß ist die Vorrichtung dazu eingerichtet, den Halbleiterschalter in Abhängigkeit von der Erfassung einer insbesondere elektrischen Fehlfunktion in einen ersten Sicherheitszustand, in dem der Halbleiterschalter ausgeschaltet ist, und ferner den Halbleiterschalter in Abhängigkeit von wenigstens einem vorbestimmten Fahrzeugzustand vorzugsweise durch die Steuereinheit wahlweise in den ersten Sicherheitszustand oder in einen zweiten Sicherheitszustand zu schalten, in dem der Halbleiterschalter eingeschaltet ist.
Die Vorrichtung unterscheidet zwei sichere Zielzustände: „aus“ und „ein“. Bei Fail-Operational-Funktionen des automatisierten Fahrens ist der sichere Zustand „ein“. Bei der elektrischen Fehlfunktion handelt es sich um eine Überwachung von Strom und/oder Spannung im Bordnetz. Der aktuelle Strom wird mit einer Überstromabschaltschwelle oder die aktuelle Spannung wird mit einer Überspannungabschaltschwelle verglichen und ein entsprechendes einen Fehlerfall anzeigendes Steuersignal oder Fehlersignal bereitgestellt. Die Erfassungseinrichtung ist eingerichtet, einen Strom zu überwachen und mit einer Überstromabschaltschwelle zu vergleichen. Die Vorrichtung ist eingerichtet, in Abhängigkeit von einem sicheren Zielzustand „aus“ (SSt_off) und einem Einschaltsignal einzuschalten, und dann in Abhängigkeit von der Erfassung einer vorbestimmten elektrischen Fehlfunktion in einen ersten Sicherheitszustand, in dem der Halbleiterschalter ausgeschaltet ist, zu schalten, um die Bordnetz-Komponente vor elektrischen Überlasten zu schützen. Die Vorrichtung ist eingerichtet, in Abhängigkeit von einem sicheren Zielzustand „ein“ (SSt_on) und einem Einschaltsignal einzuschalten, und dann in Abhängigkeit von der Erfassung einer vorbestimmten elektrischen Fehlfunktion in den ersten Sicherheitszustand zu schalten, und ferner nach einem vorbestimmten Zeitintervall in Abhängigkeit von dem sicheren Zielzustand „ein“ (SSt_on) in einen zweiten Sicherheitszustand zu schalten, in dem der Halbleiterschalter eingeschaltet ist, um eine verfügbarkeitsrelevante Versorgung der Bordnetz-Komponente sicherzustellen, wobei in Abhängigkeit von der erneuten Erfassung der vorbestimmten elektrischen Fehlfunktion erneut in den ersten Sicherheitszustand geschaltet wird. So wird vorteilhafterweise für einen transienten Fehler nur kurzzeitig abgeschaltet. Handelt es sich hingegen um einen dauerhaften Fehler wird auch weiterhin dauerhaft abgeschaltet. So kann also zwischen sicheren Zielzuständen und verschiedenen elektrischen Fehlfunktionen unterschieden werden. Dabei werden die elektrischen Fehlfunktionen nach der Zeitdauer ihrer Auswirkung klassifiziert.
In anderen Worten ist die erfindungsgemäße Vorrichtung zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes dazu konfiguriert, einen Zielkonflikt zwischen sich bislang einander ausschließenden Sicherheitszuständen - sicherer Zielzustand „aus“ (SSt_off) vs. sicherer Zielzustand „ein“ (SSt_on) - zu beheben. Nämlich zwischen einerseits dem ersten Sicherheitszustand, der insbesondere, aber nicht ausschließlich dem Schutz der Bordnetz-Komponente vor einer elektrischen Fehlfunktion dient, und andererseits dem zweiten Sicherheitszustand, der insbesondere einer verfügbarkeitsrelevanten Versorgung der Bordnetz-Komponente mit elektrischer Energie dient. Dabei funktioniert die erfindungsgemäße Vorrichtung ausschließlich elektrisch und/oder elektronisch und kommt ohne ein zusätzliches, mechanisches Back-up-System aus, so dass sie sich insbesondere für so genannte Drive-by-Wire-Konzepte und autonomes Fahren eines Fahrzeugs eignet.
Das Fahrzeug-Bordnetz kann eine Vielzahl von unterschiedlichen elektrischen und/oder elektronischen Bauelementen oder Baugruppen sowie von elektrischen Leitungen als Bordnetz-Komponenten umfassen. Die Vorrichtung ist dazu eingerichtet, eine, zwei oder mehrere Komponenten des Fahrzeug-Bordnetzes insbesondere auch gleichzeitig abzusichern. Bei der abzusichernden Bordnetz-Komponente kann es sich im einfachsten Fall beispielsweise um eine elektrische Leitung des Fahrzeug-Bordnetzes handeln, die gegen eine elektrische oder thermische Überlast oder einen elektrischen Überstrom abgesichert werden soll. Dabei kann die elektrische Leitung in einem Kabelbaum des Fahrzeug-Bordnetzes angeordnet sein. Zudem kann die Bordnetz-Komponente im Prinzip jeder elektrische oder elektronische Verbraucher, jede elektrische Last, ein Stellelement, Sensor, Steuergerät oder dergleichen eines Fahrzeug-Bordnetzes sein, sofern diese Bordnetz-Komponente gegen eine Fehlfunktion abgesichert werden soll. Insbesondere kann die Bordnetz-Komponente direkt oder indirekt eine für das damit ausgestatte Fahrzeug sicherheitsrelevante (Fahr-)Funktion übernehmen, wie beispielsweise elektrisches Lenken, Bremsen, autonomes Fahren oder dergleichen, so dass hierfür eine verfügbarkeitsrelevante Versorgung der Bordnetz-Komponente mit elektrischer Energie sichergestellt werden soll.
Der Halbleiterschalter kann beispielsweise ein Feldeffekttransistor (kurz FET), vorzugsweise ein Metall-Oxid-Halbleiter-Feldeffekttransistor (kurz MOSFET), besonders bevorzugt ein n-Typ-MOSFET sein. Der Einsatz solcher Halbleiterschalter zeichnet sich gegenüber herkömmlichen Schaltelementen, wie etwa Relais und einer dabei zusätzlich erforderlichen Absicherung über Schmelzsicherungen durch vergleichsweise schnelle Schaltvorgänge bei gleichzeitiger Absicherung aus. Zudem ist ein vergleichsweise einfaches Messen eines daran anliegenden elektrischen Stroms für ein intelligentes Energiemanagement, eine im Wesentlichen frei konfiguriere Absicherung von angeschlossenen elektrischen Leitungen über konfigurierbare Sicherungskennlinien, eine dadurch mögliche Reduzierung eines Leitungsquerschnitts und eine weitgehend dezentrale Stromverteilung in nicht zugänglichen Bauräumen eines Fahrzeugs, gegebenenfalls direkt im jeweiligen Kabelsatz möglich.
Bei der elektrischen Fehlfunktion kann es sich beispielsweise um eine elektrische und/oder thermische Überlast oder einen elektrischen Überstrom handeln. Eine solche elektrische Fehlfunktion kann zum Beispiel durch (auch harte) Kurzschlüsse innerhalb des Fahrzeug-Bordnetzes auftreten. Die Fehlfunktion kann insbesondere transient sein, also vorübergehend und nicht dauerhaft sein beziehungsweise sporadisch auftreten.
Unter Schaltkreis kann eine Einheit oder Baugruppe einer elektrischen oder elektronischen Schaltung verstanden werden, die die erfindungsgemäß definierte Funktion erfüllt. Unter einer kommunikationsfähigen Verbindung zwischen Steuereinheit und Schaltkreis kann jede Art der physikalischen Informationsübertragung zwischen Steuereinheit und Schaltkreis verstanden werden, also beispielsweise eine Informationsübertragung über eine elektrische Leitung, eine Datenleitung, einen Daten-Bus oder dergleichen. Es hat sich als vorteilhaft erwiesen, wenn der Schaltkreis über ein Bus-System, insbesondere über ein so genanntes Serial-Peripheral-Interface (kurz SPI) verfügt.
Die Steuereinheit kann separat zu dem Schaltkreis ausgebildet und/oder angeordnet sein. Alternativ dazu kann die Steuereinheit auch in den Schaltkreis integriert sein.
Der zu berücksichtigende Fahrzeugzustand kann aus einer Vielzahl von vorbestimmten Fahrzeugzuständen ausgewählt sein. Beispielhaft kann dies eine Aufwachphase eines Fahrzeugs, ein geschaltetes Plus beziehungsweise Zündungsplus („Klemme 15 an“) und/oder ein aktiver Fahrzyklus des Fahrzeugs sein.
Mit dieser Konfiguration ermöglicht es die erfindungsgemäße Vorrichtung vorteilhafterweise, dass einerseits eine Absicherung einer Bordnetz-Komponente gegen insbesondere transiente elektrische Überlasten gewährleistet ist. Andererseits wird aber eine verfügbarkeitsrelevante Versorgung der Bordnetz-Komponente mit elektrischer Energie wegen eines (transienten) Einzelfehlers zumindest nicht dauerhaft unterbrochen. Ohne die erfindungsgemäße Konfiguration zur Absicherung einer Bordnetz-Komponente müssten für ein funktionssicheres Abschalten beim Auftreten von beispielsweise einer elektrischen Überlast sonst zwei Halbleiterschalter in Reihe geschaltet werden und für das verfügbarkeitsrelevante Versorgen einer Bordnetz-Komponente nochmals zwei Halbleiterschalter parallel geschaltet werden. Das bedeutet, dass eine serielle Redundanz für die Absicherung gegen eine elektrische Fehlfunktion und eine zusätzliche, parallele Redundanz für das verfügbarkeitsrelevante Versorgen vorgesehen sein müssten. Dies ist aus Kostengründen sowie der knapp bemessenen Bauraumverfügbarkeit in einem Fahrzeug und einer vergleichsweise hohen Verlustleistung nicht erwünscht. Die erfindungsgemäße Konfiguration zeichnet sich also durch eine konstruktiv besonders einfache Möglichkeit zur Absicherung einer Bordnetz-Komponente aus, mit der die Funktionssicherheit der Bordnetz-Komponente verbessert wird.
Eine besonders vorteilhafte Weiterbildung der Erfindung sieht vor, dass der erste Sicherheitszustand oder der zweite Sicherheitszustand durch die Steuereinheit in Abhängigkeit von dem wenigstens einen Fahrzeugzustand priorisiert sind. In anderen Worten, kann der zu schaltende Sicherheitszustand im Prinzip jederzeit durch eine dem Schaltkreis übergeordnete (Steuer-)Instanz vorgegeben werden und kann in Abhängigkeit eines jeweiligen Fahrzeugzustands und/oder Zustand des Fahrzeug-Bordnetzes geändert werden. Im Gegensatz zum Stand der Technik ist der zu schaltende Sicherheitszustand also nicht unveränderbar festgelegt, sondern an einen jeweiligen Fahrzeugzustand anpassbar.
Für einen möglichst effektiven Schutz des Halbleiterschalters vor Beschädigung kann es vorteilhaft sein, wenn der Schaltkreis eine Fehlfunktionsabschalteinrichtung aufweist, die den Halbleiterschalter in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion zumindest zeitweise in den ersten Sicherheitszustand zwangsschaltet. Die Zeitdauer für dieses Zwangsabschalten kann beispielsweise etwa 50 bis 150 µS, vorzugsweise etwa 100 µS betragen. Die Fehlfunktionsabschalteinrichtung kann für eine zeitlich möglichst zügige Abschaltung des Halbleiterschalters so angeordnet sein, dass sie den Halbleiterschalter auf direktem Wege schaltet, ohne beispielsweise die Steuereinheit einzubinden. Idealerweise kann auch vorgesehen sein, dass die Zwangsabschaltung insbesondere je nach Schwere der elektrischen Fehlfunktion und/oder je nach zu erfüllender Fahrzeugfunktion stets, das heißt in jedem Fall aktiv ist. Auf diese Weise kann der Halbleiterschalter bei einer elektrischen Fehlfunktion zeitlich zügig abgeschaltet werden, um eine elektrisch oder thermisch bedingte Beschädigung des Halbleiterschalters und gegebenenfalls auch der damit elektrisch leitfähig verbundenen Bordnetz-Komponente zu vermeiden.
Ein Vorteil der Erfindung liegt darin, dass sicherheitsrelevante Fahrfunktionen in Abhängigkeit von wenigstens einem Fahrzeugzustand auch bei Auftreten eines transienten Fehlerfalls aufrechterhalten werden oder nach einer Zeitspanne von etwa 100 µs (zwischen ~50 µs und ~150 µs) wieder einschaltet. Dies bietet den Vorteil, das Schaltvermögen durch die unmittelbare Reaktion des Ausschaltens aufrechtzuerhalten (Risiko der sonst evtl. stark ansteigenden, zu schaltenden Ströme) und innerhalb der zulässigen Zeit auch wieder die Versorgung der sicherheitsrelevanten Bordnetz-Komponenten zu gewährleisten.
Das vorbestimmte Zeitintervall kann 50 µs bis 150 µs, insbesondere maximal 100 µs, betragen. Für einen solchen Zeitraum können Lasten mittels interner Stützung ohne Versorgung auskommen.
Eine weitere, vorteilhafte Weiterbildung der Erfindung sieht vor, dass die Vorrichtung dazu eingerichtet ist, ein Ansteuersignal des Schaltkreises durch insbesondere ein Ansteuersignal der Steuereinheit wahlweise zu ersetzen, zu überlagern beziehungsweise zu übersteuern oder dergleichen, um den Halbleiterschalter in den zweiten Sicherheitszustand zwangszuschalten. Durch das wahlweise Ersetzen des Ansteuersignals des Schaltkreises insbesondere durch ein Ansteuersignal der Steuereinheit ist es auf besonders einfache Weise möglich, den Halbleiterschalter sowohl in Abhängigkeit der elektrischen Fehlfunktion in den ersten Sicherheitszustand als auch in Abhängigkeit von dem wenigstens einen Fahrzeugzustand in den ersten Sicherheitszustand oder den zweiten Sicherheitszustand zu schalten. Das heißt, dass trotz der Veranlassung eines Schaltens des Halbleiterschalters in den ersten Sicherheitszustand durch den Schaltkreis, beispielweise durch die Ansteuereinrichtung und/oder die Fehlfunktionsabschalteinrichtung, entweder stattdessen oder zeitlich danach dennoch in den zweiten Sicherheitszustand geschaltet werden kann.
Eine elektrische Fehlfunktion lässt sich auf besonders zuverlässige und konstruktiv einfache Weise erfassen, wenn die Vorrichtung, insbesondere die Erfassungseinrichtung dazu eingerichtet sind, einen Spannungsabfall U_DS-On an dem Halbleiterschalter zu erfassen. Vorzugsweise kann die Vorrichtung dazu eingerichtet sein, einen Spannungsabfall an beziehungsweise über dem Drain-Source-Widerstand des Halbleiterschalters, zum Beispiel eines MOSFETs, insbesondere im durchgeschalteten Zustand zu erfassen beziehungsweise zu messen. Hierfür können die Vorrichtung, insbesondere die Erfassungseinrichtung eine Art Messbrückenschaltung umfassen, deren erster Zweig mit einem Drain-Anschluss des Halbleiterschalters und deren zweiter Zweig mit einem Source-Anschluss des Halbleiterschalters elektrisch verbunden ist. Dieser erfassbare Spannungsabfall ist zu dem vom Halbleiterschalter zu schaltenden elektrischen Strom proportional, so dass auf diese Weise eine indirekte Erfassung des elektrischen Stroms zur Bestimmung einer elektrischen Fehlfunktion, beispielsweise eines elektrischen Überstroms möglich ist. So kann dies Vorteilhaft mit einem Schwellwert verglichen werden und bei Überschreiten des Schwellwerts eine elektrische Fehlfunktion diagnostiziert werden.
Für eine möglichst einfache Auswertung beziehungsweise Bestimmung, ob eine elektrische Fehlfunktion vorliegt, hat es sich als vorteilhaft erwiesen, wenn die Erfassungseinrichtung einen Differenzverstärker sowie eine davon gespeiste Auswerteeinheit für die Erfassung einer elektrischen Fehlfunktion umfasst. Bei dem Differenzverstärker kann es sich auch um einen Komparator handeln, der zwei elektrische Spannungen miteinander vergleicht. Als Auswerteeinheit eignet sich beispielsweise ein Analog-Digital-Wandler, der das analoge Spannungssignal in ein digitales Signal wandelt. So kann der Spannungsabfall über dem Drain-Source-Widerstand des Halbleiterschalters dem Differenzverstärker und nachfolgend dem Analog-Digitalwandler zugeführt. Das digitale Signal lässt sich vergleichsweise einfach auswerten, beispielsweise durch die Steuereinheit. Zur Auswertung kann beispielsweise ein Software-Filter vorgesehen sein, das sich vergleichsweise flexibel an unterschiedlichste Fahrzeugtypen und deren Anforderungen hinsichtlich der Absicherung des jeweiligen Fahrzeug-Bordnetzes anpassen lässt.
Für ein zeitlich möglichst schnelles Ansteuern des Halbleiterschalters, kann es vorteilhaft sein, wenn der Schaltkreis, insbesondere die Ansteuereinrichtung einen Gate-Treiber umfassen. Zusätzlich können der Schaltkreis, insbesondere die Ansteuereinrichtung eine Ladungspumpe zur Erzeugung einer bestimmten Gate-Spannung umfassen.
Für eine möglichst klein bauende Vorrichtung und insbesondere bei hohen Stückzahlen vergleichsweise kostengünstige Bereitstellung der Vorrichtung kann es vorteilhaft sein, wenn der Schaltkreis ein integrierter Schaltkreis, insbesondere ein ASIC also eine anwendungsspezifische integrierte Schaltung (englisch Application Specific Integrated Circuit) ist.
Es hat sich als vorteilhaft erwiesen, wenn die Steuereinheit ein Mikrocontroller ist, der dazu eingerichtet ist, eine Vielzahl von Fahrzeugzuständen zu ermitteln. Für die Ermittlung eines jeweiligen Fahrzeugzustands kann die Steuereinheit kommunikationsfähig mit einem Fahrzeug-Bus, wie etwa einem LIN- oder CAN-Bus verbunden sein. Der Mikrocontroller kann beispielsweise ein Batteriemanagementsystem, etwa ein Batterie-Steuergerät oder ein anderes Fahrzeug-Steuergerät sein.
Die Erfindung betrifft auch ein Verfahren zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes. Dieses Verfahren umfasst die Schritte:

- Vorsehen beziehungsweise Bereitstellen von wenigstens einem Halbleiterschalter, der mit der wenigstens einen Bordnetz-Komponente elektrisch leitfähig verbunden ist.
- Vorsehen beziehungsweise Bereitstellen von einem Schaltkreis, der mit dem Halbleiterschalter elektrisch leitfähig verbunden ist und der eine Erfassungseinrichtung zur Erfassung einer elektrischen Fehlfunktion des Fahrzeug-Bordnetzes sowie eine Ansteuereinrichtung zum Ansteuern des Halbleiterschalters aufweist.
- Vorsehen beziehungsweise Bereitstellen von einer Steuereinheit, die zumindest mit dem Schaltkreis kommunikationsfähig verbunden ist.

Erfindungsgemäß wird der Halbleiterschalter in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion in einen ersten Sicherheitszustand, in dem der Halbleiterschalter ausgeschaltet ist, und ferner in Abhängigkeit von wenigstens einem vorbestimmten Fahrzeugzustand vorzugsweise durch die Steuereinheit wahlweise in den ersten Sicherheitszustand oder in einen zweiten Sicherheitszustand geschaltet wird, in dem der Halbleiterschalter eingeschaltet ist.
Für das erfindungsgemäße Verfahren können sämtliche Merkmale der vorstehend beschriebenen Vorrichtung zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes entsprechend genutzt werden.
Vorteilhaft wird der Halbleiterschalter in Abhängigkeit von wenigstens einem vorbestimmten Fahrzeugzustand vorzugsweise durch die Steuereinheit für eine vorbestimmte Zeitdauer in den ersten Sicherheitszustand und nach Ablauf des Zeitdauer in den zweiten Sicherheitszustand geschaltet. So kann ein transienter Fehler effizient abgefangen werden. Wenn nach dem Schalten in den zweiten Sicherheitszustand erneut eine oder die elektrische Fehlfunktion erfasst wird, kann je nach zeitlichem Abstand zum Schalten in den zweiten Schaltzustand entweder für die vorbestimmte Zeitdauer in den ersten Sicherheitszustand und dann wieder in den zweiten Sicherheitszustand geschaltet werden. Beispielsweise können, wenn der zeitliche Abstand größer 150 µs beträgt, erneut beide Sicherheitszustände durchlaufen werden, wohingegen bei einen kürzeren zeitlichen Abstand dauerhaft in den ersten Sicherheitszustand geschaltet wird.
Eine besonders vorteilhafte Weiterbildung der Erfindung sieht vor, dass der erste Sicherheitszustand oder der zweite Sicherheitszustand in Abhängigkeit des wenigstens einen Fahrzeugzustands vorzugsweise durch die Steuereinheit priorisiert werden kann. Demnach kann vorzugsweise die Steuereinheit ein Ausgangssignal des Schaltkreises ersetzen, überlagern beziehungsweise übersteuern oder dergleichen, um zwangsweise einen bestimmten, gegebenenfalls priorisierten Sicherheitszustand zu schalten. In anderen Worten, wird der zu schaltende Sicherheitszustand im Prinzip jederzeit durch eine dem Schaltkreis übergeordnete (Steuer-)Instanz vorgegeben und kann in Abhängigkeit eines jeweiligen Fahrzeugzustands und/oder Zustand des Fahrzeug-Bordnetzes geändert werden. So kann auf den sicheren Zustand „ein“ oder „aus“ gezielt eingewirkt werden.
Für einen möglichst guten Schutz vor Beschädigungen des Halbleiterschalters kann vorgesehen sein, dass der Halbleiterschalter in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion zumindest zeitweise in den ersten Sicherheitszustand zwangsgeschaltet wird. Hierfür kann es vorteilhaft sein, wenn der Schaltkreis eine Fehlfunktionsabschalteinrichtung aufweist, durch die der Halbleiterschalter in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion zumindest zeitweise in den ersten Sicherheitszustand zwangsschaltet wird. Die Fehlfunktionsabschalteinrichtung kann für eine zeitlich möglichst zügige Abschaltung des Halbleiterschalters so angeordnet sein, dass der Halbleiterschalter auf direktem Wege geschaltet werden kann, ohne beispielsweise die Steuereinheit mit einzubinden.
Für eine möglichst hohe Funktionssicherheit des Fahrzeug-Bordnetzes kann es vorteilhaft sein, wenn bei einer elektrischen Fehlfunktion stets, das heißt in jedem Fall, zumindest zeitweise in den ersten Sicherheitszustand zwangsgeschaltet wird. Vorteilhafterweise kann für maximal 150 µs, besser für maximal 120 µs, noch besser für maximal 100 µs in den ersten Sicherheitszustand zwangsgeschaltet werden und dann wieder zurück in den zweiten Sicherheitszustand, um dann erneut auf ein Vorliegen der elektrischen Fehlfunktion zu überprüfen.
Eine weitere, vorteilhafte Weiterbildung der Erfindung sieht vor, dass ein Ansteuersignal des Schaltkreises durch die Steuereinheit in Abhängigkeit des wenigstens einen vorbestimmten Fahrzeugzustands wahlweise ersetzt, überlagert oder dergleichen werden kann, um den Halbleiterschalter zumindest zeitweise in den zweiten Sicherheitszustand zwangszuschalten. So kann der Halbleiterschalter auch bei Erfassung und/oder Vorliegen einer elektrischen Fehlfunktion trotzdem zumindest zeitweise in den zweiten Sicherheitszustand geschaltet werden.
Es kann auch vorteilhaft sein, wenn in Abhängigkeit des wenigstens einen Fahrzeugzustands zumindest einmalig von dem zwangsgeschalteten ersten Sicherheitszustand in den zweiten Sicherheitszustand geschaltet wird und nur beim erneuten Erfassen derselben elektrischen Fehlfunktion wieder in den ersten Sicherheitszustand geschaltet wird.
Die Erfindung lässt sich besonders vorteilhaft in einem Fahrzeug, beispielsweise einem Kraftfahrzeug oder einem Hybrid- oder Elektrofahrzeug einsetzen.
Figurenliste
Nachfolgend werden vorteilhafte Ausführungsbeispiele der Erfindung unter Bezugnahme auf die begleitenden Figuren erläutert. Es zeigen:

1 ein schematisch dargestelltes Blockschaltbild einer erfindungsgemäßen Vorrichtung zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes mit einem zu schaltenden Lastkanal;
2 das schematisch dargestellte Blockschaltbild einer erfindungsgemäßen Vorrichtung zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes aus 1, wobei dieses um einen zu schaltenden Lastkanal erweitert ist; und
3 einen Ablaufplan von Schaltzuständen und Überwachungsschritten zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes mit einem zu schaltenden Lastkanal.

Die Figuren sind lediglich schematische Darstellungen und dienen nur der Erläuterung der Erfindung. Gleiche Elemente sind durchgängig mit den gleichen Bezugszeichen versehen.
1 zeigt in einem schematisch dargestellten Blockschaltbild eine erfindungsgemäße Vorrichtung 1 zum Absichern von wenigstens einer Bordnetz-Komponente eines (hier nur auszugsweise dargestellten) Fahrzeug-Bordnetzes. Bei dem Fahrzeug-Bordnetz handelt es sich hier um ein elektrisches Bordnetz, ein so genanntes Energie-Bordnetz eines Kraftfahrzeugs.
Das Fahrzeug-Bordnetz umfasst einen elektrischen Verbraucher beziehungsweise eine elektrische Last 2 und eine damit verbundene elektrische Leitung 3. Die durch die Vorrichtung 1 abzusichernde Bordnetz-Komponente können beispielsweise die elektrische Last 2 oder die elektrische Leitung 3 oder beide Elemente sein. In diesem Ausführungsbeispiel ist beispielhaft genau ein einziger Lastkanal dargestellt.
Aus 1 geht hervor, dass die Vorrichtung 1 einen Halbleiterschalter 4 aufweist, der über die elektrische Leitung 3 mit der elektrischen Last 2 elektrisch leitfähig verbunden ist. Der Halbleiterschalter 4 ist in diesem Ausführungsbeispiel als Metall-Oxid-Halbleiter-Feldeffekttransistor (kurz MOSFET), insbesondere als n-Typ-MOSFET ausgeführt. Demzufolge verfügt der Halbleiterschalter 4 über einen Drain-Anschluss 5, einen Source-Anschluss 6 und ein Gate 7 beziehungsweise einen Gate-Anschluss. Ein solcher Halbleiterschalter 4 weist im eingeschalteten Zustand einen Drain-Source-Widerstand R_Ds-ON auf, an dem ein erfassbarer beziehungsweise messbarer Spannungsabfall U_DS-On auftritt, der proportional zu einem hier zu erfassenden elektrischen Strom ist. Als mögliche Schaltstellungen kann der Halbleiterschalter 4 einen ersten Sicherheitszustand, in dem der Halbleiterschalter 4 gesperrt beziehungsweise ausgeschaltet ist, und einen zweiten Sicherheitszustand einnehmen, in dem der Halbleiterschalter 4 eingeschaltet ist.
Des Weiteren umfasst die Vorrichtung 1 einen Schaltkreis 8, der über eine oder mehrere elektrische Leitungen mit dem Halbleiterschalter 4 elektrisch leitfähig verbunden ist oder, alternativ dazu, eine integrale Baueinheit bildet. In diesem Ausführungsbeispiel ist der Schaltkreis 8 als integrierter Schaltkreis (kurz IC), insbesondere als anwendungsspezifische integrierte Schaltung (englisch application-specific integrated circuit, kurz ASIC) ausgeführt.
Der Schaltkreis 8 weist eine Erfassungseinrichtung 9 zur Erfassung einer elektrischen Fehlfunktion des Fahrzeug-Bordnetzes auf, wobei die Erfassungseinrichtung 9 in diesem Ausführungsbeispiel eine Anordnung mit einem ersten Zweig 10 und einem zweiten Zweig 11 zum Erfassen beziehungsweise Messen des Spannungsabfalls U_DS-On des Halbleiterschalters 4 umfasst. Der erste Zweig 10 ist mit dem Drain-Anschluss 5, der zweite Zweig 11 ist mit dem Source-Anschluss 6 des Halbleiterschalters 4 verbunden. Der Schaltreis 8 umfasst ferner einen mit dem erfassten Spannungsabfall U_DS-On gespeisten Differenzverstärker 12 und einen davon gespeisten Analog-Digital-Wandler 13 zum Umsetzen des analogen Signals des Differenzverstärkers 12 in ein digitales Signal.
Der Schaltkreis 8 weist ferner eine Ansteuereinrichtung 14 zum Ansteuern des Halbleiterschalters 4 auf, die in diesem Ausführungsbeispiel im Wesentlichen einen Gate-Treiber 15 und eine diesen speisende Ladungspumpe 16 umfasst.
Des Weiteren verfügt der Schaltkreis 8 über eine Auswerteeinheit 17 mit einer Auswertelogik zur (Vor-) Auswertung des von der Erfassungseinrichtung 9 gelieferten Signals. Zudem ist eine serielle Schnittstelle 18 vorgesehen, die hier als so genanntes Serial-Peripheral-Interface (kurz SPI) ausgeführt ist, zur kommunikationsfähigen Anbindung des Schaltkreises 8 an andere Elemente der Vorrichtung 1.
In 1 ist zudem erkennbar, dass der Schaltkreis 8 eine Fehlfunktionsabschalteinrichtung 19 aufweist, die als eine Art Schnellabschaltung für den Halbleiterschalter 4 funktioniert (Schnellabschaltung für harte (transiente) Kurzschlüsse). Hierfür ist die Fehlfunktionsabschalteinrichtung 19 innerhalb des Schaltkreises 8 direkt mit dem Gate-Treiber 15 beziehungsweise der Ladungspumpe 16 elektrisch leitfähig verbunden. Die Funktion der Fehlfunktionsabschalteinrichtung 19 wird weiter unten detaillierter erläutert.
Die Vorrichtung 1 weist auch eine Steuereinheit 20 auf, die über die serielle Schnittstelle 18 kommunikationsfähig mit dem Schaltkreis 8 verbunden ist. Aus 1 geht hervor, dass die Steuereinheit 20, bei der es sich hier beispielhaft um ein Batteriemanagementsystem handelt, mit einem (hier als Pfeil angedeutetes) Fahrzeug-Bussystem 21 kommunikationsfähig verbunden ist, um unter anderen Informationen über einen jeweiligen Fahrzeugzustand zu erhalten. In der Steuereinheit 20 ist ein Software-Filter implementiert, das ausgehend von dem durch die Erfassungseinrichtung 9 und/oder die Auswerteeinheit 17 des Schaltkreises 8 verarbeiteten Spannungsabfall U_DS-On über dem Halbleiterschalter 4 eine elektrische Fehlfunktion bestimmt. Die elektrische Fehlfunktion kann beispielsweise ein elektrischer Überstrom sein, also ein elektrischer Strom, der den größten dauernd zulässigen Strom infolge von Kurzschlüssen beziehungsweise Überlastung überschreitet.
2, die ebenfalls ein schematisch dargestelltes Blockschaltbild der erfindungsgemäßen Vorrichtung 1 zeigt, soll veranschaulichen, dass die Vorrichtung 1 auch in der Lage ist, mehr als einen Lastkanal, nämlich zwei, drei, vier oder mehr Lastkanäle abzusichern. Die dafür zusätzlich notwendigen Elemente entsprechen aber konstruktiv und funktional denen der vorstehend Vorrichtung 1. Zur besseren Veranschaulichung sind die Bezugszeichen der Elemente, die für den weiteren, abzusichernden Lastkanal verwendet werden, um den Kleinbuchstaben „a“ ergänzt.
Anhand von 1, die die Vorrichtung 1 in einem schematisch dargestellten Blockschaltbild zeigt, sollen nun ein möglicher Betrieb der Vorrichtung 1 beziehungsweise ein Verfahren zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes näher erläutert werden.
Im Allgemeinen steuert die Steuereinheit 20 über die serielle Schnittstelle 18, ob der in diesem Ausführungsbeispiel einzige Lastkanal mit der elektrischen Last 2 eingeschaltet oder ausgeschaltet sein soll. Der Schaltkreis 8 erzeugt über die Ladungspumpe 16 die notwendige Gate-Spannung, die über den Gate-Treiber 15 zur Ansteuerung des Halbleiterschalters 4 auf dessen Gate 7 durchgeschaltet wird.
Um während des Betriebs des Fahrzeugs beziehungsweise der Vorrichtung 1 eine mögliche elektrische Fehlfunktion zu erfassen, erfasst beziehungsweise misst der Schaltkreis 8 den zu dem eigentlich zu erfassenden Strom proportionalen Spannungsabfall U_DS-On über dem Halbleiterschalter 4. Hierfür wird der erfasste Spannungsabfall U_DS-On dem Differenzverstärker 12 zugeführt. Dieser wiederum gibt das daraus erhaltene Signal an den Analog-Digital-Wandler 13 weiter. Nach der Analog-Digital-Wandlung des Signals aus dem Differenzverstärker 12 wird dieses über die Auswertelogik der (Vor-)Auswerteeinheit 17 und die serielle Schnittstelle 18 an die Steuereinheit 20 weitergeleitet beziehungsweise übertragen. In der Steuereinheit 20 ist das Software-Filter implementiert, das ausgehend von der (indirekten) Strommessung die Last- beziehungsweise Überlastsituation als mögliche elektrische Fehlfunktion der elektrischen Leitung 3 und/oder der elektrischen Last 2 bestimmt.
Für harte Kurzschlüsse ist die Fehlfunktionsabschalteinrichtung 19 als eine Art Schnellabschaltung implementiert. Diese kann direkt, das heißt ohne den zusätzlichen Kommunikationsweg über die Steuereinheit 20 bei harten, transienten Kurzschlüssen eine Sofortabschaltung des Halbleiterschalters 4 vornehmen, um so den Halbleiterschalter 4 und/oder die elektrische Last 2 vor Beschädigung zu schützen.
Je nach Fahrzeugzustand, der beispielsweise über die Steuereinheit 20 und/oder den damit verbundenen Fahrzeug-Bus ermittelt wird, kann die Vorrichtung 1 nun zwischen dem ersten Sicherheitszustand und dem zweiten Sicherheitszustand wechseln, so dass der zu schaltende Sicherheitszustand je nach Fahrzeugzustand variabel beziehungsweise priorisierbar ist.
Beispielhaft kann eine für einen möglichst funktionssicheren Fahrzeugbetrieb sinnvolle Priorisierung des ersten Sicherheitszustands und des zweiten Sicherheitszustands wie nachfolgend beschrieben ausgeführt werden.
Als ein möglicher Fahrzeugzustand kommt die so genannte Aufwachphase des Fahrzeugs in Betracht. Hier ist vorgesehen, dass der erste Sicherheitszustand priorisiert und dementsprechend als einzunehmender Sicherheitszustand von der Steuereinheit 20 an den Schaltkreis 8 vorgegeben, das heißt vorbestimmt wird. In dieser Aufwachphase des Fahrzeugs erfolgen insbesondere eine Diagnose hinsichtlich einer elektrischen Fehlfunktion und gegebenenfalls eine Art Schnellabschaltung durch die Fehlfunktionsabschalteinrichtung 19. Es erfolgt zudem eine Diagnose der Ansteuerung des Halbleiterschalters 4.
Während dieser Aufwachphase sorgen erfasste beziehungsweise diagnostizierte elektrische Fehlfunktionen dafür, dass der Halbleiterschalter 4 so lange ausgeschaltet bleibt, also im ersten Sicherheitszustand verbleibt, bis die Fehlfunktion behoben ist. Durch eine Rückkopplung der Vorrichtung 1, insbesondere der Steuereinheit 20 zu anderen Fahrzeugfunktionen wird auch der Eintritt in einen Fahrzyklus beziehungsweise in eine Fahrbereitschaft unterbunden, so dass das Fahrzeug nicht in den (Fahr-)Betrieb genommen werden kann. Wird dagegen keine elektrische Fehlfunktion erfasst beziehungsweise diagnostiziert, so erteilt die Vorrichtung 1, insbesondere die Steuereinheit 20 eine Freigabe zum Eintritt in den Fahrzyklus.
Anders gestaltet sich die Priorisierung im beispielhaften Fahrzeugzustand mit geschaltetem Plus („Klemme 15 an“) und bereits begonnenem Fahrzyklus. Denn in diesem Fahrzeugzustand hat bei verfügbarkeitsrelevanten Funktionen der Bordnetz-Komponente der zweite Sicherheitszustand Priorität und wird entsprechend von der Steuereinheit 20 an den Schaltkreis 8 vorgegeben.
Verfügbarkeitsrelevante Funktionen, wie beispielsweise Drive-by-Wire-Funktionen, sollen aus (Fahr-)Sicherheitsgründen in diesem Fahrzeugzustand eingeschaltet bleiben und müssen deshalb weiterhin funktionssicher mit elektrischer Energie versorgt werden. Die Erfassung beziehungsweise Diagnose der elektrischen Fehlfunktion ist aber dennoch aktiv. Wird eine elektrische Fehlfunktion erfasst, so wird (trotzdem) in den zweiten Sicherheitszustand gewechselt beziehungsweise ein bereits geschalteter zweiter Sicherheitszustand (trotzdem) beibehalten. Jedoch wird die Fehlfunktion an die Steuereinheit 20 kommuniziert und dort gespeichert. Bei (zumindest temporären) Nichtvorliegen einer elektrischen Fehlfunktion verbleibt der Halbleiterschalter 4 so lange im zweiten Sicherheitszustand, solange keine (transiente) elektrische Überlast erfasst und der Halbleiterschalter 4 gegebenenfalls durch die Fehlfunktionsabschalteinrichtung 19 zeitlich zügig abgeschaltet wird. Die Steuereinheit 20 kann in Abhängigkeit einer darin abgespeicherten Steuerfunktion entscheiden, zu welchem Zeitpunkt oder bei welchem Ereignis in den ersten Sicherheitszustand gewechselt wird.
Um den Halbleiterschalter 4 aber vor Beschädigung zu schützen, ist die Fehlfunktionsabschalteinrichtung 19 in jedem Fall aktiv, da bei einem zeitlich zu langsamen Abschalten des Halbleiterschalters 4 dieser beschädigt werden könnte. Als mögliche elektrische Fehlfunktion seien beispielhaft ein harter Kurzschluss oder ein interner Fehler, beispielsweise durch elektromagnetische Strahlung genannt.
Liegt die Priorisierung nun auf dem zweiten Sicherheitszustand, in dem der Halbleiterschalter 4 eingeschaltet ist und bleiben soll, wird der Halbleiterschalter 4 zwar kurzzeitig in den ersten Sicherheitszustand (um-)geschaltet. Die Steuereinheit 20 veranlasst aufgrund der Priorisierung des zweiten Sicherheitszustands aber ein rasches Umschalten (zurück) in den ersten Sicherheitszustand. Dies kann vergleichsweise zügig erfolgen, nämlich etwa in 50 bis 150 µs, vorzugsweise in etwa 100 µs. Nur dann, wenn die elektrische Fehlfunktion nochmals auftritt und die Fehlfunktionsabschalteinrichtung 19 den Halbleiterschalter 4 (automatisch) in den ersten Sicherheitszustand schaltet, wird dauerhaft der erste Sicherheitszustand eingenommen und gegebenenfalls priorisiert.
Auf diese Weise kann der Halbleiterschalter 4 in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion insbesondere durch die Fehlfunktionsabschalteinrichtung 19 in den ersten Sicherheitszustand geschaltet werden, in dem der Halbleiterschalter 4 (auch zwangsweise) ausgeschaltet ist.
Ferner kann ein Ansteuersignal der Fehlfunktionsabschalteinrichtung 19 aber durch die Steuereinheit 20 in Abhängigkeit von wenigstens einem vorbestimmten Fahrzeugzustand ersetzt beziehungsweise überlagert werden und dadurch der Halbleiterschalter 4 wahlweise (trotzdem) in den zweiten Sicherheitszustand geschaltet werden, in dem der Halbleiterschalter 4 eingeschaltet ist. Damit wird gewährleistet, dass einerseits eine zeitlich zügige Absicherung der Bordnetz-Komponente und des Halbleiterschalters 4 gegen eine transiente elektrische Überlast erfolgt, andererseits aber nicht wegen eines Einzelfehlers eine verfügbarkeitsrelevante Versorgung der Bordnetz-Komponente mit elektrischer Energie unterbleibt.
3 zeigt einen Ablaufplan von Schaltzuständen und Überwachungsschritten zum Absichern von wenigstens einer Bordnetz-Komponente eines Fahrzeug-Bordnetzes mit einem zu schaltenden Lastkanal gemäß einem Ausführungsbeispiel der vorliegenden Erfindung. Der dargestellte Ablaufplan unterscheidet zwei Sicherheitsszenarien. In einem ersten Sicherheitsszenario (Zustände Z2 und Z3) ist der sichere Zustand des Lastkanals „aus“, in einem zweiten Sicherheitsszenario (Zustände Z4 bis Z7) ist der sichere Zustand des Lastkanals „ein“.
In Bordnetzen mit Fail-Operational-Funktionen des automatisierten Fahrens ist der sichere Zustand nicht mehr „aus“ sondern „ein“, wegen der Verfügbarkeitsanforderungen der neuen Lasten (elektrischen Verbrauchern). Eine konventionelle Sicherung ist in diesem Umfeld problematisch, da sie typischerweise einen großen Spannungseinbruch im Bordnetz erzeugt, bevor sie auslöst, beispielsweise Auslösen wegen eines Kurzschlusses in einer nicht FUSI-relevanten Funktion PTC-Zuheizer. Der Spannungseinbruch steht im Konflikt mit dem Save-State „ON“, d.h. mit dem sicheren Zustand „ein“.
Bei dem hier vorgestellten elektronischem Absichern kann vorteilhafterweise der Zielkonflikt bezüglich der Sicherheitsziele „provide Suppy“ (Spannungsversorgung sicherstellen) und dem Vermögen „Überlast zu trennen“ adressiert werden. Wegen der geforderten Rückwirkungsfreiheit muss die Überstromabschaltschwelle gering gewählt werden, beispielsweise 250 A. Durch die Eingangskapazitäten der Lasten führen Spannungsspitzen im Bordnetz zu Stromspitzen in diese Eingangskapazitäten. Diese Stromspitzen können bereits zur Überschreitung der Abschaltschwelle führen, das heißt somit die Überstromschaltschwelle übersteigen und zu einem Abschalten führen, welches aber im Gegensatz zum Sicherheitsziel „provide Suppy“ steht. Aus den dargestellten Gründen der Rückwirkungsfreiheit muss trotzdem in dieser Situation sofort abgeschaltet werden. Der in 3 dargestellte Ablaufplan zeigt jedoch im rechts dargestellten Ablaufpfad, dass nach spätestens 100 µs ein Widerstart versucht wird. Wenn es sich beim Überschreiten der Überstromschaltschwelle tatsächlich um eine Überlast handelt, wird latchend abgeschaltet.
Im ersten Zustand Z1 ist ein Ausgang für eine angeschlossene Last gesteuert auf „aus“ oder „OFF“ geschaltet. Bei einem Einschaltsignal verknüpft mit dem sicheren Zustand „aus“ wird nach dem ersten Übergang T1 der zweite Zustand Z2 „ein“ (sicherer Zustand „aus“) eingenommen. Als eine elektrische Fehlfunktion wird nun bei einem Überschreiten des aktuellen Stroms über eine Überstromschaltschwelle (Bedingung B1) über den zweiten Übergang in den dritten Zustand Z3 in den sicheren Zustand „aus“ geschaltet. Der erste Übergang T1 in den zweiten Zustand Z2 wird unter der Bedingung eines einen sicheren Zustand „aus“ bedingenden Fahrzustand gewählt. Vereinfacht ausgedrückt handelt es sich um keinen Fahrzustand des autonomen Fahrens.
Alternativ wird bei einem Einschaltsignal verknüpft mit dem sicheren Zustand „ein“ nach dem dritten Übergang T3 der vierte Zustand Z4 „ein“ (sicherer Zustand „ein“) eingenommen. Nun werden dauerhaft Strom und/oder Spannung überprüft und bei eintreten der zweiten Bedingung B2, dass der aktuelle Strom über einer Überstromschaltschwelle liegt wird mit dem vierten Übergang für ein vorabdefiniertes Zeitintervall in den fünften Zustand „aus“ (sicherer Zustand „ein“) gewechselt. Wie bereits ausführlich dargelegt beträgt das vorabdefinierte Zeitintervall bevorzugt zwischen 50 µs und 150 µs, bevorzugt 80 µs bis 120 µs, besonders bevorzugt in einem Toleranzbereich um 100 µs oder kleiner/gleich 100 µs. Dies entspricht der Zeitdauer, die die angeschlossenen Lasten mittels einer internen Stützung ohne eine externe Versorgung auskommen müssen. Nach Ablauf des vorabdefinierten Zeitintervalls wird in den sechsten Zustand „ein“ (sicherer Zustand „ein“) geschaltet und überprüft, ob der aktuelle Strom über der Überstromschaltschwelle liegt (Bedingung B3). Wenn der aktuelle Strom über der Überstromschaltschwelle liegt, wird mit dem siebten Zustand „aus“ der sichere Zustand „aus“ eingenommen, um die angeschlossene Last und das Bordnetz dauerhaft zu schützen. Alternativ kann aus dem sechsten Zustand mit dem sicheren Zustand „ein“ über den siebten Übergang T7 zurück in den vierten Zustand Z4 gewechselt, um eine Bestätigung durch eine übergeordnete Instanz zu erhalten.
Mit anderen Worten wird bei Erkennen von Stromspitzen, die die Abschaltschwelle überschreiten, sofort abgeschaltet, um die Sicherheit zu gewährleisten und da die angeschlossenen Last ein vorabbestimmtes Zeitintervall von in der Regel bis zu 100 µs problemlos ohne Versorgung überdauern. Innerhalb des vorabbestimmten Zeitintervalls wird nun versucht, den Zustand „ein“ wieder herzustellen, wobei gleichzeitig ein Überschreiten der Überstromabschaltschwelle überwacht wird. Wenn diese nicht überschritten wird, wird der zum erkannte elektrische Fehlfunktion als transienter Fehler klassifiziert und das System arbeitet „normal“ weiter. So kann der Zielkonflikt des schnellen Abschaltens bei gleichzeitiger Forderung des sicheren Zustands „ein“ gelöst werden, in dem das Abschalten in der Regel kürzer des vorabbestimmten Zeitintervalls von max. 150 µs oder 100 µs bleibt, wodurch schädliche Spannungs- und Stromspitzen quasi herausgefiltert werden und der sichere Zustand „ein“ gehalten wird, außer es handelt sich um einen „permanenten Fehler“ der trotz der Sicherheitsvorgabe ein dauerhaftes Abschalten erzwingt.
In dem Ablaufplan in 3 werden zwei sichere Zielzustände unterschieden: „aus“ (Save State OFF - SSt_off) und „ein“ (Save State ON - SSt_on). Im ersten sicheren Zielzustand „aus“ wird bei Auftreten eines Fehlers, d.h. Überlastfalles, die Last abgeschaltet; im zweiten sicheren Zielzustand „ein“ wird bei Auftreten eines Fehlers, d.h. Überlastfalles, für ein vorbestimmtes Zeitintervall, in der Regel von maximal 100 µs, abgeschaltet und dann wieder eingeschaltet. Wenn nach dem erneuten Einschalten immer noch der Fehler, d.h. Überlastfall, detektiert wird, wird dauerhaft abgeschaltet. Optional kann auch vorgesehen sein, dass nach einem zweiten Zeitintervall das Vorliegen eines Fehlers überprüft wird, und erst dann dauerhaft abgeschaltet wird.
Durch das direkte Abschalten wird ein Schutz vor transienten wie dauerhaften Fehlern geboten, wobei bei transienten Fehlern der sichere Zustand „ein“ gehalten werden kann. So kann effizient eine Unterscheidung zwischen transienten und dauerhaften Fehlern erfolgen.
Ausgehend von den dargestellten Ausführungsbeispielen können die erfindungsgemäße Vorrichtung 1 und das erfindungsgemäße Verfahren in vielerlei Hinsicht abgewandelt werden.
Beispielsweise ist denkbar, dass mehr als zwei Fahrzeugzustände vorbestimmt und/oder ermittelt werden, die unterschiedlich stark priorisiert werden. Es ist auch nicht zwingend notwendig, dass der Schaltkreis 8 als ASIC ausgeführt ist. Es muss auch nicht zwingend ein Software-Filter zur Auswertung einer möglichen elektrischen Fehlfunktion verwendet werden. Vielmehr kann hierfür ein elektronisches Bauelement vorgesehen sein, beispielsweise eine Kippstufe, ein Komparator oder dergleichen.
Bezugszeichenliste

1: Vorrichtung
2, 2a: elektrischer Verbraucher / elektrische Last
3, 3a: elektrische Leitung
4, 4a: Halbleiterschalter
5, 5a: Drain-Anschluss
6, 6a: Source-Anschluss
7, 7a: Gate / Gate-Anschluss
8: Schaltkreis
9, 9a: Erfassungseinrichtung
10, 10a: erster Zweig
11, 11a: zweiter Zweig
12, 12a: Differenzverstärker
13: Analog-Digital-Wandler
14, 14a: Ansteuereinrichtung
15, 15a: Gate-Treiber
16, 16a: Ladungspumpe
17: Auswerteeinheit
18: serielle Schnittstelle
19, 19a: Fehlfunktionsabschalteinrichtung
20: Steuereinheit
21: Fahrzeug-Bussystem
Z1: erster Zustand
Z2: zweiter Zustand
Z3: dritter Zustand
Z4: vierter Zustand
Z5: fünfter Zustand
Z6: sechster Zustand
Z7: siebter Zustand
B1: erster Bedingung
B2: zweite Bedingung
B3: dritte Bedingung
Tx: x-ter Übergang, Transition

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102011100392 A1 [0008]
DE 102009039504 A1 [0008]
DE 102006016454 A1 [0008]
DE 102004057828 A1 [0008]
DE 19964097 A1 [0008]
DE 10040246 A1 [0008]

Claims

Vorrichtung (1) zum Absichern von wenigstens einer sicherheitsrelevanten Bordnetz-Komponente (2, 3) eines Fahrzeug-Bordnetzes, aufweisend: - wenigstens einen Halbleiterschalter (4), der mit der wenigstens einen Bordnetz-Komponente (2, 3) elektrisch leitfähig verbunden ist, - einen Schaltkreis (8), der mit dem Halbleiterschalter (4) elektrisch leitfähig verbunden ist und der eine Erfassungseinrichtung (9) zur Erfassung einer elektrischen Fehlfunktion des Fahrzeug-Bordnetzes sowie eine Ansteuereinrichtung (14) zum Ansteuern des Halbleiterschalters (4) aufweist, und - eine Steuereinheit (20), die zumindest mit dem Schaltkreis (8) kommunikationsfähig verbunden ist, dadurch gekennzeichnet, dass die Vorrichtung (1) dazu eingerichtet ist, - den Halbleiterschalter (4) in Abhängigkeit von einem sicheren Zielzustand „aus“ (SSt_off) und einem Einschaltsignal einzuschalten, und dann in Abhängigkeit von der Erfassung einer vorbestimmten elektrischen Fehlfunktion in einen ersten Sicherheitszustand, in dem der Halbleiterschalter (4) ausgeschaltet ist, zu schalten, um die Bordnetz-Komponente (2, 3) vor elektrischen Überlasten zu schützen, und - den Halbleiterschalter (4) in Abhängigkeit von einem sicheren Zielzustand „ein“ (SSt_on) und einem Einschaltsignal einzuschalten, und dann in Abhängigkeit von der Erfassung einer vorbestimmten elektrischen Fehlfunktion in den ersten Sicherheitszustand zu schalten, und ferner nach einem vorbestimmten Zeitintervall in Abhängigkeit von dem sicheren Zielzustand „ein“ (SSt_on) in einen zweiten Sicherheitszustand zu schalten, in dem der Halbleiterschalter (4) eingeschaltet ist, um eine verfügbarkeitsrelevante Versorgung der Bordnetz-Komponente (2, 3) sicherzustellen, wobei in Abhängigkeit von der erneuten Erfassung der vorbestimmten elektrischen Fehlfunktion erneut in den ersten Sicherheitszustand geschaltet wird.
Vorrichtung (1) nach Anspruch 1, dadurch gekennzeichnet, dass der erste Sicherheitszustand oder der zweite Sicherheitszustand durch die Steuereinheit (20) in Abhängigkeit von dem wenigstens einen Fahrzeugzustand priorisiert sind.
Vorrichtung (1) nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass der Schaltkreis (8) eine Fehlfunktionsabschalteinrichtung (19) aufweist, die den Halbleiterschalter (4) in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion zumindest zeitweise in den ersten Sicherheitszustand zwangsschaltet.
Vorrichtung (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das vorbestimmte Zeitintervall 50 µs bis 150 µs, insbesondere maximal 100 µs, beträgt.
Vorrichtung (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Vorrichtung (1) dazu eingerichtet ist, ein Ansteuersignal des Schaltkreises (8) durch die Steuereinheit (20) wahlweise zu ersetzen, um den Halbleiterschalter (4) in den zweiten Sicherheitszustand zwangszuschalten.
Vorrichtung (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Erfassungseinrichtung (9) dazu eingerichtet ist, einen Spannungsabfall (U_Ds-On) an dem Halbleiterschalter (4) zu erfassen.
Vorrichtung (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Erfassungseinrichtung (9) einen Differenzverstärker (12) sowie eine davon gespeiste Auswerteeinheit (17) für die Erfassung einer elektrischen Fehlfunktion umfasst.
Vorrichtung (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Ansteuereinrichtung (14) einen Gate-Treiber (15) umfasst.
Vorrichtung (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Schaltkreis (8) ein integrierter Schaltkreis, insbesondere ein ASIC ist.
Vorrichtung (1) nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Steuereinheit (20) ein Mikrocontroller ist, der dazu eingerichtet ist, eine Vielzahl von Fahrzeugzuständen zu ermitteln.
Verfahren zum Absichern von wenigstens einer sicherheitsrelevanten Bordnetz-Komponente (2, 3) eines Fahrzeug-Bordnetzes, umfassend: - Vorsehen von wenigstens einem Halbleiterschalter (4), der mit der wenigstens einen Bordnetz-Komponente (2, 3) elektrisch leitfähig verbunden ist, - Vorsehen von einem Schaltkreis (8), der mit dem Halbleiterschalter (4) elektrisch leitfähig verbunden ist und der eine Erfassungseinrichtung (9) zur Erfassung einer elektrischen Fehlfunktion des Fahrzeug-Bordnetzes sowie eine Ansteuereinrichtung (14) zum Ansteuern des Halbleiterschalters (4) aufweist, und - Vorsehen von einer Steuereinheit (20), die zumindest mit dem Schaltkreis (8) kommunikationsfähig verbunden ist, dadurch gekennzeichnet, dass - der Halbleiterschalter (4) in Abhängigkeit von einem sicheren Zielzustand „aus“ (SSt_off) und einem Einschaltsignal eingeschaltet wird, und dann in Abhängigkeit von der Erfassung einer vorbestimmten elektrischen Fehlfunktion in einen ersten Sicherheitszustand, in dem der Halbleiterschalter (4) ausgeschaltet ist, geschaltet wird, um die Bordnetz-Komponente (2, 3) vor elektrischen Überlasten zu schützen, und - der Halbleiterschalter (4) in Abhängigkeit von einem sicheren Zielzustand „ein“ (SSt_on) und einem Einschaltsignal eingeschaltet wird, und dann in Abhängigkeit von der Erfassung einer vorbestimmten elektrischen Fehlfunktion in den ersten Sicherheitszustand geschaltet wird, und ferner nach einem vorbestimmten Zeitintervall in Abhängigkeit von dem sicheren Zielzustand „ein“ (SSt_on) in einen zweiten Sicherheitszustand geschaltet wird, in dem der Halbleiterschalter (4) eingeschaltet ist, um eine verfügbarkeitsrelevante Versorgung der Bordnetz-Komponente (2, 3) sicherzustellen, wobei in Abhängigkeit von der erneuten Erfassung der vorbestimmten elektrischen Fehlfunktion erneut in den ersten Sicherheitszustand geschaltet wird.
Verfahren nach Anspruch 11, dadurch gekennzeichnet, dass der erste Sicherheitszustand oder der zweite Sicherheitszustand in Abhängigkeit des wenigstens einen Fahrzeugzustands priorisiert werden.
Verfahren nach Anspruch 11 oder 12, dadurch gekennzeichnet, dass der Halbleiterschalter (4) in Abhängigkeit von der Erfassung einer elektrischen Fehlfunktion zumindest zeitweise in den ersten Sicherheitszustand zwangsgeschaltet wird.
Verfahren nach einem der Ansprüche 11 bis 13, dadurch gekennzeichnet, dass ein Ansteuersignal des Schaltkreises (8) durch die Steuereinheit (20) in Abhängigkeit des wenigstens einen vorbestimmten Fahrzeugzustands wahlweise ersetzt wird, um den Halbleiterschalter (4) zumindest zeitweise in den zweiten Sicherheitszustand zwangszuschalten.
Verfahren nach einem der Ansprüche 12 bis 14, dadurch gekennzeichnet, dass in Abhängigkeit des wenigstens einen Fahrzeugzustands zumindest einmalig von dem zwangsgeschalteten ersten Sicherheitszustand in den zweiten Sicherheitszustand geschaltet wird und nur beim erneuten Erfassen derselben elektrischen Fehlfunktion wieder in den ersten Sicherheitszustand geschaltet wird.