-
Die vorliegende Erfindung betrifft ein Datenbussystem für ein Fahrzeug.
-
Ein derartiges Datenbussystem dient dazu, in einem Fahrzeug die Kommunikation mit verschiedenen für den Betrieb eines Fahrzeugs anzusteuernden Systembereichen zu betreiben. Dabei existieren Systembereiche, welche für die Betriebssicherheit eines Fahrzeugs von hoher Relevanz sind, wie zum Beispiel das Lenksystem bzw. das Bremssystem eines Fahrzeugs. Ein Ausfall derartiger sicherheitsrelevanter Systembereiche während des Fahrbetriebs eines Fahrzeugs kann mit großer Wahrscheinlichkeit zu schweren bzw. tödlichen Unfällen führen. Derartige Systembereiche müssen daher entsprechend dem hohen Sicherheitsstandard ASIL D gemäß der Norm ISO 26262 ausgeführt sein. Systembereiche eines Fahrzeugs, welche für den Betrieb zwar grundsätzlich relevant sind, die Sicherheit jedoch nicht substantiell beeinträchtigen, können grundsätzlich entsprechend niedrigeren Sicherheitsstandards und somit auch deutlich kostengünstiger aufgebaut sein.
-
Die in Fahrzeugen vorhandenen Systembereiche arbeiten im Allgemeinen auf unterschiedlichen Spannungsniveaus. Dies trifft insbesondere auch für elektromotorisch betriebene Fahrzeuge zu. So können Systembereiche, wie zum Beispiel ein Lenksystem eines Fahrzeugs, vorhanden sein, die auf einem Spannungsniveau im Bereich von 12 V arbeiten. Andere Systembereiche, wie zum Beispiel die Fahrmotoren in elektromotorisch betriebenen Fahrzeugen, die Batterien dafür bzw. Generatoren zur Rückgewinnung von Energie, arbeiten bisweilen auf deutlich höheren Spannungsniveaus von 48 V und mehr. Auch derartige Systembereiche, die auf höheren Spannungsniveaus arbeiten, sind zur Ansteuerung derselben in das in einem Fahrzeug vorhandene Datenbussystem integriert. Ein Spannungsdurchschlag von einem derartigen Systembereich auf das Datenbussystem könnte Komponenten des Datenbussystems bzw. andere an dieses angebundene Systembereiche, insbesondere auch sicherheitsrelevante Systembereiche, schädigen bzw. die Kommunikationsstruktur zerstören.
-
Es ist die Aufgabe der vorliegenden Erfindung, ein Datenbussystem für ein Fahrzeug bereitzustellen, welches bei einfachem und kostengünstigem Aufbau eine gegen das Durchschlagen hoher Spannungen geschützte Struktur aufweist.
-
Erfindungsgemäß wird diese Aufgabe gelöst durch ein Datenbussystem für ein Fahrzeug, umfassend:
- - einen ersten Datenbus-Systembereich zur Kommunikation mit einer ersten Gruppe von anzusteuernden Systembereichen, wobei die Systembereiche der ersten Gruppe von Systembereichen auf wenigstens einem ersten Spannungsniveau arbeiten,
- - einen zweiten Datenbus-Systembereich zur Kommunikation mit einer zweiten Gruppe von Systembereichen, wobei die Systembereiche der zweiten Gruppe von Systembereichen auf wenigstens einem zweiten Spannungsniveau arbeiten, wobei das wenigstens eine zweite Spannungsniveau höher liegt, als das wenigstens eine erste Spannungsniveau,
- - eine dem zweiten Datenbus-Systembereich zugeordnete Abschirmeinheit, wobei die Abschirmeinheit dazu ausgebildet ist, den ersten Datenbus-Systembereich gegen im zweiten Datenbus-Systembereich auftretende Überspannungen abzuschirmen.
-
In einem erfindungsgemäß aufgebauten Datenbussystem können auf verschiedenen Spannungsniveaus arbeitende Systembereiche miteinander bzw. mit Steuergeräten kommunizieren, wobei durch die Abschirmeinheit für alle bzw. mehrere auf einem höheren Spannungsniveau arbeitende Systembereiche eine Sicherheit gegen das Durchschlagen hoher Spannungen auf den verbleibenden Teil des Datenbussystems gewährleistet ist. Es ist daher nicht erforderlich, jeden einzelnen auf einem höheren Spannungsniveau arbeitenden Systembereich mit einem derart hohen Sicherheitsstandard bereitzustellen, dass die Gefahr eines Spannungsdurchschlags faktisch ausgeschlossen werden kann. Vielmehr besteht die Möglichkeit, die mit mehreren derartigen auf hohem Spannungsniveau arbeitenden Systembereichen zusammenwirkende Abschirmeinheit mit hohem Sicherheitsstandard bereitzustellen, so dass selbst dann, wenn im Bereich eines auf hohem Spannungsniveau arbeitenden Systembereichs ein Durchschlag der Spannung auf das Datenbussystem auftritt, andere, insbesondere sicherheitsrelevante Systembereiche durch die mit hohem Sicherheitsstandard aufgebaute Abschirmeinheit zuverlässig gegen eine Überspannung geschützt sind.
-
Um einen derartigen hohen Sicherheitsstandard, auf welchen auch die sicherheitsrelevanten Systembereiche eines Fahrzeugs ausgelegt sind, gewährleisten zu können, wird vorgeschlagen, dass die Abschirmeinheit dem Sicherheitsstandard ASIL D entspricht.
-
Zum Bereitstellen der einen Spannungsdurchschlag verhindernden Struktur kann die Abschirmeinheit einen Digital-Isolator umfassen.
-
Für die Einbindung eines derartigen Digital-Isolators in das Datenbussystem wird vorgeschlagen, dass die Abschirmeinheit umfasst:
- - einen ersten Bus-Transceiver, wobei der erste Bus-Transceiver dazu ausgebildet ist, über einen ersten Bus-Verbindungsbereich mit dem ersten Datenbus-Systembereich zu kommunizieren und über einen ersten seriellen Verbindungsbereich mit dem Digital-Isolator zu kommunizieren,
- - einen zweiten Bus-Transceiver, wobei der zweite Bus-Transceiver dazu ausgebildet ist, über einen zweiten seriellen Verbindungsbereich mit dem Digital-Isolator zu kommunizieren und über einen zweiten Bus-Verbindungsbereich mit den Systembereichen der zweiten Gruppe von Systembereichen zu kommunizieren.
-
Die Sicherheit gegen Betriebsbeeinträchtigungen, welche durch einen durch einen Defekt ausgelösten Durchschlag einer hohen Spannung auftreten können, kann dadurch erhöht werden, dass die Abschirmeinheit eine Überspannungserfassungsanordnung zur Erfassung einer Überspannung im zweiten Datenbus-Systembereich umfasst. Wird das Auftreten einer Überspannung erkannt, können Sicherheitsmaßnahmen, wie zum Beispiel das Deaktivieren desjenigen Systembereichs, in welchem der Spannungsdurchschlag aufgetreten ist, oder das Aufbauen bzw. Nutzen anderer Kommunikationswege, eingeleitet werden.
-
Um die Kommunikation zwischen den verschiedenen in einem Datenbussystem vorhandenen bzw. über dieses anzusprechenden Systembereichen und den Ansteuerbefehlen dafür generierenden bzw. Betriebsinformationen derselben aufnehmenden Steuergeräten in einem Fahrzeug herstellen zu können, wird vorgeschlagen, dass der erste Datenbus-Systembereich wenigstens ein Datenbus-Gateway umfasst, wobei das wenigstens eine Datenbus-Gateway dazu ausgebildet ist, mit den Systembereichen der ersten Gruppe von Systembereichen beispielsweise direkt zu kommunizieren und mit den Systembereichen der zweiten Gruppe von Systembereichen über die Abschirmeinheit zu kommunizieren.
-
Der erste Datenbus-Systembereich und der zweite Datenbus-Systembereich können als CAN-Bussystem ausgebildet sein.
-
Die Systembereiche der ersten Gruppe von Systembereichen können auf einem Spannungsniveau im Bereich von 12 V arbeiten. Weiter können die Systembereiche der zweiten Gruppe von Systembereichen auf einem Spannungsniveau von wenigstens 48 V und mehr arbeiten.
-
Die erste Gruppe von Systembereichen kann beispielsweise sicherheitsrelevante Systembereiche in einem Fahrzeug umfassen, also Systembereiche, die gemäß einem hohen Sicherheitsstandard aufgebaut sind. Dies können beispielsweise sein:
- - eine Fahrzeuglenksystem,
- - ein Fahrzeugbremssystem,
- - ein Fahrzeug-Abstandsreguliersystem,
- - ein Fahrzeug-Spurhaltesystem.
-
Die zweite Gruppe von Systembereichen kann Systembereiche umfassen, für deren Betrieb grundsätzlich höhere Spannungen erforderlich sind bzw. in deren Betrieb höhere Spannungen auftreten. Dies können beispielsweise sein:
- - wenigstens eine Fahrzeugbatterie,
- - einen Generator,
- - wenigstens ein elektrischer Fahrmotor,
- - ein Fahrzeug-Wankstabilisierungssystem.
-
Die vorliegende Erfindung wird nachfolgend mit Bezug auf die beiliegenden Figuren detailliert beschrieben. Es zeigt:
- 1 in blockbildartiger Darstellung ein in ein Fahrzeug mit verschiedenen elektrisch betriebenen Systembereichen integriertes Datenbussystem;
- 2 eine blockbildartige Darstellung einer mit auf einem höheren Spannungsniveau arbeitenden Systembereichen zusammenwirkenden Abschirmeinheit;
- 3 eine der 2 entsprechende Darstellung einer alternativen Ausgestaltung einer Abschirmeinheit.
-
Die 1 zeigt ein Datenbussystem 10 in einem Fahrzeug, welches eine erste Gruppe G1 vom elektrisch zu betreibenden Systembereichen L1 , L2 , L3 und L4 umfasst. Die elektrisch zu betreibenden Systembereiche L1 , L2 , L3 und L4 sind in dem Fahrzeug mit einer Spannung auf einem niedrigeren Niveau im Bereich von etwa 12 V zu betreiben. Zu diesem Zwecke ist im Fahrzeug wenigstens eine auf diesem Spannungsniveau arbeitende bzw. die entsprechende Spannung bereitstellende Spannungsquelle, beispielsweise Batterie, vorgesehen.
-
Es ist ferner eine zweite Gruppe G2 von elektrisch zu betreibenden Systembereichen H1 , H2 , H3 , H4 , H5 vorgesehen. Die Systembereiche H1 , H2 , H3 , H4 , H5 arbeiten auf einem höheren Spannungsniveau von beispielsweise 48V und mehr. Auch hierfür ist in dem Fahrzeug wenigstens eine entsprechende Spannungsquelle, beispielsweise Batterie, vorgesehen.
-
Die erste Gruppe G1 umfasst sicherheitsrelevante Systembereiche, deren Ausfall im Betrieb des Fahrzeugs grundsätzlich vermieden werden muss. Dazu gehören beispielsweise ein Lenksystem des Fahrzeugs, ein Bremssystem, ein Abstandsreguliersystem bzw. ein Spurhaltesystem. All diese Systeme müssen mit einem sehr hohen und einen Systemausfall praktisch ausschließenden Sicherheitsstandard, insbesondere dem Standard ASIL D, ausgeführt sein.
-
Die zweite Gruppe G2 umfasst Systembereiche, welche zwar für den Betrieb des Fahrzeugs grundsätzlich relevant sind, deren Ausfall jedoch nicht zu einer potentiell sicherheitskritischen Fahrsituation führen wird. Derartige Systembereiche können beispielsweise die Fahrmotoren eines elektromotorisch betriebenen Fahrzeugs, ein Wankstabilisierungssystem, Fahrzeugbatterien bzw. eine zum Aufladen derselben im Rekuperationsbetrieb dienenden Generator umfassen.
-
Das beispielsweise als CAN-Datenbussystem aufgebaute Datenbussystem 10 umfasst grundsätzlich zwei Datenbus-Systembereiche 12, 14. Im Datenbussystembereich 12 erfolgt die Kommunikation mit den Systembereichen L1 , L2 , L3 , L4 der ersten Gruppe G1 über von einem Datenbus-Gateway 16 zu diesen führenden Bus-Leitungen 18. Jede dieser Bus-Leitungen 18 kann im Falle des Aufbaus des Datenbussystems 10 als CAN-Datenbussystem eine CAN-High-Leitung und eine CAN-Low-Leitung umfassen. Über das Datenbus-Gateway 16 kann jeder der Systembereiche L1 , L2 , L3 , L4 angesprochen werden bzw. können diesen Ansteuerbefehle zugeführt werden. In diesen Systembereichen bereitgestellte Informationen können über das Datenbus-Gateway 16 in das Datenbussystem 10 eingespeist und beispielsweise zu diese Informationen aufnehmenden Steuergeräten geleitet werden.
-
Im zweiten Datenbus-Systembereich 14 erfolgt die Kommunikation mit den Systembereichen H1 , H2 , H3 , H4 , H5 der zweiten Gruppe G2. Hierzu umfasst der zweite Datenbus-Systembereich 14 eine nachfolgend detaillier beschriebene Abschirmeinheit 20, welche mit dem Datenbus-Gateway 16 bzw. den ersten Datenbus-Systembereich 12 über Bus-Leitungen 22 kommuniziert. Jeder der Systembereiche H1 , H2 , H3 , H4 , H5 ist über eine Bus-Leitung 24 an die Abschirmeinheit 20 angekoppelt und kommuniziert somit über diese Bus-Leitung 24 und die Abschirmeinheit 20 mit dem Datenbus-Gateway 16.
-
Die Abschirmeinheit 20 hat die wesentliche Aufgabe, den ersten Datenbus-Systembereich 12 gegen Überspannungen abzuschirmen, welche im Falle eines Defekts im Bereich eines der Systembereiche H1 , H2 , H3 , H4 , H5 der zweiten Gruppe G2, welche auf einem Spannungsniveau arbeiten, für welches die Komponenten des ersten Datenbus-Systembereichs 12 grundsätzlich nicht ausgelegt sind, auftreten können. Im Falle eines Defekts können derartig hohe Spannungen auf die Bus-Leitungen 24 durchschlagen und könnten somit bei direkter Anbindung dieser Bus-Leitungen 24 an das Datenbus-Gateway 16 dieses bzw. Bereiche des ersten Datenbus-Systembereichs 12 oder die Systembereiche L1 , L2 , L3 , L4 der ersten Gruppe G1 beschädigen, so dass diese nicht mehr korrekt betrieben bzw. angesprochen werden können. Ein Ausfall dieser Systembereiche L1 , L2 , L3 , L4 ist aufgrund deren hoher Sicherheitsrelevanz unbedingt zu vermeiden. Aufgrund des Vorsehens der Abschirmeinheit 20, welche gleichermaßen gemäß dem sehr hohen Sicherheitsstandard ASIL D ausgeführt werden kann, wird gewährleistet, dass selbst dann, wenn im Bereich der zweiten Gruppe G2 ein derartiger Spannungsdurchschlag auftritt, dieser nicht über die Bus-Leitungen 24 auf den ersten Datenbus-Systembereich 12 durchschlagen kann. Da bereits die Abschirmeinheit 20 gemäß dem sehr hohen Sicherheitsstandard ASIL D ausgeführt ist, ist es nicht erforderlich, jeden der Systembereiche H1 , H2 , H3 , H4 , H5 der zweiten Gruppe G2 mit diesem hohen Sicherheitsstandard aufzubauen. Vielmehr können diese mit niedrigerem Sicherheitsstandard ausgeführt sein, was zu erheblichen Kosteneinsparungen im Aufbau eines derartigen Datenbussystems führt. Die Abschirmeinheit 20 stellt somit ein auf einen hohen Sicherheitsstandard ausgelegtes Gateway für die Kommunikation der auf höherem Spannungsniveau arbeitenden Systembereiche H1 , H2 , H3 , H4 , H5 der zweiten Gruppe G2 mit dem ersten Datenbus-Systembereich 12 bereit.
-
Die 2 zeigt ein Ausgestaltungsbeispiel einer derartigen Abschirmeinheit 20. Wie bereits ausgeführt, dient diese dazu, im Bereich der zweiten Gruppe G2 von elektrisch zu betreibenden Systembereichen auftretende Spannungsdurchschläge vom ersten Datenbus-Systembereich 12 fern zu halten. Zu diesem Zwecke kann die Abschirmeinheit 20 einen Digital-Isolator, beispielsweise vom Typ Si8660 aufweisen. Dieser Digital-Isolator 26 ist in eine zwischen zwei Bus-Transceivern 28, 30 aufgebaute serielle Übertragungsstrecke integriert. Der erste Bus-Transceiver 28 kommuniziert über einen ersten Bus-Verbindungsbereich 34 mit dem Datenbus-Gateway 16 und kommuniziert über einen ersten seriellen Verbindungsbereich 36 mit dem Digital-Isolator 26. Der zweite Bus-Transceiver 30 kommuniziert über einen zweiten seriellen Verbindungsbereich 38 mit dem Digital-Isolator 26 und kommuniziert über einen zweiten Bus-Verbindungsbereich 40 mit der zweiten Gruppe G2 von elektrisch zu betreibenden Systembereichen, von welchen in 2 nur die Systembereiche H1 , H2 und H3 dargestellt sind. Jeder dieser Systembereiche H1 , H2 , H3 ist über eine diesen jeweils zugeordnete Bus-Leitung 24 an den zweiten Bus-Transceiver 30 angekoppelt.
-
Durch den Digital-Isolator 26 ist gewährleistet, dass im Bereich der Bus-Leitungen 24 zwischen dem zweiten Bus-Transceiver 30 und den Systembereichen H1 , H2 , H3 der zweiten Gruppe G2 von elektrisch zu betreibenden Systembereichen auftretende Überspannungen, wie sie bedingt durch einen Durchschlag in einem oder mehreren der Systembereiche der zweiten Gruppe G2 im Falle eines Defekts auftreten können, nicht am ersten Bus-Transceiver 28 anliegen können und somit auch nicht bis zum Datenbus-Gateway 16 bzw. zum ersten Datenbus-Systembereich 12 durchschlagen können. Somit ist gewährleistet, dass selbst dann, wenn im zweiten Datenbus-Systembereich 14 derartige Überspannungen auftreten, zumindest der erste Datenbus-Systembereich 12 und alle mit diesem zusammenwirkenden Systembereiche L1 , L2 , L3 und L4 der ersten Gruppe G1 von elektrisch zu betreibenden und sicherheitsrelevanten Systembereichen ihre Funktionalität unbeeinträchtigt von einem derartigen Spannungsdurchschlag weiter erfüllen können. Da diese Abschirmfunktionalität durch die Abschirmeinheit 20 für alle über diese kommunizierenden Systembereiche der zweiten Gruppe G2 bereitgestellt wird, ist es zum Erfüllen eines sehr hohen Sicherheitsstandard des gesamten Datenbussystems 10 ausreichend, nur die Abschirmeinheit 20 gemäß dem sehr hohen Sicherheitsstandard ASIL D aufzubauen, während die Systembereiche H1 , H2 , H3 und selbstverständlich auch die Systembereiche H4 , H5 und ggf. weitere Systembereiche der zweiten Gruppe G2 bzw. die zur Datenkommunikation für diese vorgesehenen Baugruppen mit einem niedrigeren und somit deutlich kostengünstiger aufzubauenden Sicherheitsstandard ausgebildet werden können.
-
Die 3 zeigt eine alternative Ausgestaltungsart der Abschirmeinheit 20, welche hinsichtlich ihres grundsätzlichen Aufbaus und der grundsätzlichen Funktionalität der mit Bezug auf die 2 beschriebenen Abschirmeinheit 20 entspricht. Die Abschirmeinheit der 3 umfasst als weiteren Bestandteil eine allgemein mit 42 bezeichnete Überspannungserfassungsanordnung. Diese kann beispielsweise einen Mikroprozessor 44 umfassen, welchem über entsprechende Spannungserfassungseinheiten Information über die im Bereich der Bus-Leitungen 24 vorhandenen Spannungspegel zugeführt werden kann. Hier können beispielsweise sowohl die CAN-High-Leitungen, als auch die CAN-Low-Leitungen hinsichtlich der dort auftretenden Spannungspegel überwacht werden. Wird erkannt, dass im Bereich der Bus-Leitungen 24 eine über einer Schwellenspannung liegende Spannung auftritt, kann der Mikroprozessor ein entsprechendes Überspannungssignal an eine übergeordnete Steuereinheit abgeben. Es kann dann eine Warnung erzeugt werden bzw. in einen Sicherheitsmodus übergegangen werden, in welchem ein Fahrzeug in kontrollierter Art und Weise zum Stillstand gebracht wird oder zumindest derjenige Systembereich oder diejenigen Systembereiche, in Zuordnung zu denen eine derartige Überspannung erfasst wurde, deaktiviert werden. Sind alternative bzw. redundante Kommunikationspfade zu derartigen Systembereichen vorhanden, können diese dann aktiviert werden, um nach wie vor mit diesen kommunizieren und diese betreiben zu können. Eine derartige Schwellenspannung, deren Überschreiten das Auftreten einer sicherheitsrelevanten Überspannung indiziert, kann beispielsweise im Bereich zwischen 20 V und 30 V liegen. Im Allgemeinen sind CAN-Datenbussysteme auf Spannungen von bis zu maximal 40 V ausgelegt. Eine Schwellenspannung im vorangehend angegebenen Bereich gewährleistet, dass noch ausreichend Sicherheitsabstand bis zu einer Spannung vorhanden ist, welche tatsächlich zur Beschädigungen im ersten Datenbus-Systembereich führen könnte.
