-
Die Erfindung betrifft ein Verfahren zum Betreiben eines Bordnetzes eines zumindest teilweise elektrisch angetriebenen Kraftfahrzeugs. Die Erfindung betrifft darüber hinaus ein solches Bordnetz sowie ein Kraftfahrzeug mit einem solchen Bordnetz.
-
Als Bordnetz wird im Zusammenhang mit der vorliegenden Erfindung ein elektrisches Verteilernetz in einem Kraftfahrzeug verstanden. In einem solchen Verteilernetz ist in der Regel eine Vielzahl an elektrischen Verbrauchern elektrisch leitend und/oder signaltechnisch miteinander verbunden. Verbraucher können unter anderem sein: ein Bordcomputer, eine Steuervorrichtung, die eine Vielzahl an steuernden Aufgaben innerhalb des Bordnetzes übernehmen kann, beispielsweise eine Steuerung für eine Airbagauslösung, sowie eine elektrische Hochvolt-Batterie zum Speichern einer elektrischen Antriebsenergie für das Kraftfahrzeug, sollte es sich bei dem Kraftfahrzeug um ein teilweise elektrisch angetriebenes Kraftfahrzeug handeln.
-
Bekanntermaßen kann die Steuervorrichtung oder der Safety Computer dafür zuständig sein, in bestimmen Situationen, insbesondere bei Unfallereignissen, einen oder mehrere Airbags des Kraftfahrzeugs zu zünden. Gemäß der bekannten ASIL-Klassifikation (ASIL - Automobile Safety Integrity Level) ist die Funktion des Airbagzündens anders klassifiziert, als ein fehlerhaftes Zünden der Airbags. Mit anderen Worten wird es gemäß der ASIL-Klassifikation kritischer bewertet, einen Airbag fälschlicherweise oder unnötigerweise auszulösen, als dass ein Auslösen bei einem Unfallereignis unterbleibt. Daraus folgt, dass bei bestimmten Fehlern des Safety Computers bei Auftreten eines Unfallereignisses ein Zünden eines Airbags nicht mehr gewährleistet sein kann. Eine bekannte Maßnahme, um auf einen erkannten Fehler im Safety Computer zu reagieren, ist es beispielsweise, eine entsprechende Warnlampe in einem Kraftfahrzeuginnenraum anzusteuern, um so einen Fahrer des Kraftfahrzeugs über den Fehler in Kenntnis zu setzen und ihm anzuzeigen, dass er eine Maßnahme zum Beheben des Fehlers einleiten sollte. Bei den bekannten Lösungen kann das Kraftfahrzeug beliebig oft trotz fehlerhaftem Safety Computer in Betrieb genommen werden, das heißt die Hochvolt-Batterie kann unbegrenzt wieder zugeschaltet werden.
-
In der Regel ist das Zünden des Airbags zwangsgekoppelt mit einer Abschaltung der Hochvolt-Batterie oder einem Trennen der Hochvolt-Batterie von dem Bordnetz. Diese bekannte Maßnahme beruht auf der Erkenntnis, dass ein Ereignis oder Unfallereignis, welches zu einem Auslösen eines Airbags führt, in der Regel auch eine Abschaltung der Hochvolt-Batterie des Unfallfahrzeugs erfordert.
-
Aus der
DE 10 2009 051 293 A1 sind eine Schaltungsanordnung und ein Verfahren zum Trennen einer Spannungsquelle von einem elektrischen Energienetz eines Kraftfahrzeugs bekannt. Zur Übermittlung von Steuersignalen für die Trennung kann auf eine herkömmliche, in Kraftfahrzeugen integrierte Datenbus-Struktur zurückgegriffen werden.
-
Die
DE 10 2005 053 883 A1 beschreibt ein Crashsteuergerät für ein Kraftfahrzeug und einen zu dem Crashsteuergerät redundant schaltbaren Crashsensor. Ein Zentralsteuergerät ist mit dem Crashsteuergerät und dem Crashsensor gekoppelt. Das Zentralsteuergerät überwacht vom Crashsteuergerät gesendete Statussignale und löst ein Crashblinken aus, wenn der Crashsensor einen Not-/Unfall feststellt und wenn die Statussignale des Crashsteuergeräts ausbleiben.
-
-
Die oben beschriebene Kopplung oder Zwangskopplung der Airbagzündung und der Abschaltung der Hochvolt-Batterie kann bei fehlerhaftem Safety Computer dazu führen, dass ein eigentlich erforderliches Abschalten der Hochvolt-Batterie nicht erfolgt, weil ein Zünden der Airbags ausbleibt. Mit anderen Worten kann es bei den bekannten Lösungen passieren, dass ein fehlerhafter Safety Computer fehlerhafterweise bei einem Unfallereignis eine Airbagzündung unterlässt, wodurch auch ein Abschalten der Hochvolt-Batterie unterbleibt.
-
Der Erfindung liegt die Aufgabe zugrunde, ein Bordnetz für ein Kraftfahrzeug auch bei fehlerhaftem Safety Computer zuverlässig betreiben zu können.
-
Die Aufgabe wird durch die Gegenstände der unabhängigen Patentansprüche gelöst. Vorteilhafte Weiterbildungen der Erfindung sind durch die abhängigen Patentansprüche, die folgende Beschreibung sowie die Figuren beschrieben.
-
Durch die Erfindung ist ein Verfahren zum Betreiben eines Bordnetzes eines zumindest teilweise elektrisch angetriebenen Kraftfahrzeugs bereitgestellt. Das Bordnetz umfasst einen Bordcomputer, einen elektrischen Speicher zum Speichern einer elektrischen Antriebsenergie für das Kraftfahrzeug und eine Steuervorrichtung. Als elektrischer Speicher kann beispielsweise eine Hochvolt-Batterie verwendet werden, die in der Regel eine Vielzahl einzelner Batteriezellen umfasst, welche derart elektrisch miteinander verschaltet sind, dass eine elektrische Spannung von mehr als 60 Volt, insbesondere mehr als 100 Volt, von ihr bereitgestellt werden kann.
-
Die Steuervorrichtung ist in einem Normalbetrieb des Kraftfahrzeugs mittels zumindest einer Signalleitung mit einer Auslösevorrichtung zum Auslösen eines Airbags des Kraftfahrzeugs und mit einer Trennvorrichtung zum Trennen des elektrischen Speichers von dem Bordnetz verbunden. Mit anderen Worten können die Auslösevorrichtung und die Trennvorrichtung durch die Steuervorrichtung angesteuert werden. Bei der Auslösevorrichtung kann es sich um einen Zündimpulsgeber zum Zünden einer Zündpille für den Airbag handeln, wie sie bekanntermaßen eingesetzt werden. Bei der Trennvorrichtung kann es sich um ein oder mehrere elektronische und/oder pyrotechnische Trennelemente handeln.
-
In dem Normalbetrieb sind ein erstes Signal zum Auslösen des Airbags und ein zweites Signal zum Trennen des elektrischen Speichers von dem Bordnetz derart miteinander gekoppelt, dass ein Auslösen des Airbags ein Trennen des elektrischen Speichers von dem Bordnetz zur Folge hat. Mit anderen Worten sind die genannten Signale miteinander zwangsgekoppelt. Dies kann beispielsweise dadurch realisiert sein, dass die Signale über eine gemeinsame diskrete elektrische Leitung oder Hardwarekomponente übermittelt werden.
-
Erfindungsgemäß führt der Bordcomputer während einer Initialisierungsphase des Bordnetzes, beispielsweise bei einer Inbetriebnahme des Kraftfahrzeugs, eine Funktionsabfrage betreffend das Auslösen des Airbags an der Steuervorrichtung durch. Mit anderen Worten wird durch eine Funktionsabfrage überprüft, ob die Steuervorrichtung ordnungsgemäß funktioniert und dazu in der Lage ist, bei Auftreten eines dies erfordernden Ereignisses den Airbag zuverlässig auszulösen. Für den Fall, dass anhand der Funktionsabfrage eine Fehlfunktion der Steuervorrichtung erkannt wird, welche potentiell ein ordnungsgemäßes Auslösen des Airbags verhindern kann, löst erfindungsgemäß der Bordcomputer einen von dem Normalbetrieb verschiedenen Notbetrieb aus, wobei in dem Notbetrieb das erste Signal zum Auslösen des Airbags und das zweite Signal zum Trennen des elektrischen Speichers von dem Bordnetz voneinander entkoppelt werden.
-
Erfindungsgemäß ist vorgesehen, dass ein Spannungsniveau einer elektrischen Spannung des Bordnetzes überwacht wird und in dem Notbetrieb für den Fall, dass das Spannungsniveau ein vorbestimmtes Spannungsintervall unter- oder überschreitet, das erste Signal an die Auslösevorrichtung zum Auslösen des Airbags und/oder unabhängig von dem ersten Signal das zweite Signal an die Trennvorrichtung zum Trennen des elektrischen Speichers von dem Bordnetz übermittelt wird. Die Überwachung des Spannungsniveaus kann beispielsweise durch den Bordcomputer vorgenommen werden. Es ist auch denkbar, dass alternativ oder zusätzlich die Steuervorrichtung selbst das Spannungsniveau des Bordnetzes überwacht. Für den Fall, dass im Notbetrieb, also bei erkannter fehlerhafter Steuervorrichtung, das Spannungsniveau einen erlaubten Spannungskorridor oder ein vorbestimmtes Spannungsintervall verlässt, können also die Signale unabhängig voneinander ausgegeben werden.
-
Durch die Erfindung ergibt sich der Vorteil, dass eine Abschaltung des elektrischen Speichers auch bei nicht voll funktionsfähiger Steuervorrichtung hinsichtlich eines Auslösens eines Airbags gewährleistet bleibt. Denn auch wenn der Airbag fälschlicherweise nicht ausgelöst wird, kann dennoch ein Signal zum Trennen des Speichers von dem Bordnetz an die Trennvorrichtung übermittelt werden.
-
Zu der Erfindung gehören auch Ausführungsformen, durch die sich zusätzliche Vorteile ergeben.
-
Eine Ausführungsform sieht vor, dass in dem Notbetrieb zum Entkoppeln der Signale eine Weiterleitung zumindest eines der Signale entlang der zumindest einen Signalleitung unterbrochen und entlang zumindest einer weiteren Signalleitung ermöglicht wird. Dies kann beispielsweise dadurch realisiert werden, dass von der Steuervorrichtung ausgehend die zumindest eine Signalleitung in zwei parallel verlaufende Zweige aufgeteilt wird, wobei ein erster Zweig zu der Auslösevorrichtung des Airbags und ein zweiter Zweig zu der Trennvorrichtung zum Trennen der Hochvolt-Batterie von dem Bordnetz führt. In jedem der Zweige kann ein Schaltelement angeordnet sein, wobei ein Öffnen des einen und ein Schließen des anderen Schaltelements eine besonders einfache Möglichkeit zur Entkopplung der Signale darstellt. Eine alternative Möglichkeit, die beschriebene Entkopplung umzusetzen, kann darin bestehen, dass zusätzlich zu der zumindest einen Signalleitung, welche von dem Steuergerät zu der Auslösevorrichtung und/oder der Trennvorrichtung führt, von der Steuervorrichtung zwei separate Signalleitungen ausgehen, wobei eine der separaten Signalleitungen zu der Auslösevorrichtung führt und eine andere der separaten Signalleitungen zu der Trennvorrichtung führt. In jeder der beschriebenen Signalleitungen kann ein Schaltelement angeordnet sein, wobei durch wechselseitiges Öffnen und Schließen der Schaltelemente die beschriebene Entkopplung realisiert sein kann. Hierdurch ergibt sich der Vorteil einer robusten und wenig störanfälligen Schalteranordnung zum Entkoppeln der beschriebenen Signale.
-
Eine weitere Ausführungsform sieht vor, dass das Kraftfahrzeug ein Kollisionserkennungssystem aufweist und dass für den Fall, dass eine Kollision erkannt wurde, das erste Signal an die Auslösevorrichtung zum Auslösen des Airbags und/oder unabhängig von dem ersten Signal das zweite Signal an die Trennvorrichtung zum Trennen des elektrischen Speichers von dem Bordnetz übermittelt wird. Das Kollisionserkennungssystem kann bevorzugt auf Daten unterschiedlicher Fahrerassistenzsysteme des beschriebenen Kraftfahrzeugs zugreifen. So ist es beispielsweise vorstellbar, dass das Kollisionserkennungssystem anhand von Bremsdaten und/oder Lenkungswinkeldaten und/oder Pedalstellungsdaten eines Gas- und/oder Bremspedals auf eine Kollision rückschließen kann. Durch die zusätzliche Maßnahme der Kollisionserkennung kann eine Betriebssicherheit des Bordnetzes vorteilhaft noch weiter erhöht werden.
-
Eine weitere Ausführungsform sieht vor, dass in dem Notbetrieb eine Funktion für ein pilotiertes Fahren deaktiviert wird. Als pilotierte Funktion kann beispielsweise ein Stau- und/oder Autobahnpilot vorliegen.
-
Eine weitere Ausführungsform sieht vor, dass in dem Notbetrieb eine Anzahl an möglichen Inbetriebnahmen des elektrischen Speichers auf eine vorbestimmte Anzahl begrenzt wird. Beispielsweise kann es vorgesehen sein, dass bei erkannter fehlerhafter Steuervorrichtung (also im Notbetrieb) das Kraftfahrzeug unter Inbetriebnahme des elektrischen Speichers maximal 10 weitere Male in Betrieb genommen werden kann. Hierdurch wird die Anzahl an Fahrten, die mit dem Kraftfahrzeug trotz fehlerhafter Steuervorrichtung unternommen werden kann, begrenzt. Hierdurch sinkt in vorteilhafter Weise die Wahrscheinlichkeit, dass das Fahrzeug mit fehlerhafter Steuervorrichtung in ein Unfallereignis verwickelt wird.
-
Gemäß einer vorteilhaften Weiterbildung kann es vorgesehen sein, dass eine Warnmaßnahme an einen Nutzer des Kraftfahrzeugs ausgegeben wird, sobald die Anzahl an möglichen Inbetriebnahmen 5 oder weniger, insbesondere 1, beträgt. Hierdurch wird der Nutzer in vorteilhafter Weise darauf aufmerksam gemacht, dass er nur noch eine stark begrenzte Anzahl an möglichen Inbetriebnahmen des Kraftfahrzeugs nutzen kann.
-
Für den Fall, dass keine weitere Inbetriebnahme möglich ist, also für den Fall, dass die Anzahl an möglichen Inbetriebnahmen 0 beträgt, sieht eine vorteilhafte Weiterbildung vor, dass das Kraftfahrzeug in einen sicheren Zustand überführt wird, wobei in dem sicheren Zustand eine weitere Inbetriebnahme des elektrischen Speichers unterbunden wird. Mit anderen Worten kann in dem sicheren Zustand das Kraftfahrzeug nicht mehr gestartet werden. Sucht der Nutzer jedoch rechtzeitig eine Werkstatt auf, bevor der sichere Zustand hergestellt wird, so kann der Fehler in der Steuervorrichtung behoben werden und das Fahrzeug wieder in den Normalbetrieb zurückgesetzt werden. Mit „rechtzeitig“ ist vorliegend gemeint, dass das Kraftfahrzeug vor Überführung in den sicheren Zustand wieder in den Normalbetrieb zurückgesetzt wird. Sollte das Kraftfahrzeug bereits in den sicheren Zustand überführt worden sein, so kann eine Wiederinbetriebnahme des Kraftfahrzeugs ebenfalls durch eine Behebung des Fehlers der Steuervorrichtung ermöglicht werden.
-
Die Erfindung betrifft darüber hinaus ein Bordnetz für ein zumindest teilweise elektrisch angetriebenes Kraftfahrzeug, wobei das Bordnetz einen Bordcomputer, einen elektrischen Speicher zum Speichern einer elektrischen Antriebsenergie für das Kraftfahrzeug und eine Steuervorrichtung umfasst, wobei die Steuervorrichtung in einem Normalbetrieb mittels zumindest einer Signalleitung und einer Auslösevorrichtung zum Auslösen eines Airbags des Kraftfahrzeugs und mit einer Trennvorrichtung zum Trennen des elektrischen Speichers von dem Bordnetz verbunden ist. In dem Normalbetrieb sind ein erstes Signal zum Auslösen des Airbags und ein zweites Signal zum Trennen des elektrischen Speichers von dem Bordnetz derart miteinander gekoppelt, dass ein Auslösen des Airbags ein Trennen des elektrischen Speichers von dem Bordnetz zur Folge hat.
-
Erfindungsgemäß ist der Bordcomputer dazu ausgebildet und eingerichtet, während einer Initialisierungsphase des Bordnetzes eine Funktionsabfrage betreffend das Auslösen des Airbags an der Steuervorrichtung durchzuführen und für den Fall, dass anhand der Funktionsabfrage eine Fehlfunktion der Steuervorrichtung erkannt wird, einen von dem Normalbetrieb verschiedenen Notbetrieb auszulösen, wobei in dem Notbetrieb das erste Signal und das zweite Signal voneinander entkoppelt sind.
-
Erfindungsgemäß ist der Bordcomputer und/oder die Steuervorrichtung dazu ausgebildet, ein Spannungsniveau des Bordnetzes zu überwachen und in dem Notbetrieb für den Fall, dass das Spannungsniveau ein vorbestimmtes Spannungsintervall unter- oder überschreitet, das erste Signal an die Auslösevorrichtung zum Auslösen des Airbags und/oder unabhängig von dem ersten Signal das zweite Signal an die Trennvorrichtung zum Trennen des elektrischen Speichers von dem Bordnetz zu übermitteln.
-
Die Erfindung betrifft darüber hinaus ein Kraftfahrzeug mit einem erfindungsgemäßen Bordnetz.
-
Zu der Erfindung gehören auch Weiterbildungen des erfindungsgemäßen Bordnetzes und/oder des erfindungsgemäßen Kraftfahrzeugs, die Merkmale aufweisen, wie sie bereits im Zusammenhang mit den Weiterbildungen des erfindungsgemäßen Verfahrens beschrieben worden sind. Aus diesem Grund sind die entsprechenden Weiterbildungen des erfindungsgemäßen Bordnetzes und/oder des erfindungsgemäßen Kraftfahrzeugs hier nicht noch einmal beschrieben.
-
Zu der Erfindung gehört auch die Steuervorrichtung für das Kraftfahrzeug. Die Steuervorrichtung kann eine Datenverarbeitungsvorrichtung oder eine Prozessoreinrichtung aufweisen, die dazu eingerichtet ist, eine Ausführungsform des erfindungsgemäßen Verfahrens durchzuführen. Die Prozessoreinrichtung kann hierzu zumindest einen Mikroprozessor und/oder zumindest einen Mikrocontroller und/oder zumindest einen FPGA (Field Programmable Gate Array) und/oder zumindest einen DSP (Digital Signal Processor) aufweisen. Des Weiteren kann die Prozessoreinrichtung Programmcode aufweisen, der dazu eingerichtet ist, bei Ausführen durch die Prozessoreinrichtung die Ausführungsform des erfindungsgemäßen Verfahrens durchzuführen. Der Programmcode kann in einem Datenspeicher der Prozessoreinrichtung gespeichert sein.
-
Das erfindungsgemäße Kraftfahrzeug ist bevorzugt als Kraftwagen, insbesondere als Personenkraftwagen oder Lastkraftwagen, oder als Personenbus oder Motorrad ausgestaltet.
-
Die Erfindung umfasst auch die Kombinationen der Merkmale der beschriebenen Ausführungsformen.
-
Im Folgenden sind Ausführungsbeispiele der Erfindung beschrieben. Hierzu zeigt:
- 1 eine schematische Darstellung eines Kraftfahrzeugs mit einem erfindungsgemäßen Bordnetz;
- 2 eine schematische Darstellung einer weiteren Ausführungsform eines erfindungsgemäßen Bordnetzes;
- 3 eine schematische Darstellung eines erfindungsgemäßen Verfahrens zum Betreiben eines Bordnetzes;
- 4 eine schematische Darstellung eines zeitlichen Verlaufs einzelner Verfahrensschritte eines erfindungsgemäßen Verfahrens zum Betreiben eines Bordnetzes; und
- 5 eine schematische Darstellung eines weiteren zeitlichen Verlaufs verschiedener Verfahrensschritte eines erfindungsgemäßen Verfahrens zum Betreiben eines Bordnetzes.
-
Bei den im Folgenden erläuterten Ausführungsbeispielen handelt es sich um bevorzugte Ausführungsformen der Erfindung. Bei den Ausführungsbeispielen stellen die beschriebenen Komponenten der Ausführungsformen jeweils einzelne, unabhängig voneinander zu betrachtende Merkmale der Erfindung dar, welche die Erfindung jeweils auch unabhängig voneinander weiterbilden. Daher soll die Offenbarung auch andere als die dargestellten Kombinationen der Merkmale der Ausführungsformen umfassen. Des Weiteren sind die beschriebenen Ausführungsformen auch durch weitere der bereits beschriebenen Merkmale der Erfindung ergänzbar.
-
In den Figuren bezeichnen gleiche Bezugszeichen jeweils funktionsgleiche Elemente.
-
1 zeigt schematisch ein Kraftfahrzeug 10 mit einem Bordnetz 12. Das Kraftfahrzeug 10 kann ein zumindest teilweise elektrisch angetriebenes Kraftfahrzeug sein. Das Bordnetz 12 umfasst einen Bordcomputer 14, der eine signaltechnische und/oder elektrisch leitende Verbindung zu einer Steuervorrichtung 16 aufweist. Das Bordnetz 12 umfasst ferner eine Auslösevorrichtung 18 zum Auslösen eines Airbags 20 sowie eine Trennvorrichtung 22 zum Trennen eines elektrischen Speichers 24 von dem Bordnetz 12.
-
Eine erste Signalleitung 26 kann, wie in 1 gezeigt, von der Steuervorrichtung 16 über ein erstes Schaltelement 28 zu einem Ausgangsanschluss 30 führen, an dem sich die erste Signalleitung 26 in ein erstes Teilstück 26a, welches zu der Auslösevorrichtung 18 führt, und ein parallel dazu verlaufendes zweites Teilstück 26b, welches zu der Trennvorrichtung verläuft, verzweigt. Außerdem kann eine weitere Signalleitung 32 von der Steuervorrichtung 16 über ein weiteres Schaltelement 34 zur Auslösevorrichtung 18 führen. Eine dritte Signalleitung 36 kann über ein drittes Schaltelement 38 von der Steuervorrichtung 16 zur Trennvorrichtung 22 führen.
-
Der 1 kann die Situation zugrundeliegen, dass eine durch Pfeile 40 dargestellte Funktionsabfrage des Bordcomputers 14 an der Steuervorrichtung 16 ergeben hat, dass die Steuervorrichtung 16 eine ein Auslösen des Airbags 20 betreffende Fehlfunktion aufweist. Daraufhin kann durch den Bordcomputer 14 ein Notbetrieb ausgelöst worden sein, wobei in dem Notbetrieb das erste Schaltelement 28 geöffnet ist, um eine Weiterleitung von Signalen entlang der ersten Signalleitung 26 zu der Auslösevorrichtung 18 und der Trennvorrichtung 22 zu unterbrechen. Um ein Entkoppeln der Signale zu erreichen, wurde im Notbetrieb das Schaltelement 38 geschlossen, wodurch ein Signal über die Signalleitung 36 an die Trennvorrichtung weitergeleitet werden kann. Das Schaltelement 34 hingegen ist in dem in 1 gezeigten Zustand geöffnet, sodass eine Weiterleitung von Signalen an die Auslösevorrichtung 18 unterbunden ist. Um eine Weiterleitung von Signalen an die Auslösevorrichtung 18 zu ermöglichen und an die Trennvorrichtung 22 zu unterbrechen, können die Schaltelemente 34, 38 umgeschaltet werden, sodass das Schaltelement 34 geschlossen ist und das Schaltelement 38 geöffnet ist.
-
Unter Bezugnahme auf die im Zusammenhang mit 1 bezeichneten und beschriebenen Komponenten zeigt 2 eine weitere beispielhafte Darstellung eines Bordnetzes 12. Auch in 2 ist ein Notbetrieb dargestellt, wobei eine Weiterleitung von Signalen an die Trennvorrichtung 22 durch ein geschlossenes Schaltelement 38 ermöglicht ist. Eine Weiterleitung von Signalen an die Auslösevorrichtung ist jedoch durch ein geöffnetes Schaltelement 34 in dem in 2 gezeigten Zustand unterbrochen. Wie in 2 gezeigt, kann eine jeweilige signaltechnische Verbindung 42a, 42b von dem Bordcomputer 14 zu den Schaltelementen 34 und 38 verlaufen. Im Notbetrieb kann also der Bordcomputer 14 die Schaltelemente 34, 38 unter Umgehung der Steuervorrichtung 16 direkt ansteuern, um eine jeweilige, dem Notbetrieb entsprechende, Schaltkonfiguration herzustellen.
-
Unter Bezugnahme auf die im Zusammenhang mit den 1 und 2 gezeigten und beschriebenen Komponenten zeigt 3 eine schematische Darstellung eines möglichen Verfahrens zum Betreiben eines Bordnetzes 12. In einem Verfahrensschritt S1 wird das Kraftfahrzeug 10 in einem Normalbetrieb betrieben. Ergibt eine in Verfahrensschritt S2 durchgeführte Funktionsabfrage des Bordcomputers 14 an der Steuervorrichtung 16, dass an dieser keine Fehlfunktion vorliegt, so wird das Kraftfahrzeug weiter im Normalbetrieb betrieben. Ergibt die Funktionsabfrage des Verfahrensschritts S2 jedoch eine Fehlfunktion der Steuervorrichtung 16, welche ein Auslösen eines Airbags 20 betrifft, so wird in einem Verfahrensschritt S3 ein Notbetrieb ausgelöst. In dem Notbetrieb kann beispielsweise eine gelbe Warnlampe gezündet werden, um einem Nutzer des Kraftfahrzeugs 10 zu signalisieren, dass an der Steuervorrichtung 16 eine Fehlfunktion vorliegt. Außerdem kann beispielsweise das Sperren pilotierter Fahrfunktionen, beispielsweise von Autobahn- und Staupilot, erfolgen. Des Weiteren kann im Notbetrieb eine Anzahl möglicher weiterer Inbetriebnahmen eines elektrischen Speichers 24 des Kraftfahrzeugs 10 begrenzt werden. Ergibt eine in Verfahrensschritt S4 durchgeführte Abfrage bezüglich der verbleibenden Anzahl möglicher Inbetriebnahmen, dass mehr als eine Inbetriebnahme möglich ist, so kann in einem Verfahrensschritt S5 weiterhin die gelbe Warnleuchte angesteuert werden. Ergibt die Abfrage des Schritts S4 jedoch, dass nur noch eine einzige mögliche Inbetriebnahme verbleibt, so kann eine rote Warnleuchte in Schritt S6 angesteuert werden. Auf jeden Fall erfolgt im Notbetrieb, welcher ja in Verfahrensschritt S3 ausgelöst wurde, eine Entkopplung der Signale zum Auslösen des Airbags 20 und zum Trennen des elektrischen Speichers 24 von dem Bordnetz 12. Wird in einem Verfahrensschritt S7 die Fehlfunktion der Steuervorrichtung 16 nicht behoben, so wird das Kraftfahrzeug 10 in einem Verfahrensschritt S8 in einen sicheren Betrieb überführt, wobei in dem sicheren Betrieb keine weitere Inbetriebnahme des elektrischen Speichers 24 möglich ist. Wird in Verfahrensschritt S7 hingegen die Fehlfunktion der Steuervorrichtung 16 behoben, beispielsweise durch einen Werkstattbesuch, so kann das Bordnetz 12 wieder in den Normalbetrieb des Verfahrensschritts S1 zurückgesetzt werden. Wird die Fehlfunktion nicht rechtzeitig behoben, so kann das Kraftfahrzeug in einem Verfahrensschritt S8 in einen sicheren Zustand überführt werden.
-
Die 4 und 5 beschreiben unter Bezugnahme auf die im Zusammenhang mit den vorangehenden 1 bis 3 bezeichneten und beschriebenen Komponenten jeweils zeitliche Verläufe des beschriebenen Verfahrens.
-
Bezugnehmend auf 4 wird in einem ersten Zeitabschnitt A eine Fehlerdetektion oder Diagnose der Steuervorrichtung 16 durchgeführt. Ergibt diese Diagnose das Vorliegen einer Fehlfunktion der Steuervorrichtung 16, so erfolgt in einem Zeitabschnitt B der Übergang in den beschriebenen Notbetrieb. Während des Zeitabschnitts C wird das Kraftfahrzeug 10 im Notbetrieb betrieben. Das heißt, während des Zeitabschnitts C erfolgt zumindest eine Entkopplung der Signale zum Auslösen eines Airbags 20 und zum Trennen eines elektrischen Speichers 24 von dem Bordnetz 12. In dem Zeitabschnitt D befindet sich das Kraftfahrzeug 10 in einem sicheren Zustand, in dem kein erneutes Zuschalten des elektrischen Speichers 24 ermöglicht ist.
-
Bezugnehmend auf 5 erfolgt im Zeitabschnitt E ein Beheben der Fehlfunktion der Steuervorrichtung 16. Daraufhin befindet sich im Zeitabschnitt F das Kraftfahrzeug 10 wieder im Normalbetrieb.
-
Bei bekannten Kraftfahrzeugen zündet eine Steuervorrichtung oder ein Safety Computer in bestimmten Crashfällen die Airbags. Diese Funktion ist mit einem ASIL A (ASIL - Automobile Safety Integrity Level) klassifiziert. Das fehlerhafte Zünden der Airbags durch den Safety Computer ist mit ASIL D eingestuft. Daraus folgt, dass bei gewissen Fehlern im Crashfall der Airbag nicht mehr gezündet wird. Die Fehlerreaktion auf einen erkannten Fehler im Safety Computer ist das Ansteuern der gelben Warnlampe, um den Fahrer in Kenntnis zu setzen und ihm anzuzeigen, dass er in die Werkstatt fahren soll. Das Fahrzeug kann unbegrenzt wieder gestartet werden, d. h. die HV-Batterie kann unbegrenzt wieder zugeschaltet werden.
-
Bei bekannten Hybrid- und E-Fahrzeugen wird neben den Airbags über eine Zündleitung zwischen dem Safety Computer und der HV-Batterie die Abschaltung der HV-Batterie angefordert. Hierdurch ergibt sich der Nachteil, dass im Fehlerfall (Airbags werden nicht mehr gezündet) auch das Zündsignal nicht mehr an die HV-Batterie gesendet wird. Die Wahrscheinlichkeit eines Crashs bei fehlerhaftem Safety Computer steigt dadurch, dass der Wiederstart (Zuschalten der HV-Batterie) unbegrenzt möglich ist.
-
Im Fall eines fehlerhaften Safety Computers wird durch die Erfindung ein Notbetrieb definiert. Diese Definition erfolgt gemäß ISO26262:2018-1, 3.45 „emergency operation tolerance time interval (=EOTTI)“. Dazu muss die Funktion des Zündens der Airbags und das Anfordern der Abschaltung der HV-Batterie über die Zündleitung voneinander entkoppelt werden. Zudem werden die Funktionen zum pilotierten Fahren (Staupilot und Autobahnpilot) berücksichtigt.
-
Hierdurch ergibt sich der Vorteil, dass die Abschaltung der HV-Batterie bei fehlerhaftem Safety Computer weiterhin gewährleistet ist.
-
Der Notbetrieb besteht aus unterschiedlichen Phasen. Zunächst erfolgt eine Fehlerdetektion oder Diagnose des Safety Computers. Bei fehlerhaftem Safety Computer wird der Übergang in den Notbetrieb eingeleitet. Im Notbetrieb werden unter anderem folgende Maßnahmen ergriffen: Ansteuern einer gelben Warnlampe, Sperren pilotierter Funktionen (Autobahn- & Staupilot), Begrenzen der möglichen Inbetriebnahmen der HV-Batterie auf eine definierte Anzahl, Ansteuern einer roten Warnlampe bei Abschalten des vorletzten möglichen Fahrzyklus zur Anzeige, dass nur noch eine Zuschaltung möglich ist, im Crashfall Ansteuerung der HV-Batterie über anderen Impuls als zum Auslösen der Airbags.
-
In einem an den Notbetrieb bei Unterlassen einer rechtzeitigen Fehlerbehebung am Safety Computer anschließenden sicheren Zustand ist kein erneutes Zuschalten der HV-Batterie möglich. Die Wiederinbetriebnahme des Fahrzeugs ist durch die Behebung des Fehlers im Safety Computer möglich.
-
Wird während des Notbetriebs eine Werkstatt aufgesucht und der Fehler behoben, ist der Notbetrieb aufgehoben. Die Warnlampe wird nicht mehr angesteuert. Der sichere Zustand (kein Zuschalten mehr erlauben) wird nicht mehr eingenommen.
-
Kommt es während des Notbetriebs zu einem Crash, muss der Safety Computer über die Zündleitung eine Abschaltung der HV-Batterie initialisieren. Der Impuls auf der Zündleitung ist so zu generieren, dass dieser unabhängig und rückwirkungsfrei vom Impuls ist, welcher das Zünden der Airbags initialisiert.
-
Der Vorschlag beschreibt also, wie bei einem defekten bzw. nicht mehr vertrauenswürdigen Safety Computer (Airbag-Steuergerät) vorgegangen werde kann, um die Auswirkungen des defekten Safety Computers möglichst gering zu halten. D. h. die Kollisionsentdeckung funktioniert ggf. nicht mehr zuverlässig, wodurch bei einer Kollision nicht mehr gewährleistet werden kann, dass die Batterie mind. einpolig galvanisch getrennt wird. Der Notbetrieb stellt sicher, dass die Zeit, in welcher mit einer nicht mehr voll funktionsfähigen Kollisionsentdeckungseinheit (Safety Computer) hinreichend gering ist. Gleichzeitig wird eine Sicherheit durch sofortiges Abschalten und damit einhergehendem Vortriebsverlust (auch bei pilotiertem Fahren) erhöht.
-
Insgesamt zeigen die Beispiele, wie durch ein Abschaltkonzept für eine Hochvolt-Batterie auch bei fehlerhaftem Safety Computer ein Bordnetz zuverlässig betrieben werden kann.
