DE19625104A1 - Verfahren zur Versorgung eines sicherheitsrelevanten Systems mit elektrischer Energie und sicherheitsrelevantes System - Google Patents

Description

Die Erfindung betrifft ein Verfahren zur Versorgung eines sicherheitsrelevanten Systems mit elektrischer Energie, insbesondere ein Verfahren zur Versorgung eines elektrischen Bremssystems eines Kraftfahrzeuges mit elektrischer Energie, mittels eines Gesamtenergiespeichers, der aus einer Anzahl von Teilenergiespeichern gleicher Größe zusammengesetzt ist. Die Erfindung betrifft ferner ein sicherheitsrelevantes System, das mit elektrischer Energie versorgt wird.

In der Beschreibung wird bei den Erläuterungen durchgängig auf ein elektrisches Bremssystem in einem Kraftfahrzeug eingegan­ gen, die Erfindung ist jedoch keinesfalls auf elektrische Bremssysteme eingeschränkt. Vielmehr läßt sich die Erfindung ohne Abänderung auch auf andere sicherheitsrelevante Systeme übertragen.

In jüngster Zeit sind für Kraftfahrzeuge, insbesondere für Personenkraftwagen, elektrische Bremsanlagen vom Brake-by-Wire-Typ entwickelt worden. Bei derartigen Bremsanlagen wird der Bremswunsch des Fahrers durch Ausüben einer Fußkraft auf ein Bremspedal kundgetan und die Einwirkung der Fußkraft auf das Pedal wird von einem Sensor erfaßt und in ein elektrisches Signal umgewandelt. Das Signal wird an sogenannte Bremsaktuatoren weitergeleitet, von denen jeweils einer einem Rad des Kraftfahrzeuges zugeordnet ist und jeder Bremsaktuator übt u. a. mit Hilfe eines Elektromotors eine Bremskraft auf das Rad des Kraftfahrzeuges aus. Die für einen Bremsvorgang erfor­ derliche Bremsenergie muß also in elektrischer Form bereitge­ stellt werden. Während des Betriebes des Verbrennungsmotors des Kraftfahrzeuges geschieht dies sowohl durch einen Kraft­ fahrzeuggenerator als auch durch eigens dazu bereitgestellte Batterien. Bei stehendem Verbrennungsmotor, z. B. während eines Abschleppvorganges oder bei einem plötzlich auftretenden Motorschaden etc., muß die elektrische Bremsanlage ausschließ­ lich von den Batterien mit elektrischer Energie versorgt werden. Es ist offensichtlich, das ein (ggf. auch mehrmaliges) sicheres Abbremsen des Kraftfahrzeuges auch in diesem Fall möglich sein muß. Aus diesem Grunde ist eine Überwachung der Funktionstüchtigkeit der Batterien besonders wichtig.

In diesem Zusammenhang ist aus der DE 35 02 100 A1 eine Bremsanlage mit elektrisch ansteuerbaren Bremsgeräten bekannt, die neben einem ersten Energiespeicher für den Normalbetrieb über einen zweiten Energiespeicher für den Notbetrieb verfügt. Den beiden Energiespeichern ist eine Spannungsüberwachungs­ einrichtung zugeordnet, die ständig die an den Energie­ speichern anliegende Spannung überprüft. Während des Betriebes der elektrischen Bremsanlage wird der erste Energiespeicher für den Normalbetrieb bei Bedarf in bekannter Art und Weise automatisch von dem Generator des Kraftfahrzeuges geladen. Wird an dem ersten Energiespeicher dennoch eine Spannung festgestellt, die über ein vorgegebenes Maß hinaus von der Versorgungsspannung der elektrischen Bremsanlage abweicht, so wird mit Hilfe einer Umschaltereinrichtung auf den zweiten Energiespeicher für den Notbetrieb umgeschaltet und der erste Energiespeicher wird mit Hilfe des Generators ausschließlich aufgeladen. Sobald am ersten Energiespeicher wieder die normale Versorgungsspannung anliegt, wird dies von der Spannungsüberwachungseinrichtung erfaßt und die Umschalter­ einrichtung schaltet auf den Normalbetrieb mit dem ersten Energiespeicher zurück.

Bei der aus der DE 35 02 100 A1 bekannten elektrische Bremsanlage entsteht wegen der ständigen Spannungsüberwachung des ersten Energiespeichers für den Normalbetrieb und wegen der Bereitstellung eines zweiten Energiespeichers für den Notbetrieb eine zusätzliche Sicherheit. Es ist jedoch fest­ zustellen, daß bei chemischen Energiespeichern (Batterien) eine Spannungsmessung am Energiespeicher keine zuverlässige Information über den Energieinhalt (Kapazität der Batterie) liefert, der z. B. von der Temperatur, dem mittleren Entlade­ strom und dem Zustand der einzelnen Zellen (beeinflußt durch Alterung und Korrosion) abhängt. Demzufolge kennt man den Energieinhalt des Energiespeichers auch nicht, wenn man ihn gegebenenfalls vollständig auflädt. Man weiß dann nur, daß der Speicher voll ist, jedoch nicht, welchen Energieinhalt er aufweist. Ferner kann es bei Energiespeichern einer bestimmten Technologie (NiCd) zu einem sogenannten Memory-Effekt kommen. Damit ist gemeint, daß der Energiespeicher sozusagen ein Gedächtnis dafür entwickelt, wieviel Leistung von ihm in der Regel abverlangt wird. Ist dieses Gedächtnis erst einmal ausgebildet, so ist es nicht möglich, daß der Energiespeicher in Zukunft mehr Leistung abgibt. Aus den genannten Gründen kann es dazu kommen, daß die Energiespeicher der Bremsanlage bei einer Spannungsmessung für in Ordnung befunden werden, aber ihr Energieinhalt bzw. ihre Kapazität dennoch nicht ausreichend ist, um insbesondere bei stehendem Verbrennungsmotor eine ausreichende Funktionstüchtigkeit der Bremsanlage zu gewährleisten.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren zur Versorgung eines sicherheitsrelevanten Systems mit elektri­ scher Energie zu schaffen, insbesondere ein Verfahren zur Versorgung einer elektrischen Bremsanlage eines Kraftfahr­ zeuges mit elektrischer Energie, durch das eine ausreichende Funktionsfähigkeit des sicherheitsrelevanten Systems jederzeit gewährleistet ist. Der Erfindung liegt ferner die Aufgabe zugrunde, ein sicherheitsrelevantes System, insbesondere ein elektrisches Bremssystem für ein Kraftfahrzeug, zu schaffen, dessen Funktionsfähigkeit jederzeit gewährleistet ist.

Gemäß den kennzeichnenden Merkmalen des Verfahrensanspruchs 1 wird die Aufgabe durch folgende Verfahrensschritte gelöst:

• - zusätzlich zu den Teilenenergiespeichern, die zur Bildung des Gesamtenergiespeichers notwendig sind, ist mindestens ein weiterer Teilenergiespeicher vorgesehen, der in seiner Größe den anderen Teilenergiespeichern entspricht und
• - der bzw. die zusätzlichen Teilenergiespeicher werden kontrolliert entladen
• - nach der vollständigen Entladung des bzw. der Teilenergie­ speicher wird durch ein kontrolliertes Aufladen der Ladezu­ stand des bzw. der Teilenergiespeicher neu eingestellt
• - der bzw. die aufgeladenen Teilenergiespeicher werden gegen eine entsprechende Anzahl Teilenergiespeicher des Gesamt­ energiespeichers getauscht.

Unter einem kontrollierten Entladen ist zu verstehen, daß der bzw. die Teilenergiespeicher über einen gesteuerten Verbrau­ cher entladen werden, der einerseits zumindest einen minimalen Entladestrom erzeugt und andererseits den Entladestrom nach oben begrenzt. Bei dem gesteuerten Verbraucher kann es sich z. B. um einen elektronisch geregelten Widerstand handeln. Unter einem kontrollierten Aufladen ist hingegen zu verstehen, daß für den Aufladevorgang die Ladespannung, der Ladestrom und die Ladezeit derartig vorgegeben wird, daß man bei einem intakten Teilenergiespeicher nach dem Aufladevorgang sicher sein kann, daß der Teilenergiespeicher (Batterie) einen definierten Energieinhalt bzw. Ladezustand aufweist.

Bei dem Gesamtenergiespeicher handelt es sich beispielsweise um eine Gesamtbatterie und bei den Teilenergiespeichern handelt es sich beispielsweise um Batteriezellen bzw. um Batterieblöcke, in denen durch zwei Klemmen mehrere der Batteriezellen zusammengefaßt sind.

Gemäß den kennzeichnenden Merkmalen des nebengeordneten Sachanspruchs 5 wird die Aufgabe bei einem sicherheits­ relevanten System der eingangs genannten Art dadurch gelöst, daß es u. a. über die folgenden Bestandteile verfügt:

• - mindestens einen weiteren Teilenergiespeicher, der in seiner Größe den anderen Teilenergiespeichern entspricht
• - eine Zentraleinheit, von der folgende Schritte veranlaßbar sind:
• - kontrolliertes Entladen des weiteren Teilenergiespeichers
• - kontrolliertes Aufladen des weiteren Teilenergiespeichers
• - Austauschen des bzw. der aufgeladenen Teilenergiespeicher gegen eine entsprechende Anzahl der Teilenergiespeicher des Gesamtspeichers.

Der Grundgedanke der Erfindung ist darin zu sehen, mindestens einen vom System "abgekoppelten" Teilenergiespeicher durch kontrollierte Entladung in einen entleerten Zustand zu bringen und danach kontrolliert bis zu einem vorgegebenen bekannten Energieinhalt wieder aufzuladen (bei einem entleerten Speicher weiß man, daß er keinen Energieinhalt aufweist; dementspre­ chend kennt man nach dem definierten Aufladen den Energiehaus­ halt). Nach dem Aufladevorgang wird der Teilenergiespeicher gegen einen anderen Teilenergiespeicher des Systems ausge­ tauscht, mit dem dann genauso verfahren wird.

Die Vorteile der Erfindung sind insbesondere darin zu sehen, daß zu jedem Zeitpunkt eine ausreichende Funktionsfähigkeit des sicherheitsrelevanten Systems gewährleistet ist, da das sicherheitsrelevante System zu jedem Zeitpunkt von mindestens einem Teilenergiespeicher versorgt wird, dessen Energieinhalt (Kapazität) bzw. Ladezustand bekannt und für das System aus­ reichend ist. Ein weiterer Vorteil der Erfindung ist darin zu sehen, daß eine ausreichende Funktionsfähigkeit des sicher­ heitsrelevanten Systems bereits dann gewährleistet werden kann, wenn nur ein zusätzlicher Teilenergiespeicher bereit­ gestellt wird, so daß sich das Gewicht des Gesamtsystems nur gering erhöht. Schließlich ist aufgrund des kontrollierten Ent- und Aufladens der Teilenergiespeicher eine Diagnose des Alterungszustandes der Teilenergiespeicher möglich (so kann z. B. anhand der Ladespannung, des Ladestromes und anhand der Ladezeit, die für die Aufladung bis zu einem vorgegebenen Ladezustand notwendig ist, auf den Alterungszustand geschlos­ sen werden), so daß der Kraftfahrzeugfahrer bei Alterserschei­ nungen eines oder mehrerer Teilenergiespeicher frühzeitig gewarnt werden kann und ein Auswechseln dieses Teilenergie­ speichers bereits vor seinem Ausfall möglich ist. Darüber hinaus kann sich auch bei Batterien, die aufgrund ihrer Technologie zu einem "Memory-Effekt" neigen, wegen der kontrollierten Entladung bei der "Batteriediagnose" der "Memory-Effekt" nicht ausbilden.

Gemäß einer Weiterbildung des Verfahrens nach Anspruch 2 werden der bzw. die zusätzlichen Teilenergiespeicher nach dem Aufladen zyklisch gegen eine entsprechende Anzahl von Teil­ energiespeichern des Gesamtspeichers ausgetauscht. Der Vorteil dieser Weiterbildung ist darin zu sehen, daß insbesondere bei relativ kurzen Zykluszeiten die Wahrscheinlichkeit sehr hoch ist, daß sämtliche Teilenergiespeicher des Gesamtenergie­ speichers, der das elektrische System mit Energie versorgt, einen ausreichenden Energieinhalt aufweisen. Somit ist in diesem Falle die vollständige Funktionsfähigkeit des sicher­ heitsrelevanten Systems gewährleistet.

Gemäß einer Weiterbildung des Verfahrens nach Anspruch 3 wird ein zusätzlicher Teilenergiespeicher nach dem Aufladen gegen einen Teilenergiespeicher des Gesamtenergiespeichers ausge­ tauscht, in dem eine von einer vorgegebenen Schwellenspannung abweichende Spannung erfaßt wurde. Das Austauschen kann beispielsweise abweichend von einem zyklischen Austauschen der Teilenergiespeicher geschehen, der Zyklus wird dann also "unterbrochen". Der Vorteil dieser Weiterbildung ist darin zu sehen, daß beim Austausch ein Teilenergiespeicher vom System abgekoppelt wird, der offensichtlich in seiner Funktionsfä­ higkeit beeinträchtigt ist und gegen einen sicher funktions­ fähigen Teilenergiespeicher ersetzt wird.

Gemäß einer Weiterbildung des Verfahrens nach Anspruch 4 werden der bzw. die weiteren Teilenergiespeicher mindestens bis zu einem Energieinhalt bzw. Ladezustand aufgeladen, der derart bemessen ist, daß die in dem bzw. den aufgeladenen Teilenergiespeichern gespeicherte Energie den gesetzlichen Mindestanforderungen an die Größe des Energiespeichers für das sicherheitsrelevante System entspricht. Der Vorteil dieser Weiterbildung ist darin zu sehen, daß man selbst für den Fall, in dem lediglich ein weiterer Teilenergiespeicher bereitstellt ist, immer ein Teilenergiespeicher am System "angekoppelt" ist, der das Kraftfahrzeug entsprechend den gesetzlichen Anforderungen mindestens einmal sicher zum Stehen bringt.

Gemäß einer Weiterbildung des Sachanspruchs nach Anspruch 6 entspricht die Anzahl der weiteren Teilenergiespeicher der Anzahl der Teilenergiespeicher, aus denen der Gesamtenergie­ speicher zusammengesetzt ist. Der Vorteil dieser Weiterbildung der Erfindung ist darin zu sehen, daß zu jedem Zeitpunkt, insbesondere bei einer zyklischen Vertauschung der Energie­ speicher, sichergestellt ist, daß der Gesamtenergiespeicher einen ausreichenden Energieinhalt und keinen schleichenden Kapazitätsverlust aufweist.

Gemäß einer Weiterbildung des Sachanspruchs nach Anspruch 7 entspricht die von den Teilenergiespeichern zur Verfügung stellbare Spannung der Bordnetzspannung des Kraftfahrzeuges. Der Vorteil dieser Weiterbildung ist darin zu sehen, daß die Teilenergiespeicher genauso aufgeladen werden können wie die übliche Bordnetzbatterie des Kraftfahrzeuges, so daß zum Aufladen keine weiteren Bauteile (z. B. Spannungswandler etc.) benötigt werden.

Ein Ausführungsbeispiel und weitere Vorteile der Erfindung werden im Zusammenhang mit den nachstehenden Figuren erläutert, darin zeigt:

Fig. 1 eine Energieversorgungseinheit für ein sicherheitsrelevantes System, insbesondere eine Energieversorgungseinheit für eine elektrische Bremsanlage

Fig. 2 ein Flußdiagramm.

Fig. 1 zeigt eine Energieversorgungseinheit 2 für eine in der Fig. 1 nicht gezeigte elektrische Bremsanlage. In der Fig. 1 sind nur die für das Verständnis der nachfolgenden Ausführun­ gen benötigten Bestandteile der Energieversorgungseinheit 2 gezeigt. Die Energieversorgungseinheit 2 enthält u. a. mehrere Teilenergiespeicher, die in dem gezeigten Ausführungsbeispiel durch die Batterieblöcke 4a, 4b, 4c und 4d gebildet sind. In jedem der Batterieblöcke 4a, 4b, 4c und 4d sind z. B. so viele Batteriezellen à 2 V zusammengefaßt, daß jeder Batterie­ block eine Spannung von 12 V aufweist. Die Energieversorgungs­ einheit 2 enthält ferner eine Zentraleinheit 6, die von der Bordnetzbatterie 8, die typischerweise ebenfalls 12 V auf­ weist, mit elektrischer Energie versorgt wird und elektrische Schalter, mit denen so viele Batterieblöcke 4a, 4b, 4c und 4d in Reihe geschaltet werden können, wie sie zur Versorgung der elektrischen Bremsanlage des Kraftfahrzeuges benötigt werden. In dem gezeigten Ausführungsbeispiel wird die elektrische Bremsanlage des Kraftfahrzeuges von 36 V versorgt, so daß dementsprechend 3 der 4 Batterieblöcke 4a, 4b, 4c und 4d à 12 V jeweils in Reihe zu schalten sind. Der vierte Batterieblock wird zur Spannungs- bzw. Energieversorgung der elektrischen Bremsanlage des Kraftfahrzeuges nicht benötigt und das kontrollierte Ent- und Aufladen kann dementsprechend von der Zentraleinheit 6 überprüft werden, ohne die Energieversorgung der elektrischen Bremsanlage des Kraftfahrzeuges zu beeinträchtigen.

In der Fig. 1a ist eine Energieversorgungseinheit 2 gezeigt, bei der die elektrische Bremsanlage des Kraftfahrzeuges durch die Batterieblöcke 4a, 4b und 4c mit elektrischer Energie versorgt wird und der Batterieblock 4d durch Öffnen der Schalter 10 und 14 von der Energieversorgung der elektrischen Bremsanlage "abgekoppelt", ist. Zur Überbrückung des Batterie­ blockes 4d wird der Schalter 12 geschlossen. Der Batterie­ block 4d ist über die geschlossenen Schalter 16 und 18 mit der Zentraleinheit 6 verbunden, so daß von der Zentraleinheit 6 das kontrollierte Ent- und Aufladen des Batterieblocks 4d veranlaßt und überwacht werden kann, was im Zusammenhang mit der Fig. 2 im Detail erläutert wird. Nach "erfolgreich" abgeschlossener Aufladung wird der Batterieblock 4d an die Energieversorgung der elektrischen Bremsanlage "angekoppelt" und einer der Batterieblöcke 4a, 4b und 4c von der Energieversorgung des elektrischen Bremssystems "abgekoppelt". Dies geschieht durch Ansteuerung der entsprechenden elektrischen Schalter durch die Zentraleinheit 6.

Insbesondere werden zum "Ankoppeln" des Batterieblocks 4d an die Energieversorgung die elektrischen Schalter 10 und 14 geschlossen und die Schalter 12, 16 und 18 geöffnet, so daß der Batterieblock 4d nicht mehr mit der Zentraleinheit 6 verbunden ist (siehe Fig. 1b). Ferner werden unter Steuerung der Zentraleinheit 2 beispielsweise die Schalter 20 und 24 geöffnet und die Schalter 22, 26 und 28 geschlossen, so daß nunmehr der Batterieblock 4a von der Energieversorgung des elektrischen Bremssystems "abgekoppelt" und mit der Zentral­ einheit 6 verbunden ist. Im folgenden wird nun das kontrol­ lierte Ent- und Aufladen des Batterieblockes 4a von der Zentraleinheit 6 veranlaßt und überwacht. Entsprechend kann beispielsweise zyklisch fortgefahren werden, d. h. die Batterieblöcke 4a, 4b, 4c und 4d werden in aufeinander­ folgenden Verfahrensschritten wie oben beschrieben behandelt und bei "Ankoppelung" des zuletzt behandelten Batterieblocks an die Energieversorgung des elektrischen Bremssystems wird der nächst folgende Batterieblock von der Energieversorgung des elektrischen Bremssystems "abgekoppelt".

Alternativ zu dem in der Fig. 1 gezeigten Ausführungsbeispiel ist es auch möglich, mehr als einen zusätzlichen Teilenergie­ speicher zur Verfügung zu stellen. Werden beispielsweise zwei zusätzliche Teilenergiespeicher bereitgestellt, so werden ständig zwei "abgekoppelte" Teilenergiespeicher kontrolliert ent- und aufgeladen und nach erfolgreich abgeschlossenem Ladevorgang gegen zwei an das System "angekoppelte" Teilener­ giespeicher ausgetauscht. Auch hier kann der Austausch zyklisch erfolgen.

Entspricht die Anzahl der zusätzlichen Teilenergiespeicher der Anzahl der Teilenergiespeicher des Gesamtenergiespeichers, so findet ein ständiger Austausch des Gesamtspeichers statt.

Im Zusammenhang mit der Fig. 2 wird nunmehr die Ladezu­ standsprüfung erläutert. In einem ersten Verfahrensschritt 201 wird der zu überprüfende Batterieblock an die Zentraleinheit 6 angeschlossen und von der Zentraleinheit 6 wird eine kontrol­ lierte Entladung veranlaßt (Verfahrensschritt 202). Nach der völligen Entladung des Batterieblocks wird von der Zentralein­ heit 6 ein kontrolliertes Aufladen des Batterieblocks durch Vorgabe einer Ladespannung, eines Ladestromes und einer Lade­ zeit veranlaßt (Verfahrensschritt 203). Während des Auflade­ vorgangs werden von der Zentraleinheit 6 ständig die Parameter "Ladespannung" und "Ladestrom" überwacht, die nur dann in gewünschter Art und Weise eingestellt und über den vorgegebe­ nen Ladezeitraum aufrechterhalten werden können, wenn der Teilenergiespeicher bzw. Batterieblock technisch in Ordnung ist (Verfahrensschritt 203). Fällt die Überwachung positiv aus, weisen also die Ladespannung und der Ladestrom über den gesamten Ladezeitraum vorgegebene Werte auf, so ist nach abgelaufener Ladezeit sichergestellt, daß der Teilenergie­ speicher bzw. Batterieblock einen vorgegebenen Energieinhalt bzw. Ladezustand aufweist. Ist dies der Fall, wird der frisch aufgeladene Batterieblock gegen einen an die Energieversorgung des elektrischen Bremssystems angekoppelten Batterieblock ausgetauscht, so wie es bereits im Zusammenhang mit der Fig. 1 erläutert worden ist (Verfahrensschritt 205). Daraufhin wird der ausgetauschte Batterieblock an die Zentraleinheit 6 angeschlossen, so daß das Verfahren mit dem ausgetauschten Batterieblock wiederholt werden kann (Verfahrensschritte 206 und 201).

Kann der Ladevorgang nicht erfolgreich abgeschlossen werden, können also beim Aufladen des an die Zentraleinheit ange­ schlossenen Batterieblocks die Ladespannung bzw. der Lade­ strom nicht wie vorgegeben aufrechterhalten werden, so ergeht eine Warnung an den Kraftfahrzeugführer (Verfahrensschritt 207). Die Warnung an den Kraftfahrzeugführer erfolgt vorzugs­ weise über einen Warnungsmelder, der als separates Bauteil ausgeführt ist und über eine separate Energieversorgung verfügt. Dadurch ist sichergestellt, daß auch bei einem Ausfall beispielsweise der Zentraleinheit 6 noch eine Warnung an den Kraftfahrzeugführer ergeht.

Die Warnung bedeutet, daß der zuletzt an die elektrische Bremsanlage angeschlossene Batterieblock einen vorgegebenen Energieinhalt bzw. Ladezustand aufweist, daß es jedoch nicht möglich ist, einen der angekoppelten Batterieblöcke gegen den zuletzt überprüften Batterieblock auszutauschen. Für den Kraftfahrzeugführer folgt daraus, daß das Kraftfahrzeug "unter Zuhilfenahme" des Batterieblocks, der den vorgegebenen Energieinhalt aufweist, noch einige Male sicher abgebremst werden kann und das Bremssystem noch eine Zeitlang zumindest eingeschränkt funktionstüchtig ist. Dies gilt auch dann noch, wenn es an den übrigen Batterieblöcken zu einem Totalausfall kommt. Es ist also in jedem Fall möglich, eine Werkstatt sicher anzusteuern und die Bremsanlage instandsetzen zu lassen.

Werden mehrere zusätzliche Teilenergiespeicher bereitgestellt, so würde die im Zusammenhang mit der Fig. 2 erläuterte kontrollierte Ent- und Aufladung mit jedem "abgekoppelten", Teilenergiespeicher durchgeführt. Kann der Aufladevorgang für alle Teilenergiespeicher erfolgreich abgeschlossen werden, werden die "abgekoppelten" Teilenergiespeicher gegen eine entsprechende Anzahl von "angekoppelten" Teilenergiespeichern ausgetauscht. Kann jedoch bei einem der zusätzlichen Teilener­ giespeicher der Aufladevorgang nicht erfolgreich abgeschlossen werden, so findet kein Austausch statt und es ergeht eine Warnung an den Kraftfahrzeugführer.

Alternativ ist es möglich, nur diejenige Anzahl von Teilener­ giespeichern auszutauschen, für die der Aufladevorgang erfolgreich abgeschlossen werden konnte, und die beschädigten Teilenergiespeicher unberücksichtigt zu lassen. In den folgenden Tauschzyklen werden dann nur noch die "verbleiben­ den zusätzlichen" Teilenergiespeicher geprüft und getauscht. In diesem Fall ergeht an den Kraftfahrzeugführer eine Warnung erst dann, wenn für den letzten verbleibenden Teilenergiespei­ cher der Aufladevorgang nicht mehr erfolgreich durchgeführt werden kann.

Bezugszeichenliste

2 Energieversorgungseinheit
4a-4d Teilenergiespeicher, Batterieblöcke
6 Zentraleinheit
8 Bordnetzbatterie
10-28 Schalter

Claims (7)

1. Verfahren zur Versorgung eines sicherheitsrelevanten Systems mit elektrischer Energie, insbesondere Verfahren zur Versorgung eines elektrischen Bremssystems eines Kraftfahrzeuges mit elektrischer Energie, mittels eines Gesamtenergiespeichers, der aus einer Anzahl von Teilenergiespeichern (4a, 4b, 4c) gleicher Größe zusammengesetzt ist, dadurch gekennzeichnet, daß

• - zusätzlich zu den Teilenergiespeichern (4a, 4b, 4c), die zur Bildung des Gesamtenergiespeichers notwendig sind, mindestens ein weiterer Teilenergiespeicher (4d) vorge­ sehen ist, der in seiner Größe den anderen Teilenergie­ speichern (4a, 4b, 4c) entspricht und
• - der bzw. die zusätzlichen Teilenergiespeicher kontrolliert entladen werden
• - nach der vollständigen Entladung des bzw. der Teilenergiespeicher durch ein kontrolliertes Aufladen der Ladezustand des bzw. der Teilenergiespeicher neu eingestellt wird
• - der bzw. die aufgeladenen Teilenergiespeicher (4d) gegen eine entsprechende Anzahl Teilenergiespeicher des Gesamt­ energiespeichers getauscht werden.

2. Verfahren zur Versorgung eines sicherheitsrelevanten Systems mit elektrischer Energie, insbesondere Verfahren zur Versorgung eines elektrischen Bremssystems eines Kraftfahrzeuges mit elektrischer Energie, nach Anspruch 1, dadurch gekennzeichnet, daß die zusätzlichen Teilenergie­ speicher (4d) nach dem Aufladen zyklisch gegen die Teilenergiespeicher (4a, 4b, 4c) des Gesamtenergie­ speichers ausgetauscht werden.

3. Verfahren zur Versorgung eines sicherheitsrelevanten Systems mit elektrischer Energie, insbesondere Verfahren zur Versorgung eines elektrischen Bremssystems eines Kraftfahrzeuges mit elektrischer Energie, nach Anspruch 1, dadurch gekennzeichnet, daß ein zusätzlicher Teilenergie­ speicher (4d) nach dem Aufladen gegen einen Teilenergie­ speicher (4a, 4b, 4c) des Gesamtenergiespeichers ausgetauscht wird, an dem eine von einer vorgegebenen Schwellenspannung abweichende Spannung erfaßt wurde.

4. Verfahren zur Versorgung eines sicherheitsrelevanten Systems mit elektrischer Energie, insbesondere Verfahren zur Versorgung eines elektrischen Bremssystems eines Kraftfahrzeuges mit elektrischer Energie, nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Teilenergiespeicher in ihrer Kapazität so gewählt werden, daß bereits der Energieinhalt eines aufgeladenen Teilener­ giespeichers ausreicht, das System in einen sicheren Zustand zu überführen bzw. daß die Energie eines Teilener­ giespeichers den gesetzlichen Anforderungen an den Mindestenergieinhalt des Gesamtspeichers genügt.

5. Sicherheitsrelevantes System, das mit elektrischer Energie versorgt wird, insbesondere elektrisches Bremssystems eines Kraftfahrzeuges, wobei das System zur Energieversorgung einen Gesamtspeicher enthält, der aus einer Anzahl von Teilenergiespeichern gleicher Größe zusammengesetzt ist, dadurch gekennzeichnet, daß das System darüber hinaus enthält:

• - mindestens einen weiteren Teilenergiespeicher, der in seiner Größe den anderen Teilenergiespeichern entspricht
• - eine Zentraleinheit, von der folgende Schritte veranlaßbar sind:
• - kontrolliertes Entladen des weiteren Teilenergie­ speichers
• - kontrolliertes Aufladen des weiteren Teilenergie­ speichers
• - Austauschen des bzw. der aufgeladenen Teilenergie­ speicher gegen eine entsprechende Anzahl der Teilenergiespeicher des Gesamtspeichers.

6. Sicherheitsrelevantes System, das mit elektrischer Energie versorgt wird, insbesondere elektrisches Bremssystem eines Kraftfahrzeuges, nach Anspruch 5, dadurch gekennzeichnet, daß die Anzahl der weiteren Teilenergiespeicher (4d) der Anzahl der Teilenergiespeicher (4a, 4b, 4c) entspricht, aus denen der Gesamtenergiespeicher zusammengesetzt ist.

7. Sicherheitsrelevantes System, das mit elektrischer Energie versorgt wird, insbesondere elektrisches Bremssystem eines Kraftfahrzeuges, nach einem der Ansprüche 5 bis 6, dadurch gekennzeichnet, daß die von den Teilenergiespeichern (4a, 4b, 4c, 4d) zur Verfügung stellbare Spannung der Bordnetzspannung des Kraftfahrzeuges entspricht.