DE19950008A1 - Verfahren und Anordnung zum Steuern des Schaltzustands einer Schaltverbindung zwischen den elektrischen Ausgängen einer in einer mobilen Vorrichtung angeordneten Brennstoffzelle und einem in der mobilen Vorrichtung angeordneten isolierten elektrischen Netz - Google Patents

Abstract

Gegenstand der Erfindung sind ein Verfahren und eine Vorrichtung zum Steuern und Einstellen der Schaltzustände von an den elektrischen Ausgängen (2, 3) einer Brennstoffzelle (1) in einem Fahrzeug angeschlossene Trennschaltern, denen ein von der Brennstoffzelle (1) gespeistes Netz mit Verbrauchern nachgeschaltet ist. Bei kritischen Zuständen der Brennstoffzelle bzw. des Fahrzeugs werden die Trennschalter geöffnet.

Description

Die Erfindung bezieht sich auf ein Verfahren und eine Anord­ nung zum Steuern und zur Einstellung des Schaltzustands einer Schaltverbindung zwischen den elektrischen Ausgängen einer in einer mobilen Vorrichtung angeordneten Brennstoffzelle und einem in der mobilen Vorrichtung angeordneten, elektrisch isolierten Netz, an das von der Brennstoffzelle mit Energie versorgte Verbraucher angeschlossen sind, wobei im Fahrzeug ein weiteres Netz vorgesehen ist, das eine geringere Spannung als das an die Brennstoffzelle anschließbare Netz aufweist und elektrische Verbraucher sowie eine Speicherbatterie enthält.

In mobilen Energieerzeugungssystemen mit Brennstoffzellen sind vielfach zwei elektrische Netze vorhanden. Das von der Brennstoffzelle gespeiste Netz ist ein ungeerdetes, elektrisch isoliertes Netz und enthält z. B. einen oder mehrere Antriebs­ motoren für die mobile Vorrichtung. Für das Starten der Brenn­ stoffzelle sind eine Reihe von Hilfsaggregaten notwendig, die mit ihren Antriebsmotoren in einen anderen elektrischen Netz angeordnet sind, das durch einen Akkumulator die Energie für die Hilfsaggregate beim Startvorgang zur Verfügung stellt. Der Akkumulator kann im Betrieb der Brennstoffzelle über einen zwischen beiden Netzen angeordneten Stromrichter geladen werden. Der Stromrichter, der eine galvanische Trennung zwischen beiden Netzen hat, speist im Betrieb der Brennstoff­ zelle auch die an das Niedervoltnetz angeschlossenen Verbrau­ cher. Das Niedervoltnetz ist zumindest in Fahrzeugen im allge­ meinen mit einem Pol an Fahrzeugmasse gelegt.

Zur Vermeidung einer Gefährdung von Personen oder Teilen der mobilen Einrichtung durch Strom aus der Brennstoffzelle darf in bestimmten Situationen oder bei bestimmten Ereignissen die Schaltverbindung am Ausgang der Brennstoffzelle entweder nicht geschlossen oder muß geöffnet werden. Beispielsweise muß bei Brennstoffzellen, die mit Wasserstoff betrieben werden, das Brennstoffzellensystem vor und während des Betriebs auf unkon­ trolliertes Austreten des Wasserstoffs überprüft werden. Um einen Defekt der Brennstoffzelle zu verhindern, muß gewährlei­ stet werden, daß das Hochvolt-Netz erst nach Erreichen der Be­ triebsbereitschaft an die Brennstoffzelle angeschaltet und bei unzulässig hoher Stromentabnahme, z. B. im Kurzschlußfall, oder bei unzureichender Ausgangsspannung, schnell von dieser getrennt wird. Aus Sicherheitsgründen muß auch immer ein Min­ destisolationswiderstand zwischen den beiden Netzen vorhanden sein.

Der Erfindung liegt daher das Problem zugrunde, für eine mo­ bile Vorrichtung, die zur Energieerzeugung eine Brennstoff­ zelle mit einer Schaltverbindung zu einem elektrische Ver­ braucher enthaltenden elektrisch isolierten Netz und ein weiteres, für eine geringere Spannung als die Brennstoffzel­ lenspannung ausgelegtes Netz mit weiteren elektrischen Ver­ brauchern aufweist, ein Verfahren und eine Vorrichtung an­ zugeben, mit denen in Situationen oder bei bestimmten Be­ triebszuständen, bei denen durch eine leitende Verbindung zwischen den elektrischen Ausgängen der Brennstoffzelle und dem elektrisch isolierten Netz eine Gefährdung von Personen oder zumindest von Teilen der mobilen Vorrichtung oder der Brennstoffzelle selbst auftreten kann, die Schaltverbindung zwischen den Ausgängen der Brennstoffzellen und dem Netz ent­ weder nicht geschlossen oder schnell geöffnet wird.

Das Problem wird bei einem Verfahren der eingangs beschriebe­ nen Art erfindungsgemäß dadurch gelöst, daß mit in oder an der mobilen Vorrichtung angeordneten Sensoren Vorrichtungsbe­ triebszustände gemeldet werden, bei denen die Versorgung des elektrisch isolierten Netzes mit Energie aus Sicherheitsgründen ausgeschlossen oder ausgesetzt werden muß, daß mit einer aus dem weiteren Netz mit Energie versorgten Steuer- und Auswerteinheit die Sensoren überwacht werden, daß die Schaltverbindung an den Ausgängen der Brennstoffzelle von Arbeitskontakten mindestens eines Trennschalters gebildet wird, dem die Energie zum Schließen der Arbeitskontakte beim Starten der Brennstoffzelle nach dem Erreichen des Betriebzustands der Brennstoffzelle aus dem weiteren Netz durch die Steuer- und Auswerteinheit freigegeben wird, und daß bei Erfassung einer Meldung aus mindestens einem Sensor, die sich auf eine aus Sicherheitsgründen nicht zulässige Schließung der Arbeitskontakte bezieht, von der Steuer- und Auswerteinheit die Energiezufuhr zum Trennschalter blockiert bzw. unterbrochen wird.

Mit dem erfindungsgemäßen Verfahren wird eine hohe Betriebssi­ cherheit des Brennstoffzellensystems erreicht. Es kann damit eine Gefährdung von Personen und der Umwelt sowie Teilen der Vorrichtung selbst vermieden werden. Bei Kurzschlüssen im elektrisch isolierten Netz oder den von diesem Netz gespeisten Verbrauchern fällt die Energieversorgung des Trennschalters aus, so daß sich die Arbeitskontakte von selbst öffnen. Das Brennstoffzellensystem geht bei der Meldung einer Gefahr oder Störung in einen Zustand über, bei dem die Energieabgabe aus der Brennstoffzelle unterbrochen ist, d. h. es wird ein sicherer Betriebszustand erreicht.

Bei einer bevorzugten Ausführungsform werden das Austreten von Wasserstoff aus den wasserstofferzeugenden bzw. wasserstoffspeichernden Einheiten durch Gassensorgen, der Laststrom der Brennstoffzelle auf Überschreiten oder Unterschreiten von Grenzwerten durch einen den Arbeitskontakten nachgeschalteten Stromsensor, der Aufprall der mobilen Vorrichtung auf ein Hindernis durch wenigstens einen Crash-Sensor, der Isolationswiderstand des elektrisch isolierten Netzes, die Ausgangsspannung der Brennstoffzelle auf Über- oder Unterschreiten von Grenzwerten, der Schließzustand von Türen und Deckeln durch Schalter und die Versorgungsspannung im weiteren Netz auf Über- und Unterschreiten von Grenzwerten überwacht und auf Vorliegen von Bedingungen für das Öffnen der Arbeitskontakte geprüft.

Insbesondere wird der Isolationswiderstand zwischen dem elek­ trisch isolierten Netz und der Masse der mobilen Vorrichtung durch ein Impulsmeßverfahren bestimmt, mit dem positive und negative Impulse über einen bekannten Meßwiderstand auf die Masse gegeben werden, wobei die Impulse einen über die Isolationswiderstände zu einem Bezugspunkt im Netz fließenden Strom hervorrufen, der durch einen Spannungsabfall am Meßwiderstand gemessen wird. Die Meßspannung wird über einen Hoch- und einen Tiefpaß einem A/D-Umsetzer zugeführt. Der Isolationswiderstand wird auf Unterschreitung einer vorgebbaren unteren Schwelle und Überschreitung einer zu hohen Schwelle überwacht. Die Isolationsmessung wird ständig während des Betriebs der mobilen Einrichtung ausgeführt, jedoch beim Starten als Schnellmessung mit verminderter Genauigkeit. Bei zu geringem Isolationswiderstand wird das ungeerdete Netz von der Brennstoffzelle getrennt.

Bei einer anderen zweckmäßigen Ausführungsform wird die Strom­ meßeinrichtung durch Einspeisung eines Prüfstroms in eine zu­ sätzliche Wicklung des einen Stromwandler enthaltenden Strom­ sensors überwacht.

Bei einer Anordnung der eingangs beschriebenen Art wird das Problem erfindungsgemäß dadurch gelöst, daß eine Steuer- und Auswerteinheit eine Baugruppe, einen an einen internen Bus der mobilen Einrichtung angeschlossenen Prozessor, eine Logikschaltung mit hardwaremäßig ausgebildeten logischen Funktionen, einen mit dem Prozessor galvanisch getrennt verbundenen A/D-Umsetzer, der eingangsseitig mit analogen Sensoren für den Strom und die Spannung der Brennstoffzelle und einer Meßeinrichtung für den Isolationswiderstand zwischen dem elektrisch isolierten Netz und der Masse der mobilen Vorrichtung verbunden ist, einen mit dem Prozessor und der Logikschaltung galvanisch getrennten verbundenen Sensor für den Brennstoffzellenstrom, ein vom weiteren Netz gespeistes Netzteil mit galvanischer Trennung für die Versorgung des A/D- Umsetzers mit Betriebsspannung, an den Ausgang der Logikschaltung angeschlossene Steuer- bzw. Treiberbausteine und an den Prozessor und die Logikschaltung angeschlossene Umsetzer für die Versorgung von Wasserstoffsensoren mit Betriebsspannung und die Anpassung der von diesen Sensoren ausgegebenen Signale an die Pegel des Prozessors und des Logikbausteins aufweist, daß der Logikbaustein, der Prozessor, die Umsetzer und die Steuer- und Treiberbausteine mit Betriebsspannung vom weiteren Netz beaufschlagt werden, daß mindestens ein Ausgang des Prozessors mit einem entsprechenden Eingang des Logikbausteins verbunden ist, der mit Sensoren für die Erzeugung von Meldesignalen von Betriebszuständen der mobilen Vorrichtung oder von deren Bauteilen verbunden ist, und daß durch die Logikschaltung die Freigabe von Ausgangssignalen der Steuer- und Treiberbausteine steuerbar ist, an die jeweils eine Spule eines Trennschalters angeschlossen ist, von dem ein Arbeitskontakt zwischen einem elektrischen Ausgang der Brennstoffzelle und dem elektrisch isolierten Netz angeordnet ist.

Mit der erfindungsgemäßen Baugruppe wird ein kompaktes Steuer­ gerät mit relativ geringerem Gewicht und geringen Abmessungen für eine mobiles Brennstoffzellensystem verfügbar gemacht, mit dem beim Betrieb des Brennstoffzellensystem zahlreiche Sicher­ heitsanforderungen erfüllt werden können. Die von der Logik­ schaltung verarbeiteten Meldungen über kritische Zustände des Brennstoffzellensystems oder der mobilen Einrichtung führen sofort zur Öffnung der Schaltkontakte.

Bei einer zweckmäßigen Ausführungsform sind mit dem Ausgang der Logikschaltung zwei vom weiteren Netz mit Betriebsspannung beaufschlagte Treiberbausteine auf der Baugruppe verbunden, von denen einer an die Spule eines Systemrelais und der andere an die Spule eines Relais einer Vorladeschaltung angeschlossen ist. Für den Startvorgang ist die Vorladeschaltung bestimmt. Für die Versorgung des Systems mit der Spannung des weiteren Netzes wird das Systemrelais geschaltet. Die Spannung des weiteren Netzes ist insbesondere 12 V.

Bei einer bevorzugten Ausführungsform weist die Baugruppe eine Leiterplatte mit einem ersten Abschnitt auf, der die von dem weiteren Netz mit Betriebsspannung versorgten Bauelemente, die Logikschaltung, den Prozessor, die Umsetzer, die Steuer- und Treiberbausteine mit zugehörigen Leiterbahnen und die Anschlüsse zu dem Trennschalter und Anschlüsse für mit der Spannung des weiteren Netzes versorgte Sensoren, für Busleitungen und für die Masseverbindung trägt und der von einem zweiten Abschnitt getrennt ist, der von der Spannung der Brennstoffzelle oder des Netzes beaufschlagte Bauelemente wie den Stromsensor, einen Spannungsteiler für die Spannungsmessung und die zugehörigen Leiterbahnen sowie Anschlüsse für das von dar Brennstoffzelle gespeiste Netz trägt. Aufgrund der durch die beiden Abschnitte gebildeten Trennung der Hauteile und Leiterbahnen, die niedrige Spannungen führen, von den Bauteilen und Leiterbahnen, die hohe Spannungen führen, ist ein hohes Maß an Sicherheit gegen Kurzschlüsse auf der Leiterplatte zwischen beiden Netzen gegeben.

Bei einer zweckmäßigen Ausführungsform ist die Minusseite der Brennstoff Zellenspannung Bezugspotential für von der Spannung der Brennstoffzelle beaufschlagte Bauteile auf der Saugruppe und an einen Anschluß des zweiten Abschnitts gelegt. Dieses Bezugspotential erlaubt eine große Schaltungsvereinfachung. Vorzugsweise weist der Stromsensor einen Stromwandler mit einem berührungslos durch die Leiterplatte und durch einen auf dieser angeordneten Stromwandler-Kern hindurchgeführten Leiter auf, wobei der Strom nach dem Kompensationsprinzip gemessen wird.

Der Stromwandler trägt insbesondere eine Zusatzwicklung, die an eine Einrichtung zur Einspeisung eines definierten Stroms angeschlossen ist, mit der die Strommessung auf Funktionsfähigkeit überwacht wird. Im Prozessor sind ein oberer und ein unterer Grenzwert für den Brennstoffzellenstrom gespeichert. Beim Unterschreiten der unteren Grenze wird z. B. eine entsprechende Meldung an den Bus ausgegeben. Wird die obere Grenze überschritten, dann wird die Logikschaltung zum Öffnen der Schaltkontakte am Ausgang der Brennstoffzelle veranlaßt.

Für die Messung des Isolationswiderstands des elektrisch isolierten Netzes gegenüber der Masse der mobilen Vorrichtung ist vorzugsweise ein auf der Leiterplatte im zweiten Abschnitt der Leiterplatte angeordneter Meßwiderstand vorgesehen, der mit positiven und negativen Impulsen beaufschlagt wird, wobei die Impulse über einen Stromfluß am Meßwiderstand eine Spannung hervorrufen, die über einen Hochpaß und einen Tiefpaß dem A/D-Umsetzer zugeführt wird, dessen Ausgangssignale dem Prozessor zugeführt werden. Der Hochpaß blockt die Brennstoffzellengleichspannung ab und der Tiefpaß blendet hochfrequente Störungen aus. Der Prozessor verarbeitet die Meßwerte für die Bestimmung des Isolationswiderstands nach einer gewissen Wartezeit, um keine Meßwerte während Einschwingvorgängen zu übernehmen.

Der Prozessor wird zusammen mit seiner Software vorzugsweise von einem Watchdogbaustein überwacht, d. h. ein Defekt des Prozessorbausteins bzw. ein Absturz der Software bewirkt eine Öffnung der Schalter am Ausgang der Brennstoffzelle.

Zweckmäßigerweise wird auch der Bus ständig auf einwandfreie Funktion überprüft. Es ist vorteilhaft, wenn die Versorgungsspannung des weiteren Netzes z. B. durch eine entsprechende Eingabe in den Prozessor mittels eines A/D- Umsetzers erfaßt und auf vorgegebene Grenzwerte hin überwacht wird, bei deren Über- bzw. Unterschreitung vom Prozessor das Signal zum Öffnen dar Schaltkontakte an die Logikschaltung gegeben wird.

Bei einer besonders zweckmäßigen Ausführungsform sind die Ein- und Ausgänge der auf der Leiterplatte angeordneten Bauteile wie Logikschaltung, Prozessor, Steuer- und Treiberstufen und Umsetzer kurzschlußfest ausgelegt. Mit dieser Maßnahme wird ein großes Maß an Sicherheit in der Arbeitsweise der Baugruppe erreicht.

Insbesondere werden Masse- und Kurzschlüsse als Fehler erfaßt.

Die Erfindung wird im folgenden an Hand eines in einer Zeich­ nung dargestellten Ausführungsbeispiels näher beschrieben, aus dem sich weitere Einzelheiten, Merkmale und Vorteile ergeben.

In der Zeichnung ist im Blockschaltbild eine Baugruppe einer Anordnung zum Steuern der Schaltzustände einer Schalterverbin­ dung zwischen den elektrischen Ausgängen einer in einem Fahr­ zeug angeordneten Brennstoffzelle und einem im Fahrzeug ange­ ordneten elektrisch isolierten Netz dargestellt.

Eine in einem nicht näher dargestellten Fahrzeug angeordnete Brennstoffzelle 1, die Bestandteil eines ebenfalls nicht näher dargestellten Brennstoffzellensystem ist, ist mit ihren elek­ trischen Ausgängen 2 und 3 jeweils an einen Arbeitskontakt 4 und einen Arbeitskontakt 5 angeschlossen. Bei der Brennstoff­ zelle 1 handelt es sich insbesondere um eine aus zahlreichen einzelnen Modulen bestehende PEM-Zelle. Das Brennstoffzellen­ system enthält einen Speicher für Wasserstoff oder eine Ein­ richtung zur Erzeugung von Wasserstoff aus einem Kohlenwasser­ stoff und Hilfsaggregate zur Förderung bzw. Komprimierung von Wasserstoff und Luft.

Der Anschluß 2 hat positive Polarität und der Anschluß 3 nega­ tive Polarität. An den Arbeitskontakt 4 ist eine Leitung 6 und an den Arbeitskontakt 5 eine Leitung 7 angeschlossen. Die Lei­ tungen 6, 7 sind Bestandteile eines elektrisch isolierten bzw. ungeerdeten Netzes, das eine Reihe von Verbrauchern enthält, die von der Brennstoffzelle 1 gespeist werden. Ein wesentlicher Verbraucher ist ein über einen Wechselrichter mit den Netz verbundener Fahrmotor 8. Weitere Verbraucher, z. B. ein DC/DC-Wandler für die Erzeugung eines Ladestroms für einen Akkumulator in einem weiteren im Fahrzeug angeordneten Netz sind in der Zeichnung nicht dargestellt.

Der Arbeitskontakt 4 ist Bestandteil eines im Fahrzeug ange­ ordneten Trennschalters z. B. eines Schützes 9 oder Relais. Der Arbeitskontakt 5 ist ebenfalls ein Bestandteil eines im Fahrzeug angeordneten Trennschalters z. B. eines Schützes 10 oder Relais. Die Arbeitskontakte 4, 5 sind aus Sicherheitsgründen nicht Bestandteile eines einzigen Trennschalters. Da die Arbeitskontakte 4, 5 in kritischen Zuständen des Brennstoffzellensystems oder des Fahrzeugs öffnen müssen, ist durch die Anordnung zweier, voneinander unabhängig betätigbarer Kontakte ein höheres Maß an Sicherheit dafür gegeben, daß ein Kontakt bei einer Störung das anderen arbeitet und das Netz wenigstens einpolig abschaltet.

Die Spulen der Trennschalter bzw. Schütze 9, 10 oder Relais sind jeweils mit Ausgängen eines Steuerbausteins in Form eines Economizers 11 und eines Economizers 12 verbunden. Bei den beiden Economizern 11 und 12, die auf einer Leiterplatte 13 einer Baugruppe 14 angeordnet sind und zu einer im folgenden näher erläuterten Steuer- und Auswerteinheit gehören, handelt es sich Schaltungen, die für Gleichstromschütze bzw. Relais eine höhere Spannung zum Betätigen, d. h. Anziehen, erzeugen und danach die geringere Haltespannung für die Schütze 9, 10 bzw. Relais ausgehen. Auf der Leiterplatte 13 der Baugruppe 14 befindet sich weiterhin ein Relais-Treiberbaustein 15, mit dem ein Relais 16 außerhalb der Baugruppe verbunden ist. Dar Trei­ berbaustein 15 hat zwei Eingänge, von denen einer über eine Diode 17 mit einem Kontakt 17 eines Schlüsselschalters verbun­ den ist, mit dem das Fahrzeug gestartet wird. Bei geschlosse­ nem Schlüsselschalter liegt am einen Eingang des Treiberbau­ steins 15 eine Spannung eines weiteren Netzes im Fahrzeug an. Das weitere Netz ist als übliches Bordnetz für Fahrzeuge ausgebildet und enthält einen Akkumulator von z. B. 12 V. Verbraucher in diesem weiteren Netz, das eine geringere Spannung als das an die Brennstoffzelle 1 anschließbare Netz hat, sind z. B. Scheibenwischermotoren, Lüfter, Scheibenantriebermotoren, Lampen, Blinker usw. Das weitere Netz wird im folgenden auch Niedervoltnetz und das von der Brennstoffzelle gespeiste Netz als Hochvoltnetz bezeichnet. Das Relais 16, das auch als Systemrelais bezeichnet wird, versorgt nach dem Ansprechen elektronische Bauelemente der Baugruppe 14 mit Betriebsspannung.

Auf der Leiterplatte 13 der Baugruppe 14 befindet sich noch ein weiterer Treiberbaustein 18 mit zwei Eingängen, an dessen einen Ausgang ein Relais 19 außerhalb der Baugruppe 14 ange­ schlossen ist. Ein Arbeitskontakt 20 des Relais 19 ist mit dem weiteren Netz verbunden, das in der Zeichnung mit 21 bezeich­ net ist. Der Arbeitskontakt 20 ist an eine Leiterbahn 22 auf der Leiterplatte 13 angeschlossen, mit der eine Reihe von Bau­ elementen auf der Leiterplatte 13 verbunden sind. Die Anschlüsse für die Betriebsstromversorgung der Economizer 11, 12 sind an die Leiterbahn 22 angeschlossen. Der Anschluß für die Betriebsstromversorgung der Treiberstufe 15 ist über eine nicht näher bezeichnete Diode mit der Leiterbahn 22 verbunden. Weiterhin steht ein Anschluß eines Netzgeräts 23 mit der Leiterbahn 22 in Verbindung. Der zweite Anschluß des Netzgeräts 23 ist an die Fahrzeugmasse gelegt. Das Netzgerät 23 ist als DC/DC-Wandler ausgebildet und hat eine in der Zeichnung durch das Transformatorsymbol gekennzeichnete galvanische Trennung zwischen Eingangs- und Ausgangsspannung. Aus der Betriebsspannung von 2. B. 12 V des Bordnetz 21 erzeugt das Netzteil eine höhere Spannung von z. B. 15 V.

Die Leiterplatte 14 ist in Bezug auf die Betriebsspannung und die Spannungspegel der auf ihr angeordneten Bauelemente in zwei Abschnitte 24, 25 unterteilt, durch die eine räumliche Trennung der Bauelemente mit unterschiedlichem Spannungsniveau erreicht wird. Auf diese Weise wird ein hohes Maß an Sicher­ heit gegen Kurzschlüsse zwischen Bauelementen und Leitungen bzw. Leiterbahnen mit unterschiedlichem Spannungsniveau er­ reicht.

Auf dem Abschnitt 24, dem das niedrige Spannungsniveau zuge­ ordnet ist, befindet sich eine Logikschaltung 26, die eine Reihe von Eingängen hat, deren Verbindung mit Bauelementen in folgenden noch näher beschrieben werden. Ausgangsseitig ist die Logikschaltung mit Steuergängen der Economizer 11, 12 und des Treiberbausteins 15 verbunden.

Im Brennstoffzellensystem sind Gassensoren für Wasserstoff zur Überwachung der Betriebsmittel vorhanden. Diese Gassensoren benötigen Betriebsspannungen, die von der Spannung des Bordnetzes 21 verschieden sind. Im allgemeinen ist die Betriebsspannung kleiner als die Bordnetzspannung. Die von den Gassensoren erzeugten Signale befinden sich zumindest nicht im Spannungsniveau des Bordnetzes oder im Bereich der von der Logikschaltung 26 verarbeitbaren Eingangssignale. Auf der Leiterplatte 13 sind daher analoge Umsetzer- und Anpassungsschaltungen 27, 28 vorgesehen. Die Umsetzer- und Anpassungsschaltungen 27, 28 haben jeweils nicht näher bezeichnete Ausgänge, an die die Betriebsspannungsanschlüsse von nicht näher dargestellten Gassensoren angeschlossen sind. Weiterhin haben die Umsetzer- und Ausgangsschaltungen 27, 28 jeweils zwei nicht näher bezeichnete Eingänge für die von den Gassensoren ausgegebenen analogen Signale. Die Ausgänge der Umsetzer- und Anpassungsschaltungen 27, 28 sind mit einem Eingang 29 der Logikschaltung 26 und einen Eingang eines Prozessors 30 verbunden, der vorzugsweise ein P ist. Es kann sich bei diesem Eingang des Prozessors um einen analogen Eingang mit nachgeschaltetem A/D-Umsetzer handeln. Dagegen ist der Eingang 29 der Logikschaltung 26 für ein Schwellwertfassung ausgebildet, d. h. die Ausgangssignale der Umsetzer- und Anpassungsschaltungen 27, 28 werden von der Logikschaltung 26 erst ab einer gewissen Höhe weiterverarbeitet. Die Umsetzer- und Anpassungsschaltungen 27, 28, die Logikschaltung 26 und der Prozessor 30 sind mit ihren entsprechenden Anschlüssen auf der Leiterplatte 14 zu externen Bauteilen und den Leiterbahnen zwischen den Anschlüssen und den Eingängen dieser Bauteile im Abschnitt 24 angeordnet. Die Logikschaltung 26 hat weitere Eingänge, die symbolisch mit der Ziffer 31 bezeichnet sind. An diese Eingänge 31 sind Schaltkontakte, z. B. ein Schaltkontakt 51, angeschlossen. Mit diesen Schaltkontakten wird der Schließzustand von Vorrichtungen im bzw. am Fahrzeug überwacht. Beispielsweise ist der Schaltkontakt 51, der vom Bordnetz 21 mit Spannung versorgt wird, für die Überwachung eines Deckels für den Kofferraum des Fahrzeugs vorgesehen. Weitere Eingänge der Logikschaltung 26, die in der Zeichnung zusammen mit der Ziffer 32 bezeichnet sind, sind insbesondere an Sensoren von AIRBAGS und anderen Sensoren, die Zusammenstöße des Fahrzeugs erfassen und melden, angeschlossen. Ein solcher Sensor ist in der Zeichnung dargestellt und mit 34 bezeichnet. Ein weiterer Eingang 33 der Logikschaltung 26 ist mit einem Not-Ausschalter 35 verbunden. Mindestens ein Eingang 36 der Logikschaltung 26 ist mit einem entsprechenden Ausgang des Prozessors 30 verbunden.

Der Prozessor 30 hat nicht näher bezeichnete Eingänge, die mit einen Bus verbunden sind, an den auch andere Teilnehmer ein Fahrzeug angeschlossen sind. Es handelt sich bei dem Bus vor­ zugsweise um den an sich bekannten CAN-Bus. Eine serielle Schnittstelle 37 des Prozessors 30 ist an entsprechende Über­ tragungsgeräte anschließbar. Weiterhin ist am Prozessor 30 ein nicht näher bezeichneter BOOT-Eingang vorhanden. Bezugspoten­ tial für die auf dem Abschnitt 24 angeordneten Bauelemente ist Massenpotential des Fahrzeugs.

Auf dem Abschnitt 25 ist ein Stromwandler 38 vorhanden, der als Durchsteckwandler ausgebildet ist, durch den und durch eine mit der Kernöffnung korrespondierende Öffnung der Leiter­ platte 13 der Stromleiter 6 berührungslos hindurchgeführt ist. Der Stromwandler 38 ist Teil eines Stromsensors 39, der nach dem an sich bekannten Kompensationsprinzip den Brennstoffzellenstrom mißt. Der Stromsensor 39 ist z. B. über einen nicht dargestellten Multiplexer mit einem A/D-Umsetzer verbunden. Weiterhin hat der Stromsensor 39 am Ausgang einen Optokoppler 41, dessen Ausgang einerseits mit einem Eingang des Prozessors 30 und andererseits mit einem Eingang der Logikschaltung 26 verbunden ist. Der A/D-Umsetzer 40 ist mit einem Eingang z. B. über den Multiplexer und eine nicht dargestellte Leitung mit dem Ausgang 2 verbunden.

Im Abschnitt 25 befindet sich eine Einrichtung 42 zur Messung der Isolationswiderstands zwischen dem elektrisch isolierten Netz und der Masse des Fahrzeugs. Der Isolationswiderstand ist in der Zeichnung gestrichelt dargestellt und mit 43 bezeichnet. Bezugspotential für die im Abschnitt 25 angeordneten Bauelemente ist das Potential des negativen Ausgangs 3 der Brennstoffzelle. Der Isolationswiderstand 43 wird mit einem Impulsverfahren gemessen. Die Einrichtung 43 enthält einen Meßwiderstand 44, dessen Wert vorgegeben ist. Über einen Schalter 45 werden abwechselnd positive und negative Impulse dem Meßwiderstand 44 zugeführt. Die positive und negative Spannung wir vom Netzteil 23 erzeugt. Der Meßwi­ derstand 44 ist mit dem Bezugsspannungsanschluß der Brennstoffzelle verbunden. Es findet aufgrund der Spannungsimpulse ein Stromfluß vom Meßwiderstand 44 zum Fahrzeugchassis über den Isolationswiderstand 43 zurück zum Bezugspunkt der Brennstoffzellenspannung statt, wodurch ein Spannungsabfall am Meßwiderstand 44 entsteht. Die am Meßwiderstand 44 auftretende Spannung wird über einem Hochpaß, der die Brennstoffzellen-Gleichspannung abblockt und einen Tiefpaß, der hochfrequente Störungen ausblendet, über einen Spannungsteiler 46 dem A/D-Umsetzer 40 zugeführt. Hoch- und Tiefpaß sind in der Zeichnung mit der Bezugsziffer 47 bezeichnet. Die Ausgänge des A/D-Umsetzers 40 sind über Optokoppler 48 mit Eingängen des Prozessor 30 verbunden.

Bei der Isolationsmessung übernimmt der Prozessor 30 eine Reihe von Meßwerten der Spannung am Meßwiderstand 44 erst nach einer bestimmten Wartezeit, die auf die Einschwingzeit des Meßsystems abgestimmt ist, mittelt diese, um niederfrequente Störungen zu minimieren, und berechnet anschließend den Isolationswiderstand. Im Betrieb des Fahrzeugs, wenn über die Vorladung die Spannung am Ausgang des Netzteils 23 verfügbar ist, wird ständig der Isolationswiderstand des ungeordneten Netzes der Brennstoffzelle 1 gemessen. Bei unzulässigen Isolationsverschlechterungen veranlaßt der Prozessor 30 über die Logikschaltung 26 das Öffnen der Schaltkontakte 4, 5 des Trennschalters, der als Leistungsschalter ausgebildet ist.

Auf dem Stromwandler 35 befindet sich eine Zusatzwicklung 49, in die von einer Stromquelle 50 ein definierter Strom einge­ speist wird, um die Funktionsfähigkeit des Stromwandlers und des Optokopplers 40 einschließlich der Leiterbahnen bis zum Prozessor 30 zu überprüfen.

Der Prozessor 26 führt einen automatisch Offsetabgleich für die analog gemessenen Werte wie Brennstoffzellenspannung, Brennstoffzellenstrom und Isolationswiderstand durch und über­ wacht diese Werte durch Vergleich mit vorgebbaren Werten. Wei­ terhin gibt der Prozessor 30 diese Werte auf den Bus aus, so daß sie für andere Busteilnehmer im Fahrzeug verfügbar sind. Bei Über- bzw. Unterschreitung kritischer Werte gibt der Prozessor 30 eine entsprechende Meldung an die Logikschaltung 26 ab.

Die Logikschaltung 26 hat hardwaremäßig realisierte logische Funktionen kombinatorischer und sequentieller Art und gegebe­ nenfalls Speicherfunktionen, wodurch eine schnelle Verarbei­ tung der Eingangssignale sichergestellt wird. Dies bedeutet, daß bei kritischen Situation im und am Fahrzeug bzw. Gefahren für die Fahrzeuginsassen, die von den Gassensoren, dem Schalt­ kontakt 51, den Sensoren 34 und dem Not-Aus-Schalter 35 gemel­ det werden, von der Logikschaltung 26 die entsprechenden Meldungen sehr schnell verarbeitet bzw. weitergeleitet werden und über die Economizer 11, 12 das Öffnen der Schaltkontakte 4, 5 hervorrufen. Das Hochvoltnetz mit den daran angeschlossenen Verbrauchern wird daher spannungslos, so daß von daher keine Gefahr mehr in Bezug auf eine gefährliche Spannung ausgehen kann.

Nach der Betätigung des Schlüsselschalters 17 wird zuerst der­ jenige Teil der Bauteile auf der Niedervoltseite der Baugruppe 14 mit Betriebsspannung versorgt, der nicht an den Betriebs­ spannungsanschluß der Leiterbahn 22 gelegt ist. Erst wenn durch den Prozessor 30 festgestellt worden ist, daß die Be­ triebsspannung des Bordnetzes 21 ihre zulässige Höhe aufweist, wird das Relais 19 angesteuert, so daß der Kontakt 20 geschlossen wird. Danach nehmen die Bauelemente auf der Hoch­ voltseite ihren Betrieb auf, wodurch z. B. die einwandfreie Arbeitsweise des Stromsensors und der Isolationswiderstand und die Brennstoffzellenspannung gemessen wird. Erst wenn der Isolationswiderstand 43 einen zulässigen Wert hat, der Stromsensor 39 einwandfrei arbeitet und die Brennstoffzellenspannung ihren zulässigen Wert erreicht hat, gibt der Prozessor 30 an die Logikschaltung 26 ein Signal zum Einschalten der Schaltkontakte 4, 5.

Die Feststellung eines Kurzschlußstroms im Brennstoffzellen­ netz wird dem Prozessor 30 gemeldet und bewirkt über den Ein­ gang 36 der Logikschaltung die sofortige Auslösung, d. h. Öff­ nung, dar Schaltkontakte 4, 5.

Durch die vorstehend beschriebenen Überwachungsmaßnahmen und die Trennung der Baugruppe 14 in einen Niedervolt-Abschnitt 24 und einen Hochvolt-Abschnitt 25 wird bereits ein hohes Maß an Sicherheit erreicht. Die Einrichtung 42 zur Messung des Isolationswiderstands wird vom Prozessor 30 aus über eine nicht näher dargestellte Optokoppler-Schnittstelle angestoßen bzw. gesteuert. Dies trifft auch auf den A/D-Umsetzer 40 und den Stromsensor 38 zu.

Um ein möglichst großes Maß an Sicherheit zu erreichen sind noch folgende Maßnahmen vorgesehen:
Der Prozessor 30 wird zusammen mit der Software von einem Watchdogbaustein überwacht. Das heißt, ein Defekt des Prozes­ sorbausteins bzw. ein Absturz der Software führt zum Abschal­ ten der beiden Trennschalter bzw. Schaltkontakte 4, 5.

Die korrekte Arbeitsweise des CAN-Bus Anschlusses wird ständig geprüft und Fehler werden erkannt und gemeldet bzw. bewirken eine Öffnung der Schaltkontakte 4, 5.

Versorgungsspannungen der Elektronik werden eingelesen und auf ihre festgelegten Grenzen hin überwacht, um zu verhindern, daß die Schaltkontakte 4, 5 beim Starten des Fahrzeugs geschlossen werden oder während des Betriebs des Fahrzeugs eine Störung durch zu niedrige Bordnetzspannung hervorgerufen wird. Je nach der Höhe der Abweichung vom festgelegten Grenzwert können verschiedene Maßnahmen wie Meldung und/oder Stillegung von Aggregaten des Fahrzeugs oder Abschaltung der Schaltkontakte 4, 5 durchgeführt werden.

Alle Ein- und Ausgänge der Baugruppe 14 sind kurzschlußfest gegenüber Fahrzeugmasse und der 12 V Kfz-Spannung und lassen sich bei Kurzschlüssen als Fehler detektieren, die gemeldet werden bzw. zusätzlich zur Meldung bei solchen Kurzschlüssen, durch die die Sicherheit des Betriebs und des Fahrzeugs in un­ zulässiger Weise beeinträchtigt wird, zu Öffnung der Schalt­ kontakte 4, 5 führen.

Die Brennstoffzellenspannung wird durch Festlegen von Unter- und Obergrenzen auf Fehler hin überwacht. Ebenso werden bei der Isolationswiderstandsüberwachung Schwellen für einen zu kleinen Isolationswiderstand festgelegt mit entsprechender Alarmbehandlung und einer Schwelle für einen zu großen Isolationswiderstand, ab der auf Unterbrechung erkannt wird. Da die Meßzeit für die Isolationsmessung relativ lang ist, wird für jeden neuen Startvorgang (Einschalten der Versorgungsspannung) eine Schnellmessung vorgesehen, jedoch mit etwas verminderter Genauigkeit. Bei der Überwachung des Brennstoffzellenstromes werden die höchsten Sicherheitsvorkehrungen getroffen. Die Unter- und Obergrenzen des Stromes werden zunächst mittels Software überwacht. Beim Überschreiten der Obergrenze (Kurzschluß) wird redundant eine schnelle Hardwareabschaltung der beiden Schaltkontakte 4, 5 vorgenommen. Damit auch ein Schaltungsdefekt der Strommessung erkannt werden kann, wird über eine zusätzliche Prüfwicklung des Stromsensors ein Prüfstrom eingespeist und kontinuierlich überwacht.

Auch für die Überwachung der Wasserstoffkonzentration wird eine redundante Hardwareschaltung zur Softwareüberwachung ver­ wendet.

Mit der erfindungsgemäßen Steuer- und Auswerteinheit auf der kompakten Baugruppe 14 läßt sich auf wirtschaftliche und schere Weise eine Überwachung der Brennstoffzelle des Brennstoffzellennetzes und des Isolationswiderstands dieses Netzes erreichen. Im Falle einer Gefährdung wird die Verbindung zwischen Brennstoffzelle und Netz geöffnet. Die Baugruppe 14 kann vor Einbau in ein Fahrzeug geprüft werden, so daß eine zeitaufwendige Prüfung nach dem Einbau entfallen kann.

Claims (19)

1. Verfahren zum Steuern und zur Einstellung des Schaltzu­ stands einer Schaltverbindung zwischen den elektrischen Ausgängen einer in einer mobilen Vorrichtung angeordneten Brennstoffzelle und einem in der mobilen Vorrichtung ange­ ordneten, isolierten, elektrischem Netz, an das von der Brennstoffzelle mit Energie versorgte Verbraucher ange­ schlossen sind, wobei in der mobilen Vorrichtung ein wei­ teres Netz vorgesehen ist, das eine geringere Spannung als das an die Brennstoffzelle anschließbare Netz aufweist so­ wie eine Speicherbatterie enthält, dadurch gekennzeichnet, daß von in oder an der mobilen Vorrichtung angeordneten Sensoren Vorrichtungszustände gemeldet werden, bei denen die Versorgung des elektrisch isolierten Netzes mit Energie aus Sicherheitsgründen ausgeschlossen oder ausgesetzt werden muß, daß mit einer aus dem weiteren Netz versorgten Steuer- und Auswerteinheit die Sensoren überwacht werden, daß die Schaltverbindung an den Ausgängen der Brennstoffzelle von Arbeitskontakten mindestens eines Trennschalters gebildet wird, dem die Energie zum Schließen der Arbeitskontakte beim Starten der Brennstoffzelle nach dem Erreichen der Betriebsbereitschaft der Brennstoffzelle durch die Steuer- und Auswerteinheit aus dem weiteren Netz freigegeben wird, und daß bei Erfassung einer Meldung aus wenigstens einem Sensor, die sich auf eine aus Sicherheitsgründen unzulässige Schließstellung der Arbeitskontakte bezieht, von der Steuer- und Auswerteinheit die Energiezufuhr zum Trennschalter blockiert bzw. unterbrochen wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß das Austreten von Wasserstoff aus den wasserstofferzeugenden bzw. wasserstoffspeichernden Einheiten durch Gassensoren, der Laststrom der Brennstoffzelle auf Über- oder Unterschreiten von Grenzwerten durch einen der Brennstoff­ zelle nachgeschalteten Sensor, der Aufprall der mobilen Vorrichtung auf ein Hindernis durch wenigstens einen Crash-Sensor, der Isolationswiderstand des elektrisch iso­ lierten Netzes gegen die Masse der mobilen Vorrichtung, die Ausgangsspannung der Brennstoffzelle auf Über- oder Unterschreiten von Grenzwerten, der Schließzustand von Türen und Deckeln durch Schalter und die Versorgungsspan­ nung des weiteren Netzes auf Über- und Unterschreiten von Grenzwerten überwacht und auf aus Sicherheitsgründen not­ wendiges Öffnen der Arbeitskontakte des Trennschalters überprüft werden.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß der Isolationswiderstand zwischen dem elektrisch iso­ lierten Netz und der Masse der mobilen Vorrichtung durch ein Impulsmeßverfahren bestimmt wird, mit dem positive und negative Impulse abwechselnd über einen Meßwiderstand vor­ gegebener Größe auf die Masse gegeben werden, und daß die Impulse einen über die Isolationswiderstände zu einem Bezugspunkt im Netz fließenden Strom hervorrufen, dar durch einen Spannungsabfall am Meßwiderstand gemessen wird.

4. Verfahren nach wenigstens einem der vorhergehenden Ansprü­ che, dadurch gekennzeichnet, daß ein Stromsensor durch Einspeisung eines Prüfstroms in eine zusätzliche Wicklung eines Stromwandlers überwacht wird.

5. Anordnung zum Steuern und zur Einstellung der Schaltzu­ stände einer Schaltverbindung zwischen den elektrischen Ausgängen einer in einer mobilen Vorrichtung angeordneten Brennstoffzelle und einem in der mobilen Vorrichtung ange­ ordneten isolierten elektrischen Netz, an das von der Brennstoffzelle mit Energie versorgte Verbraucher ange­ schlossen sind, wobei in der mobilen Vorrichtung ein wei­ teres Netz vorgesehen ist, das eine geringere Spannung als das an die Brennstoffzelle anschließbare Netz aufweist und eine Speicherbatterie enthält, dadurch gekennzeichnet, daß eine Steuer- und Auswerteinheit eine Baugruppe (14), einen an einen internen Bus der mobilen Vorrichtung angeschlossenen Prozessor (30), eine Logikschaltung (26) mit hardwaremäßig ausgebildeten logischen Funktionen, einen mit dem Prozessor (30) galvanisch getrennt verbundenen A/D-Umsetzer (40) zur Umsetzung des analog gemessenen Brennstoffzellensystems, der analog gemessenen Brennstoffzellenspannung und der analogen Spannung eines Meßwiderstands für die Isolationsüberprüfung, ein vom weiteren Netz gespeistes Netzteil (23) mit galvanischer Trennung für die Versorgung des A/D-Umsetzer (40) mit Betriebsspannung, zwei an den Ausgang der Logikschaltung (26) angeschlossene Steuerbausteine (11, 12) und an den Prozessor (30) und die Logikschaltung angeschlossene Umsetzer (27, 28) für die Spannungsversorgung von Gassensoren und die Anpassung der von den Gassensoren ausgegebenen Signale an die Pegel der Logikschaltung (26) und des Prozessors (30) aufweist, daß der Logikbaustein (26) und der Prozessor (30), die Umsetzer (27, 28) und die Steuerbausteine (11, 12) mit Betriebsspannung vom weiteren Netz versorgt werden, daß wenigstens ein Ausgang des Prozessors (30) mit einem Eingang der Logikschaltung verbunden ist, die mit Sensoren für die Erzeugung von Meldesignalen von Zuständen der mobilen Vorrichtung oder deren Teile verbunden ist, und daß durch die Logikschaltung (26) die Freigabe von Ausgangssignalen der Steuer- und Treibersteine (11, 12) steuerbar ist, an die jeweils eine Spule eines Trennschalters angeschlossen ist, von dem ein Arbeitskontakt (4, 5) zwischen einen elektrischen Ausgang (2, 3) der Brennstoffzelle und dem elektrisch isolierten Netz angeordnet ist.

6. Anordnung nach Anspruch 5, dadurch gekennzeichnet, daß mit dem Ausgang der Logikschaltung (26) zwei, vom weiteren Netz mit Betriebsspannung versorgte Treiberbausteine (15, 18) auf der Baugruppe (14) verbunden sind, von denen einer an die Spule eines Systemrelais (16) und einer an die Spule eines Relais (19) einer Vorladeschaltung angeschlos­ sen ist.

7. Vorrichtung nach Anspruch 5 oder 6, dadurch gekennzeich­ net, daß die Baugruppe (14) eine Leiterplatte (13) mit einem ersten Abschnitt (24) auf, der die von dem weiteren Netz (21) mit Betriebsspannung direkt versorgten Bauele­ mente wie Logikschaltung (26), Prozessor (30), Umsetzer (27, 28) und Steuer- und Treiberbausteine mit zugehörigen Leiterbahnen und die Anschlüsse zu den Spulen der Trenn­ schalter sowie Anschlüsse von mit dem weiteren Netz (21) verbundener Sensoren, von Busleitern und von einer Masseverbindung trägt und der von einem zweiten Abschnitt (25) der Leiterplatte (13) getrennt ist, der von der Spannung der Brennstoffzelle des Netzes der Brennstoffzelle (1) beaufschlagte Bauelemente wie einem Stromsensor (39), einen Spannungsteiler für die Spannungsmessung an der Ausgängen (2, 3) der Brennstoffzelle, einen A/D-Umsetzer (40) für die Umwandlung von analogen Strom- und Spannungsmeßwerten so­ wie eine Einrichtung (42) für die Isolationsmessung trägt.

8. Vorrichtung nach zumindest einem der Ansprüche 5 bis 7, dadurch gekennzeichnet, daß die Minusseite der Brennstoff­ zellenspannung Bezugspotential für von der Spannung der Brennstoffzelle beaufschlagte Bauteile auf der Baugruppe (14) ist und an einen Anschluß des zweiten Abschnitts(25) der Leiterplatte (14) gelegt ist.

9. Vorrichtung nach zumindest einer der Ansprüche 5 bis 8, dadurch gekennzeichnet, daß der Stromsensor (39) einen Stromwandler (38) mit einem berührungslos durch die Lei­ terplatte (13) und einen auf dieser angeordneten Strom­ wandlerkern hindurchgeführten Leiter aufweist.

10. Vorrichtung nach zumindest einem der Ansprüche 5 bis 9, dadurch gekennzeichnet, daß für die Messung des Isolati­ onswiderstands des isolierten elektrischen Netzes gegen­ über der Masse der mobilen Einrichtung ein auf der Leiter­ platte (13) im zweiten Abschnitt (25) angeordneter Meßwi­ derstand (44) vorgesehen ist, der von positiven und nega­ tiven Spannungsimpulsen beaufschlagbar ist, und daß der Meßwiderstand über ein Hochpaß und einen Tiefpaß mit dem A/D-Umsetzer (40) verbunden ist.

11. Vorrichtung nach zumindest einem der Ansprüche 5 bis 10, dadurch gekennzeichnet, daß der Prozessor (30) und die Software im Prozessor (30) mit einem Watchdog-Baustein überwacht wird, der bei Feststellung eines Fehlers eine Meldung erzeugt und/oder die Abschaltung der Arbeitskon­ takte über die Logikschaltung (26) steuert.

12. Vorrichtung nach zumindest einem der Ansprüche 5, bis 11, dadurch gekennzeichnet, daß die Versorgungsspannung des weiteren Netzes (21) durch eine entsprechende Eingabe im Prozessor (30) auf vorgegebene Grenzwerte hin überwacht wird, bei deren Über- oder Unterschreitung eine Meldung und/oder Öffnung der Arbeitskontakte (4, 5) erfolgt.

13. Vorrichtung nach zumindest einem der Ansprüche 5 bis 12, dadurch gekennzeichnet, daß die Ein- und Ausgänge der auf der Leiterplatte (13) angeordneten Bauteile wie Logik­ schaltung (26), Prozessor, Treiberstufen (15, 18), Steuer­ schaltungen (11, 12) und Umsetzer (27, 28) kurzschlußfest ausgebildet sind.

14. Vorrichtung nach zumindest einem der Ansprüche 5 bis 13, dadurch gekennzeichnet, daß die Funktionsweise des Busses vom Prozessor periodisch überprüft wird.

15. Vorrichtung nach zumindest einem der Ansprüche 5, bis 14, dadurch gekennzeichnet, daß der Brennstoffzellenstrom auf Über- und Unterschreiten vorgegebener Grenzwerte mit dem Prozessor (30) überwacht wird, bei deren Über- und Unter­ schreitung eine Meldung und/oder eine Öffnung der Arbeits­ kontakte (4, 5) erfolgt.

16. Vorrichtung nach zumindest einem der Ansprüche 5 bis 15, dadurch gekennzeichnet, daß die Brennstoffzellenspannung auf Über- und Unterschreitung von vorgegebenen Grenzwerten mit dem Prozessor (30) überwacht wird, bei deren Über- oder Unterschreitung eine Meldung und/oder eine Öffnung der Arbeitskontakte (4, 5) erfolgt.

17. Vorrichtung nach zumindest einem der Ansprüche 5 bis 16, dadurch gekennzeichnet, daß der Isolationswiderstand auf Unterschreitung einer Grenze mittels des Prozessors (30) überwacht wird, bei deren Unterschreitung eine Öffnung der Arbeitskontakte (4, 5) erfolgt.

18. Vorrichtung nach zumindest einem der Ansprüche 5 bis 17, dadurch gekennzeichnet, daß mit Software im Prozessor (30) ein Nullpunkt- und Verstärkungsabgleich für die Meßwerte von Strom, Spannung und Isolationswiderstand erfolgt.

19. Vorrichtung nach zumindest einem der Ansprüche 5 bis 18, dadurch gekennzeichnet, daß die Schaltzustände der Trenn­ schalter und Relais (16, 19) durch Hilfskontakte, die an den Prozessor (30) angeschlossen sind, überwachbar sind.