JP2019533416A - 車載電源システムを動作させる方法 - Google Patents

Abstract

本発明は、自動車の車載電源システム（２５）を動作させる方法に関し、当該車載電源システム（２５）は、複数の要素（２８，３０，３２）を含み、全部の要素（２８，３０，３２）の物理的動作量の値から、車載電源システム（２５）の全部の要素（２８，３０，３２）に対する第１の状態分析として、実際状態の診断が行われ、各々の要素（２８，３０，３２）の物理的動作量の値から、各々の要素（２８，３０，３２）に対する少なくとも１つの第２の状態分析として、実際状態の診断のみが行われ、各々の要素（２８，３０，３２）に対する少なくとも１つの第２の状態分析は、全部の要素（２８，３０，３２）に対する第１の状態分析によって妥当性検査される。

Description

本発明は、自動車の車載電源システムを動作させる方法及び装置に関する。

従来技術
自動車の車載電源システムは、電気負荷にエネルギを供給するというタスクを有している。エネルギ供給が車載電源システムの少なくとも１つの要素のエラー又は経時劣化のために故障すると、例えばパワーステアリングなどの重要な機能が消失する。自動車の操舵性能は損なわれるのでなく鈍重化するだけであるので、車載電源システムの故障は、今のところ、大量生産される自動車においては一般に容認されている。

各アセンブリの電力化及び新たな運転機能の導入が増大していることから、自動車における電力供給の安全性及び確実性に高い要求が課されるようになっている。

例えばアウトバーンパイロットなどの将来の高度自動運転機能においては、運転者には、限定された範囲において運転から離脱した活動が許容され得る。その結果、高度自動運転機能の終了まで、制限された範囲のみではあるが、人間の運転者を、センサ的、制御技術的、機械的かつエネルギ的なフォールバックレベルと認め得る状態となる。よって、高度自動運転における電力供給は、センサ的、制御技術的、及び、駆動機構的なフォールバックレベルを保証するために、自動車においてはこれまで知られていなかった安全適合性を有する。従って、車載電源システムにおけるエラー又は経時劣化は、製品安全性の意味において確実かつ可能な限り完全に識別されなければならない。ここでは、完全自動運転又は自律走行において運転者が上述したフォールバックレベルとして完全に省略されることを考慮すべきである。

２系統の車載電源システムは、特に、刊行物である国際公開第２０１５／１３５７２９号（ＷＯ２０１５／１３５７２９Ａ１）又は刊行物である独国特許出願公開第１０２０１１０１１８００号明細書（ＤＥ１０２０１１０１１８００Ａ１）に記載されている。

車載部分電源網内の各要素の故障を予測することができるようにするため、自動車の車載電源システムの各要素の技術的確実性を監視するアプローチが設けられている。ここで、各要素を動作中に監視してその障害を特定することが、刊行物である独国特許出願公開第１０２０１３２０３６６１号明細書（ＤＥ１０２０１３２０３６６１Ａ１）に記載されている。

自動車の車載電源システムを監視する監視装置は、刊行物である独国特許出願公開第１０２０１３２０１０６０号明細書（ＤＥ１０２０１３２０１０６０Ａ１）から公知である。当該車載電源システムは、直流電圧変換器を介して相互に接続された車載高電圧電源網及び車載低電圧電源網を有しており、ここで、車載低電圧電源網には、安全性に関して限界的な複数の負荷が接続されている。監視装置は、監視制御装置を有し、安全性に関して限界的な負荷の全てに対するさらなる要素として、負荷の電気動作パラメータの値を検出する対応のセンサを含む。ここで、監視制御装置は、電気動作パラメータの検出値を考慮して少なくとも１つの負荷を監視するように構成されている。

国際公開第２０１５／１３５７２９号 独国特許出願公開第１０２０１１０１１８００号明細書 独国特許出願公開第１０２０１３２０３６６１号明細書 独国特許出願公開第１０２０１３２０１０６０号明細書

発明の開示
こうした背景に対し、独立請求項の特徴を有する方法及び装置を提案する。本方法及び本装置の各構成は、説明及び各従属請求項から得られる。

本方法の実行時には、自動車の車載電源システムに対して当該車載電源システムの全部の要素のための監視ユニットが使用され、当該監視ユニットにより、全部の要素が、実際状態及び可能な未来状態に関し、例えば損耗及び／又は経時劣化を考慮して予防的に監視される。未来状態の予測は、この２つの相、即ち、損耗と経時劣化とを基礎とすることができる。ただし、代替的に又は補完的に、他の相も考慮することが可能である。ここで、提案の装置の要素としての監視ユニットにより、パワーネットコンディションマネジメント（ＰＣＭ）又はその時点の状態の監視と、車載電源システムのシステムレベルと要素ごとの要素レベルとで車載電源システムの状態を監視する、車載電源システムの要素の損耗の予測とが実行される。この場合、こうした監視ユニットは、システムレベルに対して設けられている。全ての個々の要素に対する要素レベルにおける予測、及び、車載電源システム全体に対するシステムレベルにおける予測の実行が可能である。ここで、要素レベルにおける予測をシステムレベルにおける予測によって妥当性検査することができる。

監視ユニットは、モジュールとして診断モジュール及び予測モジュールを含む。診断モジュールにより、各要素に対しても、可能な状態分析として実際状態の診断を実行することができる。さらに、車載電源システム全体に対し、通常のように車載電源システムの全部の要素を包括的に考慮して、可能な状態分析として実際状態ひいてはその時点の状態の診断を実行することができる。予測モジュールによれば、各要素に対し、可能な状態分析として未来状態の予測を実行することができる。また、車載電源システム全体に対しても、通常のように車載電源システムの全部の要素を包括的に考慮して、可能な状態分析として未来状態の予測を実行することができる。

当該監視ユニットにより、少なくとも１つの要素及び／又は少なくとも１つの車載電源系統及び／又は車載電源システム全体に対する少なくとも１つの診断及び／又は予測を考慮して、通常は、運転機能、例えば自動運転機能の使用許可を許容可能であるか又は禁止すべきかが自動で判別される。このために、車載電源システムの各要素を連関的かつ包括的に監視する監視ユニットが設けられており、当該監視ユニットにより、少なくとも１つの物理的動作量に依存するエネルギ供給の全体状態が、車載電源システムを通して、判別される。なぜなら、車載電源システムの個々の要素は、車載電源システム全体に関する情報が欠如しているために、通常は、エネルギ供給の全体状態を判別することができないからである。通常、運転機能は、車載電源システムの少なくとも１つの要素により支援される。

本方法の実行時には、車載電源システムの個々の要素が、通常は少なくとも１つの物理的動作量、例えば電流、電圧又は温度のその時点の値を監視ユニットへ伝送する。少なくとも１つの動作量の値に基づいて、個々の要素の診断と車載電源システム全体の診断との結合により、車載電源システムのその時点の状態が監視され、ここで、システムレベルにおける車載電源システムの診断が、要素レベルにおける個々の要素の診断の妥当性検査に用いられる。さらに、監視ユニットにより、車載電源システム全体の確実性及び車載電源システムの個々の要素の確実性の分析を実行することができる。ここでは、車載電源システムの限界的状態が、車載電源システムの接続形態、故障原因、及び／又は、例えば自動車のその都度の運転モードの実行のために設定される動作モードに依存して、予測される。この場合、少なくとも１つの動作量の値は、リアルタイムで検出及び監視され、これにより、少なくとも１つの要素への負荷が、状態監視及び確実性監視に基づいて特定される。さらに、個々の要素の状態分析の値が、例えば故障確率も含めて、監視ユニットへ伝送され、車載電源システム全体の状態分析に用いられる。

本方法及び本装置により、自動車の車載電源システムの状態を監視し、ここで、予測及び／又は診断を行うことができる。

本装置により、自動車の全ての関連要素の状態を全体として監視することができる（ステータスモニタリング）。この場合、本装置は、製品安全性の観点から、安全性に関して限界的な新たな用途に適しており、この用途には、例えば自動運転が該当する。ここで特には、通常、自動車の車載電源システムのエラー状態の原因となり、かつ、新たな適用領域のコンテクストにおいて安全性に関連する損耗故障を、各要素のエラーとして予防的に識別することができる。また、こうしたエラーを除去するための対抗措置を導入することができる。このことは、特に、この種の要素の経時劣化の進行又は経時劣化メカニズムの進行に関する。経時劣化がその都度どの程度限界的であるかを判別するために、アルゴリズムにより、車載電源システム全体及び／又は自動車における当該要素の意義が考慮される。

車載電源システムの少なくとも１つの要素の監視によって送出される結果に依存して、一構成においては、例えば自動運転機能の使用許可についての判別が支援される。ここでは、車載電源システムのうち、少なくともこうした運転機能にとって重要な少なくとも１つの要素の経時劣化効果が考慮される。こうした要素の可能状態としての経時劣化に応じて、運転機能の使用許可が禁止可能及び／又は停止可能となる。運転機能がその時点で実行されており、少なくとも１つの要素の安全性に関連する状態が検出されると、当該運転機能を終了し離脱しなければならないことを指示することができる。これはまた、例えば、自動車の自動運転機能を実行するための自動車の動作モードとしての、及び／又は、自動車の自動運転機能としてのセーリングに該当し、これにより、自動車の安全性に関する限界的状態を回避することができる。

一構成においては、車載電源システムの少なくとも１つの要素の大幅な経時劣化をもたらす運転条件を回避可能な予防運転ストラテジが適用され、これにより、車載電源システムの確実性が増大される。

本方法は、例えば規則的なメンテナンスインターバルにおいて実行可能な少なくとも１つの要素に対する少なくとも１つの予防的メンテナンス措置の実行も含み、これにより、少なくとも１つの要素の利用可能性が高められる。車載電源システムの限界的状態が切迫する前、通常は運転機能の実行時の、例えば自動運転モードにおける早期の警告により、運転者にとってより容易に制御可能な、手動運転モードの運転機能への移行及び／又は自動車コントロールの引き継ぎを行うことができる。

本方法の範囲においては、同様に、自動車を、車載電源システムの要素の故障時にも、自動的に運転者の介入なく自動運転モードから安全状態へ移行させ、これにより、強制的な安全措置を実行することができる。このことも、車載電源システム用の監視ユニットにより、車載電源システムの少なくとも１つの要素の例えば損耗に基づく、高い重要度を有する限界的状態が自動車に対して予測される場合に、運転機能の使用許可を禁止する措置に該当する。よって、限界的状態に陥る前の早期の警告が可能であり、フォールバックストラテジの導入に際して時間利得が得られる。

生起直前の故障及び／又は始まりかけている故障を限界的状態として早期に識別することにより、非自動の手動運転モードで自動車の確実性及び安全性を高めることができ、これによって、例えばアウトバーンにおける車線上の立ち往生を回避することもできる。

本方法により、将来の自動運転モード及び自律走行モードの実行、ひいては自動車の相応の運転機能をコントロール及び／又は支援することができ、ここで、こうした運転モードにおいても、運転者をもはや、センサ的、制御技術的、機械的及びエネルギ的なフォールバックレベルとして利用可能とする又はその状態に置く必要がなくなる。なぜなら、このようにすれば、自動車が運転者の機能、例えば環境識別、軌道計画、並びに、例えばステアリング及びブレーキも含めた軌道進入を担当するからである。

この場合、一構成においては、車載電源システムが欠陥のない状態にあるか及び近い未来に当該状態を有するかが監視される。これは、自動運転機能及び／又は自律走行機能に必要な要素全てが正常であって必要なエネルギ供給が保証されていることを監視ユニットが裏づけた場合にのみ、当該機能が運転者又はユーザに利用可能となることを意味する。各要素へのエネルギ供給の可能な故障については監視ユニットが予測可能であり、自動運転機能が環境識別、軌道計画及び軌道進入にもはや利用不可能となって当該自動運転機能がコントロール不能となる前に、対抗措置を導入することもできる。監視ユニットを利用することにより、製品安全性の観点から自動車の車載電源システムへ課される極めて高い要求を保証することができる。

一構成においては、監視ユニットにより、車載電源システムの各要素の負荷及び／又は負荷耐性が特定され、この場合、動作中の負荷がリアルタイムで特定される。要素に対する負荷耐性モデルは、予め、例えば試行により、所定の基本条件について特定される。負荷は、負荷耐性の基本条件に換算される。負荷と負荷耐性とを対照させることにより、その時点の故障確率に関する記述と故障の予測とを行うことができ、当該予測が許容可能な最大故障確率と比較される。負荷耐性モデルは、通常、要素に依存して、監視ユニット（ＰＣＭ）内に格納されている。動作中に少なくとも１つの要素が故障にいたることを監視ユニットによって回避する場合、同構造の要素の複数の故障を評価することで負荷耐性モデルを適応化可能及び／又は形成可能である。当該負荷耐性から、車載電源システムの未来状態を推定することができる。

また、車載電源システムの状態を監視し、結果を自動車の制御装置に伝送して、場合により安全性に関連する自動運転機能を禁止することができるようにする構成も可能である。自動運転機能の使用許可又は禁止に関しては、種々の動作モード、例えば回生又はセーリングが区別される。なぜなら、動作モードに応じてひいてはそれぞれの自動運転機能に対して、車載電源システム内に一般に複数の構造ひいては種々のストラクチャが存在しており、こうしたストラクチャの少なくとも１つを任意に冗長ストラクチャとしても構成することができるからである。セーリング時には、これは、バッテリに対する冗長手段としてのジェネレータが離脱することに該当し得る。要素ごとに例えば経時劣化及び／又は損耗が識別される場合、重要度分析又は重大性分析として、少なくとも車載電源システムに対するこれらの分析の関連性が、通常、システムレベルとしての自動車全体に対して考慮される。要素の重要度は、単系統又は複系統として構成可能であって付加的なバッテリを備えていても又は備えていなくてもよい車載電源システムの接続形態に依存している。ここで、自動車内に組み付けられる車載電源システムの接続形態は、通常、その製造後に定められる。車載電源システムのストラクチャは、車載電源システムの開発中に、場合により動作モード及び故障原因を考慮して、少なくとも１回又は１回のみ分析される。当該ストラクチャは、この場合、少なくとも１つのアルゴリズムとして監視ユニット内に格納される。ここで、種々のアルゴリズムも考慮可能であり、ストラクチャに対するそれぞれのアルゴリズムは動作モード及び／又は故障原因に依存する。自動車に応じて、そのクラス及び機能の規模に依存して、上述した方法の範囲の全てを監視可能な種々の接続形態を得ることができる。さらに、要素の重要度は自動車の動作モードにも依存し得る。

車載電源システムの状態を監視ユニットにより特定することは、車載電源システムの実際状態の分析の基礎となる入力量としての物理的動作量の値に基づく状態分析としてのシステム診断と、個々の要素を当該フィールドでの従前の動作において曝されていた負荷に基づいて車載電源システムの未来状態を予測する予測とを含み、これらから可能な負荷耐性が得られる。ここで、要素の負荷耐性に関する情報は、要素の開発から得られ、これは、使用される要素の型式、要素の配線状態及び要素の動作パラメータ、例えば放熱能力に依存する。要素の組込みは、通常、要素の負荷耐性には影響しない。要素の負荷は、自動車内におけるその使用から生じる。負荷及び負荷耐性から、少なくとも１つの要素の確実性を表す特性量、例えば要素の瞬時の故障確率と、要素の故障の予測とが特定される。本方法においては、少なくとも１つの要素を動作中にセンサによって監視し、少なくとも１つの動作量の値に基づいてその時点の実際状態を診断するように構成されている。少なくとも１つの要素の従前の全体負荷も、同様に、長時間にわたる、例えば少なくとも１つの要素の従前の動作の全体にわたって特定され収集された動作パラメータの値から特定することができる。少なくとも１つの要素のその時点の負荷は、当該動作パラメータのその時点の値から特定することができる。動作量の値は、各要素に対応づけられたセンサにより、監視ユニットへ供給される。ここで、負荷は、少なくとも１つの要素の従前の動作中に生じた少なくとも１つの物理的動作量の値に基づいて特定される。負荷に関連する動作量及び負荷耐性に関連する従前の負荷から、少なくとも１つの要素の少なくとも１つの確実性特性量、例えばその故障確率が計算される。

さらに、本方法の実行時には、車載電源システムの要素の状態を中央データベースによって補償し、場合によりそこから、車載電源システムの要素としての負荷の遮断若しくは速度低減によって電気負荷を低減することができるかどうか、又は、定められた動作モードを回避して、これにより、車載電源システムの各要素の動作を最適化することができるかどうかについての判別を行うことができる。この場合、第１の自動車の車載電源システムと他の自動車の車載電源システムの状態とを比較し、例えば車載電源システムの少なくとも１つの要素のエラー、場合により車載電源システム全体のエラーに基づいて、他車両の車載電源システムの状態との比較により当該第１の自動車の状態の偏差を識別し、これを除去可能とすることができる。よって、例えば１つの要素におけるエラーから他の要素への過大な負荷が生じ得るが、これを識別して除去することができる。

さらに、未来の要素を構成するために及び／又は実現するために考慮可能なフィールドデータを検出することができる。

本装置の一構成においては、個々の要素の物理的診断及び／又はシステム診断が監視ユニットひいては中央位置において結合される。ここではまた、本方法をソフトウェア支援によって実行することもできる。これは、監視ユニットが、少なくとも１つの計算ユニットを有し、又は、車載電源システムの要素の監視を行う計算ユニットとして構成されるからである。ここで、診断として構成された状態分析に基づいて特定された車載電源システムのその時点の実際状態は正常であり得るが、同様に実行される予測として構成された状態分析に基づいて未来の限界的状態が予測される場合、運転機能を禁止してその後の使用許可を行わない構成が可能である。

車載電源システムの要素の可能なエラー及び／又は可能な経時劣化は本方法により識別され、ここで、運転機能を実行する動作モードを終了又は阻止し、安全な動作モードへの移行を指示し、運転機能のコントロールを運転者に引き渡せるように構成することが可能である。このことは、未来の限界的状態に関する予測を考慮して、個々の要素が診断を考慮してエラー又は経時劣化がないという報告をした場合にも可能である。一構成においては、複数の要素を含み、従って、場合によっては、車載電源システム全体に対して実行される状態分析が、唯一の要素又は少数の要素に対する状態分析よりも高くランクづけされる。また、運転機能は、動作モード、故障原因及び／又は車載電源システムの接続形態に依存して、それぞれ専用に使用許可される。一構成においては、どの要素がそれぞれの運転機能を支援していて実行に必要であるかが考慮される。運転機能の使用許可に関する判別は、自動運転機能の構成においては、全ての運転機能に対して行うことができる。運転機能の１つは、例えば、手動運転におけるセーリングモードとして、及び、自動運転におけるセーリングモードとしても構成することが可能である。

複数の要素を共通に考慮する状態分析は、少数の要素を共通に考慮する状態分析の妥当性検査に用いることができる。この場合、各要素が上位の制御装置及び／又は監視ユニットに報告する状態分析の結果が、車載電源システム全体のシステム関連の観察から得られた状態分析の結果に適合するかどうかが妥当性検査される。この場合、車載電源システムは、特に、ノード規則及びマシン規則に関してシミュレート可能であり、これにより、何らかの非妥当性を識別することができる。

通常、車載電源システムは、唯一のメーカの要素又は種々のメーカの要素を含み得る。ここで、第１のメーカの要素が別のメーカの要素によって補完及び／又は置換されることがある。この場合、こうした未知の要素に対しては負荷耐性モデル及び／又は経時劣化モデルが存在せず、例えば当該要素が自動車内への組込み専用に構成されていないケースも生じ得る。ただし、さらに、当該要素を、本方法の一実施形態において、監視し、その状態を診断し、かつ、未来状態を予測することもできる。車載電源システムが種々のメーカの要素から形成されている場合、監視ユニットに、それぞれのメーカの種々の負荷耐性モデルを取り入れることができるように構成される。例えば、全ての要素において負荷耐性モデルと、負荷耐性モデルが生じる基本条件への負荷の換算に必要な情報とを記憶し、自動車における使用時に監視ユニットに自動的に読み込むことができる。負荷耐性モデルは、試行に基づいて特定することができる。通常、高度に自動化された及び／又は完全に自動化された自動車においては、負荷耐性モデルが存在する要素のみが用いられる。

中央データベースとの通信により、動作モード又は動作ストラテジのクラウドベースにおける変更を、インタネットを介したデータベースとのデータ交換により導出し、これにより、車載電源システムの故障を低減することができる。また、他のメーカの要素の負荷耐性に関する知識を、インタネットを介して求めることもできる。他のメーカの未知の要素が車載電源システム内で使用される場合、何らかの負荷耐性モデル及び／又は経時劣化モデルが監視ユニットによって読み込まれる。さらに、フィールドデータの検出により、要素の開発を改善することができる。ここで、フィールドデータを検出することにより、フィールド内で監視される多数の要素に基づいて、負荷耐性モデルを例えばディープラーニングにより改善することができる。同様に、既知の負荷耐性モデルを、要素の既知の実際の負荷を考慮して適応化可能及び／又は更新可能とすることができる。

本方法は、車載電源システムの要素の従前の負荷、要求及び／又は経時劣化並びに要素のその時点の状態に依存して、特定の運転機能の使用許可を許容する全ての自動車に対して使用することが可能である。この場合、本方法は、その車載電源システムが高い安全適合性を有する全ての自動車において使用することが可能であり、例えばセーリングモード又は回生を実行可能な自動車、及び／又は、高度自動運転モード又は完全自動運転モード又は自律走行モードを実行する自動化された自動車に該当する。自動運転機能が実行される際には、各運転モードにおいて自動車の軌道に作用する、自動車のモジュール、例えば、エンジン、駆動機構、ステアリング、ブレーキ及び／又は電気式ブレーキ倍力装置が自動的にコントロールされ、即ち、調整及び／又は制御される。提案の方法の少なくともいくつかのステップは、監視ユニット及び／又は制御装置がソフトウェア支援によって実行することが可能である。このために、実行すべきソフトウェアを既存の制御装置又は車載電源システムの既存の要素、例えば車載電源システムの各系統間のカップリングエレメントに組み込むこともできる。

本発明の別の利点及び構成は、説明及び添付図面から得られる。

上述及び下述の各特徴は、本発明の範囲を逸脱することなく、それぞれ提示した組合せにおいてのみならず、他の組合せにおいても又は単独でも使用可能であることが理解される。

本発明に係る装置の一実施形態により本発明に係る方法の一実施形態を実行可能な、自動車の車載電源システムの例を示す概略図である。 本発明に係る装置の実施形態を示す概略図である。 図２の本発明に係る装置の実施形態を用いた本発明に係る方法の実施形態を示す図である。 車載電源システムによる方法の実施形態において実現可能な１つの動作モードの詳細を示す図である。 車載電源システムによる方法の実施形態において実現可能な１つの動作モードの詳細を示す図である。 車載電源システムによる方法の実施形態において実現可能な１つの動作モードの詳細を示す図である。 車載電源システムによる方法の実施形態において実現可能な１つの動作モードの詳細を示す図である。

発明の実施形態
本発明を、各実施形態に即して略示し、以下に図面を参照しながら詳細に説明する。

各図は、連関的かつ包括的に説明されるものとし、同一の要素には同一の参照番号を付してある。

図１に略示されている、自動車用の車載電源システム２の例は、基礎電源網とも称される第１系統４と、第２系統６とを含む。２つの系統４，６は、ここでは直流電流変換器８を介して相互に接続されている。車載電源システム２の第１系統４は、要素として、スタータ１０、ジェネレータ１２、第１のバッテリ１４、安全性に関連しない少なくとも１つの負荷１６及び安全性に関連する少なくとも１つの第１の負荷１８を含む。第２系統６は、要素として、第２のバッテリ２０及び安全性に関連する少なくとも１つの第２の負荷２２を含む。ここで、安全性に関連する少なくとも１つの第１の負荷１８によって構成される少なくとも１つの機能は、安全性に関連する少なくとも１つの第２の負荷２２によって冗長性が得られるように構成することが可能である。安全性に関連する負荷１８，２２は、安全性に関して限界的な負荷とも称することができる。

２つの系統４，６は、ここでは動作量として電圧を有し、２つの系統４，６に対する電圧の値は、この場合同一であり、例えばそれぞれ１２Ｖであるように構成されている。２つの系統４，６を設けることにより、当該車載電源システム２は冗長性を有するように構成されている。車載電源システム２の上述した要素により、自動車の自動運転のための機能を実現することができる。ただし、２つの系統４，６がそれぞれ異なる電圧を有する構成も可能である。

図２に略示されている、本発明に係る装置２４の実施形態は、自動車用の車載電源システム２５を含み、当該車載電源システム２５は、特に要素２８，３０，３２としての複数の負荷を含む。車載電源システム２５の詳細は、図４から得られる。ここで、要素２８，３０，３２は、車載電源システム２５の要素レベル２６を形成している。車載電源システム２５には、システムレベル３４で監視ユニット３６が割り当てられており、当該監視ユニット３６は、要素として、診断モジュール３８として構成された、状態分析としてのここでのシステム診断を行うモジュールと、予測モジュール４０として構成された、状態分析としての予測を行うモジュールと、負荷耐性モデルを格納している又は例えば読み込みによって格納する負荷耐性モジュール４２として構成されたモジュールとを含む。診断モジュールは、負荷耐性モジュール４２からの負荷耐性モデルを考慮した要素２８，３０，３２の負荷の計算に用いられ、ここで、要素２８，３０，３２の確実性を表す特性量が特定される。当該確実性特性量は、予測モジュール４０によって車載電源システム２，２５の状態の分析及び予測に用いられる。この場合、負荷耐性モジュール４２は、車載電源システムの要素２８，３０，３２の負荷耐性モデルを含む。また、システムレベル３４は、監視ユニット３６及び要素２８，３０，３２に接続されたエネルギ管理モジュール４４として構成されたモジュールを含む。さらに、自動車の車両レベル４５は、制御装置４６を含む。

少なくとも監視ユニット３６を含む装置２４を用いた方法の一実施形態においては、車載電源システム２５の要素２８，３０，３２につき、センサが動作中に特定した要素２８，３０，３２の物理的動作量、例えば物理的状態量の値が、監視ユニット３６に供給される。また、監視ユニット３６の全部の要素２８，３０，３２が状態に関する情報を伝送し、この種の情報を、車載電源システム２５内の重要位置で測定された物理的状態量の値によって補完する。さらに、監視ユニット３６は、少なくとも１つのその都度の要素２８，３０，３２の従前の負荷についての情報であって、物理的動作量について従前に特定された値に基づく情報も形成する。これに基づいて、監視ユニット３６により、動作モード、要素２８，３０，３２の故障原因及び接続形態特有の自動運転機能の使用許可に関する判別が行われる。全ての故障原因及び自動車により可能な全ての動作モードに対し、当該自動車における組み付けの接続形態について、動作モード及び場合により他の機能、例えば要素の交換及び次の規則的な整備工場納車、例えば車検（ＨＵ）の計画の許可及び離脱要求が準備される。

ここでは、通常走行４８、回生５０及びセーリングモード５２が自動車の動作モード及び／又は運転機能として例示されている。この場合、セーリングモード５２は、自動運転において行うことができる。少なくとも１つの要素２８，３０，３２及び／又は車載電源システム２５全体の状態に応じて、監視ユニット３６により、自動車の自動運転機能の使用許可を許容可能であるか若しくは禁止しなければならないか、又は、各動作モードを離脱すべきか若しくは続行可能であるかが判別される。このことに関するその都度の情報が、自動車の制御装置４６に供給される。さらに、ここでは、本方法の実施形態において検出される情報が、無線によりインタネットを介して、データベース及び／又は整備工場として構成することが可能な定置の中央ユニット５４へ伝送されるように構成されている。また、この場合、中央ユニット５４と監視ユニット３６とは、情報を交換するように構成されている。

図２に関連して説明する図３の図には、本発明に係る方法の一実施形態の実行時の監視ユニット３６内の情報の可能な分布及び流れが示されている。ここで、監視ユニット３６においては、予測モジュール４０により予測が行われ、診断モジュール３８により診断が行われる。この場合、予測モジュール４０には、インタフェース５６を介して、要素２８，３０，３２に対する外部の負荷耐性モデルが供給される。代替的に又は補完的に、負荷耐性モデルを予測モジュール４０に格納することもできる。また、各要素２８，３０，３２は、対応する負荷耐性モデルをインタネットから受け取れるようにするためのＩＤ番号を有していてもよい。

さらに、監視ユニット３６、ここでは予測モジュール４０に、車載電源システム２５の動作中の要素２８，３０，３２の負荷データを形成するための第１の入力５８が設けられている。負荷データは、物理的状態量、例えば電流、電圧及び温度の時間依存特性から導出される。こうした特性を特定するために、物理的状態量の値が動作中に収集される。診断モジュール３８には、要素２８，３０，３２から第２の入力６０によって各要素２８，３０，３２の可能なエラーについての情報が供給される。第３の入力６２により、診断モジュール３８ひいてはまた監視ユニット３６に、要素２８，３０，３２につき車載電源システム２５の動作中に得られる情報、ここでは物理的状態量の値、例えば電流、電圧及び／又は温度の瞬時値が供給される。さらに、入力６２により、車載電源システム２５内の選択位置において測定された付加的な物理的状態量、例えば瞬時の電流値、電圧値及び／又は温度値が、診断モジュール３８ひいてはまた監視ユニット３６に伝送することが可能である。

外部の負荷耐性モデル及び負荷データに基づいて、予測モジュール４０は、要素２８，３０，３２の負荷耐性モデル６４を形成し、自身内に格納する。また、要素２８，３０，３２の負荷データ及び負荷耐性モデル６４から、要素２８，３０，３２の確実性特性量、例えば要素２８，３０，３２の瞬時の故障確率が、経時劣化度及び／又は損耗度に基づいて特定される。他のメーカの別の負荷耐性モデルは、インタフェース５６を介して供給することが可能である。これらを基礎として、要素２８，３０，３２のエラーの確率６６が損耗度に基づいて計算される。さらに、自動車の動作モード、故障原因及び車載電源システム２５の接続形態に関連する相７０を考慮して、車載電源システム２５全体の不確実状態を表す第２の確率６８が計算される。要素２８，３０，３２の確実性特性量に基づいて、別の相７０ひいては全ての動作モード及び全ての可能な故障原因に対し、車載電源システム２５の少なくとも１つの確実性特性量が計算される。別の相７０により、同様に、車載電源システム２５の少なくとも１つの確実性特性量に影響する、自動車に組み付けられた要素２８，３０，３２の接続形態が特定される。特定された確率６６，６８の値は、比較部７４においてそれぞれの限界値７２と比較され、車載電源システム２５の故障の危険性が特定される。付加的に、理想的には規則的な整備工場納車として実行可能な、要素２８，３０，３２について行うべき交換に関する記述も得られる。

診断モジュール３８により、検査７６の際に、入力６０によって伝送された、要素２８，３０，３２の各状態が診断に基づいて検査される。これを基礎としてシステム診断７８が行われ、これにより、要素２８，３０，３２の診断の妥当性検査と当該要素２８，３０，３２の未知のエラーの識別とが可能となる。入力６２により伝送される要素２８，３０，３２の物理的状態量の値と、任意に選択される車載電源システム２５内の物理的状態量とにより、システム診断７８が行われ、これにより、要素２８，３０，３２の状態診断の妥当性検査と車載電源システム２５の未知のエラーの識別とが可能となる。また、エラーを有する要素２８，３０，３２のＩＤ識別も可能である。続いて、要素２８，３０，３２の診断及び車載電源システム２５のシステム診断７８の重畳により特定された、車載電源システム２５のその時点の実際状態に関する報告８０が形成される。

監視ユニット３６により、計算８２が行われる。さらに、要素２８，３０，３２及び車載電源システム２５に対する負荷耐性モデル８４が、監視ユニット３６に記憶されており、又は、インタフェース５６を介して監視ユニット３６に供給することが可能となる。

本方法の実行時には、エネルギ管理部４４との通信により要素２８，３０，３２を保護するための負荷管理部への作用を含む、システムレベル３４ひいては車載電源システム２５のレベルに対する第１の利用８６が得られる。第２の利用８８は、ここでは自動車レベル４５に対して設けられている。当該第２の利用８８は、自動運転機能の使用許可の支援及び／又は使用許可の判別、適応化された運転ストラテジによる確実性の増大、利用可能性の増大、自動運転モードから手動運転モードへの引き継ぎ時の安全性利得、及び、自動運転モードにおける要素２８，３０，３２の故障時にも運転者の介入なく自動車を安全状態へ移行させる必要性を含む。

ここで、第３の利用９０は、将来の開発のために設けられたものである。当該第３の利用９０は、多数の要素２８，３０，３２に基づく負荷耐性モデル８４の改善と、要素２８，３０，３２の既知の実際の負荷に基づく負荷耐性モデル８４の改善とを含む。

本方法の実施形態の実行時には、監視ユニット３６により製品安全性の観点から車載電源システム２５の監視ステップが実行され、ここで、要素２８，３０，３２及び車載電源システム２５の機能安全性及び確実性の統合的観察が行われる。この場合、ここでの例ではエネルギ源、例えばジェネレータ１２（図１）、電力蓄積器、例えばバッテリ１４，２０、直流電流変換器８（図１）、エネルギ分配器又は負荷１６，１８，２２（図１）である少なくとも１つの要素２８，３０，３２が、物理的動作量の値を特性量として監視ユニット３６へ伝送し、当該値から状態分析として少なくとも１つの要素２８，３０，３２の診断が導出される。当該値に基づいて、一方では要素２８，３０，３２の診断の物理的な妥当性検査が行われてこれが同様に監視ユニット３６に伝送され、他方では要素２８，３０，３２及び車載電源システム２５の確実性が予測される。ここで特定される動作量は、自動車において可能な動作モード、故障原因、車載電源システム２５において使用されている接続形態、要素２８，３０，３２の動作期間及びその時点の作業負荷、要素２８，３０，３２の端子に印加される電圧、要素２８，３０，３２を通って流れる電流、並びに、場合により要素２８，３０，３２の他の物理的状態量、例えば温度又はバッテリ１４，２０の充填状態、及び、要素２８，３０，３２の診断ステータスに依存する。

要素２８，３０，３２及び車載電源システム２５の状態について行われた計算に基づいて、監視ユニット３６は、自動運転機能の使用許可を許容可能であるか又は禁止すべきかを記述する推奨を、制御装置４６に伝送する。代替的に、監視ユニット３６が、要素２８，３０，３２及び／又は車載電源システム２５全体又はその一部の状態に関する、動作モードに依存した記述を含む特性量を制御装置４６に伝送してもよい。当該特性量に加え、要素２８，３０，３２の交換を指示し、又は、種々の動作モードの許容可能使用許可時間を含む特性量を考慮することもできる。この場合、監視ユニット３６は、２つのモジュール、即ち、診断モジュール３８及び予測モジュール４０を含み、ここで、監視ユニット３６はこれらの各モジュールへ分割されている。

要素２８，３０，３２の状態量としての物理的動作量の値及び場合により車載電源システム２５の所定位置で測定された別の物理的状態量の値に基づいて、車載電源システム２５は、診断モジュール３８により、エラーの有無を検査する。ここで、動作量の各値は、相互に妥当性検査され、機器間における診断の実行及びその時点の状態に関する報告の形成のために評価される。この場合、要素２８，３０，３２を含めた車載電源システム２，２５の接続形態及びその構成に関する情報も考慮される。さらに、自動車ひいてはまた車載電源システム２，２５のその都度アクティブになっているその時点の動作モードも考慮される。この場合、例えば瞬時にアクティブとなっている個々の動作モードを監視することができ、補完的に、他の動作モードをその時点の状態において機能させ得るかも検査することが可能である。自動車がその時点において手動運転モードで運転されており、運転者が自動運転モードへの移行を望んでいる場合、自動運転モードの使用許可を許容するとしたときに車載電源システム２，２５が正常であり得るかどうかが検査される。この場合、動作モードは、例えば、スタートストップフェーズ、通常走行４８、回生５０、又は内燃機関の遮断を伴うセーリングモード５２として構成されている。各動作モードに関する情報から、車載電源システム２，２５の状態を特定することができる。その都度の動作モードに応じて、車載電源システム２，２５内に種々のストラクチャが生じる。なぜなら、所定の要素２８，３０，３２、例えばセーリングモード５２におけるジェネレータ１２がアクティブでないことにより、接続形態に、同様に考慮すべきであって場合により別の故障メカニズムに作用するストラクチャ上の相違が生じるからである。

自動車において、例えばエンジンの遮断を伴うセーリングモード５２が行われる場合、第１の例においては、要素２８，３０，３２としての少なくとも１つのバッテリ１４，２０（図１）が所定の限界内で放電される。これは、別の要素２８，３０，３２としてのジェネレータ１２（図１）が内燃機関によって駆動されていないからである。ただし、このとき、少なくとも１つのバッテリ１４，２０（図１）に生じる負の充電平衡は、正常な状態である。

第２の例においては、ジェネレータ１２（図１）が中程度の負荷におけるエラーのない動作を報告したにもかかわらず、第１のバッテリ１４（図１）の電力保持量が連続的に低下しており、例えば電力管理部４４、ジェネレータ１２（図１）の制御部又は第１のバッテリ１４（図１）及び／又は当該バッテリ１４のバッテリセンサのエラーが示唆される。第２の例に即して記述されるエラーは、従来技術によっては今のところ識別することができない。なぜなら、上述した要素２８，３０，３２の全てが自らはエラーのない動作を報告するからである。ただし、本方法の実施形態におけるシステムレベル３４の観察から、それ自体のみ個別には正常であるとの状態報告の全体がエラー及び／又は経時劣化を示唆することが識別される。

本方法において、監視ユニット３６により、潜在的な安全性目標を損なう、安全性に関連するエラー及び／又は安全性に関連する経時劣化が識別されると、自動運転機能への移行及び／又は自動運転における所定の動作モード、例えばセーリングモード５２若しくは回生５０への移行が許可されないように構成される。自動車が手動運転モードにあってセーリングモード５２へ移行されようとしているが、バッテリ１４，２０がエンジンの再始動のためのエネルギが不足している場合、セーリングモード５２への移行は許可されない。これに代えて、車載電源システム２５の状態のエラー及び／又は経時劣化に関する情報を制御装置４６に伝送し、自動運転機能の実行を禁止し、又は、場合により短時間だけ実行される自動運転機能を次の機会に終了するように構成することもできる。

従って、診断結果は、自動運転機能の阻止又は使用許可に使用され、ここで、その都度自動運転機能を阻止すべきか又は使用許可すべきかを記述したディジタル値、例えば０又は１が、制御装置４６に伝送される。ただし、車載電源システム２５の状態に関する情報を、例えば０％乃至１００％までの値及び場合により定められた中間刻み幅を有する状態量によって形成することもできる。これらに基づいて、制御装置４６は、車載電源システム２５の状態が定量的にどの程度限界的であるかに関する記述を形成し、これによって、場合により段階的な対抗措置を導入することができる。

代替的な又は補完的な一実施形態においては、制御装置４６が監視ユニット３６に所定の自動運転機能、例えばアウトバーンパイロットを問い合わせる。モデル８４にも基づく物理的動作量の従前の値の履歴に基づいて、監視ユニット３６は、その都度の運転機能において予測される要素２８，３０，３２の負荷を特定する。これに基づいて、予測される負荷が過度に大きい場合、各運転機能を使用許可又は禁止することができる。運転機能が小さな負荷しか引き起こさない場合には、当該運転機能は続行可能であり、従って、使用許可することもできる。

本方法に設けられている実施形態においては、少なくとも１つの要素２８，３０，３２及び／又は車載電源システム２５の未来状態に対する予測も形成される。この場合、要素２８，３０，３２から予測モジュール４０へ負荷データが伝送される。こうした負荷データ及び要素２８，３０，３２の負荷耐性モデルに基づいて、確実性特性量、例えば要素２８，３０，３２の故障確率が特定される。ここでは、負荷耐性モデルは予測モジュール４０に組み込まれている。インタフェース５６を介して、他のメーカの要素の負荷耐性モデルを取り入れることもできる。

全ての動作モードに対し、予測モジュール４０内において、安全性に関連する要素２８，３０，３２へのエネルギ供給が損耗効果のために制限され得る及び／又は利用不能となり得る確率が計算される。この場合、全ての動作モードにおいて、複数の故障原因が、不充分にしか行われないエネルギ供給の理由となり得る。従って、故障原因が確実性の技術によって特定される。当該故障原因の例は、それぞれ固有の確実性モデリングにおいて考慮される、安全性に関連する要素２８，３０，３２における過電圧又は電圧不足である。これは、種々の確実性の技術の組合せから、安全性に関連する要素２８，３０，３２の故障が生じるからである。従って、確率の計算は、車載電源システム２５の接続形態、観察されている動作モード及び故障原因に依存する。確率を計算するために、各動作モード、例えば自動運転、セーリングを伴う自動運転、回生を伴う自動運転、通常走行などに対し、全ての可能な故障原因と組み合わせて、その時点で計算されている要素２８，３０，３２の故障率によってデータ化及び計算される確実性ブロックダイヤグラム、例えばエラーツリー、マルコフモデル又はこれらに類似のものが格納される。確実性ブロックダイヤグラム又は同等のシステム確実性をモデリングする手法は、車載電源システム２５全体の要素２８，３０，３２のエラー、経時劣化及び／又は損耗の限界性を形成する。

確実性ブロックダイヤグラム又は代替的な手法をモデリングする際には、その構造が車載電源システム２５の電気回路図ではなく、故障原因に基づいて、設定最小値よりも小さく又は設定最大値よりも大きく、かつ、設定電圧インターバルの外では安全性に関連する負荷によって生じる電圧値でのエネルギ供給にいたるエラー又は経時劣化の組合せを指向するように考慮される。

本方法の実施形態における第３の例のケースにおいては、車載電源システム２５の要素２８，３０，３２としての直流電流変換器８（図１）が故障し、限界的状態となることが起こり得る。これは、直流電流変換器８の故障に起因して強制的にバッテリ２０が放電し、そのために、故障原因としての第２系統６における電圧不足が生じているからである。当該故障は、確実性のモデリングによって考慮される。

第４の例においては、第１系統４の第１のバッテリ１４（図１）の故障が起こっている。自動車に対し、付加的にさらに、ジェネレータ１２（図１）が停止され、これにより、僅かな量の電力しか形成されないセーリングモード５２が運転機能として設定されている場合、ここから、故障原因としての電圧不足が生じ得る。このことも確実性ブロックダイヤグラムにおいて考慮される。ここで特定される制限された確率６６，６８は、限界値７２と比較される。この場合、車載電源システム２５の実際状態のシステム診断により、安全性に関して限界的な運転機能は、車載電源システム２５の実際状態が正常である場合にのみ使用許可される。ここでは、正常動作可能な実際状態を仮定した、車載電源システム２５の安全性に関する限界的状態の確率を含む、制限された確率を特定することもできる。このケースにおいては、監視ユニット３６は、自動運転機能の実行時にどの動作モードの使用許可を許容することができ、どれを許容することができないかを制御装置４６に報告する。ここで、自動運転機能は、完全に阻止、即ち、禁止することもできる。

本方法においては、最適化のための別の選択的措置も実行することが可能である。装置２４が自己学習システムとして構成されている場合、それぞれの動作ストラテジを要求挙動に適合させ、これにより、要素２８，３０，３２を最適に利用可能にすることができる。さらに、監視ユニット３６は、中央ユニット５４とデータを交換することが可能である。これにより、特に、将来の開発及び／又は車載電源システム２５の設計のための現実に即した運転プロフィルを用意することができる。また、多数の自動車の同構造の要素のフィールドデータを評価することにより、負荷耐性モデルを改善することもできる。さらに同様に、既存の負荷耐性モデルの適応化、即ち、変更及び／又は補完も可能である。また中央の装置５４と自動で通信を行うこともできる。要素２８，３０，３２について制限された耐用期間が予測される場合には、特に、それぞれ該当する要素２８，３０，３２を適時に交換することができる。同様に、ナビゲーションデータに基づく区間プロフィルを考慮して負荷を予測することもできる。

図４ａに細部が略示された車載電源システム２５は、同様に、車載電源システム２５の可能な要素２８，３０，３２（図２）としての直流電流変換器１０１を介して接続された第１系統１００及び第２系統１０２を含む。第１系統１００は、要素２８，３０，３２（図２）として、ジェネレータ１０４及び第１のバッテリ１０６を含む。第２系統１０２は、要素２８，３０，３２（図２）として、第２のバッテリ１０８、スタータ１１０、安全性に関連する第１の負荷１１２、及び安全性に関連しない第２の負荷１１４を含む。また、図４には、車載電源システム２５の第１のアース電位点１１６、第２のアース電位点１１８、第３のアース電位点１２０、第４のアース電位点１２２、第５のアース電位点１２４及び第６のアース電位点１２６も示されている。車載電源システム２５の当該上述した要素２８，３０，３２，１００，１０１，１０２，１０４，１０６，１０８，１１０，１１２，１１４，１１６，１１８，１２０，１２２，１２４，１２６のうちいくつかは、以下、図４ｂ、図４ｃ、図４ｄのフローチャートにも略示されており、要素２８，３０，３２，１００，１０１，１０２，１０４，１０６，１０８，１１０，１１２，１１４，１１６，１１８，１２０，１２２，１２４，１２６は、ここではロジック的に直列及び／又は並列に接続されている。

本方法の実施形態においては、車載電源システム２５ひいてはその要素２８，３０，３２（図２）に対し、運転機能及び／又は動作モードとして、通常走行４８、回生５０及びセーリングモード５２を実行することが可能である。

通常走行４８（図２）の実行時には、ジェネレータ１０４が、自動車のエンジンの動作中に生じた機械エネルギを電気エネルギに変換し、これを２つのバッテリ１０６，１０８へ供給して充電する。また、通常走行４８においては、安全性に関連する負荷１１２及び安全性に関連しない負荷１１４にも同様にエネルギが供給される。これに関して、図４ｂのフローチャートに示されているように、電力は、少なくとも１つのアース電位点１１６，１１８，１２０を基礎として、ジェネレータ１０４又は第１のバッテリ１０６から第１系統１００、直流電流変換器１０１及び第２系統１０２を経て、安全性に関連する負荷１１２及びアース電位点１２４へ輸送される。

回生５０時には、自動車の運動からの機械エネルギがジェネレータ１０４によって電気エネルギに変換され、この場合も同様に、２つのバッテリ１０６，１０８、並びに、安全性に関連する負荷１１２及び安全性に関連しない負荷に供給されるように構成されている。このために、図４ｃのフローチャートには、電力が、少なくともアース電位点１２０を基礎として、ジェネレータ１０４から第１系統１００、直流電流変換器１０１及び第２系統１０２を経て、安全性に関連する負荷１１２及びアース電位点１２４へ輸送されることが示されている。

これに対して、セーリングモード５２（図２）においては、ジェネレータ１０４の不活性化が起こっている。安全性に関連する負荷１１２への給電のための電力は、セーリングモード５２（図２）においては、２つのバッテリ１０６，１０８から当該負荷へ供給される。上記の動作モードに即して、例えば、全ての動作モードに対し、車載電源システム２５の種々のモデルが状態分析に利用される理由が例示されている。ここで、図４ｃのフローチャートには、電力が、少なくとも１つのアース電位点１１６，１２０を基礎として、第１のバッテリ１０６から第１系統１００、直流電流変換器１０１及び第２系統１０２を経て、安全性に関連する負荷１１２及びアース電位点１２４へ輸送されることが示されている。

状態分析ひいてはその時点の状態の診断及び／又は未来状態の予測を行う方法は、車載電源システム２，２５の、電力を形成するように構成された全ての要素２８，３０，３２に対して実行することが可能である。よって、安全性に関連する負荷１１２に、少なくとも１つの物理的動作量、ここでは少なくとも１つの電気動作量の値に対する設定インターバル内で電力を供給することができる。ここで、当該インターバルは、最小値即ち上方限界、及び、最大値即ち下方限界によって定められる。これは、それぞれ物理的動作量としての電圧及び／又は電流の上方限界又は下方限界に該当する。この場合、こうした限界及び／又は安全性に関連しない負荷１１４は、その都度の状態分析において、必要に応じて選択的に考慮することができる。

診断として構成された状態分析において、少なくとも１つの要素２８，３０，３２の診断は、全部の要素２８，３０，３２、ひいてはシステムとしての車載電源システム２５全体の診断によって妥当性検査され、それまで発見されていなかった個々の要素２８，３０，３２のエラーを識別することができる。なぜなら、要素２８，３０，３２が、個別にではなくシステムとして包括的に診断され、要素２８，３０，３２の対抗相互作用を考慮することができるからである。従って、要素レベル２６における診断は、システムレベル３４における診断により妥当性検査される。このように、一構成においては、個別の診断の実行時にはエラーを有する個々の要素２８，３０，３２がエラーを有すると識別されないおそれがあるのに対して、システムとしての包括的な診断時には、当該エラーを有する要素２８，３０，３２が少なくとも１つの別の要素２８，３０，３２に与える作用を識別することができる。

また、全ての要素２８，３０，３２に対し要素レベル２６における診断が個別に実行された個々の診断の結果は、監視ユニット３６において中央に統合される。システムレベル３４における診断においては、少なくとも、要素２８，３０，３２の特性量としての少なくとも１つの物理的動作量と、場合により同様に、少なくとも、車載電源システム２５全体の少なくとも１つの物理的動作量とが、特定され及び／又は測定される。

予測として構成された状態分析においては、少なくとも１つの要素２８，３０，３２に対して動作中に負荷に関連する特性量、特に負荷に関連する物理的動作量が検出されて記憶され、これにより、データの記憶のために構成された監視ユニット３６のメモリ内へ書き込まれる。検出値は、負荷の定められたレベルへ換算される。続いて、要素２８，３０，３２の負荷耐性との対照において、要素２８，３０，３２の故障確率が特定される。ここから、車載電源システム２５の動作モードに依存する及び／又は故障原因に依存する故障確率が、例えばまた車載電源システム２５の接続形態を考慮して計算することが可能となり、ここで、当該接続形態により、特に要素２８，３０，３２の配置及びこれら相互の接続及び／又は系統１００，１０２への配分を考慮することができる。要素２８，３０，３２の従前の負荷を外挿することにより、個々の要素２８，３０，３２の、通常は少なくとも１つの要素２８，３０，３２の要素レベル２６における予測と、車載電源システム２５全体、ひいては全部の要素２８，３０，３２のシステムレベル３４における予測とを実行することができる。

さらに、個々の要素２８，３０，３２に対して要素レベル２６で予測として構成された状態分析は、システムレベル３４における車載電源システム２５全体の予測により、例えば診断として構成される状態分析のケースと同様に、妥当性検査することができる。状態分析としての予測においては、負荷に関連する特性量について書き込まれたデータが処理され、負荷に関連する特性量、特に負荷に関連する物理的動作量とともに検出されて記憶され、これにより、データの記憶のために構成された監視ユニット３６のメモリ内へ書き込まれる。当該データは、要素２８，３０，３２の負荷耐性モデルと比較され、そこから瞬時の確実性特性量を特定することができる。この場合、一構成においては、補完的に、確実性特性量を、動作モードの確実性ストラクチャのシミュレーションによって関連の故障メカニズムに依存して特定することができる。従前の負荷を外挿することにより、相互に妥当性検査の可能な、要素レベル２６における確実性の予測及びシステムレベル３４における確実性の予測を行うことができる。従前の負荷と格納されている負荷耐性モデルとから、未来状態の予測を行うことができる。

別の構成においては、診断として構成される少なくとも１つの状態分析、即ち、システムレベル３４における診断及び／又は要素レベル２６における診断を、少なくとも１つの予測として構成される状態分析、即ち、システムレベル３４における予測及び／又は要素レベル２６における予測によって妥当性検査することができ、逆も同様である。或る運転機能、例えば自動運転機能が少なくとも１つの要素２８，３０，３２のその時点の実際状態に対する少なくとも１つの診断に基づいて実行可能である場合、少なくとも１つの要素２８，３０，３２の未来状態の少なくとも１つの予測に基づいてこれを禁止することができる。なぜなら、少なくとも１つの予測においては、通常、少なくとも１つの診断のケースよりも多数の動作量の値が考慮されるからである。

診断及び予測に対する状態分析は、オンラインで、及び／又は、自動車の車載電源システム２，２５の動作中に、実行することが可能である。

Claims (10)

1. 自動車の車載電源システム（２，２５）を動作させる方法であって、
   前記車載電源システム（２，２５）は、複数の要素（２８，３０，３２）を含み、
   全部の要素（２８，３０，３２）の物理的動作量の値から、前記車載電源システム（２，２５）の全部の要素（２８，３０，３２）に対する第１の状態分析として、実際状態の診断を行い、
   各々の要素（２８，３０，３２）の物理的動作量の値から、各々の要素（２８，３０，３２）に対する少なくとも１つの第２の状態分析として、実際状態の診断のみを行い、
   各々の要素（２８，３０，３２）に対する前記少なくとも１つの第２の状態分析を、全部の要素（２８，３０，３２）に対する前記第１の状態分析によって妥当性検査する、方法。
2. 前記車載電源システム（２，２５）の全部の要素（２８，３０，３２）に対する前記第１の状態分析は、各々の要素（２８，３０，３２）に対する前記少なくとも１つの第２の状態分析の結果のみにアクセスする、
   請求項１に記載の方法。
3. 前記自動車の、前記車載電源システム（２，２５）の少なくとも１つの要素（２８，３０，３２）によって支援される少なくとも１つの運転機能の使用許可につき、少なくとも、実行された前記状態分析の結果に依存して、判別を行う、
   請求項１又は２に記載の方法。
4. 前記自動車の自動運転機能の使用許可についての判別を行う、
   請求項３に記載の方法。
5. 当該方法を、前記車載電源システム（２，２５）の、電気エネルギを形成するように構成された少なくとも１つの要素（２８，３０，３２）に対して行う、
   請求項１乃至４のいずれか一項に記載の方法。
6. 前記少なくとも１つの第２の状態分析を前記第１の状態分析によって妥当性検査することにより、少なくとも１つの前記要素（２８，３０，３２）のエラーを識別する、
   請求項１乃至５のいずれか一項に記載の方法。
7. 少なくとも１つの要素（２８，３０，３２）の負荷耐性についての値から、少なくとも１つの別の状態分析として、少なくとも１つの前記要素（２８，３０，３２）の未来状態の予測を行い、
   前記自動車の、前記車載電源システム（２，２５）の少なくとも１つの前記要素（２８，３０，３２）によって支援される少なくとも１つの運転機能の使用許可につき、実行された前記少なくとも１つの別の状態分析の結果に依存して、判別を行う、
   請求項１乃至６のいずれか一項に記載の方法。
8. 自動車の車載電源システム（２，２５）を動作させる装置であって、
   前記車載電源システム（２，２５）は、複数の要素（２８，３０，３２）を含み、
   前記装置は、診断モジュール（３８）を有する監視ユニット（３６）を含み、
   前記診断モジュール（３８）は、
   全部の要素（２８，３０，３２）の物理的動作量の値から、前記車載電源システム（２，２５）の全部の要素（２８，３０，３２）に対する第１の状態分析として、実際状態の診断を行い、
   各々の要素（２８，３０，３２）の物理的動作量の値から、各々の要素（２８，３０，３２）に対する少なくとも１つの第２の状態分析として、実際状態の診断のみを行い、
   各々の要素（２８，３０，３２）に対する前記少なくとも１つの第２の状態分析を、全部の要素（２８，３０，３２）に対する前記第１の状態分析によって妥当性検査する、
   ように構成されている、装置。
9. 少なくとも１つの前記要素（２８，３０，３２）の少なくとも１つの物理的動作量の値を検出する少なくとも１つのセンサを含む、
   請求項８に記載の装置。
10. 少なくとも１つの運転機能を実行するための制御装置（４６）を含み、
    前記監視ユニット（３６）は、少なくとも１つの運転機能の使用許可を許容可能であるか又は禁止若しくは離脱すべきかに関する推奨を前記制御装置（４６）に供給するように構成されている、
    請求項８又は９に記載の装置。

Images