WO2024002731A2 - Fahrzeugnetzwerk zur datenkommunikation zwischen komponenten eines fahrzeugs sowie system und fahrzeug damit und verfahren dafür - Google Patents

Abstract

Die Erfindung betrifft ein Fahrzeugnetzwerk (10) zur Datenkommunikation (30) zwischen Komponenten (14) eines Fahrzeugs. Das Fahrzeugnetzwerk (10) umfasst einen ersten Datenbus (16) und mindestens zwei erste Schaltvorrichtungen (20). Die ersten Schaltvorrichtungen (20) weisen eine erste Datenbusdatenschnittstelle (22) zum Verbinden mit dem ersten Datenbus (16) und eine erste Komponentendatenschnittstelle (24) zum Verbinden mit einer der Komponenten (14) des Fahrzeugs auf. In einem Verbindungszustand (36) ist die erste Datenbusdatenschnittstelle mit der ersten Komponentendatenschnittstelle (24) verbunden und in einem Trennzustand (130) ist die erste Datenbusdatenschnittstelle (22) von der Komponentendatenschnittstelle (24) getrennt. Mit einer ersten Überwachungseinheit (28) wird die Datenkommunikation (30) auf dem ersten Datenbus (16) überwacht und in Abhängigkeit von der Datenkommunikation (30) die ersten Schaltvorrichtungen angesteuert, um zwischen dem Verbindungszustand (36) und dem Trennzustand (130) zu schalten. Die Erfindung betrifft ferner ein System (12) mit einem Fahrzeugnetzwerk (10) und ein Verfahren (110) zum Überwachen eines Fahrzeugnetzwerks (10).

Description

Fahrzeugnetzwerk zur Datenkommunikation zwischen Komponenten eines Fahrzeugs sowie System und Fahrzeug damit und Verfahren dafür

Die Erfindung betrifft den Bereich der Fahrzeuge und hierbei insbesondere Nutzfahrzeuge. Derartige Nutzfahrzeuge umfassen insbesondere Zugfahrzeuge, wie Lastkraftwagen oder Sattelschlepper, wobei die Erfindung auch im Bereich von Anhängerfahrzeugen eingesetzt werden kann.

Die hier betrachteten Fahrzeuge sind Fahrzeuge, die eine Vielzahl von Steuergeräten, die auch „Electronic Control Unit“ oder kurz ECU, genannt werden, umfassen. Die Steuergeräte werden eingesetzt, um einzelne Funktionen des Fahrzeugs zu steuern. Vorzugsweise werden durch die Steuergeräte beispielsweise Aktoren des Fahrzeugs angesteuert oder Sensoren des Fahrzeugs ausgelesen. Beispiele für derartige Steuergeräte sind Bremssteuergeräte zum Ansteuern verschiedenartiger Bremsfunktionalitäten, Motorsteuergeräte zum Ansteuern eines Verbrennungsmotors und/oder eines elektrischen Antriebs, Luftfedersteuergeräte zum Ansteuern einer Luftfederung und Lenksteuergeräte zum Ansteuern einer elektronischen Lenkung.

Diese Steuergeräte sind über ein Fahrzeugnetzwerk zur Datenkommunikation, insbesondere einen Datenbus, miteinander verbunden, um Daten untereinander auszutauschen. So kann beispielsweise mit einem Steuergerät eines Luftfedersystems eine Masse des Fahrzeugs bestimmt werden. Hierzu ist in Luftbälgen des Luftfedersystems jeweils ein Sensor angeordnet, der den vorherrschenden Druck in den Luftbälgen misst und an das Steuergerät des Luftfedersystems überträgt. Aus dem vorherrschenden Druck kann das Steuergerät die Masse bestimmen und die bestimmte Masse beispielsweise für ein Bremssteuergerät bereitstellen, wobei das Bremssteuergerät zur Ansteuerung der Aktuatoren zum Ausführen einer Bremsfunktion diese Masse mitverwenden kann. Aufgrund der zunehmenden Anzahl derartiger Steuergeräte und damit zunehmender Interaktion der Steuergeräte steigen die Anforderungen an das Fahrzeugnetzwerk zum Datenaustausch, insbesondere im Hinblick auf die Ausfallsicherheit eines Gesamtsystems, das die Steuerungen und das Fahrzeugnetzwerk selbst umfasst. Besonders relevant werden die Anforderungen an die Ausfallsicherheit durch zunehmend automatisierte Fahrfunktionen, die ein teilweises oder vollständig autonomes Agieren des Fahrzeugs ermöglichen und ebenfalls durch die genannten Steuergeräte realisiert werden. Solche Steuergeräte müssen hierfür auf die Sensoren und Aktoren des Fahrzeugs zwingend fehlerfrei zugreifen können. Solche Steuergeräte zum Steuern eines autonomen oder teilautonomen Fahrens, die auch als „Virtual Driver“ bezeichnet werden, werden ebenfalls über ein bestehendes Netzwerk angebunden.

Um die Ausfallsicherheit zu verbessern, werden für derartige oder ähnliche Anwendungsfälle in Fahrzeugen verschiedenartige Anstrengungen unternommen und beispielsweise redundante Steuerungen oder redundante Netzwerke realisiert, um im Fall eines Problems eines Hauptsystems auf ein redundantes System umschalten zu können.

So beschreibt beispielsweise das Dokument EP 3 758 301 A1 die Anbindung jedes von mehreren Steuergeräten jeweils an zwei unterschiedliche Kommunikationsnetzwerke, die mit redundanten übergeordneten Steuereinheiten verbunden sind. Im Fall eines Fehlers einer der übergeordneten Steuereinheit kann so auf die andere übergeordnete Steuereinheit umgeschaltet werden und die Steuergeräte über das redundante Netzwerk angesteuert werden.

Bei der zuletzt genannten Lösung sowie bei einer Vielzahl weiterer bekannter Lösungen zur Verbesserung der Ausfallsicherheit können jedoch nicht alle Fehlerfälle durch bloße Redundanz der Komponenten sicher behandelt werden. Insbesondere im Hinblick auf einen teilweise oder vollständig autonomen Betrieb eines Fahrzeugs können weiterhin Fehler auftreten, die zu einem Ausfall des Systems führen.

Aufgabe der vorliegenden Erfindung ist es daher den Problemen des Standes der Technik zu begegnen. Insbesondere soll eine fehlertolerante Netzwerkarchitektur für ein Fahrzeug gefunden werden, um einen sicheren Betrieb des Fahrzeugs, insbesondere bei einem höherem Automatisierungsgrad, beispielsweise im Bereich von Level 2 bis Level 5, zu gewährleisten. Jedenfalls soll eine Alternative zum Stand der Technik vorgeschlagen werden.

Hierzu betrifft die Erfindung ein Fahrzeugnetzwerk zur Datenkommunikation zwischen Komponenten eines Fahrzeugs nach Anspruch 1 .

Das Fahrzeugnetzwerk zur Datenkommunikation zwischen Komponenten eines Fahrzeugs umfasst einen ersten Datenbus und mindestens zwei Schaltvorrichtungen. Es sind demnach mehrere, nämlich mindestens zwei, insbesondere aber mehr als zwei, z. B. mehr als fünf oder mehr als zehn, erste Schaltvorrichtungen Bestandteil des Fahrzeugnetzwerks. Ferner umfasst das Fahrzeugnetzwerk eine erste Überwachungseinheit.

Die mindestens zwei ersten Schaltvorrichtungen umfassen jeweils eine erste Datenbusdatenschnittstelle zum Verbinden mit dem Datenbus und eine erste Komponentendatenschnittstelle zum Verbinden mit genau einer der Komponenten des Fahrzeugs. Derartige Komponenten umfassen beispielsweise Steuergeräte des Fahrzeugs. Jede der ersten Schaltvorrichtungen umfasst jeweils einen Verbindungszustand, in dem die Datenbusdatenschnittstelle mit der Komponentendatenschnittstelle verbunden ist und einen Trennzustand, in dem die Datenbusdatenschnittstelle von der Komponentendatenschnittstelle getrennt ist.

Außerdem umfasst jede der Schaltvorrichtungen jeweils einen ersten Schalteingang zum Ansteuern der Schaltvorrichtung, um zwischen dem Verbindungszustand und dem Trennzustand zu schalten. Der erste Schalteingang mindestens einer ersten Schaltvorrichtung und insbesondere jeweils jeder ersten Schaltvorrichtung ist mit der Überwachungseinheit verbunden. Die erste Überwachungseinheit ist eingerichtet, die Schaltvorrichtung über den ersten Schalteingang anzusteuern, um zwischen dem Verbindungszustand und dem Trennzustand zu schalten.

Ferner ist die Überwachungseinheit mit dem ersten Datenbus verbunden, um die Datenkommunikation auf dem ersten Datenbus zu überwachen. Zudem ist die Überwachungseinheit eingerichtet, um in Abhängigkeit von der Datenkommunikation auf dem ersten Datenbus die ersten Schaltvorrichtungen anzusteuern.

Zusätzlich zu einem herkömmlichen Datenbus, mit dem Komponenten des Fahrzeugs üblicherweise zum Datenaustausch verbunden sind, sind gemäß der Erfindung jeder Komponente jeweils zugeordnete Schaltvorrichtungen und eine Überwachungseinheit vorgesehen. Die Schaltvorrichtungen sind zwischen den Komponenten des Fahrzeugs und dem Datenbus zwischenschaltbar. Die Überwachungseinheit kann dann den Datenbus überwachen und im Fall einer Auffälligkeit eine oder mehrere der Komponenten über deren zugeordnete Schaltvorrichtung vom Datenbus trennen.

Demnach ist vorzugsweise jeder Komponente des Fahrzeugs, die mit dem Datenbus verbunden ist, eine eigene Schaltvorrichtung zugeordnet, die individuell durch die Überwachungseinheit, nämlich über den entsprechenden ersten Schalteingang der jeweiligen Schaltvorrichtung, so steuerbar ist, dass die Komponente entweder mit dem Datenbus verbunden oder vom Datenbus getrennt ist. Die Schaltvorrichtungen ermöglichen es somit Komponenten, die aufgrund eines Fehlers eine gesamte Kommunikation auf dem Datenbus signifikant beeinflussen, vom Datenbus sicher zu trennen.

Insbesondere im Fall einer dauersendenden Komponente, die auch als Dauersender oder „Babbling Idiot“ bezeichnet wird, kann durch gezieltes Trennen dieser Komponente gewährleistet werden, dass die Kommunikation der übrigen Komponenten weiterhin gewährleistet wird. Ein derartiger Dauersender führt nämlich anderenfalls häufig zu einer Überlastung des damit verbundenen Datennetzwerks und somit zu einer entweder gar nicht mehr oder nur zeitverzögerten Datenübertragung der weiteren verbundenen Komponenten.

Gemäß einer ersten Ausführungsform umfasst das Fahrzeugnetzwerk außerdem einen zweiten Datenbus und mindestens zwei zweite Schaltvorrichtungen. Insbesondere sind mehr als zwei, also mehrere, insbesondere mehr als fünf oder mehr als zehn, zweite Schaltvorrichtungen Bestandteil des Fahrzeugnetzwerks. Die mehreren zweiten Schaltvorrichtungen umfassen jeweils eine zweite Datenbusdatenschnittstelle zum Verbinden mit dem zweiten Datenbus und eine zweite Komponentendatenschnittstelle. Jede der zweiten Komponentendatenschnittstellen dient jeweils zum Verbinden mit einer der Komponenten des Fahrzeugs, die bereits mit einer ersten Komponentendatenschnittstelle einer ersten Schaltvorrichtung verbunden ist.

Außerdem weisen auch die zweiten Schaltvorrichtungen jeweils einen Verbindungszustand, in dem die zweite Datenbusdatenschnittstelle mit der zweiten Komponentendatenschnittstelle verbunden ist, und einen Trennzustand auf, in dem die zweite Datenbusdatenschnittstelle von der zweiten Komponentendatenschnittstelle getrennt ist. Die zweiten Schaltvorrichtungen umfassen jeweils einen zweiten Schalteingang zum Ansteuern der Schaltvorrichtung, um zwischen dem Verbindungszustand und dem Trennzustand zu schalten. Vorzugsweise ist so ein redundanter Datenbus, nämlich der zweite Datenbus, bereitgestellt.

Im Fall einer fehlerhaften ersten Schaltvorrichtung, die ein Trennen einer ebenfalls fehlerhaften Komponente vom ersten Datenbus nicht ermöglicht, kann eine Datenkommunikation auf den zweiten Datenbus ausgelagert werden. Von dem zweiten Datenbus kann die defekte Komponente dank der separaten zweiten Schaltvorrichtung im Fall der defekten ersten Schaltvorrichtung der Komponente mit großer Wahrscheinlichkeit noch sicher getrennt werden, da ein Defekt beider Schaltvorrichtungen einer defekten Komponente vergleichsweise unwahrscheinlich ist. Die Ausfallsicherheit der Netzwerkkommunikation ist somit weiter erhöht und umfasst somit auch die Fehlerbehebung im Fall eines Ausfalls einer oder mehrerer der ersten Schaltvorrichtungen.

Gemäß einer weiteren Ausführungsform ist gemäß einer ersten Variante dieser Ausführungsform auch mindestens einer der zweiten Schalteingänge der zweiten Schaltvorrichtungen, insbesondere jeder zweite Schalteingang jeweils jeder der zweiten Schaltvorrichtungen, mit der ersten Überwachungseinheit verbunden, um die zweite Schaltvorrichtung individuell zum Schalten zwischen dem Verbindungszustand und dem Trennzustand anzusteuern. Außerdem ist gemäß dieser ersten Variante die erste Überwachungseinheit mit dem zweiten Datenbus verbunden, um die Datenkommunikation auf dem zweiten Datenbus zu überwachen und in Abhängigkeit von der Datenkommunikation auf dem zweiten Datenbus und/oder der Datenkommunikation auf dem ersten Datenbus auch die zweiten Schaltvorrichtungen anzusteuern.

Gemäß einer zweiten Variante dieser Ausführungsform umfasst das Fahrzeugnetzwerk eine zweite Überwachungseinheit, die mit mindestens einem der zweiten Schalteingänge der zweiten Schaltvorrichtungen, insbesondere mit jedem der zweiten Schalteingänge der zweiten Schaltvorrichtungen, verbunden ist, um die zweiten Schaltvorrichtungen individuell zum Schalten zwischen dem Verbindungszustand und dem Trennzustand anzusteuern. Gemäß der zweiten Variante ist die zweite Überwachungseinheit mit dem zweiten Datenbus verbunden, um die Datenkommunikation auf dem zweiten Datenbus zu überwachen und in Abhängigkeit von der Datenkommunikation auf dem zweiten Datenbus die zweiten Schaltvorrichtungen anzusteuern.

Gemäß der ersten Variante erfolgt eine zentrale Überwachung der Datenbusse und Schaltvorrichtungen mit einer einzelnen Überwachungseinheit und ist so mit vergleichsweise zu zwei Überwachungseinheiten geringerem technischen Aufwand realisierbar. Gemäß der zweiten Variante ist so nicht nur ein redundanter Bus zum Aufrechterhalten einer Kommunikation im Fall eines Ausfalls einer der ersten Schaltvorrichtungen bereitgestellt, sondern auch noch zusätzlich eine zweite Überwachungseinheit, die im Fall eines Ausfalls der ersten Überwachungseinheit weiterhin sicher die Datenkommunikation auf dem zweiten Datenbus überwachen kann. Die Ausfallsicherheit des Fahrzeugnetzwerks ist somit noch weiter erhöht.

Gemäß einer weiteren Ausführungsform umfasst das Fahrzeugnetzwerk ferner mehrere dritte Schaltvorrichtungen. Die dritten Schaltvorrichtungen umfassen jeweils einen Primärspannungseingang zum Verbinden mit einer Primärfahrzeugspannungsversorgung, insbesondere Primärfahrzeugbatterie, des Fahrzeugs und einen Spannungsausgang zum Verbinden mit einer der Komponenten des Fahrzeugs. Außerdem weisen die dritten Schaltvorrichtungen einen Primärspannungsverbindungszustand und einen Spannungstrennzustand auf. Im Primärspannungsverbindungszustand ist der Primärspannungseingang mit dem Spannungsausgang verbunden. Im Spannungstrennzustand ist der Primärspannungseingang von dem Spannungsausgang getrennt. Außerdem umfassen die dritten Schaltvorrichtungen jeweils einen dritten Schalteingang zum Ansteuern der dritten Schaltvorrichtung, um zwischen dem Primärspannungsverbindungszustand und dem Spannungstrennzustand zu schalten.

Im Fall, dass eine Komponente, die durch eine erste Schaltvorrichtung mit dem ersten Datenbus und durch eine zweite Schaltvorrichtung mit dem zweiten Datenbus verbunden ist, einen Fehler verursacht und zusätzlich die erste Schaltvorrichtung und die zweite Schaltvorrichtung fehlerhaft sind, ist dank der dritten Schaltvorrichtungen eine Trennung der fehlerverursachenden Komponente von der Spannungsversorgung durch die dritte Schaltvorrichtung möglich. Die fehlerhafte Komponente wird durch Schalten der dritten Schaltvorrichtung nicht mehr mit Energie versorgt und kann so, insbesondere im Fall eines vorherigen Dauersendens, nach dem Trennen keine Daten mehr auf den ersten und/oder zweiten Datenbus senden. Auch im Fall, dass die Komponente nur mit einer ersten Schaltvorrichtung mit einem ersten Datenbus verbunden ist, ist über die dritte Schaltvorrichtung im Fall eines Fehlers der ersten Schaltvorrichtung die Komponente von der Spannungsversorgung trennbar. Weiter können die dritten Schaltvorrichtungen auch zur schnellen Identifikation einer fehlerhaften Komponente verwendet werden, indem die Komponenten durch die dritten Schaltvorrichtungen sukzessiv spannungslos geschaltet werden, bis die Datenkommunikation auf dem ersten und/oder zweiten Datenbus wieder fehlerfrei funktioniert. Insbesondere sind auch auf den Bussen unterschiedliche Komponenten über die dritten Schaltvorrichtungen an- und abschaltbar, um in geeigneter Kombination möglichst schnell die fehlerhafte Komponente oder fehlerfreie Komponentenkombination zu identifizieren.

Gemäß einer weiteren Ausführungsform umfassen die dritten Schaltvorrichtungen jeweils ferner einen Sekundärspannungseingang zum Verbinden mit einer Sekundärfahrzeugspannungsversorgung, insbesondere Sekundärfahrzeugbatterie, des Fahrzeugs. Außerdem umfassen die dritten Schaltvorrichtungen einen Sekundärspannungsverbindungszustand zum Verbinden des Sekundärspannungseingangs mit dem Spannungsausgang. Besonders bevorzugt ist im Primärspannungsverbindungszustand gemäß dieser Ausführungsform der Sekundärspannungseingang von dem Spannungsausgang getrennt. Im Sekundärspannungsverbindungszustand ist vorzugsweise der Primärversorgungseingang vom Spannungsausgang getrennt und im Spannungstrennzustand sind der Primärspannungseingang und der Sekundärspannungseingang von dem Spannungsausgang getrennt.

Dank dieser Ausführungsform kann zusätzlich ein Fehler bei der Versorgung der Komponenten mit einer Primärfahrzeugspannungsversorgung durch die dritten Schaltvorrichtungen, nämlich durch Umschalten der Spannungsversorgung auf eine Sekundärfahrzeugspannungsversorgung, behoben werden. Gemäß einer weiteren Ausführungsform ist die erste Überwachungseinheit und/oder die zweite Überwachungseinheit oder mindestens eine Spannungsüberwachungseinheit mit jedem der dritten Schalteingänge der dritten Schaltvorrichtungen verbunden, um die dritten Schaltvorrichtungen individuell zum Schalten zwischen dem Primärspannungsverbindungszustand, insbesondere dem Sekundärspannungsverbindungszustand, und dem T rennspannungszustand anzusteuern.

Gemäß einer weiteren Ausführungsform sind der erste Datenbus und der zweite Datenbus nach demselben Kommunikationsstandard ausgebildet, wobei der Kommunikationsstandard beispielsweise ein CAN-Bus-Standard oder ein Ethernet-Standard, wie ein Automotive-Ethernet-Kommunikationsstandard, ist. Gemäß einer Alternative ist der erste Datenbus, basierend auf einem Kommunikationsstandard ausgebildet, der sich vom zweiten Datenbus unterscheidet. Der erste Datenbus ist beispielsweise ein CAN-Bus und der zweite Datenbus ein Ethernet-Kommunikationsbus.

Gemäß einer weiteren Ausführungsform umfassen die ersten Schaltvorrichtungen und/oder die zweiten Schaltvorrichtungen jeweils einen Schalter, um zwischen dem Trennzustand und dem Verbindungszustand umzuschalten, wobei die Schalter als elektromechanische Schalter, wie beispielsweise ein Relais zum Bereitstellen einer galvanischen Trennung, oder als elektronische Schalter, umfassend Transistoren, ausgeführt sind. Ebenfalls können Halbleiterrelais zu diesem Zweck eingesetzt werden, die auch eine galvanische Trennung bieten können. Bevorzugt sind die Schalter im unangesteuerten Zustand im Trennzustand.

Außerdem betrifft die Erfindung ein System mit einem Fahrzeugnetzwerk nach einer der vorgenannten Ausführungsformen und mehreren Komponenten. Jede der Komponenten weist jeweils eine erste Datenschnittstelle auf, die mit einer der ersten Komponentendatenschnittstellen einer der ersten Schaltvorrichtungen verbunden ist. Gemäß einer Ausführungsform des Systems weisen die mehreren Komponenten jeweils eine zweite Datenschnittstelle auf, die mit einer der zweiten Komponentendatenschnittstellen einer der zweiten Schaltvorrichtungen verbunden ist.

Demnach weist also jede Komponente eine erste Datenschnittstelle und eine zweite Datenschnittstelle auf, die jeweils mit unterschiedlichen Komponentendatenschnittstellen unterschiedlicher Schaltvorrichtungen verbunden sind. Im Fall eines Fehlers der Komponente und eines Fehlers einer der beiden verbundenen Schaltvorrichtungen kann somit die Komponente mit der anderen Schaltvorrichtung erfolgreich von einem Datenbus getrennt werden, der dann ohne Beeinflussung durch die Komponente weiterbetreibbar ist.

Gemäß einer weiteren Ausführungsform weisen die mehreren Komponenten jeweils genau einen Spannungseingang auf, der mit dem Spannungsausgang einer der jeweiligen Komponenten zugeordneten dritten Schaltvorrichtung verbunden ist. Die Komponenten sind über die dritten Schaltvorrichtungen entweder mit der Primärfahrzeugspannungsversorgung, vorzugsweise mit einer Sekundärfahrzeugspannungsversorgung, des Fahrzeugs verbindbar oder von beiden Spannungsversorgungen trennbar, um die jeweilige Komponente einzeln abzuschalten. Im Fall, dass neben einer Komponente die erste Schaltvorrichtung und die zweite Schaltvorrichtung, die der jeweiligen Komponente zugeordnet sind, einen Defekt aufweisen, kann über die dritte Schaltvorrichtung die Komponente spannungslos geschaltet werden, um beispielsweise einem Dauersenden der Komponente entgegenzuwirken.

Gemäß einer weiteren Ausführungsform entsprechen eine oder mehrere der Komponenten jeweils einem Aktorsteuergerät eines Aktors des Fahrzeugs. Derartige Aktorsteuergeräte sind beispielsweise Motorsteuergeräte, Bremssteuergeräte, Lenksteuergeräte. Ferner entspricht eine oder entsprechen mehrere Komponenten jeweils einem Autonomfahrsteuergerät, das auch als „Autonomous-Driving-Artificial-Intelligence“ oder „Virtual Driver“ bezeichnet wird. Das Autonomfahrsteuergerät stellt in Abhängigkeit von Zielvorgaben sowie Sensorinformationen, die von anderen verbundenen Steuergeräten abgerufen werden, Steuersignale zum Ansteuern der Aktorsteuergeräte bereit. Vorzugsweise ist eine Komponente oder sind mehrere Komponenten jeweils als Gateway ausgebildet. Ein Gateway dient zur Verbindung einer weiteren Komponente, die ebenfalls als Steuergerät ausgebildet sein kann und lediglich eine einzelne Datenschnittstelle aufweist zur Verbindung mit zwei Datenbussen über eine erste Schaltvorrichtung und eine zweite Schaltvorrichtung. Hierzu umfasst ein Gateway eine Schnittstelle für eine Datenschnittstelle einer weiteren Komponente sowie zwei weitere Schnittstellen, um mit einer ersten Schaltvorrichtung und einer zweiten Schaltvorrichtung verbunden zu werden.

Durch ein Gateway können somit auch Komponenten, wie beispielsweise Aktuatorsteuergeräte, die lediglich eine einzelne Datenschnittstelle aufweisen, im Fall eines Fehlers von einem oder beiden Datenbussen getrennt werden.

Gemäß einer weiteren Ausführungsform sind mehrere der Komponenten als Primärkomponenten und andere der Komponenten als Sekundärkomponenten ausgebildet, wobei jede Sekundärkomponente vorzugsweise identisch zu genau einer Primärkomponente ist. Das heißt, einige Komponenten, insbesondere sicherheitsrelevante Komponenten, wie beispielsweise die autonome Fahrzeugsteuerung oder auch das Bremssteuergerät werden gemäß dieser Ausführungsform doppelt im System bereitgestellt, nämlich einmal als Primärkomponente und einmal als Sekundärkomponente. Im Fall eines Fehlers der Primärkomponente kann so auf den Betrieb der Sekundärkomponente umgeschaltet werden. Dies kann durch Trennen bzw. Verbinden mit den ersten, zweiten und/oder dritten Schaltvorrichtungen erfolgen.

Gemäß einer weiteren Ausführungsform sind die Komponenten und die Schaltvorrichtungen in separierten Gehäusen angeordnet. Insbesondere ist demnach jede der ersten Schaltvorrichtungen jeweils in einem einzelnen Gehäuse untergebracht. Außerdem ist jede der zweiten Schaltvorrichtungen jeweils in einem einzelnen Gehäuse untergebracht. Zudem ist jede der Komponenten jeweils in einem einzelnen Gehäuse untergebracht. Hierdurch ist sichergestellt, dass im Fall eines Feuchtigkeitseintritts in eines der Gehäuse durch den Defekt des Gehäuses, beispielsweise eines der Gehäuse der Komponenten oder der Schaltvorrichtungen, nur die entsprechende Schaltvorrichtung oder Komponente durch die Feuchtigkeit beeinflusst wird.

Ein durch beispielsweise Spritzwasser mit Flüssigkeit gefülltes Gehäuse führt häufig zu Defekten, beispielsweise durch Kurzschlüsse, so dass eine Funktionalität eines elektrischen Bauteils in dem Gehäuse nicht mehr sichergestellt werden kann. Derartige Kurzschlüsse oder Schäden durch Feuchtigkeit, wie größere Mengen von Wasser, führen häufig nicht unmittelbar zu einem kompletten Ausfall des elektronischen Bauteils des Gehäuses, sondern zu einem Fehlverhalten, dass sich beispielsweise auch in Form eines Dauersendens im Fall einer Komponente äußern kann. Dadurch, dass zumindest die ersten Schaltvorrichtungen und die zweiten Schaltvorrichtungen in separaten Gehäusen zu den Komponenten angeordnet werden, kann im Fall einer defekten Komponente davon ausgegangen werden, dass die Gehäuse der Schaltvorrichtungen weiterhin einem Feuchtigkeits- oder Wassereintritt sicher entgegenwirken. Auch im Fall, dass die erste Schaltvorrichtung oder die zweite Schaltvorrichtung durch Wassereintritt oder Feuchtigkeitseintritt einem Defekt unterliegt und somit eine zugeordnete Komponente nicht mehr vom entsprechend zugeordneten Datenbus trennbar ist, ist durch die separate Unterbringung der Schaltvorrichtungen in unterschiedlichen Gehäusen die Wahrscheinlichkeit erhöht, dass zumindest die andere Schaltvorrichtung eine Trennung der Komponente vom zugeordneten Datenbus ermöglicht.

Außerdem betrifft die Erfindung ein Fahrzeug mit einem Fahrzeugnetzwerk nach einer der vorgenannten Ausführungsformen oder einem System nach einer der vorgenannten Ausführungsformen. Das Fahrzeug ist vorzugsweise ein Nutzfahrzeug, wie ein Lastkraftwagen, oder ein Sattelschlepper.

Weiterhin betrifft die Erfindung ein Verfahren zum Überwachen eines

Fahrzeugnetzwerks nach einer der vorgenannten Ausführungsformen oder eines Systems nach einer der vorgenannten Ausführungsformen. Gemäß dem Verfahren wird ein erster Datenbus mit einer ersten Überwachungseinheit überwacht. Daraufhin wird eine fehlerhafte Datenkommunikation auf dem ersten Datenbus identifiziert. Eine fehlerhafte Datenkommunikation kann beispielsweise dann vorliegen, wenn eine bestimmte Menge einer Datenübertragung überschritten wird oder unerwartet viele Datenpakete von ein und derselben Komponente vorliegen, wohingegen gleichzeitig unerwartet wenige Datenpakete einer anderen Komponente vorliegen. Vorzugsweise sind Anforderungen an die Datenkommunikation vordefiniert und in der Überwachungseinheit hinterlegt, die eine Unterscheidung zwischen einer fehlerhaften Datenkommunikation und einer fehlerfreien Datenkommunikation durch die Überwachungseinheit erkennen lassen. Eine fehlerfreie Datenkommunikation liegt demnach beispielsweise dann vor, wenn Datenpakete und Datenmengen auf dem Datenbus üblichen Mengen an Datenpaketen mit üblichen Datensendern und Datenempfängern entsprechen. Eine übliche Datenkommunikation kann für deren Vordefinition und Hinterlegung in der Überwachungseinheit durch Versuche oder auch Simulationen vorab bestimmt werden.

Ferner umfasst das Verfahren das Ansteuern der ersten Schaltvorrichtungen und/oder der dritten Schaltvorrichtungen zum Identifizieren einer Fehlerquelle, nämlich insbesondere einer mit dem ersten Datenbus über die erste Schaltvorrichtung verbundenen fehlerhaften Komponente oder einer fehlerhaften ersten Schaltvorrichtung. Weiter umfasst das Verfahren das Ansteuern der ersten Schaltvorrichtungen und/oder der dritten Schaltvorrichtungen in Abhängigkeit von der identifizierten Fehlerquelle zum Wiederherstellen einer fehlerfreien Kommunikation.

Gemäß einer Ausführungsform des Verfahrens umfasst dieses ferner das Überwachen des zweiten Datenbusses mit der ersten Überwachungseinheit oder der zweiten Überwachungseinheit. Ferner wird eine fehlerhafte Datenkommunikation auf dem ersten Datenbus oder dem zweiten Datenbus durch das Überwachen identifiziert. Außerdem werden die ersten Schaltvorrichtungen und/oder die zweiten Schaltvorrichtungen und insbesondere die dritten Schaltvorrichtungen zum Identifizieren einer Fehlerquelle, die die fehlerhafte Datenkommunikation verursacht, angesteuert. Die Fehlerquelle kann eine fehlerhafte Schaltvorrichtung, eine fehlerhafte Komponente oder eine fehlerhafte Überwachungseinheit selbst sein. Außerdem werden die ersten Schaltvorrichtungen und/oder zweiten Schaltvorrichtungen und insbesondere die dritten Schaltvorrichtungen in Abhängigkeit von der identifizierten Fehlerquelle angesteuert.

Gemäß einer weiteren Ausführungsform erfolgt das Überwachen des ersten Datenbusses und/oder des zweiten Datenbusses sequenziell, beispielsweise in vordefinierten zeitlichen Abständen. Insbesondere erfolgt das Überwachen bei einer Systemprüfung des Fahrzeugs vor Fahrtantritt.

Gemäß einer weiteren Ausführungsform werden zum Identifizieren der Fehlerquelle die ersten Schaltvorrichtungen und/oder zweiten Schaltvorrichtungen und vorzugsweise die dritten Schaltvorrichtungen derart angesteuert, bis eine fehlerhafte Datenkommunikation wieder fehlerfrei wird. Eine Identifizierung erfolgt beispielsweise in dem Fall, dass keine fehlerhafte Datenkommunikation mehr erkannt wird, sobald die Fehlerquelle getrennt ist. Insbesondere erfolgt demnach beispielsweise das Trennen aller Komponenten mit den ersten Schaltvorrichtungen vom ersten Datenbus und das nacheinander Wiederverbinden der einzelnen Komponenten mit dem ersten Datenbus. Dies kann beispielsweise priorisiert gesteuert werden, so dass bestimmte Komponenten, nämlich insbesondere sicherheitsrelevante Komponenten zuerst wieder mit dem ersten Datenbus über die ersten Schaltvorrichtungen verbunden werden. Sobald die Datenkommunikation fehlerhaft wird, ist auch die fehlerhafte Komponente identifiziert. Lässt sich demgegenüber durch Umschalten der ersten Schaltvorrichtungen in den Trennzustand die Datenkommunikation auf dem ersten Datenbus nicht in eine fehlerfreie Datenkommunikation ändern, so ist dies als Indiz für eine fehlerhafte erste Schaltvorrichtung zu werten, so dass eine damit verbundene Komponente nicht vom ersten Datenbus getrennt werden kann. In diesem Fall kann durch Trennen aller Komponenten mit der zweiten Schaltvorrichtung vom zweiten Datenbus und aufeinanderfolgendes Zuschalten der einzelnen Komponenten über die zweite Schaltvorrichtung eine Fehlerquelle weiter identifiziert werden. Sollte auch hier ein Problem in einer der zweiten Schaltvorrichtungen vorliegen, so kann vorzugsweise eine Komponente über die dritte Schaltvorrichtung spannungslos geschaltet werden, um deren Kommunikationsschnittstelle mit dem ersten Datenbus und zweiten Datenbus zu deaktivieren. Besonders bevorzugt wird im Fall einer identifizierten Komponente, die eine Fehlerquelle ist und gleichzeitig einer Primärkomponente entspricht, die der Primärkomponente entsprechende Sekundärkomponente mit dem ersten Datenbus und/oder dem zweiten Datenbus verbunden.

Gemäß einer weiteren Ausführungsform wird zum Identifizieren einer fehlerhaften Komponente eine erste Teilmenge der Komponenten, insbesondere umfassend mehrere oder alle Primärkomponenten, mit den zweiten Schaltvorrichtungen vom zweiten Datenbus getrennt und bleibt mit dem ersten Datenbus verbunden. Eine zweite Teilmenge der Komponenten, insbesondere umfassend mehrere oder alle Sekundärkomponenten, wird mit den ersten Schaltvorrichtungen vom ersten Datenbus getrennt und bleibt mit dem zweiten Datenbus verbunden. Vorzugsweise wird eine dritte Teilmenge der Komponenten, insbesondere umfassend alle Komponenten, die weder einer Primärkomponente noch einer Sekundärkomponente entsprechen, von beiden Datenbussen getrennt. Auf diese Weise wird mit großer Wahrscheinlichkeit einer der beiden Datenbusse mit den angeschlossenen Komponenten fehlerfrei, so dass eine Aufrechterhaltung des Betriebs des Fahrzeugs mit allen sicherheitsrelevanten Funktionen gewährleitet wird. Ein fehlerhafter anderer der beiden Datenbusse kann dann gemäß der obigen Ausführungen geprüft werden, um die Fehlerquelle zu isolieren. Insbesondere können auch die fehlerfreien Komponenten der getrennten Teilmengen der Komponenten sukzessive wieder zugeschaltet werden.

Gemäß einer weiteren Ausführungsform umfasst das Verfahren das Trennen der erkannten Fehlerquelle vom ersten Datenbus und/oder vom zweiten Datenbus und/oder von der Spannungsversorgung. Im Fall, dass die fehlerhafte Komponente eine Primärkomponente ist, umfasst das Verfahren das Verbinden der Sekundärkomponente mit dem ersten Datenbus und/oder dem zweiten Datenbus und das Trennen der fehlerhaften zugeordneten Primärkomponente.

Weitere Ausführungsformen ergeben sich anhand der in den Figuren näher erläuterten Ausführungsbeispiele. Hierbei zeigen:

Fig. 1 ein erstes Ausführungsbeispiel des Systems,

Fig. 2 ein zweites Ausführungsbeispiel des Systems,

Fig. 3 ein drittes Ausführungsbeispiel des Systems und

Fig. 4 die Schritte des Verfahrens gemäß einem Ausführungsbeispiel.

Fig. 1 zeigt ein Fahrzeugnetzwerk 10 eines Systems 12. Das System 12 umfasst mehrere Komponenten 14 und das Fahrzeugnetzwerk 10 zur Datenkommunikation zwischen den Komponenten 14 gemäß einem ersten Ausführungsbeispiel. Das Fahrzeugnetzwerk 10 umfasst einen ersten Datenbus 16 und einen zweiten Datenbus 18. Der erste Datenbus 16 ist sternförmig mit mehreren ersten Schaltvorrichtungen 20 verbunden. Die ersten Schaltvorrichtungen 20 weisen hierzu jeweils eine erste Datenbusdatenschnittstelle 22 auf, die mit dem ersten Datenbus 16 verbunden ist. Jede der ersten Schaltvorrichtungen 20 umfasst zudem eine erste Komponentendatenschnittstelle 24, die eingerichtet ist, mit einer ersten Datenschnittstelle 25 einer der Komponenten 14 verbunden zu werden. Ferner weist jede der ersten Schaltvorrichtungen 20 einen ersten Schalteingang 26 auf, der es ermöglicht, die erste Schaltvorrichtung 20 zwischen zwei Zuständen umzuschalten.

Ferner ist eine erste Überwachungseinheit 28 dargestellt, die mit dem ersten Datenbus 16 verbunden ist, um eine Datenkommunikation 30 auf dem ersten Datenbus 16 zu überwachen. Über separate erste Steuerleitungen 32 ist die erste Überwachungseinheit 28 mit jeder der ersten Schaltvorrichtungen 20 verbunden, um diese zwischen einem Verbindungszustand und einem Trennzustand umzuschalten. In Fig. 1 sind alle ersten Schaltvorrichtungen 20 durch einen Schalter 34 der ersten Schaltvorrichtungen 20 im Verbindungszustand 36 dargestellt. Im Verbindungszustand 36 ist die erste Datenbusdatenschnittstelle 22 mit der ersten Komponentendatenschnittstelle 24 verbunden, so dass eine der ersten Schaltvorrichtungen 20 zugeordnete Komponente 14 mit dem ersten Datenbus 16 verbunden ist.

Der zweite Datenbus 18 ist mit mehreren zweiten Schaltvorrichtungen 40 verbunden, die jeweils identisch zur ersten Schaltvorrichtung 20 ausgebildet sind. Demnach umfassen auch die zweiten Schaltvorrichtungen 40 eine Datenbusdatenschnittstelle 42, die mit dem zweiten Datenbus 18 verbunden ist und eine Komponentendatenschnittstelle 44, die jeweils mit einer zweiten Datenschnittstelle 45 einer der Komponenten 14 verbindbar ist. Zudem ist ein zweiter Schalteingang 46 vorgesehen, um die zweiten Schaltvorrichtungen 40 zwischen einem Verbindungszustand und einem Trennzustand umzuschalten. Hierzu ist eine zweite Überwachungseinheit 48 vorgesehen, die über separate zweite Steuerleitungen 52 mit den zweiten Schalteingängen 46 verbunden ist, um die zweiten Schaltvorrichtungen 40 umzuschalten. Ferner ist die zweite Überwachungseinheit 48 zur Überwachung des zweiten Datenbusses 18 auch mit dem zweiten Datenbus 18 verbunden.

Die Komponenten 14 umfassen Primärkomponenten 54 und Sekundärkomponenten 56. Einer Primärkomponente 54 ist jeweils genau eine Sekundärkomponente 56 zugeordnet. Einander zugeordnete Primärkomponenten 54 und Sekundärkomponenten 56 sind über eine Datenleitung 58 jeweils zusätzlich miteinander verbunden. Außerdem umfassen die Komponenten 14 hier ein Gateway 60, um eine weitere Komponente 62 mit beiden Datenbussen 16, 18 über die zugeordneten ersten und zweiten Schaltvorrichtungen 20, 40 zu verbinden. Unabhängig davon, ob eine Komponente 14 als Primärkomponente 54 redundant durch eine Sekundärkomponente 56 ausgebildet ist oder eine Komponente 14 nicht redundant bereitgestellt ist, sind einige der Komponenten 14 als Aktuatorsteuergeräte 64 ausgebildet. Weitere Komponenten 14 sind als Autonomfahrsteuergeräte 66 ausgebildet.

In Fig. 1 ist dargestellt, dass jede der ersten Schaltvorrichtungen 20 in einem einzelnen Gehäuse 68 angeordnet ist. Auch jede der zweiten Schaltvorrichtungen 40 ist in einem einzelnen Gehäuse 68 angeordnet. Zudem sind auch die erste Überwachungseinheit 28 und die zweite Überwachungseinheit 48 jeweils in einem Gehäuse 68 angeordnet. Jede der Komponenten 14 weist ebenfalls ein einzelnes Gehäuse 68 auf. Schaltvorrichtungen 20, 40, Überwachungseinheiten 28, 48 und Komponenten 14 weisen somit separate Gehäuse 68 auf. Die Gehäuse 68 sind Gehäuse, die das jeweilige darin untergebrachte Bauteil gegen Feuchtigkeit und zumindest Spritzwasser schützen.

Fig. 2 zeigt einen alternativen Aufbau eines Systems 12, bei dem die erste Überwachungseinheit 28 und die zweite Überwachungseinheit 48 jeweils in eine Komponente 14 integriert sind. Die Komponenten 14 entsprechen jeweils einem Autonomfahrsteuergerät 66 aus Fig. 1 , die wie in Fig. 1 als Primärkomponente 54 und Sekundärkomponente 56 ausgebildet sind.

Demnach umfasst das System 12 in Fig. 2 eine Primärkomponente 54, die als Autonomfahrsteuergerät 66 ausgebildet ist und die erste Überwachungseinheit 28 umfasst. Das erste Autonomfahrsteuergerät 66 und die erste Überwachungseinheit 28 sind in einem gemeinsamen Gehäuse 68 untergebracht. Ferner ist die zugeordnete Sekundärkomponente 56 ebenfalls derart ausgebildet, dass sie die zweite Überwachungseinheit 48 umfasst und als ein redundantes Autonomfahrsteuergerät 66 ausgebildet ist. Die Primärkomponente 54 mit der ersten Überwachungseinheit 28 wird hier als primäre Kombinationseinheit 70 und die Sekundärkomponente 56 mit der zweiten Überwachungseinheit 48 als sekundäre Kombinationseinheit 72 bezeichnet. Die erste und die zweite Kombinationseinheit 70, 72 umfassen jeweils einen Sollwertgenerator 67, einen Trajektorieplaner 69 und einen Regler 71 , die über ein weiteres Gateway 73 mit jeweiligen Datenbussen 16, 18 verbunden sind.

Die primäre Kombinationseinheit 70 ist über einzelne erste Steuerleitungen 32 wie in Fig. 1 mit ersten Schaltvorrichtungen 20 verbunden. Die ersten Schaltvorrichtungen 20 sind ansonsten identisch zur Fig. 1 aufgebaut.

Demnach entsprechen gleiche Bezugszeichen in den Fig. 1 und 2 gleichen Merkmalen. Dementsprechend sind über zweite Steuerleitungen 52 zweite Schaltvorrichtungen 40 mit der sekundären Kombinationseinheit 72 verbunden. Auch diese zweiten Schaltvorrichtungen 40 sind identisch zu denen in Fig. 1 .

Die entsprechenden Überwachungseinheiten 28, 48 dienen zum Ansteuern der ersten Schaltvorrichtungen 20 bzw. der zweiten Schaltvorrichtungen 40. Zudem verbindet der erste Datenbus 16 die primäre Kombinationseinheit 70 mit den ersten Schaltvorrichtungen 20 sternförmig. Analog verbindet der zweite Datenbus 18 die sekundäre Kombinationseinheit 72 mit den zweiten Schaltvorrichtungen 40. Jede der Komponenten 14, die nicht der primären Kombinationseinheit 70 oder sekundären Kombinationseinheit 72 entsprechen, sind jeweils einerseits mit einer ersten Schaltvorrichtung 20 und andererseits mit einer zweiten Schaltvorrichtung 40 über ihre Datenschnittstellen 25, 45 verbunden. Zudem ist die weitere Komponente 62 wie in Fig. 1 dargestellt.

Fig. 3 zeigt ein weiteres Ausführungsbeispiel des Systems 12. Im Wesentlichen entspricht der Aufbau des Systems 12 in Fig. 3 dem in Fig. 1 dargestellten System 12. Gleiche Merkmale in den Fig. 1 und 3 weisen demnach auch gleiche Bezugszeichen auf.

Im Unterschied zur Fig. 1 sind jedoch dritte Schaltvorrichtungen 80 bereitgestellt. Die Schaltvorrichtungen 80 umfassen jeweils einen Primärspannungseingang 82, einen Sekundärspannungseingang 84 und einen Spannungsausgang 86. Jeder der Primärspannungseingänge 82 ist mit einer Primärfahrzeugspannungsversorgung 88 verbunden und jeder der Sekundärspannungseingänge 84 ist mit einer Sekundärfahrzeugspannungsversorgung 90 verbunden. Die Spannungsausgänge 86 sind jeweils mit einem Spannungseingang 91 einer Komponente 14 oder einer weiteren Komponente 62 verbunden. Außerdem weist jede der dritten Schaltvorrichtungen 80 einen dritten Schalteingang 92 auf. Die Schalteingänge 92 dienen jeweils zum Umschalten eines jeweiligen Schalters 94 in jeder der dritten Schaltvorrichtungen 80. Die Schaltvorrichtungen sind teilweise mit einer ersten Spannungsüberwachungseinheit 96 und teilweise mit einer zweiten Spannungsüberwachungseinheit 98 verbunden, wobei die erste Spannungsüberwachungseinheit 96 und die zweite Spannungsüberwachungseinheit 98 über diese Verbindungen, die als dritte Steuerleitungen 100 ausgebildet sind, die Schalter 94 zwischen drei Zuständen umschalten können. Die erste Spannungsüberwachungseinheit 96 ist mit der ersten Überwachungseinheit 28 in einem ersten Gehäuse 102 kombiniert und wird als erste Kombinationsüberwachung 103 bezeichnet. Die zweite Spannungsüberwachungseinheit 98 ist mit der zweiten Überwachungseinheit 48 in einem zweiten Gehäuse 104 kombiniert und wird als zweite Kombinationsüberwachung 106 bezeichnet. Die erste Spannungsüberwachungseinheit 96 ist ferner mit der Primärfahrzeugspannungsversorgung 88 verbunden, um die Spannung zu prüfen und in Abhängigkeit von dieser Spannung die mit der ersten Spannungsüberwachungseinheit 96 verbundenen dritten Schaltvorrichtungen 80 zu schalten. Die zweite Spannungsüberwachungseinheit 98 ist mit der Sekundärfahrzeugspannungsversorgung 90 verbunden, um deren Spannung zu überwachen und in Abhängigkeit von dieser Spannung die dritten Schaltvorrichtungen 80, die mit der zweiten Spannungsüberwachungseinheit 98 verbunden sind, zu schalten. Eine vorteilhafte dargestellte Ausbildung des Systems 12 zeigt, dass die erste Spannungsüberwachungseinheit 96 die dritten Schaltvorrichtungen steuert, die zumindest mit den Primärkomponenten 54 verbunden sind, um diese mit Spannung zu versorgen. Die zweite Spannungsüberwachungseinheit 98 ist mit den dritten Schaltvorrichtungen 80 verbunden, die mit Sekundärkomponenten 56 verbunden sind, um diese mit Spannung zu versorgen. Fig. 4 zeigt die Schritte eines Verfahrens 110 gemäß einem Ausführungsbeispiel zum Überwachen eines Fahrzeugnetzwerks 10. Zunächst wird ein Schritt 112 ausgeführt, der Schritte 114, 116, 118, 120 umfasst und sequenziell in einem zeitlichem Abstand 122 immer wieder ausgeführt wird.

Im Schritt 114 erfolgt eine Überwachung eines ersten Datenbusses 16 mit einer ersten Überwachungseinheit 28. Im Schritt 116 erfolgt eine Überwachung eines zweiten Datenbusses 18 mit einer zweiten Überwachungseinheit 48. Im Schritt 118 erfolgt eine Überwachung einer Spannung einer Primärfahrzeugspannungsversorgung 88 mit einer ersten Spannungsüberwachungseinheit 96. Im Schritt 120 erfolgt eine Überwachung einer Spannung einer Sekundärfahrzeugspannungsversorgung 90 mit einer zweiten Spannungsüberwachungseinheit 98. Wird bei der Überwachung im Schritt 112 ein Fehler identifiziert, so werden unterschiedliche Maßnahmen in Abhängigkeit von diesem Fehler getroffen.

Im Fall, dass durch die erste Überwachungseinheit 28 eine fehlerhafte Datenkommunikation auf dem ersten Datenbus 16 im Schritt 124 erkannt wird, erfolgt im Schritt 126 eine Identifikation einer fehlerhaften Komponente. Hierzu werden zunächst alle ersten Schaltvorrichtungen 20 im Schritt 128 vom Verbindungszustand 34 in einen Trennzustand 130 überführt. Im Schritt 132, der mehrmals wiederholt ausgeführt wird, werden dann nacheinander die ersten Schaltvorrichtungen 20 wieder in den Verbindungszustand 36 zurückgeschaltet. Der Schritt 132 wird dazu mehrfach ausgeführt, wobei in jedem Schritt 132 eine der Komponenten zugeschaltet wird. Parallel wird im Schritt 134 weiterhin die Datenkommunikation überwacht. Bewirkt das Zuschalten einer Komponente durch die erste Schaltvorrichtung 20, dass wieder eine fehlerhafte Datenkommunikation auftritt, so ist die fehlerhafte Komponente 14 identifiziert.

Wird bereits im Schritt 132 festgestellt, dass trotz Herstellen des Trennzustands 130 aller ersten Schaltvorrichtungen 20 weiterhin eine fehlerhafte Datenkommunikation vorliegt, so liegt eine defekte erste Schaltvorrichtung 20 vor. In diesem Fall wird der Verbindungszustand 36 nicht erneut durch Schritt 132 hergestellt, da der Fehler auf dem ersten Datenbus 16 durch Schalten der ersten Schaltvorrichtungen 20 nicht behoben werden kann. In diesem Fall wird der erste Datenbus 16 nicht mehr für die Kommunikation verwendet und im Schritt 136 lediglich der zweite Datenbus 18 für die Kommunikation verwendet.

Lässt sich, wie zuvor beschrieben, jedoch eine fehlerhafte Komponente im Schritt 132 erkennen, so wird im Schritt 138 die fehlerhafte Komponente 14 vom ersten Datenbus durch die erste Schaltvorrichtung 20 getrennt und im Fall, dass die Komponente 14 eine Primärkomponente 54 ist, die zugeordnete Sekundärkomponente 56 verwendet, um die Gesamtfunktion des Systems 12 aufrechtzuerhalten. Schritt 112 wird wieder ausgeführt.

Wird nun im Schritt 116 bei der Überwachung ein Fehler auf dem zweiten Datenbus 18 im Schritt 140 erkannt, so wird ebenfalls in einem Schritt 142 versucht, den Fehler zu identifizieren. Hierzu werden wiederum im Schritt 144 alle Komponenten 14 in den Trennzustand 130 überführt und im Schritt 146 über die zweiten Schaltvorrichtungen 48 die Komponenten 14 analog zum Schritt 132 zugeschaltet. Wird bei diesem Zuschalten eine weitere fehlerhafte Komponente 14 erkannt, so wird diese vom zweiten Datenbus 18 getrennt und im Fall, dass diese eine Primärkomponente 54 ist, die Sekundärkomponente 56 mit dem zweiten Datenbus 18 im Schritt 148 verbunden. Wird im Schritt 146 festgestellt, dass trotz Trennen aller Komponenten 14 vom zweiten Datenbus 18 weiterhin eine fehlerhafte Datenkommunikation auf dem zweiten Datenbus 18 erfolgt, ist dies als Hinweis für eine weitere defekte zweite Schaltvorrichtung 40 zu werten. Im Schritt 150 wird dies festgestellt. Daraufhin werden über dritte Schaltvorrichtungen im Schritt 152 alle Komponenten 14 spannungslos geschaltet. Die dritten Schaltvorrichtungen schalten hierzu in einen Spannungstrennzustand 154. Im Schritt 156 werden dann die Komponenten 14 wieder nacheinander in einen Primärspannungsverbindungszustand 158 geschaltet, bis der Fehler wieder auftaucht. Die verursachende Komponente 14 wird somit identifiziert und von der Spannung mit der zugeordneten dritten Schaltvorrichtung 80 getrennt. Ist diese Komponente 14 eine Primärkomponente 54, wird das System 12 mit der Sekundärkomponente 56 weiterbetrieben. Schritt 112 wird wieder ausgeführt.

Unabhängig oder zusätzlich zum bisher beschriebenen Verfahren 110, wird mit der ersten Spannungsüberwachungseinheit im Schritt 118 die Primärfahrzeugspannungsversorgung 88 überwacht und im Schritt 120 wird mit der zweiten Spannungsüberwachungseinheit 98 die Spannung der Sekundärfahrzeugspannungsversorgung 90 überwacht. Wird im Schritt 160 eine fehlerhafte Spannung der Primärfahrzeugspannungsversorgung 88 oder der Sekundärfahrzeugspannungsversorgung 90 detektiert, werden im Schritt 162 die dritten Schaltvorrichtungen 80 in Abhängigkeit von der im Schritt 160 festgestellten fehlerhaften Spannung derart geschaltet, dass die Komponenten 14 in einem Primärspannungsverbindungszustand 158 der dritten Schaltvorrichtungen 80 entweder mit der Primärfahrzeugspannungsversorgung oder in einem Sekundärspannungsverbindungszustand 166 der dritten Schaltvorrichtungen 80 mit einer Versorgungsspannung der Sekundärfahrzeugspannungsversorgung 90 versorgt werden. Daraufhin wird wieder Schritt 112 ausgeführt.

Bezugszeichen (Teil der Beschreibung):

10 Fahrzeugnetzwerk

12 System

14 Komponenten

16 erster Datenbus

18 zweiter Datenbus

20 erste Schaltvorrichtungen

22 erste Datenbusdatenschnittstelle

24 erste Komponentendatenschnittstelle

25 erste Datenschnittstelle

26 erster Schalteingang

28 erste Überwachungseinheit

30 Datenkommunikation

32 erste Steuerleitungen

34 Schalter

36 Verbindungszustand

40 zweite Schaltvorrichtungen

42 zweite Datenbusdatenschnittstelle

44 Komponentendatenschnittstelle

45 zweite Datenschnittstelle

46 zweiter Schalteingang

48 zweite Überwachungseinheit

52 zweite Steuerleitungen

54 Primärkomponenten

56 Sekundärkomponenten

58 Datenleitung

60 Gateway

62 weitere Komponenten

64 Aktuatorsteuergeräte

66 Autonomfahrsteuergerät

67 Sollwertgenerator

68 Gehäuse Trajektorieplaner primäre Kombinationseinheit Regler sekundäre Kombinationseinheit weiteres Gateway dritte Schaltvorrichtungen Primärspannungseingang

Sekundärspannungseingang Spannungsausgang Primärfahrzeugspannungsversorgung Sekundärfahrzeugspannungsversorgung Spannungseingang dritter Schalteingang

Schalter erste Spannungsüberwachungseinheit zweite Spannungsüberwachungseinheit dritte Steuerleitungen erstes Gehäuse erste Kombinationsüberwachung zweites Gehäuse zweite Kombinationsüberwachung

Verfahren

Überwachen

Überwachen eines ersten Datenbusses Überwachen eines zweiten Datenbusses Überwachen einer Spannung einer Primärfahrzeugspannungsversorgung Überwachung einer Spannung einer Sekundärfahrzeugspannungsversorgung zeitlichem Abstand

Erkennen fehlerhafte Datenkommunikation

Identifizieren fehlerhafte Komponente Überführen Verbindungszustand in Trennzustand Trennzustand

Zurückschalten erste Schaltvorrichtungen

Überwachen Datenkommunikation

Verwenden zweiter Datenbus für die Kommunikation

Trennen fehlerhafte Komponente vom ersten Datenbus

Erkennen Fehler

Identifizieren Fehler

Überführen Komponenten in Trennzustand

Zuschalten Komponenten über die zweiten Schaltvorrichtungen

Verbinden Sekundärkomponente mit dem zweiten Datenbus

Feststellen fehlerhafte Datenkommunikation auf dem zweiten Datenbus

Schalten Komponenten spannungslos

Spannungstrennzustand

Schalten Komponenten in Primärspannungsverbindungszustand

Primärspannungsverbindungszustand

Detektieren fehlerhafte Spannung der

Primärfahrzeugspannungsversorgung

Schalten der dritten Schaltvorrichtungen

Sekundärspannungsverbindungszustand

Claims

Patentansprüche:

1. Fahrzeugnetzwerk (10) zur Datenkommunikation (30) zwischen Komponenten (14) eines Fahrzeugs, wobei das Fahrzeugnetzwerk (10) umfasst: einen ersten Datenbus (16), mindestens zwei erste Schaltvorrichtungen (20), die jeweils aufweisen: eine erste Datenbusdatenschnittstelle (22) zum Verbinden mit dem ersten Datenbus (16), eine erste Komponentendatenschnittstelle (24) zum Verbinden mit einer der Komponenten (14) des Fahrzeugs, einen Verbindungszustand (36), in dem die erste Datenbusdatenschnittstelle (22) mit der ersten Komponentendatenschnittstelle (24) verbunden ist, einen Trennzustand (130), in dem die erste Datenbusdatenschnittstelle (22) von der Komponentendatenschnittstelle (24) getrennt ist und einen ersten Schalteingang (26) zum Ansteuern der ersten Schaltvorrichtung (20), um zwischen dem Verbindungszustand (36) und dem Trennzustand (130) zu schalten, eine erste Überwachungseinheit (28), die mit mindestens einem, insbesondere jedem, der ersten Schalteingänge (26) der ersten Schaltvorrichtungen (20) verbunden ist, um die ersten Schaltvorrichtungen (20) individuell zum Schalten zwischen dem Verbindungszustand (36) und dem Trennzustand (130) anzusteuern, wobei die erste Überwachungseinheit (28) mit dem ersten Datenbus (16) verbunden ist, um die Datenkommunikation (30) auf dem ersten Datenbus (16) zu überwachen und um in Abhängigkeit von der Datenkommunikation (30) auf dem ersten Datenbus (16) die ersten Schaltvorrichtungen (20) anzusteuern.

2. Fahrzeugnetzwerk (10) nach Anspruch 1 , wobei das Fahrzeugnetzwerk (10) ferner umfasst: einen zweiten Datenbus (18), mindestens zwei zweite Schaltvorrichtungen (40), die jeweils aufweisen: eine zweite Datenbusdatenschnittstelle (42) zum Verbinden mit dem zweiten Datenbus (18), eine zweite Komponentendatenschnittstelle (44) zum Verbinden mit einer der Komponenten (14) des Fahrzeugs, die bereits mit einer ersten Komponentendatenschnittstelle (24) einer ersten Schaltvorrichtung (20) verbunden ist, einen Verbindungszustand (36), in dem die zweite Datenbusdatenschnittstelle (42) mit der zweiten Komponentendatenschnittstelle (44) verbunden ist, einen Trennzustand (130), in dem die zweite Datenbusdatenschnittstelle (42) von der zweiten Komponentendatenschnittstelle (44) getrennt ist und einen zweiten Schalteingang (46) zum Ansteuern der zweiten Schaltvorrichtung (40), um zwischen dem Verbindungszustand (36) und dem Trennzustand (130) zu schalten.

3. Fahrzeugnetzwerk (10) nach Anspruch 2, wobei entweder: a) die erste Überwachungseinheit (28) mit mindestens einem, insbesondere jedem, der zweiten Schalteingänge (46) der zweiten Schaltvorrichtungen (40) verbunden ist, um die zweiten Schaltvorrichtungen (40) individuell zum Schalten zwischen dem Verbindungszustand (36) und dem Trennzustand (130) anzusteuern und die erste Überwachungseinheit (28) mit dem zweiten Datenbus (18) verbunden ist, um die Datenkommunikation auf dem zweiten Datenbus (18) zu überwachen und um in Abhängigkeit von der Datenkommunikation (30) auf dem zweiten Datenbus (18) und/oder der Datenkommunikation (30) auf dem ersten Datenbus (16) die zweiten Schaltvorrichtungen (40) anzusteuern, oder b) das Fahrzeugnetzwerk eine zweite Überwachungseinheit (48) umfasst, die mit mindestens einem, insbesondere jedem, der zweiten Schalteingänge (46) der zweiten Schaltvorrichtungen (40) verbunden ist, um die zweiten Schaltvorrichtungen (40) individuell zum Schalten zwischen dem Verbindungszustand (36) und dem Trennzustand (130) anzusteuern, wobei die zweite Überwachungseinheit mit dem zweiten Datenbus (18) verbunden ist, um die Datenkommunikation (30) auf dem zweiten Datenbus (18) zu überwachen und um in Abhängigkeit von der Datenkommunikation (30) auf dem zweiten Datenbus (18) die zweiten Schaltvorrichtungen (40) anzusteuern.

4. Fahrzeugnetzwerk (10) nach einem der vorhergehenden Ansprüche, wobei das Fahrzeugnetzwerk (10) weiter umfasst: mehrere dritte Schaltvorrichtungen (80), die jeweils aufweisen: einen Primärspannungseingang (82) zum Verbinden mit einer Primärfahrzeugspannungsversorgung (88) des Fahrzeugs, einen Spannungsausgang (86) zum Verbinden mit einer der Komponenten (14) des Fahrzeugs, einen Primärspannungsverbindungszustand (158), in dem der Primärspannungseingang (82) mit dem Spannungsausgang (86) verbunden ist, einen Spannungstrennzustand (154), in dem der

Primärspannungseingang (82) von dem Spannungsausgang (86) getrennt ist und einen dritten Schalteingang (92) zum Ansteuern der dritten Schaltvorrichtungen (80), um zwischen dem Primärspannungsverbindungszustand (158) und dem Spannungstrennzustand (154) zu schalten.

5. Fahrzeugnetzwerk (10) nach Anspruch 4, wobei die dritten Schaltvorrichtungen (80) jeweils ferner umfassen: einen Sekundärspannungseingang (84) zum Verbinden mit einer Sekundärfahrzeugspannungsversorgung (88) des Fahrzeugs und einen Sekundärspannungsverbindungszustand (166) zum Verbinden des Sekundärspannungseingangs (84) mit dem Spannungsausgang (86).

6. Fahrzeugnetzwerk (10) nach Anspruch 4 oder 5, wobei die erste Überwachungseinheit (28) und/oder die zweite Überwachungseinheit (48) oder mindestens eine Spannungsüberwachungseinheit (96, 98) mit jedem der dritten Schalteingänge (92) der dritten Schaltvorrichtungen (80) verbunden ist, um die dritten Schaltvorrichtungen (80) individuell zum Schalten zwischen dem Primärspannungsverbindungszustand (158), insbesondere dem Sekundärspannungsverbindungszustand (166), und dem Spannungstrennzustand (154) anzusteuern.

7. System (12) mit einem Fahrzeugnetzwerk (10) nach einem der Ansprüche 1 bis 6 und mehreren Komponenten (14), wobei die Komponenten (14) jeweils eine erste Datenschnittstelle (25) aufweisen, die mit der ersten Komponentendatenschnittstelle (24) der ersten Schaltvorrichtung (20) verbunden sind.

8. System (12) nach Anspruch 7, wobei die mehreren Komponenten (14) jeweils eine zweite Datenschnittstelle (45) aufweisen, die mit der zweiten Komponentendatenschnittstelle (44) der zweiten Schaltvorrichtungen (40) verbunden sind.

9. System (12) nach Anspruch 7 oder 8, wobei die mehreren Komponenten (14) jeweils genau einen Spannungseingang (91 ) aufweisen, der mit dem Spannungsausgang (86) einer der jeweiligen Komponente zugeordneten dritten Schaltvorrichtung (80) verbunden ist.

10. System (12) nach einem der Ansprüche 7 bis 9, wobei die Komponenten (14) Primärkomponenten (54) und Sekundärkomponenten (56) umfassen, wobei jede Sekundärkomponente (56) vorzugsweise identisch zu genau einer Primärkomponente (54) ist.

11 . System (12) nach einem der Ansprüche 7 bis 10, wobei jede der Komponenten (14) jeweils in einem von mehreren separaten Gehäusen (68) untergebracht ist und/oder jede der ersten Schaltvorrichtungen (20) jeweils in einem anderen Gehäuse (68) als jede der zweiten Schaltvorrichtungen (40) untergebracht ist.

12. Verfahren (110) zum Überwachen eines Fahrzeugnetzwerks (10) nach einem der Ansprüche 1 bis 6 oder eines Systems (12) nach einem der Ansprüche 7 bis 11 , umfassend die Schritte:

Überwachen des ersten Datenbusses (16) mit der ersten Überwachungseinheit (28),

Identifizieren einer fehlerhaften Datenkommunikation (30) auf dem ersten Datenbus (16),

Ansteuern der ersten Schaltvorrichtungen (20) und/oder dritten Schaltvorrichtungen (80) zum Identifizieren einer fehlerhaften Komponente (14) oder einer fehlerhaften Schaltvorrichtung (20, 80),

Ansteuern der ersten Schaltvorrichtungen und/oder dritten Schaltvorrichtungen in Abhängigkeit von der identifizierten fehlerhaften Komponente (14) oder fehlerhaften Schaltvorrichtung (20, 80), insbesondere zum Wiederherstellen einer fehlerfreien Datenkommunikation (30).

13. Verfahren (110) nach Anspruch 12, wobei das Verfahren ferner umfasst:

Überwachen des zweiten Datenbusses (18) mit der ersten Überwachungseinheit (28) oder der zweiten Überwachungseinheit (48),

Identifizieren einer fehlerhaften Datenkommunikation (30) auf dem ersten Datenbus (16) oder dem zweiten Datenbus (18),

Ansteuern der ersten Schaltvorrichtungen (20) und/oder zweiten Schaltvorrichtungen (40) und/oder dritten Schaltvorrichtungen (80) zum Identifizieren einer fehlerhaften Komponente (14), einer fehlerhaften Schaltvorrichtung (20, 40, 80) oder einer fehlerhaften Überwachungseinheit (28, 48),

Ansteuern der ersten Schaltvorrichtungen (20) und/oder zweiten Schaltvorrichtungen (40) und/oder dritten Schaltvorrichtungen (80) in Abhängigkeit von der identifizierten fehlerhaften Komponente (14), Schaltvorrichtung (20, 40, 80) oder Überwachungseinheit (28, 48).

14. Verfahren (110) nach Anspruch 12 oder 13, wobei zum Identifizieren einer fehlerhaften Komponente (14), Schaltvorrichtung (20, 40, 80) oder Überwachungseinheit (28, 48) die ersten Schaltvorrichtungen (20) und/oder zweiten Schaltvorrichtungen (40) und/oder die dritten Schaltvorrichtungen (80) derart angesteuert werden, bis eine als fehlerhaft erkannte Datenkommunikation (30) wieder als fehlerfrei erkannt wird, wobei hierzu insbesondere eine erste Teilmenge der Komponenten (14), insbesondere mehrere oder alle der Primärkomponenten (54), mit den zweiten Schaltvorrichtungen (40) vom zweiten Datenbus (18) getrennt wird und eine zweite Teilmenge der Komponenten (14), insbesondere mehrere oder alle der Sekundärkomponenten (56), mit den ersten Schaltvorrichtungen (20) vom ersten Datenbus (16) getrennt wird und vorzugsweise eine dritte Teilmenge der Komponenten (14), insbesondere alle Komponenten (14), die weder einer Primärkomponente (54) noch einer Sekundärkomponente (56) entsprechen, von beiden Datenbussen (16, 18) mit den ersten Schaltvorrichtungen (20) und den zweiten Schaltvorrichtungen (40) getrennt wird.

15. Verfahren (110) nach einem der Ansprüche 12 bis 14, umfassend das Wiederherstellen einer fehlerfreien Datenkommunikation (30) durch: a) im Fall einer erkannten fehlerhaften Komponente (14), die eine Primärkomponente (54) ist, der eine Sekundärkomponente (56) zugeordnet ist, Verbinden der zugeordneten Sekundärkomponente (56) mit dem ersten und/oder zweiten Datenbus und Trennen der fehlerhaften Primärkomponente (54) vom ersten Datenbus und vom zweiten Datenbus, b) im Fall einer erkannten fehlerhaften ersten Schaltvorrichtung (20) oder einer fehlerhaften zweiten Schaltvorrichtung (40), Verbinden aller Komponenten mit dem Datenbus (16, 18), mit dem die fehlerhafte Schaltvorrichtung (20, 40) nicht verbunden ist, und T rennen vom Datenbus (16, 18), mit dem die fehlerhafte Schaltvorrichtung (20, 40) verbunden ist, c) im Fall einer erkannten fehlerhaften Überwachungseinheit, Trennen aller Komponenten von dem Datenbus (16, 18), mit dem die fehlerhafte Überwachungseinheit verbunden ist, und Verbinden der Komponenten über den Datenbus (16, 18), mit dem die fehlerhafte Überwachungseinheit (28, 48) nicht verbunden ist.