DE102017101369A1

DE102017101369A1 - Energieversorgungssystem für sicherheitsrelevante systeme in einem kraftfahrzeug

Info

Publication number: DE102017101369A1
Application number: DE102017101369.5A
Authority: DE
Inventors: Michael Wortberg; Anton BACHMEIER; Anton Ederer
Original assignee: Lisa Draexlmaier GmbH
Current assignee: Lisa Draexlmaier GmbH
Priority date: 2017-01-25
Filing date: 2017-01-25
Publication date: 2018-07-26
Anticipated expiration: 2037-01-26
Also published as: US20180208064A1; CN108340853A; US10391886B2; DE102017101369B4

Abstract

Energieversorgungssystem (200) für sicherheitsrelevante Systeme in einem Kraftfahrzeug, umfassend einen ersten Versorgungspfad (Rim A) und einen zweiten Versorgungspfad (Rim B). Der erste Versorgungspfad (Rim A) umfasst einen ersten Anschlusspunkt (230) für eine erste Spannungsquelle (104), zumindest einen ersten Versorgungspunkt (114, 214) für eine sicherheitsrelevante Last (102, 202) sowie eine ersten Sicherung (108; M5, M6, M7, M8) zwischen dem ersten Anschlusspunkt (230) und dem ersten Versorgungspunkt (114, 214). Der zweite Versorgungspfad (Rim B) ist mit dem ersten Versorgungspfad (Rim A) elektrisch gekoppelt und umfasst einen zweiten Anschlusspunkt (232) für eine zweite Spannungsquelle (216; 422; 522), zumindest einen zweiten Versorgungspunkt (118, 218) für die sicherheitsrelevante Last (102, 202), und eine zweite Sicherung (M3, M4), die elektronisch ausgebildet ist, und zwischen dem zweiten Anschlusspunkt (232) und dem zweiten Versorgungspunkt (118, 218) eingekoppelt ist. Da ist die sicherheitsrelevante Last (102, 202) sowohl mit dem ersten Versorgungspunkt (114, 214) als auch mit dem zweiten Versorgungspunkt (118, 218) elektrisch gekoppelt oder koppelbar. Weiterhin sind zwischen dem ersten Versorgungspunkt (114, 214) und dem zweiten Versorgungspfad (Rim B) sowie zwischen dem zweiten Versorgungspunkt (118, 218) und dem ersten Versorgungspfad (Rim A) jeweils zwei Trenninstanzen (M1, M2, M3, M4; M5, M6, M7, M8) angeordnet, die jeweils ausgebildet sind, einen Fehler ASIL-B-konform zu trennen.

Description

Technisches Gebiet
Die vorliegende Erfindung betrifft ein Energieversorgungssystem für sicherheitsrelevante Systeme in einem Kraftfahrzeug.
Stand der Technik
Moderne Fahrzeuge sind heute mit mehr als 100 Steuergeräten, 1000 Steckverbindern und bis zu 4 km Kabel im Bordnetz ausgestattet. Somit stellt das Bordnetz und seine Komponenten ein erhebliches Risiko in Hinblick auf Ausfallwahrscheinlichkeiten dar. Zusätzlich kommen neue Funktionen in die Fahrzeuge, die bei einem Ausfall ein erhöhtes Risiko für die Insassen und die Umwelt darstellen. So müssen insbesondere sicherheitsrelevante Fahrzeugfunktionen deswegen unter dem Gesichtspunkt der Funktionalen Sicherheit (FuSi) betrachtet werden, das heißt die Auswirkungen eines Ausfalles auf die Fahrzeugfunktion werden bereits bei der Konzeption und Entwicklung betrachtet. Systeme des autonomen Fahrens gehören dabei zu den sogenannten FuSi-relevanten Funktionen und müssen in künftigen Sicherheitskonzepten besonders betrachtet werden.
Im aktuellen Straßenverkehr existieren bereits die ersten teilautonomen Funktionen wie beispielsweise das automatisierte Lenken der Einparkfunktion. Diese Funktionen werden Fail-Save ausgelegt. Dies bedeutet, dass nach Auftreten eines Fehlers (Fail) der sichere Zustand (Save) „aus“ eingenommen wird und der Fahrer über visuelle/akustische Instrumente benachrichtigt wird. Die Betrachtung der Funktionalen Sicherheit derartiger Funktionen endet heutzutage meist am Stecker des Steuergerätes, da eine Unterbrechung oder ein Ausfall der Energieversorgung unmittelbar in den sicheren Zustand „ausgeschaltet“ führt. Auf ein Sicherheitskonzept auf der Versorgungsebene, das verschiedene Komponenten miteinander verbindet, kann daher verzichtet werden.
Systeme des Autonomen Fahrens hingegen müssen „Fail-Operational“ mit einem Fehler-Zustandsübergang in den sicheren Zustand „an“ ausgelegt werden. Der Ausfall der Versorgung mit Energie (Versorgungsleitung) oder Kommunikation (Busleitung) für diese Funktion könnte nämlich zu einer direkten Gefährdung von Passagieren und Personen des Umfelds führen. Der sichere Zustand „an“ beziehungsweise „eingeschaltet“ muss dabei so lange gehalten und in einem entsprechenden Sicherheitsmodus ausgeführt werden, bis das Fahrzeug an einem sicheren Ort angehalten werden kann oder bis der Fahrer die Kontrolle übernehmen kann.
Die vitalen Funktionen des hochautomatisierten Fahrens wie beispielsweise Lenken und Bremsen werden von den Fahrzeugherstellern (OEMs) wegen ihrer möglichen Schadensauswirkung und der geringen Fehlerbeherrschbarkeit durch den Insassen mit der höchsten Sicherheitsstufe (ASIL D) eingestuft. Hierzu wird eine Klassifikation unter Berücksichtigung der Schwere des Fehlers sowie der Gefährdung des Nutzers oder der Umgebung (Severity), der Eintrittswahrscheinlichkeit (Exposure), d.h. Zusammenwirken von Fehlfunktion und Betriebszustand, und der Beherrschbarkeit des Fehlers (Controllability) durchgeführt. Dies wird dann als ASIL-Klassifikation bezeichnet, wobei vier Level von ASIL (automotive safety integrity level) A bis D unterschieden werden, mit ASIL D als höchstem Sicherheitslevel mit einer geforderten Ausfallwahrscheinlichkeit kleiner 10^-8 / Stunde.
Vor dem Hintergrund der Schadens- und Risikoanalyse und ASIL Einstufung nach ASIL D werden von den OEMs momentan Sicherheitsarchitekturen für eine sichere Versorgung im Bordnetz konzipiert. Die Ansätze lassen sich wie folgt zusammenfassen:

1. Redundante Stromversorgung für Aggregate
2. Vorhalt einer großen Anzahl von Sensoren mit Funktionsüberdeckung, sodass einzelne Sensoren ausfallen können und deren Funktion von den anderen Sensoren substituiert wird.

Dabei ergibt sich beispielsweise als Herausforderung, dass der Ausfall eines Sensors nicht als Kettenreaktion den Ausfall einer Vielzahl von Sensoren bewirkt. Fehler sollten also rückwirkungsfrei auf die redundante Stromversorgung zu isolieren sein.
Beschreibung der Erfindung
Eine Aufgabe der Erfindung ist es daher, unter Einsatz konstruktiv möglichst einfacher Mittel eine Bordnetzarchitektur zu schaffen, die kostengünstig eine Energieversorgung für sicherheitsrelevante Lasten bereitstellt, die der höchsten Sicherheitsstufe (ASIL D) gerecht wird.
Die Aufgabe wird durch die Gegenstände des unabhängigen Anspruchs gelöst. Vorteilhafte Weiterbildungen der Erfindung sind in den abhängigen Ansprüchen, der Beschreibung und den begleitenden Figuren angegeben.
Ein erfindungsgemäßes Energieversorgungssystem für sicherheitsrelevante Systeme in einem Kraftfahrzeug umfasst zwei Versorgungspfade, die jeweils über einen Versorgungspunkt mit einer sicherheitsrelevanten Last gekoppelt oder koppelbar sind. Dabei verfügt der erste Versorgungspfad über einen ersten Anschlusspunkt für eine erste Spannungsquelle oder Stromversorgung sowie einen ersten Versorgungspunkt für die sicherheitsrelevante Last. Der zweite Versorgungspfad verfügt über einen zweiten Anschlusspunkt für eine zweite Spannungsquelle oder Stromversorgung sowie einen zweiten Versorgungspunkt für die sicherheitsrelevante Last. Bei der sicherheitsrelevanten Last handelt es sich um einen elektrischen Verbraucher oder ein sicherheitsrelevantes System, welches eine Sicherheitsklassifikation nach ASIL D aufweist. Der erste Anschlusspunkt und der erste Versorgungspunkt sind über eine erste Sicherung elektrisch gekoppelt. Der zweite Anschlusspunkt und der zweite Versorgungspunkt sind über eine zweite, elektronische Sicherung elektrisch gekoppelt. Die beiden Versorgungspfade sind elektrisch gekoppelt. Dabei sind zwischen dem ersten Versorgungspunkt und dem zweiten Versorgungspfad zwei Trenninstanzen angeordnet sowie zwischen dem zweiten Versorgungspunkt und dem ersten Versorgungspfad ebenfalls zwei Trenninstanzen angeordnet. Die Trenninstanzen sind jeweils ausgebildet, einen Fehler zu trennen. Dabei sind die Trenninstanzen zumindest gemäß ASIL B ausgeführt. Eine als elektronischer Trennschalter ausgebildete Trenninstanz ist zwischen den beiden Versorgungspfaden derart angeordnet, dass die beiden hierüber gekoppelten Versorgungspfade bei einer Betätigung des elektronischen Trennschalters trennbar sind.
Unter Trennen kann auch ein Entkoppeln verstanden werden. Die zweite Sicherung übernimmt die Aufgabe einer Trenninstanz oder fungiert als eine Trenninstanz zwischen dem zweiten Versorgungspunkt und dem ersten Versorgungspfad. So ist die zweite Sicherung ausgebildet, den ersten Versorgungspfad abzukoppeln. Mit anderen Worten verwendet die erfinderische Lösung im zweiten Versorgungspfad eine elektronische Absicherung (Sicherung), die eine rückwirkungsfreie Trennung von Überströmen erlaubt. Somit ist die Diversität in der Absicherung gegeben. Des Weiteren wird ein elektronischer Trennschalter zwischen den Versorgungspfaden verwendet.
Vorteilhafterweise kann ein ASIL-D-Versorgungssystem mit ASIL-B-Komponenten aufgebaut werden durch die dargestellte Dekomposition. Es kann auf eine zweite 12-V-Batterie verzichtet werden und somit Vorteile bei Bauraum, Gewicht und Kosten erzielt werden. Weiterhin kann eine Basis-Architektur des ersten Versorgungspfades für Fahrzeuge mit und ohne autonome, sicherheitsrelevante Fahrfunktionen genutzt werden und modular um den zweiten Versorgungspfad und die Kopplung der beiden Versorgungspfade für Fahrzeuge mit autonomen, sicherheitsrelevanten Fahrfunktionen ergänzt werden.
Ferner können die Trenninstanzen jeweils zumindest einen MOSFET und eine Steuereinrichtung für den MOSFET umfassen. Dabei handelt es sich vorteilhafterweise um n-Kanal-MOSFETs vom Anreicherungstyp, das heißt, dass diese im nicht angesteuerten Zustand selbstsperrend sind und bei Ansteuerung leiten. Die Steuereinrichtung ist mit dem Gate des MOSFET verbunden. Unter dem MOSFET kann auch ein Leistungs-MOSFET oder ein DMOSFET (engl. double-diffused metal-oxide semiconductor field effect transistor) verstanden werden. Der Besonderheit des DMOSFET, dass er im Rückwärtsbetrieb (V_DS < 0) keine Sperrfähigkeit aufweist, wird durch gezielten Einsatz von zwei MOSFETs, die über Drain im Leistungspfad gekoppelt sind oder durch zwei gegenläufig angeordnete Trenninstanzen begegnet.
So kann eine zwischen dem ersten Versorgungspfad und dem zweiten Versorgungspfad angeordnete Trenninstanz eingerichtet sein als in zwei Richtungen wirkende zweite Trenninstanz, die als ein anti-serieller MOSFET-Schalter ausgebildet ist. Über den Leistungspfad des MOSFET-Schalters sind die beiden Versorgungspfade gekoppelt.
Wenn der erste Versorgungspfad klassisch aufgebaut ist und beispielsweise die angeschlossenen Lasten über Schmelzsicherungen abgesichert sind, kann vorteilhafterweise zwischen der zweiten Trenninstanz und dem ersten Versorgungspfad eine erste Trenninstanz in Reihe zur zweiten Trenninstanz angeordnet sein. Die erste Trenninstanz und die zweite Trenninstanz erlauben dann einen Fehler im ersten Versorgungspfad redundant vom zweiten Versorgungspfad zu isolieren.
Optional ist alternativ oder zusätzlich zur in Reihe zur zweiten Trenninstanz zwischen den beiden Versorgungspfaden angeordneten ersten Trenninstanz die erste Sicherung als eine elektronische Sicherung als Trenninstanz zwischen dem ersten Versorgungspunkt und dem zweiten Versorgungspfad ausgebildet. Auch hierdurch ist eine rückwirkungsfreie Trennung möglich. Dabei weist die technische Ausführung der ersten Sicherung Diversität zur technischen Ausführung der zweiten Sicherung auf. Durch die Diversität der technischen Ausführung ist die Redundanz inhomogen ausgeführt.
Ferner umfasst in einer optionalen Ausführungsform die erste Sicherung zumindest einen MOSFET und zumindest eine Ansteuerung, die zu dem zumindest einen MOSFET und der zumindest einen Ansteuerung der zweiten Sicherung verschiedenartig sind. So kann einfach eine inhomogene Redundanz erzeugt werden.
Günstig ist es, wenn die erste Spannungsquelle eine erste Batterie und ergänzend oder alternativ ein Generator mit einer ersten Nennspannung ist. Typischerweise beträgt die Nennspannung 12 V, mit dem entsprechenden Toleranzbereich im Betrieb. Dabei kann es sich beispielsweise um eine Bleibatterie oder Lithium-Ionen-Batterie handeln. Unter dem Begriff Batterie soll dabei wie bei Kraftfahrzeugen üblich ein Akkumulator verstanden werden. In einer Ausführungsform wird die erste Batterie zum Starten und als Stützbatterie genutzt und im Regelbetrieb wird die Energie von dem Generator bereitgestellt. Bei reinen Elektrofahrzeugen werden die Systeme selbstverständlich nur von der Batterie versorgt. In diesem Fall kann auch ein Gleichspannungswandler mit einem Hochvoltspeicher gekoppelt sein und als erste Spannungsquelle fungieren.
Ferner ist es günstig, wenn die zweite Spannungsquelle eine zweite Batterie mit einer zur ersten Nennspannung verschiedenen zweiten Nennspannung ist. Dabei ist die zweite Nennspannung größer als die erste Nennspannung. Die zweite Nennspannung liegt in einer bevorzugten Ausführungsform bei 48 V oder im Hochvoltbereich, beispielsweise bei größer 400 V, in etwa 480 V oder größer 900 V. Die zweite Spannungsquelle ist mit dem zweiten Anschlusspunkt über einen Gleichspannungswandler elektrisch gekoppelt, um ein Spannungsniveau einzustellen, welches der ersten Nennspannung entspricht.
In einer besonderen Ausführungsform weist der Gleichspannungswandler zumindest zwei Teilwandler auf. Ein erster Teilwandler ist mit dem ersten Versorgungspfad und ein zweiter Teilwandler ist mit dem zweiten Versorgungspfad gekoppelt. Jede einzelne Phase der Teilwandler umfasst dabei eine Phasenabschaltung, die als eine Trenninstanz funktioniert. So können Fehler in einem Versorgungspfad rückwirkungsfrei isoliert werden. Um eine Redundanz zu schaffen kann im Sinne der Dekomposition zusätzlich der erste Teilwandler mit dem ersten Versorgungspfad über eine erste Trenninstanz gekoppelt werden. Dabei erfüllt die erste Trenninstanz wie der erste Teilwandler einen Sicherheitslevel, der ASIL B entspricht.
Zusätzlich kann im zweiten Versorgungspfad eine Stützbatterie vorgesehen werden. Die Stützbatterie weist vorteilhafterweise eine Nennspannung auf, die der ersten Nennspannung in einem Toleranzbereich entspricht. Bevorzugt handelt es sich bei der Stützbatterie um eine Lithium-Titanat-Batterie.
Eine Anzahl von Trenninstanzen kann vorteilhafterweise in einer Baueinheit mit einem gemeinsamen Gehäuse angeordnet sein. Eine derartige Baueinheit verfügt beispielsweise über einen zweiten Anschlusspunkt, einen Koppelpunkt zum ersten Versorgungspfad sowie eine Anzahl von zweiten Versorgungspunkten. In einer alternativen Ausführungsform ist eine Anzahl von zweiten Sicherungen zu einer Baueinheit zusammengefasst. Solche Baueinheiten haben den Vorteil, dass die Montage vereinfacht wird. So kann bei einer Vielzahl von parallel angeordneten, gleichwertigen Trenninstanzen zur Absicherung einer Anzahl sicherheitsrelevanter Lasten eine Steuereinrichtung ausgebildet sein, eine Vielzahl von MOSFETs der parallel angeordneten Trenninstanzen anzusteuern. So kann die Anzahl der benötigten Steuereinrichtungen reduziert werden. In speziellen Fällen kann somit noch schneller ausgelöst werden, da mehr Information über das Gesamtsystem zur Verfügung steht.
Figurenliste
Nachfolgend wird ein vorteilhaftes Ausführungsbeispiel der Erfindung unter Bezugnahme auf die begleitenden Figuren erläutert. Es zeigen:

1 eine schematische Darstellung eines Energieversorgungssystems für zumindest eine sicherheitsrelevante Last;
2 eine schematische Darstellung eines Energieversorgungssystems für zumindest eine sicherheitsrelevante Last mit zwei über eine bidirektionale und eine unidirektionale Sicherung gekoppelten Versorgungspfaden;
3 eine schematische Darstellung eines Energieversorgungssystems mit zwei über eine bidirektionale Sicherung gekoppelten Versorgungspfaden, bei dem die zumindest eine sicherheitsrelevante Last jeweils über eine elektronische Sicherung angekoppelt ist;
4 eine schematische Darstellung eines Energieversorgungssystems gemäß dem in 2 gezeigten Ausführungsbeispiels mit einem fünfphasigen Gleichspannungswandler; und
5 eine schematische Darstellung eines Energieversorgungssystems für zumindest eine sicherheitsrelevante Last mit einem in Teilwandler aufgeteilten Gleichspannungswandler.

Die Figuren sind lediglich schematische Darstellungen und dienen nur der Erläuterung der Erfindung. Gleiche oder gleichwirkende Elemente sind durchgängig mit den gleichen Bezugszeichen versehen.
1 zeigt eine schematische Darstellung eines Ausführungsbeispiels eines Energieversorgungssystems 100 für zumindest eine sicherheitsrelevante Last 102 nach dem Stand der Technik. Eine Starterbatterie 104 und ein Generator 106 sind parallel angeordnet, um einen ersten Versorgungspfad Rim A zu versorgen. Über einen ersten Stromverteiler 108, der eine Anzahl Schmelzsicherungen 110 aufweist, ist ein Zuheizer als Last 112 elektrisch verbunden. Der erste Stromverteiler 108 ist mit einem zweiten Stromverteiler 108 gekoppelt, der über einen ersten Versorgungspunkt 114 mit der sicherheitsrelevanten Last 102 gekoppelt ist. Daneben ist ein zweiter Versorgungspfad Rim B angeordnet, der von einer Stützbatterie 116 gespeist wird. Über einen Stromverteiler 108 und eine Schmelzsicherung 110 des Stromverteilers 108 ist ein zweiter Versorgungspunkt 118 und über diesen als redundante Versorgung die sicherheitsrelevante Last 102 gekoppelt. Der erste Versorgungspfad Rim A und der zweite Versorgungspfad Rim B sind über einen Gleichspannungswandler 122 gekoppelt.
Zur Illustration sind drei Fehler 120 als Siebeneck mit einem zugeordneten gezackten Pfeil und einer Ziffer innerhalb des Siebenecks dargestellt. Ein Kurzschluss kann nicht rückwirkungsfrei getrennt werden, was nachfolgend noch genauer erläutert wird.
Mit anderen Worten zeigt 1 exemplarisch das Konzept einer dualen Versorgungsstruktur, wie sie entsprechend einer konventionellen Auslegung umgesetzt wird. Die verfügbarkeitskritische Funktion 102 (FUSI-Funktion) nach ASIL D (wie z.B. Lenkung) ist intern zweikanalig mit zwei Aktoren aufgebaut (nicht dargestellt), um den geforderten Sicherheitslevel anbieten zu können. Entsprechend des internen, zweikanaligen Aufbaus sind für die externe Versorgung zwei Versorgungsanschlüsse 114, 118 vorgehalten. Für eine redundante Versorgung sind diese aus zwei unabhängigen Quellen zu speisen. Diese Anordnung hat zwei Nachteile:

1. Die Unabhängigkeit der zwei Versorgungspfade Rim A, Rim B ist essentiell für die redundante Versorgung. Der DC/DC-Wandler 122 zwischen den beiden Pfaden ist daher nach ASIL-D auszuführen, was mit erheblichem Aufwand verbunden ist.
2. Die Absicherung gegen Überlast ist in beiden Versorgungspfaden Rim A, Rim B ausschließlich mit Schmelzsicherungen 110 ausgeführt. Diese haben die systematische Einschränkung, dass sie eine Überlast nur sehr träge trennen können. Der Strom, der zum Auslösen der Sicherung notwendig ist, ist so hoch, dass über die Impedanzen des Bordnetzes (Innenwiderstand Batterie, Widerstand Sicherungen, Leitungen und Masserückführung) so viel Spannung abfällt, dass die anderen Verbraucher 102, 112 im Bordnetz in den Unterspannungsreset gehen.

So führt ein Kurzschluss 120 (1) im Zuheizer 112 zu einem Spannungseinbruch auf der oberen Versorgungsleitung Rim A. Die FUSI-Funktion 102 (Lenkung) kann sich dann über den unteren Versorgungsanschluss 118 mit stabilisierter Spannung versorgen, vorausgesetzt der DC/DC-Wandler 122 nimmt eine zuverlässige Trennung des zweiten Versorgungspfades Rim B vor. Die technische Sicherheitsanforderung „spannungsstabile Versorgung“ mit ASIL D überträgt sich somit 1 zu 1 auf die notwendige Ausführung des Wandlers.
Ein Kurzschluss 120 an Punkt 3 ist kritisch. Wegen der Trägheit der Sicherung 110 können die kleine Stützbatterie 116 und der DC/DC-Wandler 122 die Spannung nicht halten. Alle Sensoren 1 bis n 112₁, 112₂, 112_n fallen gleichzeitig aus, was zur Blindheit der autonomen Fahrfunktion führt.
Ein Problem an beiden Eingängen 114, 118 der sicherheitsrelevanten Last 102 (FUSI-Funktion) kann des Weiteren zum kompletten Ausfall beider Versorgungspfade Rim A und Rim B führen. So würde beispielsweise der Ausfall der Bremse gleichzeitig zum Ausfall der Lenkung führen. Hier wird deutlich, dass Diversität in der Ausführung der Versorgungsstränge A und B fehlt.
2 zeigt eine schematische Darstellung eines Energieversorgungssystems 200 für zumindest eine sicherheitsrelevante Last 102 mit zwei über eine bidirektionale Sicherung M2 und eine unidirektionale M1 Sicherung gekoppelten Versorgungspfaden Rim A, Rim B gemäß einem ersten Ausführungsbeispiel der vorliegenden Erfindung. Die Sicherungen M1, M2 werden auch als Trenninstanzen M1, M2 bezeichnet. Der erste Versorgungspfad Rim A entspricht weitgehend dem in 1 dargestellten Ausführungsbeispiel.
Der erste Versorgungspfad Rim A ist über einen ersten Anschlusspunkt 230 mit einer ersten Spannungsquelle 104 gekoppelt. Der zweite Versorgungspfad Rim B wird über einen Gleichspannungswandler 222 und den zweiten Anschlusspunkt 230 versorgt. Ein Stromverteiler 208 im zweiten Versorgungspfad Rim B weist elektronische Sicherungen M3, M4 als Trenninstanzen M3, M4 auf. Eine elektronische Sicherung M4 ist mit dem zweiten Versorgungspunkt 118 zum Versorgen der sicherheitsrelevanten Last 102 gekoppelt. Eine zweite sicherheitsrelevante Last 202 ist über ein Koppelelement 234 verbunden. Das Koppelelement 234 weist einen weiteren ersten Versorgungspunkt 214, der mit einer Schmelzsicherung 110 eines Stromverteilers 108 des ersten Versorgungspfades Rim A elektrisch verbunden ist und einen weiteren zweiten Versorgungspunkt 218, der mit der elektronischen Sicherung M4 des zweiten Versorgungspfades Rim B elektrisch verbunden ist, auf. Ein Ausgang des Koppelelements 234 ist mit der sicherheitsrelevanten Last 202 elektrisch verbunden. Die beiden weiteren Versorgungspunkte 214, 218 sind über Dioden 236 mit dem Ausgang des Koppelelements 234 elektrisch verbunden. Über das Koppelelement 234 kann eine sicherheitsrelevante Last 202 versorgt werden, die nur über einen Versorgungsanschluss verfügt.
Der obere Versorgungspfad (Rim A) ist ein konventioneller Versorgungszweig mit Schmelzsicherungen 110. Dieser kann Teil des konventionellen Bordnetzes sein, welches auch für Fahrzeuge ohne autonome Fahrfunktion verwendet wird. Der untere Versorgungspfad Rim B ist der für die Versorgung von FUSI-Funktionen 102, 202 hinzugefügte Bordnetzanteil. Er nutzt elektronische Absicherung 208, um die Rückwirkung in Form von Spannungseinbruch bei Überlast auf dem Rim B und A zu vermeiden.
Ein Kurzschluss 120 in der normalen Bordnetzfunktion Zuheizer (1.) führt zu einem Spannungseinbruch auf dem oberen versorgungspfad (Rim A). Dieser wird über zwei unabhängige ASIL B Instanzen vom unteren Versorgungspfad (Rim B) isoliert. Zum ersten sperrt M1 und zum zweiten sperrt M2, der als antiserieller Mosfetschalter in beide Richtungen sperren kann.
Ein mit (3) gekennzeichneter Kurzschluss 120 auf der unteren Versorgung, d.h. über den zweiten Versorgungspfad Rim B und den zweiten Versorgungspunkt 118, der FUSI-Funktion 102 wird rückwirkungsfrei von der Trenninstanz M4 getrennt. Damit die Trenninstanz M4 nicht als einzige Instanz den Sicherheitslevel ASIL D zugeschrieben bekommt, existiert noch eine weitere Rückfallebene. Diese ist ein Trennen von Trenninstanz M2, falls Trenninstanz M4 versagt und nicht trennen kann. Der obere Versorgungspfad Rim A wird also durch Trenninstanz M4 und bei Bedarf von Trenninstanz M2 von dem mit (3) gekennzeichneter Kurzschluss 120 getrennt. Wichtig ist, dass im unteren/zweiten Versorgungspfad Rim B für jede FUSI-relevante Last 102, 202 spezifisch eine elektronische Absicherung M3, M4 erfolgt.
Die Trenninstanzen M1, M2 und Trenninstanzen M3, M4 werden zwar unabhängig, aber vorteilhafterweise in einer Baugruppe 238 integriert. Ein komplettes Versagen der oberen FUSI-Funktion 102 mit Kurzschluss bei (2.) und (3.) führt nicht zu einem kompletten Versagen der Versorgung, da der zweite Versorgungspfad Rim B über die Trenninstanz M4 getrennt wird und somit der zweite Versorgungspfad Rim B die anderen FUSI-Funktionen 202 versorgen kann. Die Diversity in der Versorgung ist somit gegeben.
Wie bereits ausgeführt, wird die sicherheitsrelevante Last 102 über den mit dem ersten Versorgungspfad Rim A mit der Starterbatterie 104, d.h. einer ersten Energiequelle 104, gekoppelten ersten Versorgungspunkt 114 sowie über den mit dem zweiten Versorgungspfad Rim B mit der Hochvoltbatterie bzw. 48-V-Batterie 216, d.h. einer zweiten Energiequelle 216, gekoppelten zweiten Versorgungspunkt 118 versorgt. Sowohl die beiden Energiequellen 104, 216 als auch die daran anschließenden Versorgungspfade Rim A, Rim B sind unabhängig voneinander. Der erste Versorgungspfad Rim A und der damit gekoppelte erste Versorgungspunkt 114 werden über Schmelzsicherungen 110 abgesichert. Der zweite Versorgungspfad Rim B und der damit gekoppelte zweite Versorgungspunkt 118 werden über unidirektionale elektronische Sicherungen M3, M4 abgesichert. Dabei wird auf den ersten Blick die Inhomogenität in der Redundanz der Absicherung deutlich, hier durch eine klassische Sicherung 110 versus eine Halbleitersicherung M3, M4 bzw. MOSFET 240 umgesetzt.
Um eine vergleichbare Inhomogenität der Redundanz in dem später beschriebenen und in 3 dargestellten Ausführungsbeispiel zu erlangen, sollten die elektronischen Sicherungen M5, M6 verschieden ausgeführt sein zu den elektronischen Sicherungen M3, M4. Dies betrifft die Auswahl der verwendeten elektronischen Komponenten innerhalb der elektronischen Sicherungen M3, M4, M5, M6 als auch das verwendete Designwerkzeug während der Entwicklung.
Die Steuerung der Trenninstanzen M1 und M2 kann vorteilhafterweise gesteuert werden über die Batteriespannung. Ein Kurzschluss 120 auf dem oberen/ersten Versorgungspfad Rim A, d.h. beispielsweise die mit (1) oder (2) gekennzeichneten Kurzschlüsse 120, führt zu einem Spannungseinbruch bei der Batterie 104. Ein Kurzschluss120 auf dem unteren/zweiten Versorgungspfad Rim B, d.h. beispielsweise ein mit (3) gekennzeichneter Kurzschluss 120, führt auch zu einem Spannungsabfall bei der Batterie 104, wenn dieser nicht über die Trenninstanzen M3 oder M4 entkoppelt wurde. Ein öffnen der Trenninstanzen M1 und M2, wenn die Batteriespannung unter z.B. 11 V fällt, führt somit immer zur Isolation eines Spannungseinbruchs, entweder auf dem ersten Versorgungspfad Rim A oder dem zweiten Versorgungspfad Rim B.
Optional kann, wie in 1 dargestellt, beispielsweise bei Fahrzeugen mit Verbrennungsmotor, ein Generator vorgesehen sein, der parallel zu der Starterbatterie 104 angeordnet ist, der auf der einen Seite den ersten Versorgungspfad Rim A mit Energie versorgt und andererseits die Starterbatterie 104 lädt. Bei Elektrofahrzeugen oder Plug-in-Hybrid-Fahrzeugen ist hier noch eine optionale (ebenfalls nicht dargestellte) Ladeeinrichtung vorgesehen, die über eine externe Spannungsquelle gespeist wird.
Die Trenninstanzen M1, M2, M3, M4 umfassen jeweils zumindest einen MOSFET 240 und eine Steuereinrichtung 242. Die Steuereinrichtung 242 ist mit Gate G, auch als Gate-Anschluss G bezeichnet, des MOSFET 240 verbunden. Bei dem MOSFET 240 handelt es sich um einen selbstsperrenden n-Kanal-MOSFET 240.
Die Trenninstanz M2 umfasst zumindest zwei MOSFETs 240, die durch ihre Anordnung als ein anti-serieller MOSFET-Schalter ausgebildet sind. So ergibt sich eine in zwei Richtungen wirkende zweite Trenninstanz M2. Hierzu sind die beiden Source S der beiden MOSFETs 240 der zweiten Trenninstanz M2 direkt elektrisch verbunden.
Der Leistungspfad der MOSFET-Schalter 240 der beiden Trenninstanzen M1, M2 liegt zwischen den beiden Versorgungspfaden Rim A, Rim B. So ist Source S des MOSFET 240 der ersten Trenninstanz M1 mit dem ersten Versorgungspfad Rim A gekoppelt, Drain D des selben MOSFET 240 ist mit Drain D eines der MOSFETs 240 der zweiten Trenninstanz M2 elektrisch verbunden. Drain D des zweiten der MOSFETs 240 der zweiten Trenninstanz M2 ist mit dem zweiten Versorgungspfad Rim B gekoppelt.
Die MOSFETs 240 der elektrischen Sicherungen M3, M4 sind derart angeordnet, dass Source S in Richtung der Last(en) 102, 112, 202 weist und Drain D dementsprechend in Richtung der Spannungsversorgung, d.h. in diesem Fall Hochvolt- oder 48-V-Batterie 216.
In den folgenden Figuren wird auf die Bezugszeichen 240, 242 zu Gunsten einer besseren Lesbarkeit verzichtet.
3 zeigt eine schematische Darstellung eines Energieversorgungssystems 200 mit zwei über eine bidirektionale Sicherung M2 gekoppelten Versorgungspfaden Rim A, Rim B, bei dem die zumindest eine sicherheitsrelevante Last 102, 202 jeweils über eine elektronische Sicherung M3, M4 angekoppelt ist, gemäß einem Ausführungsbeispiel der vorliegenden Erfindung. Das in 3 gezeigte Ausführungsbeispiel entspricht dem in 2 gezeigten Ausführungsbeispiel mit dem Unterschied, dass die Stromverteiler 108 mit Schmelzsicherungen 110, wie in 2 gezeigt, durch Stromverteiler 308 mit elektronischen Sicherungen M5, M6, M7, M8 ersetzt wurden. So kann auf die unidirektionale elektronische Sicherung M1 verzichtet werden, da die elektronischen Sicherungen M5, M6, M7, M8 die Aufgabe als eine Trenninstanz M5, M6, M7, M8 übernehmen. Die elektronischen Sicherungen M5, M6, M7, M8 sind unidirektional eingerichtet.
Eine Besonderheit zeigen die beiden elektronischen Sicherungen M7, M8, die beide jeweils einen MOSFET aufweisen, wobei eine Steuereinheit eingerichtet ist, beide MOSFETs anzusteuern. So ist eine Steuereinheit mit GATE der beiden MOSFETs verbunden.
Die beiden Versorgungspfade Rim A und Rim B weisen in dem in 3 dargestellten Ausführungsbeispiel eine inhomogene Redundanz auf. Die elektronischen Sicherungen M5, M6 im ersten Versorgungspfad Rim A sind verschieden zu den elektronischen Sicherungen M3, M4 im zweiten Versorgungspfad Rim B. So werden nicht gleichartige Mosfets und Ansteuerungen auf beiden Versorgungspfaden Rim A und Rim B für die elektronischen Sicherungen verwendet, um die angestrebte Dekomposition einer ASIL-D-Einstufung zu erreichen.
Mit anderen Worten zeigt 3 eine Variante, die ausschließlich mit elektronischer Absicherung M1, M2, M3, M4, M5, M6, M7, M8 arbeitet. Ein Kurzschluss 120 und der damit einhergehende Spannungseinbruch wird jeweils durch die pfadspezifische elektronische Sicherung M3, M4, M5, M6, M7, M8 getrennt (erste Instanz in ASIL B). Als zweite Instanz (ASIL B) kann der Schalter M2 den jeweils anderen Versorgungspfad Rim A, Rim B abkoppeln, um eine Ausbreitung des Spannungseinbruchs zu verhindern.
4 zeigt eine schematische Darstellung eines Energieversorgungssystems 200 gemäß dem in 2 gezeigten Ausführungsbeispiel mit einem fünfphasigen Gleichspannungswandler 422 gemäß einem Ausführungsbeispiels der vorliegenden Erfindung. Die Darstellung ist eine noch etwas reduziertere Darstellung des Ausführungsbeispiels aus 2, wobei der DC/DC-Wandler 422 als fünfphasiger Gleichspannungswandler 422 ausgebildet ist.
Mit anderen Worten zeigt 4 einen integrierten DC/DC-Wandler 422, der die intelligenten Absicherungs- und Schaltfunktionen gemäß 2 beinhaltet. Dieser ist also als singuläre Einheit geeignet, als Zusatz zu einem konventionellen Bordnetz das Versorgungsbordnetz für verfügbarkeitsrelevante FUSI-Funktionen 102 aufzuwerten. Die hinreichende Unabhängigkeit der gezeigten Baugruppen ist in dem Aufbaukonzept zu gewährleisten.
5 zeigt eine schematische Darstellung eines Energieversorgungssystems 200 für zumindest eine sicherheitsrelevante Last 102 mit einem in Teilwandler 550, 552 aufgeteilten Gleichspannungswandler 522 gemäß einem Ausführungsbeispiels der vorliegenden Erfindung. 5 zeigt einen integrierten DC/ DC-Wandler 522, der in zwei Teilwandler 550, 552 aufgeteilt ist, zur Versorgung beider Pfade Rim A, Rim B. Da hier nur ein Teil der Wandlerkapazität (Phase 4 und Phase 5) für die Versorgung des redundanten Pfades Rim B zur Verfügung steht, muss je nach maximaler Leistungsanfrage eine Stützbatterie 554 (hier Lithium Titanat-Batterie 554) vorgehalten werden. In dieser Anordnung gibt es jeweils wieder zwei Trenninstanzen M1, M3, M4, 550, 552, die einen Fehler auf einem Versorgungspfad Rim A, Rim B unterbrechen können. Für den oberen/ersten Versorgungspfad Rim A die elektronische Sicherung M1 und die Phasen(-Abschaltung) 1 bis 3 des ersten Teilwandlers 550 und für den unteren/zweiten Versorgungspfad Rim B jeweils die elektronischen Sicherungen M3, M4, ... und die Phasenabschaltung für Phasen 4 und 5 des zweiten Teilwandlers 552.
Bezugszeichenliste

100: Energieversorgungssystem
102: sicherheitsrelevante Last
104: Starterbatterie
106: Generator
108: Stromverteiler
110: Schmelzsicherung
112: Last; elektr. Verbraucher (Zuheizer, Sensor, ...)
114: erster Versorgungspunkt
116: Stützbatterie, erste Energiequelle
118: zweiter Versorgungspunkt
120: Fehler; Kurzschluss
122: Gleichspannungswandler; DC/DC-Wandler
Rim A: erster Versorgungspfad
Rim B: zweiter Versorgungspfad
200: Energieversorgungssystem
202: sicherheitsrelevante Last
208: Stromverteiler, elektronische Sicherungsbox, elektronische (Ab-)Sicherung
214: erster Versorgungspunkt
216: Hochvoltbatterie, 48-V-Batterie, zweite Energiequelle
218: zweiter Versorgungspunkt
222: Gleichspannungswandler; DC/DC-Wandler
M1: Trenninstanz; unidirektionale elektronische Sicherung
M2: Trenninstanz; bidirektionale elektronische Sicherung
M3, M4: Trenninstanz; elektronische Sicherung (unidirektional)
230: erster Anschlusspunkt
232: zweiter Anschlusspunkt
234: Koppelelement
236: Diode
238: Baugruppe, Baueinheit
240: MOSFET, selbstsperrender n-Kanal-MOSFET
242: Steuereinrichtung, Steuerungseinheit
D: Drain, Drain-Anschluss
S: Source, Source-Anschluss
G: Gate, Gate-Anschluss
308: Stromverteiler
M5, M6, M7, M8: elektronische Sicherung; Trenninstanz
422: Gleichspannungswandler; DC/DC-Wandler
522: Gleichspannungswandler; DC/DC-Wandler
550: erster Teilwandler
552: zweiter Teilwandler
554: Stützbatterie, Lithium-Titanat-Batterie

Claims

Energieversorgungssystem (200) für sicherheitsrelevante Systeme in einem Kraftfahrzeug, umfassend: a. einen ersten Versorgungspfad (Rim A) mit i. einem ersten Anschlusspunkt (230) für eine erste Spannungsquelle (104), ii. zumindest einem ersten Versorgungspunkt (114, 214) für eine sicherheitsrelevante Last (102, 202), iii. einer ersten Sicherung (108; M5, M6, M7, M8) zwischen dem ersten Anschlusspunkt (230) und dem ersten Versorgungspunkt (114, 214), b. einen mit dem ersten Versorgungspfad (Rim A) elektrisch gekoppelten zweiten Versorgungspfad (Rim B) mit i. einem zweiten Anschlusspunkt (232) für eine zweite Spannungsquelle (216; 422; 522), ii. zumindest einem zweiten Versorgungspunkt (118, 218) für die sicherheitsrelevante Last (102, 202), und iii. einer zweiten Sicherung (M3, M4), die elektronisch ausgebildet ist, zwischen dem zweiten Anschlusspunkt (232) und dem zweiten Versorgungspunkt (118, 218), c. wobei die sicherheitsrelevante Last (102, 202) sowohl mit dem ersten Versorgungspunkt (114, 214) als auch mit dem zweiten Versorgungspunkt (118, 218) elektrisch gekoppelt ist oder koppelbar ist, und d. wobei zwischen dem ersten Versorgungspunkt (114, 214) und dem zweiten Versorgungspfad (Rim B) sowie zwischen dem zweiten Versorgungspunkt (118, 218) und dem ersten Versorgungspfad (Rim A) jeweils zwei Trenninstanzen (M1, M2, M3, M4; M5, M6, M7, M8) angeordnet sind, die jeweils ausgebildet sind, einen Fehler ASIL-B-konform zu trennen.
Energieversorgungssystem (200) gemäß Anspruch 1, bei dem die Trenninstanzen (M1, M2, M3, M4; M5, M6, M7, M8) zumindest einen, insbesondere selbstsperrenden n-Kanal-, MOSFET 240 und eine Steuereinrichtung 242 umfassen.
Energieversorgungssystem (200) gemäß einem der vorangegangenen Ansprüche, mit einer zwischen dem ersten Versorgungspfad (Rim A) und dem zweiten Versorgungspfad (Rim B) angeordneten als in zwei Richtungen wirkende zweite Trenninstanz (M2), die als ein anti-serieller MOSFET-Schalter (M2) ausgebildet ist.
Energieversorgungssystem (200) gemäß dem vorangegangenen Anspruch, bei dem zwischen der zweiten Trenninstanz (M2) und dem ersten Versorgungspfad (Rim A) eine erste Trenninstanz (M1) in Reihe zur zweiten Trenninstanz (M2) angeordnet ist.
Energieversorgungssystem (200) gemäß einem der vorangegangenen Ansprüche, bei dem die erste Sicherung (M5, M6, M7, M8) als eine elektronische Sicherung (M5, M6, M7, M8) als Trenninstanz zwischen dem ersten Versorgungspunkt (114, 214) und dem zweiten Versorgungspfad (Rim B) ausgebildet ist.
Energieversorgungssystem (200) gemäß Anspruch 5, bei dem die erste elektronische Sicherung (M5, M6, M7, M8) verschieden zur zweiten elektronischen Sicherung (M3, M4) ausgebildet ist.
Energieversorgungssystem (200) gemäß einem der vorangegangenen Ansprüche, bei dem die erste Spannungsquelle (104, 106) eine erste Batterie (104) und/oder ein Generator (106) mit einer ersten Nennspannung ist.
Energieversorgungssystem (200) gemäß einem der vorangegangenen Ansprüche, bei dem die zweite Spannungsquelle (216, 222) eine zweite Batterie (216) mit einer zur ersten Nennspannung verschiedenen zweiten Nennspannung ist, wobei die zweite Spannungsquelle (216) mit dem zweiten Anschlusspunkt (232) über einen Gleichspannungswandler (222; 422; 522) elektrisch gekoppelt ist.
Energieversorgungssystem (200) gemäß dem vorangegangenen Anspruch, bei dem der Gleichspannungswandler (222; 422; 522) zumindest zwei Teilwandler (550, 552) aufweist, dessen erster Teilwandler (550) mit dem ersten Versorgungspfad (Rim A) und dessen zweiter Teilwandler (552) mit dem zweiten Versorgungspfad (Rim B) gekoppelt sind, wobei eine Phasenabschaltung der Teilwandler (550, 552) jeweils eine Trenninstanz repräsentiert.
Energieversorgungssystem (200) gemäß dem vorangegangenen Anspruch, bei dem der erste Teilwandler (550) mit dem ersten Versorgungspfad (Rim A) über eine erste Trenninstanz (M1) gekoppelt ist.
Energieversorgungssystem (200) gemäß einem der vorangegangenen Ansprüche, bei dem der zweite Versorgungspfad (Rim B) mit einer Stützbatterie (554) gekoppelt ist, die die erste Nennspannung aufweist, insbesondere wobei die Stützbatterie (554) als eine Lithium-Titanat-Batterie (554) ausgebildet ist.
Energieversorgungssystem (200) gemäß einem der vorangegangenen Ansprüche, bei dem eine Anzahl von Trenninstanzen (M1, M2, M3, M4, M5, M6, M7, M8) in einer Baueinheit 238 zusammengefasst sind.
Energieversorgungssystem (200) gemäß einem der vorangegangenen Ansprüche, bei dem eine Vielzahl von gleichwertigen Trenninstanzen (M1, M2, M3, M4, M5, M6, M7, M8) zur Absicherung einer Anzahl sicherheitsrelevanter Lasten (102, 202) parallel angeordnet ist und eine Steuereinrichtung (242) ausgebildet ist, eine Vielzahl von MOSFETs (240) der parallel angeordneten Trenninstanzen (M1, M2, M3, M4, M5, M6, M7, M8) anzusteuern.