用于确保切断装置的功能安全性和完整性的方法以及车辆制造方法及图纸

本发明专利技术涉及一种用于在车辆中确保切断装置的功能安全性和完整性的方法，其中，预防性地控制能量供给器的切断，其中从用于确定无碰撞的行驶路线的路径规划查明如下时间段，在该时间段之内能够实施操纵而不发生碰撞，其中，如果所检测的时间段的值达到或低于预定的临界值，则输出碰撞警报，该碰撞警报将用于切断能量供给的系统置于待命模式中。

Methods used to ensure the functional safety and integrity of the cut-off device and the vehicle

【技术实现步骤摘要】
用于确保切断装置的功能安全性和完整性的方法以及车辆
本专利技术涉及一种用于在车辆中预防性地控制能量供给器的切断的方法以及车辆。
技术介绍
在车辆中存在的能量供给器(如电池、变换器亦或能量导线)必须在碰撞情况下断开，以便应对短路和因此火灾危险，并且以便保护撞击后(Post-Crash)相关的车载电网。目前，该断开通过加速度传感器或耐压软管来实施。在此，在撞击情况下、即当实际上发生冲撞或碰撞时生成切断信息。由此强制必需的是，能够非常快地切断蓄能器，所述切断通常少于20ms。这由于必须使用电力电子开关而意味着高成本以及解决方案选项的强烈技术上的限制。特别是在高度自动化直至自主行驶的范围内，鉴于“故障后可操作性(FailOperational)”、即可靠的能量供给对能量供给器提出了越来越严格的要求。因此，切断机制相应地受到关于功能安全性和完整性的高要求。
技术实现思路
因此，本专利技术的目的在于，提供一种相应的方法和系统，其中能改善地控制能量存储器的切断。按照本专利技术，该目的通过各独立权利要求的特征实现。有利的实施方案是各从属权利要求的技术方案。对车载能量网络(Energiebordnetz)的能量管理存在两个对立的要求，基于该事实，必需提供一种用于特别是在撞击情况下、更确切地说是在引起或可能引起碰撞事故情况下切断能量存储器的解决方案。一方面，对车载能量网络的能量管理的要求在于，不允许对撞击后相关的车载电网的车载电网稳定性产生负面影响，即例如不允许持续的短路。也不允许出现关于可能的热事件的负面影响并且不允许对撞击后不相关的车载电网区域进行馈电回收(Rückspeisung)。为了预防性地阻止这些，要求切断非撞击后相关的系统。另一方面，特别是在AD运行中(AD＝自主/自动的行驶系统、即自主/自动化的行驶系统)、即在高度自动化行驶的运行中(在其中存在具有高完整性要求的自动化的行驶功能或行驶辅助系统)，应当避免次级车载能量网络的错误的撞击切断、但也应当避免在初级车载能量网络中安全相关的组件的错误的撞击切断，所述初级车载能量网络具有非常高的完整性要求，通常至少是ASILB(D)。在AD运行中，也应当避免次级车载能量网络与在初级车载能量网络中安全相关的组件的错误的共同撞击切断。这意味着，在车辆运行期间必须保证合作系统(Partnersysteme)的可靠的能量供给，其中，对能量供给设定了速度相关的安全目标。此外，应当避免高压(HV)系统的错误的切断，因为在此例如进行了(例如通过烟火技术而)不可逆的断开。就此而言，应当确保能量供给装置、特别是锂离子(Li-Ion)蓄能器的切断，通过这样能应对两个要求。特别是涉及锂离子蓄能器，因为对于热事件的高风险由此出发，并且另一方面能够持续地提供高的电流，这在短路时提高火灾危险。原则上也可以进行其他电池种类、例如铅蓄电池的切断。在针对安全相关的电气/电子系统的标准ISO26262中，定义了所谓的ASI等级(缩写为ASIL)，其中，ASIL代表“汽车安全完整性等级(AutomotiveSafetyIntegrityLevel)”。在此，在开发用于排除故障风险的组件时按照其含义配设ASIL分级。在从A至D的范围中进行该分级，其中，对关于系统的失灵概率的功能安全性的安全要求在此从A提高至D。因此，涉及到能量存储器，参与到能量供给中的所有功能受制于关于完整性的更严格的要求。因此，切断装置也如此。为了解决对立的要求的上述提到的问题，提供预防性地切断或触发接口，用于切断或者说断开例如电池、变换器或气囊的能量供给，并且通过使用用于确定无碰撞行驶路线的路径规划的数据来提供预测撞击(PreCrash)功能。所提出的解决方案对于自动化车辆、即至少在AD模式中行驶的车辆(亦即当驾驶员在场，但不再参与到行驶过程中时)特别有利。下文借助于在AD模式中的车辆描述该方法。为了在AD模式中行驶，车辆具有大量用于路径规划的传感机构。由大量传感器在中央控制器中计算路径，所述各传感器包括从用于图像处理的传感器到不同规格的雷达、激光雷达、超声波传感器、加速度传感器等等。副产品是预测包括损坏影响的碰撞的可能性。此外，这些信息可以用于直接切断诸如电池、导线或变换器的能量供给器。通过使用来源于路径规划的信息可以进行在ASILD中的撞击切断或可以阻止在ASILD中错误地触发撞击切断，而不必安装其他(冗余的)传感机构或逻辑机构。因此，可以预防性地处理，由此必须对执行机构提出更低的要求。此外，可以取消(例如用于气囊的)附加传感机构。因此，提出一种用于在车辆中预防性地控制能量供给器的切断的方法，其中，从路径规划查明时间段，在该时间段之内能够实施操纵而不发生无碰撞。根据所检测的时间段输出碰撞警报，所述碰撞警报将用于切断能量供给的系统置于待命模式中。因此，由用于规划行驶路线的已经存在的数据前瞻性地查明可能的碰撞情况。在可能撞击的情况下、即当达到或低于预定的临界值时，则输出碰撞警报并且因此使所述系统置于待命模式中，但能量供给(仍)未切断。所述待命模式的特征在于进行定期的检验：情况是否已改变、即发生撞击的概率是更高还是更低。因此，在概率提高以及因此撞击的情况下可以实现更快地反应、即切断能量存储器。待命模式一直保持激活直至进行解除警报、即撞击的概率降级或者探测到撞击并且因此进行能量供给的切断。路径规划对于在AD模式中的行驶是必需的，其中，在此为了预测无碰撞的行驶路线也涉及预测碰撞，通常通过确定最后操纵时间TLM(Time-to-Last-Manoever)、即直至何时必须实施操纵用以阻止碰撞的时间段，或至碰撞的时间TTC(Time-To-Collision)、即直至碰撞的剩余的时间段。按照本专利技术附加地使用由路径规划已知的数据，以便满足上述对于在AD模式中行驶的功能安全性的要求。这是，除了在撞击情况下，允许尽可能地不切断用于在AD模式中实施行驶的能量供给，如果由此由于能量存储器(即例如锂离子电池)的损毁而可能发生损坏风险的化。该风险通过下文所述的相应分级来确定。用于自动化行驶功能的能量供给通常分为两个独立的通道，即初级车载能量网络和次级车载能量网络。这些车载能量网络通常是低压电网，即例如12V的电网。所提出的方法能原则上也可以应用到对于所有撞击后不相关的范围的整个能量供给上，因为以ASILD由路径规划已经保证了最高安全级别。AD模式可理解为在其中车辆高度自动化地行驶的模式。高度自动化可理解为处于辅助行驶与自主行驶之间的模式。在高度自动化行驶的情况下，车辆已经预先规划并且至少在大多数情况下接管行驶任务。因此，车辆即将自主行驶。在本文献的范围内，AD模式理解为至少包括高度自动化行驶的模式、也即直至自主行驶的模式。由于预测了可能的撞击而从临界值起输出碰撞警报，所述临界值可以由本领域技术人员选择，如果使用至碰撞的时间TTC，那么临界值有利地处于从直至撞击500ms或更短、或者300ms或更短、或者200ms或更短的范围内。如果使用最后操纵时间TLM，则该值可以选择为零，本文档来自技高网...

【技术保护点】
1.用于在车辆中确保切断装置的功能安全性和完整性的方法，其中，预防性地控制能量供给器的切断，其中从用于确定无碰撞的行驶路线的路径规划(T)查明如下时间段，在该时间段之内能够实施操纵而不发生碰撞，如果所检测的时间段的值达到或低于预定的临界值，则输出碰撞警报(K)，该碰撞警报将用于切断能量供给的系统置于待命模式中。/n

【技术特征摘要】
20180822 DE 102018214201.71.用于在车辆中确保切断装置的功能安全性和完整性的方法，其中，预防性地控制能量供给器的切断，其中从用于确定无碰撞的行驶路线的路径规划(T)查明如下时间段，在该时间段之内能够实施操纵而不发生碰撞，如果所检测的时间段的值达到或低于预定的临界值，则输出碰撞警报(K)，该碰撞警报将用于切断能量供给的系统置于待命模式中。


2.按照权利要求1所述的方法，其中，如果所检测的时间段是至碰撞的时间，则所述预定的临界值为500ms或更短、或者300ms或更短、或者200ms或更短；如果所检测的时间段是最后操纵时间，则所述预定的临界值为零。


3.按照权利要求1或2所述的方法，其中，如果在输出碰撞警报之后未探测到撞击(C)，则阻止(NA)切断用于在AD模式中实施行驶的能量供给，而如果在输出碰撞警报(K)之后探测到撞击(C)，则准许(A)切断用于在AD模式中实施行驶的能量供给。


4.按照上述权利要求之一所述的方法，其中，所述用于切断能量供给的系统输出主动的反馈：所述系统收到了碰撞警报(K)。


5.按照上述权利要求之一所述的方法，其中，如果对于所述时间段未输出值或输出无效的值，则阻止(NA)切断用于在AD模式中实施行驶的能量供给。


6.按照上述权利要求之一所述...

【专利技术属性】
技术研发人员：O·C·切利克，S·克吕格尔，
申请(专利权)人：宝马股份公司，
类型：发明
国别省市：德国;DE