用于车辆的控制装置的制作方法

1.本发明涉及一种用于车辆的控制装置。此外，本发明涉及一种用于车辆的控制系统。此外，本发明涉及一种用于运行用于车辆的控制系统的方法。此外，本发明涉及一种计算机产品。


背景技术：

2.已知的自动化驾驶功能需要、尤其是在驾驶员应接管车辆驾驶的情况下需要一定的桥接给和移交给驾驶员的时间，以便使驾驶员再次能够掌握驾驶情况并且再次自行接管正确的车辆驾驶功能。在自动化驾驶功能的移交时间之后可能的能够由驾驶员接管的车辆驾驶功能例如可以是车辆的减速和转向。在其他可能的情况下，驾驶员必须校正自动化驾驶功能的纵向运动功能和横向运动功能，以便例如结束超车过程或者驾驶车辆离开十字路口、建筑工地、隧道、路轨等等。
3.de 10 2016 215 564 a1公开了一种用于运行机动车的电网络的方法，其中，求取涉及电网络的电部件的电流供应的当前情况的参数的值，并且根据求取出的值仅将网络的如下电部件关断：所述电部件对于机动车的预限定的紧急运行不是必需的。
4.de 10 2015 008 005 a1公开了一种运行机动车的方法，其中，第一电车载网络具有第一电池和发电机，第二电车载网络具有第二电池，所述车载网络通过dc/dc转换器耦合，借助该dc/dc转换器的电压转换将电功率从第一电池和发电机传输到第二车载电网中。即使在第一电池失效的情况下和/或在dc/dc转换器有缺陷的情况下，第一车载网络也应能够为第二车载网络供电。为此提出，探测装置探测第一电池的和/或dc/dc转换器的失效，并且在探测到失效的情况下，转换装置将车载网络相互短路并且将发电机的调节器额定值设定为第二车载网络的电压。
5.尤其是在自动化驾驶的情况下重要的是，将对于安全性重要的功能也设计为容错的，使得即使在故障情况下电子功能也可供使用。在此，冗余具有双重功能，即发现故障和提高功能可用性。这尤其是在纵向运动功能和横向运动功能中——例如借助制动系统和转向系统的实现——在行驶期间尤其的风险，因为(在重要相关的功能和部件失效的情况下)车辆突然变得不再能够制动、转向等等。通信以及电压供应应是在很大程度上是能够不间断地转换的，使得车辆功能的性能不突然降低或者使得车辆功能不导致制动器、转向装置和驱动功能中的振动。


技术实现要素：

6.本发明的任务是，提供一种改进的用于车辆的控制系统。
7.根据第一方面，该任务借助一种用于车辆的控制器来解决，该控制器具有：
8.用于连接到两个独立冗余的通信网络上的接口，其中，能够由于第一通信网络的失效而通过第二通信网络将消息传递至控制装置并从控制装置传递消息，反之亦然；和
9.用于通过两个独立冗余的低压网络为控制装置供电的接口，其中，在第一低压网
络中存在故障的情况下，能够通过第二低压网络执行对控制装置的供电，反之亦然。
10.由此实现一种控制装置，在所述网络中的一个网络的故障情况下，仍然能够为所述控制装置供应电能并且所述控制装置能够传递消息。借助这种独立冗余的控制装置，在故障情况下支持将车辆转移到安全状态中。
11.根据第二方面，该任务借助一种用于车辆的控制系统来解决，该控制系统具有：
12.两个独立冗余的高压网络，所述高压网络用于提供电能；
13.两个独立冗余的低压网络，所述低压网络用于提供电控制电压；和
14.两个独立冗余的通信网络，所述通信网络用于在连接到所述通信网络上的控制装置之间传递消息；和
15.降级装置，所述降级装置用于诊断网络中的故障并且用于将连接到网络上的控制装置选择性降级，其中，该控制系统提供用于车辆的驾驶运行的充分功能性。
16.根据第三方面，该任务借助一种用于运行车辆的方法来解决，该方法具有下述步骤：
17.对车辆的控制系统的电高压网络、低压网络和电通信网络进行诊断，所述电高压网络、低压网络和电通信网络分别独立冗余地构造并且在功能上相互连接；
18.将诊断结果传递给所述控制系统的独立冗余的电池管理装置，其中，第一电池管理装置中的故障不妨碍第二电池管理装置的功能性，反之亦然；并且
19.根据诊断结果对连接到电高压网络、电控制电压网络和电通信网络上的控制装置这样进行选择性降级，使得连接到所述电高压网络、电控制电压网络和电通信网络上的控制装置仍然具有用于车辆的安全驾驶运行的充分功能性。
20.因此，借助所提出的方法提供一种独立的完全冗余用于车辆的能量方案、供应电压方案和通信方案，所述方案能够部分地撤离(evakuieren)故障情况并且为车辆的安全驾驶运行提供所需要的功能性。因此，借助所提出的方法提供功能性的所谓的“软降级”，使得不出现突然的功能影响或功能损失。所提出的方法适用于所有车辆类型，然而尤其对纯电池电动车辆有用，因为这些车辆不具有耦合到内燃机上的电能量产生系统，因此在高压网络完全失效的情况下尤其受影响。
21.有利地，借助所提出的方法保持用于车辆的对于安全性重要的系统的最小功能性(充分功能性)。因此，由此能够长期提供用于控制器和促动器的供应电压以及用于车辆的驱动、转向或者制动的电能。
22.该任务根据第四方面借助一种计算机程序来解决。
23.所述方法的和所述控制系统的有利的扩展方案是从属权利要求的主题。
24.该控制系统的一种有利的扩展方案设置，降级装置包括用于执行诊断的诊断模块和用于将控制装置选择性降级的电池管理装置。通过这种方式，在一定程度上实现用于控制系统的中央智能，该控制系统执行诊断并且启动和执行所述降级。
25.该控制系统的另一种有利的扩展方案设置，借助诊断模块，能够启动并且能够执行对连接到网络上的线路的预防性诊断和/或实际的诊断和对连接到网络上的控制装置的选择性关断。在这种背景下，“实际诊断”理解为基于求取出的测量值和消息信息所进行的诊断。视所选择的安全策略而定地，由此能够以高动态和高灵活的方式对装置和网络进行降级。
26.该控制系统的另一种有利的扩展方案设置，在高压网络的故障情况下，能够将dc/dc转换器关断并且能够接入蓄电池用于对低压网络中的一个低压网络供电。如果仅设置为用于产生12v控制电压的dc/dc转换器用以为电子控制器供电，则这是尤其有用的。
27.该控制系统的另一种有利的扩展方案设置，诊断模块和电池管理装置构造为能够相互监控。由此，“通过交叉(
ü
ber kreuz)”来实现监控，这有利地提高该控制系统的安全级别。
28.该控制系统的另一种有利的扩展方案设置，能够借助电池管理装置求取网络的状态，其中，能够通过通信接口传递相应的数据。有利地，由此实现该控制系统的一种“中央智能”，该控制系统支持快速的信息交换。
29.该方法的另一种有利的扩展方案设置，以延迟的方式或者使用预给定的降级控制信号对电负载执行选择性关断。由此实现在时间上延迟的降级，用以执行“软降级”。
30.该方法的另一种有利的扩展方案设置，下述控制装置中的至少一个控制装置为车辆的驾驶运行保持运行准备就绪状态：制动控制器、转向控制器、用于驾驶员辅助系统的控制器、用于马达管理的控制器。为此，将至少两个、更好地多个、最好所有的控制器连接成一系统，借助所述控制器获得车辆的基础功能。例如，低压网络的电控制电压的失效不导致连接在该低压网络上的电子控制器的失效。
31.该方法的另一种有利的扩展方案设置，基于诊断所执行的对连接到网络上的电负载的选择性关断导致软转换，在所述软转换中，车辆不实施突然的运动。由此有利地，即使在车辆的干扰情况下也能够保持高度的驾驶舒适性和安全水平。
32.该控制系统的另一种有利的扩展方案设置，高压网络中的一个高压网络能够通过耦合开关与另一高压网络连接。有利地，这能够用于高压电池的相互充电、高压电池的串联连接、高压电池的能量平衡等等。
附图说明
33.在下文中，根据附图借助其他特征和优点详细描述本发明。附图主要设想用于对本发明重要的原理进行阐述。
34.所公开的方法特征以类似的方式由对应的所公开的设备特征得出，反之亦然。这尤其意味着，涉及该控制系统的特征、技术优点和实施方案以类似的方式由涉及用于运行用于车辆的控制系统的方法的对应的实施方案、特征和优点得出，反之亦然。
35.在附图中示出：
36.图1所提出的用于车辆的控制系统的一种实施方式的方框电路图；
37.图2所提出的控制装置的原理性方框电路图；和
38.图3所提出的用于运行用于车辆的控制系统的方法的原理示图。
具体实施方式
39.在下文中，术语“自动化车辆”在含义方面与全自动化车辆、部分自动化车辆、全自主车辆和部分自主车辆同义地使用(同义：sae等级2/3、4/5)。
40.大多数危及自动化车辆的安全车辆引导的故障主要基于级联，在所述级联中，例如高压电池中的故障导致关断，所述高压电池能够通过dc/dc转换器而涉及到12v电池。如
果中断12v电压供应或者与电动马达的控制电子装置(逆变器)的通信，则该控制电子装置能够打开电池接触器并且衰减通过电动马达的绕组的高压网络能量。由于各式各样的预给定的高压法规，必须实现如下导致高压关断的关断级联：
41.端子15失效、保险熔断、高压使能线路、丝线断连；
[0042]-与逆变器、电池管理系统、用于接收驾驶员意图的控制器(vcu)等等的通信失效；
[0043]-高压(hv-)联锁(用于保护免受高压影响的安全功能)；
[0044]-逆变器故障、高压电池故障、其他负载(例如冷却装置/通风装置等等)的故障；
[0045]-关键的emv影响；
[0046]-具有故障的状态(例如具有故障的碰撞探测)。
[0047]
所提到的所有故障在导致主动关断之前基本上都能够导致车辆的高压网络和低压网络中的强烈脉冲，这些脉冲通常由于关断元件(例如保险丝、软件中的阈等等)的惯性而具有公差。所述脉冲以不期望的方式加载12v电池，并且能够强烈地减少该电池的使用寿命。许多12v负载，例如冷却风机马达、eps马达、esp马达或促动器等等，也具有如下潜力：在确定的情况中将电能馈送到车载网络中，这又会再次增强车载网络中的脉冲。另外，车辆可能由于驱动系中的振动而不稳定，和/或驾驶员可能由于踏板的或者方向盘的行为而强烈地迷惑。
[0048]
由于在所有负载和连接在它们之间的线路中都可能出现这样的故障，因此，提出对用于车辆的控制系统的元件或装置的选择性关断。在此，识别或预防性地诊断干扰原因，并且因此这样执行对控制系统的元件或装置的选择性关断，使得仍然提供车辆的基础驾驶功能。
[0049]
这通过下述方式来实现：将由诊断模块诊断出的干扰信息传递给电池管理系统，该电池管理系统结合诊断模块使所涉及的电路关断并且将低压网络的能量供应转换到可供使用的dc/dc能量源或者其他电能量源上。这通过下述方式来实现：诊断模块起到选择性关断装置或转换装置的功能。
[0050]
图1示出所提出的用于车辆的控制系统100的电气-电子架构(e/e架构)，该控制系统能够提供所提出的功能性。能够看到两个独立冗余的高压电池1a、1b(具有例如400v的直流电压)，所述高压电池分别为高压网络hn1、hn2馈电并且分别通过配属的电池管理装置2a、2b与高压网络hn1、hn2连接或断开。此外，能够借助电池管理装置2a、2b操控开关s，该开关用于以限定的方式来操控(例如充电、电荷能量平衡、串联等等)高压电池1a、1b。通过各一个功率电子装置11a、11b分别操控高压网络hn1、hn2的电动马达m1、m2。
[0051]
此外，在控制系统100中可以看到第一低压网络nv1和第二低压网络nv2，dc/dc转换器3a、3b分别向所述第一低压网络和所述第二低压网络馈送12v电能(电气控制电压)。有利地，在故障情况下，12v蓄电池4能够接入低压网络中的一个低压网络nv1，这例如在下述情况下尤其有意义：由于高压电池1a、1b失效，随后dc/dc转换器3a、3b也不再为低压网络nn1、nn2提供12v供应电压。此外，也能够将充电装置12、而非dc/dc转换器3b接入低压网络nn2。借助充电装置12能够给12v蓄电池4充电。
[0052]
在控制系统100中，此外设置有第一通信网络kn1和第二通信网络kn2，所述第一通信网络和所述第二通信网络能够构造为例如can总线、以太网等等。中央通信接口9a、9b(网关)和制动控制器8(例如integrated power brake，ipb，集成动力制动系统)连接到通信网
络kn1、kn2上，所述制动控制器用于本地调节车辆的线控制动或减速。通过所提到的通信网络kn1、kn1传递用于操控控制系统100的电子控制器的消息。在此，能够设置转向控制器5、用于接收驾驶意图的控制器6、用于自动化驾驶的控制器7和制动控制器8作为电子控制器。此外，还能够考虑另外的、未在图1中示出的电子控制器。控制系统100的网络和负载的所谓的“可降级性”尤其通过诊断模块10来控制，该诊断模块与电池管理系统2a、2b合作对所有网络hn1、hn2、nn1、nn2、kn1、kn2的所有线路进行预防性诊断(例如求取由于线路断连、老化效应、振动、温度效应、短期临界电压需求等等所导致的电阻变化)，并且由此这样引起对连接到控制系统100上的负载和发生器或控制装置的选择性转换，使得在出现缺陷之后也仍然提供车辆的基础驾驶功能(例如转向、制动、控制、导航等等)。
[0053]
由此，借助所提出的用于车辆的控制系统100能够实现下述在下文中仅示范性提到的有利功能：
[0054]
12v低压网络nn1、nn2的电气控制电压配属于具有通信网络kn1、kn2和可供使用的冗余的通信层面。这意味着，由于存在两个独立冗余的低压网络nn1、nn2和两个独立冗余的通信网络kn1、kn2，电子控制器分别悬挂在同一支路(低压网络和通信网络)上，因为否则的话，在12v供电和通信失效的情况下可用性降低。借助所提出的方法，例如虽然一个电子控制器能够完全失效，但是其余可供使用的控制器能够维持失效的控制器的标称功能(大多具有降低的性能)或者能够提供失效的功能的降级功能。由于独立的冗余，通过这种方式能够有利地实现：网络nn1、nn2、kn1、kn2、hn1、hn2中的一个网络中的故障不会妨碍分别配属于对应的网络nn1、nn2、kn1、kn2、hn1、hn2的另一网络nn1、nn2、kn1、kn2、hn1、hn2的功能性。
[0055]
用于确保行驶直到安全的停车或者状态(故障状态或者故障运行状态)为止的重要车辆系统，例如制动器和转向装置，分别连接到两个通信网络kn1、kn2和两个12v低压网络nn1、nn2上，所述通信网络和所述低压网络分别彼此电分离或者“充分安全”地彼此分离。
[0056]
所有高压负载优选连接到两个高压网络hn1、hn2上，以便高压关断仅对一个支路(具有高压网络、低压网络和通信网络)产生影响，因此，在一个高压网络完全关断的情况下，高压负载仍然具有功能性。相应的支路优选应配属给第一低压网络和第一通信网络一次并且配属给第二低压网络和第二通信网络一次，以便高压网络中的故障以及高压运行的关断不能够导致别的网络中的故障。
[0057]
诊断模块10尤其设置为用于借助检测和/或模拟线路电阻和电流来对全部网络的线路进行预防性诊断，并且能够向连接到网络上的负载提供相应的信息，以便限限定的负载能够在出现故障之前从配属的网络中预防性地关断或撤离。
[0058]
可降级的负载例如包括用于驾驶员辅助系统的控制器7，该控制器优选作为用于马达管理和热管理的控制器6连接到另一低压网络nn1、nn2上。有利地，由此支持如下情况，即用于驾驶员辅助系统的控制器7的失效或关断能够至少部分地被用于马达管理和热管理的控制器6补偿，反之亦然。
[0059]
因此可以看到，所提出的系统100中的控制器、能量系统、驱动器和网络这样布置和在功能上相互连接，使得在车辆的故障情况下(例如由于事故)，全部的控制器、能量系统、驱动器和网络决不可能同时被损伤或失效。
[0060]
因此，通过诊断模块10进行的线路诊断不仅应实现高压网络hv1、hv2的诊断，还应附加地实现低压网络nv1、nv2的诊断，并且应将这一点合并为可能的降级。借助诊断模块10
能够前瞻性地对连接到所述网络上的全部装置进行转换和关断(英语：predictive maintenance，预测性维护)。
[0061]
涉及低压网络和高压网络的诊断信息尽可能实时地提供应电池管理装置2a、2b，以便这些诊断信息连同高压电池1a、1b的电池状态一起被获知。通过这种方式，电池管理装置2a、2b能够选择性地借助接触器和/或功率开关12a、12b将相应的高压网络hn1、hn2分离或者关断，以避免故障传播。电池管理装置2a、2b是控制器，所述控制器通过不同的固定布线的信号以及通过总线系统(例如can总线等等)与别的控制器连接。在高压网络、连接、通信、冷却水等等中的故障通常导致产生下述要求：电池管理装置2a、2b由此打开接触器并且因此将电路断开。
[0062]
附加地，所谓的“降级管理器”(未示出)能够设置为用于控制所提出进行选择性降级。
[0063]
通过所提出的监控系统能够对低压网络nn1、nn2中的关键负载进行辨识和选择性关断，只要重要的车辆驾驶功能的可用性不由此受到危及。由于如今所有的车辆驾驶功能已经具有冗余的12v供电，因此，能够借助电池管理装置2a、2b将关键的回路关断，如自动化车辆的紧急运行所需要的那样。
[0064]
此外，电池管理装置2a、2b因此也能够关闭关键的回路，如控制系统100的紧急运行所需要的那样。借助电池管理装置能够通过dc/dc转换器3a、3b保持12v供电，只要高压电池1a、1b能够维持低水平的电能供应。
[0065]
此外，视故障的原因而定地，电池管理装置2a、2b也能够启动高压网络hn1、hn2的和低压网络nn1、nn2的选择性关断。
[0066]
借助所提出的控制系统100，能够这样执行网络的和连接到网络上的装置的降级，使得配备有控制系统100的车辆能够转移到安全状态中。
[0067]
为此设置，在涉及车辆驾驶功能的功能性的一致性和可信度方面检查向控制装置传递的消息。
[0068]
图2示出控制器或控制装置——在这种情况下是车辆的转向控制器5——的原理性方框图。可以看到用于连接到两个通信网络kn1、kn2上的两个输入端5a、5b和用于连接到用于提供12v电压供应的低压网络nn1、nn2上的两个输入端5c、5d。接口5a、5b或5c、5d分别独立冗余地实施，这意味着，所连接的网络kn1、kn2、nn1、nn2的失效不能够不利地妨碍控制器的工作方式。在图2中通过分离线以图解的方式标示出输入端5a、5c与输入端5b、5d的电分离，该电分离支持所提到的这些输入端的功能独立性。由此确保，随时，即，即使在车辆的故障情况下，不仅保证通过通信网络kn1、kn2所传递的消息，而且保证通过低压网络nn1、nn2所进行的供电。
[0069]
图3示出所提出的方法的一种实施方式的原理性流程。
[0070]
在步骤200中，对车辆的控制系统100的电高压网络、低压网络和电通信网络hn1、hn2、nn1、nn2、kn1、kn2进行诊断，所述电高压网络、低压网络和电通信网络分别独立冗余地构造并且在功能上相互连接。
[0071]
在步骤210中，将诊断结果传递给控制系统100的独立冗余的电池管理装置2a、2b，其中，第一电池管理装置中的故障不妨碍第二电池管理装置的功能性，反之亦然。
[0072]
在步骤220中，根据诊断结果对电高压网络、电控制电压网络和电通信网络hn1、
hn2、nn1、nn2、kn1、kn2的装置这样进行选择性降级，使得连接到电能量供应网络、电控制电压网络和电通信网络hn1、hn2、nn1、nn2、kn1、kn2上的装置仍然具有充分功能性。
[0073]
有利地，所提出的方法能够以具有适合的程序代码单元的软件程序的形式实现，该软件程序在诊断模块10和电池管理装置2a、2b上运行。通过这种方式能够实现该方法的简单的可匹配性。
[0074]
因此，由此能够实现由相互连接的控制器组成的系统，对于限限定的功能性，该系统包括至少一个通过通信网络提供配属的信息或数据的控制器和配属的、通过该通信网络接收信息并且将所述信息转化为用于车辆的促动(aktuation)的控制器。
[0075]
本发明的典型的应用场景能够是具有高于sae等级2的功能的自动化车辆，在该自动化车辆中，在驾驶运行期间在限限定的时间段内由机器系统代替驾驶员。
[0076]
本领域技术人员可以对本发明的特征进行适当改动和/或者相互组合，而不偏离本发明的核心。