Titel

Verfahren zum Überwachen der Energieversorgung eines Kraftfahrzeugs mit au tomatisierter Fahrfunktion

Die Erfindung betrifft ein Verfahren zum Überwachen der Energieversorgung ei nes Kraftfahrzeugs mit automatisierter Fahrfunktion. Bei dem Verfahren werden insbesondere sicherheitsrelevante Funktionen des Bordnetzes überwacht.

Stand der Technik

Das Fahrzeugbordnetz hat die Aufgabe, die elektrischen Verbraucher mit Ener gie zu versorgen. Fällt die Energieversorgung aufgrund eines Fehlers bzw. Alte rung im Bordnetz bzw. in einer Bordnetzkomponente in heutigen Fahrzeugen aus, so entfallen wichtige Funktionen, wie die Servolenkung. Da die Lenkfähig keit des Fahrzeugs nicht beeinträchtigt, sondern nur schwergängig wird, ist der Ausfall des Bordnetzes in heutigen in Serie befindlichen Fahrzeugen allgemein akzeptiert, da der Fahrer als Rückfallebene zur Verfügung steht. Zur Erhöhung der Verfügbarkeit wurden zweikanalige Bordnetz-Strukturen wie beispielsweise in der WO 2015/135729 Al vorgeschlagen. Diese werden auch benötigt, um Sys teme für den hoch- oder vollautomatischen Fährbetrieb fehlertolerant zu versor gen.

Um den Ausfall von Komponenten prognostizieren zu können, wurden zuverläs sigkeitstechnische Ansätze zur Überwachung von Fahrzeugkomponenten erar beitet. Dazu werden die Bordnetz- Komponenten während des Betriebs über wacht und deren Schädigung ermittelt. Ein solches Verfahren ist bspw. in der Druckschrift DE 10 2013 203 661 Al beschrieben. Für den sicheren Halt eines automatisch fahrenden Fahrzeugs wird elektrische Energie benötigt, welche über chemische Speicher bereit gestellt werden kann. Chemische Speicher haben jedoch die Eigenschaft, kontinuierlich zu altern und in der Leistungsfähigkeit nachzulassen. Für einen sicheren Betrieb müssten sie entweder stark überdimensioniert werden oder in kurzen Abständen erneuert werden.

Der Erfindung liegt die Aufgabe zugrunde, die Zuverlässigkeit und zugleich die Verfügbarkeit automatisierter Fahrfunktionen sowie der benötigten Energiever sorgung zu erhöhen. Diese Aufgabe wird gelöst durch die Merkmale des unab hängigen Anspruchs.

Offenbarung der Erfindung

Dadurch, dass eine prädizierte Kenngröße eines Energiespeichers ermittelt wird kann die Verfügbarkeit von automatisierten Fahrfunktionen weiter erhöht werden. Diese Kenngröße des Energiespeichers steht in starker Abhängigkeit von einer Grundlast und/oder einem Abschaltpotenzials eines nicht für eine Betriebsweise zur Überführung des Fahrzeugs in einen sicheren Zustand benötigten Verbrau chers ab. Gerade energieintensive Funktionen bzw. Verbraucher im ordnungs gemäßen Betrieb beeinträchtigen die Freigabe für automatisierte Fahrfunktionen nicht. Denn es kann nun davon ausgegangen werden, dass diese Verbraucher sicher bei Bedarf abgeschaltet werden können, sodass die gesamte elektrische Energie bzw. Leistung für eine entsprechende Betriebsweise zur Überführung des Fahrzeugs in einen sicheren Zustand zur Verfügung steht. Gerade durch die Ermittlung der aktuellen bzw. minimal möglichen elektrischen Grundlast im Rah men des Abschaltpotenzials können verschiedene unterschiedliche Betriebswei sen definiert werden. Vor der Freigabe und während der automatisierten Fahr funktionen wird überprüft, ob der Energiespeicher für den Fehlerfall im jeweils anderen unabhängigen Bordnetzkanal (bzw. Versorgung durch einen weiteren Energieverbraucher) zumindest eines oder alle möglichen Betriebsweisen ver sorgen kann, ohne dass die prädizierte Kenngröße, beispielsweise die Versor gungsspannung im Bordnetz, unzulässige Tief einbricht. Dieses Ergebnis kann dann an die Steuerungssoftware der automatisierten Fahrfunktionen zurückge meldet und im Fehlerfall gegebenenfalls nur eine reduzierte (bezüglich einer ge- ringeren Belastung bzw. Lastprofils) Betriebsweise gefahren werden. Hierzu könnte beispielsweise auf Ausweichmanöver verzichtet werden bzw. könnte al ternativ die Geschwindigkeit der automatisierten Fahrfunktionen zur Erreichung eines sicheren Betriebszustands reduziert werden. Selbst bei leicht gealtertem Energiespeicher kann nun die automatisierte Fahrfunktionen im Prinzip noch er laubt werden, jedoch kann die Strombelastung durch die Aktoren und Steuerge räte auf das aus Sicht des Energiespeichers zulässige Maß begrenzt werden.

In einer zweckmäßigen Weiterbildung ist dem Lastprofil zumindest ein für das- Lastprofil charakteristischer Parameter zugeordnet, wobei die prädizierte Kenn größe ermittelt wird in Abhängigkeit von dem Parameter. Damit vereinfacht sich die Datenverarbeitung, in dem lediglich einer oder nur wenige Parameter bei spielsweise an einen Batteriesensor übertragen werden müssen, in dem die Funktion der Prädiktion der Kenngröße erfolgt. Die entsprechenden Übertra gungsprotokolle vereinfachen sich. Auch die Prädiktoren selbst kann vereinfacht werden. Besonders zweckmäßig werden als Parameter zumindest eine Zeit spanne einer Dauer der Betriebsweise und/oder ein Maximalwert des Lastprofils und/oder ein Zeitpunkt eines Auftretens eines Maximalwerts des Lastprofils ver wendet. Diese Größen beschreiben hinreichend den zu erwarteten Energiebe darf, den die Prädiktion berücksichtigt. Damit ist ein Kompromiss geschlossen, mit einer geringen Anzahl zu übertragender Parameter und der Genauigkeit des zu erwartenden Lastprofils.

In einer zweckmäßigen Weiterbildung wird zumindest eine weitere prädizierte Kenngröße zumindest eines weiteren Energiespeichers ermittelt unter Berück- sichtigung eines weiteren Lastprofils, das abhängt von einem weiteren für die Be- triebsweise benötigten Verbraucher, der von dem weiteren Energiespeicher ver- sorgt wird. Damit können alternative Bord netzzweige hinsichtlich ihrer Funktions- fähigkeit zur Durchführung bestimmter Betriebsweisen bewertet werden. Die Freigabe der automatisierten Fahrfunktionen kann erfolgen, wenn zumindest eine eine Betriebsweise zur Überführung des Fahrzeugs in einen sicheren Zustand si- cher durchgeführt werden kann. Dadurch erhöht sich wiederum die Verfügbarkeit der automatisierten Fahrfunktionen. In einer zweckmäßigen Weiterbildung wird zumindest eine elektronische Lastver- teilung zur Ansteuerung der Verbraucher und/oder zu deren Stromerfassung vor- gesehen. Gerade bei einer elektronischen Lastverteilung wird sichergestellt, dass eine sichere Abschaltung insbesondere von nicht für die Betriebsweise benötig- ten Verbrauchern erfolgen kann, wodurch sich weiter die Zuverlässigkeit des Ge- samtsystems erhöht. Außerdem sind solche elektronischen Sicherungen stan- dardmäßig in der Lage, beispielsweise den fließenden Laststrom zu erfassen und somit Rückschlüsse zu geben auf die Höhe der Grundlast und/oder das Ab- schaltpotenzial der jeweiligen Last. Dadurch erhöht sich die Genauigkeit der Prä- diktion. Die Verfügbarkeit des Gesamtsystems kann weiter erhöht werden.

In einer zweckmäßigen Weiterbildung erfolgt eine Anregung des Bordnetzes zur Ermittlung des Batteriezustands insbesondere durch eine Aktivierung zumindest eines Verbrauchers und/oder zumindest einer Quelle und/oder einer Last ge- schaltet durch eine elektronische Sicherung. Dadurch verbessert sich die Qualität der Prädiktion bzw. wird diese überhaupt ermöglicht. Liegt beispielsweise die Er- fassung bestimmter Kenngrößen des Energiespeichers, die wiederum in die Prä- diktion einfließen können, lange zurück und sind daher nicht mehr repräsentativ, kann durch eine gezielte Anregung des Bordnetzes eine aktuelle Ermittlung be- stimmter Kenngrößen erfolgen. Dadurch erhöht sich die Zuverlässigkeit des Ge- samtsystems.

Weitere zweckmäßige Weiterbildungen ergeben sich aus weiteren abhängigen Ansprüchen und aus der Beschreibung.

Kurze Beschreibung der Zeichnungen

Figur 1 zeigt einen Batteriesensor zur Prädiktion einer Kenngröße.

Figur 2 zeigt ein mögliches Bordnetz für ein Fahrzeug zum automatisierten Fah- ren.

Figur 3 zeigt eine Übersicht über verschiedene Steuergeräte hinsichtlich Vernet- zung und Funktionsübersicht. Figur 4 zeigt den zeitlichen Stromverlauf von Komfort- und sicherheitsrelevanten Verbrauchern und daraus resultierende Ableitung korrespondierender Parameter.

Ausführungsformen der Erfindung

Die Erfindung ist anhand von Ausführungsformen in den Zeichnungen schema- tisch dargestellt und wird nachfolgend unter Bezugnahme auf die Zeichnungen ausführlich beschrieben.

Beispielhaft ist in dem Ausführungsbeispiel als möglicher Energiespeicher eine Batterie bzw. Akkumulator beschrieben. Alternativ können jedoch andere für die se Aufgabenstellung geeignete Energiespeicher beispielsweise auf induktiver oder kapazitiver Basis, Brennstoffzellen, Kondensatoren oder Ähnliches gleich- ermaßen Verwendung finden.

Figur 1 zeigt einen Batteriesensor bzw. Teil eines Batteriemanagement-Systems, der insgesamt mit der Bezugsziffer 10 bezeichnet ist. Eingangsgrößen in eine Einheit 12, insbesondere eine Messeinheit, sind die Temperatur 14 und der Strom 16, Ausgangsgröße ist eine Spannung 18.

In einem Block 20 erfolgt die Abschätzung von Parametern und Zuständen. Hier in sind eine Rückkopplungseinheit 22, ein Batteriemodell 24 und eine Adaption 26 der Parameter vorgesehen. Es werden eine Spannung 28, Batterie- Zustandsvariablen 30 und Batterie- Modellparamater 32 ausgegeben.

Ein Knoten 29 dient dazu, das Batteriemodell 24 an die Batterie anzupassen. Der Strom 16 geht direkt und die Temperatur 14 geht indirekt in das Batteriemodell 24 ein. Dieses berechnet die Variable 28, beispielsweise eine Spannung basie rend auf dem Batteriemodell 24, und gleicht diese mit der realen Spannung 18 ab. Bei Abweichungen wird das Batteriemodell 24 über eine Rückkopplungsein heit 22 korrigiert.

Weiterhin ist ein Block 40 für Sub-Algorithmen bereitgestellt. Dieser umfasst ein Batterietemperaturmodell 42, eine Ruhespannungsermittlung 44, eine Spitzen- Strommessung 46, eine adaptive Startstromvorhersage 48 und eine Batteriegrö ßenerfassung 50.

Daneben sind Lastprofile 60, beispielsweise auch in Form von charakteristischen Parametern 198 wie nachfolgend beschrieben, bereitgestellt, die in einen Block 62 mit Prädiktoren eingehen. Diese sind ein Ladungsprädiktor 64, ein Span- nungsprädiktor 66 und ein Alterungsprädiktor 68. Ausgaben des Blocks 62 sind ein Signal Q_pred, das verwendet wird, um einen Ladezustand (SOC) 70 zu er mitteln, die prädizierte Spannung U_pred (74,199) in Abhängigkeit vom Last strom 72 (I) und einen Alterungsprädiktionswert, der dazu benutzt wird den Batte rie-Gesundheitszustand (SOH) 76 als mögliche prädizierte Kenngrößen des Energiespeichers zu ermitteln.

Über die Prädiktoren 64, 66, 68 ist der Batteriesensor 10 in der Lage, den SOC 70, den Spannungseinbruch der prädizierte Spannung 74/199 und den SOH 76 während sowie nach mehreren vorher definierten Belastungsszenarien vorherzu sagen bzw. zu prädizieren. Diese können jetzt auch auf automatisiertes Fahren bzw. auf den jeweiligen Anwendungsfall angepasst werden. Insbesondere sind die Prädiktoren 64, 66, 68 in der Lage, unter Rückgriff eines typischen Belas tungsvorgangs (anhand bestimmter Lastprofile 60, 141 bzw. hierfür charakteristi sche Parameter 198) einer zugehörigen Betriebsweise (215, SSL 1, SSL 2, SSL 3), ein Fahrzeug zum Stillstand zu bringen, zumindest eine bestimmte Kenngrö ße der Batterie 106, 110 zu prädizieren (mit Hilfe einer Simulation vorherzusa gen). Es können unterschiedliche Betriebsweisen (SSL 1, SSL 2, SSL 3) vorge sehen sein, um das Fahrzeug zum Stillstand zu bringen und damit einen siche ren Betriebszustand des Kraftfahrzeugs (Safe Stop Level) zu erreichen. Jeder dieser unterschiedlichen Betriebsweisen (SSL 1, SSL 2, SSL 3) ist jeweils ein Lastprofil 141 / 198 zugeordnet. Für die jeweiligen Belastung 198 wird der sich daraus ergebende Batteriezustand simuliert und dessen Auswirkungen auf die prädizierte Kenngröße der Batterie 106, 110 (wie beispielsweise Spannnung, Strom, SOC, SOH, SOF (State of Function (SOF) beschreibt die Leistungsfähig keit der Batterie und gibt Auskunft darüber, mit welcher Leistung der Energie speicher den Verbraucher versorgen kann)) prädiziert. Führt das Lastprofil 60, 141 in der Simulation zur Unterschreitung bestimmter Grenzwerte durch die Kenngröße (beispielsweise die prädizierte Spannung 74/199), wird die jeweilige mit dem simulierten Lastprofil 141 verknüpfte Betriebsweise SSL gesperrt. Die Lastprofile 60,141 können wie nachfolgend näher erläutert dem Batteriesensor 10 über wenige Parameter 198 übermittelt werden.

Figur 2 zeigt eine mögliche Topologie eines Energieversorgungssystems, beste hend aus einem Basisbordnetz 102, welches eine Batterie 106 mit zugehörigem Batteriesensor 10, einen Starter 164, mehrere nicht sicherheitsrelevante Komfort- Verbraucher 162, die durch eine elektrische Lastverteilung 163 abgesichert bzw. angesteuert werden, umfasst. Das Basisbordnetz 102 weist ein gegenüber einem Hochvolt-Bordnetz 166 niedrigeres Spannungsniveau auf, beispielsweise kann es sich um ein 14 V-Bordnetz handeln. Zwischen dem Basisbordnetz 102 und dem Hochvolt-Bordnetz 166 ist ein Gleichspannungswandler 165 angeordnet.

Das Hochvolt-Bordnetz 166 umfasst beispielhaft eine Hochvolt- Batterie 167, eventuell mit integriertem Batteriemanagementsystem, exemplarisch gezeigt eine nicht sicherheitsrelevante Last 168 bzw. Komfortverbraucher wie beispielsweise eine mit erhöhtem Spannungsniveau versorgte Klimaanlage etc. sowie eine Elektromaschine 170. Als Hochvolt wird in diesem Zusammenhang ein Span nungsniveau verstanden, welches höher ist als das Spannungsniveau des Ba sisbordnetzes 102. So könnte es sich beispielsweise um ein 48- Volt- Bordnetz handeln. Alternativ könnte es sich gerade bei Fahrzeugen mit Elektroantrieb um noch höhere Spannungsniveaus handeln. Alternativ könnte das Hochvolt- Bordnetz 166 ganz entfallen.

Mit dem Basisbordnetz 102 sind zwei sicherheitsrelevante Kanäle 101, 103 ver bunden. Der erste sicherheitsrelevante Kanal 101 ist über eine elektronische Lastverteilung 160 mit dem Basisbordnetz 102 verbunden. Die elektronische Lastverteilung 160 dient der Absicherung, Ansteuerung sowie der sicheren und zuverlässigen Abschaltung sicherheitsrelevanter Verbraucher 147a, 149a, 150a, 152, bzw. der elektronischen Energienetzverteilung. Außerdem kann die elektro nische Lastverteilung 160 in der Lage sein, die fließenden Verbraucherströme zu erfassen.

Der weitere sicherheitsrelevante Kanal 103 ist sowohl über einen Gleichspan nungswandler 108 und über eine weitere elektronische Lastverteilung 161 mit dem Basisbordnetz 102 verbunden. Zwischen Gleichspannungswandler 108 und elektronischer Lastverteilung 161 ist eine weitere Batterie 110 gegen Masse ge schaltet angeordnet. Der weiteren Batterie 110 ist auch ein weiterer Batterie sensor 10 zur Erfassung der typischen Kenngrößen der weiteren Batterie 110 angeordnet. Beispielhaft kann es sich bei dem Spannungsniveau der weiteren Batterie 110 um das Spannungsniveau des Basisbordnetzes 102 handeln. Bei spielsweise liegt es bei 14 V. Alternative Spannungsniveaus sind denkbar. Die elektronische Lastverteilung 161 im weiteren Kanal 103 dient der Absicherung, Ansteuerung sowie der sicheren und zuverlässigen Abschaltung insbesondere sicherheitsrelevanter Verbraucher 147b, 149b, 150b, 155, 159. Außerdem kann die elektronische Lastverteilung 161 mögliche Verbraucherströme erfassen. Der Gleichspannungswandler 108 lässt einen Energieaustausch zwischen der weite ren Batterie 110 und dem Basisbordnetz 102 sowie gegebenenfalls über den weiteren Gleichspannungswandler 165 mit dem Hochvolt- Bordnetz 166 zu. Damit kann gewährleistet werden, dass die Batterien 106, 110 über die sicherheitsrele vanten Kanäle 101,103 die sicherheitsrelevanten Verbraucher 147, 149, 150, 157 zuverlässig mit Energie versorgen können.

Die über die beiden sicherheitsrelevanten Kanäle 101, 103 versorgbaren redun danten, insbesondere funktionsredundanten, sicherheitsrelevanten Verbraucher 147, 149, 150, 157 sind solche, die notwendig sind, ein Fahrzeug von einem au tomatisierten Fährbetrieb (kein Eingreifen des Fahrers notwendig) beispielsweise in kritischen Fehlerfällen in einen sicheren Zustand zu überführen. Wie nachfol gend näher beschrieben kann es sich um ein Anhalten des Fahrzeugs, sei es so fort, sei es am Fahrbahnrand oder erst am nächsten Rastplatz etc. handeln.

Beim Ausführungsbeispiel gemäß Figur 2 sind folgende sicherheitsrelevanten Verbraucher vorgesehen. Hierbei handelt es sich zumindest um ein Bremssys tem 147. Die Bremsfunktionalität kann entweder durch eine erste Komponente 147a (beispielsweise ein sogenannter iBooster, der den Bremsdruck elektrome chanisch erzeugt), die über den einen sicherheitsrelevanten Kanal 101 versorgt wird, erreicht werden. Die redundante Bremsfunktionalität wird alternativ über ei ne weitere Komponente 147b erreicht. Beispielhaft kann als weitere Komponente 147b ein sogenanntes elektronisches Stabilitätsprogramm verwendet werden, welches ebenfalls das Fahrzeug zum Stillstand bringen kann. Die weitere Kom- ponente 147b wird über den weiteren sicherheitsrelevanten Kanal 103 versorgt und durch die elektronische Lastverteilung 161 angesteuert.

Als weitere sicherheitsrelevante Komponente ist beispielsweise ein Lenksystem 149 vorgesehen. Das Lenksystem 149 besteht aus einer ersten Komponente 149a, die über die elektronische Lastverteilung 160 durch den ersten sicherheits relevanten Kanal 101 angesteuert und versorgt werden kann. Weiterhin umfasst das Lenksystem 149 eine weitere Komponente 149b, die ebenfalls unabhängig von der ersten Komponente 149a das Fahrzeug in gewünschter Weise lenken kann. Die weitere Komponente 149b wird über die weitere elektronische Lastver teilung 161 für den weiteren sicherheitsrelevanten Kanal 103 angesteuert bzw. mit Energie versorgt.

Als weitere mögliche sicherheitsrelevante Komponente ist eine Mensch- Maschine-Schnittsteile 150 (User Interface) vorgesehen. Diese Mensch- Maschine-Schnittsteile 150 besteht wiederum aus zwei unabhängig voneinander betreibbaren Komponenten 150a, 150b. Die eine Komponente 150 a wird über den ersten sicherheitsrelevanten Kanal 101 über die elektronische Lastverteilung 160 angesteuert bzw. mit Energie versorgt. Die weitere Komponente 150b wird von dem weiteren sicherheitsrelevanten Kanal 103 bzw. die zugehörige elektro nische Lastverteilung 161 angesteuert bzw. mit Energie versorgt.

Als weitere sicherheitsrelevante Komponente ist eine automatisierte Fahrfunktion 157 vorgesehen. Alternativ könnten in dem Block 157 jeweils eine Gruppe von Sensoren und ein verarbeitendes Steuergerät, das die Aktoren steuert, vorgese hen sein. Die automatisierte Fahrfunktionen 157 ist wiederum redundant aufge baut. So werden eine erste Recheneinheit 152 (die erste Recheneinheit 152 könnte der in Figur 3 gezeigten Zentraleinheit 182 entsprechen) sowie eine erste Sensoreinheit 158 von dem ersten Kanal 101 bzw. die zugehörige elektronische Lastverteilung 160 angesteuert bzw. mit Energie versorgt. In redundanter Art und Weise kann die automatisierte Fahrfunktionen 157 durch eine weitere Rechen einheit 154 sowie eine oder mehrere Sensoreinheiten 159 realisiert werden, wel che durch den weiteren sicherheitsrelevanten Kanal 103 bzw. zugehörige weitere elektronische Lastverteilung 161 angesteuert bzw. versorgt werden. In den Re cheneinheiten 152, 154 erfolgt beispielsweise die Trajektorienplanung mit zuge- hörigen Ansteuerwerten für die benötigten Aktuatoren. Die Sensoreinheiten 158, 159 stellen jeweils die aktuellen Umfeldinformationen des Fahrzeugs für die Trajektorienplanung zur Verfügung.

In Figur 3 sind die Vernetzung der Steuergeräte und eine Funktionsübersicht ge zeigt. Eine Zentraleinheit 182 (die Zentraleinheit 182 könnte der Recheneinheit 158 gemäß Figur 2 entsprechen) für automatisiertes Fahren tauscht über eine Datenverbindung 173 Daten aus mit einem Gateway 180. Bei der Datenverbin dung 173 kann es sich beispielsweise um eine Ethernet-Verbindung handeln.

Eine Steuereinheit 190 tauscht über eine weitere Datenverbindung 174 Daten aus mit dem Gateway 180. Bei der weiteren Datenverbindung 174 kann es sich beispielsweise um einen CAN-Bus handeln. In der Steuereinheit 190 sind Steue rungen der Energiebordnetz- Funktionen bzw. des Energiemanagements vorge sehen. Das Energiemanagement überwacht und steuert die Energieverteilung im Bordnetz. Abhängig von Lastzuständen können beispielsweise bei einem dro henden Energieengpass bestimmte mit niedriger Priorität kategorisierte Lasten bzw. Verbraucher abgeschaltet bzw. trotz entsprechender Anforderung nicht ak tiviert werden. So sind in dem Energiemanagement beispielsweise die typischen Leistungsanforderungen der jeweiligen Verbraucher bei einer geplanten Aktivie rung hinterlegt oder werden ermittelt. Alternativ könnten die Funktionen des Energiemanagements anstelle in der Steuereinheit 190 auch in dem Gleichspan nungswandler 108, 165 gemäß Figur 2 oder aber in einem sonstigen Steuergerät (beispielsweise in den Verbrauchern 162) im Fahrzeug realisiert werden. Alterna tiv wäre es auch möglich, diese Funktionen bezüglich des Energiemanagements des Bordnetzes 102, 166 in der Zentraleinheit 182 oder im Gateway 180 zu im plementieren.

Weiterhin sind wie bereits im Zusammenhang mit Figur 1 beschrieben beispiel haft zwei Batteriesensoren 10 vorgesehen. Der eine Batteriesensor 10 tauscht über eine Datenverbindung 175 Daten aus mit der Steuereinheit 190. Der weitere Batteriesensor 10 tauscht über eine weitere Datenverbindung 176 ebenfalls mit der Steuereinheit 190 Daten aus. Bei den Datenverbindungen 175, 176 kann es sich beispielsweise um einen sogenannten LIN-Bus handeln. Die jeweiligen Bat teriesensoren 10 sind an den zugehörigen Batterien 106, 110 angeordnet, bei- spielsweise an deren Polen. Wie bereits bzw. nachfolgend näher beschrieben sind in den Batteriesensoren 10 weitere Funktionen hinterlegt. Beispielhaft ge zeigt sind eine Funktion 201 zur Ermittlung eines Innenwiderstands und/oder ei ne Funktion 202 zur Erkennung einer ordnungsgemäßen Verbindung des Ener giespeichers bzw. der Batterie 106, 110 mit dem Bordnetz 102, 166. Außerdem ist in jedem Batteriesensor 10 ein Prädiktor 62, 200 vorgesehen, der wie be schrieben bestimmte Kenngrößen, insbesondere die Spannung, abhängig von bestimmten Lastprofilen 141, gegebenenfalls dargestellt über gewisse Parameter 198, prädiziert. Hierzu erhält der Batteriesensor entsprechende Parameter 60, 198 von der Steuereinheit 190. Bestimmte Daten wie beispielsweise prädizierte Kenngrößen 74, 199 teilt der Batteriesensor 10 wiederum der Steuereinheit 190 mit.

Weiterhin ist zumindest eine elektronische Lastverteilung 160, vorzugsweise sind weitere Lastverteilungen 161, 163 vorgesehen. Die elektronische Lastverteilung 160, 161, 163 kommuniziert über eine weitere Datenverbindung 177 mit dem Ga teway 180 bzw. der daran angeschlossenen Steuereinheit 190 bzw. Zentralein heit 182, 152. Als weitere Datenverbindung 177 könnte beispielsweise ein CAN- Bus vorgesehen sein. Die elektronische Lastverteilung 160, 161, 163 wird bei spielsweise vor nicht sicherheitsrelevanten Komfortverbrauchern 162 zu deren Aktivierung/Deaktivierung platziert. Prinzipiell können diese elektronischen Last verteilungen 160, 161, 163 sicherheitsrelevante Lasten, insbesondere solche, die zur Überführung des Fahrzeugs in einen sicheren Zustand notwendig sind, an steuern wie bereits in Verbindung mit Figur 2 beschrieben. In der elektronischen Lastverteilung 160 ist systematisch angedeutet eine Funktion 210 zur Abschal tung von Komfortverbrauchern 162 vorgesehen. Außerdem kann in der elektroni schen Lastverteilung 160, 161, 163 auf eine Funktion 211 zur Messung einer Grundlast 206 in der elektronischen Lastverteilung 160 implementiert sein.

Prinzipiell sind die Steuergeräte wie Zentraleinheit 182, 152, Steuereinheit 190, Batteriesensoren 10 sowie elektronische Lastverteilungen 160, 161, 163 zum Zwecke des Datenaustauschs miteinander verbunden, wie bereits beschrieben über Ethernet, CAN-Bus oder LIN-Bus. Üblicherweise ist wie in der Figur 3 dar gestellt ein Gateway 180 oder ein Steuergerät mit Gateway- Funktion dazwischen geschaltet. Weiterhin sind im Fahrzeug noch weitere Steuergeräte vorhanden, die nicht dargestellt sind. Auf den in Figur 3 gezeigten Steuergeräten sind ver schiedene Funktionen partitioniert, dargestellt durch die verschiedenen Blöcke und verbunden durch die gezeigten Signalpfade.

Die Zentraleinheit 182, 152 umfasst in einem Block eine Bewegungssteuerung 186 für das Fahrzeug. In der Bewegungssteuerung 186 werden die geplanten Trajektorien umgewandelt in entsprechende Steuerungsbefehle für die im Fahr zeug befindlichen Aktoren. Beispielsweise werden entsprechende Lenkbefehle in Form von Lenkwinkelvorgaben für das Lenksystem 149 bzw. entsprechende Bremsmanöver dem Bremssystem 147 vorgegeben. In dem Block sind ebenfalls entsprechende Bewegungssteuerungen 186 für die unterschiedlichen Betriebs weisen SSL zum Erreichen eines sicheren Zustandes hinterlegt. Die Bewe gungssteuerung 186 setzt entsprechende Trajektorien der unterschiedlichen Be triebsweisen SSL zur Erreichung eines sicheren Zustands in Steuerungsbefehle 214 für die Aktuatoren um und stellt sie einer Funktionseinheit 183 zum Errei chen eines sicheren Betriebszustands zur Verfügung.

In der Zentraleinheit 182, 152 ist beispielsweise die Funktionseinheit 183 zum Er reichen eines sicheren Stopps bzw. sicheren Zustands vorgesehen. In der Funk tionseinheit 183 zum Erreichen eines sicheren Stopps ist hinterlegt bzw. bedatet, wie das Fahrzeug im Fehlerfall automatisiert in den sicheren Zustand gebracht werden soll. Beispielsweise ist hinterlegt, dass sofort das Fahrzeug verzögert werden soll in einer ersten Betriebsweise SSL 1. Alternativ könnte hinterlegt sein, dass die Sensoren (beispielsweise in einer der Sensoreinheiten 158, 159) den weiteren Spurverlauf erfassen und das Fahrzeug über die Lenkung 149 diesem Spurverlauf folgen soll und das Fahrzeug in der Spur angehalten werden soll. Weiterhin könnte hinterlegt sein, dass das Fahrzeug bis zum nächsten Rastplatz oder auf dem Standstreifen zum Stehen gebracht werden soll. Es kann weiterhin sein, dass bei der gleichen automatischen Fahrfunktionen abhängig vom Fehler fall verschiedene Betriebsweisen SSL zur Erreichung eines sicheren Zustands gefahren werden können. Im Ausführungsbeispiel gibt es pro (Bord netz) Kanal 101, 103 drei verschiedene Betriebsweisen SSL 1, SSL 2, SSL 3, die sich insbe sondere im Bedarf von elektrischer Energie, Leistung und Dauer unterscheiden. Den jeweiligen unterschiedlichen Betriebsweisen SSL sind übliche Lastprofile 141 zugeordnet, die beispielsweise den Verlauf des Stroms oder der Leistung ei- nes oder mehrerer Verbraucher bzw. Aktuatoren, die bei der Überführung in den sicheren Zustand in der speziellen Betriebsweise SSL beteiligt sind, widerspie geln. Hierzu sind unterschiedliche Betriebsweisen SSL in der Funktionseinheit 183 hinterlegt mit unterschiedlichen Leistungsanforderungen, insbesondere mit wenig Leistung (leicht), mit mittlerer Leistungsanforderung (typische Leistungsan forderungen) und hoher Leistungsanforderung (sogenanntes Worst-Case- Manöver).

In einer ersten Betriebsweise SSL 1 zur Erreichung eines sicheren Zustands er folgt beispielsweise ein langsamer Aufbau des Bremsdrucks für geringe Verzöge rung und ein Halten in der Spur. Dieses Szenario braucht aufgrund der kurzen Dauer tmax wenig Energie bzw. wenig elektrische Leistung, da keine dynami schen Fahr- Manöver gefahren werden.

In einer zweiten Betriebsweise SSL 2 kann beispielsweise ein Druckaufbau, eine ABS-Regelung sowie ein Halten in der Spur erfolgen. Die Dauer tmax des Manö vers ist ebenfalls recht kurz, aber es wird mehr Energie für die Bremsdruck- Modulation benötigt. Weiterhin treten durch die Druck-Modulation beispielsweise bei einem elektronischen Stabilitätsprogramm 147a Stromspitzen auf, bei denen der Energiespeicher bzw. die Batterie 106, 110 kurzfristig eine hohe Leistung be reitstellen muss.

In einer dritten Betriebsweise SSL 3 wird beispielsweise die Fahrerübergabe im Fehlerfall für eine bestimmte Zeitspanne von beispielsweise 10-15 Sekunden ge triggert. Danach erfolgen dynamische Spurwechsel inklusive Eingriffe zur Stabili sierung und zum Verzögern des Fahrzeugs bis zum Stand. Diese Betriebsweise besitzt die höchste Anforderung bezüglich Energie- und Leistungsaufnahme. Durch die dynamischen Fahrmanöver kann es passieren, dass das elektrische Lenksystem 149 und das elektrische Bremssystem 147 gleichzeitig eine hohe elektrische Leistung benötigen. Diese hohe Strombelastung kann zu kritischen Spannungseinbrüchen führen, wodurch sicherheitsrelevante Verbraucher nicht mehr ordnungsgemäß versorgt werden könnten. Generell sind jedoch viele wei tere und auch deutlich andere Betriebsweisen zur Überführung des Fahrzeugs in den sicheren Zustand denkbar. Prinzipiell sollen jedoch die unterschiedlichen Be- triebsweisen SSL hinsichtlich Energie-und Leistungsbedarf verallgemeinert und geclustert werden.

Die für die Betriebsweisen SSL relevanten Daten 215 der sogenannten Safe- Stopp-Manöver der Funktionseinheit 183 werden an einen Block 185„Parameter SSL“ übertragen. Dieser Block 185 ist bevorzugt in der Steuereinheit 190 ange siedelt. Ein Vorteil dieser Variante ist, dass die Energiemanagement- Funktionen wie in der Steuereinheit 190 angesiedelt den Leistungsbedarf der zu versorgen den Verbraucher deutlich besser kennen als beispielsweise die Zentraleinheit 182 bzw. 152. Die Betriebsweisen SSL zur Überführung des Fahrzeugs in einen sicheren Zustand können sich aufgrund eines Funktionsupdates oder aufgrund geänderter Umgebungsbedingungen ändern. Je Kanal bzw. Bordnetz Zweig 101, 103 sind verschiedene Betriebsweisen SSL wie beschrieben in der Funktionsein heit 183 hinterlegt.

Generell werden nur bestimmte Parameter 197 der Lastprofile 141 der verschie denen Betriebsweisen SSL je Kanal an das die Steuereinheit 190, insbesondere für das Energiemanagement, übertragen.

In dem Block 185„Parameter SSL“ werden diese bestimmte Parameter 197 er mittelt und/oder hinterlegt, die die Lastprofile 141 bei typischen Betriebsweisen SSL in einfacher Form abbilden. Als Parameter 197 werden besonders bevorzugt der maximale zeitliche Verlauf des Leistungsbedarfs (Dauer der jeweiligen Be triebsweise SSL) tmax und/oder eine maximale Leistung bzw. sonstige Kenngrö ße (beispielsweise der Strom I) des jeweiligen an der entsprechenden Betriebs weise SSL beteiligten Verbrauchers bzw. Aktuators Pactl, Pact2,... und/oder der Zeitpunkt des Auftretens tactl, tact2, ... dieser maximalen Leistung bzw. sonsti gen Kenngröße verwendet. Die so ermittelten Parameter 197 werden dem Spei cher 191 der Steuereinheit 190 zur Verfügung gestellt.

Bei den Parametern 197 handelt es sich also beispielsweise um eine maximale Kenngröße, beispielsweise eine Maximalleistung Leistung Pactl oder ein Spit zenstrom lactl, des Aktuators 1 zum Zeitpunkt tacl. Allgemein für einen Aktua tor actn formuliert handelt es sich bei einem der Parameter 197 um eine maxima le Kenngröße Pactn, lactn des Aktuators actn zum Zeitpunkt tactn des Auftretens dieser maximalen Kenngröße Pactn, lactn (Maximum des zeitlichen Verlaufs der Kenngröße bzw. des Lastprofils 141 innerhalb der Zeitspanne tmax) für den je weiligen Kanal Chi, Ch2, Chn bzw. Bordnetzzweig 101, 103. Außerdem wird in dem Block 185 hinterlegt oder rechnerisch ermittelt, wie lange die jeweilige Be triebsweise SSL je Kanal maximal dauert (tmax). Weiterhin kann in dem Block 185 hinterlegt sein oder rechnerisch ermittelt werden, wie der aktuelle Status der automatischen Fahrfunktionen ist (beispielsweise aktiv/inaktiv/warten auf Freiga be etc.) und/oder ob eine Anfrage bezüglich der Freigabe der automatisierten Fahrfunktionen vorliegt. Auch diese Daten sind als Parameter 197 zu verstehen. Diese Parameter 197 werden komplett oder nur teilweise an die Steuereinheit 190, vorzugsweise das Energiemanagement, übertragen. Der Parameter 197 könnte zudem den Status der automatisierten Fahrfunktionen umfassen. Eben falls könnte im Rahmen der Parameter 197 eine Anfrage zur Freigabe der auto matisierten Fahrfunktionen übertragen werden, welche die nachfolgenden Über prüfungsprozeduren starten könnte. Einige der Parameter 197 lassen sich auch der nachfolgend kurz erläuterten Figur 4 entnehmen.

Figur 4 zeigt beispielhaft den zeitlichen Stromverlauf 206 von Komfortverbrau chern 162 und sicherheitsrelevanten Verbrauchern 147, 149, 157 sowie einen Stromverlauf als Beispiel für ein typisches Lastprofil 141 eines Aktuators actl für eine bestimmte Betriebsweise SSL. Eingezeichnet ist die aktuelle Grundlast 206 wie sie vom Energiemanagement ermittelt und gegebenenfalls an den Batterie sensor 10 geliefert wird. Die Grundlast 206 weist beispielhaft einen konstanten Stromwert auf. Weiterhin ist eingezeichnet diejenige reduzierte Grundlast 207, auf die bei Bedarf reduziert werden kann. Die Differenz zwischen der aktuellen Grundlast 206 und der reduzierten Grundlast 207 ist als Abschaltpotenzial 208 eingezeichnet. Das Abschaltpotenzial 208 berücksichtigt, dass solche Verbrau cher, die nicht unbedingt für die jeweilige Betriebsart SSL benötigt sind, also in der Regel die Komfortverbraucher 162, abgeschaltet werden können. Bei einem Zeitpunkt tactl erreicht der Aktuator actl seinen Maximalwert bzw. seine maxi male Kenngröße, im Ausführungsbeispiel gemäß Figur 4 den Maximalstrom lactl. Weiterhin eingezeichnet ist die maximale Zeitdauer tmax für die Durchfüh rung der entsprechenden Betriebsweise SSL 1 von dem Start der Betriebsweise SSL zum Zeitpunkt t=0 bis zu deren Beendigung, wenn das Fahrzeug in den si cheren Betriebszustand überführt wurde. Die Größenordnung für die maximale Zeitdauer tmax liegt je nach Manöver in der Größenordnung von einigen Sekun den bis hin zu mehreren Minuten.

In der Steuereinheit 190, vorzugsweise das Energiemanagement, ist wie in Figur 3 gezeigt eine Funktionseinheit 192 zur Ermittlung der Grundlast implementiert. Zur Ermittlung der Grundlast im Bordnetz 102 durch sowohl sicherheitsrelevante wie auch andere (nicht sicherheitsrelevante) Verbraucher 162 bzw. Komfortver braucher wie Heizung, Klimaanlage oder andere Komfortfunktionen könnten bei spielsweise Parameter zur Leistungsaufnahme hinterlegt sein. Alternativ besteht die Möglichkeit, dass die elektronische Lastverteilung 163 den Strom einzelner oder mehrerer Verbraucher 162 in einem Block 211 misst und als Daten 206 (ak tuelle Grundlast) der Funktionseinheit 192 zur Ermittlung der Grundlast zur Ver fügung stellt. Alternativ könnten entsprechende Leistungsdaten auch in den Ver brauchern selbst erfasst und an die Steuereinheit 190 übermittelt werden. So wohl die Parameter 197 der verschiedenen Betriebsweisen SSL und/oder die ermittelte Grundlast 206 und/oder das zugehörige Abschaltpotenzial 208 werden in einem Block 191 gespeichert und gegebenenfalls weiterverarbeitet. Weiterhin kann die Steuereinheit 190 ermitteln, wie stark die Grundlast 206 bei Bedarf durch die elektronische Lastverteilung 163 reduziert werden kann (Abschaltpo tenzial 208). Hierzu werden beispielsweise gerade aktivierte, jedoch abschaltba re Verbraucher, insbesondere Komfortverbraucher 162 mit den zugehörigen Leistungsaufnahmen ermittelt. Insbesondere bei der Verwendung von elektroni schen Lastverteilungen 160, 161, 163 kann zuverlässig davon ausgegangen werden, dass die elektronische Lastverteilung 163 die Grundlast 206 im Fahr zeug um einen bestimmten Betrag (Abschaltpotenzial 208) zuverlässig und si cher reduzieren kann. Wird dann die Betriebsweise SSL zur Überführung in ei nen sicheren Zustand tatsächlich durchgeführt, so aktiviert die Steuereinheit 190, insbesondere das Energiemanagement, die Abschaltung der Komfortlasten 162 durch entsprechende Befehle an die elektronische Lastverteilung 163 entspre chend dem ermittelten Abschaltpotenzial 208.

Die elektronische Lastverteilung 163 besitzt unter anderem auch die Aufgabe, die Basislasten bzw. Komfortverbraucher 162 mit einem Sicherheitsziel abzuschal ten. Über eine entsprechende Strommessung bzw. einen Funktionsblock 211 zur Bestimmung der Grundlast 206 wird diese an die Steuereinheit 190, vorzugswei- se das Energiemanagement, mitgeteilt. Bei einer entsprechenden Prädiktion der Kenngröße (beispielsweise die prädizierte Bordnetzspannung U 74 bzw. 199 un ter Verwendung der reduzierten Grundlast 207 und des Lastprofils 60, 198) kann davon ausgegangen werden, dass diese Lasten bzw. Verbraucher 162 während der entsprechenden Betriebsweise SSL 1, SSL 2, SSL 3 zur Erreichung eines si cheren Zustands abgeschaltet werden können. Dadurch steigt die Verfügbarkeit der automatisierten Fahrfunktionen.

Aus der aktuellen Grundlast 206 und dem Abschaltpotenzial 208 ermittelt die Steuereinheit 190 diejenige reduzierte Grundlast 207, die maximal während der Dauer tmax der jeweiligen Betriebsweise SSL zur Erreichung eines sicheren Zu stands vorliegen wird. Die maximale Dauer tmax der jeweiligen Betriebsweise SSL, die zugehörige reduzierte Grundlast 207 während dieser Zeit und der ma ximale Strombedarf der für die jeweilige Betriebsweise SSL notwendigen Aktua toren lactl, lactn zu dem jeweiligen Zeitpunkt tactl, tactn sind in einem Spei cherblock 191 hinterlegt und werden an zumindest einen Prädiktor 200 bzw. 62 eines Batteriesensors 10, je nach Bedarf auch an weitere Batteriesensoren 10 bzw. zugehörige Prädiktoren 200 bzw. 62 für die jeweiligen Kanäle 101, 103 übertragen. Bei dem Ausführungsbeispiel gemäß Figur 3 ist der Speicherblock 191 in der Steuereinheit 190 implementiert.

Üblicherweise wird für jeden Kanal 101, 103 (bzw. Chi, Ch2...) mit den jeweili gen von diesem Kanal 101, 103 gespeisten sicherheitsrelevanten Aktuatoren bzw. Verbrauchern 147a, 149a, 150a, 152, 158; 147b, 149b, 150b, 154, 159 für jede Betriebsweise SSL ein separater Prädiktor 62 bzw. 200.1, 62 bzw. 200.2 angelegt. Parallel können auch mehrere Prädiktoren 62 bzw. 200 vorgesehen werden. Ergebnis eines Prädiktors 62 bzw. 200 ist eine prädizierte Kenngröße, beispielsweise der berechnete minimale Spannungseinbruch (UpredSSL, ent sprechende Parameter 199 bzw. 74) an der Batterieklemme, verursacht durch den vorgegebenen Stromverlauf bzw. Lastverlauf 141 der zugehörigen Betriebs weise SSL. Weiterhin wird ein Konfidenzintervall für die prädizierte Kenngröße (UpredSSL, 74/199) ausgegeben. Um die erwartete Kenngröße prädizieren zu können, sind viele weitere Zustandsgrößen der Batterie 106, 110 wie der La dungszustand SOC, der State-of- Health SOH, der Innenwiderstand Ri (verglei- che Block 201) oder Ähnliches notwendig. Diese werden innerhalb des Batterie sensors 10 berechnet wie beschrieben.

Parallel zur Prädiktion der Kenngröße (beispielsweise der Spannung 74/199 bzw. des Spannungseinbruchs) während der jeweiligen Betriebsweise SSL wird wei terhin der Innenwiderstand Ri als Kenngröße 204 der jeweiligen Batterie 106,

110 berechnet (Block 201) und ebenfalls mit einem zugehörigen Vertrauensinter vall ausgegeben. Zusätzlich läuft in einem Funktionsblock 202 eine Batterie-ab- Erkennung ab. Ein in diesem Funktionsblock 202 hinterlegter Algorithmus er kennt, wenn die Verbindung von der Batterie 106, 110 zum Batteriesensor 10 bzw. zum Bordnetz 102 unterbrochen ist.

Jede dieser Größen wird getrennt für jeden Kanal 101, 103 und getrennt für jede Betriebsweise SSL zu einem Analyseblock 193 übertragen. In diesem Analyse block 193 erfolgt eine Analyse, bei welchen Grenzen der prädizierten Kenngröße (beispielsweise Spannungsgrenzen) ein sicherheitsrelevanter Verbraucher 147, 149, 157 nur noch degradiert (beispielsweise mit geringerer Leistung betrieben) werden kann oder gar nicht mehr funktioniert, d.h. bis zu welchem Wert die prä- dizierte Kenngröße wie beispielsweise die Spannung im Kanal 101, 103 bzw. an der Eingangsklemme des sicherheitsrelevanten Verbrauchers 147, 149, 157 ein brechen darf, ohne dass sicherheitsrelevante Funktionen ausfallen. Diese Grenzwerte werden mit den prädizierten Kenngrößen verglichen. Wird prädiziert, dass aufgrund des Zustands der zugehörigen Batterie 106, 110 gewisse sicher heitsrelevante Funktionen nicht mehr betrieben werden können, weil gemäß der Prädiktion die Kenngröße (beispielsweise die Spannung) zu tief einbrechen wür de, wird die entsprechende Status Information (Statusbit Status BN1) für die je weilige Betriebsweise SSL auf 0 (jeweilige SSL nicht zulässig) gesetzt. In diesem Fall wird die automatische Fahrfunktion nur noch eingeschränkt freigegeben. Wenn jedoch sämtliche Betriebsweisen SSL zur Erreichung eines sicheren Zu stands nicht mehr durch die Batterie 106, 110 versorgt werden können (sämtliche Zustände Status BN1 (oder BN2) für sämtliche Betriebsweisen SSL nicht zuläs sig), ohne dass die prädizierte Kenngröße unzulässig einbricht, wird die kom plette automatische Fahrfunktion durch einen Funktionsblock 187 betreffend der Freigabe komplett gesperrt. Die entsprechende Statusinformation des Analyse blocks 193, die dort generiert wurde, wird entsprechend an die Zentraleinheit 182 bzw. 152 bzw. den Funktionsblock 187 der Zentraleinheit 182 bzw. 152 weiter gegeben. Entsprechendes gilt für die Statusinformationen 213 (Status BN 1, Sta tus BN 2 für die jeweiligen Betriebsweisen SSL l....n) für die jeweiligen einzel nen Betriebsweisen SSL, ob diese anhand der prädizierten Kenngrößen zulässig sind.

Weiterhin kann der im Analyseblock 193 realisierte Prüfdurchlauf auch durchge führt werden, wenn die automatische Fahrfunktion bereits im Betrieb ist. In die sem Fall könnten dem Analyseblock 193 etwas schärfere (d.h. höhere) Grenz werte wie beispielsweise Spannungsgrenzen hinterlegt sein, um zu vermeiden, dass die automatische Fahrfunktionen freigegeben wird, obwohl die Batterie 106, 110 nahe an der zulässigen Leistungsgrenze ist. Der Analyseblock 193 ist bei spielsweise in der Steuereinheit 190 implementiert.

Weiterhin ist es möglich, dass in einem Kanal 101, 103 für längere Zeit kein Ver braucher 147, 149, 150, 157, 162 aktiv war und somit die Batterie 106, 110 keine Belastung durch Stromabgabe oder Stromaufnahme bekommen hat. In diesem Fall wird die Gültigkeit des Ergebnisses durch den jeweiligen Prädiktor 200 bzw. 62 zurückgesetzt (bspw. Gültigkeit = 0), da die Batterie 106, 110 für eine gewisse Zeit nicht mehr diagnostiziert werden konnte. Somit wird aktiv der Zeitpunkt der letzten Batteriediagnose erfasst und gegebenenfalls zur Erkennung der Gültigkeit wie beschrieben ausgewertet. Eine elektrische Anregung kann erzeugt werden, indem Verbraucher 147, 149, 150, 157, 162 über die Steuereinheit 190 (Ener giemanagement) und über eine elektronische Lastverteilung 160, 161, 163 zuge schaltet werden. Dies erfolgt durch den Block 194, der der Anregung (der Batte rie 106, 110 bzw. des Bordnetzes 102) beispielsweise durch Verbraucher dient. Alternativ könnte eine Quelle (beispielsweise ein Gleichspannungswandler 108, 165 gemäß Figur 2) mehr Energie in den jeweiligen Kanal 101, 103 des Bordnet zes 102 speisen oder dem Kanal 101, 103 entnehmen. Diese Funktionalität er folgt durch einen Block 195, der der Anregung durch eine Quelle dient. Die bei den Blöcke 194, 195 sind beispielhaft in der Steuereinheit 190 implementiert. Neben dem Gleichspannungswandler 108, 165 könnte bei fehlender Gültigkeit eine Anregung auch über einen Generator oder weitere Aktorik erfolgen. In einer alternativen Ausgestaltung, die nicht gezeigt ist, wurde der Block 185 zur Hinterlegung der Parameter der unterschiedlichen Betriebsweisen SSL von der Steuereinheit 190 (Energiemanagement) in die Zentraleinheit 182 bzw. 152 parti tioniert. Dies bedeutet, dass die zugehörigen Betriebsweisen SSL in der Zentral einheit 82 bzw. 152 generiert werden und zusätzlich die Umrechnung in elektri sche Betriebsgrößen ebenfalls in der Zentraleinheit 182 bzw. 152 erfolgt.

In einer alternativen Ausführungsform werden nicht nur Spannungseinbrüche (prädizierte Kenngrößen unterschreiten bestimmte Grenzwerte), sondern auch ein Überschreiten von Grenzwerten prädiziert (beispielsweise Überspannungen), die bei Rückspeisung in eine pufferunfähigen Batterie 106, 110 auftreten können.

Besonders bevorzugt ist die Steuereinheit 190 eingerichtet, zumindest eine Grundlast 206 und/oder einem Abschaltpotenzial 208 des nicht für die Betriebs weise SSL benötigten Verbrauchers 162 zu ermitteln, wobei die Steuereinheit 190 eingerichtet ist, die prädizierte Kenngröße zu empfangen, wobei die Steuer einheit 190 eingerichtet ist, in Abhängigkeit von der prädizierten Kenngröße eine Freigabeinformation für die jeweilige Betriebsart SSL zu ermitteln.

Zusammenfassend laufen folgende Schritte ab. Die unterschiedlichen Betriebs weisen SSL zur Erreichung eines sicheren Zustands sind für jeden Kanal bzw. Bordnetzzweig 101, 103 mit entsprechenden Aktuator an Steuerungen und zu gehörigen Lastprofilen 141 festgelegt, Block 183.

Die unter anderem aus den Lastprofilen 141 der unterschiedlichen Betriebswei sen SSLChl(l...n); SSLCh2(l...n) für die jeweiligen Bord netzzweige 101, 103 (Chi, Ch2) abgeleiteten Parameter 197, 60 sind in dem Block 185 abgelegt bzw. werden an die Steuereinheit 190 übertragen. Alternativ könnten sie in dem Block 185 bzw. der Steuereinheit 190 gebildet werden. Die Parameter 197, 60 werden an den Block 191 des Energiemanagements bzw. der Steuereinheit 190 übertra gen. In dem Block 191 des Energiemanagements werden die Parameter 197 hin terlegt. Diese Parameter und gegebenenfalls weitere werden regelmäßig an den bzw. die Batteriesensor(en) 10 übertragen in Form der Parameter 198. Außer dem ermittelt das Energiemanagement bzw. Steuereinheit 190 die tatsächliche Grundlast 206 und/oder das Abschaltpotenzial 208 für jeden Kanal Chi, Ch2 bzw. Bordnetzzweig 101, 103 und überträgt dies ebenfalls an den bzw. die Batte- riesensor(en) 10. Diese Signale entsprechen somit dem Lastprofil 60 bzw. 198.

Der jeweilige Batteriesensor 10 prädiziert auf Basis aktueller Batteriezu standsgrößen die entsprechenden Spannungsverläufe 74, 199 für jede der Be triebsweisen SSL des jeweiligen Kanals bzw. Bordnetzzweigs 101, 103. Der Bat teriesensor 10 gibt den prädizierten Spannungseinbruch bzw. die prädizierte Kenngröße (als Teil der vom Batteriesensor 10 ermittelten Parameter 199) am Energiespeicher 106, 110 bzw. der Batterie aus. Weiterhin wird das Konfidenzin tervall je Prädiktor 62, 200 ausgegeben. Ein Konfidenzintervall (auch Vertrau ensbereich genannt) ist ein Intervall aus dem Gebiet der Statistik, dass die Präzi sion der Lageschätzung eines Parameters angeben soll. In Abhängigkeit von der Vorgeschichte des Energiespeichers 106, 110 des aktuellen Zustands bzw. der vorhandenen oder vorhergehenden Anregung sind die Ergebnisse der Prä- diktoren 62, 200 unschärfer oder präziser. Weiterhin wird eine Angabe zur Gül tigkeit des Ergebnisses gemacht. So kann die Gültigkeit des Ergebnisses ablau fen, wenn eine Bordnetzanregung zu lange zurückliegt und eine erneute Anre gung des Bordnetzes 102 erforderlich ist, beispielsweise durch Lasten oder durch Quellen. Die weiteren Funktionen wie die Batterie-ab- Erkennung in Block 202 und/oder die Ermittlung des Innenwiderstands in Block 201 laufen parallel im Batteriesensor 10 ab und können in das Diagnoseergebnis mit einfließen.

Die elektronische Lastverteilung 160, 161, 163 hat die Aufgabe einer Abschal tung der Basislast bzw. der Komfortverbraucher 162 mit einem gewissen Sicher heitsziel. Außerdem ist die elektronische Lastverteilung 160, 161, 163 in der La ge, eine Strommessung der Verbraucherströme vorzunehmen und dem Ener giemanagement mitzuteilen. Bei der Spannungsprädiktion bzw. Prädiktion der entsprechenden Kenngröße kann davon ausgegangen werden, dass nicht zwin gend benötigte Verbraucher 162 während der Durchführung einer entsprechen den Betriebsweise SSL zur Überführung des Fahrzeugs in einen sicheren Zu stand abgeschaltet werden können, weshalb die Verfügbarkeit steigt.

Beim Energiemanagement bzw. der Steuereinheit 190 erfolgt eine Umrechnung der vom Batteriesensor 10 prädizierten Kenngröße (Spannungswert U, 199,74) in einen Status BN1, BN2 des jeweiligen Bordnetzzweigs 101, 103 bzw. Kanals Chi, Ch2 abhängig von der gewählten Betriebsweise SSL. Hierzu vergleicht die Steuereinheit 190 die prädizierte Kenngröße (U, 74,199) mit geeigneten Span nungsschwellen. Liegt die prädizierte Kenngröße (U, 74,199) innerhalb zulässi ger Grenzen, generiert die Steuereinheit 190 die Freigabe der automatisierten Fahrfunktionen. Weiterhin sind unterschiedliche Spannungsschwellen für die

Freigabe und im Betriebsfall möglich. Abhängig von den Statusangaben BN1, BN2 des Bordnetzes des bzw. Bordnetzzweigs 101, 103 kann die Freigabe der automatisierten Fahrfunktionen erfolgen bzw. die Übergabe an den Fahrer bzw. eine Betriebsweise SSL zur Überführung des Fahrzeugs in einen sicheren Zu- stand getriggert werden.