Der Gegenstand betrifft ein Sicherheitsmodul für eine Ladestation für

Elektrofahrzeuge sowie eine Ladestation für Elektrofahrzeuge mit einem

Sicherheitsmodul.

Die Verbreitung von elektrischen Ladestationen für Elektrofahrzeuge nimmt zu.

Elektrofahrzeuge im Sinne dieses Gegenstandes können beispielsweise rein

elektrische betriebene Fahrzeuge oder sogenannte Plug-in Hybridfahrzeuge sein, welche beide einen Akkumulator aufweisen, welcher elektrisch geladen werden kann. Ladestationen sind in der Regel in öffentlichen als auch in halböffentlichen Bereichen aufgestellt, so dass sie für eine breite Öffentlichkeit zur Verfügung stehen. Mit dem Ausbau der Infrastruktur an Ladestationen wird die Sicherheit solcher Ladestationen zunehmend relevant. Sowohl beim Laden mit Gleichstrom (DC) als auch beim Laden mit Wechselstrom (AC) müssen elektrotechnische Sicherheitsaspekte berücksichtigt werden. Ein gefahrloser Betrieb der Ladestationen muss stets gewährleistet sein. Insbesondere muss gewährleistet sein, dass der Nutzer vor einem

gesundheitsgefährdenden elektrischen Schlag geschützt wird. Hierfür sind herkömmlicherweise in Ladestationen sogenannte Fehlstromschalter (FI- Schalter) vorgesehen. Auch kann eine Überwachung eines Erdungsfehlers alternativ oder kumulativ vorgesehen sein. Durch diese Schutzschaltungen wird verhindert, dass, falls ein Benutzer in elektrischen Kontakt mit stromführenden Bauteilen der Ladestation gelangt, dieser einen gesundheitsgefährdenden elektrischen Schlag erleidet. Dabei sorgen die Sicherheitsschalter dafür, dass bei einem Erdungsfehler und/oder einem Fehlstrom die elektrische Leitung unterbrochen wird. Auch im Fall eines Kurzschlusses, d.h. bei hohen Strömen, muss die Ladestation abschalten können. Hierfür sind sogenannte Schütze vorgesehen, welche auch unter hoher Last sicher einen Strom ausschalten können. Mithilfe der Schütze wird der Netzanschluss der Ladestation von der restlichen Elektronik innerhalb der

Ladestation getrennt.

Neben den genannten Sicherheitsaspekten können in Ladestationen weitere sicherheitsrelevante Einrichtungen vorgesehen sein, welche die elektrischen

Funktionen der Ladestation überwachen und im Fehlerfall entweder selber die elektrische Leitung trennen oder einen entsprechenden Trennimpuls ausgeben.

Bei bekannten Ladestationen sind die jeweiligen sicherheitsrelevanten Einrichtungen jedoch autark und unabhängig voneinander betrieben. Das bedeutet, dass es keinerlei übergeordnete Überwachungen der Funktion der einzelnen Sicherheitselemente gibt. Hierdurch entstehen Sicherheitsrisiken für den Fall des Ausfalls einzelner

Sicherheitselemente.

Aus diesem Grunde lag dem Gegenstand die Aufgabe zugrunde, die elektrische Sicherheit von Ladestationen für Elektrofahrzeuge zu erhöhen.

Diese Aufgabe wird durch ein Sicherheitsmodul nach Anspruch 1 sowie eine

Ladestation nach Anspruch 14 gelöst.

Gegenständlich ist erkannt worden, dass mit Hilfe eines autarken, unabhängig vom Ladevorgang arbeitenden Sicherheitsmoduls die Funktionalität der einzelnen

Sicherheitseinrichtungen in der Ladestation überwacht werden können und in einem Fehlerfall Maßnahmen ergriffen werden können, welche die Sicherheit nach wie vor gewährleisten. Hierfür weist das Sicherheitsmodul einen Prozessor auf. Der Prozessor kann zur Verarbeitung von Sensormesswerten programmiert sein. Mit Hilfe des Prozessors ist es möglich, entsprechend vorprogrammierter Regeln Aktionen einzuleiten, welche vorzugsweise abhängig von den Sensormesswerten an zumindest einem jeweiligen Sensoreingang sind.

Um Aktionen einleiten zu können, hat das Sicherheitsmodul zumindest einen

Schaltausgang. Über den Schaltausgang kann das Sicherheitsmodul einen Schaltimpuls ausgeben, mit dessen Hilfe die elektrische Verbindung der Ladestation vom

Versorgungsnetz getrennt werden kann. Auch kann eine elektrische Verbindung der Anschlussbuchse der Ladestation für ein Ladekabel von der restlichen Elektronik der Ladestation getrennt werden. Diese Trennung kann innerhalb der Ladestation erfolgen. Auch an anderen Stellen kann mit Hilfe entsprechender Trennschalter eine Trennung bewirkt werden.

Die Sensormesswerte an dem Sensoreingang werden dem Prozessor zugeleitet und entsprechend einer Verarbeitung wird an einem Schaltausgang ein Schaltbefehl ausgegeben. Aus diesem Grunde sind der Sensoreingang und der Schaltausgang mit dem Prozessor in Wirkverbindung geschaltet.

Um einen gefahrlosen Betrieb der Ladestation garantieren zu können, wird nun vorgeschlagen, dass der Prozessor unabhängig von einem Ladevorgang arbeitet. Das bedeutet, dass unabhängig von den Strömen, die während eines Ladevorgangs fließen, der Prozessor die sicherheitsrelevanten Funktionen in der Ladestation überwacht. Hierzu überwacht der Sensor vorzugsweise einen Sensormesswert an dem zumindest einen Sensoreingang. Sensormesswerte können grundsätzlich von auch verschiedenartigen Sensoren innerhalb der Ladestation stammen. Vorzugsweise sind solche Sensoren auch an den sicherheitsrelevanten Einrichtungen, wie beispielsweise FI-Schalter, Schütz,

Anlagenschalter oder dergleichen vorgesehen. Auch können Sensoren unabhängig von sicherheitsrelevanten Einrichtungen beispielsweise zur Gleichstromfehlererkennung und/oder zur Wechselstromfehlererkennung vorgesehen sein. Beispielsweise kann eine Rogowski-Spule als ein Sensor einen Sensormesswert liefern. Der Prozessor überwacht zumindest einen Sensormesswert unabhängig von dem Ladevorgang, so dass unabhängig von dem Ladevorgang bei einem Überschreiten eines Auslösekriteriums durch den zumindest einen Sensormesswert am

Sensoreingang ein Abschaltsignal am Sensorausgang ausgegeben werden kann. Mit Hilfe des Schaltbefehls bzw. Abschaltsignals am Schaltausgang ist es möglich, verschiedenste Funktionen der Ladestation abzuschalten. Ein solches Abschaltsignal kann beispielsweise eine über die Energieleitung oder einen Pilotleiter übermittelte Nachricht an ein mit der Ladestation und elektrisch verbundenes Fahrzeug sein. In dem Fahrzeug kann dieses Signal von einem Laderegler empfangen werden und unmittelbar im Anschluss an das Empfangen eines solchen Abschaltsignals den Ladevorgang unterbinden. In diesem Fall wird durch den Laderegler im Fahrzeug der Stromfluss zwischen der Ladestation und dem Elektrofahrzeug über das Ladekabel unterbunden.

Im Falle eines detektierten Fehlstroms, sei es durch einen FI-Schalter selbst oder sei es durch einen an den Energieleitungen angeordneten Sensor, beispielsweise durch eine Rogowski-Spule oder dergleichen, kann ein Leistungsschutzschalter durch das Abschaltsignal angesteuert werden und die Verbindung zwischen der Ladebuchse der Ladestation und der vorgelagerten Elektronik innerhalb der Ladestation sowie den Netzanschluss trennen.

Auch ist es möglich, dass ein Schütz angesteuert werden kann, welches in Reaktion auf den Empfang eines Abschaltsignals eine Trennung zwischen dem Netzanschluss der Ladestation und der nachgelagerten Elektronik innerhalb der Ladestation bewirkt.

Schließlich kann ein Abschaltsignal auch einen Anlagenschutzschalter ansteuern, welcher vorzugsweise ein mechanischer Schalter ist, mit dem auch unter Last die komplette Ladestation von dem Energieversorgungsnetz getrennt werden kann. Somit hat der Schaltausgang zumindest eine, vorzugsweise mehrere Schaltleitungen zu unterschiedlichen Ausschalteinrichtungen innerhalb der Ladestation. Abhängig von dem Abschaltsignal können wahlweise eine oder auch mehrere dieser Schaltleitungen angesprochen werden, um ein entsprechendes Abschalten über die jeweilige

Ausschalteinrichtung zu bewirken. Ein Anlagenschutzschalter kann ergänzend zu einem Schütz als elektrische Sicherung vorgesehen sein.

Durch die unabhängige Überwachung der Sensormesswerte können in dem

Sicherheitsmodul verschiedenste Fehler unabhängig voneinander detektiert werden. So ist es in dem Sicherheitsmodul möglich, zunächst zu detektieren, ob die einzelnen sicherheitsrelevanten Bauteile fehlerfrei funktionieren. Beispielsweise hat ein herkömmliches Schütz eine interne Funktionsüberwachung, welche galvanisch entkoppelt von der eigentlichen Energieleitung einen Sensormesswert ausgeben kann. Im Falle eines Ausfalls eines Schützes kann somit ein entsprechender Sensormesswert über den Sensoreingang dem Prozessor zugeleitet werden und gegebenenfalls ein Anlagenschutz aktiviert werden.

Auch kann die Funktion eines Leistungsschutzschalters überprüft werden, wozu beispielsweise ein geeigneter Sensor an dem Leistungsschutzschalter angeordnet ist. Auch ein solcher Sensor kann einen Sensormesswert, vorzugsweise galvanisch entkoppelt vom Energiestrang, über den Sensoreingang dem Prozessor zuleiten.

Entsprechend dem Sensormesswert kann der Prozessor Abschaltsignale übermitteln, vorzugsweise beispielsweise an das Schütz.

Auch können Fehlströme unabhängig von der Funktionalität des

Leistungsschutzschalters, beispielsweise durch geeignete Spulen oder sonstige Sensoren, beispielsweise Hallsensoren, an den Energieleitungen überwacht werden und im Fehlerfall kann ein Schütz oder ein Leistungsschutzschalter mit Hilfe des Abschaltsignals geöffnet werden.

Mit Hilfe des gegenständlichen Sicherheitsmoduls ist es möglich, verschiedenartigste Sicherheitselemente innerhalb einer Ladestation zu überprüfen. Sicherheitsaspekte können durch die Einzelkomponenten selbst oder durch das Sicherheitsmodul realisiert werden.

Gemäß einem Ausführungsbeispiel wird vorgeschlagen, dass der Prozessor unmittelbar vor einem Ladevorgang den Sensoreingang überprüft. Bevor ein

Ladevorgang stattfindet, beispielsweise in dem Moment, wenn ein Fahrzeug gegenüber einer Ladestation seine Ladebereitschaft signalisiert oder in der

Ladestation der Ladestrom zugeschaltet werden soll, kann zunächst eine Überprüfung der sicherheitsrelevanten Funktionen stattfinden. Hierzu kann das Sicherheitsmodul mit Hilfe seines Prozessors Sensormesswerte an dem Sensoreingang überprüfen. Dieses Überprüfen der Sensormesswerte führt dazu, dass der Prozessor überprüft, ob einer der Sensormesswerte ein Auslösekriterium erfüllt und in diesem Fall kann der Ladevorgang, noch bevor er gestartet wurde, unterbunden werden. Dies führt dazu, dass erst gar kein Ladestrom auf das Ladekabel gelangt und im Fall einer

Fehlbedienung selbst eine Berührung mit dem Ladekabel nicht zu einem elektrischen Überschlag führt.

Gemäß einem Ausführungsbeispiel wird vorgeschlagen, dass der Sensoreingang für den Empfang einer Mehrzahl an Sensormesswerten eingerichtet ist. Der

Sensoreingang kann als Oberbegriff für eine Mehrzahl voneinander unabhängig betriebenen Klemmen oder Anschlüsse verstanden werden. An diesen Klemmen oder Anschlüssen können je nach Sensormesswert verschiedenartigste elektronische Baugruppen zur Auswertung der Signale angeordnet sein. Auch kann der

Sensoreingang ein digitaler Eingang sein, der digitale Sensormesswerte von einer Vielzahl von Sensoren empfängt. Durch geeignete Parametrierung des Sensoreingangs können die Daten der verschiedenen Sensoren, welche die Sensormesswerte beinhalten, dem Prozessor in einer geeigneten Weise zugeführt werden.

Gemäß einem Ausführungsbeispiel wird vorgeschlagen, dass der Sensoreingang zum Empfangen eines Sensormesswerts eines Sensors an einem Schütz eingerichtet ist. Heutzutage verfügen Schütze über Überwachungseinrichtungen, welche die Schaltfähigkeit der Schütze überwacht. Diese Überwachungseinrichtungen können einen galvanisch von dem eigentlichen Schalter getrennten Ausgang aufweisen, auf dem ein Sensormesswert ausgegeben werden kann. Als Beispiel einer galvanischen Entkopplung kann der Sensor zunächst die Schaltfähigkeit innerhalb des Schützes überwachen und den Zustand des Schützes über einen Optokoppler an einen Ausgang übermitteln. Hierdurch wird eine galvanische Entkopplung zwischen dem Ausgang und dem zu überwachenden Bauteil, hier das Schütz, realisiert. An dem Ausgang liegt der Sensormesswert entweder analog oder digital an. In diesem Zusammenhang sei erwähnt, dass Sensormesswerte stets sowohl analog als auch digital vorliegen können. Je nach der Art des Sensormesswertes kann der Sensoreingang eingerichtet sein.

Insbesondere ist es möglich, dass an dem Sensoreingang sowohl Anschlüsse als auch Klemmen für digital kodierte Sensormesswerte als auch für analoge Sensormesswerte vorhanden sein können. Gemäß einem Ausführungsbeispiel wird auch vorgeschlagen, dass der Sensoreingang zum Empfangen eines Sensormesswertes eines Stromsensors, insbesondere eines Gleichstromsensors eingerichtet ist. Zur Überwachung von Fehlerströmen können beispielsweise Typ A als auch Typ B FI-Schalter vorgesehen sein. Insbesondere die Typ B FI-Schalter können dazu eingerichtet sein, einen Gleichstromfehler zu erfassen. Es ist jedoch auch möglich, einen Gleichstromfehler durch Anordnen eines geeigneten Sensors unmittelbar an der Leitung bzw. an den Leitungen, über die der Ladestrom fließt, anzuordnen. Beispielsweise kann durch eine Spule, insbesondere eine

Rogowski-Spule ein Gleichstromfehler an einem Leitungsstrang, über den Ladestrom fließt, erkannt werden.

Gemäß einem Ausführungsbeispiel wird vorgeschlagen, dass der Sensoreingang zum Empfangen eines Sensormesswertes eines Temperatursensors eingerichtet ist.

Temperatursensoren können einerseits zum Messen der Temperatur innerhalb der Ladestation als Ganzes vorgesehen sein, als auch unmittelbar an einzelnen

Baugruppen innerhalb der Ladestation. Durch Einbeziehung der gemessenen

Temperatur kann der Prozessor die Auslösekriterien abhängig von der Temperatur überwachen. Hier können beispielsweise Auslösekennlinien abhängig von der

Temperatur überwacht werden. Auch kann die Temperatur selbst gegen ein

Auslösekriterium geprüft werden. Auch ist erkannt worden, dass die Position der Ladestation relevant sein kann. Aus diesem Grunde wird ein Positionssensor vorgesehen, der seinen Sensormesswert dem Sensoreingang zur Verfügung stellt.

Aufgrund unterschiedlicher Vorgaben kann es notwendig sein, verschiedenartige Auslösekennlinien oder Auslösekriterien für ein und denselben Sensormesswert vorzuhalten. Je nach Vorgabe kann dann das entsprechende Auslösekriterium bzw. die entsprechende Kennlinie verwendet werden. Auch kann je nach Vorgabe bestimmt werden, welche Sensormesswerte überhaupt überwacht werden sollen und ein Auslösen eines Abschaltsignals am Schaltausgang bewirken können. Insbesondere aufgrund gesetzlicher Vorgaben können dies höchst unterschiedliche

Auslösekennlinien, Auslösekriterien und/oder Sensormesswerte sein, die als sicherheitsrelevant eingestuft werden.

Mit Hilfe des Positionssensors kann in dem Prozessor eine geographische Position der Ladestation ermittelt werden und abhängig von der Position kann aus einem Satz verschiedener Auslösekriterien/-kennlinien eine entsprechende für jeweils einen Sensormesswert bzw. eine geographische Region ausgewählt werden. Auch kann aus einem Satz von Vorgaben diejenige herausgesucht werden, welche bestimmt, welche Sensormesswerte überhaupt zu überwachen sind. Somit ist das Sicherheitsmodul beispielsweise länderübergreifend einsetzbar, ohne das eine Umprogrammierung notwendig wird. Vielmehr kann das Sicherheitsmodul selbsttätig durch Verwendung des Sensormesswertes des Positionssensors die geeigneten Auslösekennlinien/- kriterien und Sensormesswerte bestimmen.

Gemäß einem Ausführungsbeispiel wir vorgeschlagen, dass in dem Sicherheitsmodul, insbesondere in einem Speicherbaustein des Sicherheitsmoduls, für jeweils einen der Sensormesswerte zumindest eine Auslösekennlinie und/oder ein Auslösekriterium gespeichert ist. Wie bereits zuvor erwähnt, können verschiedenartigste Vorgaben vorhanden sein, die verschiedene Sicherheitsaspekte berücksichtigen. Je nach Vorgabe kann dann mit Hilfe des Prozessors die jeweils relevante Auslösekennlinie und/oder das jeweils relevante Auslösekriterium verwendet werden.

Auch kann in dem Sicherheitsmodul festgelegt sein, dass ein Sensormesswert durch den Prozessor mit einer jeweilig ausgewählten Auslösekennlinie und/oder einem Auslösekriterium verglichen wird.

Auch ist es möglich, dass in dem Sicherheitsmodul, wie erwähnt, verschiedene Sätze von Informationen von auszuwertenden Sensormesswerten vorhanden sind und auch diese Informationen, welche in einem Speichermodul gespeichert sind,

situationsabhängig ausgewählt werden können. So ist es beispielsweise möglich, dass die zu überwachenden Sensormesswerte vor einem Ladevorgang sich von den zu überwachenden Sensormesswerten während eines Ladevorgangs unterscheiden. Ist ein Ladevorgang noch nicht gestartet, kann es sinnvoll sein, andere Sensormesswerte zu überwachen, als während eines Ladevorgangs. Die jeweiligen Mengen der zu überwachenden Sensormesswerte können sich dabei überschneiden, sie müssen jedoch nicht identisch sein. Somit kann der Prozessor je nach Zustand der Ladestation aus dem Speicher die Information über den Satz der zu überwachenden

Sensormesswerte mit den jeweiligen Auslösekriterien auslesen.

Gemäß einem Ausführungsbeispiel wird vorgeschlagen, dass der Schaltausgang mit zumindest zwei voneinander unabhängigen Schaltern verbunden ist, wobei die Schalter jeweils zum elektrischen Trennen eines Netzanschlusses von einer

Ladeelektronik eingerichtet sind. Abhängig von den ausgewerteten

Sensormesswerten kann es notwendig sein, jeweils einen von zumindest zwei verschiedenen Schaltern zu schalten. Insbesondere kann abhängig von der Position des erkannten Fehlers im Leitungsweg innerhalb der Ladestation ein Abschalten an verschiedenen Stellen notwendig werden. Insbesondere ist erkannt worden, dass ein erster Schalter ein Schütz zwischen dem Netzanschluss und der Ladeelektronik ist und dass ein zweiter Schalter ein Anlagenschutzschalter eines Anlagenschutzes ist. Beispielsweise kann festgestellt werden, wenn ein Fehlstromschutzschalter defekt ist. Ein hierfür relevanter Sensormesswert kann in dem Prozessor ausgewertet werden. Stellt der Prozessor einen solchen Fehler fest, kann beispielsweise ein erster Schalter, beispielsweise ein Schütz, mit Hilfe des Abschaltsignals geöffnet werden.

Auch kann beispielsweise festgestellt werden, dass das Schütz fehlerhaft ist, beispielsweise das die Kontakte des Schützes festgeklemmt oder festgebrannt sind. Dann kann das Schütz nicht mehr schalten. Um einen Fehler zu verhindern, kann es notwendig sein, einen mechanischen Anlagenschutz, welcher ausgehend vom

Netzanschluss vor dem Schütz vorgesehen ist, mit Hilfe des Abschaltsignals zu öffnen.

Gemäß einem Ausführungsbeispiel wird vorgeschlagen, dass der Prozessor abhängig von zumindest einem Sensormesswert den zu schaltenden Schalter bestimmt. Der Prozessor kann hierfür auf eine in einem Speicherbaustein hinterlegte Logik zurückgreifen. In dieser Logik kann hinterlegt sein, bei welchem Fehler bzw. bei Erreichen welches Auslösekriteriums von welchem Sensormesswert welcher Schalter zu schalten ist. Abhängig von dieser Logik kann dann der Prozessor bestimmen, dass ein Abschaltsignal für den jeweils bestimmten Schalter abgesetzt wird.

Gemäß einem Ausführungsbeispiel wird vorgeschlagen, dass der Prozessor in

Abhängigkeit von einer Position des Sicherheitsmoduls zumindest eines aus einer Mehrzahl gespeicherter Auslösekriterien und/oder Auslösekennlinien auswählt. Wie bereits erläutert, können unterschiedlichste Vorgaben für sicherheitsrelevante Funktionen existieren. Je nach Vorgabe kann dann ein unterschiedliches

Auslösekriterium oder eine unterschiedliche Auslösekennlinie relevant sein. Die Auswahl, welches Auslösekriterium bzw. welche Auslösekennlinie relevant ist, kann abhängig von der Position des Sicherheitsmoduls sein. Insbesondere können somit länderspezifische Vorgaben umgesetzt werden, ohne dass die Ladestation jeweils für ein Land angepasst werden muss. Die Anpassung erfolgt automatisch, abhängig von der erkannten Position des Sicherheitsmoduls. Die Erkennung der Position kann durch den Positionssensor erfolgen, welcher einen Sensormesswert repräsentativ für die Position über den Sensoreingang dem Sicherheitsmodul zur Verfügung stellt. Wie bereits erläutert, ist das Sicherheitsmodul vorzugsweise autark von dem

Ladevorgang. Das Sicherheitsmodul arbeitet nicht nur autark von der Logik des Ladevorgangs, sondern ist vorzugsweise auch elektrisch autark von der

Ladeelektronik. Hierzu wird vorgeschlagen, dass der Sensoreingang und/oder der Sensorausgang galvanisch von der Elektronik getrennt sind. Durch die galvanische Trennung von Sensoreingang und/oder -ausgang von der Ladeelektronik wird sichergestellt, dass das Sicherheitsmodul elektrisch von der Ladeelektronik getrennt ist und ein Fehler in der Ladeelektronik keinen Fehler in dem Sicherheitsmodul verursacht. Gemäß einem Ausführungsbeispiel wird vorgeschlagen, dass der Prozessor

unmittelbar vor einem Ladevorgang einen Selbsttest durchführt. Ein solcher Selbsttest kann beispielsweise beinhalten, dass der Prozessor in dem Speichermodul die gespeicherte Software überprüft und überprüft, ob die korrekte Software geladen ist. Auch können Fehlerspeicher ausgelesen werden, um festzustellen, ob ein Fehler zuvor registriert wurde. Darüber hinaus können Messwertbereiche der Sensormesswerte erfasst und ausgewertet werden. Mit Hilfe des Selbsttestes kann das Sicherheitsmodul sicherstellen, dass es für die Sicherheitsüberprüfung der Ladestation eingerichtet und funktionsfähig ist. Der Selbsttest kann auch dazu dienen, über den Sensoreingang Prüfsignale mit den jeweiligen Sensoren auszutauschen, um die Funktionalität der Sensoren

sicherzustellen. Auch kann mit Hilfe von Prüfsignalen über den Schaltausgang eine Schaltfähigkeit eines jeweiligen Schalters überprüft werden. Insbesondere können in den Schalter bereits vorhandene Testroutinen aufgerufen werden. Insbesondere können z.B. verklebte Schalter festgestellt werden. Wenn ein Schütz öffnet, müssen z.B. alle Phasen geöffnet sein. Durch eine Überprüfung der Leitfähigkeit im geöffneten Zustand über alle Phasen kann dann z.B. ein verklebter und somit noch geschlossener Schalter detektiert werden, da über diesen der Übergangswiderstand, im Gegensatz zu den anderen Schaltern unter einem Grenzwert liegen wird. Wird beim Selbsttest ein Fehler festgestellt, so wird zumindest einer der Schalter geöffnet.

Gemäß einem Ausführungsbeispiel wird vorgeschlagen, dass bei einem negativen Selbsttest der Prozessor ein Steuersignal zum Unterbinden des Ladevorgangs ausgibt. Ein solches Steuersignal kann beispielsweise über die Ladeelektronik an das

Elektrofahrzeug übermittelt werden. In dem Elektrofahrzeug kann dann durch den Laderegler das Starten eines Ladevorgangs unterbunden werden.

Gemäß einem Ausführungsbeispiel wird vorgeschlagen, dass das Sicherheitsmodul ein Steckmodul für einen Anschluss an eine Ladesteuerelektronik aufweist. Somit kann das Steckmodul modular an die Ladesteuerelektronik innerhalb der Ladestation angeschlossen werden. Hierbei ist jedoch darauf zu achten, dass vorzugsweise eine galvanische Entkoppelung des Sicherheitsmoduls von der Leistungselektronik innerhalb der Ladesteuerelektronik gewährleitet bleibt.

Gemäß einem Ausführungsbeispiel wird vorgeschlagen, dass ein Empfangsmodul zumindest zum Empfangen von Auslösekriterien und/oder Auslösekennlinien vorgesehen ist. Das Sicherheitsmodul ist somit von außen steuerbar und

paramentrierbar. Insbesondere können von außen über das Empfangsmodul geänderte Auslösekriterien und Kennlinien in das Sicherheitsmodul eingespeist werden.

Ein weiterer Aspekt ist eine Ladestation für Elektrofahrzeuge. Diese Ladestation verfügt über einen Netzanschluss, mit welchem die Ladestation an das Netz eines Energieversorgers angeschlossen werden kann. Ausgehend von dem Netzanschluss ist zunächst ein Anlagenschutzschalter in der Ladestation vorgesehen. Nach dem

Anlagenschutzschalter ist ein Schütz vorgesehen und im Anschluss an das Schütz kann die Ladesteuerelektronik vorgesehen sein. Die Ladesteuerelektronik kann über einen Fehlstromschutzschalter abgesichert sein. Ausgangsseitig der Ladesteuerelektronik kann eine Anschlussbuchse für ein Ladekabel vorgesehen sein. In der Ladestation ist ein zuvor beschriebenes Sicherheitsmodul vorgesehen, mit welchem

sicherheitsrelevante Einzelaspekte in einem einheitlichen Modul überprüft werden können. Das Sicherheitsmodul ist dabei vorzugsweis in einem eigenen, gekapselten Gehäuse vorgesehen und somit unabhängig von der Ladesteuerelektronik.

Nachfolgend wird der Gegenstand anhand einer Ausführungsbeispiele zeigenden Zeichnung näher erläutert. In der Zeichnung zeigt:

Fig. 1 eine schematische Ansicht einer Ladestation für Elektrofahrzeuge mit einem gegenständlichen Sicherheitsmodul; Fig. 2 eine schematische Ansicht eines Sicherheitsmoduls.

Fig. 1 zeigt eine Ladestation 2. Die Ladestation 2 hat ein Gehäuse 2a. In dem Gehäuse 2a der Ladestation 2 ist ein Netzanschluss 4 vorgesehen. Über den Netzanschluss 4 lässt sich die Ladestation 2 an ein Energieversorgungsnetz 6 anschließen. Das

Energieversorgungsnetz 6 kann unterschiedlich gestaltet sein. So kann das

Energieversorgungsnetz beispielsweise ein 50Hz-Netz oder ein 60Hz-Netz sein. Auch die Anzahl der Phasen des Energieversorgungsnetzes kann unterschiedlich sein, sowie die Spannung, welche 110V, 230V oder auch eine andere Spannung aufweisen kann. Der gezeigte Netzanschluss 4 ist ein dreiphasiger Anschluss mit drei Phasen LI, L2, L3 einem Nullleiter N und einem Erdungsleiter PE. Zusammen können diese als

Energieleitungen 8 in die Ladestation 2 geführt werden.

Zunächst werden die Energieleitungen 8 einem Anlagenschutzschalter 10 zugeführt. Der Anlagenschutzschalter 10 ist ein mechanischer Schalter, welcher auch unter Volllast, d.h. auch bei hohen Strömen, den Netzanschluss 4 von dem Rest der Ladeelektronik innerhalb der Ladestation 2 trennen kann. Der Anlagenschutzschalter 10 hat einen Schalteingang 10a.

An den Anlagenschutzschalter 10 können verschiedene elektrische Elemente angeschlossen werden, welche nicht sicherheitsrelevant sind. In der nachfolgenden Darstellung werden lediglich die elektrischen und elektronischen Baugruppen der Ladestation erwähnt und gezeigt, welche für den Gegenstand relevant sind. Der Übersichtlichkeit halber wird darauf verzichtet, die Ladestation 2 in all ihren Details darzustellen. Vielmehr wird ein Augenmerk auf die Aspekte gelegt, welche für den Gegenstand relevant sind. D.h., dass zwischen zwei gezeigten Baugruppen stets weitere Baugruppen vorgesehen sein können, die für den Ladevorgang relevant sein können. Der Verzicht hierauf bedeutet jedoch nicht, dass der Gegenstand sich nicht auch auf solche Baugruppen bezieht. Ausgehend von dem Anlagenschutzschalter 10 ist ein Schütz 12 vorgesehen. Das Schütz 12 hat zumindest für alle Energieleitungen 8 einen Hauptstromschalter, welcher von einer Schaltmechanik 12b angesteuert werden. Das Schütz 12 ist vorzugsweise doppelt schließend bzw. öffnend. Über einen Schalteingang 12a lässt sich das Schütz 12 ansteuern. Die Funktionsüberwachung des Schützes 12 kann über geeignete Sensoren erfolgen. Hierbei kann beispielsweise das Verkleben eines Kontaktes festgestellt werden. Dies kann beispielsweise durch das Messen eines Durchkontakts über alle Schließer bei geöffneten Schließern erfolgen, da beim Schütz 12 jeweils nur alle Schalter den gleichen Zustand aufweisen dürfen. Den Zustand des Schützes 12 erfasst ein Sensor, welcher diesen als einen Sensormesswert über einen Sensorausgang 12c ausgibt.

Im Anschluss an das Schütz 12 kann beispielsweise für jede Phase L1-L3 eine

Sicherung oder Fehlstromsicherung, insbesondere ein Fl-Schalter 14 vorgesehen sein. Die jeweiligen Fl-Schalter 14 können einen Sensor aufweisen, der die

Funktionsfähigkeit des FI-Schalters 14 überwacht und an einem Sensorausgang 14c ausgibt. Jeder FI-Schalter 14 kann darüber hinaus einen Schalteingang 14a aufweisen. Über den Schalteingang 14a lässt sich jeder der FI-Schalter 14 gesondert ansteuern und auslösen, so dass die zugehörige elektrische Leitung geöffnet wird.

Die FI-Schalter 14 können auch herkömmliche Sicherungen sein.

Zur Überwachung eines Fehlerstroms, insbesondere eines Gleichstromfehlerstroms können die Energieleitungen 8 mit beispielsweise einem Stromsensor verbunden sein. Auch können Rogowski-Spulen oder andere Strommesser vorgesehen sein. Diese sind in der Fig. 1 als Stromsensoren 16 dargestellt. Die Stromsensoren 16 verfügen über einen Sensorausgang 16c.

Eine nicht näher dargestellte Ladeelektronik 18 kann vorgesehen sein, um einen Ladevorgang mit einem Elektrofahrzeug zu steuern. Die Funktionsweise einer

Ladesteuerelektronik 18 ist hinlänglich bekannt und wird nicht näher erläutert. An die Ladesteuerelektronik 18 kann ein gegenständliches Sicherheitsmodul 20 angeschlossen sein. Das Sicherheitsmodul 20 kann jedoch auch getrennt von der Ladesteuerelektronik 18 sein.

Wie in Fig. 2 dargestellt, hat das Sicherheitsmodul 20 einen Sensoreingang 22 mit einer Mehrzahl von Sensorklemmen 22a. Ferner hat das Sicherheitsmodul 20 einen Schaltausgang 22 mit einer Mehrzahl an Ausgangsklemmen 24a. Die Eingangsklemmen 22a als auch die Ausgangsklemmen 24a werden über eine jeweilige Elektronik 22b, 24b geschaltet und vorzugsweise digital mit einem

Prozessor 26 verbunden. Der Prozessor 26 ist seinerseits mit einem Speicherbaustein 28 verbunden.

Wie in Fig. 1 zu erkennen ist, werden die Schalteingänge 10a, 12a, 14a auf den

Schaltausgang 24 des Sicherheitsmoduls 20 gelegt. Darüber hinaus werden die Sensorausgänge 12c, 14c und 16c auf den Sensoreingang 22 gelegt, was der Übersichtlichkeit halber in der Fig. 1 nicht näher dargestellt ist. Ausgangsseitig des Stromsensors 16 sind die Energieleitungen 8 mit der

Anschlussbuchse 30 bzw. den darin verbauten Kontakten verbunden.

Während des Betriebs der Ladestation 2 ist das Sicherheitsmodul 20 in der Regel stets aktiv.

Das Sicherheitsmodul 20 überprüft mit Hilfe seines Prozessors 26 die an den

Sensoreingängen 22a anliegenden Sensormesswerte, in dem es die von der Elektronik 22b zur Verfügung gestellten Messwertdaten auswertet. Neben den gezeigten Sensormesswerten können weitere Sensormesswerte von beispielsweise einem Temperatursensor 32 oder einem Positionssensor 34, beispielsweise einem GPS-Sensor oder einem Galileo-Sensor zur Verfügung gestellt werden. Zunächst liest das Sicherheitsmodul 20 bzw. der Prozessor 26 Positionsinformationen von dem Positionssensor 34 aus. Abhängig von der erkannten Position kann der Prozessor 26 aus dem Speichermodul 28 einen Satz von Auslösekriterien bzw.

Auslesekennlinien als auch eine Information über den Satz der auszuwertenden Sensormesswerte lesen. Für verschiedene geographische Positionen können verschiedene Sätze an Auslesekriterien und auszuwertender Sensormesswerte in dem Speichermodul 28 hinterlegt werden.

Anschließend erhält das Sicherheitsmodul 20 von der Ladeelektronik 18

beispielsweise die Information darüber, dass ein Ladevorgang beginnen soll. Das Sicherheitsmodul 20 wird daraufhin die vorgegebenen Sensormesswerte über die Sensoreingänge 22a abfragen. Die abgefragten Sensormesswerte werden mit den geladenen Auslösekriterien bzw. Auslösekennlinien verglichen. Wird ein

Auslösekriterium erreicht, so wird über den Schaltausgang 24 zumindest ein

Schaltbefehl für einen der Schalter 10, 12, 14 ausgegeben.

Für welchen der Schalter das Schaltsignal ausgegeben wird, ist beispielsweise auch abhängig davon, welches Auslösekriterium erreicht wurde. Es ist in der Regel vorteilhaft, wenn jeweils derjenige Schalter geöffnet wird, der dem jeweils

detektierten Fehler unmittelbar vorgelagert ist. D.h., wenn ein Gleichstromfehler am Sensor 16 erkannt wird, werden die Schalter 14 geöffnet. Wird ein Fehler an den Schaltern 14 detektiert, kann das Schütz 12 geöffnet werden und wird ein Fehler im Schütz 12 detektiert, kann der Anlagenschutz 10 aktiviert werden. Diese Schaltung eines von einer Mehrzahl von Schaltern abhängig von detektierten Sensormesswerten bzw. dem Erreichen des Auslösekriteriums kann ebenfalls in dem Speicherbaustein 28 hinterlegt sein.

Wird durch das Sicherheitsmodul 22 kein Fehler festgestellt, so kann der Ladevorgang weitergehen. Dies kann entweder dadurch geschehen, dass das Sicherheitsmodul 20 der Ladeelektronik 18 einen entsprechenden Hinweis gibt, oder dass die

Ladeelektronik 18 unabhängig von dem Sicherheitsmodul 20 den Ladevorgang fortsetzt. Der fortgesetzte Ladevorgang würde dann durch das Sicherheitsmodul 20 automatisch unterbrochen werden, wenn ein Fehler festgestellt wurde. Darüber hinaus kann das Sicherheitsmodul 20 einen Selbsttest durchführen, in dem es Sensormesswerte und Funktionalitäten regelmäßig selbsttätig überprüft. Dies kann durch Abfragen von Sensormesswerten über die Sensoreingänge 22a als auch von Schalterzuständen über die Schaltausgänge 24a erfolgen. Je nachdem, ob der

Selbsttest erfolgreich ist oder nicht, kann von dem Sicherheitsmodul 22 unabhängig von einem Ladevorgang die Ladestation 2 durch Öffnen zumindest eines der Schalter 10, 12, 14 deaktiviert werden. Mit Hilfe des gegenständlichen Sicherheitsmoduls ist es möglich, sicherheitskritische Elemente in einer Ladestation unabhängig von einem Ladevorgang zu überwachen. Auch ist es möglich, unterschiedlichste Regularien hinsichtlich einzelner

Sicherheitsaspekte adaptiv erfüllen zu können, ohne die Ladestation 2 an die jeweilige Regularien individuell anpassen zu müssen.

Bezugszeichenliste

2 Ladestation

2a Gehäuse

4 Netzanschluss

6 Energieversorgungsnetz

8 Energieleitungen

10 Anlagenschutzschalter

10a Schalteingang

12 Schütz

12a Schalteingang

12b Schalter

12c Sensorausgang

14 FI-Schalter

14a Schalteingang

14c Sensorausgang

16 Fehlstrommesser

16c Schaltausgang

18 Ladeelektronik

20 Sicherheitsmodul

22 Sensoreingang

22a Eingangsklemmen

22b Elektronik

24 Schaltausgang

24a Ausgangsklemmen

24b Elektronik

26 Prozessor

28 Speichermodul

30 Anschlussbuchse 32 Temperatursensor

34 Positionssensor