Sicherungsschaltungsanordnung für ein Energiesystem und Energiesystem

Die Erfindung betrifft eine Sicherungsschaltungsanordnung für ein Energiesystem und ein Energiesystem, das die Sicherungsschaltungsanordnung aufweist. Ferner betrifft die Erfindung ein Fahrzeug, das das Energiesystem umfasst.

Systeme des autonomen Fahrens gehören zu den sicherheitsrelevanten Funktionen des Fahrzeugs und müssen besondere Sicherheitsanforderungen erfüllen. Unter Berücksichtigung der funktionalen Sicherheit nach ISO 26262 können solche Funktionen mit einer Verfügbarkeit nach Einstufung ASIL C oder D klassifiziert sein. Hierzu wird eine Klassifikation unter Berücksichtigung der Schwere des Fehlers sowie der Gefährdung des Nutzers oder der Umgebung, der Eintrittswahrscheinlichkeit, d.h. Zusammenwirken von Fehlfunktion und Betriebszustand, und der Beherrschbarkeit des Fehlers durchgeführt. Dies wird als ASIL-Klassifikation bezeichnet, wobei vier Level von ASIL (automotive safety integrity level) A bis D unterschieden werden, mit ASIL D als höchstem Sicherheitslevel.

Aus Sicht der ISO 26262 sind drei Arten an Fehlem zu berücksichtigen: Zufällige Hardwarefehler wie ein Kurzschluss oder durch Strahlung verursachte Datenverfälschung, sowie systematische Hardwarefehler und systematische Softwarefehler, also Fehler in den Implementierungen. Bezüglich zufälliger Hardwarefehler muss nachgewiesen werden, dass die Wahrscheinlichkeit von sicherheitsrelevanten Fehlern ausreichend niedrig ist. Bei Systemen des autonomen Fahrens, die als Fail-Operational-Systeme ausgebildet sein müssen, liegt daher der Fokus nicht mehr nur auf der Vermeidung oder Detektion von falschem Verhalten sondern explizit auch auf der Vermeidung der Nicht-Verfügbarkeit der Funktionen.

In Fahrzeugen mit elektrisch unterstützten oder rein elektrisch ausgeführten, sicherheitsrelevanten Funktionen, wie bspw. die Lenkung oder Bremse, bestehen daher hohe Anforderungen an die Verfügbarkeit der Spannungsversorgung.

Figur 1 zeigt ein vereinfachtes Blockschaltbild eines Bordnetzes 1 mit redundanter Stromversorgung. Das Bordnetz 1 versorgt neben einfachen Lasten 2 , z. B. eine Klimaanlage, auch mehrere sicherheitsrelevante Lasten 3, z. B. eine elektrische Bremse, die eine Spannungsversorgung zum Beispiel nach ASIL D oder ASIL C erfordern. Das Bordnetz 1 weist einen DC/DC-Wandler 4 und eine Batterie 5 auf, die über eine Versorgungsleitung verbunden sind. Ein Trennschalter 7 zwischen den beiden Quellen 4, 5 dient der Sicherstellung der Rückwirkungsfreiheit im Falle eines schadhaften DC/DC-Wandlers, oder dessen Zuleitung. Die Versorgungsleitung weist Anschlusspunkte auf zum Anschließen der sicherheitsrelevanten Lasten 3 und der einfachen Lasten 2. Die sicherheitsrelevanten Lasten 3 und die einfache Lasten 2 sind jeweils über eine Sicherung 6, zum Beispiel eine Schmelzsicherung, mit einem der Anschlusspunkte verbunden. Damit sich zum Beispiel Kurzschlüsse in den einzelnen Lastzweigen nur mit sehr geringer Wahrscheinlichkeit auf die Spannungsversorgung der sicherheitsrelevanten Lasten 3 auswirken, sind die ASIL-Anforderungen an die Sicherungen 6 sehr hoch. D. h. da die Spannungsversorgung der sicherheitsrelevanten Lasten 3 ASIL-D-Anforderungen beziehungsweise ASIL-C-Anforderungen, erfüllen muss, müssen bei der in Figur 1 gezeigten Schaltungsstruktur, auch die Sicherungen 6 mindestens ASIL-C-Anforderungen erfüllen. Dies kann beispielsweise jeweils erreicht werden durch Nutzung von zwei in Reihe geschaltete Sicherungen, die ASIL-B-Anforderungen erfüllen.

Die Aufgabe, die der Erfindung zu Grunde liegt, ist es, eine Sicherungsschaltungsanordnung zu schaffen, die kostengünstig bereitgestellt werden kann und die einen Beitrag leistet zu einer hohen Verfügbarkeit von elektrisch unterstützten oder rein elektrisch ausgeführten, sicherheitsrelevanten Funktionen insbesondere in einem Fahrzeug.

Die Aufgabe wird gelöst durch die Merkmale der unabhängigen Patentansprüche. Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen gekennzeichnet.

Gemäß einem ersten Aspekt weist eine Sicherungsschaltungsanordnung einen ersten Versorgungspfad und einen zweiten Versorgungspfad auf. Der erste Versorgungspfad umfasst einen ersten Versorgungsanschlussknoten, der zur Verbindung mit einer ersten elektrischen Energiequelle ausgebildet ist. Die erste elektrische Energiequelle ist beispielsweise ausgebildet, eine vorgegebene Gleichspannung, als Versorgungsspannung für eine oder mehrere Lasten beziehungsweise Verbraucher bereitzustellen. Des Weiteren weist der erste Versorgungspfad einen ersten Lastanschlussknoten zum Anschließen einer sicherheitsrelevanten Last auf. Die sicherheitsrelevante Last weist beispielsweise eine ASIL-C-Anforderung oder ASIL-D-Anforderung für eine Spannungsversorgung der sicherheitsrelevanten Last auf.

Der erste Versorgungspfad weist einen ersten Sicherungsknoten und eine erste elektrische Sicherung auf, wobei die erste elektrische Sicherung in einer ersten Verbindung zwischen dem ersten Versorgungsanschlussknoten und dem ersten Sicherungsknoten angeordnet ist. Dies ermöglicht vorteilhafterweise einen vollumfänglichen Leitungsschutz zu der ersten elektrischen Energiequelle.

Ferner weist der erste Versorgungspfad eine zweite elektrische Sicherung auf, die in einer zweiten Verbindung zwischen dem ersten Sicherungsknoten und dem ersten Lastanschlussknoten angeordnet ist.

Der zweite Versorgungspfad umfasst einen zweiten Versorgungsanschlussknoten, der zur Verbindung mit einer zweiten elektrischen Energiequelle ausgebildet ist. Die zweite elektrische Energiequelle weist beispielsweise eine Batterie, zum Beispiel eine 12-Volt-Batterie, auf.

Zusätzlich weist der zweite Versorgungspfad einen zweiten Lastanschlussknoten zum Anschließen der sicherheitsrelevanten Last auf. Der zweite Lastanschlussknoten ist über eine dritte elektrische Sicherung mit dem zweiten Versorgungsanschlussknoten verbunden. Der erste Sicherungsknoten des ersten Versorgungspfads ist über eine vierte elektrische Verbindung, in der eine vierte elektrische Sicherung angeordnet ist, mit dem zweiten Versorgungsanschlussknoten des zweiten Versorgungspfads verbunden.

Die elektrische Sicherungen können jeweils auch als Trennschalter bezeichnet werden.

Die Sicherungsschaltungsanordnung ermöglicht somit eine redundante Energieversorgung der sicherheitsrelevanten Last. Die erste elektrische Sicherung stellt eine Rückwirkungsfreiheit im Falle einer schadhaften ersten Energiequelle oder deren Zuleitung sicher, was zu einer deutlichen Erhöhung der Verfügbarkeit der Spannungsversorgung der sicherheitsrelevanten Last führt. Der Leitungsschutz zur ersten Energiequelle ist hierbei vollumfänglich, da ein zu messender Strom, der zum sicheren Betreiben der ersten elektrischen Sicherung erforderlich ist, unverfälscht erfasst werden kann, und nicht zum Beispiel durch die zweite elektrische Sicherung, die den Lastzweig direkt absichert, verfälscht wird.

In einer vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist der zweite Versorgungspfad eine Mehrzahl an dritten Lastanschlussknoten auf zum jeweiligen Anschließen einer einfachen Last. Hierbei sind die dritten Lastanschlussknoten jeweils über eine fünfte elektrische Sicherung mit dem zweiten Versorgungsanschlussknoten verbunden. Die einfachen Lasten sind nicht sicherheitsrelevant oder weisen geringere Sicherheitsanforderungen auf als die sicherheitsrelevante Last. Bei den einfachen Lasten handelt es sich zum Beispiel um Lasten die nur Quality-Managed-Anforderungen (d. h. nicht sicherheitsrelevant sind) oder ASIL-A-Anforderungen oder ASIL-B-Anforderungen erfüllen müssen.

Die zweite elektrische Sicherung und dritte elektrische Sicherung sowie die fünften elektrischen Sicherungen ermöglichen, dass Fehler in den Lastzweigen rückwirkungsfrei auf die redundante Stromversorgung isoliert werden können. Vorteilhafterweise können so mit dem Energiesystem sicherheitsrelevante und einfache Lasten betrieben werden, ohne dass die elektrischen Sicherungen in den Lastzweigen sehr hohe ASIL-Anforderungen erfüllen müssen. Im Fehlerfall ist es möglich, die Versorgung der sicherheitsrelevanten Last von der zweiten Energiequelle und den anderen Lasten zu isolieren und die Versorgung der sicherheitsrelevanten Last mit Hilfe der ersten Energiequelle bereitzustellen. Es werden somit die Anforderung an alle Lasten (außer der sicherheitsrelevanten Last selbst) bezüglich des sicheren Abschaltens beziehungsweise Trennens vom Energiesystem reduziert, so dass nicht jede Last mit redundanten elektrischen Sicherungen abgesichert werden muss. Beispielsweise kann eine Anforderung an die zweite elektrische Sicherung, die dritte elektrische Sicherung und die fünften elektrischen Sicherungen auf eine ASIL-B-Anforderung reduziert werden.

In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist der erste Versorgungspfad zumindest eine weitere zweite elektrische Sicherung, zumindest eine weitere dritte elektrische Sicherung, zumindest einen weiteren ersten Lastanschlussknoten und zumindest einen weiteren zweiten Lastanschlussknoten zum Anschließen zumindest einer weiteren sicherheitsrelevanten Last auf. Hierbei ist der zumindest eine weitere erste Lastanschlussknoten über die zumindest eine weitere zweite elektrische Sicherung mit dem ersten Sicherungsknoten und der zumindest eine weitere zweite Lastanschlussknoten über die zumindest eine weitere dritte elektrische Sicherung mit dem zweiten Versorgungsanschlussknoten verbunden. Vorteilhafterweise können so mehrere sicherheitsrelevante Lasten parallel durch das Energiesystem betrieben werden. Die sicherheitsrelevanten Lasten sind im fehlerfreien Betrieb jeweils mit der ersten Energiequelle und der zweiten Energiequelle verbunden.

In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist zumindest ein Teil der elektrischen Sicherungen zum Trennen der zugehörigen Verbindung jeweils einen steuerbaren Halbleiterschalter auf. Solche elektronische Sicherungen (im Englischen efuses genannt) haben eine wesentlich kürzere Reaktionszeit im Vergleich zu Schmelzsicherungen. Ein weiterer Vorteil ist, dass sie nach einer Fehlerbehebung weiterverwendet werden können und nicht ausgetauscht werden müssen.

In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist der jeweilige Halbleiterschalter zumindest einen Metalloxid-Halbleiter-Feldeffekttransistor, MOSFET, auf. Dies ermöglicht eine kostengünstige Bereitstellung der Halbleitschalter, insbesondere bei Anwendungen bei denen hohe Ströme abgesichert werden müssen.

In einerweiteren vorteilhaften Ausgestaltung gemäß dem ersten Aspekt umfasst die erste elektrische Sicherung einen ersten MOSFET und die vierte elektrische Sicherung einen zweiten MOSFET. Ferner ist ein Drain-Anschluss des ersten MOSFETs mit einem Drain-Anschluss des zweiten MOSFETs verbunden und ein Source-Anschluss des ersten MOSFETs ist mit dem ersten Versorgungsanschlussknoten und ein Source-Anschluss des zweiten MOSFETs mit dem zweiten Versorgungsanschlussknoten verbunden. Es kann somit ein bidirektionaler Stromfluss abgesichert werden. Die Drain-Drain-Konfiguration hat den Vorteil, dass die MOSFETs unabhängig voneinander angesteuert werden können, und somit eine höhere Zuverlässigkeit erzielt werden kann.

In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten Aspekt ist die erste elektrische Sicherung ausgebildet, ein Signal zu erfassen, das repräsentativ ist für einen Strom, der zwischen dem ersten Versorgungsanschlussknoten und dem ersten Sicherungsknoten fließt, und abhängig von dem erfassten Signal einen Schalterzustand der ersten elektrischen Sicherung zu steuern. Dies hat den Vorteil, dass der zu messende Strom zum sicheren Betreiben der ersten elektrischen Sicherung sehr präzise erfasst werden kann.

Alternativ oder zusätzlich kann die vierte elektrische Sicherung ausgebildet sein, ein Signal zu erfassen, das repräsentativ ist für einen Strom, der zwischen dem ersten Sicherungsknoten und dem zweiten Versorgungsanschlussknoten fließt, und abhängig von dem erfassten Signal einen Schalterzustand der vierten elektrischen Sicherung zu steuern.

In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist die Sicherungsschaltungsanordnung in dem zweiten Versorgungspfad einen zweiten Sicherungsknoten und eine sechste elektrische Sicherung auf. Hierbei ist die sechste elektrische Sicherung in einer fünften Verbindung zwischen dem zweiten Versorgungsanschlussknoten und dem zweiten Sicherungsknoten angeordnet. Der erste Sicherungsknoten des ersten Versorgungspfads ist über die vierte elektrische Sicherung mit dem zweiten Sicherungsknoten verbunden beziehungsweise über die vierte elektrische Sicherung und die sechste elektrische Sicherung mit dem zweiten Versorgungsanschlussknoten verbunden.

Vorteilhafterweise ermöglicht dies, die zweite Energiequelle und ihre Zuleitung im Falle einer schadhaften zweiten Energiequelle oder deren Zuleitung von dem ersten Versorgungspfad abzutrennen. Die Lasten können in diesem Fall von der ersten Energiequelle versorgt werden. Dies ist besonders vorteilhaft, wenn die Zuleitung zu der zweiten Energiequelle lang ist, z. B. wenn die zweite Energiequelle außerhalb eines Gehäuses der Sicherungsschaltungsanordnung angeordnet ist.

In einer weiteren vorteilhaften Ausgestaltung weist die erste elektrische Sicherung und/oder die zweite elektrische Sicherung und/oder die dritte elektrische Sicherung und/oder die vierte elektrische Sicherung und/oder die fünfte elektrische Sicherung und/oder die sechste elektrische Sicherung jeweils einen dritten MOSFET und einen vierten MOSFET auf, die in einer Back-to-Back-Konfiguration angeordnet sind, wobei ein Source-Anschluss des dritten MOSFETs mit einem Source-Anschluss des vierten MOSFETs verbunden ist und ein Gate des dritten MOSFETs und ein Gate des vierten MOSFETs von einem gleichen Gate-Treiber angesteuert werden. Der dritte und vierte MOSFET sind somit antiseriell angeordnet. Solche eine Anordnung verringert die Rückwirkungen bei schadhaften Lasten beziehungsweise Energiequellen. Gemäß einem zweiten Aspekt weist ein Energiesystem eine Sicherungsschaltungsanordnung gemäß dem ersten Aspekt sowie eine erste Energiequelle, die mit dem ersten Versorgungsanschlussknoten verbunden ist, und eine zweite Energiequelle, die mit dem zweiten Versorgungsanschlussknoten verbunden ist, auf. Vorteilhafte Ausgestaltungen des ersten Aspekt gelten hierbei auch für den zweiten Aspekt.

In einer vorteilhaften Ausgestaltung gemäß dem zweiten Aspekt weist das Energiesystem eine erste Diode auf, die in einer Verbindung zwischen dem ersten Lastanschlussknoten und einem Versorgungsanschluss der sicherheitsrelevanten Last angeordnet ist. Die sicherheitsrelevante Last weist vorzugsweise eine zweiten Bezugspotentialanschluss auf, der mit Masse verbunden ist. Die Kathode der ersten Diode ist mit dem Versorgungsanschluss der sicherheitsrelevanten Last verbunden. Das Energiesystem weist ferner eine zweite Diode auf, die in einer weiteren Verbindung zwischen dem zweiten Lastanschlussknoten und dem Versorgungsanschluss der sicherheitsrelevanten Last angeordnet ist, wobei die Kathode der zweiten Diode mit dem Versorgungsanschluss der sicherheitsrelevanten Last verbunden ist und die erste Diode und die zweite Diode antiseriell angeordnet sind. Die Dioden können als Dioden im herkömmlichen Sinne (mit zwei Anschlüssen) ausgebildet sein oder die erste Diode und/oder zweite Diode können durch aktiv schaltbare Transistoren, z. B. MOSFETs, gebildet werden, um Verlustleistungen zu verringern.

Gemäß einem dritten Aspekt weist ein Fahrzeug ein Energiesystem gemäß dem zweiten Aspekt auf. Vorteilhafte Ausgestaltungen des ersten und zweiten Aspekts gelten auch für den dritten Aspekt.

Ausführungsbeispiele der Erfindung sind im Folgenden anhand der Figuren 2 bis 6 erläutert. Die Beschreibung der hier angegebenen Gegenstände ist nicht auf die einzelnen speziellen Ausführungsformen beschränkt. Vielmehr können die Merkmale der einzelnen Ausführungsformen - soweit technisch sinnvoll - miteinander kombiniert werden.

In den Figuren 2 bis 6 werden für Elemente mit im Wesentlichen gleicher Funktion gleiche Bezugszeichen verwendet, diese Elemente müssen jedoch nicht in allen Einzelheiten identisch sein. Die nachfolgend beschriebenen Zeichnungen sind nicht als maßstabsgetreu aufzufassen, vielmehr können die Darstellungen in einzelnen Dimensionen vergrößert, verkleinert oder auch verzerrt dargestellt sein.

Es zeigen:

Figur 1 ein Bordnetz gemäß dem Stand der Technik,

Figur 2 ein beispielhaftes Ersatzschaltbild eines ersten Ausführungsbeispiels einer Sicherungsschaltungsanordnung für ein Energiesystem,

Figur 3 ein beispielhaftes Ersatzschaltbild eines zweiten Ausführungsbeispiels der Sicherungsschaltungsanordnung und

Figur 4 ein beispielhaftes Ersatzschaltbild eines dritten Ausführungsbeispiels der Sicherungsschaltungsanordnung,

Figur 5 ein beispielhaftes Ersatzschaltbild eines Ausführungsbeispiels des Energiesystems und

Figur 6 ein beispielhaftes Ersatzschaltbild eines vierten Ausführungsbeispiels der Sicherungsschaltungsanordnung.

Es versteht sich, dass wenn ein Element als mit einem anderen Element „verbunden" oder „gekoppelt" bezeichnet ist, das Element mit dem anderen Element direkt verbunden oder gekoppelt sein kann oder dass Zwischenelemente vorhanden sein können. Im Gegensatz dazu sind, wenn ein Element als mit einem anderen Element „direkt verbunden" oder „direkt gekoppelt" bezeichnet ist, keine Zwischenelemente vorhanden.

Figur 2 zeigt ein beispielhaftes Ersatzschaltbild einer Sicherungsschaltungsanordnung für ein Energiesystem.

Das Energiesystem 10 weist beispielsweise eine erste Energiequelle 12 und eine zweite Energiequelle 14 auf. Die erste Energiequelle 12 und die zweite Energiequelle 14 sind beispielsweise ausgebildet, eine Gleichspannung bereitzustellen, insbesondere eine gleiche Gleichspannung. Die erste Energiequelle 12 umfasst beispielsweise einen DC/DC Wandler. Der DC/DC-Wandler stellt beispielsweise an seinem Ausgang eine 12-Volt-Spannung zur Verfügung.

Die zweite Energiequelle 14 umfasst beispielsweise eine Batterie. Die Batterie stellt beispielsweise ebenfalls eine 12-Volt-Spannung zur Verfügung.

Alternativ kann die erste Energiequelle 12 eine Batterie aufweisen und die zweite Energiequelle 14 einen DC/DC-Wandler.

Das Energiesystem 10 ist zum Beispiel in einem Fahrzeug angeordnet. Das Energiesystem 10 kann auch als Bordnetz bezeichnet werden.

Die Sicherungsschaltungsanordnung 20 weist einen ersten Versorgungspfad mit einem ersten Versorgungsanschlussknoten 22 und einen zweiten Versorgungspfad mit einem zweiten Versorgungsanschlussknoten 34 auf. Die Sicherungsschaltungsanordnung 20 ist über den ersten Versorgungsanschlussknoten 22 mit der ersten Energiequelle 12 und über den zweiten Versorgungsanschlussknoten 34 mit der zweiten Energiequelle 14 verbunden.

Der erste Versorgungspfad weist einen ersten Lastanschlussknoten 24 und einen ersten Sicherungsknoten 28 auf. An den ersten Lastanschlussknoten 24 ist eine sicherheitsrelevante Last 26 angeschlossen. Der erste Sicherungsknoten 28 ist über eine erste elektrische Sicherung 30 mit dem ersten Versorgungsanschlussknoten 22 verbunden.

Eine sicherheitsrelevante Last mit hoher Verfügbarkeitsanforderung ist zum Beispiel eine elektrische Lenkung, welcher eine Anforderung nach ASIL C oder ASIL D für eine sichere Versorgung zugeordnet ist. Dies bedeutet, dass es besonders wichtig ist, dass diese Last unter quasi allen Umständen stabil elektrisch versorgt wird.

Der zweite Versorgungpfad weist einen zweiten Lastanschlussknoten 36 auf, der ebenfalls mit der sicherheitsrelevanten Last 26 verbunden ist. Der erste Lastanschlussknoten 24 und der zweite Lastanschlussknoten 36 sind elektrisch leitend verbunden. Alternativ kann der erste Lastanschlussknoten 24 gleich dem zweiten Lastanschlussknoten 36 sein. Der zweite Lastanschlussknoten 36 ist über eine dritte elektrische Sicherung 38 mit dem zweiten Versorgungsanschlussknoten 36 verbunden.

Der erste Sicherungsknoten 28 des ersten Versorgungspfads ist über eine vierte elektrische Sicherung 40 mit dem zweiten Versorgungsanschlussknoten 34 des zweiten Versorgungspfads verbunden.

Vorzugsweise weist der zweite Versorgungspfad mehrere dritte Lastanschlussknoten 42 auf, an die jeweils eine einfache Last 44 angeschlossen ist. Die dritten Lastanschlussknoten 42 sind jeweils über eine fünfte elektrische Sicherung 46 mit dem zweiten Versorgungsanschlussknoten 34 verbunden. Die einfachen Lasten 44 sind nicht sicherheitsrelevant oder weisen geringere Sicherheitsanforderungen auf als die sicherheitsrelevanten Lasten 26.

Im Stand der Technik (siehe Figur 1 ) transformiert sich die ASIL-C- oder ASIL-D-Anforderung der Verfügbarkeit der Versorgung der sicherheitsrelevanten Lasten 3 auf das Kriterium des sicheren Abschaltens. Das bedeutet, dass sämtliche Lasten 2, 3 beziehungsweise Verbraucher über einen Trennschalter beziehungsweise eine Sicherung, der ASIL-C- beziehungsweise ASIL-D-Anforderungen erfüllt, von dem Energiesystem trennbar sein müssen. Kann eine Last nicht mit der gleichen Wahrscheinlichkeit sicher (vollumfänglich ohne Rückwirkungen) abgeschaltet werden, kann, auf Grund der elektrischen Kopplung, die sichere Versorgung gemäß ASIL C beziehungsweise ASIL D für die Lenkung nicht gewährleistet werden.

Um die Anforderungen an die Sicherungen beziehungsweise Trennschalter hinsichtlich des sicheren Abschaltens zu reduzieren, wird erfindungsgemäß der im Stand der Technik gezeigte Trennschalter, der in der Verbindung, die die beiden Energiequellen verbindet, angeordnet ist, „aufgetrennt“ und als redundante Abschaltmöglichkeit genutzt. Das bedeutet, dass die sicherheitsrelevante Last (z.B. Lenkung) einmal vor (von der Seite der zweiten Energiequelle kommend) dem Trennschalter und einmal im Trennschalter abgezweigt beziehungsweise angeschlossen wird. Damit ist eine redundante elektrische Versorgung sichergestellt. Ferner ist es im Fehlerfall möglich, die elektrische Versorgung der sicherheitsrelevanten Last von der zweiten Energiequelle und den anderen Lasten zu isolieren und die Versorgung der sicherheitsrelevanten Last mit Hilfe der ersten Energiequelle bereitzustellen. Es werden somit die Anforderung an alle Lasten (außer der sicherheitsrelevanten Last selbst) bezüglich des sicheren Abschaltens beziehungsweise Trennens vom Energiesystem reduziert, so dass nicht jede Last mit redundanten elektrischen Sicherungen abgesichert werden muss.

Insbesondere kann beispielsweise eine Anforderung an die zweite elektrische Sicherung, die dritte elektrische Sicherung und die fünfte elektrische Sicherung auf eine ASIL-B-Anforderung reduziert werden.

Figur 3 zeigt ein beispielhaftes Ersatzschaltbild einer weiten Sicherungsschaltungsanordnung für ein Energiesystem, bei dem mehrere sicherheitsrelevante Lasten an dem redundant ausgebildeten Energiesystem angeschlossen sind.

Im Unterschied zu dem in Figur 2 gezeigten Ausführungsbeispiel weist der erste Versorgungspfad zumindest eine weitere zweite elektrische Sicherung 32’, zumindest eine weitere dritte elektrische Sicherung 38’, zumindest einen weiteren ersten Lastanschlussknoten 24’ und zumindest einen weiteren zweiten Lastanschlussknoten 36’ zum Anschließen zumindest einer weiteren sicherheitsrelevanten Last 26’ auf.

Der zumindest eine weitere erste Lastanschlussknoten 24’ ist über die zumindest eine weitere zweite elektrische Sicherung 32’ mit dem ersten Sicherungsknoten 28 und der zumindest eine weitere zweite Lastanschlussknoten 36’ über die zumindest eine weitere dritte elektrische Sicherung 38’ mit dem zweiten Versorgungsanschlussknoten 34 verbunden.

Figur 4 zeigt ein beispielhaftes Ersatzschaltbild einer weiteren Sicherungsschaltungsanordnung 20 für ein Energiesystem 10.

Die erste elektrische Sicherung 30 und/oder die zweite elektrische Sicherung 32 und/oder die dritte elektrische Sicherung 38 und/oder die vierte elektrische Sicherung 40 und/oder die fünften elektrischen Sicherungen 46 weisen beispielsweise zum Trennen der zugehörigen Verbindungen jeweils einen steuerbaren Halbleiterschalter auf.

Die Halbleiterschalter weisen zum Beispiel jeweils zumindest einen Metalloxid-Halbleiter-Feldeffekttransistor, MOSFET, auf. Die MOSFETs sind beispielsweise als n-Kanal-MOSFETs ausgebildet.

Insbesondere weist die erste elektrische Sicherung 30 einen ersten MOSFET und die vierte elektrische Sicherung 40 einen zweiten MOSFET auf und ein Drain-Anschluss des ersten MOSFETs ist mit einem Drain-Anschluss des zweiten MOSFETs verbunden. Ferner ist ein Source-Anschluss des ersten MOSFETs mit dem ersten Versorgungsanschlussknoten 22 und ein Source-Anschluss des zweiten MOSFETs mit dem zweiten Versorgungsanschlussknoten 34 verbunden.

Die Halbleiterschalter der ersten bis fünften elektrischen Sicherung können gleich oder unterschiedlich ausgebildet sein.

Beispielsweise kann einer oder mehrere der Halbleiterschalter eine Parallelschaltung von mehreren MOSFETs aufweisen.

Optional weist die erste elektrische Sicherung 30 und/oder die zweite elektrische Sicherung 32 und/oder die dritte elektrische Sicherung 38 und/oder die vierte elektrische Sicherung 40 und/oder die fünften elektrischen Sicherungen 50 jeweils einen dritten MOSFET und einen vierten MOSFET auf, die in einer Back-to-Back-Konfiguration angeordnet sind, wobei ein Source-Anschluss des dritten MOSFETs mit einem Source-Anschluss des vierten MOSFETs verbunden ist und ein Gate des dritten MOSFETs und ein Gate des vierten MOSFETs von einem gleichen Gate-Treiber angesteuert werden. Bei der ersten elektrischen Sicherung 30 können der erste MOSFET und der dritte MOSFET identisch sein und bei der vierten elektrischen Sicherung 40 können der zweite MOSFET und der vierte MOSFET identisch sein.

Alternativ ist möglich, dass insbesondere die erste Sicherung 30 nicht in einer Source-Source-Konfiguration sondern in einer Drain-Drain-Konfiguration ausgeführt ist. Dies erfordert eine aufwendigere Ansteuerung der MOSFETs, ermöglicht aber, dass Überspannungen besser abgefangen werden können.

Alternativ oder zusätzlich kann einer oder mehrere der Halbleiterschalter beziehungsweise der ersten bis fünften elektrische Sicherungen 30, 32, 38 40, 46 mehrere parallele Schaltpfade aufweisen, in denen jeweils zwei MOSFETs in einer Back-to-Back-Konfiguration angeordnet sind.

Alternativ oder zusätzlich ist es möglich, dass eine oder mehrere der der ersten bis fünften elektrischen Sicherungen 30, 32, 3840, 46 mehrstufig ausgebildet sind, das heißt eine Serienschaltung von zumindest zwei Halbleiterschaltern aufweist. Vorzugsweise ist die erste elektrische Sicherung 30 ausgebildet, ein Signal zu erfassen, das repräsentativ ist für einen Strom, der zwischen dem ersten Versorgungsanschlussknoten 22 und dem ersten Sicherungsknoten 28 fließt, und abhängig von dem erfassten Signal einen Schalterzustand der ersten elektrischen Sicherung 30 zu steuern.

Alternativ oder zusätzlich sind auch die anderen elektrischen Sicherungen ausgebildet, ein Signal zu erfassen, das repräsentativ ist für einen Strom, der durch die Verbindung fließt, die sie jeweils absichern, und abhängig von dem erfassten Signal ihren Schalterzustand zu steuern.

Zumindest ein Teil der ersten bis fünften elektrischen Sicherungen 30, 32, 38 40, 46 weisen beispielsweise einen Shunt-Widerstand (nicht gezeigt in den Figuren) auf, der in Serie zu dem Halbleiterschalter der jeweiligen elektrischen Sicherung angeordnet ist. Alternativ kann jeweils auch ein Sense-Strom-Transistor, bei dem beispielsweise ein Bruchteil (z. B. 1/20000) des Laststroms zur Messung der Stromstärke genutzt wird, eingesetzt werden.

Ferner weisen die jeweiligen elektrischen Sicherungen 30, 32, 38 40, 46 beispielsweise eine Auswerteeinheit (nicht gezeigt in den Figuren) auf, die ausgebildet ist, eine Spannung, die an dem Shunt-Widerstand abfällt, zu erfassen und beispielsweise mit einem vorgegebenen Schwellwert zu vergleichen, und wenn die erfasste Spannung den vorgegebenen Schwellwert überschreitet, den Halbleiterschalter so anzusteuern, dass er in einen Offen-Zustand übergeht.

Vorzugsweise weist zumindest ein Teil der ersten bis fünften elektrischen Sicherungen 30, 32, 38 40, 46 jeweils einen Kontrollanschluss (nicht gezeigt in den Figuren) auf, so dass die elektrischen Sicherungen 30, 32, 38 40, 46 nach einer Behebung eines Fehlers, der die jeweilige elektrische Sicherung 30, 32, 38 40, 46 ausgelöst hat, wieder in einen Geschlossen-Zustand für einen Normalbetrieb versetzt werden kann.

In Figur 5 ist ein beispielhaftes Ersatzschaltbild eines weiteren Ausführungsbeispiels des Energiesystems 10 gezeigt. Im Unterschied zu den in den Figuren 2 bis 4 und 6 gezeigten Ausführungsbeispielen wird die sicherheitsrelevante Last 26 beispielsweise über zwei Zuleitungen Z1 , Z2 versorgt. In jeder Zuleitung Z1 , Z2 ist eine Diode D1 , D2 angeordnet, die jeweils mit ihrer Kathode mit dem Versorgungsanschluss der sicherheitsrelevanten Last 26 verbunden ist. Die Dioden D1 , D2 sind somit antiseriell angeordnet. Die erste Diode D1 und zweite Diode D2 können innerhalb eines Gehäuses der Sicherungsschaltungsanordnung 20 oder außerhalb des Gehäuses der Sicherungsschaltungsanordnung 20 angeordnet sein.

Der Einsatz der ersten Diode D1 und zweiten Diode D2 ist vorteilhaft, wenn die zweite und dritte elektrische Sicherung 32, 38 jeweils keine gleichwertige Diodensperrfunktion aufweisen, zum Beispiel weil jeweils nur ein einfacher Schalttransistor genutzt wird. Die Nutzung der Dioden D1 , D2 ist besonders vorteilhaft, wenn der Laststrom der sicherheitsrelevanten Last 26 klein ist (z. B. kleiner 20 Ampere), da in diesem Fall einfache Dioden genutzt werden können. Bei Lasten mit höheren Lastströmen ist die Nutzung eines (steuerbaren) Halbleiterschalters mit zwei antiseriell angeordneten Transistoren, insbesondere MOSFETs, vorteilhaft.

Ansonsten kann die in Figur 5 gezeigte Sicherungsschaltungsanordnung 20 analog zu der in Figur 4 gezeigten Sicherungsschaltungsanordnung 20 ausgebildet sein.

In Figur 6 ist ein beispielhaftes Ersatzschaltbild eines fünften Ausführungsbeispiels der Sicherungsschaltungsanordnung 20 gezeigt. Figur 6 zeigt eine Variante, bei der die Sicherungsschaltungsanordnung 20 in dem zweiten Versorgungspfad einen zweiten Sicherungsknoten 52 und eine sechste elektrische Sicherung 50 aufweist. Die sechste elektrische Sicherung 50 ist zwischen dem zweiten Versorgungsanschlussknoten 34 und dem zweiten Sicherungsknoten 52 angeordnet. Der erste Sicherungsknoten 28 des ersten Versorgungspfads ist über die vierte elektrische Sicherung 40 mit dem zweiten Sicherungsknoten 52 verbunden. Ansonsten kann die Sicherungsschaltungsanordnung 20 analog zu den in Figur 2 bis 5 gezeigten Sicherungsschaltungsanordnungen ausgebildet sein.

Die sechste elektrische Sicherung 50 kann analog zu einer der ersten bis fünften elektrischen Sicherungen 30, 32, 38, 40, 46 ausgebildet sein. Bezugszeichenliste

1 Bordnetz

2 einfache Last

3 sicherheitsrelevante Last

4 DC/DC-Wandler

5 Batterie

6 Sicherung

7 Trennschalter

10 Energiesystem

12 erste Energiequelle

14 zweite Energiequelle

20 Sicherungsschaltungsanordnung

22 erster Versorgungsanschlussknoten

24 erster Lastanschlussknoten

24' weiterer erster Lastanschlussknoten

26 sicherheitsrelevante Last

26' weitere sicherheitsrelevante Last

28 erster Sicherungsknoten

30 erste elektrische Sicherung

32 zweite elektrische Sicherung

32' weitere zweite elektrische Sicherung

34 zweiter Versorgungsanschlussknoten

36 zweiter Lastanschlussknoten

36' weiterer zweiter Lastanschlussknoten

38 dritte elektrische Sicherung

38' weitere dritte elektrische Sicherung

40 vierte elektrische Sicherung

42 dritter Lastanschlussknoten

44 einfache Last

46 fünfte elektrische Sicherung

50 sechste elektrische Sicherung

52 zweiter Sicherungsknoten D1, D2 Diode

Z1 , Z2 Zuleitung