Sicherungsvorrichtung für ein Bordnetz eines Fahrzeugs

Die Erfindung betrifft eine Sicherungsvorrichtung und ein Bordnetz für ein Fahrzeug, wobei das Bordnetz die Sicherungsvorrichtung umfasst. Ferner betrifft die Erfindung ein Verfahren zum Betreiben des Bordnetzes sowie eine Steuereinrichtung zum Betreiben des Bordnetzes. Des Weiteren wird ein Computerprogramm zum Betreiben des Bordnetzes beschrieben.

Mit zunehmenden Automatisierungsgrad im Fahrzeug erhöhen sich auch die Anforderungen an die Funktionale Sicherheit einer Energieversorgung im Fahrzeug. Um die Energieversorgung von sicherheitsrelevanten Verbrauchern auch im Fehlerfall sicherzustellen, wird diese üblicherweise redundant ausgelegt. Ferner wird zu Verbesserung des Sicherheitskonzept eine Trenninstanz zwischen den sicherheitsrelevanten Verbrauchern und nicht sicherheitsrelevanten Verbrauchern vorgesehen, so dass bei Auftreten eines Fehlers, zum Beispiel einem Kurzschluss eines Verbrauchers, die sicherheitsrelevanten Verbraucher von den übrigen Verbrauchern abgetrennt werden können.

Figur 1 zeigt ein vereinfachtes Blockschaltbild eines Bordnetzes 1 mit redundanter Stromversorgung. Das Bordnetz 1 versorgt neben einfachen Lasten 2 , z. B. eine Klimaanlage, auch mehrere sicherheitsrelevante Lasten 3, z. B. eine elektrische Bremse, die eine Spannungsversorgung zum Beispiel nach ASIL C oder ASIL D erfordern. Das Bordnetz 1 weist einen DC/DC-Wandler 4 und eine Batterie 5 auf, die über eine Versorgungsleitung verbunden sind. Ein Trennschalter 7 zwischen den beiden Quellen 4, 5 dient der Sicherstellung der Rückwirkungsfreiheit im Falle eines schadhaften DC/DC-Wandlers, oder dessen Zuleitung. Die Versorgungsleitung weist Anschlusspunkte auf zum Anbinden der sicherheitsrelevanten Lasten 3 und der einfachen Lasten 2. Die sicherheitsrelevanten Lasten 3 und die einfache Lasten 2 sind jeweils über eine Sicherung 6 mit einem der Anschlusspunkte verbunden. Damit sich zum Beispiel Kurzschlüsse in den einzelnen Lastzweigen nur mit sehr geringer Wahrscheinlichkeit auf die Spannungsversorgung der sicherheitsrelevanten Lasten 3 auswirken, sind die ASIL-Anforderungen an die Sicherungen 6 sehr hoch. D. h. da die Spannungsversorgung der sicherheitsrelevanten Lasten 3 ASIL-C-Anforderungen erfüllen muss, müssen bei der in Figur 1 gezeigten Schaltungsstruktur, auch die Sicherungen 6 mindestens ASIL-C-Anforderungen erfüllen. Dies kann beispielsweise jeweils erreicht werden durch Nutzung von zwei in Reihe geschaltete Sicherungen, die ASIL-B-Anforderungen erfüllen.

Die Sicherungen 6 können als Schmelzsicherung oder als Halbleitertrennschalter ausgeführt sein. Ein wesentlicher Vorteil der Schmelzsicherungen ist, dass sie sehr kostengünstig hergestellt werden können. Die Halbleitertrennschalter haben den Vorteil, dass die Reaktionszeit, bis der Halbleitertrennschalter auslöst, um ein Vielfaches geringer ist als bei einer Schmelzsicherung. Ein weiter Nachteil neben den Kosten der Halbleitertrennschalter ist, dass eine Eigensicherung fehlt. Im Falle eines Schadens an dem Halbleitertrennschalter selbst, zum Beispiel durch eine Überlastung, ist der Halbleitertrennschalter mit hoher Wahrscheinlichkeit vollständig leitend. Eine Schmelzsicherung ist nach einer Auslösung offen und damit eigensicher. Beim Ersetzen von Schmelzsicherungen durch Halbleitertrennschalter in Fahrzeugbordnetzen ist daher eine Ausfallwahrscheinlichkeit der Halbleitertrennschalter zu berücksichtigen und es ergeben sich geänderte Anforderungen, was die Rückwirkung an andere Verbraucher betrifft.

Eine zu lösende Aufgabe der Erfindung besteht darin, eine Sicherungsvorrichtung zu schaffen, die kostengünstig bereitgestellt werden kann und die einen Beitrag leistet zu einer hohen Verfügbarkeit von elektrisch unterstützten oder rein elektrisch ausgeführten Funktionen im Fahrzeug.

Die Aufgabe wird gelöst durch die Merkmale der unabhängigen Patentansprüche. Vorteilhafte Weiterbildungen der Erfindung sind in den Unteransprüchen gekennzeichnet.

Gemäß einem ersten Aspekt wird die Aufgabe gelöst durch eine Sicherungsvorrichtung für ein Bordnetz eines Fahrzeugs, wobei das Bordnetz eine erste Energiequelle und eine zweite Energiequelle sowie eine Vielzahl von Lasten aufweist. Eine jeweilige Last kann einen einzelnen Verbraucher oder eine Verbrauchergruppe umfassen. Den Lasten des Bordnetzes sind jeweils Anforderungen oder Anforderungsstufen bezüglich einer Sicherheitsintegrität zugeordnet. Insbesondere ist den Lasten jeweils eine Anforderungsstufe aus einer Menge von Anforderungsstufen, die zumindest die Anforderungsstufen I, II, III und IV umfasst, zugeordnet, wobei die Anforderung in der genannten Reihenfolge zunehmen. Die Sicherungsvorrichtung umfasst einen ersten Versorgungsanschluss zum Verbinden der Sicherungsvorrichtung mit der ersten Energiequelle und eine zweiten Versorgungsanschluss zum Verbinden der Sicherungsvorrichtung mit einer zweiten Energiequelle.

Ferner weist die Sicherungsvorrichtung ein erstes Versorgungspfadsegment, ein zweites Versorgungspfadsegment und weiteres Versorgungspfadsegment auf.

Die Sicherungsvorrichtung weist mehrere jeweils über eine erste Sicherung mit dem ersten Versorgungspfadsegment verbunden erste Lastanschlüsse zum jeweiligen Anschließen einer ersten Last auf. Den ersten Lasten ist vorzugsweise bezüglich der Sicherheitsintegrität die Anforderungsstufe I zugeordnet. Bei den ersten Lasten handelt es sich somit vorzugweise um einfache Lasten.

Die Sicherungsvorrichtung weist mehrere jeweils über eine dritte Sicherung mit dem weitem Versorgungspfadsegment verbunden dritte Lastanschlüsse zum jeweiligen Anschließen einer dritten Last auf. Hierbei erfüllen die dritten Lasten vorzugsweise bezüglich einer Sicherheitsintegrität die Anforderungsstufen II oder III.

Des Weiteren weist die Sicherungsvorrichtung eine erste und eine zweite Trenninstanz auf. Das erste Versorgungspfadsegment ist zwischen dem ersten Versorgungsanschluss und der ersten Trenninstanz angeordnet. Das zweite Versorgungspfadsegment ist zwischen dem zweiten Versorgungsanschluss und der zweiten Trenninstanz angeordnet und das weitere Versorgungspfadsegment ist zwischen der ersten und zweiten Trenninstanz angeordnet.

Vorteilhafterweise ermöglicht die Sicherungsvorrichtung, dass das weitere Versorgungspfadsegment von dem ersten Versorgungspfadsegment und dem zweiten Versorgungspfadsegment getrennt werden kann. Damit können die ersten Lasten, die an dem ersten Versorgungspfadsegment angeschlossen sind weiterhin über die erste Energiequelle versorgt werden und auch die an das zweite Versorgungspfadsegment der Sicherungsvorrichtung oder außerhalb der Sicherungsvorrichtung mit dem zweiten Energiespeicher verbundenen sicherheitsrelevanten Lasten können über den zweiten Energiespeicher weiter versorgt werden. Die Abtrennung des weiteren Versorgungspfadsegment ermöglicht, dass ein Fehler in dem weiteren Versorgungpfadsegment keine Rückwirkung auf das erste Versorgungspfadsegment und das zweite Versorgungspfadsegment hat. In zumindest einer vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist die Sicherungsvorrichtung eine weitere Trenninstanz und einen oder mehrere zweite Lastanschlüsse zum jeweiligen Anschließen einer zweiten Last auf, wobei der oder die zweiten Lastanschlüsse jeweils über eine zweite Sicherung mit der weiteren Trenninstanz verbunden sind und die weitere Trenninstanz ist mit dem zweiten Versorgungspfadsegment verbunden. Den zweiten Lasten ist vorzugsweise jeweils bezüglich der Sicherheitsintegrität eine Anforderungsstufe III oder IV zugeordnet.

Vorteilhafterweise ermöglicht dies, dass mehrere Lasten, die erhöhte Sicherheitsanforderungen haben, an die Sicherheitsvorrichtung angeschlossen werden können und das Trennen dieser sicherheitsrelevanteren Lasten sehr schnell und flexibel erfolgen kann.

In zumindest einer vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist die Sicherungsvorrichtung eine dritte Trenninstanz, eine vierte Trenninstanz, ein zusätzliches Versorgungspfadsegment und mehrere fünfte Lastanschlüsse mit jeweils einer zugehörigen fünften Sicherung auf. Das erste Versorgungspfadsegment ist zusätzlich mit der dritten Trenninstanz verbunden. Das zweite Versorgungpfadsegment ist zusätzlich mit der vierten Trenninstanz verbunden und das zusätzliche Versorgungspfadsegment ist zwischen der dritten und vierten Trenninstanz angeordnet. Die fünften Lastanschlüsse sind jeweils über ihre zugehörige fünfte Sicherung mit dem zusätzlichen Versorgungspfadsegment verbunden.

Durch die gebildete Ringstruktur der Versorgungspfadsegmente ist es möglich, mit den Trenninstanzen im Fehlerfall Teilnetze zu isolieren und somit die Verfügbarkeit der verbleibenden Lasten zu gewährleisten.

In zumindest einer vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist die Sicherungsvorrichtung eine fünfte Trenninstanz auf, die in dem weiteren Versorgungspfadsegment angeordnet ist, so dass das weitere Versorgungspfadsegment von einem dritten und vierten Versorgungspfadsegment, die über die fünfte Trenninstanz koppelbar und entkoppelbar sind, gebildet wird. Alternativ oder zusätzlich weist die Sicherungsvorrichtung eine sechste Trenninstanz auf, die in dem zusätzlichen Versorgungspfadsegment angeordnet ist, so dass das zusätzliche Versorgungspfadsegment von einem fünften und sechsten Versorgungspfadsegment, die über die sechste Trenninstanz koppelbar und entkoppelbar sind, gebildet wird. Durch die Ringstruktur der Versorgungspfadsegmente und der weiteren Unterteilung der Versorgungspfadsegmente in der Ringstruktur ist es möglich, mit den Trenninstanzen im Fehlerfall die Teilnetze noch flexibler zu isolieren und somit die Verfügbarkeit der verbleibenden Lasten weither zu erhöhen.

Zumindest ein Teil der Sicherungen, d. h. der ersten, zweiten, dritten, vierten, fünften und sechsten Sicherungen, wissen jeweils eine Überwachungseinheit auf. Die jeweilige Überwachungseinheit ist ausgebildet, zu detektieren, ob die jeweilige Sicherung einen offenen Zustand aufweist oder vorgegebene Bedingungen erfüllt sind, die bei einer fehlerfreien Sicherung dazu führen, dass die Sicherung in einen offenen Zustand übergeht und, wenn die jeweilige Sicherung einen offenen Zustand aufweist beziehungsweise die vorgegebenen Bedingungen erfüllt sind, ein Überwachungssignal bereitzustellen, das signalisiert, dass die Sicherung einen offenen Zustand aufweist. Vorzugsweise weisen sämtliche ersten bis sechsten Sicherungen, soweit vorhanden, solch ein Überwachungsmodul auf. Das Detektieren, ob die vorgegebenen Bedingungen erfüllt sind, bedeutet beispielsweise, dass ein Strom detektiert wird, der eine vorgegebene Schwelle überschreitet und damit bei einer fehlerfreien Sicherung dazu führen würde, dass die Sicherung auslöst.

Das Überwachungsmodul ist vorzugsweise ausgebildet, einen Strom, der durch den zugehörigen Lastanschluss fließt, und/oder eine Spannung, die an dem zugehörigen Lastanschluss anliegt, zu erfassen und abhängig von dem erfassten Strom und der erfassten Spannung oder nur abhängig von dem erfassten Strom beziehungsweise der erfassten Spannung die Sicherung in einen offenen Zustand zu überführen und, wenn es sich um eine schaltbaren Sicherung handelt, die Sicherung auch in einen geschlossen Zustand umzuschalten.

Dies ermöglicht, die Sicherungen doppelt oder mehrfach abzusichern. Wenn festgestellt wird, dass eine Sicherung ausgelöst wurde oder ausgelöst hätte werden sollen, kann unmittelbar, ca. innerhalb von 100 ps bis 500 ps, auch die zugeordnete(n) Trenninstanz(en) getrennt werden.

In zumindest einer vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist die Sicherungsvorrichtung eine Steuervorrichtung auf, die ausgebildet ist, die Überwachungssignale zu empfangen und abhängig von den Überwachungssignalen eine oder mehrere der Trenninstanzen derart anzusteuern, dass sie einen offen Zustand annehmen, um so das jeweilige Versorgungspfadsegment, an das die jeweilige Sicherung angeschlossen ist, die einen offenen Zustand signalisiert, von den anderen Versorgungspfadsegmenten zu trennen. Die Steuervorrichtung kann als zentrale Einheit oder verteilt ausgebildet sein. Beispielsweise kann die Steuervorrichtung mehrere Logikschaltungen aufweisen, die jeweils einer oder mehreren der Trenninstanzen beziehungsweise einem der Versorgungssegmente zugeordnet sind.

Die Trenninstanzen weisen insbesondere jeweils eine Ansteuerschaltung auf, mittels derer das Öffnen und Schließen der Trenninstanz bewirkt wird und die von der Steuervorrichtung angesteuert wird.

In zumindest einer vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist die Sicherungsvorrichtung eine Kopplungseinheit auf, die ausgebildet ist, das aufgrund des Öffnens der Trenninstanzen von allen anderen Versorgungspfadsegmenten getrennte Versorgungspfadsegment mit dem ersten und/oder zweiten Versorgungspfadsegment für eine vorgegebene Zeitspanne, vorzugsweise über einen ohmschen Widerstand zur Strombegrenzung, elektrisch leitend zu verbinden und in der vorgegebenen Zeitspanne ein erstes Messsignal, das repräsentativ ist für eine erste Spannung, die das jeweilige getrennte Versorgungspfadsegment aufweist, und ein zweites Messignal, das repräsentativ ist für eine zweite Spannung, die das erste beziehungsweise des zweite Versorgungspfadsegment bereitstellt, zu erfassen.

Die Kopplungseinheit ist bevorzugt verteilt ausgebildet. Die Kopplungseinheit stellt insbesondere mehrere Messleitungen zur Verfügung, d.h. quasi für jedes Versorgungspfadsegment eine separate Messleitung mit Ausnahme des ersten und zweiten Versorgungspfadsegments.

In zumindest einer vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist die Sicherungsvorrichtung einen Vergleicher auf, der ausgebildet ist, das erste Messsignal mit dem zweiten Messsignal zu vergleichen und, wenn ein Betrag einer Abweichung zwischen dem ersten Messsignal und dem zweiten Messsignal einen vorgegebenen Schwellwert unterschreitet, die Steuervorrichtung zu veranlassen, zumindest eine der Trenninstanzen, die das Trennen des jeweiligen getrennten Versorgungspfadsegments bewirken, wieder in einen geschlossen Zustand zu überführen. Der Vergleicher kann Teil der Steuervorrichtung sein oder eine separate Vorrichtung umfassen. Die Vergleicher kann ausgebildet sein, den Vergleich analog oder digital durchzuführen. Vorteilhafterweise ermöglicht dies zu prüfen, ob eine fehlerhafte Last vollständig und/oder alle fehlerhaften Lasten von ihrem zugehörigen Versorgungspfadsegment getrennt wurden. Wenn sich die ersten Spannungen und die zweiten Spannungen angleichen, kann davon ausgegangen werden, dass die Trennung der jeweiligen fehlerhaften Last durch die zugehörige Sicherung korrekt funktioniert hat und das von der fehlerhaften Last betroffene Versorgungspfadsegment kann mit seinen verbleibenden Lasten wieder mit den anderen Versorgungspfadsegmenten verbunden werden. Hierdurch kann die Verfügbarkeit der verbleibenden Lasten des von einer fehlerhaften Last betroffenen Versorgungspfadsegments erhöht werden.

Der Vergleicher kann eine separate Einheit sein oder die Steuervorrichtung kann den Vergleicher umfassen.

In zumindest einer Ausgestaltung gemäß dem ersten Aspekt weisen die Trenninstanzen (erste, zweite, dritte, vierte und fünfte Trenninstanz) und zumindest ein Teil der Sicherungen jeweils einen schaltbaren Halbleiterschalter auf. Vorzugsweise weisen sämtliche Sicherungen, d. h. die ersten, zweiten, dritten, vierten, fünften und sechsten Sicherungen einen Halbleiterschalter auf.

In zumindest einer vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist der Halbleiterschalter einen Metall-Oxid-Halbleiter-Feldeffekttransistor, MOSFET, oder mehrere parallelgeschaltet MOSFETs und/oder mehrere in Serie geschaltete MOSFETs auf. Die Parallelschaltung ist vorteilhaft bei sehr hohen Leistungen. Die Serienschaltung ermöglicht eine Redundanz, falls beispielsweise ein MOSFET nicht funktioniert.

Der Halbleiterschalter weist vorzugweise einen oder mehrere Gate-Treiber auf, die von der Steuervorrichtung angesteuert werden.

In zumindest einer vorteilhaften Ausgestaltung gemäß dem ersten Aspekt weist zumindest eine der Trenninstanzen zwei MOSETs auf, die antiseriell geschaltet sind. Insbesondere können die fünfte und sechste Trenninstanz solch eine anti-serielle Anordnung der MOSFETs, auch Back-to-Back-Anordnung genannt, aufweisen. Insbesondere ist auch eine Serienschaltung von mehreren Back-to-Back-Anordnungen der MOSFETs möglich. Solch eine Serienschaltung ermöglicht eine Redundanz, falls z. B. ein MOSFET nicht funktioniert. Die Steuervorrichtung ist ausgebildet, zu veranlassen, wenn die Trenninstanz zwei MOSETs aufweist, die antiseriell geschaltet sind und eines der Versorgungspfadsegmente von den anderen Versorgungspfadsegmenten getrennt werden soll, dass zumindest der MOSFET, dessen Source auf der Seite angeordnet ist, die dem zu trennenden Versorgungspfadsegment zugewandt ist, in einen sperrenden Zustand überführt wird.

Gemäß einem zweiten Aspekt wird die Aufgabe gelöst durch ein Bordnetz für ein Fahrzeug, wobei das Bordnetz eine Sicherungsvorrichtung gemäß dem ersten Aspekt aufweist. Ferner weist das Bordnetz eine erste Energiequelle, eine zweite Energiequelle und eine Vielzahl von Lasten auf. Den Lasten des Bordnetzes sind jeweils Anforderungen oder Anforderungsstufen bezüglich einer Sicherheitsintegrität zugeordnet.

Vorteilhafte Ausgestaltungen gemäß dem ersten Aspekt sind auch für den zweiten Aspekt gültig.

Gemäß einem dritten Aspekt und vierten Aspekt wird die Aufgabe gelöst durch ein Verfahren und eine korrespondierende Steuervorrichtung für ein Bordnetz, wobei das Bordnetz gemäß dem zweiten Aspekt ausgebildet ist. Das Verfahren umfasst hierbei die folgenden Schritte: Abhängig von einem empfangenen Überwachungssignal, das signalisiert, dass eine der Sicherungen einen offenen Zustand aufweist, werden eine oder mehrere der Trenninstanzen derart angesteuert, dass sie einen offenen Zustand annehmen und so das Versorgungspfadsegment, an das die Sicherung angeschlossen ist, die den offenen Zustand signalisiert, von den anderen Versorgungspfadsegmenten getrennt wird. Ferner wird die Kopplungsinstanz veranlasst, das getrennte Versorgungspfadsegment mit dem ersten und/oder zweiten Versorgungspfadsegment für eine vorgegebene Zeitspanne, vorzugsweise über einen ohmschen Widerstand zur Strombegrenzung, elektrisch leitend zu verbinden und in der vorgegebenen Zeitspanne ein erstes Messsignal, das repräsentativ ist für eine erste Spannung, die das jeweilige getrennte Versorgungspfadsegment aufweist, und ein zweites Messignal, das repräsentativ ist für eine zweite Spannung, die das erste beziehungsweise des zweite Versorgungspfadsegment bereitstellt, zu erfassen und bereitzustellen. Das erste Messsignal wird mit dem zweiten Messsignal verglichen und, wenn ein Betrag einer Abweichung zwischen dem ersten Messsignal und dem zweiten Messsignal einen vorgegebenen Schwellwert unterschreitet, wird zumindest eine der Trenninstanzen, die das Trennen des getrennten Versorgungspfadsegments bewirken, wieder in einen geschlossenen Zustand überführt.

Gemäß einem fünften Aspekt wird die Aufgabe gelöst durch ein Computerprogramm umfassend Befehle, die bewirken, dass eine Steuervorrichtung das Verfahren gemäß dem dritten Aspekt ausführt.

Gemäß einem sechsten Aspekt wird die Aufgabe gelöst durch ein computerlesbares nichtflüchtiges Speichermedium, auf dem das Computerprogramm gemäß dem fünften Aspekt gespeichert ist.

Vorteilhafte Ausgestaltungen gemäß dem ersten Aspekt sind auch für den fünften und sechsten Aspekt gültig.

Im Sinne dieses Dokuments ist die Nennung eines solchen Computerprogramms gleichbedeutend mit dem Begriff eines Programm-Elements und/oder eines Computerprogrammprodukts und/oder eines computerlesbaren Mediums, das Anweisungen zum Steuern eines Computersystems enthält, um die Arbeitsweise eines Systems bzw. eines Verfahrens in geeigneter Weise zu koordinieren, um die mit dem erfindungsgemäßen Verfahren verknüpften Wirkungen zu erreichen.

Das Computerprogramm kann als computerlesbarer Anweisungscode in jeder geeigneten Programmiersprache wie beispielsweise in JAVA, C++ etc. implementiert sein. Das Computerprogramm kann auf einem computerlesbaren Speichermedium (CD-Rom, DVD, Blu-ray Disk, Wechsellaufwerk, flüchtiger oder nicht-flüchtiger Speicher, eingebauter Speicher/Prozessor etc.) abgespeichert sein. Der Anweisungscode kann einen Computer oder andere programmierbare Geräte wie insbesondere ein Steuergerät für einen Motor eines Kraftfahrzeugs derart programmieren, dass die gewünschten Funktionen ausgeführt werden. Ferner kann das Computerprogramm in einem Netzwerk wie beispielsweise dem Internet bereitgestellt werden, von dem es bei Bedarf von einem Nutzer heruntergeladen werden kann.

Ausführungsbeispiele der Erfindung sind im Folgenden anhand der schematischen Zeichnungen erläutert.

Die Beschreibung der hier angegebenen Gegenstände ist nicht auf die einzelnen speziellen Ausführungsformen beschränkt. Merkmale von unterschiedlichen Ausführungsbeispielen können - soweit technisch sinnvoll - miteinander kombiniert werden, um weitere Ausführungsbeispiele zu bilden. Zum Beispiel können Variationen oder Modifikationen, die im Hinblick auf eines der Ausführungsbeispiele beschrieben sind, auch auf andere Ausführungsbeispiele anwendbar sein, außer dies ist anderweitig angegeben.

Es zeigen:

Figur 1 ein Bordnetz nach dem Stand der Technik,

Figur 2 ein beispielhaftes Ersatzschaltbild eines Ausführungsbeispiel eines Bordnetzes für ein Fahrzeug,

Figur 3 ein beispielhaftes Ersatzschaltbild eines zweiten Ausführungsbeispiel eines Bordnetzes für ein Fahrzeug,

Figur 4 ein beispielhaftes Ersatzschaltbild eines dritten Ausführungsbeispiel eines Bordnetzes für ein Fahrzeug und

Figur 5 ein beispielhaftes Ablaufdiagramm für ein Programm für eine Steuervorrichtung zum Betreiben eines Bordnetzes.

In den Figuren werden für Elemente mit im Wesentlichen gleicher Funktion gleiche Bezugszeichen verwendet, diese Elemente müssen jedoch nicht in allen Einzelheiten identisch sein.

Nachfolgend werden Details ausgeführt, um eine ausführlichere Erklärung der beispielhaften Ausführungsbeispiele bereitzustellen. Für Fachleute auf dem Gebiet ist es jedoch offensichtlich, dass Ausführungsbeispiele ohne diese spezifischen Details ausgeführt werden können. In anderen Fällen sind bekannte Strukturen und Vorrichtungen in Blockdiagrammform oder in einer schematischen Ansicht und nicht im Detail gezeigt, um ein einfacheres Verständnis zu ermöglichen.

Es wird darauf hingewiesen, dass, wenn ein Element als mit einem anderen Element "verbunden" oder "gekoppelt" bezeichnet wird, das Element direkt mit dem anderen Element verbunden oder gekoppelt sein kann oder Zwischenelemente vorhanden sein können. Wenn im Gegensatz ein Element als "direkt" mit einem anderen Element "verbunden" oder "gekoppelt" bezeichnet wird, sind keine Zwischenelemente vorhanden. Sonstige zum Beschreiben des Verhältnisses zwischen Elementen benutzte Ausdrücke sollen auf gleichartige Weise ausgelegt werden (z. B. "zwischen" versus "direkt zwischen", "benachbart" versus "direkt benachbart" etc.).

Figur 2 zeigt ein beispielhaftes Ersatzschaltbild eines Ausführungsbeispiel eines Bordnetzes 100 für ein Fahrzeug.

Das Bordnetz 100 weist eine erste Energiequelle E1 , eine zweite Energiequelle E2, eine Vielzahl von Lasten L1 ,L2, L3 und eine Sicherungsvorrichtung 10 auf.

Die erste Energiequelle E1 umfasst beispielsweise einen DC/DC-Wandler. Die zweite Energiequelle E2 umfasst beispielsweise eine Batterie beziehungsweise einen Akkumulator. Bei dem Bordenetz 1 handelt es sich beispielsweise um ein 12-V-Bordnetz.

Den Lasten L1 , L2, L3 des Bordnetzes 100 sind beispielsweise Anforderungsstufen bezüglich einer Sicherheitsintegrität aus einer Menge von vorgegebenen Menge von Anforderungsstufen, die zumindest die Anforderungsstufen I, II, III und IV umfasst, zugeordnet, wobei die Anforderung in der genannten Reihenfolge zunehmen.

Die Anforderungsstufe I korrespondiert zum Beispiel zu ASIL QM (nicht sicherheitsrelevant). Die Anforderungsstufe II korrespondiert zum Beispiel zu ASIL A gemäß ISO 26262. Die Anforderungsstufe III korrespondiert zum Beispiel zu ASIL B gemäß ISO 26262 und die Anforderungsstufe IV korrespondiert zum Beispiel zu ASIL C gemäß ISO 26262.

Auch den Energiespeichern E1 , E2 kann solch eine Anforderungsstufe zugeordnet sein. Beispielsweise kann der ersten Energiequelle E1 die Anforderungsstufe I zugeordnet sein und der zweiten Energiequelle E2 die Anforderungsstufe IV. Die höhere Anforderungsstufe für die zweite Energiequelle E2 ergibt sich dadurch, dass die zweite Energiequelle E2 für die redundante Energieversorgung der sicherheitsrelevanten Lasten, denen zum Beispiel die Anforderungsstufe IV zugeordnet ist, vorgesehen ist.

Die Sicherungsvorrichtung 10 weist einen ersten Versorgungsanschluss VA1 und einen zweiten Versorgungsanschluss VA2 auf. Der erste Versorgungsanschluss VA1 der Sicherungsvorrichtung 10 ist über eine erste Versorgungsleitung VL1 mit der ersten Energiequelle E1 verbunden. Die erste Energiequelle E1 kann über eine Sicherung F (in Figur 2 nicht gezeigt), insbesondere eine Schmelzsicherung, die in der ersten Versorgungsleitung VL1 angeordnet ist, mit dem ersten Versorgungsanschluss VA1 der Sicherungsvorrichtung 10 verbunden sein.

An die erste Versorgungsleitung VL1 sind beispielsweise eine Vielzahl von ersten Lasten L1 angeschlossen. Diese ersten Lasten L1 sind beispielsweise über Schmelzsicherungen F an die erste Versorgungsleitung VL1 angeschlossen.

Der zweite Versorgungsanschluss VA2 der Sicherungsvorrichtung 10 ist über eine zweite Versorgungsleitung VL2 mit der zweiten Energiequelle E2 verbunden. An die zweite Versorgungsleitung VL2 sind beispielsweise eine oder mehrere zweite Lasten L2 angeschlossen. Diese zweiten Lasten L2 sind beispielsweise über Schmelzsicherungen F an die zweite Versorgungsleitung VL2 angeschlossen. Bei den zweiten Lasten L2 handelt es sich insbesondere um sicherheitsrelevante Lasten, beispielsweise mit einer Anforderungsstufe IV beziehungsweise AS I L-C-Anforderung .

Die Sicherungsvorrichtung 10 weist ein erstes Versorgungspfadsegment VS1 , ein zweites Versorgungspfadsegment VS2, und ein weiteres Versorgungspfadsegment VSw auf.

Ferner weist die Sicherungsvorrichtung 10 eine erste Trenninstanz T1 und eine zweite Trenninstanz T2 auf.

Das erste Versorgungspfadsegment VS1 ist zwischen dem ersten Versorgungsanschluss VA1 und der ersten Trenninstanz T1 angeordnet. D. h. das erste Versorgungspfad VS1 verbindet den ersten Versorgungsanschluss VA1 mit einem ersten Anschluss der ersten T renninstanz T 1 .

Das zweite Versorgungspfadsegment VS2 ist zwischen dem zweiten Versorgungsanschluss VA2 und der zweiten Trenninstanz T2 angeordnet. D. h. das zweite Versorgungspfad VS2 verbindet den zweiten Versorgungsanschluss VA2 mit einem zweiten Anschluss der zweiten Trenninstanz T2.

Das weitere Versorgungspfadsegment VSw ist zwischen der ersten Trenninstanz

T1 und der zweiten Trenninstanz T2 angeordnet. D. h. das weitere Versorgungspfadsegment VSw verbindet einen zweiten Anschluss der ersten Trenninstanz T1 mit einem ersten Anschluss der der zweiten Trenninstanz T2.

Des Weiteren weist die Sicherungsvorrichtung 10 mehrere erste Lastanschlüsse LA1 auf, die jeweils über eine erste Sicherung S1 mit dem ersten Versorgungspfadsegment VS1 verbundenen sind. An die ersten Lastanschlüsse LA1 sind vorzugsweise jeweils eine erste Last L1 angeschlossen.

Die Sicherungsvorrichtung 10 weist mehrere dritte Lastanschlüsse LA3 auf, die jeweils über eine dritte Sicherung S3 mit dem weiteren Versorgungspfadsegment VSw verbunden sind. An die dritten Lastanschlüsse LA3 sind vorzugsweise jeweils eine dritte Last L3 angeschlossen.

In einer optionalen Ausgestaltung weist die Sicherungsvorrichtung 10 eine weitere Trenninstanz Tw und einen oder mehrere zweite Lastanschlüsse LA2 auf, an die jeweils eine zweite Last L2 angeschlossen ist. Der oder die zweiten Lastanschlüsse LA2 sind jeweils über eine zweite Sicherung S2 mit einem ersten Anschluss der weiteren Trenninstanz Tw verbunden und ein zweiter Anschluss der weiteren Trenninstanz Tw ist mit dem zweiten Versorgungspfadsegment VSw verbunden.

Die ersten Sicherungen S1 , zweiten Sicherungen S2 und dritten Sicherungen S3 weisen jeweils eine Überwachungseinheit MU auf, die ausgebildet ist, zu detektieren, ob die jeweilige Sicherung einen offenen Zustand aufweist oder vorgegebene Bedingungen erfüllt sind (ein Strom durch die Sicherung einen vorgegebenen Schwellwert überschreitet), die bei einer fehlerfreien Sicherung dazu führen, dass die Sicherung in einen offenen Zustand übergeht, und wenn die jeweilige Sicherung einen offen Zustand aufweist beziehungsweise die Bedingungen erfüllt sind, ein Überwachungssignal bereitzustellen, das signalisiert, dass die Sicherung einen offenen Zustand aufweist.

Die Sicherungsvorrichtung 10 weist eine Steuervorrichtung CU auf, die ausgebildet ist, die Überwachungssignale der Sicherungen S1 , S2, S3 zu empfangen und abhängig von den Überwachungssignalen eine oder mehrere vorgegebene Trenninstanzen derart anzusteuern, dass sie einen offenen Zustand annehmen. Wenn beispielsweise eine der ersten Sicherungen S1 an die Steuervorrichtung CU signalisiert, dass sie einen offenen Zustand aufweist, veranlasst die Steuervorrichtung CU, dass die erste Trenninstanz T1 in einen offenen Zustand überführt wird. Damit können die zweiten und dritten Lasten L2, L3 weiterhin von der zweiten Energiequelle E2 versorgt werden.

Wenn beispielsweise eine der dritten Sicherungen S3 an die Steuervorrichtung CU signalisiert, dass sie einen offenen Zustand aufweist, veranlasst die Steuervorrichtung CU, dass die erste und zweite Trenninstanz T1 , T2 jeweils in einen offenen Zustand überführt wird. Dies ermöglicht, dass zumindest die zweiten Lasten L2 weiterhin von der zweiten Energiequelle E2 versorgt werden können.

Wenn beispielsweise eine der zweiten Sicherungen S2 an die Steuervorrichtung CU signalisiert, dass sie einen offenen Zustand aufweist, veranlasst die Steuervorrichtung CU, dass die weitere Trenninstanz Tw in einen offenen Zustand überführt wird. Dies ermöglicht, dass die ersten und dritten Lasten L1 , L3 weiterhin redundant von der ersten Energiequelle E1 und zweiten Energiequelle E2 versorgt werden können. Aber auch die weiteren Lasten L2 der zweiten Versorgungsleitung VL2 können redundant über die erste Energiequelle E1 und die zweite Energiequelle E2 versorgt werden.

Die Sicherungsvorrichtung 10 weist ferner eine Kopplungseinheit SU auf, die ausgebildet ist, das weitere Versorgungspfadsegment VSw, das zum Beispiel aufgrund eines Kurzschlusses in einer seiner Lasten von dem ersten Versorgungspfadsegment VS1 und dem zweiten Versorgungspfadsegment VS2 getrennt wurde, mit dem ersten und/oder zweiten Versorgungspfadsegment VS1 , VS2 für eine vorgegebene Zeitspanne elektrisch leitend, aber hochohmig zu verbinden und in der vorgegebenen Zeitspanne ein erstes Messsignal, das repräsentativ ist für eine erste Spannung, die das weitere Versorgungspfadsegment VSw aufweist, und ein zweites Messignal, das repräsentativ ist für eine zweite Spannung, die das erste beziehungsweise des zweite Versorgungspfadsegment VS1 , VS2 bereitstellt, zu erfassen.

Die Kopplungseinheit SU weist beispielsweise für sämtliche Versorgungspfadsegmente VS3, ... ,VS6 außer dem ersten und zweiten Versorgungspfadsegment VS1 , VS2 jeweils eine schaltbare Verbindung, beispielsweise eine Leitung mit einem Transistor, beispielsweise einem bipolar pnp-Transistor oder einen MOSFET, auf, so dass im Fehlerfall, das von dem Fehler betroffenen Versorgungspfadsegment und das erste Versorgungspfadsegment VS1 oder das zweite Versorgungspfadsegment VS2 für eine vorgegebene Zeitspanne elektrisch leitend verbunden werden kann.

Die Sicherungsvorrichtung 10 weist einen Vergleicher auf, der ausgebildet ist, das erste Messsignal mit dem zweiten Messsignal zu vergleichen und, wenn ein Betrag einer Abweichung zwischen dem ersten Messsignal und dem zweiten Messsignal einen vorgegebenen Schwellwert unterschreitet, die Steuervorrichtung zu veranlassen, zumindest einer der Trenninstanzen, die das Trennen des jeweiligen getrennten Versorgungspfadsegments bewirken, wieder in einen geschlossen Zustand zu überführen.

D. h. wenn sich während der Kopplung die Spannung in dem weiteren Versorgungspfadsegment VSw der Spannung des ersten Versorgungspfadsegments VS1 beziehungsweise der Spannung des zweiten Versorgungspfadsegments VS2 angleicht, ist davon auszugehen, dass die zugehörige Sicherung korrekt funktioniert und dass der fehlerbehaftete Verbraucher korrekt getrennt wurde, und das weitere Versorgungspfadsegment VSw kann erneut an die erste und/oder zweite Energiequelle E1 , E2 angeschlossen und dauerhaft versorgt werden.

Figur 3 zeigt ein beispielhaftes Ersatzschaltbild eines weiteren Ausführungsbeispiels eines Bordnetzes 100 für ein Fahrzeug.

Im Unterschied zu dem in Figur 1 gezeigten Ausführungsbeispiel weist die Sicherungsvorrichtung 10 eine dritte Trenninstanz T3, eine vierte Trenninstanz T4, ein zusätzliches Versorgungspfadsegment VSz und mehrere fünfte Lastanschlüsse LA5 auf. Das erste Versorgungspfadsegment VS1 ist zusätzlich mit einem ersten Anschluss der dritten Trenninstanz T3 verbunden und das zweite Versorgungpfadsegment VS2 ist zusätzlich mit einem ersten Anschluss der vierten Trenninstanz T4 verbunden. Das zusätzliche Versorgungspfadsegment VSz ist zwischen der dritten und vierten Trenninstanz T3, T4 angeordnet. D. h. es verbindet einen zweiten Anschluss der dritten Trenninstanz T3 und einen zweiten Anschluss der vierten Trenninstanz T4. Die fünften Lastanschlüsse LA5 sind jeweils über eine fünfte Sicherung S5 mit dem zusätzlichen Versorgungspfadsegment VSz verbunden.

Die fünften Sicherungen S5 sind beispielsweise analog zu den dritten Sicherungen S3 ausgebildet und die Steuervorrichtung CU ist ausgebildet, auch die Überwachungssignale der fünften Sicherungen S5 zu empfangen und auszuwerten und die Trenninstanzen T3, T4 geeignet anzusteuern.

Ferner ist die Kopplungseinheit SU zusätzlich ausgebildet, das zusätzliche Versorgungspfadsegment VSz, wenn es zum Beispiel aufgrund eines Kurzschlusses in einer seiner Lasten von dem ersten Versorgungspfadsegment VS1 und dem zweiten Versorgungspfadsegment VS2 getrennt wurde, mit dem ersten und/oder zweiten Versorgungspfadsegment VS1 , VS2 für eine vorgegebene Zeitspanne, insbesondere hochohmig, elektrisch leitend zu verbinden und in der vorgegebenen Zeitspanne ein erstes Messsignal, das repräsentativ ist für eine erste Spannung, die das zusätzliche Versorgungspfadsegment aufweist, und ein zweites Messignal, das repräsentativ ist für eine zweite Spannung, die das erste beziehungsweise des zweite Versorgungspfadsegment VS1 , VS2 bereitstellt, zu erfassen.

Der Vergleicher ist ausgebildet, auch für das zusätzliche Versorgungspfadsegment VSz das erste Messsignal mit dem zweiten Messsignal zu vergleichen und wenn ein Betrag einer Abweichung zwischen dem ersten Messsignal und dem zweiten Messsignal einen vorgegebenen Schwellwert unterschreitet, die Steuervorrichtung CU zu veranlassen, zumindest eine der Trenninstanzen, die das Trennen des zusätzlichen Versorgungspfadsegment bewirken, d. h. die dritte und/oder die vierte Trenninstanz, wieder in einen geschlossen Zustand zu überführen.

Figur 4 zeigt ein beispielhaftes Ersatzschaltbild eines weiteren Ausführungsbeispiels eines Bordnetzes 100 für ein Fahrzeug.

Im Unterschied zu dem in Figur 3 gezeigten Ausführungsbeispiel weist die Sicherungsvorrichtung 10 eine fünfte Trenninstanz T5 auf, die in dem weiteren Versorgungspfadsegment VSw angeordnet ist, so dass das weitere Versorgungspfadsegment VSw von einem dritten und vierten Versorgungspfadsegment VS3, VS4, die über die fünfte Trenninstanz T5 koppelbar und entkoppelbar sind, gebildet wird.

Die dritten Lastanschlüsse LA3 sind beispielsweise jeweils über die dritten Sicherungen S3 mit dem dritten Versorgungspfadsegment VS3 verbunden. Die Sicherungsvorrichtung 10 weist ferner mehrere vierte Lastanschlüsse LA4 auf, die über vierte Sicherungen S4 mit dem vierten Versorgungspfadsegment VS4 verbunden sind.

Die Sicherungsvorrichtung 10 weist beispielsweise eine sechste Trenninstanz T6 auf, die in dem zusätzlichen Versorgungspfadsegment VSz angeordnet ist, so dass das zusätzliche Versorgungspfadsegment VSz von einem fünften und sechsten Versorgungspfadsegment VS5, VS6, die über die sechste Trenninstanz T6 koppelbar und entkoppelbar sind, gebildet wird.

Die fünften Lastanschlüsse LA5 sind beispielsweise jeweils über die fünften Sicherungen S5 mit dem fünften Versorgungspfadsegment VS5 verbunden.

Die Sicherungsvorrichtung 10 weist ferner mehrere sechste Lastanschlüsse LA6 auf, die über sechste Sicherungen S6 mit dem sechsten Versorgungspfadsegment VS6 verbunden sind.

Die vierten und sechsten Sicherungen S4, S6 sind beispielsweise analog zu den dritten Sicherungen S3 ausgebildet und die Steuervorrichtung CU ist ausgebildet, auch die Überwachungssignale der vierten und sechsten Sicherungen S4, S6 zu empfangen und auszuwerten und die Trenninstanzen, insbesondere auch die fünfte und sechste Trenninstanz T5, T6 geeignet anzusteuern.

Die Kopplungseinheit CU ist, wie bereits im Zusammenhang mit Figur 2 und 3 beschrieben, ausgebildet, das jeweilige Versorgungspfadsegment, das zum Beispiel aufgrund eines Kurzschlusses in einer seiner Lasten von den anderen Versorgungspfadsementen getrennte wurde, mit dem ersten und/oder zweiten Versorgungspfadsegment für eine vorgegebene Zeitspanne elektrisch leitend zu verbinden und in der vorgegebenen Zeitspanne ein erstes Messsignal, das repräsentativ ist für eine erste Spannung, die das zusätzliche Versorgungspfadsegment aufweist, und ein zweites Messignal, das repräsentativ ist für eine zweite Spannung, die das erste beziehungsweise des zweite Versorgungspfadsegment bereitstellt, zu erfassen.

Der Vergleicher ist, wie bereits im Zusammenhang mit Figur 2 und 3 beschrieben, ausgebildet, für das jeweilige Versorgungspfadsegment, wenn es getrennt ist, entsprechend das erste Messsignal mit dem zweiten Messsignal zu vergleichen und wenn ein Betrag einer Abweichung zwischen dem ersten Messsignal und dem zweiten Messsignal einen vorgegebenen Schwellwert unterschreitet, die Steuervorrichtung zu veranlassen, zumindest einer der Trenninstanzen, die das Trennen des getrennten Versorgungspfadsegments bewirken, wieder in einen geschlossen Zustand zu überführen.

Bei dem in den Figuren 2 bis 4 gezeigten Beispielen umfassen die ersten bis sechsten Sicherungen einen Trennschalter. Alternativ ist möglich, dass die erste bis sechsten Sicherungen S1 , ... S6 Schmelzsicherungen aufweisen. Ferner ist möglich, dass die ersten bis sechsten Sicherungen S1 , ... , S6 unterschiedlich ausgebildet sind und somit ein Teil der Sicherungen eine Schmelzsicherung und der andere Teil der Sicherungen einen Trennschalter aufweist.

Der jeweilige Trennschalter ist als Halbleiterschalter ausgebildet. Der jeweilige Halbleiterschalter weist vorzugsweise einen Metalloxid-Halbleiter-Feldeffekttransistor (MOSFET) oder mehrere parallelgeschaltete MOSFETs auf. Insbesondere können hierbei n-Kanal-MOSFETs genutzt werden.

Die erste bis fünfte Trenninstanz T1 , ... , T5 und die weitere Trenninstanz Tw weisen ebenfalls einen Halbleiterschalter auf. Der jeweilige Halbleiterschalter weist vorzugsweise einen MOSFET oder mehrere parallelgeschaltete MOSFETs auf.

Zumindest eine der Trenninstanzen T1 , ... T5, Tw, vorzugsweise die fünfte und sechste Trenninstanz T5, T6 weisen zwei MOSETs auf, die antiseriell geschaltet sind. Die zwei MOSFETs können hierbei auch jeweils durch eine Gruppe von parallelgeschalteten MOSFETs gebildet sein. Die Steuervorrichtung CU ist ausgebildet zu veranlassen, wenn eines der Versorgungspfadsegmente (insbesondere das dritte oder vierte oder fünfte oder sechste) von den anderen Versorgungspfadsegmenten getrennt werden soll, dass der MOSFET, dessen Source auf der Seite angeordnet ist, die dem zu trennenden Versorgungspfadsegment zugewandt ist, in einen sperrenden Zustand versetzt wird.

Beispielsweise weist die fünfte Trenninstanz T5 einen ersten und einen zweiten MOSFET auf, die antiseriell geschaltet sind, wobei der erste MOSFET auf der Seite des dritten Versorgungspfadsegments VS3 angeordnet und der erste MOSFET mit seinem Drain mit dem dritten Versorgungspfadsegment VS3 direkt verbunden ist und der zweite MOSFET auf der Seite des vierten Versorgungspfadsegments VS4 angeordnet und der zweite MOSFET mit seinem Drain mit dem vierten Versorgungspfadsegment VS4 direkt verbunden ist. Die Steuervorrichtung CU ist ausgebildet zu veranlassen, wenn das dritte Versorgungspfad VS3 getrennt werden soll, dass zumindest der zweite MOSFET der fünften Trenninstanz T5 hochohmig gestellt und die erste Trenninstanz in einen offenen Zustand überführt wird. Wenn das vierte Versorgungssegment getrennt werden soll, wird zumindest der erste MOSFET der fünften Trenninstanz T5 hochohmig gestellt und die zweite Trenninstanz in einen offenen Zustand überführt wird.

Der jeweilige Halbleiterschalter weist vorzugweise einen oder mehrere Gate-Treiber auf, die von der Steuervorrichtung CU angesteuert werden.

Das Überwachungseinheit MU der ersten bis sechsten Sicherungen S1 , , S6 ist insbesondere jeweils ausgebildet, eine Spannung an dem zugehörigen Lastanschluss und/oder einen Laststrom, der durch die Sicherung fließt zu erfassen. Das Überwachungsmodul MU ist ferner ausgebildet, abhängig von dem erfassten Strom und der erfassten Spannung oder nur abhängig von der erfassten Spannung beziehungsweise dem erfassten Laststrom einen Schaltzustand des Trennschalters der Sicherung zu steuern.

Den Lasten L1 , .... L6 sind insbesondere die folgenden Anforderungsstufen bezüglich der Sicherheitsintegrität zugeordnet: o erste Last -> Anforderungsstufe I o zweite Last -> Anforderungsstufe III oder IV o dritte Last -> Anforderungsstufe II oder III o vierte Last -> Anforderungsstufe II oder III o fünfte Last -> Anforderungsstufe II oder III o sechste Last -> Anforderungsstufe II oder III

Figur 5 zeigt ein beispielhaftes Ablaufdiagramm für ein Programm für eine Steuervorrichtung CU zum Betreiben eines Bordnetzes 100, wie es beispielhaft in Bezug auf die Figuren 2 bis 4 beschrieben ist.

In einem Schritt S01 wird das Programm zunächst gestartet. Den Start des Programms kann beispielsweise das Anliegen eines Überwachungssignal an einem Eingang der Steuervorrichtung CU auslösen. In dem Schritt S01 erfolgt beispielsweise eine Initialisierung von Programmvariablen. In einem Schritt S03 wird ein Überwachungssignal, das von einer der Sicherungen beispielsweise aufgrund eines Fehlers, insbesondere eines Kurzschlussfehlers, bereitgestellt wird, empfangen oder eingelesen und abhängig von dem empfangenen beziehungsweise eingelesenen Überwachungssignal, das signalisiert, dass die Sicherungen einen offenen Zustand aufweist, wird eine oder mehrere der Trenninstanzen derart angesteuert, dass sie einen offen Zustand annehmen und dass das Versorgungspfadsegment, an das die Sicherung angeschlossen ist, die den offenen Zustand signalisiert, von den anderen Versorgungspfadsegmenten, insbesondere von allen anderen Versorgungspfadsegmenten getrennt wird.

In einem Schritt S05 wird beispielsweise ein Schalttransistor der Kopplungseinheit SU angesteuert, so dass die schaltbare Verbindung, die das von dem Fehler betroffene Versorgungspfadsegment und das erste Versorgungspfadsegment VS1 oder das zweite Versorgungspfadsegment VS2 verbindet, für eine vorgegebene Zeitspanne elektrisch leitend verbindet. Die Verbindung ist hierbei hochohmig ausgestaltet, so dass im Vergleich zum eigentlich Laststrom nur ein kleiner Strom fließen kann.

Ferner wird eine erstes Messsignal und ein zweites Messsignal empfangen, die die Kopplungseinheit SU bereitstellt. Das erste Messsignal ist repräsentativ für eine erste Spannung, die das getrennte Versorgungspfadsegment aufweist. Das zweite Messignal ist repräsentativ für eine zweite Spannung, die das erste Versorgungspfadsegment VS1 beziehungsweise des zweite Versorgungspfadsegment VS2 bereitstellt.

In einem Schritt S07 wird das erste Messsignal mit dem zweiten Messsignal, verglichen und, wenn ein Betrag einer Abweichung zwischen dem ersten Messsignal und dem zweiten Messsignal einen vorgegebenen Schwellwert unterschreitet, zumindest eine der Trenninstanzen, die das Trennen des getrennten Versorgungspfadsegments bewirken, wieder in einen geschlossenen Zustand überführt.

In einem Schritt S09 wird das Programm beendet. Alternativ kann das Programm einen Detektionsmodus ausführen, bei dem die Eingänge der Steuervorrichtung CU überwacht werden, um zu detektiere, ob von den Sicherungen S1 , ... , S6 Überwachungssignale gesendet werden. Das Programm kann somit in den Detektionsmodus wechseln. Bezugszeichenliste

1 , 100 Bordnetz

10 Sicherungsvorrichtung cu Steuervorrichtung

E1 erste Energiequelle

E2 zweite Energiequelle

L1 , L2, L3, erste Last, zweite Last, dritte Last, vierte Last, fünfte Last, sechste Last

L4, L5, L6

LA1 , LA2, LA3, erster bis sechster Lastanschluss

LA4, LA5, LA6, MU Überwachungseinheit

S1 , S2, S3, S4, S5, erste bis sechste Sicherung

S6

SU Kopplungseinheit

T1 , T2, T3, T4, T5 erste Trenninstanz bis fünfte Trenninstanz

Tw weitere Trenninstanz

VA1 erster Versorgungsanschluss

VA2 zweiter Versorgungsanschluss

VL1 erste Versorgungsleitung

VL2 zweite Versorgungsleitung

VS1 ,VS2, VS3, erstes, zweites, drittes, viertes, fünftes, sechstes

VS4, VS5, VS6 Versorgungspfadsegment

VSw weiteres Versorgungspfadsegment

VSz zusätzliches Versorgungspfadsegment