用于與安全相關的參量的可信度測試的方法和裝置與流程

本發明涉及一種用于與安全相關的參量的可信度測試的方法，一種用于執行該方法的數據處理單元及一種用于具有該數據處理單元的電動或者混合動力車輛的電變流器。

背景技術：

為了工業應用的又或用于為了終端用戶所生產的產品必須在技術上和功能上如下地設計，使得該產品的使用不會危害人身安全和環境。對于例如由汽車工業供應的車輛而言，在故障的情況下能夠大多數時維持受限地或者無限制的安全使用。至少必須確保安全的停車。為此，在車輛中識別出必須滿足特別的安全技術要求的與安全相關的部件和系統。

這些與安全相關的部件或系統的有故障的功能、不充足的可用性或者完全損壞能夠因此危害人、相關的部件和系統還有過程，使得存在必須進一步考慮的潛在危險。

為了測定人、相關部件和系統及過程在例如工業產品的故障條件下遭受的并且應該經受得起的潛在危險，使用從名稱為Safety Integrity Level(SIL，安全完整性等級)的工業環境中公知的方法。

對于在產品或工業設備中具有潛在危險的部件及系統的規范、設計和運行的基礎形成了名稱為IEC 61508的國際電工委員會(IEC)的標準。

特別對于汽車工業，也就是對于電動或混合動力車輛的發展和使用而言，引入名稱為ISO 26262的汽車標準，該汽車標準通過適當的汽車安全完整性等級(Automotiv Safety Integrity Level，ASIL)代替到目前為止的工業的SIL規范。在此，該方法的基本思想同樣是識別部件及系統的功能并關于可能的危險設置這些功能。ASIL因此特別是根據與安全相關的函數評估危險，該危險能夠在車輛中有干擾的情況下出現并且對駕駛員和交通參與者的安危有影響。

該ASIL方法具有四個危險等級。ASIL危險等級標識為A、B、C和D。每個危險等級相對于前一個危險等級確定一個高十倍的危險潛力。當ASIL-A具有最小的危險等級時，ASIL-D因此相對于ASIL-A具有高一萬倍的危險潛力。

用于電動或混合動力車輛的、借助ASIL方法識別和評估的與安全相關的函數需要用于執行該函數的多數時多個外部的和內部的參數，該函數例如以控制函數的形式在電驅動系統的變流器中實施，該參數不僅源于測量的還源于計算的參量。

因此，這些由與安全相關的函數處理或產生的、測量的或計算的參量是與安全相關的參量并且必須同樣借助ASIL方法進行評估。在該聯系中不重要的是，與安全相關的參量是否具有物理的基礎或者是否擁有另外的、例如僅是數學的基礎。

對于結合通過ASIL分級的與安全相關的函數應用與安全相關的參量而言決定性的是，必須對用于相應地確定的或所要求的ASIL危險等級、此外也稱為安全級或ASIL級別的與安全相關的參量進行鑒別和可證明的檢驗、也就是進行可信度測試的必要性。

例如如果需要應該相應于ASIL等級D的要求的與安全相關的參量，但是到目前為止僅僅滿足ASIL等級A的要求，必須實施措施，以便該與 安全相關的參量符合更高的ASIL等級的要求。這意味著，對應于更高的ASIL等級的與安全相關的參量能夠用于以下與安全相關的函數，該函數的可能的故障與更高的潛在危險相關。

因此為了使與安全相關的參量能夠從低安全級提高到更高的安全級，通常執行與安全相關的參量的可信度測試，其中為此使用特別的可信度測試規則。

可信度測試規則能包括的是，對于更高的安全級別而言必須實現對于與安全相關的參量的不是一次測量而是至少兩次或者更多次不相關的測量。借助公知的評估方法能夠實現有效的證明，該與安全相關的參量是否能夠用于更高安全級的要求。例如在三次不相關的測量中，公知的評估方法能夠使用“三選二”的選擇，根據該評估方法對于與安全相關的參量而言在否定一次測量時也還能夠滿足更高安全級的要求。

當必須持續對與安全相關的參量進行多次測量時，當然不能忽視技術的和企業經濟的花費。因此，通過采用大量合適的測量點也能夠清楚地識別對維護措施的需要。

用于與安全相關的參量的測定和可信度測試的另外的可行性是計算與安全相關的參量，特別是在引用一個或多個附加的已經符合更高的安全級的要求的與安全相關的參量的情況下。這些附加的與安全相關的參量與還需要可信度測試的與安全相關的參量處于物理的以及數學的關聯中，并且借助技術的事實來允許到更高的安全級別的變換。

如果與安全相關的參量按照公知的方法對于更高的安全級別通過了可信度測試，然而這僅借助該變換通過該與安全相關的參量的在運行時一直時間上連續的可信度測試來實現。如果多個互相處于上述的關聯中的與安全相關的參量應該盡可能在相同時間進行可信度測試并提高到更高的安全級別，借助多個相應地平行運行的變換實現該可信度測試，其中在時 間上平行地調用和執行為此設計的軟件函數及相應的硬件功能。該平行運行的、時間連續的、軟件函數形式的可信度測試函數經常產生持久的高的計算負荷，其中也要考慮適當的硬件的花費。

技術實現要素：

本發明的目的在于，提供一種方法以及一種適合用于執行該方法的數據處理單元，借助該數據處理單元測試與安全相關的參量達到更高的安全級的可信度，其中至少減少需要可信度測試的與安全相關的參量的多次測量和/或明顯減輕用于與安全相關的參量到達更高的安全級的可信度測試的計算負荷。

本發明基于以下認知，通過到目前為止公知的、用于與安全相關的參量的測定和可信度測試的方法，只能將每次所調用和執行的時間連續的計算函數的多個需要的與安全相關的參量中的一個提高到更高的安全級，該與安全相關的參量設置用于達到更高的對于相應的ASIL規范的安全級。因此在多個與安全相關的參量有盡可能時間相同的可信度測試時，由于分別在時間上執行的大量的對于每個需要可信度測試的與安全相關的參量的計算函數可能產生計算負荷，該計算負荷能夠對處于運行中的與安全相關的部件或系統的性能具有不利作用。為了避免這種情況，到目前為止經常援引對每個與安全相關的參量的多次測量，與安全相關的參量然后例如通過已提及的“三選二”的選擇的評估方法對于更高的安全級而言測試可信度。

為了實現該目的而提出一種用于與安全相關的參量的可信度測試的方法，其中，提供第一與安全相關的參量和至少一個另外的與安全相關的參量，其中，第一與安全相關的參量和另外的與安全相關的參量彼此關聯并且分別設置成從低安全級提高到更高的安全級，其中，借助第一可信度測試規則在節拍的周期的第一時間段中執行第一與安全相關的參量的可信度測試，以及在節拍的周期的第一時間段期間當該可信度測試成功時， 將第一與安全相關的參量從低安全級提高到對于與安全相關的參量的更高的安全級，并且其中，借助另外的可信度測試規則在節拍的周期的第二時間段中執行另外的與安全相關的參量的可信度測試，以及在節拍的述周期的第二時間段期間當可信度測試成功時將另外的與安全相關的參量從低安全級提高到對于另外的與安全相關的參量的更高的安全級。

借助根據本發明的方法的需要可信度測試的與安全相關的參量通常互相物理地關聯。所以，第一與安全相關的參量能夠借助物理公式或數學關聯從另外的與安全相關的參量中推導或推論得出，并且反之亦然。這種相互的關聯因此從技術上激勵的事實和相伴的技術環境中得出。

如下地應用這種第一與安全相關的參量與另外的與安全相關的參量彼此關聯的環境，即借助第一可信度測試規則從節拍的周期的第一時間段開始就將第一與安全相關的參量提高到更高的安全級，其中，另外的與安全相關的參量參與到該第一可信度測試規則中。如果來自第一可信度測試規則的結果符合所要求的更高的安全級的要求，那么在節拍的周期的第一時間段內的第一與安全相關的參量的可信度測試是成功的。因此在周期的第一時間段內將第一與安全相關的參量從低安全級提高到更高的安全級，因此將第一與安全相關的參量關于更高的安全級方面評估為有效。

參照該方式，將根據本發明的方法應用到另外的與安全相關的參量的可信度測試上，其中，在可信度測試成功時在此借助另外的可信度測試規則在節拍的周期的第二時間段中將另外的與安全相關的參量同樣從低安全級提高到更高的安全級。在此，第一與安全相關的參量參與到另外的可信度測試規則中。

對于根據本發明的方法需要考慮的是，另外的與安全相關的參量首先在周期的第二時間段期間能夠進行可信度測試，而第一與安全相關的參量在周期的第一時間段期間能夠進行可信度測試。根據本發明的方法的特征 也能夠表示為在節拍的周期內對與安全相關的參量的時間上不連續的交叉可信度測試。

對于第一和另外的與安全相關的參量的可信度測試的按順序進行，如下地選擇周期的這兩個時間段，即提供用于執行相應的可信度測試的充足的時間。然而對于與安全相關的部件或系統而言還必須能夠使用充足的、用于處理提高到更高的安全級的與安全相關的參量的時間，直到與安全相關的參量的下一個值被確定并進行可信度測試為止。

實際上完全時間同步地提供多個與安全相關的參量可能只在很少的情況中是必要的，因此在大多數與安全相關的應用中，對于相應地需要可信度測試的與安全相關的參量的很小的時間偏移是及格的。

根據本發明的方法有利地顯示了，能夠放棄用于與安全相關的參量的可信度測試的平行的方法步驟，如從到目前為止的可信度測試方法中所公開的方法步驟那樣。也能夠進一步減少用于一個與安全相關的參量的經常使用的多次測量。因此，原則上交叉地和時間上不連續地執行與安全相關的參量的可信度測試。

在根據本發明的方法的第一個有利的設計方式中，可信度測試規則分別具有計算函數，借助該計算函數來執行與安全相關的參量的到更高的安全級的可信度測試。

相應的可信度測試規則的計算函數援引根據技術事實所必要的物理公式或數學關聯，借助其能夠測定與安全相關的參量并此外對其進行可信度測試。例如如果應該在周期的第一時間段對第一與安全相關的參量進行可信度測試，那么在該時刻沒有進行可信度測試的另外的與安全相關的參量也參與到第一可信度測試規則的計算函數中。同樣能夠相應配合地適用的是，第一與安全相關的參量參與到用于另外的可信度測試規則的計算函 數，該另外的可信度測試規則用于在周期的第二時間段中測定另外的與安全相關的參量和對其進行可信度測試。

作為根據本發明的方法的有利的設計方式，除了與安全相關的參量外，至少一個附加的計算參量參與到可信度測試規則的計算函數中。

該附加的計算參量能夠是已經測試了可信度的與安全相關的參量，但也能是系統內部的例如是變流器效率的常量或者參數，在該常量或者參數的基礎之上能夠測定需要可信度測試的與安全相關的參量并能夠根據可信度測試規則進行可信度測試。

作為根據本發明的方法的另外的有利的設計方式，借助于節拍的周期的重復而多次執行該方法。

現在循環地測定與安全相關的參量，在可信度測試成功時提高到更高的安全級，并因此更新地用于與安全相關的部件和系統的例如控制或調節系統。

根據本發明的方法的實施例，如下地選擇節拍的周期的周期時長，即不超過用于需要監控的安全事件的等待時間，在該周期時長內相應地執行第一與安全相關的參量的和另外的與安全相關的參量的可信度測試和第一與安全相關的參量的和另外的與安全相關的參量的從低安全級到更高的安全級的提高。

在監控用于產品的與安全相關的部件或系統的安全事件時，經常計算表征了該安全事件的、需要監控的參量。例如對于安全事件、即需要監控的大多數為物理參量的安全事件的監控可能是對超出電驅動系統的最大功率或最大轉矩的監控。

不僅第一與安全相關的參量，之前在節拍的相應周期時長中必須可信地從低安全級到更高的安全級的、另外的與安全相關的參量也能夠參與到 該計算中。根據ASIL方法的和技術事實的要求，此時等待時間確定對安全事件的通常的循環監控的時間間隔，而需要監控的參量的實際變化對應用的安全至少沒有不利影響。

現在起，將第一與安全相關的參量以及另外的與安全相關的參量在小于等待時間的時間間隔內進行測定并對于相應更高的安全級進行可信度測試，以及執行對安全事件的需要監控的參量的監控。由于所述的動作而在時間上超過等待時間能夠危害安全事件的監控并因此導致危害應用的與此相關的安全性。

根據本發明的方法的一個有利的設計方式如下地執行，節拍的周期的第一時間段和節拍的周期的第二時間段具有相同的時長，而根據本發明的方法的另一個有利的設計方式顯示的是，節拍的周期的第一時間段和節拍的周期的第二時間段具有不同的時長

兩個所述的有利的設計方式實現了對于相應的時間需求的靈活的時間調整，該時間需求用于執行根據本發明的方法的兩個可信度測試規則。如果兩個可信度測試規則中的一個比另一個需要更多的時間，這能夠借助在節拍的周期內的兩個時間段的移動有利地實現。

根據本發明的方法包括另外的設計方式，其中，第一可信度測試規則和/或另外的可信度測試規則具有用于確定可信度測試成功的比較操作，該比較操作將要從低安全級提高到更高的安全級的與安全相關的參量與所提供的但還沒有借助可信度測試規則測試可信度的與安全相關的參量進行比較。

該比較操作是可信度測試規則的一部分，并且例如將測量值與在可信度測試規則內部計算出的與安全相關的參量進行比較，該測量值代表了在與安全相關的參量的可信度測試之前的相應的與安全相關的參量。如果該比較得出了在預先確定的公差之內的可接受的偏差，那么該與安全相關的 參量最后是可信的并且提高到更高的安全級。可信度測試規則的與此相關的補充提高了可信度測試的質量或有效性。

為了實現該目的還提出了一種用于執行根據本發明的方法的數據處理單元，該數據處理單元具有用于接收第一與安全相關的參量的第一輸入端，用于接收至少一個另外的與安全相關的參量的至少一個另外的輸入端，用于接收至少一個附加的計算參量的至少一個附加的輸入端，用于輸出測試了可信度的并且提高到更高的安全級的第一與安全相關的參量的第一輸出端，和用于輸出測試了可信度的并且同樣提高到更高的安全級的另外的與安全相關的參量的至少一個另外的輸出端。

為了實現該目的，同樣提出了一種用于具有根據本發明的數據處理單元的電動或者混合動力車輛的電變流器。

電動或者混合動力車輛的概念也包括僅僅或部分地電驅動的飛行器和軌道車輛。特別是由于越來越多地應用ASIL方法，通過大量革新技術的解決方案所驅動的、電動或者混合動力車輛中的電變流器也越來越需要更高的安全技術水平，通過根據本發明的數據處理單元明顯地支持該安全技術水平，根據本發明的方法借助該數據處理單元來執行。

在第一實施例中，該電變流器是用于在高壓直流電壓電路和低壓直流電壓電路之間轉換直流電壓的直流電壓轉換器。

該直流電壓轉換器在電動或者混合動力車輛中在不同的使用方面有所應用。這些應用遍及從通信的和車載電網的任務到所述的在直流電壓電路之間的電力電子的能量轉換。

在另外的實施例中，根據本發明的電變流器是用于運行電機的驅動變流器。

作為根據本發明的電變流器的實施方式，該驅動變流器在此具有在高壓直流電壓電路和低壓直流電壓電路之間轉換直流電壓的直流電壓轉換器。

附圖說明

本發明所實現的上述特性、特征和優點及方式和方法聯系以下實施例的說明變得更清楚易懂，該實施例聯系附圖詳細地進行闡述。其示出：

圖1示出具有示例性地選出的與安全相關的參量的、在高壓直流電壓電路和低壓直流電壓電路之間電連接的直流電壓轉換器的示意圖，

圖2示出根據本發明的方法的示意圖，借助該方法測試選出的與安全相關的參量達到更高的安全級的可信度，

圖3示出用于執行根據本發明的方法的數據處理單元的示意圖，

圖4示出具有電變流器的電動或者混合動力車輛的第一示意圖，該電變流器是根據圖1的直流電壓轉換器并且具有根據圖3的數據處理單元，以及

圖5示出具有電變流器的電動或者混合動力車輛的另外的示意圖，該電變流器是驅動變流器并且具有根據圖1的直流電壓轉換器和根據圖3的數據處理單元。

具體實施方式

圖1中示出的在高壓側的儲能器25的高壓直流電壓電路13和在低壓側的儲能器26的低壓直流電壓電路14之間電連接的直流電壓轉換器22的示意圖是闡述電參量的適當的實例，該電參量能夠表明與安全相關的部 件或系統的物理特征并且能夠根據ASIL方法作為用于安全性函數的與安全相關的參量被識別和評估。

在此，示例性地至少將高壓側的直流電流I-HV和低壓側的直流電流I-LV識別為圖1中的與安全相關的參量，其中必要時也能夠將高壓側的直流電壓U-HV和低壓側的直流電壓U-LV在該意義上進行評估。在用于電變流器20、也就是在此示出的直流電壓轉換器22的可靠的控制和調節函數的應用情況或類似情況中，經由計算算法或測量來測定這些數值。

識別為與安全相關的參量的直流電流I-HV，I-LV具有電的、也就是物理的關聯。雖然已經經由必要的測量或預先的計算測定了直流電流I-HV，I-LV中的至少一個，但是對于更高的安全級而言還沒有對兩個直流電流I-HV，I-LV測試可信度。

借助附加的已知參量，如高壓側的直流電壓U-HV、低壓側的直流電壓U-LV、和直流電壓轉換器22的電效率η，以及另外的計算參量，如高壓側的功率P-HV(在此為直流電壓轉換器22的輸入功率)和低壓側的功率P-LV(在此為直流電壓轉換器22的輸出功率)，能夠如下地在數學上描述該關聯：

-P-HV＝U-HV*I-HV

-P-LV＝P-HV*η

-I-LV＝P-LV/U-LV

因此，借助可能與安全相關的和已經通過可信度測試達到更高的安全級的已知參量U-HV，U-LV，η，在原則上能夠使用這兩個示例性地識別為與安全相關的參量的直流電流I-HV，I-LV的所示關聯，以便對直流電流I-HV，I-LV的與安全相關的參量進行測定、分別測試可信度并因此同樣提高到更高的安全級。

圖2中的示意圖此時能夠詳細地得出，如何借助根據本發明的方法來執行已在圖1中直流電壓轉換器20的實例中識別為與安全相關的參量1，2的直流電流I-HV，I-LV的可信度測試5，5a，5b，應該分別測試該直流電流從低安全級3達到更高的安全級4的可信度。

借助圖2示出了，預設有節拍7，該節拍交替地接收具有高節拍水平T_HIGH和低節拍水平T_LOW的狀態。這兩個節拍水平T_HIGH，T_LOW總體上在時間上對應于周期6，其中在施加高節拍水平T_HIGH時運行周期6的第一時間段9并在施加低節拍水平T_LOW時運行周期6的第二時間段11。這兩個時間段9，11整體給出節拍7的周期6的周期時長12。

如果根據本發明的方法例如以施加的節拍7的高節拍水平T_HIGH開始，在周期6的第一時間段9中借助第一可信度測試規則8測試目前為止分配給低安全級3的第一與安全相關的參量1的可信度。第一可信度測試規則8大多數以計算的方式進行，如同這在用于圖1的說明中示出的那樣。附加的計算參量28也能夠參與到計算函數中。

為了更好地理解，將可信度測試5的總事件再次細分為第一與安全相關的參量1的可信度測試5a和另外的與安全相關的參量2的可信度測試5b。

如果第一與安全相關的參量1在可信度測試5a開始之前例如作為測量的測量值存在，那么該原始測量的值能夠與在執行第一可信度測試規則8期間計算出的第一與安全相關的參量1進行比較，并且在比較成功時最后將該測量值作為與安全相關的參量1提高到更高的安全級4。

如果在第一與安全相關的參量1的需要比較的值之間不產生大于預設的公差范圍的偏差，那么該比較通常是成功的。

對于第一與安全相關的參量1而言，可信度測試5a必須在節拍7(高節拍水平T_HIGH)的周期6的第一時間段9內結束。

如同在第一與安全相關的參量1到更高的安全級4的可信度測試5a中那樣，一旦施加節拍7的低節拍水平T_LOW，從此時起能夠執行還處在低安全級3的另外的與安全相關的參量2的可信度測試5b。在節拍7的周期6的第二時間段11中，借助另外的可信度測試規則10測試另外的與安全相關的參量2達到更高的安全級4的可信度。這與第一與安全相關的參量1的可信度測試5a類似地同樣大多數以計算的方法進行，如同在圖1的說明中已經示例性地示出的那樣。在此，附加的計算參量28也能夠參與到計算函數中。

可行的是，借助比較將可能在可信度測試5b之前已經測定的、但還處在低安全級3因此還沒有測試可信度的另外的與安全相關的參量2與在另外的可信度測試規則10期間計算的另外的與安全相關的參量2進行比較，并且在比較成功時最后將其作為另外的與安全相關的參量2提高到更高的安全級4。

如已經說明的那樣，如果在另外的與安全相關的參量2的需要比較的值之間不產生大于預設的公差范圍的偏差，那么該比較通常是成功的。

因此，另外的與安全相關的參量2的可信度測試5b必須在節拍7(低節拍水平T_LOW)的周期6的第二時間段11內結束。

如果需要在節拍7的周期6中提高到更高的安全級4的第一和另外的與安全相關的參量1，2，以便在等待時間27中對安全事件的安全函數進行驗證或可信度測試，那么相應的與安全相關的參量1，2的可信度測試5a，5b必須在節拍7的周期6的周期時長12內結束。同樣必須最后評估在引用測試了可信度的與安全相關的參量1，2的情況下需要檢驗的安全函數。

因此存在的要求是，對于兩個待測試可信度的與安全相關的參量1，2的周期時長12不得超過與安全事件相關的安全函數的等待時間27。

圖3中示意性示出數據處理單元19，借助該數據處理單元執行根據本發明的方法，也就是借助可信度測試規則8，10實施與安全相關的參量1，2的可信度測試5，5a，5b。

數據處理單元19具有用于接收還處在低安全級3的第一與安全相關的參量1的第一輸入端15，用于接收還處在低安全級3的另外的與安全相關的參量2的第二輸入端16，和用于接收至少一個附加的計算參量28的附加的輸入端29。

數據處理單元19還具有用于輸出處在更高的安全級4的第一與安全相關的參量1的第一輸出端17，和用于輸出處在更高的安全級4的另外的與安全相關的參量2的第二輸出端。

圖4中示出具有電變流器20的電動或者混合動力車輛21的第一示意圖，其中電變流器20具有根據圖1的直流電壓轉換器22和根據圖3的數據處理單元19。

直流電壓轉換器22在電動或者混合動力車輛21中經常多次使用，并且對于不同的直流電壓平臺的轉換是需要的。如開頭所述，直流電壓轉換器大多數情況下也是與安全相關的部件或系統的部分，或者表示這種與安全相關的部件或系統本身。圖4中設置有直流電壓轉換器22，其用于在高壓直流電壓電路13和低壓直流電壓電路14之間執行直流電壓U_HV，U_LV的轉換。

圖5中示出具有電變流器20的電動或者混合動力車輛21的另外的示意圖，其中該電變流器20實施為驅動變流器23，借助其能夠運行電機24。 驅動變流器23具有根據圖1的直流電壓轉換器22和根據圖3的數據處理單元19。

在驅動變流器23內部設置有直流電壓轉換器22，以便在高壓直流電壓電路13和低壓直流電壓電路14之間執行直流電壓U_HV，U_LV的轉換。

在圖5的實施例中，數據處理單元19設置作為驅動變流器23內部的獨立的與安全相關的部件，并且其在這種情況下對于所要求的與安全相關的參量或附加的計算參量的數據交換具有與直流電壓轉換器22的附加的連接。在此，也已經在圖4中示出的、數據處理單元19到直流電壓轉換器22中的集成是完全有意義和可行的。