用于安全设计交流电池的方法和系统与流程

1.本发明涉及一种用于安全设计交流电池的方法，电动车辆的牵引系统藉由该交流电池被供电。还提出一种在其上实施该方法的系统。


背景技术：

2.在电动车辆中使用交流电池来向牵引系统供应能量，其中通过连续交替连接直流电压源来产生用于向牵引机器供应交流电的一个或多个相。在发生故障(例如在交流电供应期间线缆断裂)的情况下，必须将牵引系统置于安全的状态。例如可以由牵引系统的控制器(尤其交流电池的控制器)藉由布置在牵引系统内以中断或闭合各个部件之间的电连接的接触器来实施这样的目的。
3.在文献us 2017/005371 a1中描述了用于储存供电动车辆使用的能量的系统和方法。系统包括电池串，这些电池串能够藉由相应的可控开关彼此独立地与车辆电源连接。
4.美国文献us 2018/0134279 a1包括一种电池控制模块和控制器。电池控制模块以规则的时间间隔输出电池的荷电状态，而在没有荷电状态通知的情况下，控制器被配置成将电池与电驱动传动系之间的功率流限制为极限值。在此，根据所估计的荷电状态得出该极限值。
5.文献us 2017/0120770 a1公开了用于在负载下中断电池与牵引系统之间的供电的系统和方法。该系统具有至少一个接触器，为此可以使该至少一个接触器断开。
6.在电动车辆运行期间，可能需要牵引系统的各种运行状态，这就需要交流电池、牵引机器以及外围接口的不同互连。根据牵引系统的部件的相应的硬件互连、危险和风险分析以及功能上的安全规定，相应的运行状态产生对接触器和电池模块的操控要求，为此需要进行安全设计。


技术实现要素：

7.在此背景下，本发明的目的在于，提出一种用于安全设计交流电池的方法，其中在要求中断交流电池对牵引机器的功率提供的情况下，将交流电池置于安全的状态。还应提出一种在其上实施该方法的系统。
8.本发明的目的通过下述1和6的主题来实现，下述2-5和7-10为本发明的优选技术方案：
9.1.一种用于安全设计交流电池的方法，其中该交流电池包括：中央控制器；被布置在至少一个串中的多个电池模块，该多个电池模块各自具有带有多个开关状态的功率电路板；多个接触器；多个电流传感器；故障环路；以及高速总线；并且该交流电池与牵引机器相连接，其中该中央控制器具有硬件可编程的处理器单元，其带有至少一个微处理器核，在该硬件可编程的处理器单元上配置控制程序以操控这些电池模块、该多个接触器以及该故障环路，其中通过该控制程序来实现状态机，其中从该中央控制器开始，将这些电池模块通过该高速总线与该故障环路连接，其中在识别出中止故障的情况下，由该中央控制器将该交
流电池置于安全的运行状态，其方式为该中央控制器通过该高速总线来请求每个电池模块实现开关状态“旁路”，其方式为每个接触器占据相应的安全开关位置并且其方式为最终执行切断该中央控制器。
10.2.根据前述1所述的方法，其中在存在来自以下列表的事件的情况下得出该中止故障：断线、故障环路触发、与该中央控制器相连接的can总线预先确定错误的运行状态。
11.3.根据前述之一所述的方法，其中将电流传感器和带有微处理器的模块控制器布置在每个电池模块中，并且其中在识别出该中止故障的情况下，由该模块控制器将该触发提供给该故障环路。
12.4.根据前述之一所述的方法，其中该交流电池具有来自以下列表的至少一个外围单元，其中将该至少一个外围单元与该故障环路连接并且在识别出该中止故障的情况下，由该至少一个外围单元将该触发提供给该故障环路：低压直流电压转换器、用于该牵引机器的各个相电流的电流传感器、充电插头。
13.5.根据前述之一所述的方法，其中将fpga选择为该硬件可编程的处理器单元并且该状态机由该至少一个微处理器核上的控制程序来实现。
14.6.一种用于安全设计交流电池的系统，其中该交流电池包括：中央控制器；被布置在至少一个串中的多个电池模块，该多个电池模块各自具有带有多个开关状态的功率电路板；多个接触器；多个电流传感器；故障环路；以及高速总线；并且该交流电池与牵引机器相连接，其中该中央控制器具有硬件可编程的处理器单元，其带有至少一个微处理器核，在该硬件可编程的处理器单元上配置有控制程序以操控这些电池模块、该多个接触器以及该故障环路并且通过该控制程序实现状态机，其中从该中央控制器开始，这些电池模块通过该高速总线与该故障环路相连接，其中该中央控制器被配置成使得在识别出中止故障的情况下将该交流电池置于安全的运行状态，这包含了：通过该高速总线来请求每个电池模块实现开关状态“旁路”、在每个接触器中指示各自的安全开关位置、并且最终执行切断该中央控制器。
15.7.根据前述6所述的系统，其中在来自以下列表的事件的情况下存在该中止故障：断线、故障环路触发、与中央控制器相连接的can总线预先确定错误的运行状态。
16.8.根据前述6或7之一所述的系统，其中电流传感器和带有微处理器的模块控制器被布置在每个电池模块中，并且其中该模块控制器被配置成使得在识别出该中止故障的情况下将该触发提供给该故障环路。
17.9.根据前述6至8之一所述的系统，其中该交流电池具有与故障环路相连接的、来自以下列表的至少一个外围单元，其中该至少一个外围单元与该故障环路相连接并且该至少一个外围单元被配置成使得在识别出该中止故障的情况下将该触发提供给该故障环路：低压直流电压转换器、用于该牵引机器的各个相电流的电流传感器。
18.10.根据前述6至9之一所述的系统，其中该硬件可编程的处理器单元是fpga并且该状态机是通过该至少一个微处理器核上的控制程序实现的。
19.为了实现上述目的，提出一种用于安全设计交流电池的方法，其中该交流电池与牵引机器相连接；并且该交流电池包括：中央控制器；被布置在至少一个串中的多个电池模块，该多个电池模块各自具有带有多个开关状态的功率电路板；多个接触器；多个电流传感器；故障环路；以及高速总线。该中央控制器具有硬件可编程的处理器单元，其带有至少一
个微处理器核。在该硬件可编程的处理器单元上配置控制程序以操控这些电池模块、该多个接触器以及该故障环路。在此，通过该控制程序来实现状态机，其中从该中央控制器开始通过该高速总线将这些电池模块与该故障环路连接。在识别出中止故障的情况下，由该中央控制器将该交流电池置于安全的运行状态，其方式为该中央控制器通过该高速总线来请求每个电池模块实现开关状态“bypass(旁路)”，使每个接触器占据相应的安全开关位置并且使得最终执行切断该中央控制器。请求每个电池模块占据开关状态“bypass”和请求每个接触器实现各自的安全开关位置可以同时进行，这是因为对每个电池模块的请求和对占据开关状态“bypass”的请求例如在微秒范围内发生并且接触器操控例如在大于10毫秒的时间范围内进行。然后状态机保持在安全的运行状态下并且只有借助于重启才可以实现退出这种安全的运行状态。由此有利地考虑了功能上的安全规定。
20.中止故障是交流电池中的事件，当存在该事件时，交流电池与其部件必须立即过渡到安全的状态。
21.硬件可编程的处理器可以有利地被充分测试，从而使得能够通过一系列测试提前排除错误的操控。借助于此，根据本发明的方法在任何时间点都将相应的接触开关状态(即断开或闭合)可靠地分配给牵引系统的相应的运行状态，并且由此满足通过危险和风险分析以及功能上的安全性对受控的牵引系统提出的所有安全要求。
22.针对相应的接触器，能够有差别地提供相应的安全开关位置。因此，在所谓的aks接触器(即用于牵引机器的主动短路的接触器)的情况下，在闭合的开关位置(本领域技术人员还称其为“常闭”或“断开触点”)提供安全开关位置，以短暂地使牵引机器的相闭合。相比于此，电池模块串与充电接口之间的接触器的安全开关位置意味着断开的开关位置，以便中断电连接。
23.尤其对于操控必须在时间上并且取决于相应的运行状态进行协调的多个接触器，根据本发明的方法的编程相关的硬件实施方式是有利的，这是因为在状态机中与以编程相关方式控制的总体车辆系统和/或以编程相关方式控制的交流电池的适配对于例如具有串联和并联连接的模块式多电平变换器(其例如是在goetz,s.m.；peterchev,a.v.；weyh,t.,"modular multilevel converter with series and parallel module connectivity:topology and control(具有串联和并联模块连接的模块式多电平变换器：拓扑和控制)",power electronics,ieee transactions on,vol.30,no.1,pp.203,215,2015.doi:10.1109/tpel.2014.2310225中描述的)而言能够简单地、不复杂地并且纯粹地以编程相关方式进行。
24.在相应的电池模块中，开关状态“bypass”意味着：将相应的功率电路板的开关切换成使得当电流流过相应的电池模块接口时绕过被布置在相应的电池模块中的相应的能量储存元件。更准确地说，在具有两个输入接口和两个输出接口的相应电池模块的设计方案中还存在如下两种可能性来实现开关状态“bypass”，在此被称作“bypass ”和“bypass
‑”
。在“bypass ”中，在相应电池模块的这两个输入接口与输出接口之间的分配中保留极性，而在“bypass
‑”
中该极性被调换。现在，除了绕过相应能量储存元件之外，开关状态“bypass”意味着：所有的电池模块被连接成“bypass
‑”
或“bypass ”，或者所有电池模块并联连接并且仅牵引机器旁边的电池模块(每个相或模块串)被连接成“bypass
‑”
或“bypass ”。
25.在根据本发明的方法的实施方式中，在存在来自以下列表的事件的情况下得出中止故障：断线、故障环路触发、与中央控制器相连接的can总线预先确定错误的运行状态。
26.相应的运行状态例如可以从以下列表选择：“idle(空闲)”或休息状态、电机运行、直流电压充电、交流电压充电、关断。运行状态“idle”是安全的状态，即，已经存在通过接触器实现的主动短路。如果由can总线预先设定错误的运行状态，则向can总线报告错误消息并启动所谓的“soft shutdown(软停机)”，即软关机。然而还可以实现的是，将这个过程处理成正常错误(运行保护)。
27.在所谓的“quickstop(快速停止)”的情况下达到的安全的运行状态只能从运行状态“motor-aus(电机关断)”来实现。这些运行状态之间的可能转换条件是：例如第一，电机控制装置的扭矩规定已经失效(监测can消息)；或者例如第二，电机控制装置不能达到所要求的扭矩或所要求的转速，这例如是因为电机控制装置忽略了预先设定的界限，其中这仅在短暂的时间范围上是可容忍的并且然后立即启动“quickstop”。在此，“quickstop”与零扭矩控制相对应。无需用户额外地干预状态机中的指令链。
28.为了在达到交流电池的安全的运行状态之后恢复行驶运行，首先必须将电机控制装置调为扭矩的零值，即零扭矩。在这种情况下，由交流电池供电的牵引机器上不再存在扭矩并且电动车辆达到静止状态。为了从“quickstop”返回至运行状态“motor(电机)”，必须满足以下所有条件：第一，电机控制装置的相应的输入参数必须在相应适用的范围内；第二，必须存在电机控制装置的can消息；第三，车辆速度必须为零；以及第四，不允许触发所谓的致命错误(irq)。
29.在根据本发明的方法的实施方式中的重要功能在此在中央控制器中由通过高速总线通信的、控制指令的相应子程序(下文称为hsb_cmd_tx)承担。hsb_cmd_tx例如被实施为以vhdl编程的ip-core(ip核)并且在硬件可编程的处理器单元上被实施。因此hsb_cmd_tx监测故障环路可能出现的指示中止故障的触发。触发例如可以是通过故障环路中的电压降来指示的，例如通过中断(使开关断开)在无故障的情况下具有电压的故障环路，其中开关由传感器控制。为此，hsb_cmd_tx为硬件可编程的处理器单元提供针对故障环路的输入。此外，hsb_cmd_tx可以为硬件可编程的处理器单元提供用于进一步监测的触发信号输入和/或提供用于至少一个微处理器核的软件界面作为另外的触发输入。如果上述触发信号输入之一指示中止故障，则可能在hsb_cmd_tx的广播信息中(给所有的电池模块)设置所谓的中止故障位，使得所有电池模块同时变换到开关状态“bypass”。如果在电池模块的多个串中的各个串(例如三相电流的情况下三个串)中发生中止故障，则由此指示如下机制，即：如何能够在所有串中将各个串中的中止故障反映给交流电池的安全的运行状态。相反，微处理器核上的中断也导致与发生中止故障的情况下相同的行为并且交流电池被转换至安全的运行状态，其中例如在微处理器核上实现的状态机也被控制成故障状态并且被确保不被再次接通，因此需要重启。
30.在发生中止故障的情况下，中央控制器可能出现如下情景：将广播消息“bypass”发送至所有的电池模块。这有利地意味着，通过广播消息“bypass”将相应的开关位置同时传输至所有的电池模块，即，使得由此所有的电池模块被连接成“bypass
‑”
或“bypass ”，或者所有的电池模块并联连接并且仅牵引机器旁边的电池模块(每个相或模块串)被连接成“bypass
‑”
或“bypass ”。使处于交流电池的串与牵引机器之间的连接的接触器断开(以使
交流电池从牵引机器解耦)并且为此在时间上延迟地使aks接触器闭合。在状态机中，实现状态“motor-fehler(电机故障)”，该状态表示紧急切断过程之后的最终状态。仅能够通过用于关机的指令来退出这种状态，以便接着通过用户干预用power-on-reset(上电复位)指令来强制重启。用户干预例如是通过can发出的停机信号。
31.在根据本发明的方法的其他实施方式中，中央控制器的内在安全性在以下情景中得以实现，其中
32.·
输入信号要求立即关机；
33.·
零扭矩被错误地报告；
34.·
根据对故障环路的检测推断出中止故障；
35.·
由相电流的测量传感器将中止故障输出至牵引机器；
36.·
通过对至少两个测量传感器(例如用于牵引机器的电流传感器)的合理性检查来输出中止故障；
37.·
通过额外布置的直流电转换器来输出中止故障；
38.实现使牵引系统关机。
39.在根据本发明的方法的其他实施方式中，中止故障被如下地定义，即：
40.·
所有电流传感器都失效；
41.·
除了一个电流传感器，所有电流传感器都失效；
42.·
与相电流有关的至少一个安全装置触发；
43.·
在牵引机器中测量转子的旋转角度的解析器是有缺陷的，或者根据该解析器的信号得出错误的转子位置，这进而通过合理性监测是可被确定的或者被确定；
44.·
相应的相电流处于允许的范围之外(例如由于断线)；
45.·
用于牵引机器的功率流处于允许的范围之外。
46.在根据本发明的方法的另外的实施方式中，将电流传感器和带有微处理器的模块控制器布置在每个电池模块中。在识别出该中止故障的情况下，由该模块控制器将触发提供给该故障环路。然后，该触发引起将交流电池置于安全的状态，其中引起触发的电池模块的模块控制器直接实现开关状态“bypass
‑”
，所有其他的电池模块维持其当前状态并且在没有进一步的指令的下一周期中同样变换至开关状态“bypass
‑”
。中央控制器(更确切地说，hsb_cmd_tx-ip-core)检测故障并且将该故障反映至另外的相或模块串。在下文中，中央控制器在每个广播消息中将该故障同步地发送给所有的模块。模块控制器进而可以具有硬件可编程的处理器单元，在该硬件可编程的处理器单元上实现模块控制软件。在模块控制软件中也可以实现模块状态机。
47.在此在每个电池模块中，在模块控制器中实现且通过高速总线接收或处理相应控制指令的程序部分承担在根据本发明的方法的实施方式中的重要功能，该程序部分在下文中被称为hsb_cmd_rx(其被实施为以vhdl实现的ip-core且被在fpga上被实施)。hsb_cmd_rx与高速总线相连接并且例如可以从中央控制器的hsb_cmd_tx获得广播消息，在该广播消息中设置了所谓的中止故障位。然后这可能在相应的电池模块中将hsb_cmd_rx传达给模块控制器，该模块控制器于是将相应的电池模块转换至安全的开关状态，例如“bypass
‑”
。
48.将相应的电池模块变换为安全的开关状态的可能的情景如下地针对两种可能的初始状态得出：在第一初始状态下，相应的模块控制器要么未通电，要么该模块控制器正在
进行重启，要么该模块控制器没有完全开启。在此，相应的电池模块本质上处于状态“passiv”，即，电池模块的所有开关都处于不导电状态。相邻的电池模块解耦并且在相应的模块串中没有电流流向牵引机器。这种状态仅在牵引机器处于静止状态时才是安全的，因此不可能有感应电压。在第二初始状态下，相应的模块控制器(在此“cb”是control-board的简称)完全开启并且受模块控制软件控制。现在，由模块控制软件实现的模块状态机可以具有以下状态转换：
49.·
从状态“por”(“power-on-reset”的简称)之后已实现的状态“cb_init”变换到状态“bypass
‑”
。
50.·
从意味着产生中止故障的状态“cb_error”变换到状态“bypass
‑”
。
51.·
无论如何，只要故障环路没有触发(在此还被称为“故障环路在运行”)，就从状态“cp_run”开始根据要接收的广播消息的内容采取行动。
52.·
从中央控制器的停机指令之后已实现的状态“cb_shutdown”变换到状态“bypass
‑”
。由此，最终变换到状态“passiv”并且关机。
53.由此，从模块状态机的所有可能状态最终达到状态“bypass
‑”
。
54.在根据本发明方法的还另一个实施方式中，该交流电池具有来自以下列表的至少一个外围单元：低压直流电压转换器、用于该牵引机器的各个相电流的电流传感器、充电插头。将该至少一个外围单元与该故障环路连接。在识别出该中止故障的情况下，由该至少一个外围单元将该触发提供给该故障环路。触发还可以以如下方式形成，即：在没有故障的情况下，故障环路携带具有一定的电压值的电压信号；并且在产生故障的情况下，故障环路例如被其中产生故障的电池模块中断，使得在中央控制器处故障环路的电压信号降至0v。绝缘监测器是另外的外围单元，该绝缘监测器虽然不会导致中止故障，但是可以防止(再次)接通。
55.在根据本发明的方法的进一步另外的实施方式中，将fpga选择为该硬件可编程的处理器单元并且该状态机由该至少一个微处理器核上的控制程序来实现。fpga是“field programmable gate array”的缩写，德语：“betriebsbezogen programmierbare gatter-anordnung(现场可编程门阵列)”。为了启动具有根据本发明的接触器操控的电动车辆，在fpga上例如可以配置有相应的处理器编程，该处理器编程被视为是硬件实现方式并且能够对应安全地实施。在开始运行时，由硬件可编程的处理器单元上的程序加载器来对控制程序进行配置。在开始运行时，为硬件可编程的处理器单元相应地重新提供控制程序的程序加载器例如可以是first stage boot loader，缩写为fsbl，并且德语是“erststufen-startprogramm-lader(第一阶段引导加载器)”。
56.在根据本发明的方法的还进一步另外的实施方式中，相应的电池模块或其模块控制器的内在安全性通过其中(相应的)模块控制器的输入信号指示中止故障的情景来实现，这是因为：
57.·
电流传感器通过rs485界面发送故障报告；
58.·
电流传感器确定连接中断；
59.·
确定电压值处于所确定的范围之外；
60.·
温度传感器确定超出预先设定的温度范围(例如高于86℃)；
61.·
hsb_cmd_rx(ip-core)超过功能持续时间(定期发送的信号的“超时”)；
62.·
监测器或其测量传感器确定短暂的电压骤降(watchdog brownout-detection，看门狗掉电检测)。
63.此外，要求保护一种用于安全设计交流电池的系统，其中该交流电池包括：中央控制器；多个电池模块，该多个电池模块各自具有带有多个开关状态的功率电路板；多个接触器；多个电流传感器；故障环路；以及高速总线；并且该交流电池与牵引机器相连接。该中央控制器具有硬件可编程的处理器单元，其带有至少一个微处理器核。在该硬件可编程的处理器单元上配置有控制程序以操控这些电池模块、该多个接触器以及该故障环路，其中通过该控制程序实现状态机。从该中央控制器开始，这些电池模块通过该高速总线与该故障环路相连接。在此，该中央控制器被配置成使得在识别出中止故障的情况下将该交流电池置于安全的运行状态。这包含了：通过该高速总线来请求每个电池模块实现开关状态“bypass”、在每个接触器中指示各自的安全开关位置、并且最终执行切断该中央控制器。
64.在根据本发明的系统的设计方案中，在存在来自以下列表的事件的情况下存在中止故障：断线、故障环路触发、与中央控制器相连接的can总线预先确定错误的运行状态。
65.在根据本发明的系统的另外的设计方案中，中央控制器包括故障环路并且每个模块包括另外的故障环路，其中在相上的所有模块与中央控制器的相对应的相相连接。此外，中央控制器中的三个相通过hsb_cmd_rx(ip-core)相连接并且因此一起形成经过整个系统的故障环路。
66.在根据本发明的系统的另外的设计方案中，电流传感器和带有微处理器的模块控制器被布置在每个电池模块中。在此，该模块控制器被配置成使得在识别出该中止故障的情况下将该触发提供给该故障环路。
67.在根据本发明的系统的又另外的设计方案中，该交流电池具有与故障环路相连接的、来自以下列表的至少一个外围单元：低压直流电压转换器、用于该牵引机器的各个相电流的电流传感器。在此，该至少一个外围单元与该故障环路相连接。额外地，该至少一个外围单元被配置成使得在识别中出止故障的情况下将该触发提供给该故障环路。
68.在根据本发明的系统的进一步另外的设计方案中，该硬件可编程的处理器单元是fpga并且该状态机是通过该至少一个微处理器核上的控制程序实现的。
附图说明
69.本发明的其他优点和设计方案从说明书和附图中得出。
70.不言而喻，在不脱离本发明范围的情况下，以上提到的这些特征以及仍将在以下说明的特征不仅能够在相应给出的组合中使用，而且还可以在其他组合中或者单独地使用。
71.图1示出根据本发明的系统的设计方案中的用于处理中止故障的中央控制器的框图。
72.图2示出根据本发明的系统的另一设计方案中的用于处理中止故障的模块控制器的框图。
具体实施方式
73.图1示出根据本发明的系统的设计方案中的用于处理中止故障的中央控制器100
的框图，其中在中央控制器上进行流程101、102(通过带有附图标记103的箭头表示)，并且向控制电路板进行信号传输134、143(通过带有附图标记104的箭头表示)。在中央控制器100的至少一个专用微处理器上的流程101由诸如芯片上温度监测110、电流传感器检查111、errorline导体中断检测112以及hsb_数据超时监测113(即监测用于数据传输的高速总线中的信号传输的超时)的监测设备构成并且将中止故障报告给牵引系统状态机114。还可以将已由hsb_cmd块127触发的致命错误irq115报告给牵引系统状态机114。就其而言，牵引系统状态机114进而向hsb_cmd块127报告中止故障。硬件可编程的处理器单元102(在此fpga)上的流程通过具有模数转换器(例如同步adc120和“预先设定的范围内的adc_raw”121)的块进行，这些流程还在诸如定标器122、解析器/解码器123、永磁同步电机控制器124、δ-σ调制器125以及调度器的块中进行，它们向hsb_cmd块127报告中止故障。hsb_cmd块127还直接从“预先设定的范围内的adc_raw信号”块121、零序电流/解析器128以及饱和度/功率极限块129得到该中止故障报告。hsb_cmd块127将指令作为hsb_cmd134发送至控制电路板(例如所有的电池模块与该控制电路板相连接)，并且监测与控制电路板相连接的故障环路143。
74.图2示出根据本发明的系统的另外的设计方案中的用于处理中止故障的模块控制器200的框图，其中在模块控制器上进行流程201、202(通过带有附图标记203的箭头表示)，并且向控制电路板或者向与该控制电路板的电连接进行信号传输234、243(通过带有附图标记204的箭头表示)。在模块控制器200的至少一个专用微处理器上的流程201由诸如芯片上温度监测210、电流传感器导体中断检测211以及“电流传感器阈值达到信号”块212的监测设备构成，并且将中止故障报告给牵引系统状态机213。就其而言，模块状态机213进而向电池模块侧的hsb_cmd块221报告中止故障。在模块控制器200的硬件可编程的处理器单元202(在此例如fpga)上的流程中，通过“欠电压/过电压检测”模块向电池模块侧的hsb_cmd块221报告中止故障。电池模块侧的hsb_cmd块221接收指令作为hsb_cmd234并且与故障环路243相连接。
75.附图标记清单
76.200控制电路板的故障处理
77.201模块控制器的微处理器上的流程
78.202fpga模块控制器上的流程
79.203中央控制器上的流程
80.204从模块控制器至控制电路板
81.210芯片上温度监测
82.211电流传感器导体中断检测
83.212电流传感器阈值达到信号
84.213模块状态机
85.220模块欠电压/过电压检测
86.221hsb_cmd
87.234控制电路板的hsb_cmd
88.243控制电路板上的errorline
89.100中央控制器
90.101中央控制器的微处理器上的流程
91.102fpga中央控制器上的流程
92.103中央控制器上的流程
93.104从中央控制器至控制电路板
94.110芯片上温度监测
95.111电流传感器检查
96.112errorline导体中断检测
97.113hsb_数据超时监测
98.114牵引系统状态机
99.115致命错误irq
100.120同步adc
101.121范围内的adc_raw
102.122定标器
103.123解析器/解码器
104.124永磁同步电机控制器
105.125δ-σ调制器
106.126调度器
107.127hsb_cmd块
108.128零序电流/解析器
109.129饱和度/功率极限
110.134控制电路板上的hsb_cmd
111.143控制电路板的故障环路

技术特征：
1.一种用于安全设计交流电池的方法，其中该交流电池包括：中央控制器；被布置在至少一个串中的多个电池模块，该多个电池模块各自具有带有多个开关状态的功率电路板；多个接触器；多个电流传感器；故障环路；以及高速总线；并且该交流电池与牵引机器相连接，其中该中央控制器具有硬件可编程的处理器单元，其带有至少一个微处理器核，在该硬件可编程的处理器单元上配置控制程序以操控这些电池模块、该多个接触器以及该故障环路，其中通过该控制程序来实现状态机，其中从该中央控制器开始，将这些电池模块通过该高速总线与该故障环路连接，其中在识别出中止故障的情况下，由该中央控制器将该交流电池置于安全的运行状态，其方式为该中央控制器通过该高速总线来请求每个电池模块实现开关状态“旁路”，其方式为每个接触器占据相应的安全开关位置并且其方式为最终执行切断该中央控制器。2.根据权利要求1所述的方法，其中在存在来自以下列表的事件的情况下得出该中止故障：断线、故障环路触发、与该中央控制器相连接的can总线预先确定错误的运行状态。3.根据前述权利要求之一所述的方法，其中将电流传感器和带有微处理器的模块控制器布置在每个电池模块中，并且其中在识别出该中止故障的情况下，由该模块控制器将该触发提供给该故障环路。4.根据权利要求1或2所述的方法，其中该交流电池具有来自以下列表的至少一个外围单元，其中将该至少一个外围单元与该故障环路连接并且在识别出该中止故障的情况下，由该至少一个外围单元将该触发提供给该故障环路：低压直流电压转换器、用于该牵引机器的各个相电流的电流传感器、充电插头。5.根据权利要求1或2所述的方法，其中将fpga选择为该硬件可编程的处理器单元并且该状态机由该至少一个微处理器核上的控制程序来实现。6.一种用于安全设计交流电池的系统，其中该交流电池包括：中央控制器；被布置在至少一个串中的多个电池模块，该多个电池模块各自具有带有多个开关状态的功率电路板；多个接触器；多个电流传感器；故障环路；以及高速总线；并且该交流电池与牵引机器相连接，其中该中央控制器具有硬件可编程的处理器单元，其带有至少一个微处理器核，在该硬件可编程的处理器单元上配置有控制程序以操控这些电池模块、该多个接触器以及该故障环路并且通过该控制程序实现状态机，其中从该中央控制器开始，这些电池模块通过该高速总线与该故障环路相连接，其中该中央控制器被配置成使得在识别出中止故障的情况下将该交流电池置于安全的运行状态，这包含了：通过该高速总线来请求每个电池模块实现开关状态“旁路”、在每个接触器中指示各自的安全开关位置、并且最终执行切断该中央控制器。7.根据权利要求6所述的系统，其中在来自以下列表的事件的情况下存在该中止故障：断线、故障环路触发、与中央控制器相连接的can总线预先确定错误的运行状态。8.根据权利要求6或7所述的系统，其中电流传感器和带有微处理器的模块控制器被布置在每个电池模块中，并且其中该模块控制器被配置成使得在识别出该中止故障的情况下将该触发提供给该故障环路。9.根据权利要求6或7所述的系统，其中该交流电池具有与故障环路相连接的、来自以下列表的至少一个外围单元，其中该至少一个外围单元与该故障环路相连接并且该至少一个外围单元被配置成使得在识别出该中止故障的情况下将该触发提供给该故障环路：低压
直流电压转换器、用于该牵引机器的各个相电流的电流传感器。10.根据权利要求6或7所述的系统，其中该硬件可编程的处理器单元是fpga并且该状态机是通过该至少一个微处理器核上的控制程序实现的。

技术总结
本发明涉及一种用于安全设计交流电池的方法，交流电池包括：中央控制器；多个电池模块，各自具有带有多个开关状态的功率电路板；多个接触器；多个电流传感器；故障环路；高速总线；交流电池与牵引机器连接，中央控制器具有硬件可编程的处理器单元，其带有至少一个微处理器核，在处理器单元上配置控制程序以操控电池模块、多个接触器、故障环路且通过控制程序来实现状态机，从中央控制器开始，将电池模块通过高速总线与故障环路连接，在产生中止故障的情况下将交流电池置于安全的状态，安全的状态至少通过紧急切断中央控制器、通过每个电池模块和每个接触器的各自的安全开关位置上的开关状态“旁路”来实现。还提出一种在其上实施该方法的系统。该方法的系统。该方法的系统。


技术研发人员：H
受保护的技术使用者：保时捷股份公司
技术研发日：2021.11.01
技术公布日：2022/5/25