专利名称：用于运行尤其机动车的燃料箱装置的方法
技术领域：
本发明涉及一种按权利要求1前序部分所述的用于运行燃料箱装置的方法。
背景技术：
已知配设有高压燃料箱以携带燃料的机动车。在此例如是天然气机动车或燃料电 池机动车。在燃料电池机动车中，通常在高压燃料箱中携带有氢气，以便从氢气与供入的氧 气的反应中获取电能并且用电动马达驱动该燃料电池机动车。同样已知的是，氢气和氧气在混合和点燃时引发爆炸，亦即所谓的爆鸣气反应。此 外还已知的是，所携带的物质例如氢气在特定情况下，例如发生交通事故时，不应从燃料箱 中泄漏出来，以便不会威胁到安全。
发明内容
通过按权利要求1的方法来解决在现有技术中存在的问题。按本发明的燃料箱装置具有至少一个燃料箱和至少一个阀门，其中，阀门能够由 与供能装置连接的驱动级调节。此外，按照本发明检测故障并关闭阀门。由于所述故障而 形成两个输出信号以用于关闭阀门，其中，输出信号之一充当继电器信号并且中断对驱动 级的供能。通过该继电器信号来接通或断开对驱动级的供能。该方法用于使燃料箱始终在 可靠的状况下工作。若出现涉及到燃料箱安全的故障，则阀门被关闭，以避免例如高度易燃 的氢气逸出。在该方法的一种有利的实施形式中，通过燃料箱监控单元生成功能信号。通过功 能信号借助驱动级来影响阀门的开度。若驱动级借助供应继电器以及因而通过继电器信号 得到供能，那么可以通过功能信号来控制和/或调节阀门的开度。在出现故障的情况下，阀 门被关闭。若与此相对供能通过供应继电器以及因而通过继电器信号基于已经确定的故障 中断，则阀门同样被关闭。因此这些用于关闭阀门的信号被设计成冗余的，这与提高燃料箱 装置的安全性对应。在该方法的另一种有利的实施形式中，功能信号和继电器信号的形成以尽可能分 开的方式并因而在平行运行的面中在功能计算装置上发生。功能信号由功能面形成，继电 器信号则由功能监控面形成。由此不仅信号，而且信号的检测也被设计成是冗余的。这同 样提高了燃料箱装置的安全性，因为出现的故障被截获以确保机动车的安全性。在该方法的另一种特别有利的实施形式中，将相比功能面有所提高的值输入给功 能监控面。为此例如是阈值或消抖时间。由此确保在来自功能监控面的监控功能开始故障 响应前，功能面能够对故障情况做出反应。在该方法的一种特别有利的实施形式中，除功能计算装置外，还存在监视器单元 (Watchdog-Einheit)。该监视器单元在硬件方面例如通过存储器测试以及在正确的功能流 程方面例如故障响应方面监控功能计算装置。若监视器单元确定了故障，那么就借助确认信号操纵开关，所述开关中断功能计算装置的所有输出信号。监视器单元因此在故障情况 下同样关闭阀门并因而充当另外的冗余的故障断路。本发明其它的特征、应用可能方案和优点从接下来对本发明于附图所示实施例的 说明中得出。在此，所有描述或图示的特征单独地或任意组合构成本发明的主题，与它们在 权利要求书中的摘要或它们的引用关系无关以及与说明书或附图中的表达或图示无关。
图1表示尤其是机动车的燃料箱装置的示意性方块图，带有燃料箱监控单元；图2表示通过燃料箱监控单元对传感器和阀门进行控制的示意性方块图；图3表示燃料箱监控单元的详细的示意性方块图；图4表示燃料箱监控单元的功能监控面的示意性方块图。
具体实施例方式将输入信号40加载给图1中的燃料箱监控单元TCU。燃料箱监控单元TCU形成触 发信号Svl和Sv2。触发信号Svl加载阀门VI。触发信号Sv2加载阀门V2。阀门Vl影响 通过线路Ll的流量。线路Ll将燃料箱Tl与装置EQ连接起来。阀门V2影响通过线路L2 的流量。线路L2将燃料箱T2与所述装置EQ连接起来。燃料箱Tl、T2与所属的阀门VI、 V2 一起构成用于所述装置EQ的燃料箱装置TA。燃料箱监控单元TCU在输入信号40以及内部流程的基础上借助对阀门Vl和V2的 调整和/或调节通过触发信号Svl和Sv2影响用来自燃料箱Tl和T2的物质对装置EQ的 供给。燃料箱监控单元TCU的任务是，一方面实施对阀门Vl和/或V2的控制和/或调节， 另一方面确保燃料箱Tl和T2的安全。图2示出了通过燃料箱监控单元TCU对阀门30和传感器32的触发。阀门30通 常设计成用电流开关的阀门。燃料箱监控单元TCU被划分成两个物理上分开的单元一个 功能计算装置10和一个监视器单元12。监视器单元12以尚待说明的问答通讯形式监控功 能计算装置10，图中示出为提问314和回答316。将信号40加载到功能计算装置10。由功能计算装置10产生功能信号42、继电器信号44和输出信号46。监视器单元 12生成一个输送给多极合间开关14的确认信号48。在借助确认信号48得到监视器单元 12的允许时，功能计算装置10的信号42、44和46仅被合闸开关14进一步传递。若监视 器单元12确定了有关功能计算装置10的一个故障，那么借助确认信号48使信号42、44和 46不被进一步传递。功能信号42在通过合闸开关14成功地进一步被传递时加载给驱动级20。为提高 运行安全性，驱动级20被设计成冗余类型，从而可以用高压驱动器22或低压驱动器M来 控制连接的负荷。在两个驱动器的其中一个失效时，实现了用至少另一个驱动器来继续控 制负荷。阀门30用信号50加载，所述信号由驱动级20形成。阀门30在其未通电状态下 是关闭的。信号50决定了阀门30的开度。因此功能信号42也间接地通过驱动级20决定 了阀门30的开度。功能信号42设计成脉宽调制信号。继电器信号44设计成数字信号并且在通过合闸开关14被成功地进一步传递后加载给阀门30的供应继电器沈。供应继电器沈给驱动级20供能。通过继电器信号44能够 借助供应继电器沈来接通或断开对驱动级20的供能。输出信号46同样被设计成数字信号，并且在通过合闸开关14被成功地进一步传 递时输送给传感器32的供应继电器28。供应继电器28通过线路M向传感器32供能。通 过输出信号46能够借助供应继电器观来接通或断开对传感器32的供能。若合闸开关14被关闭，亦即信号42、44和46被进一步传递，那么驱动级20得到 供能，阀门30的开度借助功能信号42受到影响，并且传感器32得到供电。反之，若驱动级 20没有得到供能，则这会导致阀门30被关闭。反之，若合闸开关14通过监视器单元12打开，那么信号42、44和46不再被进一 步传递。已打开的合闸开关14因此具有这样的效应，即，驱动级20和传感器32不再得到 供能。不再得到供能的驱动级20也如被中断的功能信号42 —样导致阀门30关闭。与图1相比，功能信号42、继电器信号44以及确认信号48 —起被视作触发信号 Svl或Sv2。同样，图2的阀门30被视为是图1的阀门Vl或V2中的一个。图3示出了燃料箱监控单元TCU的结构。图中示出了功能计算装置10和监视器 单元12。功能计算装置10和监视器单元12在其功能性上被划分成三个平面第一功能面 100，第二功能监控面200和第三计算装置监控面300。功能面100用于形成影响图2中阀门30的开度的功能信号42。为此使用组块 102，它用输入信号40加载。此外，在功能面100中实施对燃料箱装置或其它装置的单元的 监控和诊断。功能信号42相应地受到影响。在处理级100或200的其中一个中处理输入信号40之前，输入信号40经受可信 性检查。可信性检查用于将输入信号40的某些组合、顺序、值域和变化曲线识别为错误的。功能监控面200的组块202同样被输入信号40加载。功能监控面200用于识别 功能面100中的错误的流程和结果。为此，功能面100的功能必要时以简化的形式在功能 监控面200中被复制。此外，在功能监控面200中进行与来自功能面100的信号104的比 较。若通过组块202识别出功能面100中的故障，那么组块202借助信号206释放故障响 应 204。计算装置监控面300从功能计算装置10延伸直至监视器单元12。监视器单元12 具有监视器组块310，它执行与功能计算装置10的测试组块302的问答通讯。测试组块302 包括专门针对计算装置测试的测试组块304和专门针对功能测试的测试组块306。专门针 对计算装置的测试包括例如对工作存储器和类似物的测试。专门针对功能的测试涉及到功 能监控面200中的程序运行过程和故障响应。在故障情况下，测试组块302借助信号312 释放故障响应308。监视器组块310将提问314转移到测试组块302上。测试组块302借助测试组块 304和306执行专门针对计算装置和功能的测试。为此，测试组块302借助通讯路径208与 组块202连接以及借助通讯路径210与故障响应204连接。测试组块302检测针对所提出的提问314的回答316，其中使用来自测试组块304 和306的结果。监视器组块310识别针对已发送的提问314的正确回答。若由测试组块302 传达的回答316与所期待的正确回答一致，那么燃料箱监控单元TCU的功能被认为是无误 的。反之，若由测试组块302传达的回答316与所期待的正确回答不一致，那么燃料箱监控单元TCU的功能被认为是错误的。在后一种故障情况下，监视器单元12或监视器组块310 送出确认信号48，以便将所控制的或所调节的系统在此为燃料箱装置转到安全状态。继电器信号44和输出信号46可以分别形成在功能监控面200或计算装置监控面 300中。继电器信号44和输出信号46可以例如由故障响应204和/或308形成。图4表示功能监控面200的一个详细的实施形式。组块220用于氢气监控。组块 220被氢气浓度信号222加载。组块220将氢气浓度信号222与氢气浓度阈值比较，并且在 超过氢气浓度阈值时通过信号224引起故障响应204。组块230用于闪燃监控(tiberschalg-tberwachung )。信号232表示机动
车的闪燃。相应地，组块230借助信号234引起故障响应204。压力信号242加载组块对0，所述组块借助压力信号242来确定图2的阀门30是 否关闭。在此发生与来自功能面100的结果的比较。若阀门30没有关闭，则借助信号对4 释放故障响应204。所述方法通常设计成计算机程序，所述程序在控制器上运行。控制器通常设计成 微控制器并且按照所述方法编程。此外，相应的计算机程序储存在存储介质上。
权利要求
1.一种用于运行尤其机动车的燃料箱装置(TA)的方法，其中，燃料箱装置(TA)具有燃 料箱(T1，T2)和阀门(V1，V2，30)，其中，阀门(V1，V2，30)能够由与供能装置连接的驱动级 (20)调节，以及其中，在该方法中检测故障且关闭阀门(VI，V2，30)，其特征在于，基于故障 形成两个输出信号G4，48)以用于关闭阀门(V1，V2，30)，并且输出信号之一充当继电器信 号G4)且中断对驱动级00)的供能。
2.按权利要求1所述的方法，其中，所述驱动级00)被影响阀门(VI，V2，30)的开度 的功能信号G2)触发。
3.按权利要求2所述的方法，其中，另一个输出信号充当确认信号08)并且中断对驱 动级00)的触发。
4.按权利要求1和2所述的方法，其中，功能信号02)和继电器信号04)由功能计算 装置(10)形成。
5.按权利要求4和5所述的方法，其中，确认信号08)由监视器单元(1 形成，其中， 监视器单元(1 设计成与功能计算装置(10)在物理上分离。
6.按权利要求5所述的方法，其中，功能信号02)在功能计算装置(10)的功能面 (100)中形成。
7 按权利要求5或6所述的方法，其中，继电器信号04)在功能计算装置(10)的功能 监控面O00)中形成。
8.按权利要求6和7所述的方法，其中，功能信号0 和继电器信号G4)的形成尽可 能相互独立地进行。
9.按权利要求6和7所述的方法，其中，在功能监控面(200)中复制功能面(100)的功能。
10.按前述权利要求所述的方法，其中，预定用于功能面(100)的第一消抖时间和第一 阈值，其中，在功能监控面(200)中预定相对第一消抖时间有所提高的第二消抖时间以及 相对第一阈值有所提高的第二阈值。
11.按权利要求3所述的方法，其中，在计算装置监控面(300)中形成确认信号08)。
12.一种用于数字计算设备的计算机程序，其适用于实施按前述权利要求之一所述的 方法。
13.一种用于尤其机动车的燃料箱装置的控制单元，所述机动车设有特别是微处理器 的数字计算设备，按权利要求12所述的计算机程序能够在其上运行。
14.一种用于按权利要求13所述的控制单元的存储介质，按权利要求12所述的计算机 程序储存在该存储介质上。
全文摘要
本发明涉及一种用于运行尤其机动车的燃料箱装置的方法。该燃料箱装置(TA)具有燃料箱(T1，T2)和阀门(V1，V2)，其中，阀门(V1，V2)能够由与供能装置连接的驱动级调节。在该方法中检测故障且关闭阀门(V1，V2)。基于故障形成两个输出信号以于关闭阀门(V1，V2)的。输出信号之一充当继电器信号且中断对驱动级的供能。
文档编号F17C13/02GK102086965SQ20101055458
公开日2011年6月8日 申请日期2010年11月17日 优先权日2009年11月18日
发明者I·根蒂尔-克赖恩坎普, 傅承煊 申请人:罗伯特.博世有限公司