DE102021004106A1

DE102021004106A1 - Batteriemodul und Verfahren zum Erfassen einer Manipulation

Info

Publication number: DE102021004106A1
Application number: DE102021004106.2A
Authority: DE
Inventors: Friedrich Emanuel Hust; Andreas Maier
Original assignee: Daimler AG
Current assignee: Mercedes Benz Group AG
Priority date: 2021-08-10
Filing date: 2021-08-10
Publication date: 2021-10-07

Abstract

Die Erfindung betrifft ein Batteriemodul (2) umfassend eine Mehrzahl von zu einem Zellblock (4) zusammengefassten Batterieeinzelzellen und eine elektrisch in diesem Zellblock (4) verbundene Überwachungselektronik (3), ferner umfassend einen volatilen, über die Überwachungselektronik (3) mit Leistung versorgtes Speicherelement (7), in welchem eine Modulkennung (8) gespeichert ist.Die Erfindung ist dadurch gekennzeichnet, dass das volatile Speicherelement (7) in den Zellblock (4) integriert ausgeführt ist.

Description

Die Erfindung betrifft ein Batteriemodul nach der im Oberbegriff von Anspruch 1 näher definierten Art. Außerdem betrifft die Erfindung ein Verfahren zum Erfassen einer Manipulation eines derartigen Batteriemoduls.
Leistungsfähige Batterien, wie sie beispielsweise als Traktionsbatterien in zumindest teilweise elektrisch angetriebenen Fahrzeugen eingesetzt werden, bestehen typischerweise aus mehreren Batteriemodulen, welche über ein Batteriemanagementsystem miteinander verbunden sind. Jedes der Batteriemodule umfasst dabei einen Mehrzahl von Batterieeinzelzellen, welcher typischerweise mechanisch zu einem Zellblock zusammengefasst sind.
Zukünftige Batterien werden dabei die Möglichkeit bieten, einzelne Batteriemodule auszutauschen. Dies erleichtert einerseits die Reparatur und Wartung der Batterie, schafft jedoch andererseits auch die Gefahr, dass durch den Einsatz von Fremdfabrikaten, vorgeschädigten Zellen oder ganzen Batteriemodulen, in welchen z.B. aufgrund einer einmalig zu hohen Betriebstemperatur eine Sicherheitsverriegelung vorliegt, die neue Möglichkeit missbraucht werden kann. Der Einsatz derartiger ungeeigneter oder bereits gesperrter Zellmodule kann dabei die Funktionsfähigkeit der gesamten Batterie nachteilig beeinflussen und insbesondere ihre Leistungsfähigkeit mindern. Als eines der Kernelemente moderner zumindest teilweise elektrisch angetriebener Fahrzeuge, können sie die Funktionsfähigkeit des gesamten Fahrzeugs in Frage stellen und können immer auch zu einem gravierenden Imageschaden für den jeweiligen Fahrzeughersteller führen. Deshalb ist es wünschenswert, eine Batterie zu haben, bei welcher die Zellen und Zellmodule entsprechend identifiziert sind, so dass ein missbräuchlicher Austausch erkannt und das entsprechende Batteriemodul ggf. gesperrt werden kann.
Die JP 2013122843 A bzw. ihre internationale Nachanmeldung WO 2013/84594 A1 beschreiben eine Hochvoltbatterie mit einer Einrichtung, um Manipulationen an der Hochvoltbatterie festzustellen. Diese Einrichtung arbeitet dabei mit einem volatilen Speicher, welcher seinen Inhalt also nur dann speichert, wenn er mit elektrischer Spannung versorgt ist. Dieser volatile Speicher ist in einem Controller des jeweiligen Batteriemoduls angeordnet. Hierdurch kann erreicht werden, dass für den Fall einer Manipulation, wie beispielsweise eines Austauschs von Einzelzellen, der Speicher seine Spannungsversorgung verliert und dadurch eine in dem Speicher gespeicherte Identifikation verloren geht. Der Controller kann dies entsprechend feststellen und geeignete Maßnahmen ergreifen.
Zum weiteren Stand der Technik kann außerdem auf die US 2012/0078444 A1 hingewiesen werden, welche eine Sicherheitsabfrage von Verifizierungsinformationen eines Batteriemoduls über ein Netzwerk und einen Server beschreibt. Der Nachteil liegt hierin, dass eine Netzwerkverbindung vorhanden sein muss.
In beiden Fällen ist es außerdem so, dass das jeweilige Sicherheitssystem beeinflusst und/oder umgangen werden kann, beispielsweise wenn der Controller über eine unabhängige Leistungsquelle mit Strom bzw. Spannung versorgt, während das Batteriemodul manipuliert wird.
Die Aufgabe der vorliegenden Erfindung besteht nun darin, ein hinsichtlich des Manipulationsschutzes verbessertes Batteriemodul anzugeben, sowie ein Verfahren zum Erfassen einer Manipulation eines solchen Batteriemoduls.
Das erfindungsgemäße Batteriemodul umfasst eine Mehrzahl von Batterieeinzelzellen, welche zu einem Zellblock zusammengefasst sind und umfasst eine elektrisch mit diesem Zellblock verbundene Überwachungselektronik. Dabei ist ein über die Überwachungselektronik mit Leistung versorgtes volatiles Speicherelement vorgesehen, in welchem eine Modulkennung gespeichert ist.
Erfindungsgemäß ist es nun so, dass das volatile Speicherelement in den Zellblock integriert ausgeführt ist. Diese Kombination aus einer Versorgung des volatilen Speicherelements mit elektrischer Leistung über die Überwachungselektronik des jeweiligen Moduls einerseits und die Integration des Speicherelements in den Zellblock andererseits macht den Aufbau sehr sicher und gegenüber einer Manipulation oder Beeinflussung relativ unanfällig. Dies gilt insbesondere dann, wenn, und so ist es gemäß einer besonders vorteilhaften Weiterbildung des erfindungsgemäßen Batteriemoduls vorgesehen, der volatile Speicher mechanisch in den Zellblock integriert ausgeführt ist. In diesem Fall kann eine Beschädigung des volatilen Speichers bzw. seiner Versorgungsleitungen im Falle einer Demontage des Zellblocks, um einzelne Batteriezellen auszutauschen, quasi nicht vermieden werden, so dass das erfindungsgemäße Batteriemodul in dieser besonderen Ausgestaltung besonders sicher ist. Insbesondere können für die Versorgungsleitungen, um den volatilen Speicher mit Spannung zu versorgen, als sensible Sollbruchstelle ausgebildet sein.
Eine weitere sehr vorteilhafte Ausgestaltung des erfindungsgemäßen Batteriemoduls sieht es dabei ferner vor, dass die Modulkennung als geheimer Schlüssel verschlüsselt abgelegt ist. Eine solche verschlüsselt gespeicherte Modulkennung, welche einen entsprechenden Schlüssel auf der Gegenseite erfordert, um diese auslesen zu können, macht es auch unmöglich oder zumindest außerordentlich schwierig und damit typischerweise unwirtschaftlich, die Modulkennung entsprechend auszulesen und ein alternatives Batteriemodul mit der entsprechenden Modulkennung so zu manipulieren, dass dieses als Originalmodul erkannt wird.
Beim erfindungsgemäßen Verfahren zur Erfassung einer Manipulation eines derartigen Batteriemoduls ist es nun vorgesehen, dass ein Batteriemanagementsystem über die Überwachungselektronik die Modulkennung abfragt und eine Freigabe des Batteriemoduls nur bei einer mit einer vorgegebenen Kennung übereinstimmenden Modulkennung erfolgt. Die Abfrage der Modulkennung erfolgt wiederum über die entsprechende Überwachungselektronik, welche die Information aus dem in dem Zellblock integrierten volatilen Speicher ausliest und an das Batteriemanagementsystem weitergibt. Ist diese Information leer, weil die Spannungsversorgung des volatilen Speichers unterbrochen war, kann kein Übereinstimmen der Kennung festgestellt werden und das Batteriemodul wird dementsprechend nicht freigegeben. Vergleichbares gilt auch dann, wenn eine fehlerhafte Modulkennung ausgelesen wird, diese in dem volatilen Speicher, also in irgendeiner Art und Weise, manipuliert worden ist.
Dabei kann es gemäß einer sehr vorteilhaften Weiterbildung des erfindungsgemäßen Verfahrens bei einem Batteriemodul gemäß Anspruch 3 ferner vorgesehen sein, dass die Modulkennung nach der Abfrage in dem Batteriemanagementsystem entschlüsselt und in mit der vorgegebenen Kennung, welche dort ebenfalls vorzugsweise verschlüsselt abgelegt ist, verglichen werden. Wie bereits angesprochen, kann es gemäß einer sehr günstigen Ausgestaltung des Verfahrens vorgesehen sein, dass bei einer fehlerhaften oder nicht vorhandenen Kennung das Batteriemodul gesperrt wird bzw. falls es vor der Abfrage noch nicht freigeschaltet war, gesperrt bleibt.
Alles in allem entsteht so ein System, welches eine Manipulation eines Batteriemoduls mit hoher Sicherheit ausschließen oder für einen eventuellen Manipulator bzw. Angreifer zumindest wirtschaftlich uninteressant machen kann.
Der entscheidende Vorteil liegt dabei darin, dass eine einfache Trennung der Überwachungselektronik und des Zellblocks sehr einfach nachgewiesen werden kann, wenn der geheime Schlüssel verloren geht. Dies ist dabei ohne zusätzliche Elektronik, Sensorik oder eine eigene Spannungsquelle möglich. Damit kann außerordentlich einfach und effizient festgestellt werden, ob die Überwachungselektronik vom Zellblock getrennt wurde, und zwar ohne dass eine aktive Überwachung dieser Verbindung stattfinden muss. Im Gegensatz zu einer rein mechanischen Absicherung erlaubt ein derartiges erfindungsgemäßes Batteriemodul es auch, den Status elektronisch auszulesen, also entsprechend abzufragen, ob die Modulkennung, insbesondere in Form des geheimen Schlüssels, vorhanden ist, sodass alles in Ordnung ist, oder eben nicht, was eine Manipulation anzeigt.
Weitere vorteilhafte Ausgestaltungen des Batteriemoduls sowie des Verfahrens ergeben sich auch anhand der Beschreibung des nachfolgend dargestellten Ausführungsbeispiels.
Dabei zeigen:

1 eine schematische Skizze zur Verdeutlichung des erfindungsgemäßen Batteriemoduls in einem ersten Zustand; und
2 das Batteriemodul in einem zweiten manipulierten Zustand.

In der Darstellung der 1 ist dabei ein Batteriemanagementsystem 1 zu erkennen, welches häufig auch mit der Abkürzung BMS (Battery Management System) oder BMC (Battery Management Controller) bezeichnet wird. Über dieses Batteriemanagementsystem 1 sind mehrere Batteriemodule 2 angeschlossen, von welchen hier nur ein einziges in der Darstellung der 1 rechts von dem Batteriemanagementsystem 1 gezeigt ist. Dieses Batteriemodul 2 besteht aus einer Überwachungselektronik 3, welche häufig auch mit der Abkürzung CSE (Cell Supervision Electronic) bezeichnet wird. Diese ist elektrisch mit einem die Einzelzellen des Batteriemoduls 2 umfassenden Zellblock 4 verbunden. Diese elektrische Verbindung ist durch die Pole 5, 6, hier beispielhaft der Pluspol oben und der Minuspol unten, dargestellt. In diesem Zellblock 4 integriert ist nun ein volatiler Speicher 7, in welchem eine Modulkennung in Form eines geheimen Schlüssels 8 gespeichert ist. Der volatile Speicher 7 wird von der Überwachungselektronik 3 mit elektrischer Leistung bzw. Spannung versorgt, wozu eine elektrische Verbindung 9 mit zwei Leitungen eingezeichnet ist, welcher ihrerseits jeweils mit den Polen, 5, 6 des Zellblocks 4 jedoch innerhalb der Überwachungselektronik 3 verbunden sind. Ein Mikrocontroller 10 des Batteriemanagementsystems 1 kann nun über die Überwachungselektronik 3 den geheimen Schlüssel 8 aus dem volatilen Speicher 7 abfragen, diesen entsprechend entschlüsseln und mit vorgegebenen Kennungen vergleichen. Der geheime Schlüssel 8 als Modulkennung 8 kann so also die Originalität bzw. geprüfte Herkunft des Batteriemoduls 2 gewährleisten. Stimmen die Daten entsprechend überein, liegt also keine Manipulation des Batteriemoduls 2 vor, dann kann über das Batteriemanagementsystem 1 das entsprechende Batteriemodul 2 freigeschaltet werden.
Diese Abfrage des geheimen Schlüssels 8 als Modulkennung 8 von dem Batteriemanagementsystem 1 über die Überwachungselektronik 3 ist dabei in der Darstellung in der Figur über den mit 11 bezeichneten Pfeil entsprechend angedeutet.
In 2 ist derselbe Aufbau nochmals dargestellt. Wie es über einen gezackten Pfeil angedeutet ist, soll es nun zu einer Manipulation des Batteriemoduls 2 gekommen sein, was dazu führt, dass beispielsweise einer der Pole, hier der Pol 5, zwischen dem Zellblock 4 und der Überwachungselektronik 3 unterbrochen worden ist, wodurch die Leistungsversorgung des volatilen Speichers 7 über die Leitung 9, welche hier dementsprechend ebenfalls unterbrochen dargestellt ist, nicht mehr gewährleistet ist. Der volatile Speicher 7 ist zwar noch vorhanden, der als Modulkennung 8 gespeicherte geheime Schlüssel 8 ist jedoch verloren gegangen, was durch die entsprechende Darstellung innerhalb des volatilen Speichers 7 in 2 angedeutet ist. Fragt nun das Batteriemanagementsystem 1 die Modulkennung des Batteriemoduls 2 entsprechend ab, dann gelangt im hier dargestellten Fall kein geheimer Schlüssel 8 als Modulkennung 8 zum Mikrocontroller 10 des Batteriemanagementsystems 1. Dieser erkennt also, dass das Batteriemodul 2 manipuliert worden sein muss und schaltet dieses nicht frei.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

JP 2013122843 A [0004]
WO 2013/84594 A1 [0004]
US 2012/0078444 A1 [0005]

Claims

Batteriemodul (2) umfassend eine Mehrzahl von zu einem Zellblock (4) zusammengefassten Batterieeinzelzellen und eine elektrisch in diesem Zellblock (4) verbundene Überwachungselektronik (3), ferner umfassend einen volatilen, über die Überwachungselektronik (3) mit Leistung versorgtes Speicherelement (7), in welchem eine Modulkennung (8) gespeichert ist, dadurch gekennzeichnet, dass das volatile Speicherelement (7) in den Zellblock (4) integriert ausgeführt ist.
Batteriemodul (2) nach Anspruch 1, dadurch gekennzeichnet, dass die Integration des Speicherelements (7) in den Zellblock (4) als mechanische Integration ausgeführt ist.
Batteriemodul (2) nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Modulkennung (8) als geheimer Schlüssel (8) ausgebildet ist.
Verfahren zum Erfassen einer Manipulation eines Batteriemoduls (2) nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass ein Batteriemanagementsystem (1) über die Überwachungselektronik (3) die Modulkennung (8) abfragt, wobei eine Freigabe des Batteriemoduls (2) nur bei einer mit einer vorgegebenen Kennung übereinstimmenden Modulkennung (8) erfolgt.
Verfahren nach Anspruch 4, dadurch gekennzeichnet, dass die Modulkennung (8) nach der Abfrage in dem Batteriemanagementsystem (1) entschlüsselt und mit der vorgegebenen Kennung verglichen wird.
Verfahren nach Anspruch 4 oder 5, dadurch gekennzeichnet, dass bei einer fehlerhaften oder nicht vorhandenen Modulkennung (8) das Batteriemodul (2) gesperrt wird oder gesperrt bleibt.