DE3514079A1

DE3514079A1 - Ausfallsicherungskreis fuer ein steuerungssystem

Info

Publication number: DE3514079A1
Application number: DE19853514079
Authority: DE
Inventors: Toshimi Abo; Katsunori Oshiage; Akito Yokohama Kanagawa Yamamoto
Original assignee: Nissan Motor Co Ltd
Current assignee: Nissan Motor Co Ltd
Priority date: 1984-04-19
Filing date: 1985-04-18
Publication date: 1985-11-07
Anticipated expiration: 2005-04-19
Also published as: GB2158613B; GB8509918D0; DE3514079C2; US4739469A; GB2158613A

Description

Ausfallsicherungskreis für ein Steuerungssystem

Beschreibung
5

Die vorliegende Erfindung bezieht sich auf einen Ausfallsicherungskreis für ein Steuerungssystem und insbesondere auf einen solchen, der eine zuverlässige Ausfallsicherung für einen Hauptsteuerkreis darstellt, indem er dessen Steuerfunktionen übernimmt, wenn der Hauptsteuerkreis ausfällt.

Bekannte Ausfallsicherungskreise sind beispielsweise in der JP-OS 48-3351 und in der JP-OS 53-54441 beschrieben.

Fig. 1 zeigt ein Beispiel eines solchen Ausfallsicherungskreises für ein Steuerungssystem. In Fig. 1 enthält ein Hauptsteuerkreis 1 einen Mikrocomputer und gibt ein Steuersignal b^f an einen Umschaltkreis 20 und ein Zustandssignal a', das den Zustand des Hauptsteuerkreises 1 anzeigt, an einen Aushilfskreis 10 ab. Das Zustandssignal a' hat eine vorbestimmte Frequenz, die durch periodisches Invertieren eines Ausgangskanals mittels des Hauptsteuerkreises 1 in Übereinstimmung mit einem Programm erzeugt wird. Wenn der Hauptsteuerkreis 1 ausfällt, dann bleibt das Zustandssignal a^f daher in dem gerade eingenommenen Zustand für eine zu lange Zeit.

Der obenbeschriebene Aushilfskreis 10 bildet einen Hilfssteuerkreis und dient als Ausfallsicherungskreis, der den Ausfall des Hauptsteuerkreises 1 ermittelt, der sich durch das Zustandssignal a¹ ausdrückt, und erzeugt ein Signal c' als Ersatz für das Steuersignal b^f sowie ein Umschaltsignal e¹. Das Umschaltsignal e¹ wird dem Umschaltkreis 20, der ein Steuersignal d' an eine zu steuernde Einrichtung abgibt, zugeführt, so daß eine Auswahl darüber getroffen

wird, ob das Steuersignal d¹ entweder von dem Steuersignal b' oder dem Ersatzsignal c' abgeleitet wird, je nachdem, welchen Zustand das Umschaltsignal e¹ hat. Weiterhin erzeugt ein Rücksetzkreis 30 ein Rücksetzsignal f zum Rücksetzen des Hauptsteuerkreises 1, wenn dap obenbeschriebene Zustandssignal a^f den Ausfall des Hauptsteuerkreises anzeigt.

Dem beschriebenen Systen wohnt jedoch der Nachteil inne, daß, weil nur ein einziges Umschaltsignal e' vom Aushilfskreis 10 die Umschaltung vom Steuersignal b^T des Hauptsteuerkreises 1 auf das Ersatzsignal c^T vom Aushilfskreis 10 für die Wahl des auszugebenden Steuersignals d¹ ermöglicht, der Aushilfskreis 10 möglicherweise ein fehlerhaftes Umschaltsignal e' trotz normalen Betriebes des Hauptsteuerkreises 1 erfolgt, was zu der Gefahr eines fehlerhaften oder abnormen Ersatzsignales c^T führt, das für die Erzeugung des Ausgangssteuersignals d' benutzt wird.

Auf diese Weise kann der Aushilfskreis 10, der eigentlich als Ausfallsicherungskreis für den Hauptsteuerkreis 1 gedacht ist, aufgrund eines eigenen Fehlbetriebes das Ausgangssteuersignal stören. Dies setzt die Zuverlässigkeit des gesamten Steuerungssystems erheblich herab.

Angesichts des beschriebenen Nachteils liegt der Erfindung die Aufgabe zugrunde, einen Ausfallsicherungskreis für ein Steuerungssystem anzugeben, bei dem die Wahrscheinlichkeit eines fehlerhaften Betriebes merklich verringert ist.

Diese Aufgabe wird durch die kennzeichnenden Merkmale des Patentanspruchs 1 gelöst. Vorteilhafte Weiterbildungen der Erfindung sind Gegenstand der Unteransprüche.

Die Erfindung wird nachfolgend unter Bezugnahme auf die Zeichnungen näher erläutert. Es zeigt:

Fig. 1 ein vereinfachtes Blockschaltbild eines bekannten Ausfallsicherungskreises für ein Steuerungssystem;

Fig. 2 ein vereinfachtes Blockschaltbild einer ersten bevorzugten Ausführungsform eines Ausfallsicherungskreises nach der vorliegenden Erfindung;

Fig. 3(A) ein vereinfachtes Blockschaltbild des Hauptsteuerkreises in Fig. 2;

Fig. 3(B) ein Zeitdiagramm für den Schaltkreis in Fig. 3(A);

Fig. k ein Flußdiagramm des Verfahrens zur Erzeugung des Zustandssignals in dem Hauptsteuerkreis nach Fig. 2;

Fig. 5(A) ein vereinfachtes Blockschaltbild des Hauptteils des Ausfallsicherungskreises in Fig. 2;

Fig. 5(B) ein Zeitdiagramm für den Schaltkreis nach Fig. 5(A);

Fig. 6 ein Flußdiagramm für den Ausfallerkennungsvorgang, der in dem Ausfallsicherungskreis ausgeführt wird;

Fig. 7 ein vereinfachtes Blockschaltbild eines Periodenbestätigungskreises in Fig. 2;

Fig. 8 ein vereinfachtes Blockschaltbild einer zweiten bevorzugten Ausführungsform eines Ausfallsicherungskreises nach der Erfindung;

Fig. 9 ein vereinfachtes Blockschaltbild einer dritten bevorzugten Ausführungsform eines Ausfallsiche-

rungskreises nach der Erfindung;

Fig. 10 ein vereinfachtes Blockschaltbild eines Logikkreises in Fig. 9;
5

Fig. 11 ein Zeitdiagramm für die dritte Ausführungsform nach Fig. 9;

Fig. 12 ein vereinfachtes Blockschaltbild einer vierten bevorzugten Ausführungsform der Erfindung;

Fig. 13(A) und 13(B) Flußdiagramme für die Erzeugung des Umschaltsignals in dem Ausfallsicherungskreis nach Fig. 12;

Fig. 14 ein Zeitdiagramm des Schaltkreises nach Fig. 12, und

Fig. 15 ein vereinfachtes Blockschaltbild einer fünften bevorzugten Ausführungsform der Erfindung.

In der in Fig. 2 dargestellen ersten bevorzugten Ausführungsform der Erfindung enthält der Hauptsteuerkreis 100 einen Mikrocomputer, der als Prozessoreinheit arbeitet und das Steuersignal b ausgibt. Der Mikrocomputer besteht aus einer zentralen Prozessoreinheit (CPU), einer Eingabe/ Ausgabe-Einheit, einem Nur-Lese-Speicher (ROM) und einem Speicher mit wahlfreiem Zugriff (RAM). Der Hauptsteuerkreis 100 gibt das Zustandssignal an den Ausfallsicherungskreis 110. Das Zustandssignal hat eine vorbestimmte Frequenz, die durch periodisches Invertieren eines Ausgangs in Übereinstimmung mit einem in dem Hauptsteuerkreis 100 enthaltenen Programm erzeugt wird. Der Vorgang beim Erzeugen des Zustandssignals wird später noch genauer erläutert werden. Wenn der Hauptsteuerkreis 100 eine Fehlfunktion zeigt, dann bleibt das Zustandssignal für eine zu lange Zeit auf einem gerade eingenommenen Pegel. Es

sei bemerkt, daß mit einem Pegel hier das Nichtauftreten des Zustandssignals, zu niedriger oder zu hoher Frequenz, gemeint ist.

Der Aushilfskreis 110 bildet einen Hilfssteuerkreis, der als Ausfallsicherungskreis wirkt und den Ausfall in dem Hauptsteuerkreis auf der Grundlage des Zustandssignals a erkennt, in welchem Falle er das Ersatzsignal c und ein Rechteckimpulssignal g erzeugt, das eine vorbestimmte Frequenz hat. Der Schalterkreis 120 schaltet zwischen dem Steuersignal b und dem Ersatzsignal c in Abhängigkeit vom Zustand des Umschaltsignals e um und gibt eines von ihnen als Ausgangssteuersignal d an die zu steuernde Einrichtung.

Der Rücksetzkreis 130 spricht auf Abnormitäten in der Hauptsteuereinheit 100, die durch das Zustandssignal a angezeigt werden, an und setzt den Hauptsteuerkreis 100 zurück.

Ein Periodenbestätigungskreis 150 ist zwischen den Aushilfskreis 110 und den Umschaltkreis 120 eingefügt, um das Umschaltsignal e dem Umschaltkreis 120 nur dann zuzuführen, wenn die Periode des Rechteckwellenimpulssignals g gleich oder ungefähr gleich einer vorbestimmten Periode ist.

Fig. 3(A) zeigt ein Beispiel des allgemeinen Aufbaus des Hauptsteuerkreises 100. In Fig. 3(A) ist mit 102 eine Steuersektion bezeichnet, enthaltend eine zentrale Prozessoreinheit (CPU) zum Steuern der verschiedenen Elemente und Funktionen des Hauptsteuerkreises 100, einen Nur-Lese-Speicher (ROM), der ein Steuerprogramm für die gesteuerte Einrichtung und das in Fig. 4 dargestellte Programm speichert, einen Speicher mit wahlfreiem Zugriff (RAM) zum zeitweiligen Speichern von Daten usw., und eine Eingabe/Ausgabe-Einheit zum Empfangen und Aussenden verschiedener Arten von Signalen von und zu anderen, externen Kreisen, einschließlich der in Fig. 2 gezeigten Krei-

/3·

se. Während des Steuerungsablaufs für die gesteuerte Einrichtung setzt die Steuersektion 102 einen vorbestimmten Wert in ein Register 104. Außerdem zählt ein Zeitgeber Taktimpulse CLK von der Steuersektion 102, um ein konstantes Zeitintervall abzumessen, und ein Komparator 108 vergleicht die Zahl der Taktimpulse CLK, die von dem Zeitgeber 106 gezählt werden, mit dem im Register 104 eingestellten Wert und erzeugt ein Unterbrechungssignal INT, wenn der Taktimpulszählerstand im Zeitgeber 106 mit dem im Register 104 eingestellten Wert übereinstimmt, wie in Fig. 3(B) gezeigt. Das Unterbrechungssignal INT wird der Steuersektion 102 zugeführt und als Rücksetzsignal verwendet, um den Zeitgeber 106 zurückzustellen, und weiterhin als Unterbrechungssignal verwendet, wie weiter unten erläutert.

Fig. 4 zeigt ein Programm zum Erzeugen des Zustandssignals. Das Zustandssignalerzeugungsprogramm der Steuersektion wird als Folge des Empfangs des Unterbrechungssignals INT in Betrieb gesetzt.

In einem Schritt S1 nach Fig. 4 bestimmt die Steuersektion 102, ob das Signal a sich auf seinem hohen Pegel befindet. Danach endet das Programm, nachdem der Signalpegel in einem Schritt S2 oder S3 invertiert worden ist.

Fig. 5(A) zeigt ein Beispiel des allgemeinen Aufbaus des Aushilfskreises 110 bei dieser Ausführungsform und erläutert, wie die Periode des Zustandssignals a bestätigt wird. In Fig. 5(A) ist eine weitere Steuersektion 112 in dem Aushilfskreis 110 vorgesehen, die ähnlich der im Hauptsteuerkreis 100 arbeitet. Außerdem ist ein weiterer Zeitgeber 116 zum Zählen der Taktimpulse CLK zur Abmessung einer konstanten Zeitperiode vorgesehen. Weiterhin ist ein Erfassungsregister 118 vorgesehen, um die durch den Zeitgeber 116 gezählte Zahl aufzunehmen, wenn das Signal a ansteigt. Die Steuersektion 112 kann die Periode des Sig-

nals a messen, indem sie die Werte des Zeitgebers 116 notiert. Mit anderen Worten, wenn die Werte von A, B, C und D entsprechend aufeinanderfolgender Anstiegsflanken des Signals a, wie in Fig. 5(B) gezeigt, aufgezeichnet werden, dann läßt sich die Periode des Signals a durch Ausrechnen von B-A, C-B, D-C, ... erhalten.

Fig. 6 zeigt ein Programm zum Steuern des Umschaltkreises 120, wie es durch die Steuersektion 112 bewirkt wird. Der Umschaltvorgang wird durch die Anstiegsflanke des Signals a ausgelöst. Zunächst wird in einem Schritt S11 die Periode des Signals a berechnet und danach ermittelt in einem Schritt S12 die Steuersektion 112, ob die Periode gleich jener im Falle des normalen Betriebes (Pa) ist oder dicht an dieser liegt. Wenn dies der Fall ist, endet das Programm. Ist dies jedoch nicht der Fall, dann geht die Routine zum Schritt S13 über, in welchem die Steuersektion einen Zähler weiterstellt, der beobachtet, wie lang die gemessene Periode fehlerhaft war. Die obenbeschriebenen Zähler können durch Verwendung eines Teils des Speichers realisiert werden. Im nächsten Schritt S14 ermittelt die Steuersektion 112, ob der Wert des obenbeschriebenen Zählers einen vorbestimmten Wert PV übersteigt. Ist dies der Fall, dann geht die Routine zu einem Schritt S15 über. Andernfalls endet das Programm. In dem Schritt S15 wird ein Kennzeichen, das in einem Speicherbereich der Steuersektion 112 enthalten ist, gesetzt, um anzuzeigen, daß der Hauptsteuerkreis 100 eine Fehlfunktion hat. Danach endet das Programm.

Der Unterbrechungssignalerzeugerkreis, der in Fig. 3(A) dargestellt ist, kann auch in dem Aushilfskreis 110 verwendet werden, um ein rechteckförmiges Impulssignal g mit derselben vorbestimmten Frequenz zu erzeugen, so daß dasselbe Programm, das in Fig. 4 dargestellt ist, von dem Periodenbestätigungskreis 150 verwendet werden kann, um den Hauptsteuerkreis 100 bezüglich Ausfall zu überprüfen.

P. AS. ^35U079 Fig. 7 zeigt ein Beispiel des Periodenbestätigungskreises 150.

Wie Fig. 7 zeigt, sind ein Bandpaßfilter 151 und ein wiedertriggerbarer monostabiler Multivibrator 152 in Serie geschaltet. Das Umschaltsignal g vom Aushilfskreis 110 wird dem wiedertriggerbaren monostabilen Multivibrator über das Bandpaßfilter 151 zugeführt. Der Ausgang dieses Multivibrators 152 dient als Umschaltsignal e. Der wiedertriggerbare monostabile Multivibrator 152 wird immer dann getriggert, wenn ein Impuls empfangen wird, und er gibt ein Signal mit einem konstanten Signalpegel so lange aus, wie der Eingangsimpuls eine kürzere Periode aufweist, als die Periode des quasistabilen Zustands des Multivibrators.

Der wiedertriggerbare monostabile Multivibrator 152 kann beispielsweise ein integrierter Schaltkreis vom Typ 7^122 oder 7^LS122 sein. Das Umschaltsignal e wird daher nur dann ausgegeben, wenn ein Signal innerhalb eines vorgegebenen Frequenzbereiches von dem Periodenbestätigungskreis 150 empfangen wird.

In dem Ausfallsicherungskreis der obenbeschriebenen Art besteht nur eine geringe Wahrscheinlichkeit, daß ein Umschaltsignal e für den Umschaltkreis 120 aufgrund eines Ausfalls des Aushilfskreises 110 erzeugt wird. Selbst wenn nämlich der Aushilfskreis 110 in fehlerhafter Weise ein Signal g ausgeben sollte, gibt der Periodenbestätigungskreis 150 kein Ausgangssignal e ab, es sei denn in dem sehr seltenen Zufall, daß das Eingangssignal g ein periodisches Signal innerhalb der Bandbreite des Filters 151 ist.

Fig. 8 zeigt eine zweite bevorzugte Ausführungsform des Ausfallsicherungskreises nach der vorliegenden Erfindung. Dieser Ausfallsicherungskreis nach Fig. 8 befriedigt auch solche Ausfälle, wie Unterbrechung der Signalleitung für das Signal e. Wenn der Umschaltkreis 120 so aufgebaut ist,

BAD ORIGINAL

35H079

daß das Steuersignal b vom Hauptsteuerkreis 100 als Ausgangssteuersignal d ausgewählt wird, wenn das Umschaltsignal e inaktiv ist oder auf seinem niedrigen Pegel liegt, kann ein Ableitwiderstand 160 zwischen die Signalleitung des Umschaltsignals e und Masse geschaltet werden. Andererseits, wenn das Steuersignal b vom Hauptsteuerkreis als Ausgangssteuersignal d gewählt wird, wenn das Umschaltsignal e aktiv oder auf hohem Pegel ist, kann ein "Heraufzieh"-Widerstand 170 zwischen eine positive Spannungsquel-Ie und die Signalleitung für das Umschaltsignal e geschaltet werden. In jedem Falle ist es vorteilhaft, einen solchen Widerstand in der Nähe des Umschaltkreises 120 anzuordnen .

In dem obenbeschriebenen Schaltkreis wählt der Umschaltkreis 120 das Steuersignal b als Ausgangssteuersignal d aus, um die normale Steuerung durch den Hauptsteuerkreis 100 fortzusetzen, selbst wenn der Periodenbestätigungskreis 150 oder die Leitung für das Umschaltsignal e einen Ausfall zeigen sollten.

Fig. 9 zeigt eine dritte bevorzugte Ausführungsform eines Ausfallsicherungskreises nach der vorliegenden Erfindung.

Der Aushilfskreis 110 bei dieser Ausführungsform gibt ein Ersatzsignal c und eine Vielzahl von Schaltmustersignalen SP1, SP2, ..., SPN ab, wenn festgestellt wird, daß der Hauptsteuerkreis 100 fehlerhaft arbeitet. Der Hauptsteuerkreis 100, der Umschaltkreis 120 und der Rücksetzkreis sind sämtlich in der gleichen Weise wie in der bereits beschriebenen ersten bevorzugten Ausführungsform ausgebildet.

Wie Fig. 9 zeigt, ist ein Logikkreis 140 zwischen den Aushilfskreis 110 und den Umschaltkreis 120 geschaltet, um das Umschaltsignal e für den Umschaltkreis 120 nur dann zu erzeugen, wenn die Vielzahl der Schaltsignale SP1 bis

BAD ORIGINAL

SPN in einer vorbestimmten logischen Kombination empfangen werden.

Es sei bemerkt, daß das Zustandssignal a bei dieser Ausführungsform in der gleichen Weise erzeugt wird, wie in der ersten Ausführungsform, wozu nochmals auf Fig. 3(A) Bezug genommen werden soll.

Fig. 10 zeigt ein Beispiel des inneren Aufbaus des Logikkreises 140 nach Fig. 9-

In dem Beispiel in Fig. 10 sind drei Signalleitungen für die Schaltsignale eingezeichnet und das Ersatzsignal c wird als Ausgangssteuersignal d ausgewählt, wenn der Ausgangspegel, d.h. das Umschaltsignal e vom Logikkreis 140 niedrigen Pegel hat.

Der Logikkreis 140 enthält erste und zweite Inverter 141,

142 in den mit SP1 und SP3 bezeichneten Leitungen und eine NAND-Schaltung 143 mit drei Eingängen, von denen zwei mit den Invertern 141, 142 verbunden sind.

Es sei betont, daß der Ausgangspegel der NAND-Schaltung

143 nur dann niedrig ist, wenn die drei Eingangsanschlüsse gleichzeitig hohen Pegel haben. Die vorbestimmte logische Signalkombination muß daher an der ersten Signalleitung SP1 niedrigen, an der zweiten Signalleitung SP2 hohen und an der dritten Signalleitung SP3 niedrigen Pegel haben, um ein Umschaltsignal e niedrigen Pegels zu erzeugen.

Fig. 11 zeigt ein Zeitdiagramm für die in Fig. 9 dargestellten Schaltkreise. In Fig. 11 wird eine Fehlfunktion des Systems zum Zeitpunkt F nach einer vorbestimmten Zeitdauer nach der letzten Zustandsänderung des Zustandssignals a nach Ausfall des Hauptsteuerkreises 100 erkannt. Zum Zeitpunkt F erzeugt der Aushilfskreis 110 die Signale SP1, SP2 und SP3 im folgenden Muster: niedrig (inaktiv)

BAD ORIGINAL

für die erste Signalleitung SP1, hoch (aktiv) für die zweite Signalleitung SP2 und niedrig (inaktiv) für die dritte Signalleitung SP3. Da der Logikkreis 140 das Umschaltsignal e als Folge des vorbestimmten Musters der drei Signale SP1, SP2, SP3 deaktiviert, wird das Ersatzsignal c als Ausgangssteuersignal anstelle des Steuersignals b ausgewählt.

In dem beschriebenen Ausfallsicherungskreis besteht nur eine geringe Wahrscheinlichkeit, daß ein Umschaltsignal e niedrigen Pegels aufgrund eines Ausfalls im Aushilfskreis 110 erzeugt wird. Dies ist darin begründet, daß der Umschaltkreis 120 das Ersatzsignal c für das Ausgangssteuersignal d nur dann auswählt, wenn die Schaltmustersignale SP1, SP2, SP3 in das gegebene Muster: niedrig (inaktiv) für die erste Signalleitung SP1, hoch (aktiv) für die zweite Signalleitung und niedrig (inaktiv) für die dritte Signalleitung fallen.

Der Ausfallsicherungskreis dieser Ausführungsform weist eine wesentlich verringerte Wahrscheinlichkeit einer fehlerhaften Ausfallsicherung auf, selbst wenn der Aushilfskreis 110 selbst einen Ausfall zeigen sollte, während der Hauptsteuerkreis 100 weiterhin normal arbeitet, weil eine geringere Wahrscheinlichkeit dafür besteht, daß die obenbeschriebene Mehrzahl von Mustersignalen in dem speziellen Muster (beispielsweise niedrig/hoch/niedrig) auftreten.

Fig. 12 zeigt eine vierte bevorzugte Ausführungsform eines Ausfallsicherungskreises nach der vorliegenden Erfindung.

Bei dieser Ausführungsform wird ein Ausfall des Hauptsteuerkreises 100 mittels des Ausgangs des Rücksetzkreises erkannt. Es sei beachtet, daß eine detaillierte Beschreibung hier nicht wiederholt zu werden braucht, da die einzelnen Schaltkreise, die in Fig. 12 dargestellt sind, in der gleichen Weise, wie in der dritten Ausführungsform be-

BAD ORIGINAL

schrieben, ausgeführt sind.

Wie Fig. 12 zeigt, wird das Signal a nicht dem Aushilfskreis 210 zugeführt, sondern nur dem Rücksetzkreis 130. Der Aushilfskreis 210 empfängt stattdessen das Rücksetzsignal f vom Rücksetzkreis. Mit anderen Worten, der Aushilfskreis 210 erkennt den Ausfall des Hauptsteuerkreises 100 durch Zählen der Anzahl, wie oft der Rücksetzkreis das Rücksetzsignal f abgibt, wenn der Hauptsteuerkreis eine Fehlfunktion hat.

Die Figuren 13(A) und 13(B) zeigen zusammen ein Verfahren zum Erkennen eines Ausfalls des Hauptsteuerkreises, wie es durch den Aushilfskreis 210 ausgeführt wird.

Gemäß Fig. 13(A) wird ein Rücksetzzähler weitergeschaltet, um die Zahl von Rücksetzvorgängen zu zählen, die als Folge des Empfangs eines jeden Rücksetzsignals ausgeführt werden. Der Rücksetzzähler kann entweder durch Software oder durch Hardware realisiert werden. Das Verfahren nach Fig. 13(B) wird andererseits mit einer vorbestimmten Häufigkeit ausgeführt.

Genauer gesagt, in einem Schritt S21 nimmt der Aushilfskreis 210 auf den Rücksetzzähler Bezug und ermittelt, ob der Zählwert einen vorbestimmten Wert PV übersteigt. Wenn im Schritt S21 die Antwort "Ja" ist, d.h., wenn der Aushilfskreis 210 erkennt, daß der Hauptsteuerkreis 100 eine Fehlfunktion zeigt, dann geht die Routine auf einen Schritt S22 über, wo der Aushilfskreis 210 das vorbestimmte Signalmuster an den Signalleitungen SP1, SP2, ..., SPN erzeugt. Ist die Antwort im Schritt S21 aber "Nein" oder nach Ausführung des Schritts S22 geht die Routine auf den Schritt S23 über, wo der Inhalt des Rücksetzzählers gelöscht wird, und das Programm nach Fig. 13(B) endet dann.

Fig. 14 zeigt ein Zeitdiagramm für typische Schaltkreise in Fig. 12.

BAD ORIGINAL

_γ - 2ο-

In Fig. 14 wird der Ausfall des Hauptsteuerkreises zum Zeitpunkt G erkannt, nachdem eine gegebene Anzahl von Rücksetzsignalen f aufgrund der Abwesenheit des Zustandssig- j- nals a erzeugt worden sind. Zum Zeitpunkt G setzt der Aushilfskreis 210 die drei Signalleitungen SP1 , SP2 und SP3 auf die inaktiven, aktiven bzw. inaktiven Pegel (niedrig/ hoch/niedrig).

Der Logikkreis 140 deaktiviert daher das Umschaltsignal e, so daß das Ausgangssteuersignal d auf das Ersatzsignal c umgeschaltet wird. Auf diese Weise wird die gleiche Wirkung wie bei dem dritten bevorzugen Ausführungsbeispiel erreicht.

Fig. 15 zeigt eine fünfte bevorzugte Ausführungsform für einen Ausfallsicherungskreis nach der vorliegenden Erfindung.

Der Ausfallsicherungskreis nach Fig. 15 ist dazu bestimmt, 20

solche Probleme, wie beispielsweise einen Bruch der Leitung für das Schaltsignal e zu lösen.

Wenn der Umschaltkreis 120 so aufgebaut ist, daß er das

Steuersignal b vom Hauptsteuerkreis 100 als Ausgangssteuer-25

signal d auswählt, wenn das Umschaltsignal e deaktiviert

ist, dann ist ein Ableitwiderstand 160 zwischen die Signalleitung des Umschaltsignals e und Masse in der gleichen Weise geschaltet, wie in der zweiten bevorzugten Ausführungsform nach Fig. 8.
30

Wenn andererseits der Umschaltkreis 120 so gestaltet ist, daß er das Steuersignal b des Hauptsteuerkreises 100 als Ausgangssteuersignal d auswählt, wenn das Umschaltsignal

e aktiviert ist, dann ist ein "Heraufzieh"-Widerstand 170 35

zwischen die Signalleitung des Schaltsignals e und eine positive Spannungsquelle geschaltet. In beiden Fällen ist es vorteilhaft, diesen Widerstand in der Nähe des Umschalt-

kreises 120 anzuordnen.

Da das Steuersignal b als Ausgangssteuersignal d selbst im Falle eines Ausfalls im Logikkreis 140 und/oder in der Signalleitung des Umschaltsignals e ausgewählt wird, kann ein Ausfall des Aushilfskreises den normalen Betrieb des Hauptsteuerkreises 100 nicht stören.

Die vorliegende Erfindung kann auf verschiedene Arten von Steuersystemen angewendet werden. Unter solchen Anwendungsfällen kann die Erfindung in gleicher Weise sowohl bei Systemen gebraucht werden, wo der Hauptsteuerkreis und der Aushilfskreis die gleichen Funktionen ausführen, als auch bei Systemen, wo der Aushilfskreis, wenn er den Hauptsteuerkreis ersetzt, nur die Minimalforderungen der zu steuernden Einrichtung erfüllt.

Wenn beispielsweise die vorliegende Erfindung auf ein Steuerungssystem für ein Kraftfahrzeug angewendet wird, kann beispielsweise der Hauptsteuerkreis den Zündzeitpunkt und den Kraftstoffeinspritzzeitpunkt usw. entsprechend den Maschinenbetriebsbedingungen steuern und der Aushilfskreis kann Daten bereitstellen, die einer festen Einspritzdauer und festen Zündzeitpunkten entsprechen usw., wenn der Hauptsteuerkreis ausfällt. Obgleich bei jeder hier dargestellten Ausführungsform nur ein einstufiger Ausfallsicherungskreis mit dem Aushilfskreis dargestellt ist, kann doch sehr einfach auch jede gewünschte Zahl von Stufen, je nach Bedarf, installiert werden.

Obgleich in den ersten und zweiten dargestellten Ausführungsformen nur ein Periodenbestätigungskreis vorgesehen ist, könnte sehr einfach auch eine Mehrzahl solcher Periodenbestätigungskreise vorgesehen werden, so daß eine Kombination dieser Ausgänge den Schaltbetrieb in dem Umschaltkreis triggern könnte. Die Zuverlässigkeit des Steuerungssystems könnte dadurch bemerkenswert gesteigert werden.

BAD ORIGINAL

Weiterhin sei betont, daß, obgleich der Periodenbestätigungskreis nach Fig. 7 ein Bandpaßfilter enthält, anstelle dessen auch ein Hochpaßfilter verwendet werden könnte, wenn der Aushilfskreis meistens nur in der Weise ausfällt, daß die Periode des Schaltsignals steigt oder wenn die Ausgabe des Umschaltsignals überhaupt ausfällt.

Da der Ausfallsicherungskreis für das Steuerungssystem nach der vorliegenden Erfindung, wie oben beschrieben, bewirkt, daß der Umschaltkreis das Ersatzsignal c als Ausgangssteuersignal d nur dann auswählt, wenn der Aushilfskreis ein spezielles Signal abgibt, kann die Gefahr vermieden werden, daß ein abnormes Signal als Ausgangssteuersigr.al ausgegeben wird, wenn der Aushilfskreis einen Ausfall zeigt, der Hauptsteuerkreis aber weiter normal arbeitet. Die Zuverlässigkeit des Steuerungssystems kann daher merklich gesteigert werden.

BAD ORIGINAL

- Leerseite -

Claims

GRUNECKER. KINKEuDEY. STOCKMAIR & PARTNE« PATE Dt- Cv Λ Ι.'Ε. P 19 503-514/to NISSAN MOTOR COMPANY, LIMITED 2, Takara-cho, Kanagawa-ku, Yokohama-shi, Kanagawa-ken, Japan Ausfallsicherungskreis für ein Steuerungssystem Patentansprüche

1. Ausfallsicherungskreis für ein Steuerungssystem, gekennzeichnet durch

a) eine erste Einrichtung (100) zum Bereitstellen eines b

ersten Steuersignals (b) für eine zu steuernde Einrichtung;

b) eine zweite Einrichtung (110, 210) zum Bereitstellen

eines zweiten Steuersignals (c) für die zu steuernde 30

Einrichtung;

c) eine dritte Einrichtung (112) zum Erkennen einer Fehlfunktion der ersten Einrichtung (100);

d) eine vierte Einrichtung (110), die auf die Erkennung

der Fehlfunktion der ersten Einrichtung (100) durch die dritte Einrichtung (112) anspricht, um ein einsig-

2 35H079

artiges Signal abzugeben;

e) eine fünfte Einrichtung (120) zum selektiven tiber-

_ tragen des ersten oder des zweiten Steuersignals 5

(b, c) als Ausgangssteuersignal (d) an die zu steuernde Einrichtung, und

f) eine sechste Einrichtung (140, 150), die auf das einzigartige Signal anspricht, um ein drittes Steuersignal (e) an die fünfte Einrichtung (120) abzugeben, um die fünfte Einrichtung (120) zu veranlassen, das zweite Steuersignal (c) an die zu steuernde Einrichtung abzugeben.

2. Ausfallsicherungskreis nach Anspruch 1, dadurch gekennzeichnet , daß das einzigartige Signal von der vierten Einrichtung (110) ein Signal einer vorbestimmten Frequenz ist und daß die sechste Einrichtung (150) nur

auf Signale innerhalb eines gewissen Bereiches um die vor-20

bestimmte Frequenz anspricht.

3. Ausfallsicherungskreis nach Anspruch 2, dadurch gekennzeichnet , daß die fünfte Einrichtung (120)

das erste Steuersignal (b) von der ersten Einrichtung (100) 25

in Abwesenheit des dritten Steuersignals (c) von der sechster. Einrichtung (150) überträgt.

4. Ausfallsicherungskreis nach Anspruch 1, dadurch gekennzeichnet , daß das einzigartige Signal von

der vierten Einrichtung (110) eine Mehrzahl von parallelen Logiksignalen (SP1, SP2, SP3 ..., SPN) in einer vorbestimmten Kombination logischer Pegel ist und daß die sechste Einrichtung (1¹JO) nur auf diese vorbestimmte Kombination logischer Pegel unter den Ausgangssignalen der vierten Einrichtung (110) anspricht.

5. Ausfallsicherungskreis nach Anspruch 1, dadurch gekennzeichnet , daß die dritte Einrichtung die Fehlfunktion der ersten Einrichtung (100) auf der Basis der Periode eines Zustandssignals (a) erkennt, das periodisch während der Erzeugung des ersten Steuersignals (b) durch die erste Einrichtung (100) erzeugt wird.

6. Ausfallsicherungskreis nach Anspruch 4, dadurch gekennzeichnet , daß die dritte Einrichtung die Fehlfunktion der ersten Einrichtung (100) auf der Basis der Anzahl erkennt, wie oft die erste Einrichtung (100) rückgesetzt wird.

7. Ausfallsicherungskreis nach Anspruch 4, dadurch g e kennzeichnet, daß die fünfte Einrichtung

(120) das erste Steuersignal (b) von der ersten Einrichtung (100) zu der zu steuernden Einrichtung in Abwesenheit des dritten Steuersignals (e) von der sechsten Einrichtung (140, 150) überträgt.

8. Ausfallsicherungskreis nach Anspruch 5, dadurch gekennzeichnet , daß die erste Einrichtung (100) enthält: eine Steuersektion (102) mit einem Mikroprozessor, ein Register (104) zur Aufnahme und vorübergehenden Speicherung eines vorbestimmten Wertes von der Steuersektion (102) während der Ausführung einer Serie von Steuervorgängen durch die Steuersektion (102), einen Zeitgeber (106) zum Zählen von Taktimpulsen fester Frequenz, einen Komparator (108) zum Vergleichen des in dem Register (104) gespeicherten vorbestimmten Wertes mit der Zahl der Taktimpulse, die von dem Zeitgeber (106) gezählt werden und zum Ausgeben eines Unterbrechungssignals an den Zeitgeber (106) zum Rücksetzen des Zeitgebers (106) und zur Steuersektion (102), um den Pegel des Zustandssignals (a) zu ändern, wodurch das Zustandssignal (a) eine vorbestimrr.te Periode aufweist, wenn die erste Einrichtung (100) normal arbeitet.

9. Ausfallsicherungskreis nach Anspruch 8, dadurch gekennzeichnet , daß die zweite Einrichtung enthält: eine Steuersektion (112) gleichen Aufbaus wie in der ersten Einrichtung (100), einen Zeitgeber (116) zum Zählen von Taktimpulsen, ein Erfassungsregister (118), das
den Zählwert des Zeitgebers (116) vorübergehend als Folge
der Anstiegsflanke des Zustandssignals (a) von der ersten
Einrichtung (100) speichert, wobei die Steuersektion (112) der zweiten Einrichtung (110, 210) die Werte des Erfassungsregisters (118) an aufeinanderfolgenden Anstiegsflanken des Zustandssignals (a) ausliest und vergleicht, um die Periode des Zustandssignals (a) zu ermitteln.

10. Ausfallsicherungskreis nach Anspruch 9, dadurch
gekennzeichnet, daß die Steuersektion (112) der zweiten Einrichtung (110, 210) die dritte Einrichtung
bildet und daß die dritte Einrichtung die Fehlfunktion der ersten Einrichtung (100) erkennt, wenn die Periode des Zustandssignals (a) nicht ausreichend gleich einer vorbestimmten Periode ist und das Zeitintervall, über das die
Periode des Zustandssignals (a) nicht ausreichend gleich
der vorbestimmten Zeitperiode ist, ein vorbestimmtes Zeitintervall überschreitet.

11. Ausfallsicherungskreis nach Anspruch 2, dadurch

gekennzeichnet , daß die sechste Einrichtung (150) umfaßt: ein Bandpaßfilter (151), das das einzigartige Signal von der vierten Einrichtung (110) aufnimmt und
die Komponenten des einzigartigen Signals, die in ein vorbestimmtes Frequenzband fallen, übertragen, und einen wiedertriggerbaren monostabilen Multivibrator (152), der mit
dem Bandpaßfilter (151) verbunden ist und das dritte Steuersignal (e) ausgibt, wenn die Komponenten des einzigartigen Signals in das vorbestimmte Frequenzband fallen.

12. Ausfallsicherungskreis nach Anspruch 1, dadurch

gekennzeichnet , daß die fünfte Einrichtung
(120) das erste Steuersignal (b) überträgt, wenn das drit-

te Steuersignal (e) auf einem geerdeten Spannungspegel ist, und daß er weiterhin einen Ableitwiderstand (16O) aufweist, der zwischen eine die fünfte Einrichtung (120) mit der sechsten Einrichtung (1¹IO, 150) verbindende Leitung und Masse geschaltet ist.

13. Ausfallsicherungskreis nach Anspruch 1, dadurch gekennzeichnet , daß die fünfte Einrichtung (120) das erste Steuersignal (b) überträgt, wenn das dritte Steuersignal (e) auf dem höheren von zwei Spannungspegeln ist, und daß er weiterhin einen "Heraufzieh"-Widerstand (170) aufweist, der zwischen eine die fünfte Einrichtung (120) mit der sechsten Einrichtung (140, 150) verbindende Leitung und eine positive Versorgungsspannung geschaltet ist.

14. Ausfallsicherungskreis nach Anspruch 10, dadurch gekennzeichnet , daß die vierte Einrichtung (110) eine Mehrzahl von parallelen Logiksignalen (SP1, SP2, SP3, ..., SPN) in einer vorbestimmten Kombination logischer Pegel abgibt, wenn die dritte Einrichtung (112) eine Fehlfunktion der ersten Einrichtung (100) feststellt, und daß die sechste Einrichtung (140) das dritte Steuersignal (e) an die fünfte Einrichtung (120) nur dann abgibt, wenn die vorbestimmte Kombination logischer Pegel gegeben ist.

15. Ausfallsicherungskreis nach Anspruch 14, dadurch gekennzeichnet , daß die sechste Einrichtung

(140) einen Logikkreis (141-143) mit mehreren Eingängen enthält, von denen jeder eines der Mehrzahl der parallelen Logiksignale von der vierten Einrichtung (112) aufnimmt, und der einen Ausgangsanschluß hat, von dem das dritte Steuersignal (e) an die fünfte Einrichtung (120) nur dann abgegeben wird, wenn die Kombination der logischen Pegel der parallelen Logiksignale einen vorbestimmten logischen Zustand erfüllt.

₆ 35H079

16. Ausfallsicherungskreis nach Anspruch 15, dadurch gekennzeichnet , daß die vierte Einrichtung (112) drei parallele Signale (SP1, SP2, SP3) mit niedrigen, hohen bzw. niedrigen Pegeln abgibt und daß der Logikkreis (141-143) zwei Inverter (141), die die zwei Signale niedrigen Pegels aufnehmen, und eine NAND-Schaltung (143), die die zwei invertierten Signale und das verbleibende Signal hohen Pegels aufnimmt, enthält, so daß die NAND-Schaltung (143) das dritte Steuersignal (e) mit niedrigem logisehen Pegel an die fünfte Einrichtung (120) abgibt, um es der fünften Einrichtung (120) zu ermöglichen, das zweite Steuersignal (c) an die zu steuernde Einrichtung zu übertragen.

17. Ausfallsicherungskreis nach Anspruch 1, dadurch gekennzeichnet , daß das zweite Steuersignal (c) die Minimumsteuererfordernisse der zu steuernden Einrichtung befriedigt.

18. Ausfallsicherungskreis für ein Steuersystem, gekennzeichnet durch:

a) einen ersten Steuerkreis (100) zum Abgeben eines ersten Steuersignals an eine zu steuernde Einrichtung;

b) einen zweiten Steuerkreis (110, 210) mit einer Einrichtung zum Abgeben eines zweiten Steuersignals (c) an die zu steuernde Einrichtung, einer Einrichtung zum Erkennen einer Fehlfunktion des ersten Steuerkreises, und einer Einrichtung zum Abgeben eines einzigartigen Signals, wenn die die Fehlfunktion erkennende Einrichtung eine Fehlfunktion des ersten Sfceuerkreises erkennt;

c) einen Umschaltkreis (120) zum Umschalten zwischen den ersten und zweiten Steuerkreisen (100; 110, 210) zum Übertragen des ersten oder des zweiten Steuersignals (b, c) zu der zu steuernden Einrichtung, und

35U079

d) einen Umschaltsteuerkreis zum Steuern des Umschaltkreises (120), um die Übertragung des zweiten Steuersignals (c) zu der" zu steuernden Einrichtung zu.ermöglichen, wenn die das einzigartige Signal abgebende Einrichtung ein Signal abgibt, das einen vorbestimmten Zustand befriedigt, der sowohl die Fehlfunktion des ersten Steuerkreises (100) und einen ordnungsgemäßen Betrieb des zweiten Steuerkreises (110, 210) anzeigt.