CH641579A5 - Circuit de securite pour surveiller le fonctionnement d'un dispositif de commande. - Google Patents

Description

L'invention a pour objet un circuit de sécurité, en particulier autocontrôleur, pour surveiller le fonctionnement d'un dispositif de commande, notamment celui servant à commander l'alimentation en combustible d'un brûleur, avantageusement d'un brûleur à gaz.

Actuellement, les dispositifs de commande pour brûleurs à combustible sont soumis à de sévères exigences de sécurité. Les dispositifs de commande comportant un microprocesseur ont l'avantage de satisfaire à ces exigences et, de plus, grâce à leur polyvalence d'utilisation, d'améliorer la présentation des données à l'opérateur et de permettre le contrôle de paramètres tels que température et rapport air/combustible.

Les dispositifs de commande pour brûleurs incorporant un microprocesseur ont plusieurs exigences pour l'enclenchement de leurs différentes fonctions: alimentation en tension, opérations, réenclenchement à une heure déterminée. Cette dernière fonction est souvent matérialisée par une horloge de surveillance qui, dans le cas d'un circuit autocontrôleur, peut arrêter le microprocesseur quand il n'est pas déclenché à nouveau. Si un haut degré de sécurité du fonctionnement est exigé, tous les circuits doivent être fiables ou pouvoir être contrôlés durant le fonctionnement.

Le circuit de sécurité objet de l'invention satisfait à ces exigences. Il comprend une sortie pouvant être amenée dans un premier état déterminé en cas de défaillance d'un composant ou autre mauvais fonctionnement du dispositif, ou du circuit, et est caractérisé en ce qu'il comprend des moyens d'entrée destinés à être reliés au dispositif de commande pour délivrer une impulsion de déclenchement en réponse à un signal d'entrée déterminé, des moyens comportant un circuit monostable pouvant être remis dans son état initial, qui délivrent un signal alternatif en réponse à une séquence déterminée d'impulsions de déclenchement, et un circuit de pompage amenant la sortie dans un deuxième état en réponse au signal alternatif.

Aux dessins annexés, donnés à titre d'exemple:

la fig. 1 représente l'architecture d'un microprocesseur classique à huit bits, et la fig. 2 est le schéma d'un circuit de sécurité conforme à l'invention, qui comprend une horloge de surveillance et des moyens d'enclenchement agissant sur le microprocesseur.

Dans le microprocesseur à huit bits représenté à la fig. 1, des données y sont manipulées et sont transférées au moyen d'un bus de données D0-D7. Un fonctionnement correct implique la fourniture de signaux d'horloge et de commande pour accomplir certaines fonctions et la supervision d'autres lignes de signaux par des circuits extérieurs pour déterminer l'état du processeur. Les signaux d'horloge sont délivrés par deux entrées d'horloge 01 et 02 qui acceptent des signaux à deux phases ne se recouvrant pas et qui sont amenés par une piste de distribution.

Le circuit de sécurité, permettant la commande du microprocesseur (MP), est représenté à la fig. 2. Une source de courant alternatif alimente l'entrée AC d'un redresseur P. La sortie redressée va, au travers d'un régulateur de tension VR, vers la piste d'alimentation Vcc du microprocesseur. La sortie non régulée du redresseur est réglée par un diviseur de tension comprenant des résistances RI et R3 en série avec une diode Zener Dl. En fonctionnement normal, la tension aux bornes de la diode Zener est plus élevée que celle de son voltage caractéristique, la rendant conductrice, enclenchant ainsi un transistor de commutation Tl relié à son anode. Un inverseur IC8, comprenant à son entrée des moyens de mise en forme (bascule de Schmitt), est relié à une résistance de charge R4 du collecteur du transistor Tl, sa sortie étant dans un état haut lorsque le transistor est dans un état de conduction. L'inverseur IC8 est couplé, par une diode D2, à un deuxième inverseur IC9. Lorsque la sortie est dans un état haut, la diode D2 est soumise à une polarisation inverse et la sortie de l'inverseur IC9 est dans un état bas. Lorsque la tension aux bornes de la diode Zener Dl tombe au-dessous de son voltage caractéristique, la diode cesse d'être conductrice et le courant de base du transistor Tl est bloqué. Le transistor alors commute. L'entrée du premier inverseur passe dans un état haut et sa sortie dans un état bas, polarisant dans le sens de conduction la sortie de la diode et permettant au condensateur Cl de se décharger.

Un troisième inverseur IC10 est couplé au second inverseur IC9, de façon à jouer ensemble le rôle d'un tampon non inversable et fournissant un signal d'enclenchement (à bas niveau) du microprocesseur. Le condensateur Cl, à l'entrée du deuxième inverseur IC9, est relié au travers d'une résistance R5 à l'alimentation Vcc du microprocesseur, de façon à maintenir l'entrée du second inverseur IC9 au-dessous de son point de commutation pendant un temps qui est déterminé par la constante de temps du circuit formé par R5 et Cl. Ce signal est inversé par le second inverseur IC9 et est à nouveau inversé par le troisième inverseur IC10 qui délivre le signal d'enclenchement à bas niveau requis par le microprocesseur. Lorsque la tension à l'entrée du deuxième inverseur croît au-dessus de son point de commutation, la ligne d'enclenchement du microprocesseur est amenée dans son état haut et le microprocesseur peut exécuter un programme. Lorsque l'alimentation est déclenchée, une diode D3 montée en parallèle forme un chemin de décharge alors que la diode D2 bloque l'autre possibilité de charge au travers de l'inverseur IC8. Grâce à cet agencement, on contrôle le circuit chaque fois que la tension est appliquée au circuit de surveillance.

Une autre connexion à la base du transistor Tl, par l'intermédiaire d'une résistance R2, permet un déclenchement manuel. Normalement, l'entrée est flottante; lorsqu'elle est mise à la terre, le diviseur de tension R1-R3 polarise la base du transistor, lequel délivre un signal de basse tension équivalant au déclenchement de l'alimentation.

5

10

15

20

25

30

35

40

45

50

55

60

65

3

641 579

Le fonctionnement correct du microprocesseur est contrôlé par une horloge de surveillance comprenant un circuit de pompage à diodes. Les impulsions provenant du microprocesseur alimentent, par l'intermédiaire d'une combinaison de cirtuits de porte NON-ET et NON-OU ICI à IC5, d'un transistor de commutation T2 et d'un 5 inverseur IC7, un circuit de pompage à diodes. Si ce circuit n'est pas continuellement maintenu en fonction par le microprocesseur, il déclenche l'entrée Halte du microprocesseur et, ainsi, le circuit de surveillance.

Les circuits de porte ICI à IC5 décodent l'information provenant io des bus de données et de contrôle de façon à fournir un signal haut au transistor de commutation T2 seulement lorsqu'une donnée particulière (sous la forme d'un mot) est écrite à une position de mémoire ayant une adresse spécifique. Ce signal est court (moins de 1 |is), mais suffisamment long pour provoquer la commutation du 15 transistor de commutation T2 et décharger un condensateur C3 qui se rechargera lorsque le transistor commutera à nouveau. Le temps de charge dépend de la constante de temps du circuit formé par le condensateur C3 et une résistance de charge R8 du collecteur du transistor T2. 20

Durant l'intervalle de charge, l'entrée de l'inverseur IC7 est dans un état bas et sa sortie dans un état haut. Le microprocesseur est programmé de façon à déclencher l'horloge de surveillance afin qu'il engendre des signaux carrés ayant approximativement un cycle de travail (duty cycle) de 50% à la sortie de l'inverseur IC7. Ces 25

signaux carrés font commuter un transistor T3 pilotant le circuit de pompage à diodes, lequel comprend des condensateurs C4 et C5 et des diodes D7 et D8. La tension de sortie du circuit de pompage n'est quasi constante que lorsqu'une tension alternative est appliquée à l'entrée. En l'absence de cette tension alternative ou en cas de défaillance d'un composant du circuit de pompage, une résistance shunt RI 1 déchargera le condensateur C5 et amènera la sortie dans un état bas, arrêtant alors le microprocesseur. De même, si le taux de déclenchement du circuit de pompage est trop bas, le condensateur C5 ne se chargera pas suffisamment pour maintenir le microprocesseur en fonctionnement. Si le microprocesseur déclenche l'horloge de surveillance trop fréquemment, le circuit monostable formé par les composants T2, C3, R8 et IC7 (que l'on peut remettre dans son état initial) ne peut fonctionner, de sorte qu'une tension continue est appliquée au transistor de commutation T3, empêchant ainsi l'action du circuit de pompage.

Un circuit monostable formé par les composants C2, D4, R6 et IC6 (circuit que l'on ne peut remettre dans son état initial) délivre une tension alternative au circuit de pompage, fournissant ainsi le signal nécessaire au démarrage lorsque la sortie du microprocesseur est en état d'inhibition. On assure ainsi que le signal Halte du microprocesseur est annihilé pendant un temps suffisant pour permettre la mise en route d'un programme et le redéclenchement de l'horloge de surveillance.

La sortie de l'horloge de surveillance est reliée à un inverseur ICI 1 qui pilote une diode électroluminescente LED indiquant, par un signal visuel, à un opérateur que le dispositif de commande fonctionne normalement.

Bien que l'invention ait été décrite en relation avec un microprocesseur, il est clair que le circuit de surveillance peut être associé à n'importe quel circuit de calcul ou ordinateur d'un dispositif de commande.

R

2 feuilles dessins

Claims (7)

641 579

1. Circuit de sécurité pour surveiller le fonctionnement d'un dispositif de commande, comprenant une sortie pouvant être amenée dans un premier état déterminé en cas de défaillance d'un composant ou autre mauvais fonctionnement du dispositif, ou du circuit, caractérisé en ce qu'il comprend des moyens d'entrée (ICI à IC5) destinés à être reliés du dispositif de commande pour délivrer une impulsion de déclenchement en réponse à un signal d'entrée déterminé, des moyens comportant un circuit monostable (R7, T2, R8, C3) pouvant être remis dans son état initial, qui délivrent un signal alternatif en réponse à une séquence déterminée d'impulsions de déclenchement, et un circuit de pompage (C4, C5, D7, D8) amenant la sortie dans un deuxième état en réponse au signal alternatif.

2. Circuit selon la revendication 1, caractérisé en ce qu'il comprend des moyens comportant un circuit bistable (Dl, Tl, R2, IC8), destinés à être reliés à une alimentation du dispositif de commande pour délivrer un signal de sortie en cas de défaillance de cette alimentation.

2

REVENDICATIONS

3. Circuit selon la revendication 2, caractérisé en ce que les moyens comportant le circuit bistable sont agencés de façon à produire le signal de sortie lorsque la tension de l'alimentation tombe à une valeur donnée.

4. Circuit selon la revendication 3, caractérisé en ce qu'il comprend des moyens délivrant un signal additionnel équivalant à la tension de l'alimentation tombée à ladite valeur donnée.

5. Circuit selon l'une des revendications 2, 3 ou 4, caractérisé en ce que les moyens comprenant le circuit bistable sont reliés aux moyens comprenant le circuit monostable pour permettre le fonctionnement de ce dernier en l'absence d'une impulsion de déclenchement.

6. Circuit selon l'une des revendications précédentes, caractérisé en ce qu'il comprend des moyens indicateurs fournissant une indication visuelle de l'état de la sortie.

7. Utilisation du circuit selon l'une des revendications précédentes, pour surveiller le fonctionnement d'un dispositif de commande pour brûleur de combustible.