CN109213026B - 向接口卡供电的方法以及安全状态控制器 - Google Patents

Abstract

本发明涉及一种控制向接口卡(2)供电的方法，所述接口卡(2)将一个或多个主机设备(3)连接至通信网络内的一个或多个网络设备(4)，所述方法包括：a)设置连接设备(5)，其在正常操作模式下将所述接口卡(2)连接至电源(6)从而向所述接口卡(2)供电；b)设置故障检测单元(7a、7b)，所述故障检测单元(7a、7b)至少间接地连接至所述连接设备(5)；c)一旦通过故障检测单元(7a、7b)检测到低严重性故障和/或高严重性故障，则连接设备(5)切换至安全状态模式，在安全状态模式下，连接设备(5)切断电源(6)与接口卡(2)的连接。本发明还涉及相应的安全状态控制器(1)。

Description

向接口卡供电的方法以及安全状态控制器

技术领域

本发明涉及一种用于控制向接口卡供电的方法并且涉及一种控制向接口卡供电的安全状态控制器。具体地，本发明涉及一种列车通信网络(TCN)内使用的方法以及安装状态控制器。TCN通常由不同的通信网络选项构成，尤其是由绞线式列车总线(WTB)和多功能车辆总线(MVB)构成。此外，还可设置有控制器局域网(CAN-总线)和/或以太网(ETH)。

背景技术

本发明与具有安全相关功能的接口卡相关。例如，对于将安全相关的主机设备连接至TCN的接口卡来说安全相关功能是必需的。在一个示例中，安全相关的主机设备是包含制动控制器的制动控制主机设备。另一种安全相关的主机设备可以是包含门控制器的门控制设备或包含电动机控制器的电动机控制设备。对于这些安全相关的主机设备来说，必须确保存在切换到安全状态模式的可能性，从而在故障状态(例如组件失效、软错误等等)下采用该模式。

根据故障的严重性，需要或期望采取不同的措施。因此，故障至少可以分为低严重性故障和高严重性故障。低严重性故障可以是软错误，例如易失性存储器内单粒子翻转(SEU)，这种故障与有缺陷的硬件组件不相关。高严重性故障可以是组件或硬件故障，尤其来源于设备的过电压。如果出现这种高严重性故障，则假设是将主机设备连接至TCN的接口卡损坏。或者换言之，在这种情况下，假设的是接口卡不再正常工作。

因此，本发明的目的是提供一种用于控制向接口卡供电的方法并且提供了一种控制向通信网络内的接口卡供电的改善的安全状态控制器。

发明内容

与该方法相关的问题通过权利要求1所述的方法来解决。优选实施例在从属权利要求中提出。

因此，提供了一种用于控制向接口卡供电的方法。接口卡将一个或多个主机设备连接至通信网络内的一个或多个网络设备，优选地连接至列车通信网络内的一个或多个网络设备。所述方法包括设置一连接设备的步骤，其中该连接设备在正常操作模式下将接口卡连接至电源从而向接口卡供电。此外，还设置有用于低严重性故障和/或高严重性故障的故障检测单元，其中故障检测单元至少间接地连接至连接设备。一旦通过故障检测单元检测到低严重性故障和/或高严重性故障，那么连接设备切换至安全状态模式，其中连接设备切断所述电源与接口卡的电力连接。接口卡和安全状态控制器，尤其是其连接设备可以一体形成。

根据一个示例，能量存储单元连接至连接设备，其中能量存储单元在正常操作模式下被放电(is discharged)或放电(gets discharged)。在安全状态模式下，能量存储单元被充电(is charged)或充电(gets charged)直到至少为连接设备提供阈值电压，从而切断电源与接口卡的连接。根据能量存储单元的适当选择，否定时间(negation time)可能会受到正面影响。否定时间是从检测到故障存在开始到执行安全状态结束之间的时间跨度。相应地，在一个实施例中能量存储单元是电容器。也可以使用其他能量存储单元，例如蓄电池。

在另一个示例中，安全状态模式包括第一安全状态模式。第一安全状态模式使连接设备能够将电源重新连接到接口卡，从而再向接口卡供电。因此，第一安全状态模式也称为暂时切断模式。在该第一安全状态模式下，仅仅是暂时切断电源与接口卡的连接并且还可以重新连接。

根据另一个示例，设置第一安全状态电路，其包括第一半导体开关设备，例如第一晶体管。一旦通过检测单元检测到低严重性故障，向第一半导体开关设备供电从而激活第一安全状态模式。一旦激活第一安全状态电路，第一安全状态模式也激活了。这具有如下效果：为半导体开关设备设置电子触发信号或触发电压从而启动第一安全状态模式。

所述方法包括切断第一半导体开关设备的电力的额外步骤，从而停用第一安全状态电路并停用第一安全状态模式。这使连接设备以及整个系统回到正常操作模式。在另一个实施例中，只有在断开或关闭电源并再次重新应用时才能获得正常操作模式。

在另一个示例中，安全状态模式包括第二安全状态模式，而连接设备在第二安全状态模式下不能将电源重连至接口卡。因此，第二安全状态模式也称为永久切断模式。这具有如下效果：接口卡不再供电。禁止主机设备和(列车)通信网络之间的信号传输。

根据一个实施例，设置第二安全状态电路，其包括第二半导体开关设备，例如第二晶体管。一旦通过检测单元检测到高严重性故障，向第二半导体开关设备供电从而激活第二安全状态模式。一旦激活第二安全状态电路，则保险丝熔断。这具有如下效果：连接设备被保持在第二安全状态模式。因此，在这种情况下，连接设备不能将电源重连至接口卡。这确保了，安全相关的主机设备和(列车)通信网络设备之间不经由接口卡发生信号传输，或者将来可能发生。

与安全状态控制器相关的问题通过权利要求8所述的安全状态控制器来解决。优选实施例在从属权利要求中提出。

安全状态控制器控制向接口卡提供的电力并且包括连接设备，其中连接设备在正常操作模式下将接口卡连接至电源从而向接口卡供电。连接设备至少间接地可连接或连接至故障检测单元。连接设备可切换或可改变至安全状态模式，其中一旦通过故障检测单元检测到低严重性故障和/或高严重性故障则连接设备切断电源与接口卡的连接。可以通过安全状态控制器断开安全相关的主机设备与(列车)通信网络设备的连接。这具有一旦检测到故障则禁止通过接口卡传输错误或不正确信号的效果。

根据一个示例，通过或在能量存储单元提供的电压的帮助下，连接设备能够在正常操作模式和安全状态模式之间切换或改变。能量存储单元配置为在正常操作模式下被放电或放电。其也配置为在安全状态模式下被充电或充电至少到阈值电压，该阈值电压被提供至连接设备。一旦向连接设备提供阈值电压，连接设备停止导电并切断电源与接口卡的连接。

在另一个示例中，连接设备是p沟道MOSFET(金属氧化物半导体场效应晶体管)。MOSFET通常是具有源极(S)、栅极(G)、漏极(D)和基体(S)端子的四端器件。根据一个实施例，MOSFET的基体(或基底)连接至源极端子使其成为与其他场效应晶体管一样的三端器件。MOSFET的栅极连接至能量存储单元。因此，当对能量存储单元充电时，其提供源极-栅极电压。源极连接或可连接至电源并且漏极连接或可连接至接口卡。由于MOSFET是p沟道MOSFET，当栅极-源极电压低于预定阈值电压时，MOSFET导通。当栅极-源极电压达到阈值电压时，MOSFET启动安全状态模式，即，不导通，从而切断电源与接口卡的连接。由于没有电力供给至接口卡，因而一个或多个主机设备和一个或多个网络设备之间不再有信号传输。

在另一个实施例中，安全状态模式包括第一安全状态模式并且设置有第一安全状态电路。第一安全状态电路在正常操作模式下为无效的，但是一旦检测到低严重性故障则被激活从而可逆地将连接设备(暂时地)切换到第一安全状态模式。第一安全状态电路可以由第一触发电路单独触发或供电。

第一安全状态电路可包括第一半导体开关设备，例如栅极可以(例如通过提供电流)被触发的第一晶体管。第一半导体开关设备配置为一旦通过故障检测单元检测到低严重性故障则激活第一安全状态电路。

在另一个示例中，安全状态模式额外地或可替代地包括第二安全状态模式，其中设置有第二安全状态电路。第二安全状态电路在正常操作模式下也是无效的。一旦检测到高严重性故障则被激活从而不可逆地将连接设备(永久)切换至第二安全状态模式。第二安全状态模式的典型情况是提供至接口卡的过电压。如果出现这些情况，则假设接口卡不再正常工作并且安全相关的主机设备必须从(列车)通信网络设备断开。第二安全状态电路可以由第二触发电路单独触发或供电。

在一个示例中，第二安全状态电路包括第二半导体开关设备，例如栅极可以(例如通过提供电流)被触发的第二晶体管。第二半导体开关设备配置为一旦通过故障检测单元检测到高严重性故障则激活第二安全状态电路从而激活第二安全状态模式。

在另一个示例性实施例中，安全状态模式包括可逆的第一安全状态模式和不可逆的第二安全状态模式。在第一安全状态模式下，连接设备能够将电源重连至接口卡，而在第二安全状态模式下，连接设备不能从电源向接口卡供电。为了实现切断，设置有保险丝，其配置为在第二安全状态模式下被熔断。保险丝配置为在第一安全状态模式下不被熔断。因此，一旦清除所检测到的低严重性故障则接口卡可被重连至电源，然而一旦检测到高严重性故障则不能将接口卡重连至电源。

如附图所示，根据以下示例性实施例的详细描述，本发明的其他变型将变得显而易见。

附图说明

图1示出了安全相关的系统的简化视图，所述系统具有将电源连接至接口卡的示例性安全状态控制器，接口卡将一个或多个主机设备连接至通信网络内的一个或多个网络设备；

图2示出了安全状态控制器的另一个示意性实施例的视图；

图3示出了将电源连接至接口卡的安全状态控制器的更详细的视图；

图4示出了用于触发第一半导体开关设备的触发电路；以及

图5示出了用于触发第二半导体开关设备的第二触发电路；以及

图6示出了包括与接口卡一体集成的安全状态控制器的接口卡系统。

具体实施方式

现在参考图1，示出了安全状态控制器1，其将接口卡2连接至电源6。在示例性实施例中，接口卡2提供可重构逻辑设备，例如现场可编程门阵列(FPGA)21。根据FPGA21的一个方面，其包含配置为运行实时操作系统的CPU22。此外，一些嵌入式应用可以被存储到FPGA21的存储器中，这些嵌入式应用也可以被加载到CPU22中并且在CPU22上运行。进一步，接口卡2提供数字接口模块23或现场总线接口。优选地，数字接口模块23是交换机，根据接口卡2的另一个方面，所述交换机可以形成为三端口以太网交换机。该交换机将一个或多个网络设备4连接至接口卡2。可以在CPU22内处理提供至数字接口模块23的信号并且(在处理之后)可以通过网络接口模块24将信号传输至主机设备3，在示例性实施例中，网络接口模块24是双通道数字上变频器。主机设备3可以是包含制动控制器的制动设备。在另一个实施例中，主机设备3是门控制器或光控制器或气候系统控制器等等。此外，接口卡2可包括其他或者额外的组件25。

安全状态控制器1包括连接设备5，所述连接设备5在正常操作模式下将接口卡2连接至电源6从而向接口卡2供电。连接设备5还可以连接至故障检测单元7a、7b。在本示例中，故障检测单元7a、7b包括两部分，即用于低严重性故障检测(例如软错误)的故障检测单元7a和用于高严重性故障检测(例如过电压)的故障检测单元7b。在示例性实施例中，FPGA21包括用于低严重性故障检测的故障检测单元7a。用于高严重性故障检测的故障检测单元7b也设置在接口卡2的电路板26上，但与FPGA21分开。一旦通过故障检测单元7a、7b检测到低严重性故障和/或高严重性故障，连接设备5被切换或改变至安全状态模式，在安全状态模式下连接设备5切断电源6与接口卡2的连接。切断电源6与接口卡2的连接导致数字接口模块23和/或网络接口模块24停止工作。或者，换言之，数字接口模块23和/或网络接口模块24在安全状态模式下设置为无效的。

现在参考图2，示出了具有可替代的故障检测单元7a、7b的安全状态控制器1的更简化的结构。在该实施例中，故障检测单元7独立于接口卡2设置并且包括用于低严重性故障检测(例如软错误)的故障检测单元7a和用于高严重性故障检测(例如过电压)的故障检测单元7b。

转向图3，示出了示例性安全状态控制器1的更详细的视图。正如上文已经讨论的，该安全状态控制器1配置为探测两种不同类型的故障并做出反应。因此，它包括两种不同的安全状态模式，第一安全状态模式和第二安全状态模式。在第一安全状态模式内，其能够返回至正常操作模式，其中在正常操作操作模式下，连接设备5通过切断或断开电源6并再重新应用电源6来将电源6连接至接口卡2。在第二安全状态模式下，永久地切断电源6与接口卡2的连接。没有重大(人为)干预，即手动返工，不可能重连。

接下来将详细描述正常操作模式。在图3的实施例中，连接设备5形成为包括栅极16、源极17和漏极18的P沟道MOSFET15。MOSFET15还包括体二极管14。能量存储单元8，根据本实施例是电容器，通过电阻器125连接至MOSFET15的栅极16。在正常操作模式下，能量存储单元8通过接地端121被放电或放电。在该结构中，电流经由保险丝13被引导至接地端121。因此，在MOSFET15的源极17和MOSFET15的栅极16之间不提供电压或提供低于阈值电压的电压。因此，在正常操作模式下，P沟道MOSFET15在其源极17和其漏极18之间导通。在示例性实施例中，源极17连接至电源6并且接口卡2连接至MOSFET15的漏极18。在正常操作模式下，电源6的电力经由连接设备5被送至接口卡2。

此外，安全状态控制器1包括第一安全状态电路9和第二安全状态电路11。第一安全状态电路9包括第一半导体开关设备10，其中第一半导体开关设备10形成为包括基极、集电极和发射极的第一晶体管。第二安全状态电路11包括第二半导体开关设备12，其中相应地第二半导体开关设备12形成为包括基极、集电极和发射极的第二晶体管。在正常操作模式下两个安全状态电路9和11都是无效的并且它们的半导体开关设备10和12并不导通。

接下来将详细描述第一安全状态模式。当通过故障检测单元7a检测到低严重性故障时，通过触发线119将电流提供至第一半导体开关设备10的基极从而对第一半导体开关设备10供电。一旦激活第一安全状态电路9，能量存储单元8开始充电从而在P沟道MOSFET15的栅极16处提供超出预定的阈值电压的电压。在本示例性实施例中，MOSFET15的栅极16和源极17之间的阈值电压是-0.5V。然后，连接设备5不再导通并且切断电源6与接口卡2的连接。因此，数字接口模块23和/或网络接口模块24被设置为无效的以防止经由接口卡2的任何信号传输。在本示例性实施例中，第一半导体开关设备10的基极电流必须超过150μA以激活第一安全状态电路9。

在第一安全状态模式下，保险丝13不熔断。因为如此，当第一半导体开关设备10和/或第一安全状态电路9再次变为无效时，能量存储单元8通过保险丝13放电至接地端121。栅极-源极电压减少到低于阈值电压，然后P沟道MOSFET15再次开始导通从而将电源6重连至接口卡2。因此，第一安全状态模式也称为暂时切断模式。

接下来将详细描述第二安全状态模式。一旦检测到高严重性故障，则第二半导体开关设备12通过触发线120激活。当第二半导体开关设备12开始导通时，第二安全状态电路11也被激活。一旦激活第二安全状态电路11，则保险丝13熔断。在本实施例中，可以通过120mA的熔丝电流来熔断保险丝13。能量存储单元8再次充电至少达到P沟道MOSFET15的栅极16和源极17之间的阈值电压。在这种情况下，连接设备5停止导通并且切断电源6与接口卡2的连接。因此，数字接口模块23和/或网络接口模块24被设置为无效的以防止经由接口卡2的任何信号传输。在本示例性实施例中，第二半导体开关设备12的基极电流必须超过150μA以激活第二安全状态电路11。

由于保险丝13在第二安全状态模式下被熔断，能量存储单元8不可能再次通过接地端121放电。这就是为什么安全状态控制器1不再能够恢复到正常操作模式，因为MOSFET15的栅极-源极电压将不再减少到预定的阈值电压。永久地切断电源与接口卡2的连接。因此，第二安全状态模式也称为永久切断模式。

现在参考图4，根据一个实施例，可以以两种方式通过触发线119来触发第一半导体开关设备。要么通过拉低测试_N(TEST_N)来触发，要么通过拉低循环_N(CYCLE_N)来触发。对此，描述了用于第一安全状态模式的第一触发电路的一种可能。

当拉低测试_N时，可以执行安全状态控制器1，尤其是连接设备5的自测试。在这种情况下，第一半导体开关设备10(图3)开始导通，从而防止连接设备5导通，从而切断用于测试_N的驱动逻辑与电源的连接。随后，第一半导体开关设备10停止导通，使连接设备5返回至导通模式。因此，接口卡2被再次供电。

当拉低循环_N时，图4中所示的晶体管129开始导通，其中半导体闸流管131的栅极116被触发。第一半导体开关设备10(图3)开始导通，从而切换至第一安全状态模式。只要有电流流过第一半导体开关设备10和半导体闸流管131，则第一半导体开关设备10就一直保持在第一安全状态模式下。因此，只能通过切断或断开电源6并再次应用该电源来切回到正常操作模式。

通过触发循环_EN，图4中所示的N沟道FET130的栅极可抑制半导体闸流管131的触发信号。当某些板上的模块错误地指示故障时(例如来自电压监控器的欠压指示)，在启动程序期间这可能是必要的。这可以留下预定的时间周期，根据一个实施例，这个时间周期可以大于30毫秒。在此预定时间周期内，可以禁止任何循环_N触发。当通过测试_N执行连接设备5的自测试时，禁止触发信号尤为重要。如果在自测试之后再次对接口卡2供电，那么将会发出类似于常规启动程序的错误故障指示。

现在转到图5，根据另一个实施例，可以通过触发线120来触发第二半导体开关设备12。到此为止，描述了用于第二安全状态模式的可能的触发电路。

如果触发，即拉低YOLO_N时(YOLO表示仅出现一次，没有机会重新建立先前的状态)，第二触发电路内所示的晶体管129*开始导通。所需的触发电压被施加在第二触发电路的晶体管131*的栅极116*上。由此，通过触发线120将电流提供至第二半导体开关设备12。当第二半导体开关设备12开始导通时，保险丝13(图3)熔断，并且能量存储单元8充电从而切断电源6与接口卡2的连接。由于保险丝13熔断，即使重启也仍然保持在第二安全状态模式。

图6示出了包括与接口卡2一体集成的安全状态控制器1的接口卡系统200。安全状态控制器1、其连接设备5和接口卡2包括与图1-5的实施例相同的特征。因此，在此引用上述相关内容。

前面的描述本质上是示例性的而不是限制性的。所公开示例的差异和修改对于本领域技术人员来说可能是显而易见的。它们不一定偏离本发明的实质。

附图标记列表

1 安全状态控制器

2 接口卡

3 主机设备

4 网络设备

5 连接设备

6 电源(例如V_IN＝5.5V)

7a 用于低严重性故障的故障检测单元

7b 用于高严重性故障的故障检测单元(电压监控器)

8 能量存储单元

9 第一安全状态电路

10 第一半导体开关设备

11 第二安全状态电路

12 第二半导体开关设备

13 保险丝

14 体二极管(即，过电压保护设备)

15 MOSFET(p沟道MOSFET)

16 栅极

17 源极

18 漏极

19 触发信号(低严重性故障)

20 触发信号(高严重性故障)

21 FPGA(现场可编程门阵列)

22 CPU(中央处理单元)

23 数字接口模块(例如现场总线接口；例如交换机；例如三端口以太网交换机)

24 网络接口模块

25 组件

26 电路板

116 栅极

117 源极

118 漏极

119 触发线(低严重性故障)

120 触发线(高严重性故障)

121 接地端(0V)

122 电阻器(例如68Ω)

123 电阻器(例如10.000Ω)

124 电阻器(例如330Ω)

125 电阻器(例如33Ω)

126 接地端(0V)

127 电阻器(例如1.000Ω)

128 电阻器(例如10.000Ω)

129 晶体管(例如极性：PNP；例如P_tot＝150mW；例如V_CEO[最大]＝45V；例如I_C[最大]＝100mA；例如h_FE[最小]＝220；例如h_FE[最大]＝475)

129* 晶体管(例如极性：PNP；例如P_tot＝150mW；例如V_CEO[最大]＝45V；例如I_C[最小]＝100mA；例如h_FE[最小]＝220；例如h_FE[最大]＝475)

130 FET(场效应晶体管)

131 半导体闸流管(例如高达3V的半导体闸流管压降；例如3mA保持电流；例如保险丝熔断电流＝180mA)

131* 半导体闸流管(例如高达3V的半导体闸流管压降；例如3mA保持电流；例如保险丝熔断电流＝180mA)

132 电容器(例如4.7μF 25V)

133 电容器(例如10nF 50V)

134 电容器(例如22μF 10V)

200 接口卡系统

Claims (13)

1.一种控制向接口卡(2)供电的方法，所述接口卡(2)将一个或多个主机设备(3)连接至通信网络内的一个或多个网络设备(4)，所述方法包括：

a)设置连接设备(5)，其在正常操作模式下将所述接口卡(2)连接至电源(6)从而向所述接口卡(2)供电；

b)设置故障检测单元(7a、7b)，所述故障检测单元(7a、7b)至少间接地连接至所述连接设备(5)；

c)一旦通过所述故障检测单元(7a、7b)检测到低严重性故障和/或高严重性故障，所述连接设备(5)改变至安全状态模式，在安全状态模式下所述连接设备(5)切断电源(6)与接口卡(2)的连接；

其特征在于，能量存储单元(8)连接至所述连接设备(5)，其中所述能量存储单元(8)在正常操作模式下被充电或充电，并且其中所述能量存储单元(8)在安全状态模式下被充电或充电直到至少将阈值电压提供至所述连接设备(5)以切断电源(6)与接口卡(2)的连接。

2.根据权利要求1所述的方法，其特征在于，所述安全状态模式包括第一安全状态模式，所述第一安全状态模式使连接设备(5)能够将电源(6)重连至接口卡(2)从而向接口卡(2)供电。

3.根据权利要求2所述的方法，其特征在于，设置包括第一半导体开关设备(10)的第一安全状态电路(9)，而一旦通过检测单元(7a)检测到低严重性故障时，则所述第一半导体开关设备(10)由此被供电。

4.根据权利要求3所述的方法，其特征在于，再次切断提供至所述第一半导体开关设备(10)的电力从而使第一安全状态电路(9)停止工作并且使连接设备(5)回到正常操作模式。

5.根据权利要求1-4任一项所述的方法，其特征在于，所述安全状态模式包括第二安全状态模式，而连接设备(5)在第二安全状态模式下不能将电源(6)重连至接口卡(2)。

6.根据权利要求5所述的方法，其特征在于，设置包括第二半导体开关设备(12)的第二安全状态电路(11)，而一旦通过故障检测单元(7b)检测到高严重性故障，则第二半导体开关设备(12)被供电从而激活第二安全状态模式，并且一旦激活第二安全状态电路(11)，则熔断保险丝(13)，从而将连接设备(5)保持在第二安全状态模式。

7.用于控制向接口卡(2)供电的安全状态控制器(1)，所述安全状态控制器(1)包括：连接设备(5)，其在正常操作模式下将接口卡(2)连接至电源(6)从而向接口卡(2)供电，所述连接设备(5)至少间接地能够连接至故障检测单元(7a、7b)，而所述连接设备(5)能够切换至安全状态模式，在安全状态模式下，一旦通过故障检测单元(7a、7b)检测到低严重性故障和/或高严重性故障，则连接设备(5)切断电源(6)与接口卡(2)的连接，其特征在于，所述连接设备(5)能够通过由能量存储单元(8)提供的电压在正常操作模式和安全状态模式之间切换，而能量存储单元(8)配置为在正常操作模式下被放电或放电，并且处于安全状态模式下的能量存储单元(8)配置为被充电或充电直到至少将阈值电压提供至连接设备(5)。

8.根据权利要求7所述的安全状态控制器(1)，其特征在于，所述连接设备是p沟道MOSFET(15)，而MOSFET(15)包括连接至所述能量存储单元(8)的栅极(16)、能够连接至电源(6)供应的源极(17)和能够连接至所述接口卡(2)的漏极(18)。

9.根据权利要求7所述的安全状态控制器(1)，其特征在于，所述安全状态模式包括第一安全状态模式，并且设置有第一安全状态电路(9)，其在正常操作模式下为无效的，但是一旦检测到低严重性故障则被激活，从而可逆地将连接设备(5)切换到第一安全状态模式。

10.根据权利要求9所述的安全状态控制器(1)，其特征在于，所述第一安全状态电路(9)包括第一半导体开关设备(10)，所述第一半导体开关设备(10)配置为一旦通过故障检测单元(7a)检测到低严重性故障则激活所述第一安全状态电路(9)。

11.根据权利要求7所述的安全状态控制器(1)，其特征在于，所述安全状态模式包括第二安全状态模式，并且设置有第二安全状态电路(11)，其在正常操作模式下为无效的，但是一旦检测到高严重性故障则被激活，从而不可逆地将所述连接设备(5)切换至第二安全状态模式。

12.根据权利要求11所述的安全状态控制器(1)，其特征在于，所述第二安全状态电路(11)包括第二半导体开关设备(12)，所述第二半导体开关设备(12)配置为一旦通过故障检测单元(7b)检测到高严重性故障则激活第二安全状态电路(11)。

13.根据权利要求7-12任一项所述的安全状态控制器(1)，其特征在于，所述安全状态模式包括可逆的第一安全状态模式和不可逆的第二安全状态模式，并且设置有保险丝(13)，其配置为在第二安全状态模式下被熔断并且配置为在第一安全状态模式下不熔断。

Images