-
Die vorliegende Erfindung betrifft einen Watchdog zur Überwachung der Funktionen eines Schaltgerätes, insbesondere eines Niederspannungsschaltgerätes. Ferner betrifft die Erfindung ein Schaltgerät, insbesondere ein Niederspannungsschaltgerät, aufweisend wenigstens eine Schutzeinrichtung, zumindest einen Mikrokontroller und/oder zumindest einen integrierten Schaltkreis zur Ansteuerung der wenigstens einen Schutzeinrichtung, und einen Watchdog zur Überwachung der Funktionen des Schaltgerätes, insbesondere der Funktion der wenigstens einen Schutzeinrichtung des Schaltgerätes.
-
Einige Schaltgeräte, insbesondere Niederspannungsschaltgeräte im Sinn der EN 60947-1, sind funktional auf den Schutz der an sie angeschlossenen Verbraucher ausgelegt. Dabei wird zwischen dem Kurzschlussschutz und dem Überstromzeitschutz unterschieden.
-
Kommt es zu einem Fehler des Schaltgerätes, das den Ausfall der Schutzfunktion zur Folge hat, wird dieser Fehler im Regelfall nicht bemerkt. Die Schutzfunktion des jeweiligen Gerätes wird zum regelmäßigen Betrieb des Verbrauchers nicht benötigt. Das Problem dabei ist, dass ein eventueller Ausfall dieser Schutzfunktion gravierende Auswirkungen haben kann, wie beispielsweise die Zerstörung des Verbrauchers oder anderer elektrischer Einrichtungen sowie das Auslösen von Bränden. In ungünstig dimensionierten und aufgebauten Anlagen können Fehler auch zu Personenschäden führen.
-
Fehler lassen sich generell nicht grundsätzlich ausschließen. Es ist nur möglich, die Fehlerauftrittswahrscheinlichkeit zu minimieren.
-
Hersteller oder Betreiber von Schaltgeräten und Anlagen müssen die Risiken bei deren Betrieb abschätzen. Gegebenfalls müssen verschiedene Maßnahmen an der Anlage, wie beispielsweise redundante Aufbauten, Vorsicherungen, Brandmeldeanlagen, etc., durchgeführt werden, um das Restrisiko entsprechend zu senken. Zusätzlich werden mit entsprechenden Prüf- und Wartungsaufwenden die Ausfallwahrscheinlichkeiten minimiert.
-
Die Hersteller von Schaltgeräten legen diese, z. B. durch entsprechendes Design und entsprechende Komponentenauswahl, so aus, dass die Fehlerauftrittswahrscheinlichkeit entsprechend klein ist und führen entsprechende Prüfungen, beispielsweise Dauertests oder Funktionsprüfungen, durch. Ferner wird i. d. R. eine Fehlermöglichkeitseinflussanalyse (FMEA) durchgeführt. Über ein entsprechendes Qualitätsmanagement wird die Wahrscheinlichkeit des Fehlerauftritts während der Fertigung eines Schaltgerätes minimiert.
-
Moderne elektronische Geräte werden immer häufiger mit frei programmierbaren Mikrokontrollern ausgerüstet. In vielen dieser Mikrokontroller ist ein interner Watchdog integriert. Watchdogs überwachen die Funktion anderer Komponenten. Dabei sind die thermische Kopplung dieses Watchdogs mit dem Kern des Mikrokontrollers sowie die teilweise elektrische Kopplung, beispielsweise der Betriebsspannung, problematisch. Bestimmte Fehlerarten, wie z. B. eine Überhitzung des Mikrokontrollers bzw. des Chips, können gleichzeitig mit einem Ausfall der Funktion den Ausfall des internen Watchdogs bewirken.
-
Übersteigen die möglichen Auswirkungen in Schaltgeräten bzw. Anlagen ein sogenanntes „akzeptiertes Risiko”, insbesondere bei Gefahren von Personenschäden, werden je nach Bewertung mit Hilfe eines „Risikographs” (IEC61508) sog. sicherheitsrelevante Anlagen gebaut. Diese erfordern je nach Gefährdungsgrad gemäß der Risikoanalyse einen sogenannten Sicherheitsintegritätslevel (SIL) nach der DIN-Norm EN 61508, der Norm IEC 61508 oder der Norm VDE 0803, oder einer Kategorie nach DIN-Norm EN 954-1. Um diese Level zu erreichen, müssen zum Teil erhebliche Aufwendungen getätigt werden, wie redundante Aufbauten und automatische Tests. Zusätzlich müssen Wartungsintervalle festgelegt werden, um die Funktion der Schutzfunktionen zu gewährleisten.
-
Die
EP 0 436 543 B1 offenbart ein Fahrzeugbremssystem, das einen Watchdog aufweist. Der Watchdog erhält von einem Mikrocontroller ein alternatierendes Signal.
-
Aus der
DE 10 2005 024 550 A1 geht ein Hardwarekonzept einer Resetschaltung hervor, die einen Watchdog und eine Ladungspumpe enthält.
-
Die
DE 102 35 564 A1 offenbart ein Verfahren zum Überwachen eines Mikroprozessors. Das Überwachen des Mikroprozessors erfolgt mittels eines zugeordneten Watchdog. Der Watchdog überwacht, ob Resetimpulse innerhalb eines Zeitintervalls vorgegebener Dauer eintreffen. Bei Eintreffen des Resetimpulses wird das Zeitintervall zurückgesetzt und neu gestartet. Bei Nichteintreffen von Rücksetzimpulsen wird ein Reset des Mikroprozessors veranlasst.
-
Aus der
US 5 426 776 A ist eine Watchdogschaltung für einen Mikroprozessor bekannt, die eine Ladungspumpe nach dem Prinzip einer Greinacher-Schaltung mit zwei Kondensatoren und zwei Dioden, sowie eine Entkopplungseinheit zur Entkopplung und Weiterbearbeitung des Ausgangssignals der Planungspumpe aufweist.
-
Aufgabe der vorliegenden Erfindung ist es, einen Watchdog für ein Schaltgerät, insbesondere ein Niederspannungsschaltgerät zu schaffen, die ermöglichen, dass die Schutzfunktionen des Schaltgerätes einfach und kostengünstig automatisch überwacht werden können und dass das Schaltgerät sicher betrieben werden kann. Insbesondere soll die automatische Überwachung unabhängig von thermischen oder elektrischen Fehlern eines Mikrokontrollers des Schaltgerätes ermöglicht werden.
-
Diese Aufgaben werden erfindungsgemäß durch einen Watchdog mit den Merkmalen gemäß dem unabhängigen Patentanspruch 1 gelöst. Weitere Merkmale und Details der Erfindung ergeben sich aus den Unteransprüchen, der Beschreibung sowie den Zeichnungen. Merkmale und Details die im Zusammenhang mit dem Watchdog beschrieben sind gelten dabei selbstverständlich auch im Zusammenhang mit dem Schaltgerät, und jeweils umgekehrt.
-
Gemäß der Erfindung wird die Aufgabe durch einen Watchdog zur Überwachung der Funktionen eines Schaltgerätes, insbesondere eines Niederspannungsschaltgerätes, wobei der Watchdog zur Entgegennahme eines von einem Mikrokontroller oder einem integrierten Schaltkreis des Schaltgerätes erzeugten Ausgangssignals wenigstens eine erste Schnittstelle, die zum Anschluss an einen alternierenden Ausgang des Schaltgerätes ausgebildet ist, aufweist und wobei der Watchdog eine Ladungspumpe, wie eine Greinacher-Schaltung, aufweisend einen ersten und einen zweiten Kondensator und eine erste und eine zweite Diode, aufweist, gelöst.
-
Ein derartiger Watchdog für ein Schaltgerät ermöglicht, dass die Schutzfunktionen des Schaltgerätes einfach und kostengünstig automatisch überwacht werden können und dass das Schaltgerät sicher betrieben werden kann. Insbesondere kann die automatische Überwachung der Schutzfunktionen unabhängig von thermischen oder elektrischen Fehlern eines Mikrokontrollers oder eines integrierten Schaltkreises des Schaltgerätes ermöglicht werden. Insbesondere die Überwachung der Funktion einer Kurzschlussschutzeinrichtung bzw. einer Überlastschutzeinrichtung des Schaltgerätes kann durch diesen externen Watchdog einfach und kostengünstig überwacht werden, wobei die Überwachung unabhängig von thermischen oder elektrischen Fehlern eines Mikrokontrollers oder eines integrierten Schaltkreises des Schaltgerätes erfolgen kann.
-
Externer Watchdog bedeutet, dass der Watchdog vollständig entkoppelt von dem Mikrokontroller oder einen integrierten Schaltkreis, z. B. einem ASIC-Schaltkreis, an dem Schaltgerät bzw. dem Niederspannungsschaltgerät vorgesehen ist. Durch einen derartigen Watchdog kann ein Funktionsausfall aufgrund von auftretenden Fehlern an dem Mikrokontroller oder an einem integrierten Schaltkreis innerhalb des Schaltgerätes erkannt werden. So kann beispielsweise eine Überhitzung des Mikrokontrollers bzw. eines Chips nicht auch zum Ausfall des Watchdogs führen.
-
Der Watchdog weist wenigstens eine erste Schnittstelle auf. Diese wenigstens eine erste Schnittstelle kann mit einem alternierenden Ausgang des Schaltgerätes, d. h. mit einer Schnittstelle des Schaltgerätes, verbunden werden, um ein Ausgangssignal, welches von einem Mikrokontroller oder einem integrierten Schaltkreis des Schaltgerätes erzeugt wurde entgegenzunehmen. Der Watchdog weist eine Ladungspumpe, wie z. B. eine Greinacher-Schaltung auf, bestehend aus einen ersten und einen zweiten Kondensator und eine erste und eine zweite Diode, auf. Ein derartiger Watchdog ist auf Grund seiner dynamisch arbeitenden Funktion in der Lage, eventuell auftretende Fehler in einem Schaltgerät mit einer sehr hohen Wahrscheinlichkeit zu detektieren.
-
Der Kern der vorliegenden Erfindung ist, eine Ladungspumpe, wie eine „Greinacher-Schaltung”, nicht als Spannungsverdopplung oder -vervielfachung einzusetzen, sondern in Verbindung mit frei programmierbaren oder fest programmierten Bausteinen, wie Mikrokontrollern, ASIC-Schaltungen, als externen Watchdog für sicherheitskritische Systeme ohne Verdopplung der Spannung zu nutzen. Dabei werden die dynamischen Eigenschaften der Ladungspumpen genutzt, um entsprechende Schaltgeräte, insbesondere Niederspannungsschaltgeräte, sicherer auszulegen. So ist die Greinacher-Schaltung nach dem Schweizer Physiker Heinrich Greinacher benannt. Diese Schaltung arbeitet als Spannungsverdopplung. Mit Hilfe der Kaskadierung kann die Schaltung auch als Spannungsvervielfachung eingesetzt werden. Diese wird in verschiedenen Anwendungen wie Fernseher, Bildröhren, Mikrowellenöfen oder Laserdruckern eingesetzt. Dabei dient die Schaltung dazu, mit einfachen Mitteln Hochspannungen zu erzeugen. Eine Greinacher-Schaltung weist einen ersten und einen zweiten Kondensator und eine erste und eine zweite Diode auf. D. h., die Greinacher-Schaltung besteht aus einer Einweg-Gleichrichterschaltung, mit einem ersten Kondensator und eine ersten Diode, der ein zweiter Kondensator und eine zweite Diode nachgeschaltet werden.
-
Durch einen derartigen Watchdog, ist eine automatische Überwachung eines Schaltgerätes möglich, wobei die Überwachung von thermischen und elektrischen Fehlern des in dem Schaltgerät befindlichen Mikrokontrollers oder ASIC's weitgehend entkoppelt ist. Unerkannte Fehler des Schaltgerätes bzw. des Niederspannungsschaltgerätes, insbesondere Fehler von Schutzfunktionen die im betriebsmäßigen Einsatz unbemerkt bleiben, können erfasst und entsprechend weiterverarbeitet werden. Durch den externen Watchdog werden Fehlfunktionen sowie Folgeschäden vermieden und die Sicherheit der Schaltgeräte erhöht.
-
Die Anforderungen an die Schnittstellen sind gering. Die Abstimmung an die Frequenz des hardwareseitigen Ausgangs des Schaltgerätes ist im breiteren Bereich möglich. Fehler, insbesondere „Programmabstürze” der Software, können auf Grund der dynamischen Funktion des Watchdogs überwacht werden.
-
Erfindungsgemäß ist ein Watchdog, der zusätzlich eine Entkopplungseinheit, wie z. B. eine Emitterstufe, z. B. aufweisend zwei Widerstände und einen Transistor, die beispielsweise mit der Greinacher-Schaltung des Watchdogs verbunden ist, aufweist, wobei die Emitterstufe zur Entkopplung des Ausgangssignals von der Greinacher-Schaltung und zur Weiterverarbeitung des entkoppelten Signals ausgebildet ist. Die Emitterstufe entkoppelt das Signal vom eigentlichen Watchdog, d. h. der Greinacher-Schaltung, und stellt es zur Weiterverarbeitung bereit. Vorteilhafterweise weist der Watchdog Anzeigemittel zur Anzeige des entkoppelten Signals und/oder wenigstens eine zweite Schnittstelle zur Übertragung des entkoppelten Signals auf. Hierdurch kann der Zustand des mit dem Watchdog überwachten Schaltgerätes angezeigt werden oder das Ereignis kann in einem anderen Modul entsprechend weiterverarbeitet werden.
-
Bevorzugt ist ferner ein Watchdog, der einen weiteren Kondensator, der zwischen der ersten Schnittstelle und der Greinacher-Schaltung des Watchdogs geschaltet ist, aufweist. Dieser weitere Kondensator ist in Reihe zu dem ersten Kondensator der Greinacher-Schaltung geschaltet. Der weitere Kondensator dient als einfache Maßnahme dazu, im Falle des Durchlegierens des ersten Kondensators der Greinacher-Schaltung oder des weiteren Kondensators, ein fehlerhaftes „OK-Signal” zu unterdrücken. Käme es zu dem Fehler, einem sogenannten „Short”, am Koppelkondensator, würde dieser sonst nicht bemerkt. Ein z. B. darauffolgender softwareseitiger Fehler am Mikrokontroller oder der ASIC-Schaltung des Schaltgerätes, welcher ein statisches „High-Signal” am hardwareseitigen Ausgang zur Folge hat, würde nicht erkannt, d. h. das „OK-Signal” bleibt bestehen.
-
Des Weiteren ist ein Watchdog bevorzugt, der einen weiteren Widerstand, der zwischen der ersten Schnittstelle und der Greinacher-Schaltung des Watchdogs, insbesondere zwischen der erste Schnittstelle und dem weiteren Kondensator des Watchdogs, geschaltet ist, aufweist. Dieser weitere Widerstand dient zur Begrenzung des Einschaltstromes, da die Kondensatoren zum Zeitpunkt der steigenden Flanke des hardwareseitigen Ausgangs einen Kurzschluss darstellen.
-
Sicherheitskritische Funktionen von Niederspannungsschaltgeräten, wie Kurzschlussschutz oder Überstromzeitschutz, werden in neuartigen Niederspannungsschaltgeräten mit Hilfe programmierbarer oder programmierter Bausteine, wie Mikrokontrollern oder ASIC-Schaltungen, abgebildet. In den Abläufen, welche zwingend zyklisch ausgeführt werden müssen, um die ordnungsgemäße Funktion der sicherheitskritischen Programmteile zu gewährleisten, ist hardwareseitig ein Ausgang alternierend geschaltet. Damit wird im Falle der ordnungsgemäßen Funktion eine digitale Frequenz, eine Rechteckspannung, ausgegeben, welche einem „OK-Signal” entspricht.
-
Der hardwareseitige Ausgang des Schaltgerätes bzw. Niederspannungsschaltgerätes bedient den externen Watchdog. Der Watchdog weist eine Greinacher-Schaltung, die durch einen zusätzlichen Kondensator, der in Reihe vor dem ersten Kondensator der Greinacher-Schaltung geschaltet ist, auf. Wie, bereits erwähnt dient dieser dazu, im Falle des Durchlegierens von dem ersten Kondensator der Greinacher-Schaltung oder von sich selbst, ein fehlerhaftes „OK-Signal” zu unterdrücken. Käme es zu dem Fehler „Short” am Koppelkondensator der Greinacher-Schaltung, würde dieser sonst nicht bemerkt. Ein z. B. darauffolgender softwareseitiger Fehler am Mikrokontroller oder der ASIC-Schaltung, welcher ein statisches „High-Signal” am hardwareseitigen Ausgang zur Folge hat, würde nicht erkannt, d. h. das „OK-Signal” bleibt bestehen. Zusätzlich ist bevorzugt ein weiterer Widerstand zwischen dem zusätzlichen Kondensator und der Schnittstelle des Watchdogs, die mit dem alternierenden Ausgang des Schaltgerätes verbunden wird, eingebaut. Dieser weitere Widerstand dient zur Begrenzung des Einschaltstromes, da die Kondensatoren zum Zeitpunkt der steigenden Flanke des hardwareseitigen Ausgangs einen Kurzschluss darstellen.
-
Beginnend mit einer positiven Flanke des Ausgangssignals wird über den Verschiebungsstrom der des zusätzliche Kondensators und des ersten Kondensators der Greinacher-Schaltung und der sich in Flussrichtung befindlichen ersten Diode der der Greinacher-Schaltung der zweite Kondensator der Greinacher-Schaltung aufgeladen. Damit steigt dessen Potenzial und der Transistor der Emitterstufe steuert durch.
-
Beginnend mit einer negativen Flanke des Ausgangssignals entlädt sich zweite Kondensator der Greinacher-Schaltung über den ersten Widerstand und den Transistor der nachgeschalteten Emitterstufe. Auf Grund der Zeitkonstante, d. h. der Summe aus der Multiplikation des Wertes des ersten Widerstandes der Emitterstufe und des Wertes des zweiten Kondensators bleibt der Transistor der Emitterstufe einige Zeit lang niederohmig. Die rückwärtsgerichtete Entladung wird über die Sperrrichtung von der ersten Diode der Greinacher-Schaltung verhindert. Gleichzeitig müssen die Kondensatoren, d. h. der zusätzliche Kondensator und erste Kondensator der Greinacher-Schaltung, entladen werden, um einen neuen Verschiebungsstrom bei der nächsten steigenden Flanke zuzulassen. Auf Grund der Umladungsvorgänge wird diese Ladung über die zweite Diode der Greinacher-Schaltung kurzgeschlossen. Zum Zeitpunkt der fallenden Flanke wird die Plusseite der Kondensatoren, d. h. des zusätzlichen Kondensators und des ersten Kondensator der Greinacher-Schaltung, Masse, während die Ladung erhalten bleibt. Damit wird ein Minuspotenzial erzeugt, welches die Entladung über die zweite Diode der Greinacher-Schaltung und Masse ermöglicht. Die Emitterstufe entkoppelt das Signal vom eigentlichen Watchdog und stellt es zur Weiterverarbeitung bereit. Für die ordnungsgemäße Funktion des Watchdogs ist dieser auf die Frequenz des Signals des hardwareseitigen Ausgangs des Schaltgerätes abzustimmen. Diese Einstellung ist jedoch ohne kritische Toleranzen leicht möglich.
-
In aufwändiger ausgeführten sicherheitsrelevanteren Systemen ist es auch denkbar, mehrere Watchdogs, bestehend aus Ladungspumpen, zu kaskadieren. Diese können dann von verschiedenen Programmteilen oder Bausteinen (Chips) angesteuert werden.
-
Bevorzugt ist ferner ein Watchdog, bei dem der Watchdog wenigstens einen zweiten Watchdog, der in Kaskadenform zu dem ersten Watchdog angeordnet ist, aufweist. Insbesondere in aufwändiger ausgeführten sicherheitsrelevanteren Schaltgeräten bzw. Systemen ist es auch denkbar, mehrere Watchdogs zu kaskadieren. Diese können dann von verschiedenen Programmteilen oder Bausteinen, d. h. Mikrokontrollern, angesteuert werden.
-
Der Watchdog kann in einem Schaltgerät aufweisend wenigstens eine Schutzeinrichtung, zumindest einen Mikrokontroller und/oder zumindest einen integrierten Schaltkreis zur Ansteuerung der wenigstens einen Schutzeinrichtung, und einen Watchdog zur Überwachung der Funktionen des Schaltgerätes, insbesondere der Funktion der wenigstens einen Schutzeinrichtung des Schaltgerätes, wobei das Schaltgerät zumindest einen alternierenden Ausgang, der als eine Hardwareschnittstelle ausbildet ist, aufweist, wobei der Watchdog als externer Watchdog ausgebildet ist und zur Entgegennahme eines von dem Mikrokontroller oder dem integrierten Schaltkreis des Schaltgerätes erzeugten Ausgangssignals wenigstens eine erste Schnittstelle zum Anschluss an den alternierenden Ausgang des Schaltgerätes aufweist und wobei der Watchdog eine Ladungspumpe aufweist, vorgesehen sein. Die wenigstens eine Schutzeinrichtung des Schaltgerätes weist bevorzugt eine Kurzschlussschutzeinrichtung und/oder eine Überlastschutzeinrichtung auf.
-
Die Ladungspumpe ist als eine Greinacher-Schaltung, aufweisend einen ersten und einen zweiten Kondensator und eine erste und eine zweite Diode, ausgebildet sein.
-
Der externe Watchdog ist gemäß der Erfindung ausgebildet. Ferner ist der Watchdog vorteilhafterweise auf die Frequenz des Signals des alternierenden Ausgangs des Schaltgerätes abgestimmt.
-
Besonders bevorzugt ist das Schaltgerät ein Niederspannungsschaltgerät im Sinne der Norm EN 60947-1, welches funktional auf den Schutz der an es angeschlossenen Verbraucher ausgelegt ist.
-
Ein derartiges Schaltgerät, insbesondere ein derartiges Niederspannungsschaltgerät, ermöglicht, dass die Schutzfunktionen, wie des Kurzschlussschutzes der Kurzschlussschutzeinrichtung und des Überlastschutzes der Überlastschutzeinrichtung, des Schaltgerätes einfach und kostengünstig automatisch überwacht werden können und dass das Schaltgerät sicher betrieben werden kann. Dabei kann die Überwachung der Funktion der Kurzschlussschutzeinrichtung bzw. der Überlastschutzeinrichtung unabhängig von thermischen oder elektrischen Fehlern des Mikrokontrollers oder des ASIC's des Schaltgerätes erfolgen.
-
Bei dem Schaltgerät bzw. dem Niederspannungsschaltgerät ist der Watchdog extern, d. h. vollständig entkoppelt von dem Mikrokontroller oder einem anderen integrierten Schaltkreis, z. B. einem ASIC-Schaltkreis, an dem Schaltgerät bzw. dem Niederspannungsschaltgerät vorgesehen. Durch die Verwendung eines derartigen externen Watchdogs bei einen Schaltgerät bzw. einem Niederspannungsschaltgerät kann sowohl das Schaltgerät bzw. das Niederspannungsschaltgerät, als auch der Watchdog selbst preiswert hergestellt werden. Die Nutzung des Watchdogs im Mikrokontroller, wie aus dem Stand der Technik bekannt, kann keine vollständige thermische und elektrische Entkopplung gewährleisten.
-
Der externe Watchdog ist auf Grund seiner dynamisch arbeitenden Funktion in der Lage, eventuell auftretende Fehler in dem Schaltgerät mit einer sehr hohen Wahrscheinlichkeit zu detektieren.
-
Die sicherheitskritischen Funktionen von Niederspannungsschaltgeräten, wie der Kurzschlussschutz oder der Überstromzeitschutz, werden in neuartigen Niederspannungsschaltgeräten mit Hilfe programmierbarer oder programmierter Bausteine, d. h. Mikrokontrollern oder ASIC-Schaltungen, abgebildet. In den Abläufen, welche zwingend zyklisch ausgeführt werden müssen, um die ordnungsgemäße Funktion der sicherheitskritischen Programmteile der Niederspannungsschaltgeräte zu gewährleisten, wird ein Ausgang alternierend zu den programmierbaren oder programmierten Bausteinen geschaltet. Damit wird im Falle der ordnungsgemäßen Funktion der Kurzschlussschutzeinrichtung oder der Überstromzeitschutzeinrichtung des Niederspannungsschaltgerätes eine digitale Frequenz (Rechteckspannung) ausgegeben, welche einem „OK-Signal” entspricht.
-
Der hardwareseitige Ausgang des Niederspannungsschaltgerätes bedient den externen Watchdog. In aufwändiger ausgeführten sicherheitsrelevanteren Niederspannungsschaltgeräten oder Systemen ist es auch denkbar, mehrere Watchdogs zu kaskadieren. Diese können dann von verschiedenen Programmteilen oder Bausteinen, d. h. Mikrokontrollern bzw. Chips, angesteuert werden.
-
Ein derartiges Niederspannungsschaltgerät mit einem externen Watchdog, ermöglicht eine sichere automatische Überwachung der sicherheitsrelevanten Schutzeinrichtungen des Niederspannungsschaltgerätes, da der Watchdog von gemeinsamen thermischen und elektrischen Fehlern weitgehend entkoppelt ist. Unerkannte Fehler des Niederspannungsschaltgerätes, insbesondere Fehler von Schutzfunktionen die im betriebsmäßigen Einsatz unbemerkt bleiben, können erfasst und entsprechend weiterverarbeitet werden. Damit werden Fehlfunktionen sowie Folgeschäden in dem Niederspannungsschaltgerät vermieden und die Sicherheit der Niederspannungsschaltgeräte erhöht.
-
Idealerweise sind die Kosten und Aufwand bei einem derartigen Niederspannungsschaltgerät entsprechend gering, da der Mikrokontroller bereits vorhanden ist und die Kosten der Hardware, d. h. des Ausgangs, im vorliegenden Beispiel sehr gering sind.
-
Die Anforderungen an die Bauteile, d. h. die Toleranzen, sind gering. Die Abstimmung des externen Watchdogs an die Frequenz des hardwareseitigen Ausgangs ist im breiteren Bereich möglich. Fehler, insbesondere „Programmabstürze” der eingesetzten Software, können auf Grund der dynamischen Funktion des externen Watchdogs überwacht werden. Eine statische „0” oder „1” hat immer ein negatives „OK-Signal” – im Beispiel bedeutet das ein „High-Signal” am Ausgang – zur Folge.
-
Die Erfindung wird nun anhand eines nicht ausschließlichen Ausführungsbeispiels, unter Bezugnahme auf die beiliegende Zeichnungen, näher erläutert. Es zeigen:
-
1 eine schematische Darstellung der softwareseitigen Ansteuerung des Ausgangs eines Schaltgerätes;
-
2 einen externen Watchdog.
-
1 zeigt eine schematische Darstellung der softwareseitigen Ansteuerung des alternierenden Ausgangs 4 eines Schaltgerätes anhand eines Überstromzeitschutzes. Schutz- und Überwachungsfunktionen, welche in Firmware abgebildet sind, werden i. d. R. zyklisch durchlaufen. Die Ausprägung der Schutzfunktion ist in 10 ersichtlich. Eine beliebige Einsprungstelle 11 wird im Fall der ordnungsgemäßen Funktion des Schaltgerätes daher auch zyklisch durchlaufen. Ein Entscheider 12 überprüft den Zustand des Ausgangs 13a, 13b im Mikrokontroller oder ASIC, welcher die o. g. Ladungspumpe, wie z. B. die „Greinacher-Schaltung 2”, ansteuert. Je nach Zustand dieses Ausgangs, wird dieser alternierend gesetzt, d. h. es wird in die entgegengesetzte Richtung geschaltet 13a, 13b. In einer anderen Ausprägung ist es auch denkbar, an zwei verschiedenen Einsprungpunkten der Firmware eine definierte Richtung des Ausgangs 13a, 13b zu bedienen, um die ordnungsgemäße Funktion des Schaltgerätes nachzuweisen. Nach der Bedienung des externen Watchdogs kann die Firmware mit einer der Funktion des Schaltgerätes entsprechenden Funktion 14 fortgesetzt werden.
-
In der 2 zeigt eine Ausführungsvariante eines externen Watchdogs 1. Dieser weist eine sogenannte Greinacher-Schaltung 2, welche einer ersten Kondensator C2 und einen zweiten Kondensator C3 sowie eine erste Diode V1 und eine zweite Diode V2 aufweist. Der Greinacher-Schaltung 2 ist eine Emitterstufe 3 zur Entkopplung des von einem alternierenden Ausgang 5 des Schaltgerätes empfangenen Ausgangssignals und zur Weiterverarbeitung des entkoppelten Signals nachgeschaltet. Die Emitterstufe 3 weist zwei Widerstände R2 und R3 sowie einen Transistor V3 auf. In dieser Ausführungsvariante des externen Watchdogs 1 ist ein zusätzlicher Kondensator C1 in Reihe zu dem ersten Kondensator C2 der Greinacher-Schaltung 2 geschaltet. Dieser zusätzliche Kondensator C1 dient als einfache Maßnahme dazu, im Falle des Durchlegierens des ersten Kondensators C2 oder des zusätzlichen Kondensators C1, ein fehlerhaftes „OK-Signal” zu unterdrücken. Käme es zu dem Fehler („Short”) am Koppelkondensator C2, würde dieser sonst nicht bemerkt. Ein z. B. darauffolgender softwareseitiger Fehler am Mikrokontroller oder der ASIC-Schaltung, welcher ein statisches „High-Signal” am hardwareseitigen Ausgang 5 zur Folge hat, würde nicht erkannt, d. h. das „OK-Signal” bleibt bestehen. Zusätzlich ist im o. g. Ausführungsbeispiel ein weiterer Widerstand R1 eingebaut. Dieser dient zur Begrenzung des Einschaltstromes, da die Kondensatoren C1 und C2 zum Zeitpunkt der steigenden Flanke des hardwareseitigen Ausgangs 5 einen Kurzschluss darstellen.
-
Beginnend mit der positiven Flanke des Ausgangssignals wird über den Verschiebungsstrom der Kondensatoren C1 und C2 und der sich in Flussrichtung befindlichen Diode V1 der Kondensator C3 aufgeladen. Damit steigt dessen Potenzial und der Transistor V3 der Emitterstufe 3 steuert durch.
-
Beginnend mit der negativen Flanke des Ausgangssignals entlädt sich der zweite Kondensator C3 der Greinacher-Schaltung über den Widerstand R2 und den Transistor V3 der Emitterstufe 3. Auf Grund der Zeitkonstante (R2·C3) bleibt der Transistor V3 einige Zeit lang niederohmig. Die rückwärtsgerichtete Entladung wird über die Sperrrichtung der ersten Diode V1 verhindert. Gleichzeitig müssen die Kondensatoren C1 und C2 entladen werden, um einen neuen Verschiebungsstrom bei der nächsten steigenden Flanke zuzulassen. Auf Grund der Umladungsvorgänge wird diese Ladung über die zweite Diode V2 der Greinacher-Schaltung kurzgeschlossen. Zum Zeitpunkt der fallenden Flanke wird die Plusseite der Kondensatoren C1 und C2 Masse, während die Ladung erhalten bleibt. Damit wird ein Minuspotenzial erzeugt, welches die Entladung über die zweite Diode V2 der Greinacher-Schaltung und Masse ermöglicht.
-
Die Emitterstufe 3 entkoppelt das Signal vom eigentlichen Watchdog 1, d. h. der Greinacher-Schaltung 2 und stellt es zur Weiterverarbeitung bereit. Über eine Schnittstelle kann das Signal von der Emitterstufe 3 zu einer Anzeige- oder Auswerteeinrichtung 6 übertragen werden. Im Beispiel wird die Emitterstufe mit einer sicheren Betriebsspannung 7 versorgt.
-
Für die ordnungsgemäße Funktion des Watchdogs 1 ist dieser auf die Frequenz des Signals des hardwareseitigen alternierenden Ausgangs 4 abzustimmen. Diese Einstellung ist jedoch ohne kritische Toleranzen leicht möglich.
