DE102008051514A1

DE102008051514A1 - Spannungsüberwachungsanordnung für ein Sicherheitsmodul

Info

Publication number: DE102008051514A1
Application number: DE102008051514A
Authority: DE
Inventors: Horst Dieter Nikolai
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2008-10-14
Filing date: 2008-10-14
Publication date: 2010-04-15
Anticipated expiration: 2028-10-15
Also published as: DE102008051514B4

Abstract

Die Erfindung zeigt eine Überspannungsüberwachung für ein Sicherheitsmodul (19) zum sicheren Betrieb des Moduls (19), wobei eine Möglichkeit zur Stromabschaltung (11) vorgesehen ist. Für diese Stromabschaltung (11) muss eine hohe Zuverlässigkeit gewährleistet sein, daher wird mittels eines elektrisch ansteuerbaren Stromabschaltmittels (11) und eines Eingangsspannungsvergleichsmittels (12) die Stromabschaltung derart realisiert, dass der Strompfad zum Sicherheitsmodul (19) nach Maßgabe des Vergleichsergebnisses unterbrochen werden kann.

Description

Die Erfindung entspringt dem Gebiet der Automatisierungstechnik und beschreibt eine Anordnung zur Überspannungsüberwachung für ein Sicherheitsmodul, welche zum sicheren Betrieb des Moduls dient.
Automatisierungssystemkomponenten, wie beispielsweise Antriebsverstärker oder Steuerungen, werden von Maschinenherstellern beispielsweise zum Bau von Bearbeitungsmaschinen eingesetzt. Die Maschinenhersteller müssen hierbei die einschlägigen Normen und Maschinenrichtlinien beachten und benötigen daher Komponenten, mit denen ein sicherer Betrieb der Maschinen gemäß Maschinenrichtlinie realisierbar ist. Zur Lösung dieses Problems bietet die Anmelderin für Automatisierungssystemkomponenten ein sogenanntes Sicherheitsmodul an, mittels dessen ein sicherer Betrieb der von der Anmelderin hergestellten und vertriebenen Automatisierungssystemkomponenten realisierbar ist. Damit jedoch auch der sichere Betrieb dieses Moduls selbst sichergestellt ist, müssen diverse schaltungstechnische Vorkehrungen für das Modul getroffen werden, insbesondere zum Schutz der Modulelektronik vor Überspannungen oder vor Spannungsausfällen.
Es sind Schaltungsanordnungen zur Abschaltung bei Überstrom oder Überspannung zum Schutz eines Verbrauchers bekannt. Eine solche Anordnung zeigt die deutsche Patentschrift DE 2504648 C2 . Die DE 38 29 705 A1 zeigt eine Überspannungsschutzeinrichtung für eine Elektronikschaltung.
Würden derartige Schaltungen jedoch zum Schutz des oben genannten Moduls verwendet, so würden diese den sehr hohen Anforderungen an die Betriebsbereitschaft und Funktionssicherheit nicht genügen. Insbesondere würden derartige Schaltungen von den Zertifizierungsstellen nicht akzeptiert. Um die Normen und Richtlinien zu erfüllen, muss die Betriebsbereitschaft der Überspannungsüberwachung auch in den ungünstigsten Fällen sichergestellt sein.
Es ist auch bekannt einen Überspannungsschutz mittels einer Schmelzsicherung in Verbindung mit einer Z-Diode zu realisieren. Schmelzsicherungen sind für einen bestimmten Nennstrom ausgelegt. Sie schmelzen erst wenn dieser Nennstrom um einen bestimmten Faktor überschritten wird, beispielsweise um den Faktor zwei. Z-Dioden sind in der Regel nur für geringe Verlustleistungen ausgelegt. Steigt nun der Strom in der oben beschriebenen Anordnung über den Nennstrom der Schmelzsicherung an, ohne diese jedoch auszulösen (z. B. Faktor 1,5), dann kann dies dazu führen, dass sich die Z-Diode aufgrund der. ansteigenden Verlustleistung übermäßig erwärmt und selbsttätig auslotet oder zerstört wird. Der Schutz der nachfolgenden Schaltung mittels der die Spannung begrenzende Wirkung der Z-Diode wäre damit nicht mehr gewährleistet und eine Spannungsspitze könnte die nachfolgende Schaltung zerstören, weil der Strom noch nicht ausreicht, um die Sicherung zum Schmelzen zu bringen.
Es wird nun erfindungsgemäß eine Möglichkeit zur Stromabschaltung vorgesehen. Mittels eines elektrisch ansteuerbaren Stromabschaltmittels und eines Eingangsspannungsvergleichsmittels wird die Stromabschaltung derart realisiert, dass der Strompfad zum Sicherheitsmodul nach Maßgabe des Vergleichsergebnisses unterbrochen werden kann. Hierzu wird die Überspannungsüberwachung zwischen der zu überwachenden Versorgungsspannung und dem Sicherheitsmodul angeordnet, wobei das Eingangsspannungsvergleichsmittels die Versorgungsspannung anhand einer Referenzspannung während des Betriebes des Sicherheitsmoduls permanent und in Echtzeit überwacht. Bei Überschreiten des mittels der Referenzspannung definierten Schwellwertes kann nun eine gesteuerte und definierte Stromabschaltung erfolgen.
Vorzugsweise wird das Stromabschaltmittel als erstes Unterbrechungsmittel derart realisiert, dass dessen Funktion auch während des laufenden Betriebs des Sicherheitsmoduls elektrisch testbar ist. Um dies zu erreichen wird dem Stromabschaltmittel ein zweites Unterbrechungsmittel parallel geschaltet, welches unabhängig von dem Stromabschaltmittel ansteuerbar ist, wobei Statusausgänge vorgesehen sind, um den Zustand beider Unterbrechungsmittels zu erfassen. Beide Unterbrechungsmittel können erfindungsgemäß derart unabhängig voneinander betätigt werden, dass die Versorgungsspannung jeweils mittels zumindest eines der Unterbrechungsmittel stets aufrecht erhalten bleibt. Zu diesem Zwecke ist auch das Stromabschaltmittel unabhängig von dem Unterbrechungsmittel zur Simulation eines Fehlerfalles ansteuerbar.
Dies erhöht die Sicherheit der Gesamtanordnung, weil die Funktionstüchtigkeit des Überstromschutzes jederzeit im laufenden Betrieb und in Echtzeit überprüfbar ist. Dies erspart auch die erneute Inbetriebnahme des Moduls nach einem Test und vermeidet die Unterbrechung des laufenden Betriebs.
Bevorzugt wird das Stromabschaltmittel mittels eines Transistors realisiert, wobei das Eingangsspannungsvergleichsmittel mittels eines Komparators realisiert ist und wobei der Steuereingang des Transistors mit dem Steuerausgang des Komparators verbunden ist, so dass die Stromzuführung für das Sicherheitsmodul mittels des Transistors gezielt und steuerbar abschaltbar ist. Bei den Transistoren und Komparatoren handelt es sich um Bauelemente, welche einen Spannungsbereich bis 65 Volt abdecken müssen, damit die möglichen Schwankungen der Versorgungsspannung nicht zu einer vorzeitigen Zerstörung der Bauelemente führen.
Besonders bevorzugt ist das Eingangsspannungsvergleichsmittel derart beschaltet, dass bei Anstieg der Versorgungsspannung an zumindest einem Eingang des Vergleichsmittels und/oder an den Versorgungsspannungsanschlüssen des Vergleichsmittels eine Strombegrenzung für das Eingangsspannungsvergleichsmittel bewirkt wird.
Steigt die Eingangsspannung der Überspannungsüberwachung beispielsweise aufgrund eines Fehlers an, so sogt diese Beschaltung dafür, dass das Vergleichsmittel selbst vor einer zu hohen Spannung geschützt wird. Dies wird mittels eines Bauelementes erreicht, welches das Verhalten einer Stromquelle aufweist, die in Serie mit einem Spannungsbegrenzungsmittel geschaltet ist. Die Wirkung dieser Anordnung hat zur Folge, dass aufgrund der spannungsunabhängigen Stromversorgung mittels der Stromquelle stets ein definierte und gleichmäßiger Strom im Spannungsbegrenzungsmittel auftritt und somit der Eingang des Vergleichsmittels und/oder die Versorgungsspannungsanschlüsse des Vergleichsmittels unabhängig von der tatsächlich anliegenden Spannung an der Anordnung stets mit definiertem Potential beaufschlagt werden. Diese Lösung ermöglicht es, dass die erfindungsgemäße Überspannungsüberwachung einen Spannungshub der Versorgungsspannung bis zu 65 Volt abdecken kann. Auch im Fehlerfalle, bei dem Spannungen bis zu 65 Volt auftreten können, bleibt die Überwachungsfunktion damit aktiv. Zusätzlich kann die erfindungsgemäße Lösung auch extrem niedrige Versorgungsspannungen unter 5 Volt noch arbeiten.
Als zusätzlicher Schutz kann ein Spannungsbegrenzungsmittel vorgesehen sein, welches bei ansteigender Versorgungsspannung noch vor einer Stromabschaltung mittels des Stromabschaltmittels eine Spannungsbegrenzung für das Sicherheitsmodul bewirkt. Dies wird beispielsweise dadurch erreicht, dass eine Z-Diode zur Spannungsbegrenzung in den Strompfad eingefügt wird. Die aus dem Stand der Technik bekannten Probleme bei der Realisierung des Überspannungsschutzes bestehend aus der Schmelzsicherung und einer Z-Diode werden durch die erfindungsgemäße Lösung vermieden (Auslöten/Überhitzen). In Verbindung mit dem erfindungsgemäßen Überspannungsschutz kann auf Standardbauteile zurückgegriffen werden, da im Fehlerfalle keine Verlustleistungen in der Z-Diode mehr entstehen, die diese schädigen können. Auf zusätzliche Maßnahmen zum Beispiel zur Verlustleistungsabfuhr (z. B. Kühlung) kann verzichtet werden. Die erfindungsgemäße Anordnung stellt auch einen Überstromschutz bzw. einen Schutz vor zu hoher Verlustleistung für andere Beuteile dar, wie beispielsweise das Spannungsbegrenzungsmittel.
Zur Anwendung kommt die erfindungsgemäße Lösung in Verbindung mit einem Sicherheitsmodul für eine Automatisierungskomponente, insbesondere für eine Sicherheitssteuerung oder einen sicheren Antrieb, wobei die Stromzufuhr des Sicherheitsmoduls mittels der Überspannungsüberwachung abschaltbar ist.
Vorzugsweise umfasst das Sicherheitsmodul eine Recheneinheit, mittels derer die Funktion der Überspannungsüberwachung testbar ist. Die Recheneinheit ist dazu derart ausgebildet, dass das Stromabschaltmittel und/oder das Unterbrechungsmittel zu Testzwecken während des Betriebs des Sicherheitsmoduls in Echtzeit mittels der Recheneinheit angesteuert werden und zumindest einer der Statusausgänge mittels der Recheneinheit ausgewertet werden kann.
Das Sicherheitsmodul dient zur Realisierung eines sicheren Betriebs der Automatisierungskomponente. Um diesen sicheren Betrieb zu gewährleisten muss das Sicherheitsmodul selbst ebenfalls sicher betrieben werden. Die erfindungsgemäße Überspannungsüberwachung stellt zumindest eine Sicherheit gegen Überspannung bereit. Vorzugsweise umfasst eine Automatisierungskomponente, insbesondere eine Sicherheitssteuerung oder ein sicherer Antrieb ein zuvor genanntes Sicherheitsmodul, welches Sicherheitsmodul den sicheren Betrieb der Komponente bewirkt.
1 zeigt wie die erfindungsgemäße Überspannungsüberwachung beispielhaft realisiert sein könnte.
Die Schaltung zeigt als aktive Bauelemente einen Transistor T1 11 und einen Komparator K1 12 sowie als passive Bauelemente CDRs (Current Regulative Diode) 14, 18, Widerstände 15 und Z-Dioden 16, 17. Der Spannungsteiler 15 ist derart dimensioniert, dass der Komparator 12 beim Überschreiten einer bestimmten Schaltschwelle, verursacht durch die Eingangsspannung VCC_HOST 13 der Anordnung, aktiv wird. Als Referenzspannung wird mittels des CDR 14 und der Z-Diode 17 beispielsweise in dieser Schaltung ein Referenzspannungswert VREF um 2,5 Volt erzeugt, mit dem ein Komparatoreingang beschaltet ist. Überschreitet VCC_HOST 13 die Referenzspannung am Spannungsteiler 15, so wird eine Überspannung erkannt und der Transistor T1 11 unterbricht die Stromversorgung für das Sicherheitsmodul 19. Die CDRs 14 arbeiten ähnlich wie eine Stromquelle und liefern unabhängig von der anliegenden Spannung einen definierten Strom. Die Serienschaltung der CDRs 14, 18 mit den Z-Dioden 17, 16 könnte daher auch eine andere Schaltungsanordnung gleicher Wirkung (beispielsweise einer Stromquelle und Z-Dioden) ersetzt werden. Der Vorteil dieser Lösung liegt in einem weiten Eingangspannungshub, der hiermit erreicht wird und den Betrieb der Überwachung auch im Falle einer fehlerbedingten und überhöhten Eingangspannung VCC_HOST sicherstellt. Die Überspannungsüberwachung ist derart realisiert, dass sie bis zu einer Überspannung VCC_HOST von max. 65 V funktioniert. Die Schaltung deckt wegen der Verwendung der CDRs einen Spannungsbereich von ca. 4,5 bis circa 65 Volt ab.
Vorzugsweise wird der Transistor T1 11 als erstes Unterbrechungsmittel derart realisiert, dass dessen Funktion auch während des laufenden Betrieb des Sicherheitsmoduls elektrisch testbar ist. Um dies zu erreichen wird dem Transistor T1 11 ein zweites Unterbrechungsmittel 11a (z. B. ebenfalls Transistor T2) parallel geschaltet, welches unabhängig von dem Transistor T1 11 ansteuerbar ist mittels einer Steuerspannung 11b. Es sind Statusausgänge 11c, 11d an der erfindungsgemäßen Überspannungsüberwachung vorgesehen, um den Zustand beider Unterbrechungsmittel T1 11, T2 11a beispielsweise mittels einer Vom Sicherheitsmodul 19 umfassten Datenverarbeitungseinheit 20 zu erfassen. Beide Unterbrechungsmittel T1 11, T2 11a können erfindungsgemäß derart unabhängig voneinander betätigt werden, dass die Versorgungsspannung VCC_HOST 13 jeweils mittels zumindest eines der Unterbrechungsmittel T1 11, T2 11a stets aufrecht erhalten bleibt. Dies macht die Zuverlässigkeit der Gesamtanordnung testbar.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

- DE 2504648 C2 [0003]
- DE 3829705 A1 [0003]

Claims

Überspannungsüberwachung für ein Sicherheitsmodul (19) zum sicheren Betrieb des Moduls (19), wobei eine Möglichkeit zur Stromabschaltung (11) vorgesehen ist, dadurch gekennzeichnet, dass mittels eines elektrisch ansteuerbaren Stromabschaltmittels (11) und eines Eingangsspannungsvergleichsmittels (12) die Stromabschaltung (11) derart realisiert ist, dass der Strompfad zum Sicherheitsmodul (19) nach Maßgabe eines Vergleichsergebnisses unterbrochen werden kann.
Überspannungsüberwachung nach Anspruch 1, wobei die Anordnung derart realisiert ist, dass deren Überwachungsfunktion auch während des laufenden Betriebs des Sicherheitsmoduls (19) in Echtzeit elektrisch testbar ist.
Überspannungsüberwachung nach Anspruch 2, wobei dem Stromabschaltmittel (11) ein Unterbrechungsmittel (11a) parallel geschaltet ist, welches unabhängig von dem Stromabschaltmittel (11) ansteuerbar (11b) ist, wobei Statusausgänge (11c, 11d) vorgesehen sind, um den aktuellen Zustand des Stromabschaltmittels (11) und/oder des Unterbrechungsmittels (11a) in Echtzeit zu erfassen.
Überspannungsüberwachung nach Anspruch 3, wobei auch das Stromabschaltmittel (11) unabhängig von dem Unterbrechungsmittel (11a) zur Simulation eines Fehlerfalles ansteuerbar ist.
Überspannungsüberwachung nach einem der vorhergehenden Ansprüche, wobei das Stromabschaltmittel (11) mittels eines Transistors (11) realisiert ist und wobei das Eingangsspannungsvergleichsmittel (12) mittels eines Komparators (12) realisiert ist, wobei der Steuereingang des Transistors (11) mit dem Steuerausgang des Komparators (12) verbunden ist, so dass die Stromzuführung für das Sicherheitsmodul (19) mittels des Steuerausgangs abschaltbar ist.
Überspannungsüberwachung nach einem der vorhergehenden Ansprüche, wobei das Eingangsspannungsvergleichsmittel (12) mit einem Mittel (18) beschaltet ist, welches bei Anstieg der Versorgungsspannung (13) an den Versorgungsspannungsanschlüssen des Eingangsspannungsvergleichsmittels (12) eine Strombegrenzung für die Versorgungsspannungsanschlüsse des Eingangsspannungsvergleichsmittels (12) bewirkt.
Überspannungsüberwachung nach einem der vorhergehenden Ansprüche, wobei zusätzlich ein Spannungsbegrenzungsmittel vorgesehen ist, welches bei ansteigender Versorgungsspannung noch vor einer Stromabschaltung mittels des Stromabschaltmittels (11) eine Spannungsbegrenzung für das Sicherheitsmodul (19) bewirkt.
Sicherheitsmodul für eine Automatisierungskomponente, insbesondere für eine Sicherheitssteuerung oder einen sicheren Antrieb, umfassend eine Überspannungsüberwachung gemäß einem der Ansprüche 1 bis 7, wobei die Stromzufuhr des Sicherheitsmoduls (19) mittels der Überspannungsüberwachung abschaltbar ist.
Sicherheitsmodul nach Anspruch 8, umfassend eine Recheneinheit (20) mittels derer die Funktion der Überspannungsüberwachung testbar ist, indem die Recheneinheit (20) derart ausgebildet ist, dass gemäß Anspruch 3 oder 4 das Stromabschaltmittel (11) und/oder das Unterbrechungsmittel (11a) zu Testzwecken während des Betriebs des Sicherheitsmoduls (19) in Echtzeit ansteuerbar und zumindest einer der Statusausgänge (11c, 11d) auswertbar ist.
Automatisierungskomponente, insbesondere Sicherheitssteuerung oder sicherer Antrieb, umfassend ein Sicherheitsmodul (19) gemäß einem der vorhergehenden Ansprüche, welches Sicherheitsmodul (19) den sicheren Betrieb der Automatisierungskomponente bewirkt.