DE102010026694A1

DE102010026694A1 - Verfahren zur Überwachung eines Schalters, insbesondere eines Leistungsschalters für Niederspannungen

Info

Publication number: DE102010026694A1
Application number: DE201010026694
Authority: DE
Inventors: Peter KOPACZEWSKI; Andreas Krauss
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2010-07-06
Filing date: 2010-07-06
Publication date: 2012-01-12

Abstract

Die Erfindung betrifft ein Verfahren zur Überwachung eines Schalters, insbesondere eines Leistungsschalters für Niederspannungen, bei dem eine Überwachungseinrichtung und ein Mikrocontroller vorgesehen sind, dessen logischer Arbeitsablauf durch eine Firmware festgelegt ist, die ein Hauptprogramm mit niedrigster Priorität und Tasks mit höheren Prioritäten umfasst. Um die korrekte Funktion des Schalters auch bei sicherheitskritischen Anwendungen jeweils sicherzustellen, wird vorgeschlagen, dass fortlaufend jeweils ein anderes Eingangswort von der Überwachungseinrichtung an den Mikrocontroller oder alternativ dass fortlaufend jeweils ein anderes Eingangswort von einem der Tasks an die Überwachungseinrichtung übergeben wird, dass vom Hauptprogramm jeweils ein Algorithmus ausgeführt wird, bei dessen Ausführung der Mikrocontroller mittels mathematischer und/oder logischer Operationen aus dem aus diesem Eingangswort ein Ausgangswort ermittelt, dass das Ausgangswort durch Ausführen von mindestens einem Task zur Überwachungseinrichtung gesandt wird, die das Ausgangswort mit demselben Algorithmus verifiziert und die Firmware auf korrekte Funktion anhand der Verifikation überwacht. Es werden also höher priorisierte Tasks, das Hauptprogramm und wieder höher priorisierte Tasks in die Überwachung miteinbezogen.

Description

Die Erfindung betrifft ein Verfahren zur Überwachung eines Schalters, insbesondere eines Leistungsschalters für Niederspannungen, gemäß dem Oberbegriff des Anspruchs 1.
Leistungsschalter für Niederspannungen, im Folgenden kurz Schalter genannt, dienen zur Unterbrechung eines Stroms, wenn dieser beispielsweise einen vorgegebenen Ansprechwert überschreitet. Die Unterbrechung wird heute meist durch eine elektronische Auslöseeinheit ausgelöst, die dazu den fließenden Strom überwacht. Zur Überwachung ist die Auslöseeinheit mit einem magnetischen Sensor in Form eines Messwandlers verbunden, welcher im Bereich des Stromleiters angeordnet ist. Die Auslöseeinheit dient dabei auch der Signalaufbereitung (Pegelanpassung, ggf. Integration der Sensorsignale usw.), der Signalerfassung (Analog-Digital-Wandlung der aufbereiteten Sensor-Signale) und der Signalverarbeitung (digitale Bearbeitung der Sensorsignale zur Bildung der Messgrößen wie Strom und Spannung). Um den ständig zunehmenden Anforderungen, insbesondere bezüglich der Kommunikationsfähigkeit, zu entsprechen, werden in vielen Fällen bereits Multiprozessoren oder spezielle integrierte Schaltungen (ASICs) zusammen mit Mikrocontrollern eingesetzt. Dabei sollen die Leistungsschalter auch für sicherheitskritische Anwendungsfälle geeignet sein, wie z. B. in der Luftfahrt und in Kernkraftwerken, in denen die Systemsicherheit eine große Rolle spielt. Dies betrifft nicht nur die reine Umsetzung der Funktionen der eingesetzten Komponenten, sondern auch die funktionale Integrität (also der korrekten vorhersehbaren Reaktionen) sowie die Meldungen im Fehlerfall.
Um sicherzustellen, dass die Komponenten des Leistungsschalters korrekt funktionieren, ist es bekannt, dass die. elektronische Auslöseeinheit ein Lebenszeichen in Form eines Signals (Heart-Beat) abgibt. Das Signal kann als Kontakt oder als Kommunikationstelegramm periodisch ausgegeben werden.
Nachteilig ist dabei, dass es trotz eines internen Fehlers zur Ausgabe eines Signals kommen kann, d. h. obwohl die Auslöseeinheit nicht mehr korrekt oder gar nicht mehr funktioniert. So ist es z. B. möglich, dass die Firmware der Auslöseeinheit zwar einige wichtige Tasks nicht mehr ausführt, aber sehr wohl die das Signal erzeugenden und ausgebenden Tasks. Das kann dazu führen, dass im Überlastfall keine Auslösung erfolgt und damit kein Schutz gewährleistet ist, oder es zu einer Überfunktion in Form einer unnötigen Auslösung kommt.
Die Aufgabe der Erfindung ist es, die korrekte Funktion des Leistungsschalters (auch bei sicherheitskritischen Anwendungen) jeweils sicherzustellen.
Die Aufgabe wird durch die Merkmale des Anspruchs 1 gelöst; die Unteransprüche stellen vorteilhafte Ausgestaltungen dar.
Die Lösung sieht vor, dass fortlaufend jeweils ein anderes Eingangswort von der Überwachungseinrichtung an den Mikrocontroller oder alternativ dass fortlaufend jeweils ein anderes Eingangswort von einem der Tasks an die Überwachungseinrichtung übergeben wird, dass vom Hauptprogramm jeweils ein Algorithmus ausgeführt wird, bei dessen Ausführung der Mikrocontroller mittels mathematischer und/oder logischer Operationen aus dem aus diesem (empfangenen oder selbst erzeugten) Eingangswort ein Ausgangswort ermittelt, dass das Ausgangs Wort durch Ausführen von mindestens einem Task zur Überwachungseinrichtung gesandt wird, die das Ausgangswort mit demselben Algorithmus verifiziert und die Firmware auf korrekte Funktion anhand der Verifikation überwacht. Das Signal als Lebenszeichen wird also mit einer ständig neuen Aufgabe verknüpft, welche mittels eines Algorithmus gelöst werden muss. Es wird das aus dem Eingangswort gebildete Ausgangswort jeweils an die Überwachungseinrichtung übergeben, allein oder zusammen mit dem Eingangswort. Bei dem Algorithmus kann es sich um eine CRC-Berechnung oder eine andere logische Aufgabe handeln. Es werden also höher priorisierte Tasks (bei Empfangen oder Erzeugen des Eingangsworts), das Hauptprogramm (bei der Lösung der Aufgabe oder der Berechnung) und wieder höher priorisierte Tasks (bei Versenden der Antwort) in die Überwachung miteinbezogen. Grundsätzlich ergeben sich zwei Szenarien, nämlich erstens, dass in einer absehbaren (vorher fest definierten) Zeit das Ausgangswort an die Überwachungseinrichtung übergeben wird, welche die Zeitvorgabe und die Richtigkeit des Ausgangsworts kontrolliert. Und zweitens, dass das Eingangsdatum für das Eingangswort vom Mikrocontroller oder der Auslöseeinheit selbst bereitgestellt (z. B. erzeugt) wird. Die Auslöseeinheit sendet im zweiten Szenarium dann das Eingangswort und das zugehörige Ausgangswort zusammen an die Überwachungseinrichtung. Diese kontrolliert, ob ständig ein neues Eingangswort generiert wird und ob das Ausgangswort korrekt nach dem Algorithmus berechnet worden ist.
Zweckmäßigerweise ist die Überwachungseinrichtung im oder am Schalter angeordnet.
Eine einfache Ausgestaltung des Verfahrens mit einer externen Überwachungseinrichtung sieht vor, dass diese über eine Kommunikationsverbindung mit dem Schalter verbunden ist und dass die Übergabe jeweils über die Kommunikationsverbindung erfolgt.
Im einfachsten Fall erfolgt bei nicht korrekter Funktion eine Fehleranzeige oder die Anzeige einer Überlastung des Mikrocontrollers.
Bei einer einfachen Ausführung weist der Schalter eine elektronische Auslöseeinheit auf, die den Mikrocontroller umfasst und von dem Mikrocontroller gesteuert wird.
In einem einfachen Fall ist der gesamte Programmablauf als Hauptprogramm (Main) mit mehreren Unterprogrammen (Funktionen) organisiert.
Auf einfache Art und Weise lässt sich jeweils ein anderes Eingangswort von einem der Tasks mit Hilfe eines Zufallsprinzips (z. B. Zufallsgenerators) ermitteln.
Zweckmäßigerweise ist das Eingangswort oder das Ausgangswort jeweils ein n-Bit-Wort.
Die Sicherheit lässt sich erhöhen, wenn die Überwachungseinrichtung extern angeordnet ist.
Die Erfindung wird nachfolgend anhand eines Systems zur Überwachung eines Schalters, insbesondere eines Leistungsschalters für Niederspannungen, näher beschrieben. Das System umfasst neben dem Schalter eine Überwachungseinrichtung. Dabei kann die Überwachungseinrichtung extern weit entfernt vom Schalter oder direkt am Schalter oder im Schalter angeordnet sein. Der Schalter umfasst eine elektronische Auslöseeinheit, zu der ein Mikrocontroller gehört, der mit der Überwachungseinrichtung über eine Kommunikationsverbindung verbunden ist.
Die Kommunikationsverbindung ist als Bus oder einfache elektrische Verbindung ausgebildet, letzteres gegebenenfalls wenn sich die Überwachungseinrichtung im oder am Schalter befindet.
Im Mikrocontroller ist eine Firmware abgelegt, durch die der logische Arbeitsablauf des Mikrocontrollers festgelegt ist. Die Firmware umfasst ein Hauptprogramm (Main Task), welches die niedrigste Priorität aufweist. Zur Firmware gehören weiterhin Tasks, deren Prioritäten alle höher als die des Hauptprogramms sind. Der Gesamtprogrammablauf ist als Hauptprogramm mit mehreren Unterprogrammen (Funktionen) organisiert.
Bei einer ersten Ausführung sendet die Überwachungseinrichtung fortlaufend jeweils ein anderes 8-Bit-Eingangswort (allgemein ein n-Bit-Eingangswort) über die Kommunikationsverbindung an den Mikrocontroller, der das 8-Bit-Eingangswort jeweils mittels einer seiner Tasks empfängt und an das Hauptprogramm übergibt. Das Hauptprogramm führt einen CRC-Berechnungs-Algorithmus aus, bei dem aus dem 8-Bit-Eingangswort ein 8-Bit-Ausgangswort ermittelt wird. Dies erfolgt mittels des Hauptprogramms, welches aufgrund seiner niedrigsten Priorität dabei üblicherweise jeweils mehrfach unterbrochen wird. In den Zeiten der Unterbrechung führt der Mikrocontroller die höher priorisierten Tasks aus. Nach Berechnung des 8-Bit-Ausgangsworts wird dieses wiederum mittels eines Tasks, d. h. höher priorisiert, an die Überwachungseinrichtung gesandt. Diese überprüft mit demselben Algorithmus, ob das 8-Bit-Ausgangswort korrekt und innerhalb einer vorgegebenen Zeit ermittelt worden ist. Ist dies nicht der Fall, erfolgt eine Fehleranzeige oder es wird speziell die Überlastung des Mikrocontrollers angezeigt.
Bei einer zweiten Ausführung wird das 8-Bit-Eingangswort alternativ fortlaufend von einem der Tasks mit Hilfe eines Zufallsgenerators erzeugt. Dieses wird anschließend oder nach Berechnung des 8-Bit-Ausgangsworts zusammen mit diesem an die Überwachungseinrichtung gesandt.
Bei beiden Ausführungen ist also beim Empfang bzw. bei der Erzeugung des 8-Bit-Eingangsworts jeweils ein höher priorisierter Task beteiligt; dasselbe gilt für das Senden des 8-Bit-Ausgangsworts an die Überwachungseinrichtung.
Die Einbindung von höher priorisierten Tasks und dem Hauptprogramm in die Überwachung des Schalters schließt eine Vielzahl von Fehlern aus, die bei alleiniger Verwendung des Hauptprogramms zur Erzeugung eines Lebenszeichen-Signals auftreten können.

Claims

Verfahren zur Überwachung eines Schalters, insbesondere eines Leistungsschalters für Niederspannungen, bei dem eine Überwachungseinrichtung und ein Mikrocontroller vorgesehen sind, dessen logischer Arbeitsablauf durch eine Firmware festgelegt ist, die ein Hauptprogramm mit niedrigster Priorität und Tasks mit höheren Prioritäten umfasst, dadurch gekennzeichnet, dass fortlaufend jeweils ein anderes Eingangswort von der Überwachungseinrichtung an den Mikrocontroller oder alternativ dass fortlaufend jeweils ein anderes Eingangswort von einem der Tasks an die Überwachungseinrichtung übergeben wird, dass vom Hauptprogramm jeweils ein Algorithmus ausgeführt wird, bei dessen Ausführung der Mikrocontroller mittels mathematischer und/oder logischer Operationen aus dem aus diesem Eingangswort ein Ausgangswort ermittelt, dass das Ausgangswort durch Ausführen von mindestens einem Task zur Überwachungseinrichtung gesandt wird, die das Ausgangswort mit demselben Algorithmus verifiziert und die Firmware auf korrekte Funktion anhand der Verifikation überwacht.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Überwachungseinrichtung im oder am Schalter angeordnet ist.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Überwachungseinrichtung über eine Kommunikationsverbindung mit dem Schalter verbunden ist und dass die Übergabe jeweils über die Kommunikationsverbindung erfolgt.
Verfahren nach einem der Ansprüche 1–3, dadurch gekennzeichnet, dass bei nicht korrekter Funktion eine Fehleranzeige oder die Anzeige einer Überlastung des Mikrocontrollers erfolgt.
Verfahren nach einem der Ansprüche 1–4, dadurch gekennzeichnet, dass der Schalter eine elektronische Auslöseeinheit aufweist, die den Mikrocontroller umfasst und von dem Mikrocontroller gesteuert wird.
Verfahren nach einem der Ansprüche 1–5, dadurch gekennzeichnet, dass der Gesamtprogrammablauf als Stack organisiert ist.
Verfahren nach einem der Ansprüche 1–6, dadurch gekennzeichnet, dass bei der Alternative einer der Tasks das Eingangswort jeweils mit Hilfe eines Zufallsgenerators ermittelt.
Verfahren nach einem der Ansprüche 1–7, dadurch gekennzeichnet, dass das Eingangswort und das Ausgangswort jeweils ein n-Bit-Wort ist.
Verfahren nach einem der Ansprüche 1–8, dadurch gekennzeichnet, dass die Überwachungseinrichtung extern angeordnet ist.