DE19811065A1 - Gerätesteuersystem - Google Patents

Description

Die vorliegende Anmeldung beansprucht die Priorität der provisorischen Anmeldung 60/040510, die am 13. März 1997 eingereicht wurde.

Die vorliegende Erfindung betrifft Steuersysteme für Geräte. Genauer gesagt betrifft die vorliegende Erfindung ein Steuersystem, welches zwei oder mehr Prozessoren aufweist, und für das Abschalten des Gerätes sorgt, wenn von irgendeinem Prozessor unsichere Betriebszustände festgestellt werden.

Eine Schlüsselfunktion bei der Steuerung von Geräten besteht darin, für den sicheren Betrieb des Gerätes zu sorgen, selbst wenn der Ausfall eines Bauteils in dem Gerät auftritt. Die Auswirkungen eines Ausfalls oder einer Störung eines Bauteils in dem Gerät können potentiell ernst sein. Nicht kann eine Störung andere Teile in dem Gerät beschädigen, sondern kann die Störung auch zu ernsthaften Verletzungen des Benutzers des Gerätes führen.

Beispielsweise bei einem Backofen kann der Ausfall oder die Störung eines Bauteils dazu führen, daß das Heizelement des Backofens ohne Temperaturregelung eingeschaltet wird. Darüber hinaus kann, wenn sich der Backofen in dem Betriebszustand befindet, in dem er sich selbst reinigt, der Ausfall oder die Störung eines Bauteils bei diesem Backofen, welcher auf eine gefährliche Temperatur erwärmt wurde, entriegelt. Es ist offensichtlich, daß die Störung oder der Ausfall eines Bauteils nicht dazu führen darf, das Heizelement des Backofens einzuschalten oder die Tür des Backofens zu entriegeln.

Momentan vorhandene Gerätesteuerungen sind in der Herstellung teuer und sind aus zahlreichen diskreten Bauteilen aufgebaut, was die Herstellung eines Steuersystems verteuert. Momentan bekannte Sicherheitssteuereigenschaften sorgen darüber hinaus nicht für redundante Steueranordnungen. Anders ausgedrückt sorgen momentane Steuersysteme nicht dafür, daß das System weiterhin arbeitet und unsichere Betriebsbedingungen feststellt, wenn ein zentrales Bauteil des Sicherheitssystems ausfällt.

Ein Vorteil des Systems gemäß der vorliegenden Erfindung besteht darin, daß es zwei oder noch mehr Mikroprozessoren aufweist, die dazu verwendet werden, einen ausfallsicheren Störungserfassungsmechanismus zur Verfügung zu stellen, wenn der Ausfall oder die Störung eines Bauteils auftritt. Ein Mikroprozessor ist ein Anwendungsprozessor und betreibt die Anzeige des Gerätes, liest das Tastenfeld des Gerätes dahingehend ab, ob Eingaben vorhanden sind, stellt die hauptsächlichen Steuer- und Logikoperationen des Systems zur Verfügung, und stellt die Sicherheitsfreischaltausgangssignale für die Gerätelasten zur Verfügung. Der andere Mikroprozessor ist ein Peripherieprozessor, welcher die Relais freischaltet, welche die Gerätelasten freischalten, eine Analog/Digitalwandlung durchführt, damit die Steuerung oder Regelung und Messung der Temperatur oder anderer Betriebszustände des Gerätes ermöglicht wird, und steuert und liest den Zustand anderer Sicherheitsmerkmale des Gerätes, beispielsweise den Zustand von Türen.

Sowohl der Anwendungsprozessor als auch der Peripherieprozessor müssen elektrische Schaltelemente in Betrieb setzen, damit die fast oder der Verbraucher des Gerätes mit Energie versorgt wird. Dies stellt sicher, daß jeder festgestellte Störzustand jeden der Prozessoren veranlaßt, den Verbraucher abzuschalten.

Beide Prozessoren führen eine Kommunikation über einen gemeinsamen Bus durch, der an einen nicht-flüchtigen Speicher angeschlossen ist, und wenn eine Kommunikationsstörung zwischen den Prozessoren auftritt, werden die Verbraucher abgeschaltet. Darüber hinaus kann jeder der Prozessoren die Ofenverbraucher abschalten, um einen unsicheren Betriebszustand zu verhindern. Im Gegensatz zu momentanen Steuersystemen stellt daher die vorliegende Erfindung eine Doppelsteueranordnung zur Verfügung, die sicherstellt, daß bei der Sperrung eines Prozessors der Verbraucher des Gerätes abgeschaltet wird, wodurch verhindert wird, daß unsichere Betriebszustände auftreten.

Wie voranstehend erwähnt verwendet der Anwendungsprozessor einen Analog/Digitalport für den Empfang von Kommunikationssignalen von dem Peripherieprozessor. Diese Vorgehensweise gestattet es, daß der Anwendungsprozessor feststellt, ob die Versorgungsspannungen für den Peripherieprozessor innerhalb zulässiger Grenzen liegen. Liegen die Versorgungsspannungen außerhalb des zulässigen Betriebsbereichs, dann könnte der Peripherieprozessor keine exakte Analog/Digitalwandlung durchführen, und dies könnte zu einer unsicheren Backofentemperatur führen. Auf diese Weise sorgt die vorliegende Erfindung für eine verbesserte Gerätesicherheit. Darüber hinaus erfordert die vorliegende Erfindung weniger Teile, ist einfacher herzustellen, und kostengünstiger herzustellen als momentan bekannte Gerätesteuerungen.

Die Erfindung wird nachstehend anhand zeichnerisch dargestellter Ausführungsbeispiele näher erläutert, aus welchen weitere Vorteile und Merkmale hervorgehen. Es zeigt:

Fig. 1 ein Blockschaltbild eines Steuersystems auf der Grundlage der vorliegenden Erfindung;

Fig. 2a ein Flußdiagramm des Betriebsablaufs des Anwendungsprozessors auf der Grundlage der vorliegenden Erfindung;

Fig. 2b ein Flußdiagramm des Betriebsablaufs der Sicherheitsabschaltmerkmale des Anwendungsprozessors auf der Grundlage der vorliegenden Erfindung;

Fig. 3a ein Flußdiagramm des Betriebsablaufs des Peripherieprozessors auf der Grundlage der vorliegenden Erfindung;

Fig. 3b ein Flußdiagramm des Betriebsablaufs der Sicherheitsabschalteigenschaften des Peripherieprozessors auf der Grundlage der vorliegenden Erfindung; und

Fig. 4 eine schematische Darstellung des Steuersystems auf der Grundlage der vorliegenden Erfindung.

Zwar betrifft die nachstehende Beschreibung ein Steuersystem für einen Backofen, jedoch wissen Fachleute, daß die vorliegende Erfindung bei allen Arten von Geräten einsetzbar ist, einschließlich allen Arten von Backöfen, Herden, Kühlschränken, Gefrierschränken, Abfallzerkleinerern, Waschmaschinen, Trocknern und Geschirrspülern.

Wie in Fig. 1 dargestellt ist, gibt ein Benutzer einen Befehl in eine Tastatur 10 ein. Die Tastatur ist eine typische Tastatur, die auf der Vorderseite eines Herdes vorgesehen ist, und Tasten aufweist, welche den Betrieb dieses Herdes steuern. Die auf der Tastatur 10 vorhandenen Tasten umfassen Tasten, die den Herd ein- und ausschalten. Zusätzlich sind Tasten vorhanden, welche den Herd bei bestimmten Einstellungen betreiben. Beispielsweise weist die Tastatur Steuerungen auf, um den Herd anzuweisen, mit einer Betriebsart zum Backen zu beginnen, mit einer Betriebsart für die Selbstreinigung, und einer Betriebsart zum Abtauen. Weiterhin können Tasten gedrückt werden, welche mechanische Funktionen von Herdbauteilen betätigen, beispielsweise das Öffnen und Schließen der Tür des Herdes. Weiterhin ist auf der Tastatur eine Löschtaste vorgesehen, welche den Betrieb des Herdes in der momentanen Betriebsart unterbricht, in welcher der Herd arbeitet. Der Spannungspegel der Tasten wird von dem Anwendungsprozessor gemessen, und dazu verwendet, ob in der Tastatur 10 eine Störung vorhanden ist. Zusätzlich Tasten können auf der Tastatur dazu verwendet werden, den Herd dazu anzuweisen, in anderen Betriebsarten zu arbeiten.

Die Signale, die aufgrund des Niederdrückens einer Taste entstehen, werden von der Tastatur 10 einem Analog/Digitalwandler 12 zugeführt. Der Zweck des Analog/Digitalwandlers 12 besteht darin, Digitalsignale zur Verfügung zu stellen, die von dem Anwendungsprozessor 14 verstanden oder gelesen werden können. Obwohl ein getrenntes Bauteil dargestellt ist, kann die Analog/Digitalwandlung intern im Anwendungsprozessor 14 durchgeführt werden, wenn es sich um einen derartigen Mikroprozessor handelt, der für diesen Zweck ausgerüstet ist.

Der Anwendungsprozessor 14 empfängt Signale von der Tastatur 10 über den Analog/Digitalwandler 12 und verarbeitet diese Signale. Die Verarbeitung führt zu einer Reihe von Steuersignalen, die von dem Anwendungsprozessor 14 ausgesandt werden, der den Betrieb des Verbrauchers 20 und anderer Bauteile des Herdes vorgibt. Der Verbraucher 20 ist eine Heizeinheit in einem Herd. Der Anwendungsprozessor ist typischerweise ein 4-Bit-Prozessor des Typs HD404316, der von Hitachi Corporation hergestellt wird, oder ein entsprechender Prozessor, der Fachleuten auf diesem Gebiet bekannt ist.

Weiterhin empfängt der Anwendungsprozessor 14 Signale, welche Information repräsentieren, die in einem nicht-flüchtigen Speicher 16 gespeichert ist. Der nicht-flüchtige Speicher 16 überträgt die in ihm gespeicherte Information über einen Datenbus 32, der an den Anwendungsprozessor 14 angeschlossen ist. Die Information auf dem Datenbus 32 liegt in Form von Digitalsignalen vor, wobei der Logikwert "1" durch 5 Volt gegeben ist. Der nicht-flüchtige Speicher 16 speichert Information, welche Information darstellt, die für einen bestimmten Herd spezifisch ist. Beispielsweise speichert der nicht-flüchtige Speicher Information, die verschiedene Temperatureinstellungen in den Betriebsarten des Herdes angibt. Diese Information wird dem Anwendungsprozessor 14 zugeführt, der diese Information zusammen mit den Eingaben von der Tastatur 10 dazu verwendet, den Verbraucher 20 ordnungsgemäß zu betreiben, und unsichere Betriebszustände festzustellen.

Der Anwendungsprozessor 14 enthält einen Meßanschluß 34, der den Spannungspegel feststellt, der auf dem Datenbus 32 vorhanden ist. Der Anwendungsprozessor 14 stellt fest, ob dieser Spannungspegel unterhalb eines Schwellenwertes liegt. Wenn der festgestellte Wert unterhalb des Schwellenwertes liegt, so bedeutet dies, daß die Versorgungsspannung für einen Peripherieprozessor 28 außerhalb des zulässigen Betriebsbereiches liegt. Wäre dies der Fall, so könnte der Peripherieprozessor 28 seine Funktion nicht korrekt durchführen. Darüber hinaus führt der Anwendungsprozessor eine Fehlerüberprüfung bei dem Signal durch, wie Fachleuten auf diesem Gebiet bekannt ist.

Liegt der Spannungspegel unterhalb eines Schwellenwertes, so schickt der Anwendungsprozessor 14 ein Freischaltsignal 37 aus, welches einen Stromschalter 18 einschaltet, der den Verbraucher 20 des Herdes arbeitet läßt. Wie nachstehend noch genauer erläutert wird, ist es erforderlich, daß der Peripherieprozessor 28 darüber hinaus ein Freischaltsignal 40 zum Freischalten eines weiteren Stromschalters 22 aus sendet, bevor zugelassen wird, daß der Verbraucher 20 mit Strom versorgt wird. Anders ausgedrückt müssen beide Schalter 18 und 20 freigeschaltet werden, bevor der Verbraucher 20 mit Strom versorgt wird.

Weiterhin sendet der Anwendungsprozessor 14 ein Sperrsignal 38 aus, welches den Stromschalter 18 abschaltet, wenn unsichere Herdzustände festgestellt werden. Die unsicheren Herdzustände umfassen die Feststellung einer Störung bei der Tastatur 10, die Feststellung einer niedrigen Spannung auf dem Bus 32, oder die Erfassung des Ablaufs der Kommunikation zwischen dem Anwendungsprozessor 14 und dem Peripherieprozessor 28.

Darüber hinaus empfängt der Anwendungsprozessor ein Rücksetzsignal 30 von dem Peripherieprozessor 28. Der Zweck des Rücksetzsignals besteht darin, den Anwendungsprozessor 14 beim Einschalten der Stromversorgung für das System zurückzusetzen, oder anzuzeigen, daß die Kommunikation zwischen dem Anwendungsprozessor 14 und dem Peripherieprozessor 28 unterbrochen wurde.

Analoge Eingangssignale 24, beispielsweise ein Signal, welches die Herdtemperatur anzeigt, sowie ein Signal, welches anzeigt, ob die Herdtür geöffnet ist, werden einem Analog/Digitalwandler 26 zugeführt, der die Analogspannungspegel der analogen Eingangssignale von dem Herd in Digitalsignale ändert, die von dem Peripherieprozessor 28 verwendet werden sollen. Obwohl als getrenntes Bauteil dargestellt, kann die Analog/Digitalwandlung bei einem Mikroprozessor durchgeführt werden, wenn er entsprechend ausgerüstet ist.

Der Peripherieprozessor 28 arbeitet so, daß er den Betrieb des Verbrauchers 20 freischaltet. Der Peripherieprozessor schickt ein Freischaltsignal 40 an den Stromschalter 22, damit der Stromschalter 22 geschlossen wird. Es ist erforderlich, daß beide Stromschalter 18 und 22 geschlossen werden, um den Verbraucher mit Strom zu versorgen. Ein Abschaltzustand, der entweder von dem Anwendungsprozessor 14 oder dem Peripherieprozessor 28 festgestellt wird, führt daher dazu, daß die Stromversorgung des Verbrauchers unterbrochen wird.

Der Peripherieprozessor 28 empfängt die Digitalsignale, welche für die analogen Eingangssignale 24 repräsentativ sind, und verarbeitet diese zu Digitalsignalen. Der Prozessor 28 vergleicht die Werte der Signalbereiche, die in dem nicht­ flüchtigen Speicher 16 gespeichert sind. Beispielsweise kann der Peripherieprozessor 28 die Temperatur des Herdes messen, und feststellen, ob diese Temperatur innerhalb des Bereiches liegt, der in dem nicht-flüchtigen Speicher für einen bestimmten Betriebszustand des Herdes gespeichert ist. Wie nachstehend noch genauer erläutert wird, schickt der Peripherieprozessor ein Abschaltsignal 42 an den Stromschalter 22, der den Schalter öffnet und der Verbraucher abschaltet, der typischerweise die Heizeinheit eines Herdes ist.

Darüber hinaus stellt der Peripherieprozessor 28 fest, ob die Kommunikation zwischen dem Peripherieprozessor 28 und dem Anwendungsprozessor 14 unterbrochen wurde. Der Peripherieprozessor 28 schickt ein Sperrsignal 42 an den Stromschalter, welches den Stromschalter 22 abschaltet, und den Verbraucher 20 des Herdes abschaltet.

Weiterhin ist der Peripherieprozessor 28 an den Datenbus 32 angeschlossen, über welchen er Information an den nicht­ flüchtigen Speicher 16 schickt bzw. von diesem empfängt. Derartige Daten umfassen die Betriebsparameter des Verbrauchers 20. Zusätzlich überträgt der Peripherieprozessor 28 Signale, welche andere Eigenschaften des Herdes steuert. Beispielsweise überträgt der Peripherieprozessor 28 ein Signal 44, welches die Verriegelung der Tür des Herdes schließt. Eine derartige Steuerung stellt ein Sicherheitsmerkmal dar, und ist dazu erforderlich, um sicherzustellen, daß die Tür im Betrieb des Herdes nicht versehentlich geöffnet wird.

Weiterhin steuert der Peripherieprozessor 28 das Rücksetzen des Anwendungsprozessors 14. Beispielsweise beim Rücksetzen des Systems schickt der Peripherieprozessor ein Rücksetzsignal 30 aus, welches den Anwendungsprozessor 28 zurücksetzt und in seinen Anfangszustand versetzt. Das Rücksetzsignal wird auch ausgesandt, wenn die Kommunikation zwischen dem Anwendungsprozessor 14 und dem Peripherieprozessor 28 unterbrochen wurde. Der Peripherieprozessor 28 ist vorzugsweise ein 8-Bit-Prozessor des Typs Z86C04, der von Zilog, Inc. hergestellt wird, oder ein entsprechender Prozessor, der Fachleuten auf diesem Gebiet bekannt ist.

Entweder kann daher der Anwendungsprozessor über ein Signal 36 oder der Peripherieprozessor 28 den Herd dadurch abschalten, daß der Schalter 18 bzw. 22 betätigt wird. Eine derartige Multiprozessorsteuerung arbeitet als Ausfallsicherheitsmechanismus, um sicherzustellen, daß der Ausfall eines Bauteils nicht zu einem Sicherheitsrisiko in Betrieb des Herdes führt.

Wie in Fig. 2a gezeigt ist, beginnt der übliche Betrieb des Anwendungsprozessors im Schritt 100, in welchem das Einschalten erfolgt, das Rücksetzen durchgeführt wird, und sämtliche Variablen gelöscht werden. Der Normalbetrieb des Prozessors wird daraufhin im Schritt 102 durchgeführt. Dies umfaßt die Reaktion auf Anfragen von der Tastatur durch Steuersignale, welche den Betrieb des Herdes beeinflussen. Wenn beispielsweise ein Benutzer eine Einschalttaste auf der Tastatur betätigt, so wird diese Tatsache von dem Anwendungsprozessor empfangen. Der Normalbetrieb führt dazu, daß Steuersignale von dem Mikroprozessor ausgesandt, um den Herd in Betrieb zu setzen. Fachleuten auf diesem Gebiet wird deutlich werden, daß zahlreiche Operationen vorhanden sind, welche der Anwendungsprozessor durchführt. Beispielsweise führt, wie auf diesem Gebiet wohl bekannt ist, ein Entprellungsmodul dazu, daß eine Entprellung von Tasteneingaben durchgeführt wird. Die Gültigkeit einer entprellten Taste wird nur dann festgestellt, nachdem eine gültige Freigabe der entprellten Taste erfolgt ist. Dann kann eine Nachschlagtabelle dazu verwendet werden, die Eingaben zu dekodieren, die von dem Anwendungsprozessor von der Tastatur empfangen wurden.

Daraufhin stellt im Schritt 104 der Anwendungsprozessor fest, ob ein unsicherer Betriebszustand festgestellt wurde. Dies wird dadurch festgestellt, daß erfaßt wird, ob eine Störung auf der Tastatur vorhanden ist, oder dadurch, daß die Kommunikation zwischen dem Anwendungsprozessor und dem Peripherieprozessor unterbrochen wurde, daß die Versorgungsspannung auf dem Datenbus außerhalb zulässiger Grenzen liegt, oder daß ein Rücksetzen festgestellt wurde. Bei einer positiven Antwort auf die Abfrage im Schritt 104 führt das System dann den Abschaltungsfeststellungsalgorithmus im Schritt 106 durch, der nachstehend noch genauer erläutert wird. Bei einer negativen Antwort auf den Schritt 104 arbeitet der Anwendungsprozessor weiter im Schritt 100.

Wie in Fig. 2b dargestellt ist, beginnt der Abschaltungserfassungsalgorithmus des Anwendungsprozessors im Schritt 150, in welchem der Prozessor feststellt, ob die Tastatur eine Störung aufweist. Die Vorgaben von Underwriters Laboratory (UL) erfordern beispielsweise, daß eine beim "Löschknopf" des Herdes vorhandene Störung festgestellt werden kann, und der Herd abgeschaltet werden kann, wenn eine derartige Störung festgestellt wird.

Bei positiver Antwort auf die Abfrage im Schritt 150 macht dann das System mit dem Schritt 158 weiter, in welchem Sicherheitsprozeduren eingeleitet werden. Diese umfassen das Öffnen des Stromschalters, welcher den Verbraucher abschaltet. Bei negativer Antwort im Schritt 150 geht das System zum Schritt 152 über, in welchem es untersucht, ob die Versorgungsspannung außerhalb zulässiger Grenzen liegt. Normalerweise weist der Bus eine Spannung von 5 Volt auf, und zeigt eine Spannung von 3 Volt an, daß die Versorgungsspannung für den Peripherieprozessor außerhalb des normalen Betriebsbereiches liegt. Bei positiver Antwort auf die Abfrage im Schritt 152 führt dann, wie voranstehend bereits erwähnt, der Anwendungsprozessor den Schritt 158 durch. Bei negativer Antwort auf die Abfrage im Schritt 152 geht der Betrieb mit dem Schritt 154 weiter.

Im Schritt 154 stellt der Anwendungsprozessor fest, ob ein Zeitablauf der Kommunikation zwischen dem Anwendungsprozessor und dem Peripherieprozessor aufgetreten ist. Der Anwendungsprozessor fragt periodisch ab, ob die Kommunikation zwischen dem Anwendungsprozessor und dem Peripherieprozessor vorhanden ist. Stellt er keine Aktivität fest, wird ein Zeitgeber in Gang gesetzt, der nach Ablauf der Zeit anzeigt, daß die Kommunikation zwischen dem Anwendungsprozessor und dem Peripherieprozessor unterbrochen wurde. Bei positiver Antwort auf die Abfrage im Schritt 154 geht die Steuerung mit dem Schritt 158 weiter, wie dies bereits voranstehend erwähnt wurde. Bei negativer Antwort auf die Abfrage im Schritt 154 erfolgt ein Übergang auf den Schritt 156.

Im Schritt 156 stellt der Anwendungsprozessor fest, ob ein Rücksetzvorgang festgestellt wurde. Wurde ein Rücksetzvorgang festgestellt, dann muß der Herd abgeschaltet werden. Ein Rücksetzen tritt beispielsweise beim Einschalten des Systems auf. Bei positiver Antwort auf die Abfrage im Schritt 156 führt der Anwendungsprozessor wie voranstehend geschildert den Schritt 158 durch. Bei negativer Antwort auf die Abfrage im Schritt 156 hält das Programm an.

Wie aus Fig. 3a hervorgeht, beginnt der Betrieb des Peripherieprozessors im Schritt 200, in welchem das System eingeschaltet wird, ein Zurücksetzen erfolgt, und sämtliche Variablen gelöscht werden. Daraufhin wird im Schritt 202 der Normalbetrieb des Prozessors durchgeführt. Dies umfaßt die Feststellung der Temperatur und des Zustands der Herdtür, die vom Herd eingegeben werden. Weiterhin kontrolliert der Peripherieprozessor den Verriegelungsmechanismus des Herdes, schaltet einen der Stromschalter frei, damit der Herd arbeiten kann, führt eine Analog/Digitalwandlung der gemessenen Herdtemperatur durch, und steuert das Rücksetzen des Anwendungsprozessors.

Daraufhin stellt im Schritt 204 der Peripherieprozessor fest, ob ein unsicherer Betriebszustand erfaßt wurde. Dies erfolgt durch Bestimmung, ob die Temperatur außerhalb eines eingestellten Bereiches liegt, ob die Kommunikation unterbrochen wurde, oder ein Rücksetzzustand aufgetreten ist. Bei positiver Antwort auf die Abfrage im Schritt 204 führt der Peripherieprozessor den Abschalterfassungsalgorithmus im Schritt 206 durch, der nachstehend noch genauer erläutert wird. Bei negativer Antwort auf die Abfrage im Schritt 204 macht der Peripherieprozessor mit dem Schritt 202 weiter.

Wie aus Fig. 3b hervorgeht, beginnt der Abschalterfassungsalgorithmus des Peripherieprozessors im Schritt 250, in welchem der Prozessor feststellt, ob die Temperatur außerhalb des sicheren Betriebsbereiches liegt. Dieser Bereich wird vorzugsweise in dem nicht-flüchtigen Speicher gespeichert.

Bei positiver Antwort auf die Abfrage im Schritt 250 macht der Peripherieprozessor dann mit dem Schritt 256 weiter, in welchem Sicherheitsprozeduren eingeleitet werden. Diese umfassen das Öffnen des Stromschalters, wodurch der Verbraucher abgeschaltet wird. Bei negativer Antwort auf die Abfrage im Schritt 250 macht das System mit dem Schritt 252 weiter.

Im Schritt 252 stellt der Peripherieprozessor fest, ob ein Zeitablauf der Kommunikation zwischen dem Peripherieprozessor und der Anwendungsprozessor aufgetreten ist. Der Peripherieprozessor tastet periodisch ab, ob die Kommunikation zwischen dem Anwendungsprozessor und dem Peripherieprozessor vorhanden ist. Stellt er keine Aktivität fest, wird ein Zeitgeber in Gang gesetzt, der nach Ablauf der Zeit anzeigt, daß die Kommunikation zwischen dem Anwendungsprozessor und dem Peripherieprozessor unterbrochen wurde. Bei positiver Antwort auf die Abfrage im Schritt 252 geht die Steuerung mit dem Schritt 256 weiter, wie voranstehend bereits erwähnt. Bei negativer Antwort auf die Abfrage im Schritt 252 macht die Steuerung mit dem Schritt 254 weiter. Die Feststellung eines Zeitablaufs der Kommunikation führt auch dazu, daß ein Rücksetzbefehl von dem Peripherieprozessor an den Anwendungsprozessor geschickt wird, damit dieser zurückgesetzt wird.

Im Schritt 254 stellt der Peripherieprozessor fest, ob ein Rücksetzzustand aufgetreten ist. Ist ein Rücksetzzustand vorhanden, dann muß die Stromversorgung für den Herd abgeschaltet werden. Ein Rücksetzvorgang tritt beispielsweise bei der Einschaltung des Systems auf, oder bei der Feststellung des Zeitablaufs der Kommunikation. Bei positiver Antwort auf die Abfrage im Schritt 254 führt dann, wie voranstehend geschildert, der Anwendungsprozessor den Schritt 256 durch. Bei negativer Antwort auf den Schritt 254 endet das Programm.

Fachleuten auf diesem Gebiet wird deutlich werden, daß die Steuerfunktionen, die im Zusammenhang mit dem Anwendungsprozessor und dem Peripherieprozessor beschrieben wurden, abgeändert werden können. Beispielsweise die Tastaturausfallermittlungsfunktion kann daher statt beim Anwendungsprozessor beim Peripherieprozessor erfolgen, oder es kann die Feststellung analoger Eingangssignale statt beim Peripherieprozessor beim Anwendungsprozessor erfolgen.

Zusätzlich wird Fachleuten auf diesem Gebiet deutlich werden, daß zahlreiche unterschiedliche Gruppen von Befehlen oder Bauteilen dazu verwendet werden können, die voranstehend geschilderten Algorithmen durch Software oder Hardware zu verwirklichen. Die genauer Einzelheiten hängen unter anderem von den spezifischen verwendeten Prozessoren ab, der Architektur dieser Prozessoren, und den Befehlssätzen, die von diesen Prozessoren verwendet werden.

Wie aus Fig. 4 hervorgeht, sind ein Anwendungsprozessor 502 und ein Peripherieprozessor 500 an einen nicht-flüchtigen Speicher 504 angeschlossen, der ein EEPROM-Speicher ist. Der Speicher 504 ist an den Prozessor 502 und den Prozessor 500 über eine Zweidraht-Busleitung 506 angeschlossen. Der Bus 506 verwendet eine Leitung zum Aussenden von Daten und die andere zum Aussenden von Taktsignalen. Der Prozessor 502 steuert den Takt und stellt den Master des Busses dar. Er schickt Prozessorbefehle entweder an 500 oder an den Speicher 504, mit Hilfe einer eindeutigen digitalen Adresszahl. Der Eingangsanschluß 517 des Prozessors 502 ist an einen Analog/Digitalwandler innerhalb des Prozessors 502 angeschlossen, der dazu verwendet wird, die Spannung am Bus 506 zu überwachen, um sicherzustellen, daß der Prozessor 502 und der Speicher 504 ordnungsgemäß arbeiten.

Der Prozessor 500 steuert das Back- und das Bratrelais (nicht gezeigt) mit Hilfe von Transistoren Q4 und Q6. Die Aktivierung der Relais wird darüber hinaus vom Prozessor 502 mit Hilfe des Transistors Q2 kontrolliert. Wenn ein unsicherer Zustand von einem der Prozessoren 502 und 500 festgestellt wird, dann kann der Back- oder Bratvorgang dadurch beendet werden, daß Q4, Q6 und Q2 deaktiviert (ausgeschaltet) werden.

Die Verriegelung der Herdtür wird von dem Prozessor 500 mit Hilfe des Transistors Q3 kontrolliert. Die Aktivierung der Verriegelung wird ebenfalls vom Prozessor 502 mit Hilfe des Transistors Q1 kontrolliert. Der Prozessor 500 und der Prozessor 502 müssen in der Hinsicht übereinstimmen, daß die Verriegelungssteuerung aktiviert werden soll. Dies ist deswegen erforderlich, da die Transistoren Q3 und Q1 in Reihe mit dem Verriegelungssteuerrelais geschaltet sind. Widerstände R1, R2, R3, R4 und R5 dienen dazu, geeignete Vorspannungen für die Transistoren zu liefern, ebenso wie die Widerstände R6 und R8 sowie die Dioden D1, D2 und D3.

Ein Verbinder 515 wird dazu eingesetzt, die elektrische Verbindung zur Tastatur herzustellen. Ein Widerstand R7 bildet einen Spannungsteiler über die Tastaturlöschtaste. Der Verbinder 515 weist mehrere Anschlußstifte 517a bis 517g auf, welche beispielsweise an Tasten der Tastatur des Gerätes angeschlossen sein können. Beispielsweise kann die Löschtaste an den Anschlußstift 517g angeschlossen sein. Wenn die Löschtaste gedrückt wird, wird die Spannung am Anschlußstift 517g des Verbinders 515 auf Masse gezogen, und wird diese Tatsache von dem Anschlußstift 512 des Prozessors 502 festgestellt. Der Anschlußstift 512 des Prozessors 502 ist ein Analog/Digitalanschluß des Prozessors, welcher den tatsächlichen Spannungspegel messen kann, der momentan von dem Spannungsteiler erzeugt wird. Wird der Anschluß zur Tastatur unterbrochen, so liegt die Spannung am Anschlußstift 512 des Prozessors 502 auf einem anormalen Pegel, und wurde der Prozessor 502 einen unsicheren Zustand feststellen, beispielsweise daß ein Löschschalter nicht festgestellt werden kann. In diesem Zustand würde der Prozessor 502 den Herd abschalten.

Der Anschlußstift 516a des Prozessors 500 wird dazu verwendet, den Rücksetzeingang 516b des Prozessors 502 zu steuern. Das Rücksetzen wird von dem Prozessor 500 nach dem Einschalten des Systems oder während eines Störzustandes des Prozessors 502 durchgeführt.

Zwar wurde die vorliegende Erfindung unter Bezugnahme auf bevorzugte Ausführungsformen beschrieben, jedoch wird Fachleuten deutlich werden, daß zahlreiche Änderungen der Ausführungsbeispiele durchgeführt werden können, ohne vom Wesen und Umfang der vorliegenden Erfindung abzuweichen, die sich aus der Gesamtheit der vorliegenden Anmeldeunterlagen ergeben und von den beigefügten Patentansprüchen umfaßt sein sollen.

Claims (16)

1. Steuersystem zur Verhinderung des Auftretens unsicherer Betriebszustände beim Verbraucher eines Gerätes, welches aufweist:
ein erstes und ein zweites Schaltelement, die an den Geräteverbraucher angeschlossen sind;
eine erste Steuervorrichtung, die an das erste Schaltelement angeschlossen ist, um einen ersten vorbestimmten Fehlerzustand festzustellen, und ein erstes Fehlerzustandsignal in Reaktion auf die Feststellung des vorbestimmten Fehlerzustands zu erzeugen, wobei das erste Fehlererfassungssignal das erste Schaltelement abschaltet und den Verbraucher abschaltet; und
eine zweite Steuervorrichtung, die an das zweite Schaltelement angeschlossen ist, um einen zweiten vorbestimmten Fehlerzustand festzustellen, und ein zweites Fehlererfassungssignal in Reaktion auf die Feststellung des vorbestimmten Fehlerzustands zu erzeugen, wobei das zweite Fehlererfassungssignal das zweite Schaltelement abschaltet, und den Verbraucher abschaltet.

2. Steuersystem nach Anspruch 1, dadurch gekennzeichnet, daß die erste und zweite Steuervorrichtung als Mikroprozessor ausgebildet sind.

3. Steuersystem nach Anspruch 1, dadurch gekennzeichnet, daß eine Tastatur vorgesehen ist, die an die erste Steuervorrichtung angeschlossen ist, welche das Auftreten einer Störung bei der Tastatur feststellt.

4. Steuersystem nach Anspruch 1, dadurch gekennzeichnet, daß die erste Steuervorrichtung das erste Schaltelement aktiviert, und daß die zweite Steuervorrichtung das zweite Schaltelement immer dann aktiviert, wenn die Spannung über den Verbraucher unterhalb eines vorbestimmten Wertes liegt.

5. Steuersystem nach Anspruch 1, dadurch gekennzeichnet, daß der Verbraucher die Heizeinheit eines Herdes ist.

6. Steuersystem zur Feststellung unsicherer Betriebszustände in einem Gerät, welches aufweist:
einen ersten und einen zweiten Schalter, die an den Verbraucher angeschlossen sind, so daß das Abschalten eines Schalters den Verbraucher abschaltet;
einen Speicher, der vorbestimmte unsichere Betriebszustände in Bezug auf den Herd enthält;
eine erste Steuerung, die an den ersten Schalter und an den Speicher angeschlossen ist, wobei die erste Steuerung vorbestimmte unsichere Zustände in dem Geräteverbraucher feststellt, und in Reaktion hierauf den ersten Schalter abschaltet; und
eine zweite Steuerung, die an den zweiten Schalter und den Speicher angeschlossen ist, und die vorbestimmte unsichere Zustände in dem Geräteverbraucher feststellt, und in Reaktion hierauf den zweiten Schalter abschaltet.

7. Steuersystem nach Anspruch 6, dadurch gekennzeichnet, daß die erste und zweite Steuerung als Mikroprozessor ausgebildet sind.

8. Steuersystem nach Anspruch 6, dadurch gekennzeichnet, daß eine Tastatur vorhanden ist, die an die erste Steuerung angeschlossen ist, welche das Auftreten einer Störung der Tastatur feststellt.

9. Steuersystem nach Anspruch 6, dadurch gekennzeichnet, daß die erste Steuerung den ersten Schalter aktiviert, und die zweite Steuerung den zweiten Schalter aktiviert, und zwar immer dann, wenn die Spannung über den Verbraucher unterhalb eines vorbestimmten Wertes liegt.

10. Steuersystem nach Anspruch 6, dadurch gekennzeichnet daß der Verbraucher die Heizeinheit eines Herdes ist.

11. Verfahren zum Verhindern des Auftretens unsicherer Betriebszustände bei einem Geräteverbraucher, mit folgenden Schritten:
Anschließen eines ersten und zweiten Schaltelements an den Geräteverbraucher;
Feststellung eines vorbestimmten Störzustandes in einer ersten Steuerung;
Abschalten des ersten Schaltelements und Abschalten des Verbrauchers in Reaktion auf diese Feststellung; Feststellung eines vorbestimmten Störzustandes in einer zweiten Steuerung; und
Abschalten des zweiten Schaltelements und Abschalten des Verbrauchers in Reaktion auf diese Feststellung.

12. Verfahren nach Anspruch 11, dadurch gekennzeichnet, daß die erste und zweite Steuerung als Mikroprozessor ausgebildet sind.

13. Verfahren nach Anspruch 11, dadurch gekennzeichnet, daß eine Steuerung an die erste Steuerung angeschlossen wird, welche das Auftreten einer Tastaturstörung unter Verwendung der ersten Steuerung feststellt.

14. Verfahren nach Anspruch 11, dadurch gekennzeichnet, daß das erste und zweite Schaltelement immer dann aktiviert wird, wenn die Spannung über den Verbraucher unterhalb eines vorbestimmten Wertes liegt.

15. Verfahren nach Anspruch 11, dadurch gekennzeichnet, daß der Verbraucher die Heizeinheit eines Herdes ist.

16. Steuersystem zur Verwendung in einem Mikrowellenofen, welches aufweist:
eine Tastatur zum Empfang von Befehlen von einem Benutzer;
einen ersten Schalter, der an den Verbraucher angeschlossen ist;
einen zweiten Schalter, der an den Verbraucher angeschaltet ist;
einen Speicher zum Speichern mehrerer vorbestimmter Spannungswerte;
einen ersten Mikroprozessor, der an den ersten Schalter, den Speicher und die Tastatur angeschlossen ist, und der Tastaturstörungen feststellt, Benutzerbefehle verarbeitet, und den Schalter in Reaktion hierauf öffnet, und den ersten Schalter aktiviert, wenn die Spannung über den Verbraucher unterhalb eines ausgewählten Wertes unter den mehreren vorbestimmten Werten liegt; und
einen zweiten Mikroprozessor, der an den zweiten Schalter und den Speicher angeschlossen ist, und der feststellt, ob der Spannungspegel zum Betreiben des Verbrauchers unterhalb eines Schwellenwertes liegt, wobei der zweite Mikroprozessor in Reaktion hierauf den Schalter öffnet, und die zweiten Schaltelemente immer dann aktiviert, wenn die Spannung über den Verbraucher unterhalb eines vorbestimmten Schwellenwertes liegt.