DE2500646A1

DE2500646A1 - Programmierbares steuergeraet

Info

Publication number: DE2500646A1
Application number: DE19752500646
Authority: DE
Inventors: Ernest F John; William W Searcy; Odo J Struger
Original assignee: Allen Bradley Co LLC
Current assignee: Allen Bradley Co LLC
Priority date: 1974-01-17
Filing date: 1975-01-09
Publication date: 1975-07-24
Also published as: FR2258660A1; IT1033766B; CA1042110A; IT1033175B; US4095094A

Description

Patentanwälte Dipl.-Ing. F. Weickmann, '·'-./■*

Dipl.-Ing. H. Weickmann, Dipl.-Pkys. Dr. K. jE-incke Dipl.-Ing. F. A.Weickmann, Dipl.-Chem. B. Huber

8 MÜNCHEN 86, DEN

POSTFACH 860 820

MÖHLSTRASSE 22, RUFNUMMER 98 59 21/22

ALLEN-BRADLEY COMPANY

Milwaukee, Wise, V.St.A. . 1201 South Second Street

Programmierbares Steuergerät

Die vorliegende Erfindung befaßt sich mit programmierbaren Steuergeräten, insbesondere mit Schaltmitteln zum Auffinden und Diagnostizieren von Funktionsstörungen, die entweder im Steuergerät oder in dem von ihm geführten System auftreten. Konkret betrifft die Erfindung ein programmierbares Steuergerät, bei dem ein in einem Speicher gespeichertes Steuerprogramm das programmierbare Steuergerät dazu veranlaßt, ein mit Tastvorrichtungen, die mit adressierbaren Eingangsschaltkreisen im programmierbaren Steuergerät verbunden sind, und mit Arbeitsvorrichtungen, die mit adressierbaren Ausgangsschaltkreisen im programmierbaren Steuergerät verbunden sind, versehenes gesteuertes System zu führen.

Programmierbare Steuergeräte eines Typs, der beispielsweise in der US-Patentschrift 3 810 118 mit dem Titel "Programmierbares Matrix-Steuergerät" beschrieben ist, sind im Begriff, in vielen Fällen Relais-Schaltfelder

- 2

509830/0659

ORIGINAL INSPECTED

25QÜ646

und verdrahtete Logiksysteme zu verdrängen. Mit einem solchen programmierbaren Steuergerät sind auf dem zu steuernden System angebrachte Tasteinrichtungen verbunden, deren Zustände überwacht werden, um Informationen über den Zustand des zu kontrollierenden Systems zu gewinnen. Das programmierbare Steuergerät steht außerdem mit auf dem zu kontrollierenden System befindlichen Arbeitsvorrichtungen in Verbindung und schaltet diese in Abhängigkeit vom Zustand des Systems, der von den Tasteinrichtungen angezeigt wird, selektiv ein und sorgt so für den erwünschten Systembetrieb. Dieser Systembetrieb wird von einem Steuerprogramm vorgegeben, das sich aus einer Gruppe von in einem Steuergerätspeicher gespeicherten Befehlen zusammensetzt. Diese Befehle werden nacheinander aus dem Steuergerätspeicher ausgelesen und führen das Speichergerät und das ihm zugeordnete System. Beispielsweise könnte eine Reihe von Befehlen aus dem Steuerprogramm den Zustand einer bestimmten' Gruppe von Tastvorrichtungen auf dem zu steuernden System abfragen und daraufhin - in Abhängigkeit vom Zustand dieser Tastvorrichtungen - ein anschließender Befehl eine bestimmte Arbeitsvorrichtung auf dem zu kontrollierenden System ansteuern oder abschalten. Die Programmbefehle werden aus _t dem Steuergerätspeicher (Speicher) nacheinander mit einer sehr hohen Rate ausgelesen,und im Ergebnis vollziehen sich das Abfragen einer jeden Tastvorrichtung und das Ansteuern oder Abschalten der Arbeitsvorrichtungen "seriell" mit einer so hohen Geschwindigkeit, daß sich diese Vorgänge dem zu kontrollierenden System als praktisch unverzögert darstellen. Jeder Befehl wird durch einen gemeinsamen Schaltkreis dekodiert, und eine einzige zentrale Logikeinheit führt die von jedem Befehl benötigten logischen Funktionen durch.

509830/065

Obwohl programmierbare Steuergeräte aus sehr zuverlässigen Festkörper-Logikanordnungen zusammengesetzt werden, können in der Schaltungsanordnung gelegentlich Funktionsstörungen eintreten. Im Gegensatz zu Relais-Sätzen und verdrahteten logischen Steuergeräten, in denen jede Arbeitsvorrichtung durch eine eigene Rechnereinheit gesteuert wird, arbeitet in einem programmierbaren Steuergerät ein Großteil der Rechnereinheit "seriell" und steuert damit direkt alle Arbeitsvorrichtungen auf dem zu kontrollierenden System. Tatsächlich ist es diese Eigenschaft, die einem programmierbaren Steuergerät die Durchführung komplexer Steuerfunktionen mit einem Minimum an Rechnereinheiten gestattet und auf die teilweise die seit den letzten Jahren zunehmende Verwendung solcher Steuergeräte zurückzuführen ist. Wenn daher eine Funktionsstörung, obwohl ihr Auftreten in einem programmierbaren Steuergerät weniger wahrscheinlich ist als in einem entsprechenden Relais-Satz oder verdrahteten logischen Steuergerät, tatsächlich vorkommt, so ist ihre Wirkung auf das zu kontrollierende System sehr viel schwieriger vorherzusagen und dürfte sich auf den Betrieb des Systems stärker auswirken. Daher ist es von größter Wichtigkeit, nicht nur das Auftreten einer Funktionsstörung in einem •programmierbaren Steuergerät ermitteln zu können, sondern es ist auch wichtig, daß das Steuergerät bei Eintritt einer solchen Funktionsstörung abgeschaltet wird.

Um ein programmierbares Steuergerät mit den zuletzt genannten Eigenschaften zu schaffen, ist ein Gerät der eingangs genannten Art erfindungsgemäß gekennzeichnet durch einen Überwachungsmodul mit Eingängen, die mit ausgewählten Elementen des programmierbaren Steuergeräts verbunden sind, wobei der Überwachungsmodul einen mit seinen Eingängen verbundenen Schaltkreis enthält, der bei

609830/085

den ausgewählten Elementen einen von einem vorbestimmten Schema abweichenden Betrieb auffindet, und einen Halteschaltkreis enthält, der den Eintritt einer Funktionsstörung im programmierbaren Steuergerät anzeigt, wenn 'eine Betriebsabweichung von dem Schaltkreis aufgefunden worden ist.

Bevorzugt ist das vorgeschlagene Steuergerät mit einem Fehlersuchmodul ausgerüstet, der ein Fehlersuchregister sowie ein Fehlersuchprogramm enthält. Wird dabei das Fehlersuchregister angesteuert, so zeigt es eine Funktionsstörung im Steuergerät an. Das Fehlersuchprogramm ist in einem Steuergerätspeicher eingespeichert und läuft während eines jeden Speicherdurchlaufs einmal ab; es enthält weiterhin eine erste Gruppe von Befehlen, die das Steuergerät dazu veranlassen, einen Steuergerät-Ausgangsschaltkreis nach einem vorgegebenen Schema zu betreiben, ferner eine zweite Gruppe von Befehlen, die den Betrieb des Steuergerät-Ausgangsschaltkreises abfragen, und schließlich eine dritte Gruppe von Befehlen, die das Fehlersuchregister einschalten, wenn der Steuergerät-Ausgangsschaltkreis nicht nach dem vorgegebenen Schema betrieben wird.

.Bei einem erfindungsgemäßen Steuergerät kann man die Tätigkeit von im Gerät befindlichen Schlüsselelementen überwachen und das gesteuerte System außer Tätigkeit setzen, wenn eine Funktionsstörung auftritt. Dies wird teilweise durch einen verdrahteten Überwachungsmodul erreicht, der mit Schlüsselelementen des Geräts, wie beispielsweise dem Eingang-Ausgang(l/0)-Adressierdekoder oder dem Eingang und den Ausgangsschienen der zentralen Logik, elektrisch verbunden ist und der einen Schaltkreis enthält, welcher bei diesen Elementen jede Betriebsabweichung von einem vorgegebenen Schema auffindet. Derartige Abweichungen werden

509830/065

in einem Halteschaltkreis als eine Funktionsstörung registriert; der Überwachungsmodul enthält einen Ausgangsschaltkreis, der dann ein Blockiersignal erzeugt, das sämtliche Arbeitsvorrichtungen auf dem gesteuerten System abschaltet. Die Überwachung wird weiterhin auch von einem Fehlersuchmodul vorgenommen, der aus einem oder mehreren Fehlersuchprogrammen und einem Fehlersuchregister besteht. Die Fehlersuchprogramme prüfen den Betrieb der Gerätelemente dadurch, daß sie das Steuergerät dazu veranlassen, vorgegebene Funktionen durchzuführen, und daß sie jede Abweichung von den erwarteten Ergebnissen feststellen.

Bei dem vorgeschlagenen Steuergerät können auch die Ergebnisse des Fehlersuchmoduls mit den Ergebnissen des Überwachungsmoduls kombiniert werden, um für das Gerät ein Nachweissystem seiner Funktionsstörungen aufzubauen. Hierzu ist der Überwachungsmodul mit dem Ausgang des Fehlersuchregisters verbunden und schaltet auf jede registrierte Funktionsstörung hin die Arbeitsvorrichtungen auf dem gesteuerten System ab.

Ein besonderer Vorzug des erfindungsgemäßen Steuergeräts liegt darin, daß man die Anzahl zusätzlicher Rechnerein-■heiten, die für das Fehlernachweissystem benötigt werden, sehr gering halten kann. Hierzu empfiehlt es sich, die Fehlersuchprogramme in den Steuergerätspeicher einzuspeichern und sie zugleich mit dem Steuerprogramm auszuführen. Das Fehlersuchregister besteht aus einem oder mehreren herkömmlichen Steuergerät-Ausgangsschaltkreisen, die zu diesem Zweck reserviert sind, und der Überwachungsmodul schaltet die Arbeitsvorrichtungen auf dem gesteuerten System ab, indem er den die Ausgangsanschlüsse enthaltenden Geräteinschub blockiert.

509830/0659

Das vorgeschlagene Steuergerät gestattet auch die Überwachung seines I/O-Adressierdekoders. Zu diesem Zweck enthält der Uberwachungsmodul einen Paritätsprüfer, der den Halteschaltkreis kontaktiert und eine Funktionsstörung anzeigt, wenn der I/O-Dekoder von seinem erwarteten Betriebsschema abweicht.

Soll bei einem erfindungsgemäßen Steuergerät der Betrieb des Logikeingangs und einer Logik-Ausgangsschiene überwacht werden, so wird ein Flip-Flop einmal während eines jeden Durchlaufs des Steuerprogramms eingeschaltet und die überwachte Schiene so verschaltet, daß sie den Flip-Flop dann zurückschaltet, wenn sich der logische Zustand der Schiene in einer vorgegebenen Weise verändert. Ändert sich der Schienenzustand nicht in der vorgegebenen Weise, so wird eine Funktionsstörung dem Halteschaltkreis angezeigt.

Weiterhin läßt sich bei einem erfindungsgemäßen Steuergerät die Fähigkeit prüfen, die Ausgangsschaltkreise ein- und abzuschalten, und weiterhin das Vermögen testen, den Zustand der Ausgangsschaltkreise abzufragen. Hierzu wird ein adressierbarer Ausgangsschaltkreis zu dem genannten Zweck »reserviert und der Zustand dieses Schaltkreises nach einem vorgegebenen Schema geändert. Der Schaltkreiszustand wird von Abfragebefehlen geprüft, und wenn er vom vorgegebenen Schema abweicht, zeigt das Fehlersuchprogramm dem Fehlersuchregister eine Funktionsstörung an.

Schließlich kann bei einem Steuergerät der vorliegenden Erfindung die Tätigkeit sowohl des Gerätes selbst als auch von wichtigen Vorrichtungen auf dem gesteuerten System überprüft werden. Ein solcher Doppeltest wird durch periodische Durchführung eines Programms erzielt, das im Steuer-

509830/0853

gerätspeicher eingespeichert ist und den Zustand von sich, gegenseitig ausschließenden Ereignissen im gesteuerten System abfragt. Stellt sich hierbei heraus, daß beide Ereignisse zugleich auftreten, so deutet dies darauf hin, daß entweder im gesteuerten System oder im Steuergerät eine Abweichung vom erwarteten Verlauf vorliegt, und dem 'Fehlersuchregister wird eine Funktionsstörung angezeigt.

Weitere vorteilhafte Ausgestaltungen und Weiterbildungen der Erfindung gehen aus den Unteransprüchen hervor.

Die Erfindung soll nun anhand eines in den Figuren der Zeichnung schematisch dargestellten Ausführungsbeispiels mit weiteren Merkmalen und Einzelheiten näher erläutert werden. In den Figuren sind einander entsprechende Teile mit gleichen Bezugszeichen versehen. Es zeigen:

Fig. 1 ein Blockdiagramm eines erfindungsgemäßen programmierbaren Steuergeräts,

Fig. 2 ein schematisches Diagramm des erfindungsgemäß vorgesehenen Überwachungsmoduls und

•Fig. 3 ein schematisches Diagramm eines erfindungsgemäß vorgesehenen Ausgangsschaltkreises.

Das in Fig. 1 dargestellte programmierbare Steuergerät ist von einem Typ, der beispielsweise in der bereits zitierten Patentschrift beschrieben ist und unter der Handelsmarke "programmierbares Matrix-Steuergerät" ("Programmable Matrix Controller") von der Allen-Bradley Company angeboten wird. Er enthält einen Steuergerätspeicher (Speicher) 1, der aus einer Anzahl programmierbarer Festwertspeicher-(programmable read-only memory-, pROM-)Elemente besteht.

SO 9830/0859

Der Speicher 1 speichert ein Steuerprogramm, bestehend aus einer Reihe von 8-Bit-Befehlen, die einzeln aus dem Speicher zeitlich nacheinander ausgelesen werden. Jeder Befehl besteht aus einem 2-Bit-Operationskode, der durch die Leitungen 2 ausgelesen und in einen Operationsdekoder 3 gegeben wird, und aus einem 6-Bit-Adresskode, der über Leitungen 4 ausgelesen und in einen Schreib-Lese-(input/output-I/O-)Adressdekoder gegeben wird. Jeder pROM des Speichers speichert 64 Befehle, und um größere Steuerprogramme aufbauen zu können, wird eine Reihe von pROMs verwendet und werden die Befehle in jedem pROM bei jedem Durchlauf des Speichers nacheinander ausgelesen. Die Wirkungsweise des Speichers 1 wird nachstehend detaillierter beschrieben; dabei wird auf die US-Patentschrift 3 798 612 mit dem Titel "Steuergerät-Programmierer" ("Controller Programmer") und auf die US-Patentschrift 3 813 649 mit dem Titel "Programmgeber für ein Steuergerät" ("Controller Program Editor"), in denen eine Erklärung darüber gegeben wird, wie das Steuerprogramm in den Speicher 1 eingegeben wird, verwiesen. Der Operationsdekoder 3 erzeugt auf jeden vom Speicher 1 empfangenen Operationskode hin selektiv eines von vier Operationssignalen. Diese Operationssignale werden einer zentralen Logikeinheit 10 über ein Bündel von vier ,Leitungen zugeführt. Diese Leitungen sind bezeichnet als die ΧΙΟ-Schiene 6, die XlC-Schiene 7, die BRT-Schiene 8 und als die SET-Schiene 9. Die zentrale Logikeinheit 10 steuert auf die empfangenen Operationssignale hin den Ablauf des programmierbaren Steuergeräts. Für eine mehr ins einzelne gehende Beschreibung der Struktur und Arbeitsweise sowohl des Operationsdekoders 3 als auch der zentralen Logikeinheit 10 sei auf die bereits zitierte US-Patentschrift 3 810 118 mit dem Titel "Programmierbares Matrix-Steuergerät" verwiesen.

Der I/O-Adressdekoder 5 empfängt die Adresskoden, die eine

509830/0659

der zweistelligen Oktalzahlen ^ooq-77_r repräsentieren. Dieser Dekoder ist ein kommerziell verfügbarer integrierter Schaltkreis, der auf den 6-Bit-binären Adresskode in jedem aus dem Speicher 1 ausgelesenen Befehl anspricht und jeweils ein Aktivierungssignal an einem der Ausgänge 12_Q „ für die ersten Stellen (most significant digit, m.s.d.) und an einem der Ausgänge ^q η für die letzten Stellen (least significant digit, l.s.d.) erzeugt. Die Adressdekoder-Ausgänge 12q_₇ und 13q_₇ sind jeweils mit Leitungen eines Adresskabels 14 verbunden, das seinerseits mit einem Satz von Ausgangsschaltkreisen 15 und einem Satz von Eingangsschaltkreisen 16 in Verbindung steht. Jeder Schaltkreis im Satz 15 bzw. 16 ist jeweils mit genau einer der m.s.d.-Leitungen 12q~ und einer der l.s.d.-Leitungen 13_Q des Adresskabels 14 verbunden. Jeder Eingangsschaltkreis und Ausgangsschaltkreis kann somit "adressiert" werden, wenn in beiden dieser Leitungen ein Aktivierungssignal erzeugt wird, und ein solcher adressierbarer Schaltkreis wird im folgenden durch seine ihm eindeutig zugeordnete Oktaladresse O1q-76q identifiziert (die Oktaladressen OO und 77 sind für den inneren Gebrauch freigehalten). Obwohl die Zahl der Eingangsschaltkreise relativ zur Zahl der Ausgangsschaltkreise von Anwendungsfall zu Anwendungsfall ,verschieden ist, kann eine Gesamtzahl von 62 Eingangs- und Ausgangsschaltkreisen durch das hier beschriebene programmierbare Steuergerät adressiert werden. Es sei jedoch betont, daß die Eingangs-AusgangsKapazität des programmierbaren Steuergeräts durch eine I/O-Adress-Erweiterungstechnik vergrößert werden kann, die beispielsweise in der US-Patentschrift 3 806 877 mit dem Titel "Erweiterungsschaltkreis für ein programmierbares Steuergerät" ("Programmable Controller Expansion Circuit") beschrieben ist. Weiterhin sei darauf hingewiesen, daß Lese-Schreib-Kernspeicher, die längere Befehle bewältigen und somit längere Adressierkoden,

509830/0659

- ίο -

verwendet werden können.

Jeder adressierbare Eingangs- und Ausgangsschaltkreis 01q-76o i*¹ den Schaltkreissätzen 15 und 16 ist mit der zentralen Logikeinheit 10 über eine Logik-Eingangsschiene 17, einer Logik-Aus gangssctusie 18 und einer Taktimpuls-Schiene 19 verbunden. Die Sätze 16 und 15 der Eingangsschaltkreise bzw. Ausgangsschaltkreise sind außerdem an ein gesteuertes System 21 geführt. Ein solches System kann beispielsweise ein Fördersystem, eine Überweisungsleitung, ein Maschinenwerkzeug oder eine Sortieranlage sein; in jedem Fall enthält es eine oder mehrere Tastvorrichtungen 22, beispielsweise Begrenzungsschalter, Manometer, Thermostaten und photoelektrische Zellen und eine oder mehrere Arbeitsvorrichtungen 23, beispielsweise Spulen und Motoren. Jede Tastvorrichtung 22 kontaktiert das programmierbare Steuergerät über ein Kabel 24, das mit einem die Eingangsanschlüsse enthaltenden Einschub 25 verbunden ist. Dieser Eingangsanschluß-Einschub 25 enthält eine Anzahl von in der Zeichnung nicht dargestellten Verbindungsschaltkreisen, deren jeweiliger Eingang auf das Kabel 24 und Ausgang über ein Kabel 26 auf einen bestimmten Eingangskreis des Satzes 16 geführt sind. Obwohl für die verschiedenen Arten von .Tastvorrichtungen auf dem gesteuerten System 21 eine Vielzahl von Verbindungsschaltkreisen verfügbar ist, wird in der US-Patentschrift 3 643 115 mit dem Titel "Verbindungsschaltkreis für industrielle Steuersysteme" ("Interface Circuit for Industrial Control Systems") eine besonders zweckmäßige Ausführung angegeben. Zusammenfassend ist eine jede Tastvorrichtung 22 mit einem adressierbaren Eingangsschaltkreis im Satz 16 verbunden und kann eine jede Tastvorrichtung somit durch den in einem Steuerprogramm-Befehl enthaltenen Adressierkode adressiert werden.

5098 3 0/0659

Jeder Ausgangsschaltkreis im Satz 15 steht über ein Kabel 27 mit einem ersten Eingang eines (in der Zeichnung nicht dargestellten) zugeordneten Ausgangs-Treiberkreises in einem Ausgangsanschluß-Einschub 28 in Verbindung. Umgekehrt kontaktiert jeder Ausgangs-Treiberkreis über ein Kabel 29 eine ihm zugeordnete Arbeitsvorrichtung 23 im gesteuerten System 21. Von den Ausgangs-Treiberkreisen befinden sich verschiedene Ausführungen auf dem Markt, ihre Auswahl hängt von der Art der zu betreibenden Arbeitsvorrichtung 23 ab; ein besonders brauchbarer Ausgangs-Treiberkreis ist in der US-Patentschrift 3 745 546 mit dem Titel "Ausgangsschaltkreis für ein Steuergerät" ("Controller Output Circuit") offenbart. Jeder Ausgangs-Treiberkreis enthält einen zweiten Eingang, der an einen Einschalteingang 30 im Ausgangsanschluß -Eins chub 28 geführt ist, und schaltet die ihm zugeordnete Arbeitsvorrichtung 23 dann ein, wenn der ihm zugeordnete Ausgangsschaltkreis im Satz 15 angesteuert wird und wenn ein - eine logische "1" (logisches "Hoch") darstellendes - Einschaltsignal auf den Einschalteingang 30 gegeben wird. Über zwei Versorgungsklemmen 31 werden jeder Ausgangs-Treiberkreis im Ausgangsanschluß-Einschub 28 und die zugeordneten Arbeitsvorrichtungen 23 mit Strom versorgt.

,Jeder Ausgangsschaltkreis im Satz 15 ist identisch und kontaktiert die Logik-Eingangsschiene 17, die Logik-Ausgangsschiene 18 und ein einziges Leitungspaar im Adresskabel 14. Jeder Ausgangsschaltkreis enthält weiterhin einen Ausgang 125, der mit einer Leitung im Kabel 27 in Verbindung steht. Die Logik-Ausgangsschiene 18 ist über einen den Eingang invertierenden Schaltkreis (Inverter) 126 auf einen K-Anschluß 127 eines J-K-Flip-Flops 128 geführt. Die Taktimpuls-Schiene 19 führt über eine Koppeldiode 129 auf einen Trigger-Anschluß 130 im Flip-Flop 128,und zwei Leitungen des Adresskabels 14 führen über Koppeldioden 131 und 132 auf den

509830/0659

Trigger-Anschluß 130. Dieselben Adresskabel-Leitungen kontaktieren außerdem jeweils einen Eingang 133 bzw. 134 eines NAND-Gatters 135 ,auf dessen dritten Eingangsanschluß 137 ein Q-Ausgang 136 des J-K-Flip-Flops 128 geführt ist. Der Ausgang des NAND-Gatters 135 steht mit der Logik-Eingangsschiene 17 in Verbindung. Ein Q-Ausgang 138 des J-K-Flip-Flops 128 führt über einen den Ausgang invertierenden Schaltkreis 139 auf die Ausgangsklemme 125. Für eine mehr ins einzelne gehende Beschreibung der Funktionsweise der Ausgangskreise wird auf die oben zitierte US-Patentschrift mit dem Titel "Programmierbares Matrix-Steuergerät" verwiesen.

In einer bevorzugten Ausführung eines erfindungsgemäßen Steuergeräts sind die Ausgangskreise 01_Q und 76_Q nicht mit dem die Ausgangsanschlüsse enthaltenden Einschub 28 verbunden, sondern werden stattdessen als Fehlersuchregister verwendet. In dieser Eigenschaft bleibt die Ausgangsklemme 125 des Ausgangsschaltkreises 01 „ ohne weiteren Anschluß und ist die Ausgangsklemme 125 des Ausgangskreises 76g über eine Leitung 83 auf einen Überwachungsmodul 45, der im folgenden noch beschrieben werden soll, geführt.

Das so weit beschriebene programmierbare Steuergerät führt vier getrennte Operationen aus, die als XIO, XIC, BRT und SET bezeichnet werden. Die ΧΙΟ-Operation fragt den Zustand einer adressierten Eingangsvorrichtung (Tastvorrichtung) ab, um festzustellen, ob sie geöffnet ist, oder sie fragt den Zustand einer adressierten Arbeitsvorrichtung 23 ab, um festzustellen, ob diese abgeschaltet ist. In- ähnlicher Weise prüft die XIC-0peration den Zustand einer adressierten Eingangsvorrichtung (Tastvorrichtung) 22, um festzustellen, ob sie geschlossen ist, oder sie prüft den Zustand einer

609830/0859

adressierten Arbeitsvorrichtung 23, um festzustellen, ob diese eingeschaltet ist. Die SET-Operation schaltet eia_e adressierte Arbeitsvorrichtung 23 in Abhängigkeit vom Ergebnis der vorangehenden Abfrageoperationen entweder ein oder aus. Die Funktion der BRT-Operation ist auf die zentrale Logikeinheit 10 beschränkt, wo ein logisches ODER durchgeführt wird, das die Prüfung einer Vielzahl von Tastvorrichtungen oder Arbeitsvorrichtungen vor Ablauf einer SET-Operation ermöglicht.

Wenn beispielsweise der Zustand einer mit dem Eingangsschaltkreis 43g verknüpften Tastvorrichtung 22 abgefragt werden soll, so wird ein einen XIO- oder XIC~Operationskode enthaltender Befehl aus dem Speicher 1 ausgelesen, und der adressierte Eingangsschaltkreis 43p gibt den logischen Zustand der Tas.tvorrichtung 22 an die Logik-Eingangsschiene 17 weiter. Der Operationskode veranlaßt die ■zentrale Logikeinheit 10, diesen logischen Zustand einzulesen und das Ergebnis zu speichern. Wird eine SET-Operation durchgeführt, so gibt die zentrale Logikeinheit 10 ein Ansteuersignal über die Logik-Ausgangsschiene 18 auf den adressierten Ausgangsschaltkreis im Satz 15 ab. Das Ansteuersignal schaltet den J-K-Flip-Flop 128 in diesem •Ausgangsschaltkreis ein oder aus, der seinerseits den ihm zugeordneten Ausgangs-Treiberkreis im Einschub 28 ansteuert. Der eingeschaltete Ausgangs-Treiberkreis versorgt eine der Arbeitsvorrichtungen 23 aus den Versorgungsklemmen 31 mit Strom. Wie bereits erwähnt, besteht das Steuerprogramm aus einer Reihe von Befehlen und es wird aus dem Speicher 1 bei jedem Durchlauf ausgelesen. Jeder Befehl wird in ungefähr 10 Mikrosekunden ausgeführt, der Durchlauf eines typischen, aus 300 Befehlen bestehenden Steuerprogramms dauert ungefähr 3 Millisekunden. Während jedes Speicherdurchlaufs werden die Zustände aller Tastvorrich-

50983Q/0659

tungen 22 abgefragt und alle Arbeitsvorrichtungen 23 in einen Zustand gebracht, der die angestrebte Arbeitsweise des gesteuerten Systems 21 garantiert.

Um während der Tätigkeit des programmierbaren Steuergeräts einen ständigen Speicherdurchlauf zu erreichen, ist ein UND-Gatter 35 vorgesehen, dessen einer Eingang mit der ΧΙΟ-Schiene 6 über eine Leitung 36, dessen zweiter Eingang mit dem 1.s.d.-Anschluß 13y über eine Leitung 37 und dessen dritter Eingang mit dem m.s.d.-Ausgang 12₇ über eine Leitung 38 und dessen Ausgang mit einem Rückschalt-Ausgang am Speicher 1 verbunden ist. Der letzte Befehl des Steuerprogramms, ist ein Rückschalt-Befehl (XIO77), der das UND-Gatter 35 dazu bringt, ein logisches "Hoch" auf den Rückschalt-Anschluß 39 zu geben, das ein erneutes Auslesen des Steuerprogramms bewirkt.

Aus der bisherigen Beschreibung dürfte klar .geworden sein, daß eine Funktionsstörung in solchen Elementen wie beispielsweise dem Steuergerät-Speicher 1, dem Operationsdekoder 3f dem I/O-Adressdekoder 5» der zentralen Logikeinheit 10 und den verbindenden Schienen und Kabeln eine prompte und durchschlagende Wirkung auf alle Arbeitsvor-•richtungen 23 im^steuerten System 21 haben dürfte. Um das gesteuerte System 21 und seine Umgebung vor Schäden zu bewahren, überwacht das erfindungsgemäß vorgesehene Funktionsstörungs-Suchsystem die Operation dieser Schlüsselelemente im programmierbaren Steuergerät und prüft sie mit einem Fehlersuchmodul. Wird eine Funktionsstörung entdeckt, so wird ein Blockiersignal erzeugt, das augenblicklich die Ausgangs-Treiberkreise im Ausgangsanschluß-Einschub 28 ausschaltet. Dieser Vorgang bewirkt seinerseits, daß die Arbeitsvorrichtungen 23 im gesteuerten System 21 abgeschaltet werden. Wie im folgenden mehr im einzelnen be-

509830/0659

schrieben werden soll, sind Teile des Speichers 1 für die Fehlersuch-Unterprogramme (Programme) freigehalten, und dienen einer oder mehrere adressierbare Ausgangsschaltkreise im Satz 15 als ein Fehlersuchregister. Die Überwachungsoperationen werden von einem fest verdrahteten Überwachungsmodul 45 durchgeführt, der mit den verschiedenen überwachten Steuergerät-Elementen in Verbindung steht. Obwohl das Fehlersuchregister selbst ein Blockiersignal erzeugen könnte, welches zum Abschalten der Arbeitsvorrichtungen 23 verwendet werden könnte, wird in der hier beschriebenen bevorzugten Ausführung dieses Blockiersignal stattdessen auf den Überwachungsmodul 45 gegeben, um den Eintritt einer Funktionsstörung anzuzeigen.

Der Überwachungsmodul 45 kontaktiert das Adresskabel 14, die Logik-Eingangsschiene 17 und die Logik-Ausgangsschiene 18 (vgl. hierzu die Fig. 1 und 2). Die acht m.s.d.-Leitungen 12q_₇ im Kabel 14 sind über einen Satz aus acht Inverter-Gattern 46 auf die acht Eingänge eines die Parität gerade/ungerade feststellenden 8-Bit-Prüfers (Paritätsprüfer) 47 geführt. In ähnlicher Weise kontaktieren die acht 1.s.d.-Leitungen 13_{0 7} über acht Inverter-Gatter 48 die acht Eingänge eines zweiten Paritätsprüfers 49. Die •beiden Paritätsprüfer sind kommerziell verfügbare integrierte Schaltkreiße, die beispielsweise unter der Bezeichnung SN74180 von der Texas Instruments Company angeboten werden; jeder Prüfer enthält einen Ausgang 50 bzw. 51, an dem eine logische "Hoch"-Spannung abgegeben wird, wenn die Anzahl der auf seine acht Eingänge abgegebenen logischen "Tief"-Spannungen ungerade ist. Mit anderen Worten: Solange die eine ungerade Anzahl von m.s.d.-Leitungen 12q_7 eine logische "Hoch"-Spannung führen liegt am Paritätsprüfer-Ausgang 50 eine logische "Hoch"-Spannung, und solange wie eine ungerade Zahl von 1.s.d.-Leitungen

S0983Q/Q659

13q_7 eine logische "Hoch"-Spannung aufweisen, führt der Paritätsprüfer-Ausgang 51 eine logische "Hoch"-Spannung. Die Ausgänge 50, 51 führen auf den Eingang eines UND-Gatters 52, dessen Ausgang einen ersten Eingang 53 eines ersten NAND-Gatters 54 kontaktiert.

Die Inverter 46 und 48, die Paritätsprüfer 47 und 49 und das UND-Gatter 52 enthalten einen I/O-Adress-Überwachungsschaltkreis. Unter normalen Betriebsbedingungen hat eine der m.s.d.-Leitungen 12q_,-, und eine der 1.s.d.-Leitungen 13q eine logische "Hoch"-Spannung, demzufolge eine logische "Hoch"-Spannung auf den ersten Eingang 53 des ersten NAND-Gatters 54 gegeben wird. Sollte eine Funktionsstörung auftreten, die alle 1.s.d.-Leitungen in einen Zustand "hoher" Spannung, alle m.s.d.-Leitungen in einen Zustand "hoher" Spannung, keine 1.s.d.-Leitung in einen Zustand "hoher" Spannung, keine m.s.d.-Leitung in einen Zustand "hoher" Spannung überführt oder irgendeine gerade Kombination entweder der l.s.d.- oder der m.s.d.-Leitungen in den Zustand "hoher" Spannung bringt, so wird diese Funktionsstörung entdeckt, eine logische "Tief"-Spannung wird auf den ersten Eingang 53 des ersten NAND-Gatters 54 gegeben.

Der Überwachungsmodul 45 überwacht auch, ob die Logik-Eingangsschiene 17 und die Logik-Ausgangsschiene 18 einwandfrei funktionieren. Die Logik-Eingangsschiene 17 kontaktiert über ein Inverter-Gatter 57 einen Eingang eines UND-Gatters 58. Der Ausgang dieses Gatters ist auf einen Ruckschalt-Anschluß 59 eines R-S-Flip-Flops 60 geschaltet, ein zweiter Eingang des UND-Gatters 158 kontaktiert eine Rückschaltschiene 61 des Überwachungsmoduls 45. Ein Q-Ausgang 62 des Flip-Flops 60 ist auf einen ersten Eingang 63 eines NAND-Gatters 64 geführt, dessen Ausgang mit einem

503830/0659

zweiten Eingang 65 des ersten NAND-Gatters 54 in Verbindung steht.

Die Logik-Eingangsschiene 17 wird während eines jeden Speicherdurchlaufs überprüft, um sicherzustellen, daß sie nicht auf eine logische "Tief"-Spannung kurzgeschlossen ist und daß sie ihren logischen Zustand wenigstens einmal während eines jeden Speicherdurchlaufs verändert. Demgemäß steht der Rückschalt-Anschluß 39 des Speichers 1 mit einem zweiten Eingang 66 des NAND-Gatters 64 und über einen Inverter 67 mit einem Eingang 68 eines sog. Monoshot-Schaltkreises 69 in Verbindung. Der Monoshot 69 ist ein integrierter Schaltkreis mit der Nr. SN15342, der von der Texas Instruments Company bezogen werden kann. Der Monoshot enthält einen Q-Ausgang 70, der einen Einschalt-Eingang 71 des Flip-Flops 60 kontaktiert. Dieser Monoshot spricht auf die Anstiegsflanke eines seinem Eingang 68 eingegebenen Spannungsimpulses, die der Abfallflanke eines negativen Spannungsimpulses vor dem Inverter 67 entspricht, an und gibt eine den Flip-Flop 60 einschaltende logische "Tief"-Spannung von 2 Mikrosekunden Länge ab. Nach jedem Speicherdurchlauf wird ein 10 Mikrosekunden langer negativer Speicherrückschalt-Impuls auf den Monoshot-Schalt-•kreis 69 gegeben, der den Flip-Flop 60 einschaltet. Dadurch wird am Q-Ausgang 62 des Flip-Flops eine logische "Hoch"-Spannung gebildet und auf den Eingang 63 des NAND-Gatters 64 überführt.·

Wird der Flip-Flop vor. Bildung des nächsten logisch "hohen" Speicherrückschalt-Signals am Anschluß 29 nicht zurückgeschaltet, so befinden sich beide Eingänge 63» 66 des NAND-Gatters 64 im Zustand einer logischen "Hoch"-Spannung, und es wird eine Funktionsstörung durch ein am zweiten Eingang 65 des ersten NAND-Gatters 54 herrschendes logisches "Tief"

509830/0659

angezeigt. Sollte beispielsweise die Logik-Eingagsschiene 17 mit kasse kurzgeschlossen sein, so würde "jede durch das programmierbare Steuergerät ausgeführte XIC-Operation wahr sein, d.h. den Zustand "geschlossen" bzw. "eingeschaltet" anzeigen, unabhängig vom tatsächlichen Zustand der adressierten Tastvorrichtung 22 bzw. Arbeitsvorrichtung 23. Unter normalen Punktionsbedingungen wird jedoch die Logik-• Eingangsschiene 17 ihre logischen Zustände viele Male während jedes Speicherdurchlaufs ändern, und im Ergebnis wird der Flip-Flop 60 über den Inverter 47 und das UND-Gatter' 58 kurz nach seiner Einschaltung durch den Monoshot 69 rückgeschaltet. Als Folge dieser Rückschaltung wird der Q-Ausgang 62 in eine logische "Tief-Spannung zurückgeschaltet, und der erste Eingang 63 des NAND-Gatters 64 befindet sich im Zustand einer logischen "Tief"-Spannung, wenn das nächste logisch "hohe" Speicherrückschalt-Signal seinen Eingang 66 beaufschlagt.

Auf ähnliche Weise wird vom Überwachungsmodul 45 die Lo-

gik-Ausgangsschiene 18 abgefragt. Da jedoch ein fortwährender Zustand eines logischen "Hochs" möglicherweise zu größeren Schäden führen kann als ein logisches "Tief", ist der zuvor geschilderte Schaltkreis dahingehend leicht ab-,gewandelt, daß die Logik-Ausgangsschiene 18 direkt mit einem Eingang eines UND-Gatters 73 verbunden wird. Der Ausgang des UND-Gatters 73 kontaktiert einen Rückschalt-Eingang 74 eines zweiten Flip-Flops 75,und ein zweiter Eingang des UND-Gatters 73 ist auf die Rückschaltschiene 61 geführt. Ein Q-Ausgang 76 des Flip-Flops 65 steht mit einem ersten Eingang 77 eines NAND-Gatters 78 in Verbindung,und ein zweiter Eingang 79 des NAND-Gatters 78 ist auf den Speicherrückschalt-Anschluß 39 geführt. Der Gatter-Aus gang ist mit dem zweiten Eingang 65 des ersten NAND-Gatters 54 verbunden. Der zweite Flip-Flop 65 enthält ferner einen

5098 3 0/0659

mit dem Ausgang eines UND-Gatters 81 verbundenen Einschal t-Eingang 80. Ein Eingang des UND-Gatters 81 steht mit dem Q-Ausgang 70 des Monoshot-Schaltkreises 69 und sein anderer Eingang mit einem Prüfpunkt 82 in Verbindung.

Der Flip-Flop 75 wird ähnlich wie der oben geschilderte Flip-Flop 60 zur Überwachung -der Funktion der Logik-Ausgangsschiene 18 angesteuert. Nach jedem Speicherdurchlauf wird das Speicherrückschalt-Signal am Anschluß 39 auf den Eingang 79 des NAND-Gatters 78 gegeben und wird vom Monoshot 69 ein 2 Mikrosekunden dauerndes logisch "tiefes" Spannungssignal erzeugt und über das UND-Gatter 81 an den Einschalt-Eingang 80 des Flip-Flops 75 geführt. Demnach wird der Q-Ausgang 76 des Flip-Flops 75 beim Einsetzen des nächsten Speicherdurchlaufs in den Zustand einer logischen "Hoch"-Spannung versetzt. Unter normalen Arbeitsbedingungen wechselt die Logik-Ausgangsschiene 18 ihren logischen Zustand viele Male während des nächsten Speicherdurchlaufs, so daß an irgendeiner Stelle dieses Durchlaufs ein über das UND-Gatter 73 erzeugte logische "Tief" den Flip-Flop 75 rückschaltet. Hierauf wird der Q-Ausgang 76 in eine logische "Tief"-Spannung zurückgeschaltet, die vor dem nächsten Speicherrückschalt-Signal ,auf den Eingang 77 des NAND-Gatters 78 gegeben wird. Hierauf bleibt der auf den zweiten Eingang 65 des ersten NAND-Gatters 54 gegebene Ausgang des NAND-Gatters 78 im Zustand einer logischen "Hoch"-Spannung. Wenn andererseits die Logik-Ausgangsschiene 18 nicht in der erwarteten Weise arbeitet, sondern stattdessen bei einer logischen "Hoch"-Spannung während des gesamten Speicherdurchlaufs verbleibt, so wird der Flip-Flop 75 nicht zurückgeschaltet, und das folgende Speicherrückschalt-Signal, das zum NAND-Gatter 78 gelangt, leitet das die Funktionsstörung anzeigende Signal am Ausgang des Flip-Flops 65 weiter zum ersten NAND-Gatter 54. " "

509830/0659

Der Überwachungsmodul 45 steht mit dem Ausgang des Ausgangsschaltkreises 76g über eine Leitung 83 in Verbindung (vgl. hierzu die Fig. 1 und 2). Die Leitung 83 kontaktiert die Kathode einer Koppeldiode 84, deren Anode über einen Widerstand 85 mit einem positiven Anschluß 86 für die Gleichstromversorgung und über eine Blockdiode 87 mit Masse verbunden ist. Die Anode steht ferner über einen Invertier-Schaltkreis (Inverter) 88 mit einem Einschalt-Eingang 89 eines dritten R-S-Flip-Flops 90 in Verbindung. Dieser Flip-Flop enthält einen Rückschalt-Anschluß 91, der die Ruckschalt-Schiene 61 und einen Q-Ausgang 92 kontaktiert, der seinerseits mit dem zweiten Eingang 65 des ersten NAND-Gatters 54 verbunden ist.

Wird eine Funktionsstörung vom Fehlersuchmodul registriert, so wird in der Leitung 83 durch den Ausgangs-Schaltkreis 76g eine logische "Hoch"-Spannung erzeugt. Dieses logisch "hohe", einen Fehler anzeigendes System wird im Schaltkreis 88 invertiert und auf den Einsehalt-Anschluß 89 gegeben, um den dritten Flip-Flop 90 einzuschalten. Im Ergebnis wird eine am Q-Ausgang 92 gebildete logische "Hoch"-Spannung dem zweiten Eingang 65 des zweiten NAND-Gatters 54 zugeführt, um den Eintritt einer Funktionsstörung anzuzeigen. ,Im Unterschied zu den oben erwähnten Kreisen arbeitet dieser Schaltkreis unabhängig vom Speicherrückschalt-Signal, um die einen Fehler anzeigende Information dem zweiten NAND-Gatter 54 zuzuführen.

Das zweite NAND-Gatter 54 ist Bestandteil eines Halte- und Ausgangstreiber-Schaltkreises im Überwachungsmodul 45. Im einzelnen kontaktiert sein Ausgang 95 einen Eingang 96 eines zweiten Monoshot-Schaltkreises 97 und einen ersten Eingang 98 eines dritten NAND-Gatters 99. Der Monoshot 97 ist mit dem bereits beschriebenen ersten Monoshot-Schalt-

509830/0653

kreis 69 identisch, er weist einen Q-Ausgang 100 auf, der mit einem zweiten Eingang 101 des dritten NAND-Gatters 99 verbunden ist. Ein dritter Eingang 102 im NAND-Gatter 99 steht mit der Ruckschalt-Schiene 91 in Verbindung, die ihrerseits, über einen Widerstand 93 auf eine Quelle für eine logische "Hoch"-Spannung geführt ist. Der mit 103 bezeichnete Ausgang des NAND-Gatters 99 kontaktiert die Eingänge dreier Ausgangs-Pufferschaltkreise 104, 105 und 106. Der Ausgang des Pufferschaltkreises 104 ist mit einem dritten Eingang 107 des zweiten NAND-Gatters 54 und mit der Kathode einer lichtemittierenden Diode 108 verbunden. Die Anode dieser lichtemittierenden Diode 108 kontaktiert über einen Widerstand 109 einen positiven Anschluß 110 der Gleichspannungsversorgung, Der Ausgang des Pufferschaltkreises 105 ist über eine Leitung 111 auf den Einschalt-Eingang 30 des Ausgangsanschluß-Einschubs 28 geführt, der Ausgang des Pufferschaltkr-eises 106 steht mit der Kathode einer Zenerdiode 112 über einen Widerstand 113 in Verbindung. Die Anode der Zenerdiode 112 ist auf Masse gelegt, ihre Kathode kontaktiert ferner über einen Widerstand 114 einen positiven Anschluß 115 der Gleichstromversorgung und über einen zweiten Koppelwiderstand 116 einen Ausgang 117 des Überwachungsmoduls. ,Wie vor allem der Fig. 1 zu entnehmen, kontaktiert der Ausgang 117 den einen Anschluß einer Relais-Spule 118, deren anderer Anschluß auf Erdpotential liegt. Die Spule 118 betätigt durch Erzeugung von Megnetfeidern zwei normalerweise offene Kontakte 119 und 120, die in geschlossenem Zustand Kontakt zwischen den Versorgungsanschlüssen 31 des Ausgangsanschluß-Einschubs 28 und zwei Stromversorgungsanschlüssen 121 herstellen.

Wenn entweder der erste Eingang 53 oder der zweite Eingang 65 des zweiten NAND-Gatters 54 den Zustand eines logischen

509830/0659

"Tiefs" einnimmt und damit den Eintritt einer Funktionsstörung anzeigt·, werden logisch "tiefe", eine Funktionsstörung anzeigende Spannungen in den Ausgängen der drei Pufferschaltkreise 104, 105 und 106 erzeugt. Dieser Vorgang spielt sich im einzelnen folgendermaßen ab: Wird eine Funktionsstörung gefunden, so geht der Ausgang des zweiten NAND-Gatters 54 in eine logische "Hoch"-Spannung über, die auf den Eingang 98 des NAND-Gatters 99 und auf den Monoshot-Schaltkreis 97 gegeben wird. Der Q-Ausgang 100 des Monoshots 97 wird augenblicklich in einen logisch "tiefen" Spannungspegel versetzt, bleibt in diesem Zustand 2 Mikrosekunden, verhindert somit für einen Moment die Operation des dritten NAND-Gatters 99 und gewährleistet damit, daß störende Rauschspannungen nicht als eine Funktionsstörung interpretiert werden. Nach 2 Mikrosekunden steigt die Spannung am Q-Ausgang 100 zu einer logischen "Hoch"-Spannung an, der Ausgang 103 des dritten NAND-Gatters 99 wird daraufhin in eine logische "Tief-Spannung gebracht. Dieses logische "Tief" gelangt über den Pufferschaltkreis 104 zur lichtemittierenden Diode 108, schaltet diese ein, und zum dritten Eingang 107 des zweiten NAND-Gatters 54, um die Schaltung in einem die Funktionsstörung anzeigenden Zustand zu fixieren. Das logische "Tief" wird außerdem über den Pufferschaltkreis 105 und die Leitung 111 auf den Einschaltanschluß 30 im Ausgangsanschluß-Einschub 28 gegeben, um alle Ausgangstreiberkreise abzuschalten, und beaufschlagt schließlich über den Ausgangspufferschaltkreis 106 die Relais-Spule 118. Die Relais-Spule 118 wird dadurch abgeschaltet, die Kontakte 119 und 120 verlassen ihre normalerweise leitende Stellung. In der Folge wird die Stromzufuhr zum Ausgangsanschluß-Einschub 28 unterbrochen und werden sämtliche Arbeitsvorrichtungen 23 des gesteuerten Systems 21 abgeschaltet.

509830/0659

Wenn die Funktionsstörung behoben worden ist, wird der Überwachungsmodul 45 zurückgeschaltet, bevor das programmierbare Steuergerät erneut in Tätigkeit gesetzt wird. Dies geschieht durch Druck auf einen Ruckschalt-Druckknopfschalter 140, der auf die Rückschalt-Schiene 61 eine logische "Tief-Spannung gibt. Daraufhin sperrt das NAND-Gatter 99, und die Schaltung verbleibt in einem Operationszustand, in dem logische "Hoch"-Spannungen an den Ausgängen der Pufferschaltkreise 104, 105 und 106 erzeugt werden.

Um ein fehlerloses Arbeiten des Überwachungsmoduls 45 zu gewährleisten, ist ein Wahlschalter 150 mit fünf Positionen vorgesehen, um an fünf verschiedenen Orten im programmierbaren Steuergerät Funktionsstörungen zu simulieren. Der Schalter 150 enthält einen .auf Masse gelegten beweglichen Kontakt 151, der von Hand mit·jeweils einem von fünf stationären Kontakten 152 - 156 in Kontakt gebracht werden kann. Kontakt 152 ist anschlußlos, Kontakt 153 kontaktiert einen ersten Prüfpunkt 157, der mit einer 1.s.d.-Leitung 13q η im Adresskabel 14 verbunden ist, Kontakt 154 steht mit einem zweiten Prüfpunkt 158 in Verbindung, der eine m.s.d.-Leitung 12_Q_₇ im Adresskabel 14 kontaktiert, Kontakt 155 ist auf einen dritten Prüfpunkt 159 geführt, der die •Logik-Eingangsschiene 17 kontaktiert, und Kontakt 156 ist mit einem Prüfpunkt 82 auf dem UND-Gatter 81 gekoppelt. Der Wahlschalter wird auf den Kontakt 152 gedreht, wenn das programmierbare Steuergerät in Tätigkeit geschaltet werden soll. Von Zeit zu Zeit wird nun die Funktion des Überwachungsmoduls 45 dadurch getestet, daß man den Schalter 150 auf die einzelnen Prüfpunkte dreht und beobachtet, ob eine Funktionsstörung auch richtig angezeigt wird. Nach jedem Test wird der Ruckschalt-Druckknopfsehalter 140 gedrückt, um das programmierbare Steuergerät erneut zu starten.

S09830/0659

Der erfindungsgemäß vorgesehene Fehlersuchmodul enthält eine Gruppe von Fehlersuchprogrammen, die im Steuergerät-Speicher 1 eingespeichert sind und während eines jeden Steuerprogramm-Durchlaufs ausgeführt werden. Wie aus der nachfolgenden Beschreibung hervorgeht, ist der Ausgangsschaltkreis 01 ο für den Einsatz dieser Programme freigehalten und wird der Ausgangsschaltkreis 46_Q dazu verwendet, die Ergebnisse der Fehlersuchprogramme dem Überwachungsmodul 45 zu übermitteln.

Wie bereits erwähnt, besteht der Steuergerät-Speicher 1 aus einer Anzahl programmierbarer Festwertspeicher-Einheiten (PROM-Einheiten), die mit einem Zähler verbunden sind, so daß die vierundsechzig Leitungen jedes PROMs einmal während eines jeden Speicherdurchlaufs ausgelesen werden. Die Anzahl der im Steuergerät-Speicher 1 verwendeten PROMs schwankt mit der Größe des Steuerprogramms; im folgenden sei jeder PROM mit einer römischen Zahl versehen, die die Reihenfolge anzeigt, in welcher der während eines jeden Speicherdurchlaufs adressiert wird. Um sicherzustellen, daß der Steuergerät-Speicher 1 das vorgesehene Steuerprogramm abtastet, ohne ein Speicher-PROM zu überspringen, wird ein Fehlersuchprogramm in Verbin-.dung mit den Ausgangsschaltkreisen 01g und 76g des Fehlersuchregisters verwendet. Das Programm benötigt vier Speicherleitungen in jedem PROM und bewirkt, daß der Zustand des Ausgangsschaltkreises 01_Q während des Speicherdurchlaufs nach einem vorgegebenen Schema alterniert. Der Zustand des Ausgangsschaltkreises 01g wird in jedem PROM einmal abgefragt, und wenn eine Abweichung vom vorgegebenen Schema festgestellt wird, so wird dieser Schaltkreis erregt und zeigt dem Überwachungsmodul 45 einen Fehler an. Im folgenden sei ein Fehlererkennungsprogramm für die Speicherabtastung eines 4-PROM-Speichers angegeben.

509830/0659

PROM-Nummer	Leitungsnummer	DClCiU.	XIC
I	OO	SET • •
	01 • •	• • XIO
	• • 63	SET
	64	XIO
II	OO	SET • •
	01 • •	• XIO
	• • 63 '	SET
	• 64	XIC
III	OO	SET • •
	01 . • •	• • XIO
	• • 63	SET
	64	XIO
IV	OO	SET •
	01 •	• • XIO
	• 61	SET
	62	XIO
	63	SET
	64

509830/0659

Während die PROMs I-IV abgetastet und die Befehle aus dem Steuergerät-Speicher 1 ausgelesen werden, wird der Ausgangsschaltkreis 01g abwechselnd ein- und ausgeschaltet. Bei Beginn eines jeden Speicherdurchlaufs befindet sich der Ausgangsschaltkreis 01_Q in seinem ausgeschalteten Zustand, und wenn der PROM I abgetastet wird, wird er durch die kombinierten Befehle auf den Leitungen 63 und 64 eingeschaltet. Bei Abtastung des PROM II wird er durch die kombinierten Befehle auf den Leitungen 63 und 64 abgeschaltet; bei Durchlauf des PROM III wird er durch die kombinierten Befehle auf den Leitungen 63 und 64 eingeschaltet, und bei Abtastung des PROM IV wird er durch die kombinierten Befehle auf den Leitungen 61 und 62 abgeschaltet. In anderen Worten: Der Zustand des Ausgangsschaltkreises O1g wird in jedem PRQM einmal geändert. In jedem der PROM I-IV überprüft ein Befehlspaar, ob der Zustand des Ausgangsschaltkreises 01g in diesem vorgegebenen Schema geändert wird. Ist dies nicht der Fall, so wird eine Funktionsstörung angezeigt und der Ausgangsschaltkreis 76g zur Betätigung des Überprüfungsmoduls 45 erregt. Im einzelnen vollzieht sich dieser Vorgang folgendermaßen: Wird der Steuergerät-Speicher 1 richtig abgetastet, so wird der Ausgangsschaltkreis 01_Q durch die SET-Befehle in jedem .der PROMs I-IV abwechselnd ein- und ausgeschaltet und sind die sich abwechselnden XIC- und XIO-Befehle auf der Leitung 00 eines jeden nachfolgenden PROM "unwahr". Demzufolge schaltet keiner der SET-Befehle auf den Leitungen 01 eines jeden PROM I-IV den Ausgangsschaltkreis 76_Q ein. Sollte jedoch beispielsweise PROM II fehlen oder nicht sicher eingesteckt sein, weil im vorgegebenen Operationsschema eine Abweichung auftreten würde, würde eine Funktionsstörung angezeigt werden. Diese Abweichung wird durch den XIC-Befehl auf der Leitung 00 des PROM III, der den Zustand "wahr" feststellt, registriert, und der SET-Befehl

509830/06Sd

auf der Leitung 01 schaltet daraufhin den Ausgangsschaltkreis 760 ein; die Funktionsstörung -wird angezeigt. Das geschilderte Programm im Fehlersuchmodul überprüft nicht nur die Funktionsweise des Steuergerät-Speichers 1, um dessen ordnungsgemäßes Abtasten und die Vollständigkeit der PROHs zu sichern, sondern es testet darüberhinaus auch die Funktionsweise der anderen Schlüsselelemente im Steuergerät. So wird die Fähigkeit des Steuergeräts überprüft, die Ausgangsschaltkreise auf SET-Befehle hin richtig anzusteuern, weil der Ausgangsschaltkreis 01 ο durch SET-Befehle in der geschilderten Weise angesteuert werden soll und jegliche Abweichung hiervon registriert wird. Außerdem · wird die Fähigkeit des programmierbaren Steuergeräts kontrolliert, den Zustand von Ausgangsschaltkreisen richtig auszulesen. Es dürfte klar sein, daß das Programm zur Durchführung der letztgenannten Funktionen nicht über den Steuergerät-Speicher 1 verteilt werden muß, sondern zusammengefaßt und getrennt ausgeführt werden kann.

Wie anhand des obigen Programms dargestellt, schalten die letzten beiden Befehle im Speicher 1 entweder den Speicher zurück oder zeigen, wenn dies mißlingt, eine Funktionsstörung an. Auf der Leitung 63 des PROM IV ist ein XI0-77g- -Befehl und auf dessen Leitung 64 ist ein SET-76g-Befehl gespeichert. Nach Abtastung des Speicherprogramms öffnet der XI0-77₈-Befehl das UND-Gatter 35, so daß ein den Speicher rückschaltendes Signal auf den Speicherrückschalt-Anschluß 39 gegeben wird. Dieses Signal schaltet die Zähler zurück, die den Speicherdurchlauf steuern, und unter normalen Operationsbedingungen wird das Steuerprogramm erneut durchgeführt. Wird der Steuergerät-Speicher 1 jedoch nicht richtig zurückgeschaltet, so wird der SET-76g-Befehl auf der Leitung 64 des PROM IV ausgeführt und eine Funktionsstörung angezeigt.

509830/0659

Das geschilderte Fehlersuchprogramm ist auf eine gerade Anzahl von PROMs im Speicher 1 zugeschnitten. Verwendet man eine ungerade Zahl von PROMs, so muß dieses Programm, weil der Ausgangsschaltkreis 01q bei Beginn eines jeden Speicherdurchlaufs abgeschaltet sein soll, abgewandelt werden. Bei Verwendung von beispielsweise fünf PROMs ist das Programm in den PROMs IV und V folgendermaßen aufgebaut:

PROM-Nummer Leitungsnummer Befehl

IV 00

63 64

V 00

61 62 63 64

In dieser abgewandelten Version des Fehlersuchprogramms ändert PROM IV den Zustand des Ausgangsschaltkreises 01„ nicht. Im Ergebnis schaltet der~SET-01g-Befehl auf der Leitung 62 des PROM V den Ausgangsschaltkreis 01g und versetzt ihn in den für eine weitere Speicherabtastung erforderlichen Zustand. Eine Wegnahme der PROMs I, II, III .oder V würde das Schema, in dem der Zustand des Ausgangs-

XIO	⁰¹S
SET	⁷⁶8
XIO	⁰¹S
. XIC	⁰¹S
SET	⁷⁶8
XIO	⁰¹S
SET	⁰¹8
XIO	⁷⁷S
SET	76_O

509830/0659

Schaltkreises 01_Q alterniert wird, ändern; eine solche Funktionsstörung würde in der oben beschriebenen Weise angezeigt werden. Um auch das Fehlen des PROM IV nachweisen zu können, ist die erste Leitung im PROM V ein

be
SET-76g-Befehl und stehen die letzten Leitungen in diesem PROM aus zwei Befehlen, die sich gegenseitig ausschließende Ereignisse abfragen. Im einzelnen wird dabei der Zustand des Ausgangsschaltkreises 01_Q abgefragt, um festzustellen, ob er gleichzeitig ein- oder ausgeschaltet ist. Ist das eine oder das andere "unwahr", so schaltet der folgende SET-Befehl den Ausgangsschaltkreis 76 ab. Wird PROM IV jedoch nicht abgetastet, so erscheint der SET-76g-Befehl im PROM V allein und wird der Ausgangsschaltkreis 76_Q erregt.

Im Steuergerät-Speicher Λ werden weitere Fehlersuchprogramme gespeichert, die die Operation sowohl des programmierbaren Steuergeräts als auch des gesteuerten Systems 21 durch Abfragen von sich gegenseitig ausschließenden Ereignissen überprüfen. Beispielsweise ist es durch Prüfung zweier oder mehrerer Tastvorrichtungen 22 auf dem kontrollier ten System 21, die zur gleichen Zeit nicht geschlossen sein sollten, möglich, das programmierbare Steuergerät daraufhin .zu testen, ob es alle Eingänge als geschlossen behandelt. Das Programm kann ferner eine Funktionsstörung in jeder Tastvorrichtung anzeigen, deren Ausgang hierdurch in ein logisches "Tief" überführt wird.

XIC Übertemperatur-Fühler
XIC Untertemperatur-Fühler
SET 76₈

Auf ähnliche Weise ist es durch Überprüfung zweier oder mehrerer Tastvorrichtungen 22, die nicht gleichzeitig offen

509830/0659

sein sollten, möglich, das programmierbare Steuergerät daraufhin zu prüfen, ob es alle Eingänge als offen behandelt.

XIO normalerweise geschlossener Begrenzungsschalter am einen Ende eines Tisches

XIO normalerweise geschlossener Begrenzungsschalter am anderen Ende des Tisches

SET 76₈

Durch das Fehlersuchprogramm können auch andere sich gegenseitig ausschließende Ereignisse, die bei gleichzeitigem Auftreten dem gesteuerten System 21 einen besonders großen Schaden zufügen würden, überprüft werden. Ist beispielsweise eine Bremse nicht .gelöst, wenn ein hiervon betroffener Motor.eingeschaltet wird, oder wird bei Anschaltung des Motors die Schmierpumpe nicht in Tätigkeit gesetzt, so kann der Fehlersuch-Ausgangsschaltkreis 76_ß angesteuert und dadurch das gesteuerte System 21 abgeschaltet werden.

XIC	Bremse
XIC	Motor
BRT
XIO	Schmierpumpe
XIC	Motor
SET	76o

Obwohl der Überwachungsmodul 45 die Ausgänge des I/O-Adressierdekoders 5 fortwährend überwacht, kann dieses Steuergerät-Element noch einem weiteren nützlichen Test durch den Fehlersuchmodul unterzogen werden, um eine Funktionsstörung aufzufinden, die einen der Ausgänge 12_Q „ oder 13Q_y im

509830/0659

Zustand einer logischen "Hoch"-Spannung verharren läßt. Hierzu wird der Zustand all jener Arbeitsvorrichtungen 23 abgefragt, deren i/O-Adressen die zu überprüfende Oktalstelle enthalten. Sind alle diese Arbeitsvorrichtungen eingeschaltet, so wird eine Funktionsstörung angenommen und der Fehlersuch-Ausgangsschaltkreis 76_Q eingeschaltet. Das folgende Programm fragt die Operation der letzten Oktalstelle 4 ab:

XIC 14₈
XIC 24_O

SET 76q

In. diesem Programm sind Arbeitsvorrichtungen mit den I/O-Adressen 14_O, 24_O und 44_Q verbunden,und sollte die letzte

OO O

Oktalstelle 4 eine Funktionsstörung aufweisen und bei einer logischen "Hoch"-Spannung verbleiben, so würden alle diese Arbeitsvorrichtungen während des Speicherdurchlaufs eingeschaltet sein. Das Fehlersuchprogramm wird am Ende des Steuerprogramms eingepeichert, und da alle XIC-Befehle den Zustand "wahr" vorfinden, wird der Ausgangsschaltkreis 76_Q .angesteuert und zeigt die Funktionsstörung an. Ähnliche Programme könnten für die anderen I/O-Adressierdekoder-Stellen aufgenommen werden, solange genügend viele Tastvorrichtungen 22 mit diesen Stellen des Dekoders verbunden sind, um sicherzugehen, daß alle diese Vorrichtungen tatsächlich nur beim Vorliegen einer Funktionsstörung zugleich eingeschaltet sein können. In anderen Worten: Sind alle Arbeitsvorrichtungen 23 mit dem gleichen l.s.d. eingeschaltet, so wird das Vorhandensein einer Funktionsstörung vermutet; das Fehlersuchprogramm findet diese Abweichung vom bereits beschriebenen Operationsschema auf und .zeigt dem Fehlersuch-Ausgangsschaltkreis 76_Q eine Funktionsstörung an.

509830/0659

Aus der vorstehenden Beschreibung dürfte hervorgegangen sein, daß die Programme des Fehlersuchmoduls im Rahmen der Erfindung auf mannigfache Weise abgewandelt werden können. Der Fehlersuchmodul überprüft die Tätigkeit des programmierbaren Steuergeräts dadurch, daß er das Gerät veranlaßt, nach einem vorgegebenen Schema vorzugehen, daß es Abweichungen hiervon registriert und daß es eine Funktionsstörung anzeigt. Der Fehlersuchmodul kann das programmierbare Steuergerät dazu bringen, den Zustand von auf dem gesteuerten System befindlichen Vorrichtungen mit vorgegebenen, bekannten Zuständen abzufragen, und bei einer Abweichung hiervon eine Funktionsstörung anzeigen; der Fehlersuchmodul kann aber auch das Steuergerät dazu bringen, den logischen Zustand einer Verrichtung nach einem vorgegebenen Schema zu alternieren, und den Zustand dieser Vorrichtung abfragen, um festzustellen, ob sie in der vorgegebenen Weise reagiert.

509830/0659

Claims

- 33 Patentansprüche

/i.!Programmierbares Steuergerät, bei dem ein in einem ^ ' Speicher gespeichertes Steuerprogramm das programmierbare Steuergerät dazu veranlaßt, ein mit Tastvorrichtungen, die mit adressierbaren Eingangsschaltkreisen im programmierbaren Steuergerät verbunden sind, und mit Arbeitsvorrichtungen, die mit adressierbaren.Ausgangsschaltkreisen im programmierbaren Steuergerät verbunden sind, versehenes gesteuertes System zu führen, gekennzeichnet durch einen Überwachungsmodul (45) mit Eingängen, die mit ausgewählten Elementen des programmierbaren Steuergeräts verbunden sind, wobei der Überwachungsmodul einen mit seinen Eingängen verbundenen Schaltkreis enthält, der bei den ausgewählten Elementen einen von einem vorbestimmten Schema abweichenden Betrieb auffindet, sowie einen Halte-Schaltkreis enthält, der den Eintritt einer Funktionsstörung im programmierbaren Steuergerät anzeigt, wenn eine Betriebsabweichung von dem Schaltkreis aufgefunden worden ist.
2. Programmierbares Steuergerät nach Anspruch 1, dadurch gekennzeichnet, daß ein Signalgeber vorgesehen ist, der periodisch ein Rucksehaltsignal erzeugt, daß der Schaltkreis einen Flip-Flop (60, 75) enthält, der einen ersten, mit einem der Überwachungsmodul-Eingänge (17, 18) gekoppelten Eingang (59, 74) und einen zweiten, das Rück-· schaltsignal empfangenden Eingang (71, 80) hat, daß der Schaltkreis weiterhin ein Gatter (64, 78) enthält, das einen ersten, mit dem Ausgang (62, 76) des Flip-Flops (60, 75) verbundenen Eingang (63, 77), einen zweiten, das Rückschaltsignal empfangenden Eingang (66, 79) und einen mit dem Halte-Schaltkreis verbundenen Ausgang hat,

509830/0659

wobei der Flip-Flop (60, 75) periodisch durch das Rückschalt-Signal in einen ersten Zustand eingeschaltet und durch einen Wechsel im logischen Zustanavdes uberwächungsmoduls (45) rückgeschaltet wird und wobei der erste Zustand des Flip-Flops (60, 75) über das Gatter (64, 78) zum Halte-Schaltkreis gegeben wird und dadurch eine Funktionsstörung angezeigt wird, wenn der Flip-Flop (60, 75) in seinen anderen Zustand rückgeschaltet ist, bevor ein nachfolgendes Rückschalt-Signal auf das Gatter (64, 78) gegeben wird.
3. Programmierbares Steuergerät nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß es einen Adressierdekoder (5) mit einer Anzahl von Adressierleitungen (14) enthält, die auf Eingänge des Überwachungsmoduls (45) geführt sind, und daß der Schaltkreis einen Paritätsprüfer (47> 49) enthält, dessen Eingänge mit den Adressierleitungen (14) und dessen Ausgang mit dem Halte-Schaltkreis verbunden sind, wobei der Paritätsprüfer (47, 49) dem Halte-Schaltkreis eine Funktionsstörung anzeigt, wenn der logische Zustand der•Adressierleitungen (14) von einem vorgegebenen Schema abweicht.
.4. Programmierbares Steuergerät nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß es einen Ausgangs-Treiberkreis enthält, der eine Arbeitsvorrichtung (23) im gesteuerten System (21) mit Strom versorgt, wenn er durch einen ihm zugeordneten adressierbaren Ausgangsschaltkreis (15) des programmierbaren Steuergeräts angesteuert ist, und daß der Überwachungsmodul (45) Schaltmittel enthält, die den Ausgangs-Treiberkreis abschalten, wenn eine Funktionsstörung angezeigt wird.
5. Programmierbares Steuergerät nach Anspruch 4, dadurch

509830/0659

gekennzeichnet, daß mehrere Ausgangs-Treiberkreise vorgesehen sind, die Arbeitsvorrichtungen (23) im gesteuerten System (21) mit Strom versorgen, und daß die Abschalt-Schaltmittel ein Relais mit Kontakten (119, 120) enthalten, die den Stromfluß zu den Ausgangs-Treiberkreisen unterbrechen, wenn eine Funktionsstörung angezeigt wird.
6. Programmierbares Steuergerät nach einem der Ansprüche 1 bis 5» gekennzeichnet durch einen die Wirkungsweise des programmierbaren Steuergeräts periodisch überprüfenden Fehlersuchmodul, der das programmierbare Steuergerät periodisch nach einem vorgegebenen Schema betätigt, der in der Betriebsweise des programmierbaren Steuergeräts Abweichungen vom vorgegebenen Schema feststellt und ein Fehlersuchregister enthält, das bei Feststellung einer Abweichung eine Funktionsstörung anzeigt.
7. Programmierbares Steuergerät nach Anspruch 6, dadurch gekennzeichnet, daß es einen Ausgangsanschluß-Einschub (28) enthält, der die Arbeitsvorrichtungen (23) des gesteuerten Systems (21) mit Strom versorgt, wenn es selbst angesteuert wird, und daß der Überwachungsmodul (45)

. ein Abschalt-Schaltmittel enthält, das auf eine entweder durch den Halte-Schaltkreis oder durch das Fehlersuchregister angezeigte Funktionsstörung hin den Ausgangsanschluß-Einschub (28) abschaltet.
8. Programmierbares Steuergerät nach Anspruch 7, dadurch gekennzeichnet, daß das Fehlersuchregister einen adressierbaren Ausgangsschaltkreis des programmierbaren Steuergeräts enthält, daß der Teil des Fehlersuchmoduls, der das Steuergerät zu einem Betrieb nach einem vorgegebenen Schema veranlaßt, im Steuergerät-Speicher (1) eingespeicherte Befehle enthält, die periodisch durchgeführt

509830/0 659

werden und den Zustand eines zweiten adressierbaren Ausgangsschaltkreises alternieren, und daß der Teil des Fehler&uchmoduls, der Abweichungen in der Betriebsweise des programmierbaren Steuergeräts feststellt, weitere im Steuergerät-Speicher (1) eingespeicherte Befehle enthält, die periodisch ausgeführt werden und den Zustand eines zweiten adressierbaren Ausgangsschaltkreises abfragen und den erstenadressierbaren Ausgangsschaltkreis im Fehlersuchregister erregen, wenn sich der zweite adressierbare Ausgangsschaltkreis nicht in einem vorgegebenen Zustand befindet.
9. Fehlersuchmodul für ein programmierbares Steuergerät, gekennzeichnet durch

- ein Fehlersuchregister, das nach Ansteuerung eine Funktionsstörung im programmierbaren Steuergerät anzeigt, und durch

- ein in einem Steuergerät-Speicher. (1) gespeichertes und einmal während eines jeden Speicherdurchlaufs ausgeführtes Fehlersuchprogramm, enthaltend eine erste Gruppe von Befehlen, die das Steuergerät dazu veranlassen, einen Steuergerät-Ausgangsschaltkreis nach einem vorgegebenen Schema zu betreiben, ferner eine zweite Gruppe von Befehlen, die den Betrieb des Steuergerät-Ausgangsschaltkreises abfragen, und schließlich eine dritte Gruppe von Befehlen, die das Fehlersuchregister ansteuern, wenn der Steuergerät-Ausgangsschaltkreis nicht nach dem vorgegebenen Schema betrieben wird,
10. Fehlersuchmodul nach Anspruch 9» dadurch gekennzeichnet, daß das Fehlersuchregister ein zweiter Steuergerät-Ausgangsschaltkreis ist und daß mit dem zweiten Steuergerät-Ausgangsschaltkreis Schaltmittel^verbunden sind, die ein mit dem Steuergerät verbundenes, gesteuer-

509830/0659

tes System (21) abschalten, wenn eine Funktionss-tör-uiag angezeigt wird.
11. Fehlersuchraodul nach Anspruch 9 oder 10, dadurch gekennzeichnet, daß der Steuergerät-Speicher (1) eine Anzahl von getrennten Speicher-Elementen enthält, die nacheinander abgetastet werden, und daß die Befehle jeder der drei Befehlsgruppen über diese Speicherelemente verteilt sind.
12. Fehlersuchmodul nach Anspruch 9, 10 oder 11, gekennzeichnet durch eine vierte Befehlsgruppe, die das Steuergerät dazu veranlaßt, den Zustand zweier sich gegenseitig ausschließender Ereignisse abzufragen, und durch einen fünften Programmbefehl, der das Fehlersuchregister ansteuert, wenn die von der vierten Befehlsgruppe gelieferten Abfrageergebnisse anzeigen, daß die sich gegenseitig ausschließenden Ereignisse gleichzeitig aufgetreten waren.
13. Fehlersuchmodul nach Anspruch 12, dadurch gekennzeichnet, daß die abgefragten, sich gegenseitig ausschliessenden Ereignisse in einem mit dem Steuergerät verbundenen, gesteuerten System (21) auftreten, und daß ein mit dem Fehlersuchregister verbundener Schaltkreis vorgesehen ist, der die Arbeitsvorrichtungen (23) des gesteuerten Systems (.21) abschaltet, wenn eine Funktionsstörung angezeigt wird.

δ 0 9 8 3 -Q / 0 S 5 9

3* .

Leerseite