DE3100747A1

DE3100747A1 - Last-steuerung

Info

Publication number: DE3100747A1
Application number: DE19813100747
Authority: DE
Inventors: Robert A. 55430 Brooklyn Center Minn. Black jr.; Rodney L. 55337 Burnsville Minn. Clark; Kenneth B. 55433 Coon Rapids Minn. Kidder; Paul B. 55412 Columbia Heights Minn. Patton
Original assignee: Honeywell Inc
Current assignee: Honeywell Inc
Priority date: 1980-01-14
Filing date: 1981-01-13
Publication date: 1981-12-17
Also published as: GB2067859A; JPS56110109A; IT1170624B; FR2473779A1; IT8147571A0; CA1140238A; US4558389A; GB2067859B; FR2473779B1; DK10481A; NL8100131A; IT8147571A1

Description

Die vorliegende Erfindung betrifft eine Last-Steuerung nach dem Gattungsbegriff des Anspruches 1. Mit dem Aufkommen von Festkörperlogik-Steuereinrichtungen wie beispielsweise Mikrocomputer und Mikroprozessoren hat sich ein ganz neues Feld von Steuereinrichtungen ergeben. Wenn derartige Einrichtungen benutzt werden, um Zustände oder Prozesse zu steuern, so wirkt die Steuerlogik nach bestimmten Kriterien auf elektrische Schaltkomponenten wie beispielsweise Relais oder Halbleiterschalter ein. Die Fähigkeit der Mikroprozessoren bzw. Mikrocomputer,eine große Anzahl von Steuerfunktionen in einer außerordentlich kurzen Zeitperiode auszuführen, macht diese Einrichtungen zu einem idealen Werkzeug für die überwachung und Steuerhng von zugeordneten Geräten. Während die Operationen eines Mikroprozessors mögliche Fehler umfassen, die überwacht werden müssen, besitzen diese auf der anderen Seite i.'irit· nahezu >mb»v<j ro η/.t e F,^:ih i.i|k<?i t der Überwachung und Steuerung von '/.ugcoi dnuLcn Geräten in einer uiy ensicheren Weise, wie man sie bislang in der Steuerungstechnik nicht kannte.

Um einen Grad an Sicherheit zu schaffen, der mit elektromechanischen Gerätetypan vergleichbar ist, müssen Steuersysteme des Mikroprozessors nut Steuerroutinen betrieben werden, die sich wesentlich von den bei elektromechanischen Einheiten angewandten Steuerverfahren unterscheiden. Diese Routinen geben eine Sicherheitsprüfung für das Gerät vor. Bestimmte Sicherheits-Prüfschaltkreise, die dynamisch Schaltelemente in elektrischen Schaltkreisen überprüfen,sind bereits vorgeschlagen worden. Diese Schaltkreise machen von einer Steuerlogik bzw. einem Mikroprozessor Gebrauch, wobei zusätzliche extern angeordnete Schaltkreise dynamisch den richtigen Schaltzustand von Schaltelementen überprüfen. Diese bekannten Schaltkreise überprüfen jedoch nicht den Betrieb des Mikroprozessors bzw. der Steuerlogik selbst. Wenn eine Steuerlogik ausfällt und

130051/0417

nicht in der richtigen Weise arbeitet, so sind die extern angeordneten Sicherheitsprüfschaltkreise nur von bedingtem Wert. Die Steuerlogik selbst muss auf einen fehlerfreien Betrieb überprüft werden, so daß sie beispielsweise nicht Signale in Form von Rauschsignalen oder zufällig auftretenden Signalen überträgt. Wenn die Last-Steuerschaltkreise durch den Mikroprozessor geprüft werden, und der Mikroprozessor sich selbst auf eine richtige Betriebsweise hin überprüft, so wird ein neuer Sicherheitspegel bezüglich der gesamten Anordnung ermöglicht.

Es j st daher die Aufgabe der vorliegenden Erfindung_/ eine Last-Steuerung der eingangs genannten Art so auszubilden, daß das gesamte System in sicherer Weise abgeschaltet wird, wenn ein Fehler innerhalb der Steuerlogik oder innerhalb des peripheren Sicherheitsschaltkreises auftritt- Die Lösung dieser Aufgabe gelingt gemäß der im Anspruch 1 gekennzeichneten Erfindung. Weitere vorteilhafte Ausgestaltungen der Erfindung sind den Unteransprüchen entnehmbar.

Anhand eines in den Figuren der beiliegenden Zeichnung dargestellten Ausführungsbeispieles sei im folgenden die Erfindung näher erläutert. Es zeigen:

Fig.1 ein Blockdiagramm der erfindungsgemäßen Last-Steuerung;

Fig.2 eine Reihe von Impulszügen, wie sie an verschiedenen Punkten in Figur 1 auftreten;

Fig.3 eine Darstellung eines Zeittaktzyklus, wie er bei der Steuerung gemäß Figur 1 Anwendung findet;

13Q0S1/0417

Fig. 4 eine Da fste Llung einer Folge von Zeittaktzyklen zur Veranschaulichung des Normalbetriebs \:nd eines Betriebsausfalles; und

Fig. 5 eine Modifikation der Steuerung gemäß

Figur 1 mit mehreren die Last steuernden Einrichtungen.

Gemäß der Erfindung wird ein Mikroprozessor 20 mit einem Paar von Takts ;.qna^; ei 21 und 24 betrieben, die fortwährend miteinander verglichen werden. Der erste Takt 24 ist durch einen mittels der Netzspannung synchronisierten Takt vorgegeben und der zweite Taki· 21 ist ein internes quarzgesteuertes Taktsignal- da κ in erster Linie für den Betrieb der Mikroprozessoriogj.k verwendet wird- Der Mikroprozessor spricht fortwährend ruf den Ausgang der beiden Taktgeneratoren an und triggert normalerweise ein Paar von monostabilen Multivibratoren 44 und 4b, die einen Sicherheits-Zeitgeberschaltkreis 43 vorgeben. Der Sicherheits-Zeitgeberschaltkreis 43 überwacht fortwährend das Vorhandensein eines Ausgangsimpulses bzw. eines Takt iiiipu : sos von der Steuer logik , indem er diese Impulse zu seiner fortwährenden Triggerung benutzt. Die Sicherheits-Zeitgeberejmichtung 43 ist ebenfalls in der Lage,sich aus dem Schaltkreis selbst heraus zu verriegeln. Falls die TaktirnpuJ.se zu häufig empfangen werden, was z.B.der Fall ist, wenn Hochfrequenz oder andere Arten von elektrischen Rauschsignalen das System durchlaufen und fälschlicherweise das Vorhandensein von Steuersignalen an_wzeigen oder wenn irgendeine andere Fehlfunktion aufgetreten ist. Ein Ausgangssignal der Sicherheits-Zeitgebereinrichtung 43 wird benutzt, um Teile einer Steuereinrichtung für eine Last 15 anzusteuern, wobei dieser Teil der Steuereinrichtung einen Schalter bzw. ein Relais 62, 63 umfaßt, über welchen bzw. welches das System im

130051/0417

Falle eines auftretenden Fehlers sicher abgeschaltet wird. Die Steuerung speist, ein SignaL über eine Leitung 71 zurück zu dem Mikroprozessor 2O₁ um den Zustand des Sicherheitskontaktes 63 zu überprüfen. Dieser Sicherheitskontakt 63 liegt in Reihe zu der Spannungsversorgung der Last 15, so daß bei seiner Auftrennung die Last auch in dem Fall abgeschaltet wird; wo die normale Last-Schalteinrichtung 30 nicht in der Lage ist, die Last abzuschalten, weil beispielsweise ein Kontakt kleben geblieben ist.

Mit der vorliegenden Schaltung wird ein Paar von Takten miteinander verglichen und zur Aktivierung der Sicherheits-Zeitgebereinrichtung benutzt. Die Sicherheits-Zeitgebereinrichtung arbeitet zusammen mit den Takten und dem gewünschten Zustand der Last, um einen Uberwachungs-Sicherheitsschaltkreis zu bilden, der im wesentlichen eine Fehlfunktion des Mikroprozessors und der zugeordneten Schaltkreise und somit eine fehlerhafte Betätigung der Last verhindert. Hierbei spielt es keine Rolle ob der Fehler in dem Steuerschaltkreis selbst oder in den zugeordneten Schaltkreisen auftritt.

Figur 1 zeigt ein allgemeines Blockdiagramm der erfindungsgemäßen Steuerung. Das zu steuernde System,beispielsweise ein Heizungssystem,ist vereinfacht in der rechten Hälfte der Zeichnung dargestellt und umfaßt eine Last 15, beispielsweise

wird

in Form eines Brennerventils, das betätigt*wenn zwei Relaiskontakte 30 und 6 3 geschlossen sind. Der Kontakt 30 ist ein Steuerkontakt,durch den normalerweise der Brenner gesteuert wird, während der Kontakt 6 3 ein Sicherheitskontakt ist, durch dessen öffnung das Heizsystem vollständig abgeschaltet wird. Die Temperatur wird durch einen Thermostaten 10 erfaßt, der exnemMikroprozessor 20 signalisiert, wenn der Brenner zu zünden ist. Der Mikroprozessor 20 wirkt mit einem Ausgangssignal auf eine Relaisspule 28 ein, wobei durch Steuerung

130051/0417

dieser Relaisspule der Relaiskontakt 30 geöffnet und geschlossen werden kann, um die Last 15 entsprechend zu steuern. Der Mikroprozessor 20 weist ferner eine Ausgangsleitung 40 auf, die über einen Zeitgeberschaltkreis 43 eine Relaisspule 62 steuert. Diese Relaisspule 62 steuert den Sicherheitskontakt 63, so daß der Mikroprozessor das System abschalten kann, wenn dies erwünscht ist. Die der Relaisspule 62 zugeführte Spannung wird von dem Mikroprozessor 20 über einen Verstärker 70 erfaßt, so daß der Mikroprozessor das richtige Ansprechen der Relaisspule 62 überprüfen kann. Eine Freilaufdiode 67 schützt den Schaltkreis gegenüber Spannungen, wenn der Strom durch die Relaisspule 62 abgeschaltet wird. Eine gleiche nicht dargestellte Schutzdiode wird im Zusammenhang mit der Relaisspule 28 benutzt.

Der Mikroprozessor 20 wird mit zwei Taktsignalen gespeist, wobei diese durch den Ausgang eines Quarz-Taktgenerators 21 und durch den Ausgang eines ODER-Schaltkreises und Impulsformers 24 vorgegeben sind. Der Impulsformer 24 wird von einem 60Hz-Haupttaktsignal und dem Ausgang Q eines Monoflops 44 beaufschlagt. Die Ausgangsleitung 40 des Mikroprozessors wird dem Eingang des Monoflops 44 und dem Eingang eines zweiten Monoflops 45 zugeführt, wobei das zweite Monoflop 45 mit seinem Ausgang Q auf den Sperreingang I des Monoflop^ 44 zurückgeführt ist, so daß das Monoflop 44 nur auf ein Trigger-Eingangssignal ansprechen kann, wenn der Sperreingang von dem Monoflop 45 nicht beaufschalgt wird. Die beiden Monoflops 44 und 45 sind wiederholt triggerbar, indem ein Trigger-Eingangssignal jeweils die Zeitverzögerung startet, so daß eine Folge von Trigger-Eingangssignalen mit gegenüber der Zeitverzögerung kürzerem Abstand zu einem stetigen Ausgangssignal führt. Der Ausgang Q weist normaler-

weise den Wert "O" auf, und nimmt bei einer Triggerung während der Zeitverzögerung den Wert "1" ein. Diese beiden Monoflops können durch einen einzigen Chip vorgegeben sein.

Die Wirkungsweise des Zeitgeberschaltkreises soll anhand der Impulszüge gemäß Figur 2 erläutert werden. Der obere Impulszug zeigt das Haupttaktsignal auf der Leitung 2 3 nach einer Rechteckformung, wobei die Zeitperiode durch 16,7ms vorgegeben ist. Die positiv verlaufenden Planken dieses Impulszuges werden in negative Impulsspitzen durch den Schaltkreis 24 umgewandelt, der diese Impulsspitzen dem Mikroprozessor zuführt, wie dies durch den zweiten Impulszug veranschaulicht ist. Der Mikroprozessor antwortet auf diese Impulsspitzen durch Erzeugung von Impulsen am Ausgang 40 (dritter Impulszug) in einer relativ kurzen Zeit. Diese Impulse werden dem Monoflop 44 zugeführt, das eine Verzögerungszeit von ungefähr 13ms aufweist. Der erste negativ verlaufende Impuls auf der Leitung 40 triggert somit das Monoflop 44,dessen Ausgang Q daraufhin für 13ms auf den Wert "1" umschaltet.

Der Ausgang Q des Monoflops 44 wird dem ODER-Schaltkreis und Impulsformer 24 zugeführt, der auf die abfallende Flanke dieses Signales, d.h.13ms nach der Triggerung des Monoflops 44,anspricht und eine negativ verlaufende Impulsspitze ungefähr 3,7ms vor dem Auftreten der nächsten negativ verlaufenden Impulsspitze des Haupt-Taktsignales erzeugt. Der Mikroprozessor antwortet auf diese Impulsspitze in der zuvor beschriebenen Weise, indem er einennegativ verlaufenden Impuls auf der Leitung 40 erzeugt,und er antwortet auf die folgende von dem Haupt-Taktsignal abgeleitete Impulsspitze durch Erzeugung eines weiteren Impulses auf der Leitung 40. Der erste dieder Impulse triggert das Monoflop 44 und der zweite Impuls triggert dieses Monoflop erneut, so daß seine

130051/0417

Verzögerung durch den zweiten von dem Haupt-Taktsignal abgeleiteten Impuls erneut gestartet wird und sein Ausgangssignal von diesem Zeitpunkt an während 13ms ansteht. Das Ausgangssignal Q des Monoflops 44 ist daher durch den vierten Impulszug vorgegeben, wobei ein kurzer "O"-Pegel nach 13ms während jedes Hauptzyklus auftritt.

Der Ausgang Q des Monoflops 44 wird der Relaiswicklung zugeführt und hält diese erregt. Der kurze negativ verlaufende Teil dieses Signales führt zu einer periodischen Entregung dieser Wicklung. Diese Entregung wird durch den Mikroprozessor 20 über den Inverter 70 festgestellt und gestattet dem Mikroprozessor eine Überprüfung dahingehend, daß die Relaiswicklung 62 in richtiger Weise gesteuert wird. Die Entregungen sind jedoch zu kurz,um eine mechanisches Ansprechen des Relais zu bewirken, so daß der Kontakt 6 3 nicht geöffnet wird.

Es sei natürlich vermerkt, daß der Mikroprozessor einen Impuls am Ausgang 40 aufgrund des Eingangsimpulses von dem Schaltkreis 24 nur dann erzeugt, wenn die Last 15 aufgrund des Signales von dem Thermoststen 10 an Spannung zu legen ist und kein Fehler durch den Mikroprozessor festgestellt worden ist. Andornfalls unterbricht der Mikroprozessor in einfacher Weise die Ausgabe von Impulsen am Ausgang 40 und versucht die Last über die Relaiswicklung 28 abzuschalten.

Die am Ausgang 40 auftretenden Impulse werden ebenfalls dem zweiten Monoflop 45 zugeführt, das eine Schaltperiode von 2ms aufweist. Durch die Triggerung dieses Monoflops wird ein "1"-Signal dem Sperreingang des Monoflops 44 zugegeführt, woraufhin das Monoflop 44 daran gehindert wird, während der Schaltperiode von 2ms des Monoflops 4 5 auf Ein-

130051/0417

gangsimpulse anzusprechen. Hierdurch wird ein Schutz gegen eine mögliche Fehlfunktion des Mikroprozessors 20 vorgegeben, wenn dieser eine kontinuierliche Impulsfolge am Ausgang 40 ausgibt. Eine solche kontinuierliche Impulsfolge würde das Monoflop 45 fortdauernd triggern, das Monoflop 44 gesperrt halten und Impulse daran hindern, zu der Relaiswicklung 62 zu gelangen. Der Sicherheits-Relaiskontakt 63 würde daher öffnen und die Last abschalten. Die kombinierte Schaltperiode der Monoflops 44 und 45 ist natürlich etwas kürzer als die Periode des Haupt-Taktsignales.

Ein Quarz-Taktgenerator 20 umfaßt einen Quarzoszillator und Teilerschaltkreise um ein Quarz-Taktsignal mit einer Periode von ungefähr 17ms zu erzeugen, das somit in etwa an das 60Hz-Haupttaktsignal angepaßt ist,ohne mit diesem synchronisiert zu sein. Der Mikroprozessor 20 vergleicht das von der Netzspannung abgeleitete Haupttaktsignal des Schaltkreises 24 mit dem Quarz-Taktsignal des Taktgebers 21, um eine geeignete Fortschaltung und Selbstsynchronisierung zu erzeugen.

Wenn eine Komponente in irgendeinem der Taktschaltkreise ausfällt, so verursacht die Änderung des zeitlich abgestimmten Informationsflusses innerhalb des Steuerlogik-Sicherheits-Uberwachungsschaltkreises eine sichere Abschaltung der Last aufgrund des fehlenden Taktes an den Zeitgeberschaltkreis Hierdurch kann der Sicherheitsschalter 61 geöffnet werden und zugleich der Lastschalter 28 aufgetrennt werden. Wenn beispielsweise der Mikroprozessor 20 aufhört,einen Taktimpuls zu erzeugen, so kann der Sicherheits-Zeitgeberschaltkreis 43 ablaufen und den Kontakt 63 öffnen. Sowohl der Ausfall des Taktgenerators 21 oder des 60Hz-Taktgenerstors 22 führt zu einem Ausfall des Taktimpulses auf der Trigger-

130051/0417

leitung 40, so daß der Kontakt 63 über den Zeitgeberschaltkreis 43 geöffnet wird. Es liegt auf der Hand, daß der Mikroprozessor, wenn die Taktein der richtigen Weise vorliegen aber der Zeitgeberschaltkreis 43 nicht mehr richtig funktioniert, Signale empfängt, die nicht der eingebauten Logik entsprechen, so daß er daraufhin die Last durch Betätigung des Kontaktes 30 bzw. des Kontaktes 63 sicher abschalten kann.

Figur 3 zeigt die zeitliche Beziehung zwischen dem Sicherheitszeitgeber 43 (TMR43), dem Quarz-Taktgeber 21 (TMR21) und dem 6OHz-Netz-Taktgeber. In der Darstellung ist ein Zeitintervall von 18ms,bezogen auf ein 6OHz-Signal,eingetragen. Zwei Fenster W-43 und W-60Hz sind dargestellt. Diese Fenster geben Zeitbereiche vor, in denen der Mikroprozessor 20 seinen Normalbetrieb fortsetzen kann. Wenn die entsprechenden Ereignisse (TMR43-Signal und 6OHz-Signal) außerhalb der dargestellten zwei Fenster liegen, so ergreift der Mikroprozessor die geeigneten Maßnahmen,wie sie nachstehend beschrieben werden.

Figur 4 zeigt eine Anzahl von Zyklen der 6OHz-Taktquelle 22, wobei dargestellt ist, was bei drei getrennten Fallannahmen geschehen kann. Die Darstellung zeigt zwei Normalzyklen,auf die zwei Zyklen folgen, in denen das 60Hz-Taktsignal fehlt. Dies kann durch einen momentanen Ausfall der Netzspannung verursacht werden. Die Darstellung zeigt sodann noch,was geschieht,wenn der Quarz-Zeittaktgeber 21 seinen Betrieb unterbricht.

Die ersten zwei in Figur 4 dargestellten Zyklen veranschaulichen in einer anderen Form die typischen Impulszüge

130051/0417

gemäß Figur 2. Hierbei arbeitet der Sicherheits-Zeitgeber 43 und die 6OHz-Taktsignalquelle 22 in der richtigen Weise. Der Zyklus wiederholt sich sodann, so daß die ersten zwei Zyklen den Normalbetrieb des Systems veranschaulichen. Die Darstellung zeigt sodann das Fehlen des Netzspannungs-Taktsignales 22 nach einem ordnungsgemäßen Betrieb des Sicherheitszeitgebers 43. Der Mikroprozessor 20 ist so programmiert, daß er diesen durch die Netzspannung verursachten Taktfehler erkennt und eine bestimmte Anzahl von fehlenden Netzspannungs-Takt zyklen ohne Abschaltung akzeptiert. Das Gesamt-Steuersystem ist in der Lage, diesen Netzspannungsfehler aufgrund des Entwurfs der Spannungsversorgung des Gesamtsystems zu überbrücken. Da es unerwünscht ist, das System abzuschalten, wenn eine Anzahl von Zyklen des von der Netzspannung abgeleiteten Taktes ausfallen, ist der Mikroprozessor 20 so programmiert _;daß er den Betrieb für etwa zwei bis vier Zyklen aufrecht erhält.

Figur 4 zeigt sodann im fünften Zyklus den Wiederauftritt des aus der 6OHz-Netzspannung abgeleiteten Taktes und die nachfolgende Erzeugung eines Ausgangssignales des Sicheriieits-Zeitgebers4 3. Die Darstellung zeigt sodann den Ausfall des Quarz-Taktgehers 21 (TMR21 in Klammern und gebrochene Pfeile), wobei dieser Takt für den Betrieb des Mikroprozessors 20 wesentlich ist. Dieses Ausbleiben der Taktimpulse veranlaßt eine Sicherheitsabschaltung des Systems bei der nächsten Ausgabe eines Ausgangssignales durch den Zeitgeber 4 3 im Zeitpunkt SS. Diese Abschaltung erfolgt aufgrund des niedrigen Potentiales am Ausgang Q des Monoflops 44, wodurch die Wicklung 62 entregt und der Kontakt 63 geöffnet wird. Da der Kontakt 6 3 in Reihe zu der Last 15 liegt, wird die Last 15 unabhängig von dem Zustand des Kontaktes 30 von der Spannung abgetrennt. Die Anzahl der Zyklen, die ausbleiben können,und

130051/0417

die Zeitverhältnisse können in Abhängigkeit von der Art des zu steuernden Gerätes und in Abhängigkeit von dem Ausmaß der geforderten Sicherheit entsprechend gewählt werden.

Figur 5 zeigt eine Modifikation des Schaltkreises gemäß Figur 1,um mehrere Steuerkontakte in dem Lastschaltkreis anstelle des einzigen die Last steuernden Kontaktes schalten zu können. Mehrere Relaiswicklungen 80 bis für die Laststeuerung werden von dem Mikroprozessor angesteuert, wobei eine Freilaufdiode 96 ihrem Schutz dient. Die Relaiswicklungen 80 bis 82 sind über einen Transistor 94 an die positive Betriebsspannungsquelle angeschlossen, wobei der Transistor 94 durch den Ausgang des Zeitgeberschaltkreises 43 angesteuert wird. Wie zuvor kann die Last entweder durch Entregung der Wicklungen bis 82 oder durch eine Abschaltung des Transistors 94 von der Spannung abgetrennt werden.

130051/0417

Claims

HONEYWELL INC. &

Honeywell Plaza 1008422 Ge,Sz

Minneapolis, Minn., USA Hz/uraw

Last-Steuerung

Patentansprüche:

I Last-Steuerung mit mehreren Relaiskontakte aufweisenden ^ Relais zur Steuerung der Last, mit einem Steuerschaltkreis zur Betätigung der Relais und mit einer Sicherheitseinrichtung zur Abtrennung der Last unabhängig von den die Last normalerweise abtrennenden Relais, dadurch gekennzeichnet, daß der Steuerschaltkreis (20) durch ein Haupt-Taktsignal (22) und ein Signal mit fester Frequenz (21) gespeist wird und beide Signale miteinander vergleicht, wobei die feste Frequenz etwa der Frequenz des Haupt-Taktsignales entspricht, daß ein von dem Steuerschaltkreis (20) angesteuerter Sicherheits-Zeitgeberschaltkreis (43) angeordnet ist, der die Sicherheitseinrichtung (62,63) steuert und ein Rückführungssignal (Q von 44) liefert, das in einem Verknüpfungsglied (24) mit dem Haupt-Taktsignal kombiniert wird, so daß der Steuerschaltkreis (20) den Sicherheits-Zeitgeberschaltkreis (43) und der Sicherheits-Zeitgeberschaltkreis (43) den Ausgang des Steuerschaltkreises (20) zu der Sicherheitseinrichtung (62,63) überwacht.
2. Steuerung nach Anspruch 1, dadurch gekenn zeichnet, daß der Steuerschaltkreis (20) die Sicherheitseinrichtung (62,63) überwacht.
3. Steuerung nach Andpruch 1 oder 2, dadurch gekennzeichnet, daß der Steuerschaltkreis durch

130(551/0417

einen Mikroprozessor (20) vorgegeben ist.
4. Steuerung nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß das Signal mit fester Frequenz durch einen Quarz-Taktgene rator (21) vorgegeben ist.
5. Steuerung nach Anspruch 1, dadurch gekenn zeichnet, daß der Sicherheits-Zeitgeberschaltkreis (43) ein Paar von dem Steuerschaltkreis (20) triggerbare Monoflops (44,45) aufweist, wobei das erste Monoflop (44) eine Schaltperiode von etwas mehr als die Hälfte der Frequenz des Haupttaktsignales (22) aufweist, die Sicherheitseinrichtung (62,63) beaufschlagt und das Rückführungssignal erzeugt und wobei das zweite Monoflop (45) eine in Bezug auf die Frequenz des Haupttaktsignales (22) relativ kurze Schaltperiode aufweist und bei seiner Triggerung die Triggerung des ersten Monoflops (44) verhindert.
6. Steuerung nach Anspruch 1, dadurch gekennzeichnet, daß die Sicherheitseinrichtung aus einer Relaisspule (62) mit zugeordnetem Kontakt (6 3) besteht.
7. Steuerung nach Anspruch 1 , dadurch gekennzeichnet, daß die Sicherheitseinrichtung (62,63) aus einem Halbleiterschalter besteht, der in Reihe zu den Relaiswicklungen weiterer Relais (28) geschaltet ist.

130051/0417