DE3232513A1

DE3232513A1 - Ueberwachungszeitgeberschaltung

Info

Publication number: DE3232513A1
Application number: DE19823232513
Authority: DE
Inventors: Theodore Scott 06001 Avon Conn. Malinowski; Andrew Edwin 01464 Shirley Mass. Taylor
Original assignee: United Technologies Corp
Current assignee: Raytheon Technologies Corp
Priority date: 1981-09-14
Filing date: 1982-09-01
Publication date: 1983-03-24
Also published as: DK402282A; JPS5860309A; NO823071L; IT8223256A0; ES515665A0; ES8306411A1; IT1152572B; CA1190307A; BR8205190A; BE894388A; ZA826740B; AU560530B2; SE8205152L; IL66716A; SE8205152D0; AU8832082A; FR2512978A1; GB2105877A; MX151842A; CH659718A5

Description

übe rwac'hungszeitgeber schaltung

Die Erfindung bezieht sich allgemein auf Computersy— sterne und betrifft insbesondere eine überwachungsschaltung für ein Mikrocomputersteuersystem einer Brennstoffzelle od.dgl., die ein sicheres und zuverlässiges Abschalten im Falle einer Störung in dor Mikrocomputersoftware oder logischen Schaltungen gewährleisten soll.

Es gibt zahlreiche bekannte Techniken zum überwachen eines Computers, um dessen richtigen Betrieb zu gewährleisten. Ein solchos System ist in der US-PS 3 795 beschrieben, die einen überwachungs- und Wiederladeinitialisierer betrifft. Dieses System erfaßt eine Funktionsstörung in einer Nachrichtenverbindung, und nach dem Auftreten der Funktionsstörung initialisiert eine logische Schaltung in Verbindung mit einer Zeitgeberschaltung Anpassungssignale für den anschließenden Betrieb eines entfernten Prozessors und 'ines Da-

tensatzes in dem entfernten Verarbeitungssystern. Eine Zeitgeberschaltung innerhalb des Ubecwachungs- und Wiederladeinitialisierers erreicht eine Zeitsperre nach einer vorbestimmten Zeitverzögerung. Wenn eine Softwareinstruktion, die den richtigen Betrieb anzeigt, während der Verzögerungszeitspanne durch den Uberwachungs- und Wiederladeinitialisierer nicht festgestellt wird, wird angenommen, daß ein Störungszustand vorliegt. Die Zeitgeberschaltung versieht dann einen Datensatz mit einem Signal, durch das der Datensatz effektiv abgetrennt wird. Anschließend daran bewirkt der uberwachungs- und Wiederladeinitialisierer eine Reihe von Operationen, um den entfernten Prozessor und den Datensatz zu normalisieren. Zu diesen Operationen gehören das Befreien des entfernten Prozessors in der entfernten Verarbeitungseinheit von sämtlicher früheren Information, das Trennen des entfernten Prozessorsystems von der Fernsprechleitung für eine vorbestimmte Zeitspanne, das Initialisieren des entfernten Verarbeitungssystems derart, daß es eine Rückmeldung aus der zentralen Vurarbeitungseinheit empfangen kann, und das Einstellen des entfernten Prozessors in dem entfernten Verarbeitungssystem so, daß er die Nachricht aus dem zentralen Prozessor empfangen kann. Nachdem diese Operationen ausgeführt worden sind, wird das entfernte Verarbeitungssystem wieder mit der Information geladen, die es vor dem Zustand hatte, der die Funktionsstörung verursacht hat.

Eine weitere bekannte Anordnung ist in der US-PS 4 072 beschrieben, die eine Digitalcomputerüberwachungs- und -Wiederstartschaltung betrifft. Diese Schaltung überwacht das Vorhandensein von periodischen Ausgangssignalen aus dein Digitalcomputer mit einem Detektor zum Erfassen von fehlenden Impulsen. Wenn der Detektor feststellt, daß ein Ausgangssignal aus dem Computer fehlt, zeigt er an, daß der Computer nicht arbeitet. Ein Wiederstartimpuls wird dann erzeugt und an den Computer angelegt, um diesen wieder zu starten und die überwachungsschaltung rückzusetzen.

. y _ C.

Mit der (Jberwachungszeitgeberschaltuncf nach der Erfindung soll eine verbesserte Mikrocomputerüberwachungsschaltung zum AbschaLten einer Kraftanlage od.dgl. im Falle einer Mikrocomputersoftware- oder anderen Logikstörung geschaffen werden.

Weiter soll eine Störungserkennungsschaltung zum Überwachen des Ausgangs einer mikrocomputergesteuerten Brennstoffzelle geschaffen werden, um automatisch die Kraftanlage im Falle einer Logik- oder Softwarestörung sicher abzuschalten.

In einer besonderen Ausgestaltung der Uberwachungszeitgeberschaltung nach der Erfindung wird ein Mikrocomputer zum Betreiben einer Kraftanlage auf eine Softwarestörung hin überwacht. Falls eine Funktionsstörung auftritt, bringt die überwachungsschaltung eine Reihe von Puffern in deren Sperrzustand, der den Mikrocomputer anhält und eine kontrollierte Abschaltung der Kraftanlage bewirkt.

In noch einer weiteren Ausgestaltung der Erfindung wird ein unbeabsichtigtes Anfahren einer durch einen Mikrocomputer gesteuerten Kraftanlage od.dgl. verhindert. Weil Digitalschaltungen während der Anfahrperiode, in der sich der durch eine Stromversorgung angelegte Spannungswert verändert, wenn er sein Betriebspotential erreicht, unregelmäßig arbeiten, könnte der Mikrocomputer ungewollt Impulse erzeugen, dio die Schaltelemente der Kraftanlage freigeben könnten. Die Uberwachungszeitgebeischaltung enthält einen Rückstellschalter, der nach dem Anfahren betätigt werden muß, um den Mikrocomputer mit den Schaltelementen zu verbinden.

Eines der wichtigen MerkmaIo der Überwachungsschaltung nach der Erfindung int, daß sie sowohl ein fehJorhaftes Anfahren eines eine Kraftanlage steuernden Mikrocomputers verhindert als auch die Kraftanlage im Falle

einer Software- oder anderen Logikstörung, die in Beziehung zu den durch den Mikrocomputer auszuführenden Berechnungen steht, automatisch abschaltet. Dieses Merkmal ist besonders wichtig, wenn die Kraftanlage eine Brennstoffzelle ist, die über einen Wechselrichter mit einem Stromnetz oder einer ähnlichen Einrichtung, in der Wechselstromenergie verbraucht wird, verbunden ist. Der Mikrocomputer überwacht im allgemeinen zahlreiche Bedingungen hinsichtlich der Brennstoffzelle, des Wechselrichters und des Stromnetzes. Beim Betrieb einer Brennstoffzelle können zu den Eingangssignalen des Mikrocomputers Parameter wie die Reformertemperatur, die Zellentemperatur, der Zellenstrom und die Zellenspannung gehören, und der Mikrocomputer folgt einem vorbestimmten Programm, um den Brennstoffdurchfluß, den Kühlmitteldurchfluß, usw., durch Verändern der an die verschiedenen Ventile od.dgl. angelegten Steuersignale festzulegen. Ein weiteres Beispiel für die Berechnungen, die typischerweise von einem Mikrocomputer ausgeführt werden, sind die Einschalt- und Abschaltzeiten für die Schaltelemente des Wechselrichters. Jede Blockierung in der Software oder Logik, die den durch den Mikrocomputer ausgeführten Berechnungen zugeordnet ist, könnte eine ernste Fehlfunktion verursachen, die zu einer beträchtlichen Beschädigung der Brennstoffzelle oder des Wechselrichters führen würdcj. Demgemäß ist es besonders wichtig, daß der Betrieb des Mikrocomputers sorgfältig überwacht wird. Das Sperren des Mikrocomputers erfolgt durch einen weiter unten ausführlicher beschriebenen Sperrimpuls, der an die Rücksetzklemme des Mikrocomputers angelegt wird und das Programm stoppt. Gleichzeitig wird das Sperrsignal an Dreizustandspuffer angelegt, die in dem Steuerpfad zu den Schaltelementen der Brennstoffzelle angeordnet sind. Dieses Sperrsignal macht die Dreizustandspuf fer für jegliche Streuimpulse aus dem Mikrocomputer unempfindlich.

-x-y.

Ein Ausführungsbeispiel der Erfindung wird im folgenden unter Bezugnahme auf die Zeichnungen näher beschrieben. Es zeigt

Fig. 1 ein Blockschaltbild einer Ausfüh

rungsform der Überwachungszeitgeberschaltung nach der Erfindung und

Fig. 2 ein Impulsdiagramm der in Fig. 1

gezeigten Uberwachungszeitgeberschaltung.

Fig. 1 zeigt eine Ausführungsform einer Uberwachungszeitgeberschaltung nach der Erfindung. Eine Kraftanlage (nicht dargestellt) wird durch einen Mikrocomputer 10 gesteuert, der typischerweise die zahlreichen Betriebsparameter der Anlage überwacht und Entscheidungen trifft, indem er den aufeinanderfolgenden Schritten eines vorbestimmten Softwareprogramms folgt. Der Mikrocomputer 10 hat mehrere Ausgangskanäle 12, über die Steuerimpulse für viele Ventile, Schalter, usw., zu den betreffenden Elementen gehen. Ein oder mehrere Dreizustandspuffer 13 oder eine ähnliche Blockierschaltung· sind zwischen dem Mikrocomputer 10 und den Vorrichtungen, die die Steuerimpulse empfangen sollen, angeordnet. Die Dreizustandspuffer 13 haben, wie bekannt, eine Klemme, die, wenn sie einen Impuls empfängt, bewirkt, daß der Puffer einen Zustand hoher Impedanz oder blockierten Zustand annimmt und keinen Steuerimpuls durchläßt. Die Ausgangskanäle 12 sind die Kanäle, über die die Impulse zu den gesteuerten Vorrichtungen gelangen. Einer dieser Kanäle, der Kanal 12a, ist mit einem Impulsüberwacher verbunden und wird am Ende der Softwareroutine durch den Mikrocomputer 10 adressiert. Dieser Impulsüberwacher enthält einen monoKtabilon MuI ιivibra tor (MM) 14, dor mi ι dem Aus-

O Z. ^- ^.. -j

gangt;kanal 12a verbunden ist, und einen mit dem monostabilen Multivibrator 14 verbundenen Zeitgeber 16, der eine Zeitsperre hat, bei deren Eintritt der monostabile Multivibrator in seinen stabilen Zustand zurückkehrt, und zwar nach einer vorbestimmten Zeitspanne, die in Beziehung zu der Programmschleifenzeit steht. Das Ausgangssignal des monostabilen Multivibrators 14 wird über eine Leitung 18 an einen Eingang einer NAND-Schaltung 20 angelegt.

Die Uberwachungszeitgeberschaltung nach der Erfindung weist außerdem eine Initialisiererverzögerung auf, um die Impulsüberwacherschaltung am Arbeiten zu hindern, wenn der Mikrocomputer 10 sämtliche Digitalschaltung während einer Anfahrzeitspanne initialisiert, z.B. nach einem Stromausfall oder einer anderen derartigen Zeit, wenn der Mikrocomputer 10 alle logischen Schaltungen rücksetzt. Die Initialisiererschleife enthält einen monostabilen Multivibrator 22, dessen Ausgang über eine Leitung 24 mit einem Eingang der NAND-Schaltung 20 verbunden ist. Ein Zeitgeber 26, wie beispielsweise ein einfaches RC-Glied, hat oine Zeitsperre, bei deren Eintritt der monostabile Multivibrator 22 in seinen stabilen Zustand zurückkehrt, nachdem das Softwareprogramm sämtliche logischen Elemente initialisiert hat.

Weiter enthält die Überwachungszeitgeberschaltung nach der Erfindung eine Anfahrverzögerungsschleife, die der gesamten logischen Schaltungsanordnung einschließlich des Mikrocomputers 10 ausreichend Zeit während einer Anfahrperiode gewährt, um einen stabilen Zustand zu erreichen, bevor der Mikrocomputer beginnt, das Programm für sämtliche logischen Elemente zu initialisieren. Die Anf ahrverzögerungsschleife enthält ein Flipflop 28, di'S-sen Ausgang über eine Leitung i0 mit einem Eingang finer UND-Schaltung 32 verbunden ist. Ein Zeitgeber 34, der mit

323 15 1

dem Flipflop 28 verbunden ist, erreicht seine Zeitsperre kurz nachdem die Digitalschaltungen anfänglich mit Strom versorgt worden sind, und setzt sämtliche Digitalschaltungselemente in diesem Zeitpunkt zurück.

Ein Rücksetzknopf 36 ist vorgesehen und muß jedesmal dann betätigt werden, nachdem die Schaltung abgeschaltet worden ist, damit der Mikrocomputer 10 das Initialisierungsprogramm startet, um die gesamte logische Digitalschaltungsanordnung zu laden und zu setzen. Der Rücksetzknopf 36 ist über einen herkömmlichen Entpreller 38 durch eine Leitung 4 0 mit einem Eingang der UND-Schaltung 32 und durch eine Leitung 4 2 mit dem Flipflop 28 und dem monostabilen Multivibrator 22 zum Rücksetzen dieses Flipflops und dieses monostabilen Multivibrators verbunden.

Unter weiterer Bezugnahme auf Fig. 2 wird nun die Arbeitsweise der Uberwachungszeitgeberschaltung nach der Er findung beschrieben. Eine Anfahrverzögerung ist, wie oben kurz erwähnt, vorgesehen, um dem Mikrocomputer 10 und sämtlichen Digitalschaltungen zu gestatten, sich zu beruhigen, wenn das Steuersystem zum erstenmal mit Strom versorgt wird, um falsche Steuerimpulse zu verhindern, die die Kraftanlage ungewollt aktivieren könnten. Vor dem Zeitpunkt t_ sind der Mikrocomputer 10 und alle seine logischen Schaltungen nicht mit Strom versoigt, was bedeutet, daß sämtliche Schaltungen in ihrem Signalzustand L sind. Im Zeitpunkt t_o werden der Mikrocomputer 10 und das Steuersystem für die Kraftanlage mit Strom versorgt, und das gesamte System beginnt anzulaufen. Im Zeitpunkt t₁ legt der Zeitgeber 34 ein Signal an das Flipflop 28 an, welches anzeigt, daß eine ausreichende Zeit vergangen ist, um den logischen Schaltungen zu gestatten, sich zu beruhigen. Das Ausgangssignal des Flipflops 28 ist ebenso wie das Ausgangssignal der UND-Schaltung 32 null. Der Ub<'rwachungszeitgeber ist nui. in einem «tab ilen lialti'ssustan·! und für das Betätigen de;. Rücksetz-

sche.lters 36 bereit.

Im Zeitpunkt t₂ wird der manuelle Rücksetzschalter 36 betätigt, und ein Impuls wird dem Anfahrflipflop 28 sowie dem monostabilen Multivibrator 22 des Initialisierers zugtführt, wodurch diese beiden gleichzeitig rückgesetzt werten. Dadurch wird auch ein Impuls über die Leitung 40 an uie UND-Schaltung 32 angelegt. Wenn der Rücksetzknopf im Zeitpunkt t^ losgelassen wird, kehren die Impulse auf den Leitungen 40 und 42 in ihren stabilen Zustand zurück, und der Zeitgeber 26 wird freigegeben. In diesem Zeitpunkt t., sind alle drei Eingangssignale an der UND-Schaltung 32 in dem Signalzustand Il und die UND-Schaltung wird in dem EIN-Zustand gehalten, was bewirkt, daß der Mikrocomputer 10 sein Initialisierungsprogramm für die logischen Schaltungen beginnt.

Zur selben Zeit wird der Dreizustandspuffer 13 freigegeben, was den Steuersignalen gestattet, die Hauptschaltelemente der Kraftanlage zu erreichen. Die Initialisierungsschleife verhindert über die NAND-Schaltung 20, daß der Impulsüberwacher die UND-Schaltung 32 vor dem Zeitpunkt sperrt, in welchem das Initialisierungsprogramm abgeschlossen ist und die Steuerimpulse für die Hauptschalt eleniente erzeugt werden (t.) . Schließlich erreicht im Zeitpunkt t,- der Zeitgeber 26 die Zeitsperre, und die UND-Schaltung 32 spricht nun auf ein Sperrsignal aus dem monostabilen Multivibrator 14 des Impulsüberwachers an.

Der Impulsüberwacher überwacht ständig, wie erwähnt, die Steuerimpulse auf dem Ausgangskanal 12a und in dem monostabilen Multivibrator 14 und wird durch jeden Steuerimpuls aus dem Mikrocomputer vor dem Erreichen der Zeitsperre des Zeitgebers 16 ständig rückgesetzt. Wenn jedoch ejne Softwarestörung oder eine andere Loqikstörunq auftritt, wi j iJ der monooLabl. Io Muli ivLbrul or H rUt:k«j«·- setxt, bevor der Zeitgeber 16 sei no ZeJ Lupen e er ro 1<-I)t .

3 2 3.:

Wenn gemäß Fig. 2 diese Störung im Zeitpunkt t_g auftritt, nimmt das Ausgangssignal des monostabilen Multivibrators 14 auf der Leitung 18 seinen Signalzustand H an und sperrt gleichzeitig über die NAND-Schaltung 20 die UND-Schaltung 32. In diesem Zeitpunkt liegt ein H-Signal an dem Dreizustandspuffer 13 an, das diesen für Steuerimpulse aus dem Mikrocomputer 10 augenblicklich unempfänglich macht. Durch augenblickliches Unterbrechen sämtlicher Steuersignale an der Brennstoffzelle wird gleichzeitig die gesamte Kraftanlage vollständig abgeschaltet.

In diesem Sperrzuat.and verhindern di<; Di eizustandspuffer 13, daß SteuersLgnale die Hauptschaltelemente und andere Komponenten der Kraftanlage erreichen, so daß die Kraftanlage nicht unabsichtlich wieder gestartet werden kann. Zum Wiederstarten des gesamten Systems wird der Rücksetzschalter 36 betätigt (Zeitpunkt t_?), und das gesamte System durchläuft die Initialisierungsschritte, wie oben beschrieben.

Leerseite

Claims

Patentansprüche :

(i·/¹ tlberwachungszeitgeberschaltung für eine Kraftanlage, die einen Computer enthält, dcsr beim Liefern von Steuersignalen über mehrere Ausgangskanäle einem vorbestimmten Programm folgt, gekennzeichnet durch:

eine Impulsüberwachungsschaltung (14, 16), die mit den Ausgangskanälen (12) des Computers (10) verbunden ist und einen ersten Zeitgeber (16) enthält, der eine Verzögerungszeitspanne hat, die in Beziehung zu der maximalen Länge eines über die überwachten Ausgangskanäle (12) abgegebenen Steuerimpulses steht;

eine Blockierschaltung (13), die dem Computer (10) nachgeschaltet ist, um für das Steuersystem bestimmte Steuerimpulse zu blockieren, wenn ein Sperrsignal an ihr anliegt;

eine Rücksetzeinrichtung (22, 26, 36) mit einer Initialisirrschaltung (22, 26) zum Wiederstarten des vorgewählten Programms, welchem der Computer (10) folgt, um die logischen Elemente·in dem Steuersystem zu initialisieren; wodurch, wenn ein Steuerimpuls, der von dem Computer (10)

M _

über den überwachten Ausgangskanal abgegeben wird, eine vorbestimmte Länge überschreitet/ die Impulsüberwachungsschaltung (14, 16) ein Sperrsignal an die Blokkiereinrichtung (13) anlegt, welches Steuerimpulse daran hindert, die Steuereinrichtungen der Kraftanlage zu erreichen, wodurch die Kraftanlage abgeschaltet wird.
2. Schaltung nach Anspruch 1, gekennzeichnet durch eine Anfahrverzögerungseinrichtung (28, 34) zum Anlegen eines Sperrsignals an die Blockierschaltung (13) während der Anlaufphase des Steuersystems, um dadurch einen falschen Signalimpuls am unbeabsichtigten Freigeben der Steuereinrichtungen zu hindern.
3. Schaltung nach Anspruch 2, dadurch gekennzeichnet, daß die Anfahrverzögerungseinrichtung (28, 34) ein Flipflop (28) und einen Zeitgeber (34) enthält, wobei das Flipflop mit einem Haltekreis (20, 32) verbunden ist und wobei der Zeitgeber (34) das Flipflop in dessen stabilen Zustand nach einer vorbestimmten Zeitspanne, die der Aufwärmverzögerung entspricht, zurückbringt.
4. Schaltung nach Anspruch 1, gekennzeichnet durch eine Rücksetzeinrichtung (36) , die mit der Initialisierschaltung (22, 26) und mit dem Anfahrflipflop (28) verbunden ist, um diese rückzusetzen, wenn die Rücksetzeinrichtung betätigt wird.
5. Schaltung nach Anspruch 1, dadurch gekennzeichnet, daß die Initialisierschaltung (22, 26) einen monostabilen Multivibrator (2 2) und einen Zeitgebor (26) enthält, der den monostabilen Multivibrator in dessen stabilen Zustand zurückbringt und eine Verzögerungszeitspanne hat, die der '/,eit entspricht, welche erforderlich ist, um die gesamte Logische Schaltungsanordnung in dem Computer (10) zu initialisieren.

O L ο jl sJ i
6. Schaltung nach Anspruch 1, dadurch gekennzeichnet, daß die Impulsüberwachungsschaltung (14, 16), die mit dem Ausgangskanal (12a) des Computers (10) verbunden ist, einen Zeitgeber (16) enthält, der eine Verzögerung hat, die etwas länger ist als die maximale Länge des über den Ausgangskanal abgegebenen Steuerimpulses, und daß die Impulssteuereinrichtung, wenn sie nicht rückgesetzt wird, durch den Zeitgeber in ihren stabilen Zustand gebracht wird, wodurch ein Sperrsignal erzeugt wird, das die Blockierschaltung (13) in ihren blockierten Zustand bringt.