DE3514079C2 - Ausfallsicherungsschaltung - Google Patents

Description

Die Erfindung bezieht sich auf eine Ausfallsicherungsschaltung nach dem Oberbegriff des Anspruchs 1. Eine solche Schaltung ist aus der DE 33 22 074 A1 bekannt.

Diese Druckschrift beschreibt eine Notlaufeinrichtung für mikrocomputergesteuerte Systeme, bei der der Mikrocomputer Eingänge für Betriebsparametern entsprechende Signale, einen Signalausgang zur Abgabe von vom Mikrocomputer erzeugten Steuersignalen sowie einen weiteren Ausgang zur Abgabe von regelmäßigen Impulsen bei normalem Betrieb des Systems aufweist, wobei die Impulse in einer Prüfschaltung auf regelmäßiges Auftreten überprüft werden und ferner ein Funktionsgenerator vorgesehen ist, der ebenfalls Steuersignale abgibt und eine Logik in Abhängigkeit von der Prüfschaltung dem System die Steuersignale des Mikrocomputers oder die Steuersignale des Funktionsgenerators zuleitet. Die vom Mikrocomputer abgegebenen regelmäßigen Impulse dienen zur ständigen Überwachung des Systems, die Prüfschaltung steuert außer der Logik einen Rücksetzeingang des Mikrocomputers im Störungsfalle mit einem Ausfallsicherungssignal an, während die Steuersignale des Funktionsgenerators als Notlaufsignale der zu steuernden Einrichtung zugeführt werden.

Weitere bekannte Ausfallsicherungsschaltungen sind beispielsweise in der JP-OS 48-3351 und in der JP-OS 53 54 441 beschrieben.

Fig. 1 zeigt ein Beispiel einer solchen Ausfallsicherungs­ schaltung für ein Steuerungssystem. In Fig. 1 enthält ein Hauptsteuerkreis 1 einen Mikrocomputer und gibt ein erstes Steuer­ signal b an einen Umschaltkreis 20 und ein Zustandssignal a, das den Zustand des Hauptsteuerkreises 1 anzeigt, an einen Hilfskreis 10 ab. Das Zustandssignal a hat eine vorbestimmte Frequenz, die durch periodisches Invertieren eines Ausgangskanals mittels des Hauptsteuerkreises 1 in Übereinstimmung mit einem Programm erzeugt wird. Wenn der Hauptsteuerkreis 1 ausfällt, dann bleibt das Zustandssi­ gnal a daher in dem gerade eingenommenen Zustand.

Der genannte Hilfskreis 10 bildet einen Hilfs­ steuerkreis und dient als Sicherungskreis, der einen Ausfall des Hauptsteuerkreises 1 feststellt, der sich durch das Zustandssignal a ausdrückt, und erzeugt ein zweites Steuersignal (Ersatzsignal) c als Ersatz für das erste Steuersignal b sowie ein Umschaltsteuersi­ gnal e. Das Umschaltsteuersignal e wird dem Umschaltkreis 20 zugeführt, der ein Ausgangssteuersignal d an eine zu steuernde Einrichtung abgibt, das somit entweder das erste Steuersignal b oder das zweite Steuersignal c ist, je nachdem, welchen Zustand das Umschaltsteuersignal e hat. Weiterhin er­ zeugt ein Rücksetzkreis 30 ein Rücksetzsignal f zum Rück­ setzen des Hauptsteuerkreises 1, wenn das Zustandssignal a den Ausfall des Hauptsteuerkreises 1 anzeigt.

Dem beschriebenen System wohnt jedoch der Nachteil inne, daß, weil nur ein einziges Umschaltsteuersignal e vom Hilfs­ kreis 10 die Umschaltung vom ersten Steuersignal b auf das zweite Steuersignal c im Umschaltkreis 20 bewirkt, im Falle, daß der Hilfskreis 10 aus irgendeinem Grunde ein fehlerhaf­ tes Umschaltsteuersignal e trotz normalen Betriebes des Haupt­ steuerkreises 1 erzeugt, dies zu der Gefahr führen kann, daß fehler­ haftes oder abnormes zweites Steuersignal c als Ausgangssteuersignal d benutzt wird.

Auf diese Weise kann der Hilfskreis 10, der eigentlich als Ausfallsicherungskreis für den Hauptsteuerkreis 1 ge­ dacht ist, auf Grund eigenen Fehlbetriebes das Aus­ gangssteuersignal d stören. Dies setzt die Zuverlässigkeit des gesamten Steuerungssystems erheblich herab.

Angesichts des beschriebenen Nachteils liegt der Erfindung die Aufgabe zugrunde, eine Ausfallsicherungsschaltung der eingangs genannten Art anzugeben, bei dem die Wahrscheinlichkeit eines fehlerhaften Betriebes merklich verringert ist.

Diese Aufgabe wird durch die kennzeichnenden Merkmale des Patentanspruchs 1 gelöst. Vorteilhafte Weiterbildungen der Erfindung sind Gegenstand der Unteransprüche.

Die Erfindung wird nachfolgend unter Bezugsnahme auf die Zeichnungen näher erläutert. Es zeigt

Fig. 1 ein vereinfachtes Blockschaltbild einer bekann­ ten Ausfallsicherungsschaltung für ein Steuerungs­ system;

Fig. 2 ein vereinfachtes Blockschaltbild einer ersten bevorzugten Ausführungsform einer Ausfallsi­ cherungsschaltung nach der vorliegenden Erfindung;

Fig. 3(A) ein vereinfachtes Blockschaltbild des Haupt­ steuerkreises in Fig. 2;

Fig. 3(B) ein Zeitdiagramm für den Schaltkreis in Fig. 3(A);

Fig. 4 ein Flußdiagramm des Verfahrens zur Erzeugung des Zustandssignals im Hauptsteuerkreis nach Fig. 2;

Fig. 5(A) ein vereinfachtes Blockschaltbild des Haupt­ teils der Ausfallsicherungsschaltung in Fig. 2;

Fig. 5(B) ein Zeitdiagramm für den Schaltkreis nach Fig. 5(A);

Fig. 6 ein Flußdiagramm für den Ausfallerkennungsvor­ gang, der in der Ausfallsicherungsschaltung ausge­ führt wird;

Fig. 7 ein vereinfachtes Blockschaltbild einer Umschalt­ steuerschaltung in Fig. 2;

Fig. 8 ein vereinfachtes Blockschaltbild einer zweiten bevorzugten Ausführungsform einer Ausfallsiche­ rungsschaltung nach der Erfindung;

Fig. 9 ein vereinfachtes Blockschaltbild einer dritten bevorzugten Ausführungsform einer Ausfallsiche­ rungsschaltung nach der Erfindung;

Fig. 10 ein vereinfachtes Blockschaltbild eines Logik­ kreises in Fig. 9;

Fig. 11 ein Zeitdiagramm für die dritte Ausführungsform nach Fig. 9;

Fig. 12 ein vereinfachtes Blockschaltbild einer vierten bevorzugten Ausführungsform der Erfindung;

Fig. 13(A) und 13(B) Flußdiagramme für die Erzeugung des Umschaltsteuersignals in der Ausfallsicherungsschaltung nach Fig. 12;

Fig. 14 ein Zeitdiagramm der Schaltung nach Fig. 12, und

Fig. 15 ein vereinfachtes Blockschaltbild einer fünften bevorzugten Ausführungsform der Erfindung.

In der in Fig. 2 dargestellten ersten bevorzugten Ausfüh­ rungsform der Erfindung enthält ein Hauptsteuerkreis 100 einen Mikrocomputer, der als Prozessoreinheit arbeitet und ein erstes Steuersignal b ausgibt. Der Mikrocomputer besteht aus einer zentralen Prozessoreinheit, einer Eingabe/ Ausgabe-Einheit, einem Nur-Lese-Speicher und einem Speicher mit wahlfreiem Zugriff. Der Hauptsteuer­ kreis 100 gibt ein Zustandssignal a an einen Hilfs­ kreis 110. Das Zustandssignal a hat eine vorbestimmte Fre­ quenz, die durch periodisches Invertieren eines Ausgangs in Übereinstimmung mit einem im Hauptsteuerkreis 100 enthaltenen Programm erzeugt wird. Der Vorgang beim Er­ zeugen des Zustandssignals a wird später noch genauer er­ läutert werden. Wenn der Hauptsteuerkreis 100 eine Fehl­ funktion zeigt, dann bleibt das Zustandssignal a für eine zu lange auf einem gerade eingenommenen Pegel oder es hat eine zu niedrige oder zu hohe Frequenz.

Der Hilfskreis 110 bildet einen Hilfssteuerkreis, der als Ausfallsicherungskreis wirkt und den Ausfall im Hauptsteuerkreis 100 auf der Grundlage des Zustandssignals a erkennt, in welchem Falle er als Ersatzsignal ein zweites Steuersignal c und ein Rechteckimpulssignal als Schaltsignal g erzeugt, das eine vorbestimmte Fre­ quenz hat. Ein Umschaltkreis 120 schaltet zwischen den Eingängen von Steuersignal b bzw. das zweite Steuersignal c liegt, in Abhängigkeit vom Zustand des Umschaltsteuersignals e um und schaltet einen von ihnen (Ausgangssteuersignal d) an die zu steuernde Einrichtung durch.

Ein Rücksetzkreis 130 spricht auf Abnormitäten im Hauptsteuerkreis 100, die durch das Zustandssignal a an­ gezeigt werden, an und setzt den Hauptsteuerkreis 100 zu­ rück.

Eine Umschaltsteuerschaltung 150 ist zwischen den Hilfskreis 110 und den Umschaltkreis 120 eingefügt, um das Umschaltsteuersignal e dem Umschaltkreis 120 nur dann zuzuführen, wenn die Periode des Schaltsignals g gleich oder ungefähr gleich einer vorbestimmten Periode ist.

Fig. 3 zeigt ein Beispiel des allgemeinen Aufbaus des Hauptsteuerkreises 100. In Fig. 3(A) ist mit 102 eine weitere Steuerschaltung bezeichnet, enthaltend eine zentrale Pro­ zessoreinheit zum Steuern der verschiedenen Elemen­ te und Funktionen des Hauptsteuerkreises 100, einen Nur- Lese-Speicher, der ein Steuerprogramm für die zu steuernde Einrichtung und das in Fig. 4 dargestellte Pro­ gramm speichert, einen Speicher mit wahlfreiem Zugriff zum zeitweiligen Speichern von Daten usw., und eine Eingabe/Ausgabe-Einheit zum Empfangen und Aussenden ver­ schiedener Arten von Signalen von und zu anderen, exter­ nen Kreisen, einschließlich der in Fig. 2 gezeigten Krei­ se. Während des Steuerungsablaufs für die zu steuernde Ein­ richtung setzt die weitere Steuerschaltung 102 einen vorbestimmten Wert in ein Register 104. Außerdem zählt ein weiterer Zeitgeber 106 Taktimpulse von der weiteren Steuerschaltung 102, um ein konstan­ tes Zeitintervall abzumessen, und ein Komparator 108 ver­ gleicht die Zahl der Taktimpulse, die von dem weiteren Zeitge­ ber 106 gezählt werden, mit dem im Register 104 eingestell­ ten Wert und erzeugt ein Unterbrechungssignal INT, wenn der Taktimpulszählerstand im weiteren Zeitgeber 106 mit dem im Re­ gister 104 eingestellten Wert übereinstimmt, wie in Fig. 3(B) gezeigt. Das Unterbrechungssignal INT wird der weiteren Steu­ erschaltung 102 zugeführt und als Rücksetzsignal verwendet, um den weiteren Zeitgeber 106 rückzustellen, und weiterhin als Unterbrechungssignal verwendet, wie weiter unten erläu­ tert.

Fig. 4 zeigt ein Programm zum Erzeugen des Zustandssi­ gnals a. Das Zustandssignalerzeugungsprogramm der weiteren Steuerschaltung 102 wird als Folge des Empfangs des Unterbrechungssignals INT in Betrieb gesetzt.

In einem Schritt S1 nach Fig. 4 bestimmt die weitere Steuerschaltung 102, ob das Zustandssignal a sich auf seinem hohen Pegel befindet. Danach endet das Programm, nachdem der Signalpegel in einem Schritt S2 oder S3 invertiert worden ist.

Fig. 5(A) zeigt ein Beispiel des allgemeinen Aufbaus des Hilfskreises 110 bei dieser Ausführungsform und erläu­ tert, wie die Periode des Zustandssignals a bestätigt wird. In Fig. 5(A) ist eine Steuerschaltung 112 im Hilfskreis 110 vorgesehen, die ähnlich der im Haupt­ steuerkreis 100 arbeitet. Außerdem ist ein Zeit­ geber 116 zum Zählen der Taktimpulse zur Messung einer konstanten Zeitperiode vorgesehen. Weiterhin ist ein Erfassungsregister 118 als Prüfeinrichtung vorgesehen, um die durch den Zeit­ geber 116 gezählte Zahl aufzunehmen, wenn das Zustandssignal a an­ steigt. Die Steuerschaltung 112 kann die Periode des Zustandssi­ gnals a messen, indem sie die Werte des Zeitgebers 116 no­ tiert. Mit anderen Worten, wenn die Werte zum Zeitpunkt A, B, C und D entsprechend aufeinanderfolgender Anstiegsflanken des Zustands­ signals a, wie in Fig. 5(B) gezeigt, aufgezeichnet werden, dann läßt sich die Periode des Zustandssignals a durch Ausrechnen von B-A, C-B, D-C, . . . erhalten.

Fig. 6 zeigt ein Programm zum Steuern des Umschaltkreises 120, wie es durch die Steuerschaltung 112 bewirkt wird. Der Umschaltvorgang wird durch die Anstiegsflanke des Zustandssignals a ausgelöst. Zunächst wird in einem Schritt S11 die Perio­ de des Zustandssignals a berechnet, und danach ermittelt in einem Schritt S12 die Steuerschaltung 112, ob die Periode gleich jener im Falle des normalen Betriebes (Pa) ist oder dicht an dieser liegt. Wenn dies der Fall ist, endet das Pro­ gramm. Ist dies jedoch nicht der Fall, dann geht die Rou­ tine zum Schritt S13 über, in welchem die Steuerschaltung 112 einen Zähler weiterstellt, der beobachtet, wie lang die ge­ messene Periode fehlerhaft war. Die obenbeschriebenen Zähler können durch Verwendung eines Teils des Speichers realisiert werden. Im nächsten Schritt S14 ermittelt die Steuerschaltung 112, ob der Zählerwert im obenbeschriebenen Zäh­ ler einen vorbestimmten Wert PV übersteigt. Ist dies der Fall, dann geht die Routine zu einem Schritt S15 über. An­ dernfalls endet das Programm. In dem Schritt S15 wird ein Kennzeichen, das in einem Speicherbereich der Steuerschaltung 112 enthalten ist, gesetzt, um anzuzeigen, daß der Hauptsteuerkreis 100 eine Fehlfunktion hat. Danach endet das Programm.

Der Unterbrechungssignalerzeugerkreis, der in Fig. 3(A) dargestellt ist, kann auch im Hilfskreis 110 ver­ wendet werden, um das rechteckförmige Schaltsignal g mit derselben vorbestimmten Frequenz zu erzeugen, so daß das­ selbe Programm, das in Fig. 4 dargestellt ist, von der Umschaltsteuerschaltung 150 verwendet werden kann, um den Hauptsteuerkreis 100 bezüglich Ausfall zu überprüfen.

Fig. 7 zeigt ein Beispiel des Umschaltsteuerkreises 150.

Wie Fig. 7 zeigt, sind ein Bandpaßfilter 151 und ein wie­ dertriggerbarer monostabiler Multivibrator 152 in Serie geschaltet. Das Schaltsignal g vom Hilfskreis 110 wird dem wiedertriggerbaren monostabilen Multivibrator 152 über das Bandpaßfilter 151 zugeführt. Das Ausgangssignal dieses Multivibrators 152 dient als Umschaltsteuersignal e. Der wieder­ triggerbare monostabile Multivibrator 152 wird immer dann getriggert, wenn ein Impuls empfangen wird, und er gibt ein Signal mit einem konstanten Signalpegel so lange ab, wie der Eingangsimpuls eine kürzere Periode aufweist, als sein quasistabiler Zustand. Das Umschaltsteuersignal e wird daher nur dann ausgegeben, wenn ein Schaltsignal g innerhalb eines vorgege­ benen Frequenzbereiches an der Umschaltsteuerschaltung 150 anliegt.

In der beschriebenen Ausfallsicherungsschaltung besteht nur eine geringe Wahrscheinlichkeit, daß ein Um­ schaltsteuersignal e für den Umschaltkreis 120 auf Grund eines Ausfalls des Hilfskreises 110 erzeugt wird. Selbst dann, wenn nämlich der Hilfskreis 110 in fehlerhafter Weise ein Schaltsignal g ausgeben sollte, gibt die Umschaltsteuerschaltung 150 kein Umschaltsteuersignal e ab, es sei denn in dem sehr seltenen Fall, daß das Schaltsignal g ein periodisches Signal innerhalb der Bandbreite des Bandpaßfilters 151 ist.

Fig. 8 zeigt eine zweite bevorzugte Ausführungsform der Ausfallsicherungsschaltung nach der vorliegenden Erfindung. Diese Ausfallsicherungsschaltung nach Fig. 8 wirkt auch bei solchen Ausfällen, wie Unterbrechung der Signalleitung für das Umschaltsteuersignal e. Wenn der Umschaltkreis 120 so aufgebaut ist, daß das erste Steuersignal b vom Hauptsteuerkreis 100 als Aus­ gangssteuersignal d ausgewählt wird, wenn das Umschaltsteuersi­ gnal e inaktiv ist oder auf seinem niedrigen Pegel liegt, kann ein Ableitwiderstand 160 zwischen die das Umschaltsteuersignal e führende Signalleitung und Masse geschaltet werden. Ande­ rerseits, wenn das erste Steuersignal b vom Hauptsteuerkreis 100 als Ausgangssteuersignal d gewählt wird, wenn das Umschaltsteuer­ signal e aktiv oder auf hohem Pegel ist, kann ein Widerstand 170 zwischen eine positive Versorgungsspannungsquel­ le und die Signalleitung für das Umschaltsteuersignal e geschal­ tet werden. In jedem Falle ist es vorteilhaft, einen sol­ chen Widerstand in der Nähe des Umschaltkreises 120 anzu­ ordnen.

In der beschriebenen Schaltung wählt der Umschalt­ kreis 120 das erste Steuersignal b als Ausgangssteuersignal d aus, um die normale Steuerung durch den Hauptsteuerkreis 100 fortzusetzen, selbst wenn die Umschaltsteuerschaltung 150 oder die Leitung für das Umschaltsteuersignal e einen Ausfall zeigen sollten.

Fig. 9 zeigt eine dritte bevorzugte Ausführungsform einer Ausfallsicherungsschaltung nach der vorliegenden Erfindung.

Der Hilfskreis 110 bei dieser Ausführungsform gibt das zweite Steuersignal als Ersatzsignal und eine Vielzahl von Schaltmustersignalen (Logik­ signalen) SP1, SP2, . . ., SPN ab, wenn festgestellt wird, daß der Hauptsteuerkreis 100 fehlerhaft arbeitet. Der Hauptsteuer­ kreis 100, der Umschaltkreis 120 und der Rücksetzkreis 130 sind nämlich in der gleichen Weise wie in der bereits be­ schriebenen ersten bevorzugten Ausführungsform ausgebil­ det.

Wie Fig. 9 zeigt, ist ein Logikkreis 140 als Umschaltsteuerschaltung zwischen den Hilfskreis 110 und den Umschaltkreis 120 geschaltet, um das Umschaltsteuersignal e für den Umschaltkreis 120 nur dann zu erzeugen, wenn die Vielzahl der Logiksignale SP1 bis SPN in einer vorbestimmten logischen Kombination empfan­ gen werden.

Es sei bemerkt, daß das Zustandssignal a bei dieser Aus­ führungsform in der gleichen Weise erzeugt wird, wie in der ersten Ausführungsform, wozu nochmals auf Fig. 3(A) Bezug genommen werden soll.

Fig. 10 zeigt ein Beispiel des inneren Aufbaus der Umschaltsteuer­ schaltung 140 nach Fig. 9.

In dem Beispiel in Fig. 10 sind drei Signalleitungen für die Logiksignale SP1, SP2, SP3 eingezeichnet und das zweite Steuersignal c wird als Ausgangssteuersignal d ausgewählt, wenn der Aus­ gangspegel, d. h. das Umschaltsteuersignal e von der Umschaltsteuerschaltung 140 niedrigen Pegel hat.

Die Umschaltsteuerschaltung 140 enthält erste und zweite Inverter 141, 142, die mit die Logiksignale SP1 und SP3 führenden Leitungen verbunden sind, und eine NAND-Schaltung 143 mit drei Eingängen, von denen zwei mit den Invertern 141, 142 verbunden sind.

Es sei betont, daß der Ausgangspegel der NAND-Schaltung 143 nur dann niedrig ist, wenn die drei Eingangsanschlüs­ se gleichzeitig hohen Pegel haben. Die vorbestimmte logi­ sche Signalkombination muß daher an der ersten Signallei­ tung (Logiksignal SP1) einen niedrigen, an der zweiten Signalleitung (Logiksignal SP2) einen ho­ hen und an der dritten Signalleitung (Logiksignal SP3) einen niedrigen Pegel haben, um ein Umschaltsteuersignal e niedrigen Pegels zu erzeu­ gen.

Fig. 11 zeigt ein Zeitdiagramm für die in Fig. 9 darge­ stellten Schaltkreise. In Fig. 11 wird eine Fehlfunktion des Systems zum Zeitpunkt F nach einer vorbestimmten Zeit­ dauer nach der letzten Zustandsänderung des Zustandssi­ gnals a nach Ausfall des Hauptsteuerkreises 100 erkannt. Zum Zeitpunkt F erzeugt der Hilfskreis 110 die Logiksignale SP1, SP2 und SP3 im folgenden Muster niedrig (inaktiv) für die erste Signalleitung (Logiksignal SP1), hoch (aktiv) für die zweite Signalleitung (Logiksignal SP2) und niedrig (inaktiv) für die dritte Signalleitung (Logiksignal SP3). Da die Umschaltsteuerschaltung 140 das Um­ schaltsteuersignal e als Folge des vorbestimmten Musters der drei Logiksignale SP1, SP2, SP3 deaktiviert, wird das zweite Steuer­ signal c als Ausgangssteuersignal d anstelle des ersten Steuersig­ nals b ausgewählt.

In der beschriebenen Ausfallsicherungsschaltung besteht nur eine geringe Wahrscheinlichkeit, daß ein Umschaltsteuersignal e niedrigen Pegels aufgrund eines Ausfalls im Hilfskreis 110 erzeugt wird. Dies ist darin begründet, daß der Um­ schaltkeis 120 das zweite Steuersignal c als Ausgangssteuer­ signal d nur dann auswählt, wenn die Schaltmustersignale SP1, SP2, SP3 in das gegebene Muster niedrig (inaktiv) für die erste Signalleitung SP1, hoch (aktiv) für die zwei­ te Signalleitung und niedrig (inaktiv) für die dritte Sig­ nalleitung fallen.

Die Ausfallsicherungsschaltung dieser Ausführungsform weist eine wesentlich verringerte Wahrscheinlichkeit einer feh­ lerhaften Ausfallsicherung auf, selbst wenn der Hilfs­ kreis 110 selbst einen Ausfall zeigen sollte, während der Hauptsteuerkreis 100 weiterhin normal arbeitet, weil eine geringere Wahrscheinlichkeit dafür besteht, daß die beschriebene Mehrzahl von Mustersignalen in dem speziellen Muster (beipielsweise niedrig/hoch/niedrig) auftreten.

Fig. 12 zeigt eine vierte bevorzugte Ausführungsform einer Ausfallsicherungsschaltung nach der vorliegenden Erfindung.

Bei dieser Ausführungsform wird ein Ausfall des Haupt­ steuerkreises 100 mittels des Ausgangs des Rücksetzkreises 130 erkannt. Es sei beachtet, daß eine detaillierte Beschrei­ bung hier nicht wiederholt zu werden braucht, da die ein­ zelnen Schaltkreise, die in Fig. 12 dargestellt sind, in der gleichen Weise, wie in der dritten Ausführungsform be­ schrieben, ausgeführt sind.

Wie Fig. 12 zeigt, wird das Zustandssignal a nicht dem Hilfs­ kreis 210 zugeführt, sondern nur dem Rücksetzkreis 130. Der Aushilfskreis 210 empfängt stattdessen das Rücksetz­ signal f vom Rücksetzkreis 130. Mit anderen Worten, der Hilfskreis 210 erkennt den Ausfall des Hauptsteuerkreises 100 durch Zählen der Anzahl, wie oft der Rücksetzkreis 130 das Rücksetzsignal f abgibt, wenn der Hauptsteuerkreis 100 eine Fehlfunktion hat.

Die Fig. 13(A) und 13(B) zeigen zusammen ein Verfahren zum Erkennen eines Ausfalls des Hauptsteuerkreises 100, wie es durch den Hilfskreis 210 ausgeführt wird.

Gemäß Fig. 13(A) wird ein Rücksetzzähler weitergeschaltet, um die Zahl von Rücksetzvorgängen zu zählen die als Fol­ ge des Empfangs eines jeden Rücksetzsignals ausgeführt werden. Der Rücksetzzähler kann entweder durch Software oder durch Hardware realisiert werden. Das Verfahren nach Fig. 13(B) wird andererseits mit einer vorbestimmten Häu­ figkeit ausgeführt.

Genauer gesagt, in einem Schritt S21 nimmt der Hilfs­ kreis 210 auf den Rücksetzzähler Bezug und ermittelt, ob der Zählwert einen vorbestimmten Wert PV übersteigt. Wenn im Schritt S21 die Antwort "Ja" ist, d. h., wenn der Hilfskreis 210 erkennt, daß der Hauptsteuerkreis 100 eine Fehlfunktion zeigt, dann geht die Routine auf einen Schritt S22 über, in dem der Hilfskreis 210 das vorbestimmte Signal­ muster an den Signalleitungen (Logiksignale SP1, SP2, . . ., SPN) erzeugt. Ist die Antwort im Schritt S21 aber "Nein" oder nach Aus­ führung des Schritts S22 geht die Routine auf den Schritt S23 über, wo der Inhalt des Rücksetzzählers gelöscht wird, und das Programm nach Fig. 13(B) endet dann.

Fig. 14 zeigt ein Zeitdiagramm für typische Schaltkreise in Fig. 12.

In Fig. 14 wird der Ausfall des Hauptsteuerkreises zum Zeitpunkt G erkannt, nachdem eine gegebene Anzahl von Rück­ setzsignalen f auf Grund der Abwesenheit des Zustandssi­ gnals a erzeugt worden sind. Zum Zeitpunkt G setzt der Hilfskreis 210 die drei Signalleitungen (Logiksignale SP1, SP2 und SP3) auf die inaktiven, aktiven bzw. inaktiven Pegel (niedrig/ hoch/niedrig).

Die Umschaltsteuerschaltung 140 deaktiviert daher das Umschaltsteuersignal e, so daß das Ausgangssteuersignal d auf das zweite Steuersignal c umgeschaltet wird. Auf diese Weise wird die gleiche Wir­ kung wie bei dem dritten bevorzugten Ausführungsbeispiel erreicht.

Fig. 15 zeigt eine fünfte bevorzugte Ausführungsform für eine Ausfallsicherungsschaltung nach der vorliegenden Erfin­ dung.

Die Ausfallsicherungsschaltung nach Fig. 15 ist dazu bestimmt, solche Probleme, wie beispielsweise einen Bruch der Lei­ tung für das Umschaltsteuersignal e zu lösen.

Wenn der Umschaltkreis 120 so aufgebaut ist, daß er das erste Steuersignal b vom Hauptsteuerkreis 100 als Ausgangssteuer­ signal d auswählt, wenn das Umschaltsteuersignal e deaktiviert ist, dann ist der Ableitwiderstand 160 zwischen die Signal­ leitung des Umschaltsteuersignals e und Masse in der gleichen Weise geschaltet, wie in der zweiten bevorzugten Ausfüh­ rungsform nach Fig. 8.

Wenn andererseits der Umschaltkreis 120 so gestaltet ist, daß er das erste Steuersignal b vom Hauptsteuerkreis 100 als Ausganssteuersignal d auswählt, wenn das Umschaltsteuersignal e akativiert ist, dann ist der Widerstand 170 zwischen die Signalleitung des Umschaltsteuersignals e und eine positive Spannungsquelle geschaltet. In beiden Fällen ist es vorteilhaft, diesen Widerstand in der Nähe des Umschalt­ kreises 120 anzuordnen.

Da das erste Steuersignal b als Ausgangssteuersignal d selbst im Falle eines Ausfalls in der Umschaltsteuerschaltung 140 und/oder in der Signalleitung des Umschaltsteuersignals e ausgewählt wird, kann ein Ausfall des Hilfskreises 110 den normalen Betrieb des Hauptsteuerkreises 100 nicht stören.

Die vorliegende Erfindung kann auf verschiedene Arten von Steuersystemen angewendet werden. Unter solchen Anwendungs­ fällen kann die Erfindung in gleicher Weise sowohl bei Sy­ stemen gebraucht werden, bei denen der Hauptsteuerkreis und der Hilfskreis die gleichen Funktionen ausführen, als auch bei Systemen, wo der Hilfskreis, wenn er den Hauptsteu­ erkreis ersetzt, nur die Minimalforderungen der zu steuern­ den Einrichtung erfüllt.

Wenn beispielsweise die vorliegende Erfindung auf ein Steu­ erungssystem für ein Kraftfahrzeug angewendet wird, kann beispielsweise der Hauptsteuerkreis den Zündzeitpunkt und den Kraftstoffeinspritzzeitpunkt usw. entsprechend den Ma­ schinenbetriebsbedingungen steuern und der Hilfskreis kann Daten bereitstellen, die einer festen Einspritzdauer und festen Zündzeitpunkten entsprechen usw., wenn der Hauptsteuerkreis ausfällt. Obgleich bei jeder hier darge­ stellten Ausführungsform nur eine einstufige Ausfallsi­ cherungsschaltung mit dem Hilfskreis dargestellt ist, kann doch sehr einfach auch jede gewünschte Zahl von Stufen, je nach Bedarf, installiert werden.

Obgleich in den ersten und zweiten dargestellten Ausfüh­ rungsformen nur eine Umschaltsteuerschaltung vorgesehen ist, könnte sehr einfach auch eine Mehrzahl solcher Umschalt­ steuerschaltungen vorgesehen werden, so daß eine Kom­ bination dieser Ausgänge den Schaltbetrieb in dem Umschalt­ kreis triggern könnte. Die Zuverlässigkeit des Steuerungs­ systems könnte dadurch bemerkenswert gesteigert werden.

Weiterhin sei betont, daß, obgleich die Umschaltsteuer­ schaltung nach Fig. 7 ein Bandpaßfilter enthält, anstel­ le dessen auch ein Hochpaßfilter verwendet werden könnte, wenn der Hilfskreis meistens nur in der Weise ausfällt, daß die Periode des Schaltsignals steigt oder wenn die Ausgabe des Umschaltsteuersignals überhaupt ausfällt.

Claims (13)

1. Ausfallsicherungschaltung für ein Steuersystem, enthaltend:

• A) einen Hauptsteuerkreis (100), der ein erstes Steuersignal (b) erzeugt,
• B) einen Hilfskreis (110), der bei Ausfall des Hauptsteuerkreises (100) ein zweites Steuersignal (c) erzeugt, und
• c) einen Umschaltkreis (120) zum Durchschalten des zweiten Steuersignals (c) anstelle des ersten Steuersignals (b) an eine zu steuernde Einrichtung, sobald er an seinem Steuereingang ein Umschaltsteuersignal (e) erhält,
  dadurch gekennzeichnet, daß der Hilfskreis (110) enthält:
• D) eine Prüfeinrichtung (118), die bei Auftreten einer Fehlfunktion im Hauptsteuerkreis (100) ein Fehlersignal abgibt, und
• E) eine Steuerschaltung (112) mit einem Schaltsignalerzeuger, der mit dem Ausgang der Prüfeinrichtung (118) verbunden ist und ein Schaltsignal (g) einer speziellen Charakteristik erzeugt, sobald er das Fehlersignal, erhält,
  und daß sie ferner
• F) eine Umschaltsteuerschaltung (150; 140) enthält, dem das Schaltsignal (g) zugeführt ist und der das Umschaltsteuersignal (e) nur dann erzeugt, wenn das Schaltsignal (g) fehlerfrei ist.

2. Ausfallsicherungsschaltung nach Anspruch 1, dadurch gekennzeichnet, daß die spezielle Charakteristik des Schaltsignals (g) eine vorbestimmte Frequenz ist und der Umschaltsteuerkreis (150) nur auf Signale innerhalb eines gewissen Frequenzbereichs um die vorbestimmte Frequenz anspricht.

3. Ausfallsicherungsschaltung nach Anspruch 1, dadurch gekennzeichnet, daß das Schaltsignal (g) spezieller Charakteristik aus einer Mehrzahl von parallelen Logiksignalen (SP1, SP2, SP3 . . . SPN) in einer vorbestimmten Kombination logischer Pegel besteht.

4. Ausfallsicherungsschaltung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Hilfskreis (110) eine Fehlfunktion des Hauptsteuerkreises (100) an Hand der Periode eines Zustandssignals (a) erkennt, das während der Erzeugung des ersten Steuersignals (b) durch den Hauptsteuerkreis (100) periodisch erzeugt wird.

5. Ausfallsicherungsschaltung nach Anspruch 4, dadurch gekennzeichnet, daß der Hilfskreis (110) als Fehlfunktion des Hauptsteuerkreises (100) erkennt, wenn die Abweichung der Periode des Zustandssignals (a) von der vorbestimmten Periode länger als ein vorbestimmtes Zeitintervall anhält.

6. Ausfallsicherungsschaltung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß der Hilfskreis (110) die Fehlfunktion des Hauptsteuerkreises (100) daran erkennt, wie oft der Hauptsteuerkreis (100) rückgesetzt wird.

7. Ausfallsicherungsschaltung nach Anspruch 4 oder 5, dadurch gekennzeichnet, daß der Hauptsteuerkreis (100) enthält:
eine weitere Steuerschaltung (102) mit einem Mikroprozessor, ein Register (104) zur Aufnahme und vorübergehenden Speicherung eines von der weiteren Steuerschaltung (102) gelieferten Wertes, einen weiteren Zeitgeber (106) zum Zählen von Taktimpulsen, einen Komparator (108) zum Vergleichen des in dem Register (104) gespeicherten Wertes mit der Zahl der vom weiteren Zeitgeber (106) gezählten Taktimpulse und zum Abgeben eines Rücksetzsignals an den weiteren Zeitgeber (106) und an die weitere Steuerschaltung (102), um dadurch die Änderung des Pegels des Zustandssignals (a) hervorzurufen.

8. Ausfallsicherungsschaltung nach Anspruch 7, dadurch gekennzeichnet, daß die erste Steuerschaltung (112) des Hilfskreises (110) den gleichen Aufbau wie die weitere Steuerschaltung (102) im Hauptsteuerkreis (100) aufweist und daß der Hilfskreis (110) weiterhin enthält:
einen Zeitgeber (116) zum Zählen von Taktimpulsen, als Prüfeinrichtung (118) ein Erfassungsregister, das den Zählwert des Zeitgebers (116) vorübergehend als Folge der Anstiegsflanke des Zustandssignals (a) vom Hauptsteuerkreis (100) speichert, wobei die Steuerschaltung (112) des Hilfskreises (110) die Werte des Erfassungsregisters (118) an aufeinanderfolgenden Anstiegsflanken des Zustandssignals (a) ausliest und diese vergleicht, um so die Periode des Zustandssignals (a) zu ermitteln.

9. Ausfallsicherungsschaltung nach Anspruch 2, dadurch gekennzeichnet, daß die Umschaltsteuerschaltung (150) umfaßt:
ein Bandpaßfilter (151), das das Schaltsignal (g) aufnimmt und die Komponenten desselben, die in ein vorbestimmtes Frequenzband fallen, überträgt, und einen dem Bandpaßfilter (151) nachgeschalteten, wiedertriggerbaren monostabilen Multivibrator (152), der das Umschaltsteuersignal (e) an den Umschaltkreis (120) abgibt.

10. Ausfallsicherungsschaltung nach Anspruch 1, dadurch gekennzeichnet, daß der Umschaltkreis (120) das erste Steuersignal (b) durchschaltet, wenn das Umschaltsteuersignal (e) auf einem geerdeten Spannungspegel ist, und daß er weiterhin einen Ableitwiderstand (160) aufweist, der zwischen seinen Steuereingang und Masse geschaltet ist.

11. Ausfallsicherungsschaltung nach Anspruch 1, dadurch gekennzeichnet, daß der Umschaltkreis (120) das erste Steuersignal (b) durchschaltet, wenn das Umschaltsteuersignal (e) auf dem höheren von zwei Spannungspegeln ist, und daß er weiterhin einen Widerstand (170) aufweist, der zwischen seinen Steuereingang und eine positive Versorgungsspannungsquelle geschaltet ist.

12. Ausfallsicherungsschaltung nach Anspruch 3, dadurch gekennzeihcnet, daß die Umschaltsteuerschaltung (140) einen Logikkreis (141 bis 143) mit mehreren Eingängen enthält, von denen jeder eines der parallelen Logiksignale (SP1 . . . SPN) vom Hilfskreis (110) aufnimmt, und der das Umschaltsteuersignal (e) abgibt, wenn die Kombination der logischen Pegel der parallelen Logiksignale (SP1 . . . SPN) einen vorbestimmten logischen Zustand erfüllt.

13. Ausfallsicherungsschaltung nach Anspruch 12, dadurch gekennzeichnet, daß der Hilfskreis (110) parallel drei Logiksignale (SP1, SP2, SP3) mit niedrigem, hohem bzw. niedrigem Pegel abgibt und der Logikkreis (141 bis 143) zwei Inverter (141, 142), die die zwei Logiksignale (SP1, SP3) niedrigen Pegels aufnehmen, und eine NAND-Schaltung (143), die die zwei invertierten Logiksignale und das verbleibende Logiksignal (SP2) hohen Pegels aufnimmt, enthält.