DE3587312T2 - Mikrorechnergesteuertes ausfallsicheres Gerät mit Kurzschlusserkennung für elektronische Steuerschaltung. - Google Patents

Description

• Die Erfindung bezieht sich auf fehlersichere Einrichtungen für elektronische Steuerschaltungen der Art, wie sie im US- Patent Nr. 4 398 233 (erteilt für Bala et al) beschrieben sind.
• Die Verwendung elektronischer Steuerschaltungen ist im Stande der Technik weit verbreitet und verbreitet sich noch stärker mit Abnahme der Kosten und Größe sowie Zunahme der Leistung der elektronischen Bauelemente. Derartige Schaltungen wurden benutzt zur Steuerung verschiedener Geräte wie Mikrowellenöfen, Industrierobotern, chemische Verarbeitungsanlagen, Industrieöfen, medizinische Lebenserhaltungssysteme und Fluggeräte wie etwa das Space Shuttle. Da die solchen Geräten übertragene Verantwortung zunimmt, gilt dies auch für die Notwendigkeit, daß solche Schaltungen fehlersicher sind. Wenn beispielsweise die Steuerschaltung eines großen Industrieofens, wie in einem Elektrizitätswerk, nicht die Brennstoffzufuhr zum Brenner des Ofens ausschaltet, wenn die Flamme erloschen ist, dann kann eine Explosion die Folge sein, welche Millionenschäden verursachen und viele Menschenleben kosten kann. Es ist daher wichtig, elektronische Steuerschaltungen so zu konstruieren, daß sie, falls sie ausfallen, dies auf eine sichere Weise tun.
• In dem US-Patent Nr. 4 398 233 (Bala et al) ist eine Fehlersicherheits-Steuerschaltung beschrieben, welche die einer gesteuerten Schaltung zugeführte Leistung nur dann liefert, wenn ein Fehlersicherheitssignal innerhalb eines vorbestimmten Frequenzbereiches liegt. Sollte die das Fehlersicherheitssignal erzeugende Schaltung einen Fehler bekommen, dann würde die Frequenz dieses Signals aus dem vorbestimmten Frequenzbereich herausgeraten, und die Leistung würde abgeschaltet. Zur Überwachung der Betriebszustände ist ein Mikroprozessor vorgesehen. Wenn ein unerwünschter Betriebszustand auftreten sollte, würde der Mikroprozessor dafür sorgen, daß das Fehlersicherheitsgerät die Leistung von der gesteuerten Schaltung abschaltet. Wenn jedoch eine vorübergehende äußere Leistungsunterbrechung auftreten würde, würde die Mikroprozessorspeicherung des unerwünschten Betriebszustandes verlorengehen. Bei Wiederkehr der äußeren Leistung arbeitet der Mikroprozessor von einem leeren Gedächtnis aus und liefert Leistung an die gesteuerte Schaltung, selbst wenn vor der Leistungsunterbrechung ein unerwünschter Betriebszustand geherrscht hat. Dies kann gefährlich oder sogar katastrophal werden.
• Wenn weiterhin in der gesteuerten Schaltung ein Kurzschluß aufgetreten war, kann die Ätzung der Schaltungsplatine des fehlersicheren Gerätes beschädigt werden, wenn die Leistung eingeschaltet wird, und dabei kann das Gerät außer Funktion gesetzt werden. Weiterhin könnte ein nachlässiger Umgang die Fehlersicherheit zunichte machen, indem die Rücksetztaste dauernd gedrückt oder festgeklemmt wird.
Zusammenfassung der Erfindung
• Die Erfindung schafft ein Fehlersicherheitsgerät zum Abschalten der Stromzufuhr von einer Schaltung, wie es im Anspruch 1 definiert ist. Ausführungsformen dieser Erfindung können ein Fehlersicherheitsgerät einschließen, das einen nichtflüchtigen Speicher und eine Kurzschlußdetektorschaltung enthält. Der nichtflüchtige Speicher wird vorteilhafterweise benutzt, um an unerwünschte Betriebszustände zu erinnern, selbst wenn die äußere Stromversorgung ausfällt. Damit wird es jedesmal dann, wenn infolge eines unerwünschten Betriebszustandes die Fehlersicherheitsschaltung eine Unterbrechung der Stromzufuhr zu den elektronisch gesteuerten Schaltungen veranlaßt, notwendig, eine Rücksetzschaltung zur Wiederherstellung der Stromversorgung manuell zu betätigen. Der nichtflüchtige Speicher erlaubt auch ein Sammeln von Daten, die nützlich sein können zur Feststellung des Grundes für einen unsicheren Zustand, der zu einem Schaden geführt hat. Der nichtflüchtige Speicher zeichnet das Auftreten von Abschaltungen, die Gründe dafür und die Zeiten, wo dies auftrat, neben anderen Dingen auf. Sollte also eine Explosion auftreten, dann könnten Fachleute die im nichtflüchtigen Speicher gespeicherten Daten untersuchen, und dies würde bei ihren Nachforschungen sehr hilfreich sein.
• Es kann auch ein Kurzschlußdetektor mit einem Strombegrenzer und ein Nebenschluß zur Ableitung des Stroms vom Kurzschlußbegrenzer vorgesehen werden. Der Kurzschlußbegrenzer hat einen Widerstand, welcher den Strom begrenzt, wenn ein hoher Stromfluß durch ihn erfolgt, und sein Widerstand nimmt erheblich ab, wenn er sich infolge dieses Stromflusses aufheizt. Das Nebenschlußelement erhält bei normalen Betriebsbedingungen nur einen anfänglichen hohen Anlaufstrom. Liegt in der gesteuerten Schaltung ein Kurzschluß vor, dann bleibt der den Strombegrenzer durchfließende Strom hoch, und es würde weiterhin Strom zum Nebenschlußelement abgeleitet. Dieses sendet ein Signal an den Mikroprozessor, wenn es Strom erhält. Wird dem Mikroprozessor das Signal über eine vorbestimmte Zeitbegrenzung hinaus zugeführt, dann wird ein unerwünschter Betriebszustand angezeigt.
• Der Mikroprozessor sorgt dafür, daß die Fehlersicherheitsschaltung die Stromzufuhr zu der gesteuerten Schaltung unterbricht, um Schaden zu verhindern, der durch den Kurzschluß auftreten könnte. Der Mikroprozessor vermerkt ferner das Auftreten der Stromunterbrechung und daß der Grund ein Kurzschluß in der gesteuerten Schaltung gewesen ist.
Kurzbeschreibung der Zeichnung
• Die Figur zeigt ein Schaltungsdiagramm eines mikroprozessorgesteuerten fehlersicheren Gerätes gemäß der Erfindung.
Detaillierte Beschreibung der bevorzugten Ausführungsform
• Die Figur zeigt eine Fehlersicherheits-Einrichtung 10 gemäß der Erfindung. Diese ist so konstruiert, daß sie die Stromzufuhr von einer gesteuerten Schaltung 12 abtrennt oder abschaltet, wenn ein unerwünschter Betriebszustand auftritt, wie etwa ein Funktionsfehler des Computers 14, der für die Regelung der Schaltung 12 benutzt wird. Andere unerwünschte Betriebszustände können entsprechend der zu steuernden Schaltung festgelegt werden und dem Computer 14 über die Leitung 13 mitgeteilt werden. Wenn z. B. die gesteuerte Schaltung einen Ofen betreibt, kann eine Stromabschaltung veranlaßt werden, wenn während des Anlaufvorgangs kurzzeitig eine falsche Flamme auftritt, oder wenn der Luftströmungsschalter während des Heizzyklus öffnet oder wenn die Flamme während des Heizzyklus erlischt oder wenn andere Sicherheits- und Zuverlässigkeitstests fehlschlagen.
• Wird die Fehlersicherheits-Einrichtung zur Regelung eines Brennersteuersystems benutzt, dann könnte die gesteuerte Schaltung 12 Brennstoff-Magnetventile für die Regelung der Brennstoffzufuhr zu einem Brenner beinhalten.
• Die Einrichtung 10 besteht aus einem Fehlersicherheitssignal- Generator 16, einer Stromzufuhrsteuerschaltung 18 zur Steuerung der Stromzuführung zu der Schaltung 12. Der Generator 16 erzeugt ein Fehlersicherheitssignal, welches normalerweise zwischen Signalpegeln mit einer Frequenz wechselt, die in einem vorbestimmten Bereich zwischen einem maximalen und einem minimalen Frequenzwert liegt, falls nicht ein unerwünschter Betriebszustand vorliegt. Die Steuerschaltung 18 reagiert auf das Ausgangssignal des Generators 16 und liefert nur dann Betriebsleistung an die gesteuerte Schaltung 12, wenn die Frequenz des Fehlersicherheitssignals innerhalb des vorbestimmten Bereichs liegt.
• Der Generator 16 enthält einen Computer 14, der eine Folge von mehr Bits erzeugt, in welcher ein vorbestimmtes Bitmuster mit einer Frequenz innerhalb eines Bereiches auftritt, welcher dem vorbestimmten Bereich des Fehlersicherheitssignals entspricht, sofern im Computer kein unerwünschter Betriebszustand festgestellt wird. Der Generator 16 enthält auch einen Komparator 20, dem die vom Computer 14 erzeugte Mehrbitfolge zugeführt wird und der wiederholtermaßen diese Folge mit einem Bezugsmuster vergleicht und ein Ausgangssignal erzeugt, dessen Signalpegel sich ändert, wenn die Folge und das Bezugsmuster übereinstimmen.
• Die Schaltung 18 enthält ein elektromechanisches Relais 22 für die Stromzuführung zur gesteuerten Schaltung 12. Das Relais 22 enthält eine Wicklung 24 und Arbeitskontakte 28 und 30, welche geöffnet bleiben, bis der Wicklung 24 ein ausreichender Strom zugeführt wird, um den Spalt zwischen den beiden Kontakten zu schließen. Die Schaltung 18 enthält auch eine Relaisbetätigungsschaltung 32 mit einem Tiefpaß 38, um nur Änderungen im Ausgangssignal des Komparators 20 zu übertragen, die unterhalb einer Maximalfrequenz des vorbestimmten Frequenzbereiches des Fehlersicherheitssignals liegen. Die Betätigungsschaltung 32 ist so konstruiert, daß sie der Wicklung 24 genügend Strom zuführt, um die Arbeitskontakte 28 und 30 nur dann geschlossen zu halten, wenn die beiden folgenden Bedingungen erfüllt sind: (1) an den Netzanschlüssen 34 und 36 liegt Spannung und (2) das durch den Computer 14 bestimmte Ausgangssignal des Komparators 20 hat eine Frequenz im richtigen vorbestimmten Bereich. Die Wicklung 24 erhält dann nicht genügend Strom, um die Kontakte 28 und 30 zu schließen, wenn dem Tiefpaß 38 kein geeignetes Frequenzsignal zugeführt wird. Die Schaltung 18 enthält auch eine Rücksetzschaltung 44, die es einem Benutzer ermöglicht, von Hand eine Rücksetztaste zu drücken, die dem Computer 14 angibt, daß die Stromabschaltung beendet werden soll. Der Computer 14 beendet die Stromabschaltung, wenn die Rücksetztaste 43 kurzzeitig gedrückt wird. Wenn jedoch die Taste klemmt oder über eine längere Zeit gedrückt wird, dann hält der Computer die Stromabschaltung aufrecht, indem er das Fehlersicherheitssignal innerhalb des richtigen Frequenzbereiches nicht erzeugt. Durch diesen Aspekt der Erfindung wird die fehlersichere Einrichtung praktisch sicher gegen Täuschung durch den Benutzer.
• Die zentrale Einheit des Computers 14 ist ein Mikroprozessor 46, der hier in der bevorzugten Ausführungsform ein Typ 80C39 ist. Der Computer 14 enthält auch einen RAM-Speicher 48, einen nichtflüchtigen Speicher 49, einen ROM-Speicher 50, eine Parallel-Eingangs/Ausgangs-Anschlußeinheit 52 und eine Serien-Eingangs/Ausgangs-Anschlußeinheit 54 als Interface zum Anschluß des Computers 14 an ein Display 55. Der Mikroprozessor 46, der RAM-Speicher 48, der nichtflüchtige Speicher 49, der ROM-Speicher 50, die Parallel-Eingangs/Ausgangs-Anschlußeinheit 52 und die Serien-Eingangs/Ausgangs-Anschlußeinheit 54 sind alle über einen Datenbus 56 und einen Adressen- und Steuerbus 58 miteinander verbunden. Die Anschlußeinheit 52 ist vorzugsweise vom Typ 81C55. Der Datenbus 56 erlaubt einen Austausch von 8-Bit-Paralleldatensegmenten, sogenannten Bytes, zwischen Mikroprozessor 46 und einer der anderen Komponenten, welche über diesen Datenbus verbunden sind. Über den Adressen- und Steuerbus 58 kann der Mikroprozessor 46 die verschiedenen an den Bus angeschlossenen Einrichtungen adressieren und Steuersignale können zwischen dem Mikroprozessor und den anderen mit dem Bus 58 verbundenen Komponenten übertragen werden. An den Mikroprozessor 46 ist ein Netzleitungsunterbrecher 60 angeschlossen, der einen Transformator enthält, welcher über die Wechselstromnetzleitung Netzstromsignale erhält. Diese erhaltenen Signale werden doppelweggleichgerichtet, und während des normalen 60 Hz-Betriebes der Netzspannung schickt der Unterbrecher alle 8,3 Millisekunden einen Impuls an den Mikroprozessor 46. Beim Abschalten der Netzspannung schickt der Unterbrecher 60 keine Signale mehr an den Mikroprozessor und dieser veranlaßt sofort, daß die im nichtflüchtigen Speicher 49 gespeicherte Information auf Dauer erhalten bleibt. Der nichtflüchtige Speicher 49 arbeitet als Reservespeicher, der dieselbe Information wie der RAM-Speicher 48 speichert. Dadurch bleibt die gesamte laufende Information erhalten, selbst bei einem Netzausfall. Ein Taktgeber 59, der einen Schwingkristall enthält, liefert Taktimpulse an den Mikroprozessor 46.
• Der Mikroprozessor 46 liefert alle 8,3 Millisekunden ein Folgedatenbit eines 3-Bit-Musters "011" an eine Datenleitung 62, wenn im Betrieb des Computers 14 kein unerwünschter Betriebszustand festgestellt wird. Der Mikroprozessor 46 schickt auch während der Zeit, wo jeder der Datenbits auf der Datenleitung 62 anliegt, einen kurzen Auswertimpuls auf eine Auswertleitung 64. Während des normalen Betriebs sendet also der Computer 14 kontinuierlich eine Folge von durch die Auswertimpulse erfaßten Datenbits mit einem sich wiederholenden Muster von "011" an den Eingang des Komparators 20.
• Der Komparator 20 enthält ein Schieberegister 66 und eine Vergleichsschaltung 68. Das Schieberegister ist mit einem Seriendateneingang an die Datenleitung 62 und mit einem Auswertimpulseingang an die Auswertleitung 64 angeschlossen. Dadurch wird jeder Wert auf der Datenleitung 62 in das Schieberegister 66 eingegeben, wenn auf der Leitung 64 ein Auswertimpuls vorhanden ist. Das Schieberegister 66 ist ein 4-Bit- Schieberegister und hat einen 4-Bit-Parallelausgang. Die Vergleichsschaltung 68 ist eine 4-Bit-Vergleichsschaltung und hat zwei parallele 4-Bit-Eingänge, von denen einer mit einem die Bits "0110" enthaltenden Referenzmuster fest verdrahtet ist. Dieses fest verdrahtete Referenzmuster wird der Vergleichsschaltung 68 durch Anschluß des ersten und letzten Bits seines Referenzeingangs an Masse und der beiden mittleren Bits dieses Referenzeingangs an eine positive Logikspannung zugeführt. Der andere 4-Bit-Eingang der Vergleichsschaltung ist mit dem 4-Bit-Ausgang des Schieberegisters 66 verbunden. Das Ausgangssignal der Vergleichsschaltung 68, welches das Fehlersicherheitssignal ist, hat nur dann einen hohen Logikpegel, wenn alle vier vom Schieberegister 66 erhaltenen Eingangssignale mit ihren entsprechenden Bits des fest verdrahteten Referenzmusters "0110" übereinstimmen. Wenn also der Computer 14 aus der sich wiederholten Folge "011" mit einer Rate von einem Bit alle 8,3 Millisekunden Bits an das Schieberegister 66 liefert, dann ist das Muster in diesem Schieberegister alle 25 Millisekunden "0110". Demzufolge verändert sich das im normalen Betrieb von der Vergleichsschaltung 68 erzeugte Fehlersicherheitssignal alle 25 Millisekunden einmal zwischen einem niedrigen und einem hohen Logikpegel.
• Der Ausgang der Vergleichsschaltung 68 ist mit dem Tiefpaß 38 der Relaisbetätigungsschaltung 32 verbunden. Der Tiefpaß 38 besteht aus einem Photowiderstands-Optokoppler mit zwei Stromkreisen, nämlich einem Eingangsstromkreis, welcher den Ausgang der Vergleichsschaltung 68 mit +5 Volt verbindet und eine Leuchtdiode enthält, die jedesmal Licht emittiert, wenn das Ausgangssignal der Vergleichsschaltung 68 auf einen hohen Logikpegel übergeht, und einen Ausgangsstromkreis, der als Teil der Relaisbetätigungsschaltung 32 geschaltet ist und seinen normalen hochohmigen Zustand in einen niederohmigen Zustand ändert, wenn die Leuchtdiode im Eingangskreis des Opto-Kopplers Strahlung emittiert. Es sei jedoch darauf hingewiesen, daß der Frequenzgang des Opto-Kopplers 38 begrenzt ist. Wenn die Frequenz, mit welcher die Leuchtdiode dieses Opto-Kopplers ein- und ausgeschaltet wird, über 40 Zyklen pro Sekunde anwächst, dann beginnt die Frequenz, mit welcher der Ausgangsstromkreis vom hochohmigen in einen niederohmigen Zustand übergeht, abzunehmen, und wenn die dem Eingangsstromkreis des Opto-Kopplers zugeführte Signalfrequenz über 800 Zyklen pro Sekunde anwächst, dann reduziert sich die Änderungsfrequenz der Impedanz im Ausgangsstromkreis erheblich.
• Die Relaisbetätigungsschaltung 32 enthält Vorkehrungen zur Aufrechterhaltung einer Spannung über der Relaisspule 24 zum Schließen des Schalters 28 in Abhängigkeit von Pegeländerungen des Fehlersicherheitssignals, welches vom Opto-Koppler 38 kommt. Das Signal vom Opto-Koppler 38 wird einer Verstärkerstufe mit einem Komparatorverstärker 76 zugeführt. Das Ausgangssignal der Verstärkerstufe triggert Transistoren 90 und 94 im Gegentakt. Widerstände 78, 80, 84 und 86 und eine Diode 82 bestimmen die Betriebsschwellwerte für die Transistoren 90 und 94. Ist das Eingangssignal des Opto-Kopplers 38 niedrig, dann ist der Transistor 90 eingeschaltet und der Transistor 94 gesperrt. Bei niedrigem Eingangssignal für den Opto-Koppler 38 wird somit der Kondensator 104 über den Transistor 90, den Widerstand 92 und die Diode 98 mit einer Zeitkonstante geladen, die hauptsächlich durch den Widerstand 92 und den Kondensator 104 bestimmt wird. Diese Zeitkonstante wird so gewählt, daß der Kondensator 104 zu dem Zeitpunkt voll aufgeladen ist, wenn das Eingangssignal am Opto-Koppler 38 auf einen hohen Signalwert übergeht. Inzwischen wird der Kondensator 100 durch die Relaiswicklung 24 entladen, wenn das Eingangssignal zum Opto-Koppler 38 auf einen hohen Wert übergeht, und der Transistor 94 wird eingeschaltet und der Transistor 90 gesperrt. Der Kondensator 104 entlädt sich dann über die Relaiswicklung 24, die Diode 96 und den Transistor 94, während der Kondensator 100 voll aufgeladen wird. Wenn also das Eingangssignal für den Opto-Koppler 38 sich mit einer Frequenz innerhalb des Fehlersicherheitsbereichs ändert, wird an der Relaiswicklung 24 eine Spannung aufrechterhalten. Sollte eine Komponente innerhalb der Relaisbetätigungsschaltung 32 einen Fehler zeigen, dann hört der Gegentaktbetrieb der Transistoren auf, und die Schaltung erzeugt über der Relaiswicklung 24 keine ausreichende Spannung mehr, um die Kontakte 28 und 30 geschlossen zu halten. Das Relais 22 kehrt in den sicheren Zustand zurück, wobei seine Kontakte 28 und 30 offen sind. Die gesteuerte Schaltung 12 stellt die durch das Öffnen der Kontakte 28 und 30 verursachte Stromabschaltung fest, und der Computer 14 wird über die Leitung 13 von dem Komponentenausfall informiert.
• Die Rücksetzschaltung 44 ist so konstruiert, daß sie einen Abschaltzustand beendet, wenn die Rücksetztaste 43 von Hand betätigt wird. Der Mikroprozessor 46 zeigt über das Display 55 an, was die Abschaltung für einen Grund gehabt hat. Wenn der Grund erst einmal behoben ist, dann soll eine Beendigung des Abschaltzustandes durch Drücken der Rücksetztaste 43 möglich sein. Dies bewirkt einen Stromfluß durch den Widerstand 110 und die Diode des Opto-Kopplers 108. Dadurch wird der Transistor im Opto-Koppler 108 eingeschaltet und läßt Strom durch den Widerstand 112 fließen, so daß die Leitung 114 auf Massepotential gezogen wird. Dieses Signal niedrigen Potentials gelangt über die Leitung 114 zum Computer 14. Wird die Taste 43 freigegeben, dann hört der Opto-Koppler 108 auf zu leiten, und die Leitung 114 kehrt auf den hohen Signalwert von 5 Volt zurück. Der Computer 14 ist so programmiert, daß er aufhört, das Fehlersicherheitssignal zu erzeugen, wenn er auf der Leitung 114 momentan ein niedriges Signal erhält. Hält dieses niedrige Signal für einen längeren Zeitraum an, dann verzeichnet der Computer dies als einen unerwünschten Betriebszustand und kehrt zum Sperrzustand zurück.
• Beim anfänglichen Einschalten ist es wünschenswert, die Netzspannung von der gesteuerten Schaltung 12 abzuschalten, wenn in dieser selbst ein Kurzschluß vorliegt. Um in solchen Fällen eine Abschaltung zu veranlassen, ist ein Kurzschlußdetektor 120 vorgesehen. Die Stromzufuhr zu der gesteuerten Schaltung 12 erfolgt über einen Strombegrenzer mit einem Anlaufstrombegrenzungselement 122, welches anfänglich einen Widerstand zur Begrenzung des Anlaufstromes hat. Dieser Widerstand nimmt erheblich ab, wenn das Element 122 sich aufheizt. Dadurch wird die von dem Element 22 verbrauchte Leistung während eines Kurzschlusses verringert, und damit wird auch die erzeugte Wärme reduziert, so daß Hitzeschäden für die Schaltung vermieden werden. Das hier bevorzugte Anlaufstrombegrenzungselement ist ein SURGE-GUARD TM der Firma Ametek, eines Betriebes der Firma Rodan, mit einem Anfangswiderstand von 2,8 Ohm. Der Strombegrenzer liegt parallel mit einem Kondensator 126 und einem Stromfühler 128. Der Kondensator 126 unterdrückt Stromspitzen. Der Stromfühler 128 besteht aus einem Zweirichtungs-Opto-Koppler, der als Shunt wirkt.
• Wenn die Relaisspule 24 die Kontakte 28 und 30 schließt, um anfänglich der gesteuerten Schaltung 12 Wechselstrom zuzuführen, dann fließt durch das Strombegrenzungselement 122 ein Anfangsstrom. Ein übermäßiger Strom wird durch den Opto- Koppler 128 abgeleitet, wobei der Transistor des Opto-Kopplers eingeschaltet wird. Dadurch geht die Leitung 124 von 5 Volt auf Massepotential über. Dieses niedrige Signal gelangt zur Parallel-Eingangs/Ausgangsanschlußeinheit 52 und zeigt an, daß ein großer Strom durch das Strombegrenzungselement 122 fließt. Wenn dieses Signal zum Mikroprozessor 46 gelangt, startet dieser einen Zeitgeber. Der Zeitgeber mißt einen vorbestimmten Zeitraum, der etwas länger als die normalerweise beim Netzeinschalten auftretende Einschaltstromspitze ist. Wenn nach Ablauf der vorbestimmten Zeitperiode der Mikroprozessor immer noch ein niedriges Signal von der Leitung 124 erhält, unterbricht er die Erzeugung des Fehlersicherheitssignals für die Relaisbetätigungsschaltung 32, um die Stromzufuhr abzuschalten. Der Mikroprozessor 46 speichert auch Daten im RAM-Speicher 48, die angeben, daß der Grund für die Stromabschaltung ein Kurzschluß in der gesteuerten Schaltung 12 war, und läßt eine entsprechende Anzeige im Display 55 erscheinen. Diese Daten werden im nichtflüchtigen Speicher 49 gespeichert, der als Reservespeicher für den RAM-Speicher 48 arbeitet. Unter normalen Bedingungen, wenn kein Kurzschluß vorliegt, hört der Einschaltstromstoß innerhalb der vorbestimmten Zeitdauer auf. Der Strom sinkt auf einen Wert ab, der nicht mehr zur Aktivierung des Opto-Kopplers 128 ausreicht. Wenn das Strombegrenzungselement 122 sich abkühlt, kehrt es in seinen ursprünglichen Zustand zurück.
• Gemäß einem weiteren Gesichtspunkt der Erfindung ist eine Testleitung 130 vorgesehen, so daß der Computer 14 den Kurzschlußdetektor 120 vor der Erzeugung eines Fehlersicherheitssignals zum Schließen der Kontakte 28 und 30 testen kann. Ein Test wird durchgeführt, indem eine Spannung auf die Leitung 130 gegeben wird, welche mit der Basis des Transistors des Opto-Kopplers 128 verbunden ist. Ist der Transistor in Betrieb, dann läßt er ein niedriges Signal auf der Leitung 124 zum Computer 14 zurückgelangen. Dieser Test erhöht die Zuverlässigkeit des Kurzschlußschutzes.
• Der nichtflüchtige Speicher 49 der hier beschriebenen Erfindung ist vorzugsweise ein elektrisch veränderbarer ROM-Speicher (EAROM). Er arbeitet als Reservespeicher für den RAM- Speicher 48 und sorgt für ein Duplikat als Kopie der im RAM- Speicher 48 gespeicherten Daten. Tritt ein Stromausfall ein, dann stellt der Mikroprozessor 46 unmittelbar fest, wann der Netzleitungsunterbrecher 60 keinen erwarteten Impuls liefert. Bei der bevorzugten Ausführungsform wird der Stromausfall festgestellt, wenn ein Impuls nicht innerhalb von 20 Millisekunden nach dem vorangegangenen Impuls auftritt. Wegen der in der Kapazität der Schaltung gespeicherten Spannung ist etwa noch 50 Millisekunden Stromversorgung vorhanden. Wenn der Netzleitungsunterbrecher 16 keinen Impuls mehr liefert, dann führt der Mikroprozessor 46 eine Routine durch, welche veranlaßt, daß die in dem nichtflüchtigen Speicher 49 gespeicherten Daten erhalten bleiben, so daß sie nicht während des Stromausfalls verlorengehen. Der Mikroprozessor 46 schickt dann einen zweiten Impuls an alle integrierten Schaltungen des Fehlersicherheitssignal-Generators 16, um diese zurückzustellen. Wenn die Stromversorgung dann wiederkehrt, startet der Mikroprozessor 46 somit von vorn mit den im nichtflüchtigen Speicher 49 beibehaltenen Daten.
• Im Speicher ist eine Reihe von Daten gespeichert, welche für Untersuchungen von Unfällen verwendet werden können. Informationen wie die Anzahl von Zündzyklen, die Betriebsstunden, die Gründe für Stromabschaltungen, die Gesamtanzahl von Abschaltungen und anderer Informationen sind nützlich für die Diagnose der Gründe von Fehlern. Da dieser nichtflüchtige Speicher 49 während eines Stromausfalls nicht gelöscht werden kann, wird diese wertvolle Information für Untersuchungszwecke aufgehoben. Außerdem wird jedesmal, wenn der Mikroprozessor über den Netzleitungsunterbrecher 60 einen Stromausfall feststellt, der Zustand des Relais 22 unmittelbar im nichtflüchtigen Speicher 49 festgehalten, so daß nach Wiederkehr der Stromversorgung das Relais 22, wenn es abgefallen war, gesperrt bleibt, wenn die Stromversorgung wieder da ist.
• Es sollte verständlich sein, daß viele verschiedene Ausführungsformen der Erfindung möglich sind. Beispielsweise könnte eine festverdrahtete Schaltung als Einrichtung zur Erzeugung der Folge von dem Schieberegister 66 zugeführten Binärbits anstatt des Computers verwendet werden. Es versteht sich auch, daß der Fehlersicherheitssignal-Generator 16 eine Analogschaltung enthalten könnte zur Erzeugung eines analogen Fehlersicherheitssignals anstatt der in der Figur gezeigten Digitalschaltung. Außerdem sollte es klar sein, daß auch andere Arten von Tiefpässen in der Relaisbetätigungsschaltung verwendet werden können als der oben beschriebene Photowiderstands-Opto-Koppler.

Claims (10)

1. Fehlersichere Vorrichtung zur Abschaltung des aus einer Stromversorgungsleitung gelieferten Stromes von einer zu überwachenden Schaltung (12) beim Auftreten eines unerwünschten Betriebszustandes mit

einer Einrichtung (16) zur Erzeugung eines fehlersicheren Signals, das sich normalerweise zwischen unterschiedlichen Signalpegeln mit einer Frequenz innerhalb eines vorbestimmten Bereiches zwischen einer Minimal- und einer Maximalfrequenz ändert, wenn kein unerwünschter Betriebszustand herrscht,

und mit einer an diese Einrichtung angeschlossenen Stromzufuhr-Steuerschaltung (18), die der gesteuerten Schaltung nur dann Strom zuführt, wenn die Frequenz des Ausgangssignals der Einrichtung in dem vorbestimmten Bereich liegt, dadurch gekennzeichnet, daß in Reihe zwischen der Stromzufuhr-Steuerschaltung und der gesteuerten Schaltung eine Strombegrenzerschaltung (122) liegt, deren Widerstand sich erheblich verringert, wenn ein hoher Strom sie aufheizt,

daß parallel zu der Strombegrenzerschaltung eine Nebenschlußschaltung (128) liegt, die einen Nebenschlußstrom aufnimmt, wenn durch die Begrenzerschaltung (122) ein hoher Strom fließt, und die aufgrund der Aufnahme des Nebenschlußstroms ein Signal an die Einrichtung liefert,

und daß die Einrichtung (16) ein Zeitsteuerglied (46, 59) enthält, welches durch ein Signal von der Nebenschlußschaltung gestartet wird, um eine vorbestimmte Zeitperiode zu zählen, nach deren Ablauf ein unerwünschter Betriebszustand angezeigt wird, wenn von der Nebenschlußschaltung noch ein Signal erhalten wird.

2. Fehlersichere Vorrichtung nach Anspruch 1, bei welcher die Einrichtung enthält:

einen die zu steuernde Schaltung (12) steuernden programmierbaren Rechner (14) mit einem Speicher (48), der Bitübertragungsbefehle enthält, um den Rechner eine Folge von Binärbits erzeugen zu lassen, bei denen ein vorbestimmtes Bitmuster mit einer Frequenz innerhalb eines dem vorbestimmten Frequenzbereich entsprechenden Bereiches auftritt, falls kein unerwünschter Betriebszustand herrscht;

und eine Vergleichsschaltung (20), welcher die Folge von Binärbits zugeführt wird zum wiederholten Vergleichen dieser Folge mit einem vorbestimmten Muster und zur Erzeugung eines Ausgangssignals, dessen Pegel sich dann verändert, wenn die Folge mit dem vorbestimmten Muster übereinstimmt.

3. Fehlersichere Vorrichtung nach Anspruch 2, bei welcher der Computer (14) weiterhin einen nicht-flüchtigen Speicher (49) zur Speicherung der Zeit und des Grundes jedes unerwünschten Betriebszustandes enthält.

4. Fehlersichere Vorrichtung nach Anspruch 3, bei welcher die Einrichtung (16) ferner einen Unterbrecher (60) für die Stromzuführung und zur Abgabe eines Impulses an den Computer bei jeder Vollendung eines Halbzyklus der Stromversorgungsleitung enthält.

5. Fehlersichere Vorrichtung nach Anspruch 4, bei welcher der Computer (14) dafür sorgt, daß der Inhalt des nichtflüchtigen Speichers (49) bei einem Leistungsausfall erhalten bleibt, wenn der Computer keinen von dem Stromzuführungsunterbrecher (16) erwarteten Impuls erhält.

6. Fehlersichere Vorrichtung nach Anspruch 1 mit weiterhin einem handbetätigbaren Rücksteller (43) zur Abgabe eines Signals an die Einrichtung (16) derart, daß nach dem Auftreten eines unerwünschten Betriebszustandes die Einrichtung erneut ein fehlersicheres Signal erzeugt, das sich mit einer Frequenz innerhalb des vorbestimmten Frequenzbereiches zwischen Signalpegeln verändert.

7. Fehlersichere Vorrichtung nach Anspruch 6, bei welcher ein unerwünschter Betriebszustand durch ein Signal von dem Rücksteller (43) hervorgerufen wird, welches länger als eine vorbestimmte Zeitperiode andauert.

8. Fehlersichere Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Strombegrenzerschaltung (122) ein Anlaufstrombegrenzungselement enthält.

9. Fehlersichere Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Nebenschlußschaltung (128) einen Optokoppler enthält.

10. Fehlersichere Vorrichtung nach Anspruch 9 mit weiterhin einer die Einrichtung (16) und den Optokoppler (128) verbindenden Testleitung (124) zur Testung des Optokopplers vor der Erzeugung eines fehlersicheren Signals.