DE4232720C1 - Anordnung zur Funktionsüberwachung und Meßwertauswertung von Füllstands-Sensoren, insbesondere Vibrations-Füllstands-Grenzschaltern - Google Patents

Description

Die Erfindung betrifft eine Anordnung zur Funktions­ überwachung und Meßwertauswertung von Füllstand-Sensoren, ins­ besondere Vibrations-Füllstands-Grenzschaltern, gemäß dem Oberbegriff des Patentanspruchs 1.

Ein derartige Anordnung ist z. B. aus der DE 31 27 637 C2 be­ kannt. Dieses Füllstands-Meßsystem besteht aus einem Sensor, der über eine Zweidrahtleitung mit einem entfernt ange­ ordneten Auswertgerät verbunden ist, das zyklisch wiederkeh­ rende Testprozeduren zur Überprüfung der Funktionsfähigkeit des Sensors nutzt. Allerdings ist die Fehler- und Ausfallsi­ cherheit des bekannten Systems nicht sehr hoch, so daß es nicht als selbstüberwachende Überfüllsicherung im Flüssig­ gasbereich geeignet ist. Insbesondere bei Anwendungen von Überfüllsicherungen im Flüssiggasbereich werden diese nämlich automatisch in die Sicherheitsklasse 3 eingeordnet, woraus hohe Sicherheitsforderungen resultieren.

In der DE 34 01 761 C2 ist eine Regeleinrichtung zur Regelung der Ausgangsleistung eines Geräts beschrieben, bei der ein Mikrorechner zur Durchführung von Tests eingesetzt wird. Die Möglichkeit des Einsatzes zweier zweikanalig arbeitender Mikrorechner wird dort zwar angesprochen, aber als unwirtschaftlich abgelehnt. Füllstands-Sensoren sind in dieser Druckschrift nicht diskutiert.

Der Erfindung liegt die Aufgabe zugrunde, eine Anordnung zur Funktionsüberwachung und Meßwertauswertung von Füllstands-Sensoren, insbesondere Vibrations-Füllstand-Grenzschaltern, zu schaffen, die sich durch hohe Fehler- und Ausfallsicherheit auszeichnet.

Diese Aufgabe wird mit den im Patentanspruch 1 angegebenen Merkmalen gelöst.

Vorteilhafte Ausgestaltungen der Erfindung sind in den Un­ teransprüchen angegeben.

Mit der erfindungsgemäßen Anordnung wird somit ein System einer selbstüberwachenden Überfüllsicherung geschaffen, das den immer schärfer werdenden Anforderungen an Meßsysteme für Überfüllsicherungen genügt und auch als Überfüllsicherung im Flüssiggasbereich geeignet ist. Um die hieraus resultierenden hohen Sicherheitsforderungen zu erfüllen, ist das Aus­ wertgerät mit zwei parallel arbeitenden Mikroprozessoren mit identischer Hard- und Software ausgestattet. Durch diese Re­ dundanz der Auswertung und Überwachung ergibt sich ein deut­ lich erhöhter Sicherheitsfaktor. Hierbei sind vier Sicher­ heitsrelais vorhanden, die identisch aufgebaut sind und von denen jeweils zwei durch je einen der Mikroprozessoren ge­ steuert werden. Durch die Verwendung von vier Sicherheitsre­ lais, d. h. zwei Paaren von Sicherheitsrelais, können diese gleichfalls überprüft werden, wobei das jeweils andere Paar so gesteuert werden kann, daß der aktuelle Verbindungszustand der externen Relaisanschlüsse auch während der Durchführung des Tests erhalten bleiben kann.

Dabei sind vorzugsweise alle Kontrollkontakte der Sicherheitsrelais mit beiden Mikroprozessoren verbunden, so daß auch hier eine parallele Überwachung der Sicherheitsrelais durch beide Mikroprozessoren redundant abläuft.

Der Sicherheitsfaktor läßt sich noch weiter dadurch erheblich steigern, daß sich die beiden Mikroprozessoren gegenseitig überwachen, so daß eine eventuelle Fehlfunktion des einen Mikroprozessors sofort durch den anderen, noch intakten Mikroprozessor erfaßt werden kann und entsprechende Sicherheitsmaßnahmen eingeleitet werden können.

Die Fehlersicherheit läßt sich noch weiter erhöhen, wenn die beiden Mikroprozessoren in vorbestimmten Zeitabständen Selbsttests durchführen, so daß durch diesen Eigentest und die Fremdüberprüfung (durch den jeweils anderen Mikroprozes­ sor) die Fehlererkennungswahrscheinlichkeit äußerst hoch ist.

Durch die Entkopplung der Versorgungsspannungen für die bei­ den Mikroprozessoren lassen sich im Fehlerfall Rückwirkungen auf das noch intakte System vermeiden.

In gleicher Weise lassen sich durch den Einsatz eigener Schnittstellen für die Mikroprozessoren - trotz Zuführung identischer Eingangsdaten - Rückwirkungen zwischen den beiden Prozessorsystemen unterdrücken.

Die gegenseitige Verbindung der beiden Prozessoren durch Kommunikationsleitungen ermöglicht einen gegenseitigen Ver­ gleich der in diese eingelesenen Daten, so daß deren Über­ einstimmung durch jeden Prozessor autark überprüft werden kann. Dadurch erhöht sich die Fehlersicherheit noch weiter.

Das Überfüllsicherungssystem ist aufgrund seines äußerst hohen Sicherheitsstandardes für Dauerüberwachungsbetrieb geeignet und benötigt auch nicht länger die ansonsten übliche jährliche Überprüfung von Überfüllsicherungen. Dieses System einer selbstüberwachenden Überfüllsicherung ist nicht auf Flüssiggasanwendungen begrenzt, sondern auch in anderen Be­ reichen (z. B. VbF/WHG) einsetzbar.

Die Erfindung wird nachstehend anhand von Ausführungsbei­ spielen unter Bezugnahme auf die Zeichnungen näher beschrie­ ben. Es zeigen:

Fig. 1 eine schematische Gesamtansicht eines Aus­ führungsbeispiels der erfindungsgemäßen Anordnung zur Funktionsüberwachung und Meßwertauswertung bei Füll­ standsdetektoren, und

Fig. 2 ein Blockschaltbild des redundant aufgebauten Auswertgeräts des erfindungsgemäßen Systems.

In Fig. 1 ist eine schematische Darstellung einer erfin­ dungsgemäßen Anordnung gezeigt, die ein Auswertgerät 1 umfaßt, das über eine Zweidrahtleitung 2 mit einem Sensor 3 verbunden ist, welcher einen auf ihn einwirkenden physikalischen Parameter P auswertet. Der Sensor dient zur Füllstandsmessung und kann unterschiedliche Ausführung haben, beispielsweise als Gabelresonator, Koaxialschwinger usw. ausgebildet sein. Al­ ternativ kann der Sensor auch als kapazitiver oder konduktiver Sensor oder in sonstiger Weise ausgelegt sein. Der Sensor kann nicht nur die eigentlichen Meßwerte in Form von Spannungs- oder Stromsignalen, sondern auch Test- und Referenzwerte zur Funktionsüberprüfung abgeben.

In Fig. 2 ist ein Blockschaltbild des Auswertgeräts 1 darge­ stellt. Die Anordnung umfaßt zwei Anschlüsse 4 und 5, die mit der Zweidrahtleitung 2 verbunden sind und über diese die Verbindung mit dem entfernt angeordneten Sensor 3 herstellen. Zur Leistungsversorgung des Sensors 3 sind eine Stromquelle 6, die den Sensor 3 während des Beginns einer Testphase mit eingeprägtem Strom speist, sowie eine Spannungsquelle 8 vorhanden, die den Sensor während der übrigen Zeiten mit einer festen Spannung speist. Die Umschaltung zwischen Spannungs- und Stromspeisung des Sensors erfolgt über einen normalerweise geschlossenen Schalter 7, der parallel zur Stromquelle 6 und in Reihe zwischen die Spannungsquelle 8 und den Anschluß 4 geschaltet ist. Der Schalter 7 wird periodisch durch einen Steuergenerator 12 über eine Leitung 11 zur Einleitung einer jeweiligen Testphase kurzzeitig geöffnet, so daß der Sensor 3 dann durch den eingeprägten Strom der Stromquelle 6 gespeist wird. Dies wird vom Sensor 3 als Startbefehl für einen Testzyklus interpretiert.

Der gesamte durch den Sensor 3 fließende Strom fließt über den Anschluß 5 und einen mit diesem verbundenen Stromfühlwi­ derstand 9 zum negativen Anschluß der Spannungsquelle 8. Am Stromfühlwiderstand 9 tritt somit eine Spannung auf, die dem vom Sensor 3 zurückfließenden Strom entspricht. Da der Sensor so ausgelegt ist, daß er die Stromstärke entsprechend dem zu übertragenen Meß- bzw. Referenzwert steuert, ist die am Strom­ fühlwiderstand 9 auftretende Spannung ein direktes Maß für die vom Sensor 3 zugeführten Meß- und Referenzwerte. Die jeweils am Widerstand 9 abfallende Spannung wird durch einen mit dem Anschluß 5 und dem Stromfühlwiderstand 9 verbundenen Analog/Digital-Wandler 10 in einen entsprechenden digitalen Wert umgesetzt und dieser an zwei parallel geschaltete Eingänge zweier schnittstellen 15, 16 angelegt.

Der vom Steuergenerator 12 erzeugte, dem Schalter 7 zuge­ führte Teststartbefehl wird ebenfalls an parallel geschaltete Eingänge der beiden Schnittstellen 15, 16 sowie an einen Selbsttest-Zeitgeber 13 angelegt, dessen Ausgangssignal gleichfalls an parallel geschalteten Eingängen der Schnittstellen 15, 16 anliegt.

Weiterhin sind Anzeige- und Bedienelemente 14 vorhanden, über die die Kommunikation zwischen dem System und dem Bedienungs- und Überwachungspersonal erfolgt. Die Ein- und Ausgangssignale der Anzeige- und Bedienelemente 14 werden ebenfalls über parallel geschaltete Ein/Ausgänge der beiden Schnittstellen 15, 16 geführt.

Die Schnittstelle 15 ist mit einem Mikroprozessor 17 verbun­ den, während die Schnittstelle 16 mit einem Mikroprozessor 18 verbunden ist. Die Mikroprozessoren 17, 18 arbeiten parallel und sind mit identischer Hard- und Software ausgestattet, um ein redundantes Sicherheitssystem zu bilden. Die Mi­ kroprozessoren 17, 18 kommunizieren über die Schnittstellen 15, 16 mit den Blöcken 10, 12, 13 und 14. Wie bereits ausge­ führt, sind alle Eingänge der Schnittstellen 15, 16 paarweise miteinander verbunden, so daß die Mikroprozessoren 17, 18 jeweils identische Eingangsdaten empfangen.

Durch die Verwendung getrennter Schnittstellen 15, 16 für jeden Mikroprozessor lassen sich Rückwirkungen zwischen den beiden Mikroprozessoren vermeiden.

Jeder Mikroprozessor 17, 18 ist mit einem identischen Steu­ erprogramm-EEPROM und einer Rücksetzschaltung versehen und weist weiterhin eine Watch-Dog-Schaltung 19 bzw. 21 auf, die jeweils mit dem anderen Mikroprozessor gekoppelt ist.

Die beiden Watch-Dog-Schaltungen 19 bzw. 21 können alternativ auch in den Mikroprozessoren durch Software nachgebildet werden, so daß jeweils ein Mikroprozessor den Watch-Dog für den anderen Mikroprozessor darstellt.

Die beiden Mikroprozessoren 17, 18 sind weiterhin über Kom­ munikationsleitungen 20 miteinander verbunden, über die die beiden Mikroprozessoren gegenseitig kontrollieren können, ob gleiche Daten eingelesen werden. Ist dies nicht der Fall, so bedeutet dies Fehler in den Schnittstellen oder in den Mi­ kroprozessoren. Bei Auftreten solcher Fehler leiten die beiden Mikroprozessoren dann entsprechende Sicherheits- und An­ zeigemaßnahmen ein.

Jeder Mikroprozessor 17 bzw. 18 ist über eine Ausgangsleitung 22 bzw. 23 mit einem Störmelde-Relais 25 mit Leuchtdiodenanzeige verbunden, das bei Störungsdetektion ab­ fällt und durch Öffnen seines Kontakts 26 die Störmeldeleitung 27 unterbricht. Die beiden Leitungen 22, 23 sind durch ein Und-Glied 24 miteinander verknüpft, dessen Ausgang mit dem Störmelde-Relais 25 verbunden ist.

Zur Erzeugung eines Füllstand-Meldesignals sind zwei mit Leitungen 33, 45 verbundene Ausgänge vorhanden, deren gegen­ seitiger Verbindungszustand durch die Mikroprozessoren 17, 18 über vier Sicherheitsrelais 30, 34, 43 und 44 gesteuert wird.

Wie in Fig. 2 gezeigt ist, sind die vier Sicherheitsrelais 30, 34, 43 und 44 identisch ausgestaltet. Die Sicherheitsrelais 30 und 34 werden vom Mikroprozessor 17 über Leitungen 28, 29 in ihrem Schaltzustand gesteuert, während die Sicherheitsrelais 43, 44 vom Mikroprozessor 18 über Leitungen 42, 46 gesteuert werden. Jedes Sicherheitsrelais 30, 34, 43 und 44 enthält einen Ruhekontakt 31 und einen Arbeitskontakt 32, die jeweils gleichzeitig umgeschaltet werden. Ein Anschluß jedes Ruhekontakts 31 jedes Sicherheitsrelais ist mit Massepotential verbunden, während die anderen Anschlüsse der Ruhekontakte über jeweils eine getrennte Leitung 37 bis 40 mit Eingängen einer Schnittstelle 36 verbunden sind, die über Ausgangsleitungen 35 bzw. 41 mit den Mikroprozessoren 17 bzw. 18 in der dargestellten Weise gekoppelt sind.

Die jeweils rechts dargestellten Arbeitskontakte der Sicher­ heitsrelais 30 und 43 sind miteinander in Reihe geschaltet, ebenso wie die Arbeitskontakte der Sicherheitsrelais 34, 44. Beide Reihenschaltungen der Arbeitskontakte liegen parallel zueinander zwischen den Ausgangsleitungen 33, 45, die zu den externen Anschlüssen führen. Durch diese Verschaltung ist es möglich, die Funktion der Sicherheitsrelais 30, 34, 43 und 44 sowie ihre Setz- und Rücksetzbarkeit zu überprüfen, ohne daß der durch die Sicherheitsrelais hergestellte augenblickliche Schaltzustand der externen Leitungen 33, 45 nach außen hin beeinflußt wird. Wenn beispielsweise der augenblickliche Schaltzustand der mit den Leitungen 33, 45 verbundenen Ar­ beits- bzw. Leistungskontakte dem in Fig. 2 dargestellten entspricht, können zunächst z. B. die Schaltfunktionen der Sicherheitsrelais 30, 34 durch entsprechende Änderung der Leitungspegel der Leitungen 29, 28 überprüft werden. An­ schließend können die Sicherheitsrelais 30, 34 wieder in den dargestellten Schaltzustand zurückgeschaltet werden, wonach eine Überprüfung der Sicherheitsrelais 43, 44 durch entspre­ chende Umschaltung der diesen zugeführten Steuerbefehle stattfinden kann. Ebenso kann im umgekehrten Schaltzustand der Ausgangsstufe, d. h. bei einer permanent geforderten Verbindung der Ausgangsleitungen 33, 45, die Funktion der Relais geprüft werden. Zu diesem Zweck werden die Leistungskontakte der beiden Relais 30, 43 geöffnet, während die Leistungskontakte der Relais 34, 44 die Verbindung zwischen Leitung 33 und 45 aufrechterhalten. Anschließend, nachdem die Relais 30, 43 wieder angezogen haben, werden die anderen beiden Relais 34, 44 in den abgefallenen Zustand versetzt. Auf diese Weise lassen sich auch in diesem Schaltzustand der Ausgangsleitungen 33, 45 alle vier Relais auf ihre Funktion hin überprüfen, ohne daß sich dies auf den Schaltzustand des Ausgangs auswirkt.

Andererseits sind die jeweils links dargestellten Ruhe- bzw. Kontrollkontakte 31 der Sicherheitsrelais 30, 34, 43 und 44 so verschaltet, daß sich beim Wechsel des Schaltzustands der Sicherheitsrelais entsprechende Pegeländerungen (Umschaltung zwischen floatendem Potential und Massepotential) auf den Leitungen 37 bis 40 einstellen, die durch die Mikroprozessoren 17, 18 auswertbar sind. Aufgrund der Tatsache, daß jeder Mikroprozessor 21, 28 alle vier Kontrollkontakte überwacht, ist zudem eine gegenseitige Überprüfung der Mikroprozessor- Systeme realisiert.

Die Versorgungsspannungen für die Mikroprozessoren 17, 18 sind gegenseitig und gegenüber den übrigen Schaltungsteilen entkoppelt, so daß im Fehlerfall Rückwirkungen auf noch in­ takte Systemteile verhindert sind. Die Versorgungsspannungen werden durch ein nicht dargestelltes Schaltnetzteil erzeugt.

Die Funktionsweise der vorstehend beschriebenen Anordnung ist wie folgt:

Die Meßwerte werden vom Sensor 3 zum Auswertgerät 1 z. B. in Form eines Zweileitersignals übertragen. Hierbei wird zur Einleitung eines Testzyklus vom Auswertgerät 1 ein Testbefehl erzeugt, der z. B. dadurch realisiert wird, daß der Schalter 7 geöffnet und hierdurch der Stromfluß auf der Leitung 2 zwischen dem Sensor 3 und dem Auswertgerät 1 kurzzeitig durch die Stromquelle 6 auf einen Wert von z. B. 4 mA, der unterhalb des im normalen Meßbereich auftretenden Stroms liegt, begrenzt wird. Diese Stromabsenkung wird von der Elektronik im Sensor 3 erkannt und löst eine Folge interner Prüfungen aus, die so ausgelegt sind, daß alle auftretenden Fehler im Sensor, und zwar sowohl mechanische als auch elektrische Fehler, erkannt werden können. Vom Sensor 3 können zusätzlich jeweils vor oder auch nach Übertragung eines aktuellen Meßwerts Referenzwerte übertragen werden.

Beispielsweise wird in der ersten Phase eines Meßzyklus der Strom kurzzeitig für 50 ms auf einen Wert von 4 mA begrenzt, wodurch der Meßzyklus gestartet wird. Anschließend wird für die Dauer von ca. 200 ms als erster Referenzwert ein Re­ ferenzstromwert übertragen, dessen Größe innerhalb des auch bei einer normalen Messung möglichen Strombereichs von 5 bis 20 mA liegt und z. B. 15 mA beträgt. Danach wird für eine Dauer von ca. 100 ms ein zweiter Referenzwert übertragen, dessen Größe oberhalb der bei einer normalen Messung auftretenden Stromamplituden liegt und beispielsweise 25 mA beträgt. In der anschließenden Phase wird dann der aktuelle Meßwert übertragen. Die Gesamtdauer dieser Phasen beträgt z. B. 1 s, kann aber auch kürzer oder länger sein.

Bei Auftreten von Fehlern verändert sich dieser Signalverlauf hinsichtlich der Amplituden- und Zeitwerte. Durch einen Vergleich mit abgespeicherten Kennwerten im Auswertgerät 3 wird diese Veränderung festgestellt und die Sicherheitsrelais 30, 34, 43 und 44 werden in den stromlosen Zustand geschaltet.

Das Kernstück des Auswertgeräts 1 bilden die redundant ar­ beitenden Mikroprozessor-Systeme 17, 18 und die Sicherheits­ relais 30, 34, 43 und 44.

Durch den als freilaufenden Impulsgenerator ausgestalteten Steuergenerator 12 werden hierbei zusätzlich folgende Funk­ tionen durchgeführt: einerseits wird ein Startimpuls für den Sensor (durch kurzzeitiges Öffnen des Schalters 7) zur Ein­ leitung eines Meßzyklus abgegeben. Andererseits bewirkt der Steuergenerator 12 die Synchronisation der beiden Mikro­ prozessor-Systeme 17, 18. Schließlich bildet der Steuerge­ nerator 12 auch noch einen Grundtakt zur Ableitung der Wie­ derholzeit des Selbsttestes und steht hierzu mit dem Selbst­ test-Zeitgeber 13 in Verbindung.

Während des die vorstehend angegebenen vier Phasen umfassenden Meßzyklus werden von beiden Mikroprozessor-Systemen 17, 18 die folgenden Überprüfungen/Messungen durchgeführt:

• 1) Überprüfung des ersten Referenzwerts des Sensors 3,
• 2) Überprüfung des zweiten Referenzwerts des Sensors 3,
• 3) Auswertung des Meßwerts des Sensors 3,
• 4) Überprüfung des Zeitverhaltens des Zweileitersignals,
• 5) Überprüfung des Zeitverhaltens des freilaufenden Steu­ ergenerators 12,
• 6) Überprüfung des Zeitverhaltens des Selbsttest- Zeitgebers 13
• 7) Erfassung eines Ausfalls der Versorgungsspannungen,
• 8) Erkennung eines Kurzschlusses/Leerlaufes auf der Verbindungsleitung 2 zum Sensor 3,
• 9) Überprüfung der richtigen Zuordnung der Leistungs­ kontakte zu den Kontrollkontakten der Sicherheitsrelais 30, 34, 43 und 44,
• 10) Überwachung des Meßwerts auf Über/Unterschreiten der Schaltschwellen für eine Grenzstandmeldung, d. h. Ausführung der Füllstand-Grenzschalter-Funktion.

Hierbei wird durch die dauernde gegenseitige Überwachung der Mikroprozessoren 17, 18 über die Watch-Dog-Schaltung 19, 21 auch der Ausfall eines Mikroprozessors erkannt. Zugleich werden dabei auch die beiden Versorgungsspannungen, die die Mikroprozessoren 17 bzw. 18 speisen, überwacht.

Die vorgenannten Überwachungsfunktionen werden kontinuierlich wiederholt, wobei die Wiederholfrequenz dem Reziprokwert der Gesamtdauer der vorstehend angegebenen vier Phasen entspricht (Dauerüberwachung). Die Gesamtdauer eines solchen Zyklus der vier Phasen kann eine Sekunde betragen, jedoch auch andere Werte annehmen-.

Um die Fehlersicherheit noch weiter zu erhöhen und auch Fehler innerhalb der Mikroprozessor-Systeme 17, 18 festzustellen, wird alle dreißig Minuten, ausgelöst durch den Selbsttest- Zeitgeber 13, ein Selbsttest durchgeführt. Dabei werden alle Einheiten überwacht, die bei der normalen kontinuierlichen Überwachung nicht überprüft werden können. Beim Selbsttest werden überprüft:

• 1) Die internen Direktzugriffsspeicher (RAM) der Mi­ kroprozessoren 17, 18 durch einen "walking pattern"-Test mit hundertprozentiger Fehleraufdeckung,
• 2) Die Festwertspeicher (ROM) der Mikroprozessoren 17, 18 durch "CRC-Check" mit 99,98% Fehleraufdeckung,
• 3) Test der Zentraleinheit CPU: alle internen Register und Flags werden durch ein Programm getestet und es werden alle im normalen Betriebsprogramm verwendeten Befehle mindestens einmal durchgeführt,
• 4) Es wird ein Peripherie-Test durchgeführt, bei dem alle Hardware-Komponenten und I/O-Funktionen der Mikropro­ zessoren 17, 18 getestet werden,
• 5) Die Funktion der Sicherheitsrelais 30, 34, 43 und 44 wird überprüft, wobei die Setz- und Rücksetzbarkeit der Sicherheitsrelais getestet wird. Hierbei wird durch den Einsatz der vier Sicherheitsrelais und die entsprechende Verschaltung der Leistungskontakte sichergestellt, daß der Selbsttest durchführbar ist, ohne daß der augenblickliche Schaltzustand des Sicherheitsrelais nach außen in Erscheinung tritt.

Durch die beschriebene Anordnung aus den zwei redundanten Mikroprozessor-Systemen 17, 18 und den vier zwangsgeführten Sicherheitsrelais 30, 34, 43 und 44, die als Vergleicher ar­ beiten, wird eine ausreichende Fehlersicherheit des Gesamt­ systems erreicht, d. h. es lassen sich alle eventuellen si­ cherheitsrelevanten Fehler erkennen, wobei das System in diesem Fall definiert in den sicheren Zustand übergeht, indem die Sicherheitsrelais 30, 34, 43 und 44 stromlos geschaltet werden.

Das beschriebene System ist hierdurch für Dauerüberwachungs­ betrieb geeignet und muß nicht, wie ansonsten bei Überfüll­ sicherungen üblich, jährlich überprüft werden.

Der Steuergenerator 12 und der Selbsttest-Zeitgeber 13 können auch softwaremäßig in beiden Prozessoren 17, 18 nachgebildet werden, indem alternierend einer der Prozessoren die Impulse abgibt und der andere Prozessor überwacht, ob dies in korrekter Weise erfolgt.

Um eine Funktionsüberwachung des Auswertgeräts 1 herzustellen und das System im Fehlerfall zuverlässig in den Fail-Safe- Zustand übergehen zu lassen, sind das Prozessorsystem und das Füllstandausgangs-Relais somit redundant aufgebaut, wie es in Fig. 2 gezeigt ist. Über die als Vergleicheranordnung arbeitenden vier Sicherheitsrelais 30, 34, 43 und 44 lassen sich daher auch die Ausgangssignale der Mikroprozessoren auf Koinzidenz überwachen, so daß eine divergierende Arbeitsweise dieser Komponenten erfalt wird und das noch intakte Prozessorsystem den Füllstandausgang in den sicheren Zustand schaltet.

Die vorstehend angegebene Lösung mit redundanten Mikro­ prozessor-Systemen 17, 18 und Vergleichern führt zu einem funktionszuverlässigen, fehlersicheren System einer selbst­ überwachenden Überfüllsicherung.

Claims (8)

1. Anordnung zur Funktionsüberwachung und Meßwertauswertung von Füll­ stands-Sensoren, insbesondere Vibrations-Füllstands-Grenzschaltern, bei der der Füllstand mittels eines Sensors erfaßt wird, der über eine Leitung mit einem entfernt angeord­ neten Auswertgerät verbunden ist, das dem Sensor in re­ gelmäßigen Abständen einen Testbefehl zur Einleitung eines Testzyklus für die Überprüfung der korrekten Funktionsweise des Sensors zuführt, dadurch gekenn­ zeichnet, daß das Auswertgerät (1) zwei parallel arbei­ tende Mikroprozessoren (17, 18) mit identischer Hard- und Software aufweist, daß das Auswertgerät (1) vier Sicherheitsrelais (30, 34, 43, 44) aufweist, die identisch aufgebaut sind und von denen jeweils zwei durch je einen der Mikroprozessoren (17, 18) gesteuert werden, und daß die vier Sicherheitsrelais (30, 34, 43, 44) in zwei Paare aus jeweils zwei Sicherheitsrelais unterteilt sind und die beiden Paare bei jedem Selbsttest aufeinanderfolgend so umgeschaltet werden, daß der vor Beginn des Selbsttests vorliegende Verbindungszustand der externen Relaisanschlüsse auch während des Selbsttests erhalten bleibt.

2. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß die beiden Sicherheitsrelais (30, 34, 43, 44) jedes Paars jeweils bezüglich der externen Relaisanschlüsse in Reihe geschaltet sind und parallel zum jeweils anderen Paar liegen.

3. Anordnung nach Anspruch 1 oder 2, dadurch gekennzeich­ net, daß die Mikroprozessoren (17, 18) mit allen vier Kontrollkontakten der vier Sicherheitsrelais (30, 34, 43, 44) verbunden sind.

4. Anordnung nach einem der Ansprüche 1, 2 oder 3, dadurch gekennzeichnet, daß sich die beiden Mikroprozessoren (17, 18) mittels Watch-Dog-Schaltungen (19, 21) gegenseitig überwachen.

5. Anordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die beiden Mikroprozessoren (17, 18) in vorbestimmten Zeitabständen Selbsttests durchführen.

6. Anordnung nach einem der vorhergehenden Ansprüche, da­ durch gekennzeichnet, daß die Versorgungsspannungen der beiden Mikroprozessoren (17, 18) voneinander entkoppelt sind.

7. Anordnung nach einem der vorhergehenden Ansprüche, da­ durch gekennzeichnet, daß jeder Mikroprozessor (17, 18) mit einer eigenen Eingangs-Schnittstelle gekoppelt ist, deren Eingänge parallelgeschaltet sind.

8. Anordnung nach einem der vorhergehenden Ansprüche, da­ durch gekennzeichnet, daß die beiden Mikroprozessoren (17, 18) durch Kommunikationsleitungen miteinander ver­ bunden sind, über die jeder Mikroprozessor kontrol­ liert, ob die beiden Mikroprozessoren (17, 18) gleich­ artige Daten einlesen.