-
ALLGEMEINER STAND DER
TECHNIK
-
A.
Erfindungsgebiet. Die vorliegende Erfindung betrifft allgemein Lebenssicherheitssysteme wie
etwa Heizkessel, Öfen,
Heißwassersysteme usw.,
und insbesondere die Komponenten zum Steuern dieser Systeme wie
etwa Aktuatoren und Controller.
-
B.
Allgemeiner Stand der Technik. Verbrennungssysteme wie etwa ein
System, das das Brennstoff-Luft-Verhältnis eines großen Brenners
moduliert, erfordern Präventivmaßnahmen,
die vor einer Änderung
des Systems schützen.
Beispielsweise werden an modulierenden Brennern, die Kessel zum Erzeugen
von Dampf oder Heißwasser
für Prozeß- und/oder
Heizungsanwendungen beheizen, Brennstoff-Luft-Steuersysteme verwendet.
-
Verschiedene
Arten von Verbrennungssystemen und sogar Verbrennungssysteme der
gleichen Art arbeiten in der Regel auf die effizienteste und sicherste
Weise mit Brennstoff-Luft-Profilen, die für das jeweilige System spezifisch
konfiguriert sind. Bei großen
kommerziellen Anwendungen ist es nicht unüblich, an der gleichen Stelle
und möglicherweise
in unmittelbarer Nähe
mehrere und verschiedene Verbrennungssysteme zu haben. Verschiedene
Systemkomponenten wie etwa Brennstoff-Luft-Controller oder Aktuatoren können im
Lauf der Zeit ausfallen. Eine übliche
Fehlerbeseitigungstechnik, insbesondere in Notsituationen, besteht
darin, Komponenten von einem anderen System zu verwenden oder auszutauschen
oder Komponenten von einem Servicetechniker zu beziehen. Die Reaktionscharakteristiken
der Aktuatoren können
von Komponente zu Komponente stark variieren. Beispielsweise kann
die anfängliche Startposition
eines bestimmten Aktuators von Modell zu Modell variieren, und ihre
Reaktionscharakteristiken auf Stromsteuersignale können unterschiedlich sein.
Analog liefern verschiedene Brennstoff-Luft-Controller in der Regel
Profile, die von dem Profil total verschieden sind, das während der
anfänglichen
Einrichtung aufgezeichnet wurde (anfängliche Konfiguration oder
anfängliche
Inbetriebsetzung).
-
Diese
Probleme können
den Betrieb des Verbrennungssystems signifikant beeinflussen. Beispielsweise
kann das Austauschen eines Brennstoff-Luft-Controllers zu der Verwendung
eines Brennstoff-Luft-Controllers führen, der eine ungültige Anspringposition
aufweist. Die in den neuen Brennstoff-Luft-Controller programmierte
Kurve kann in die Verbrennungskammer eine brennstoffreiche Atmosphäre einleiten,
die explosiv werden kann oder Abgasfeuer verursachen kann. Analog
ist der Brennstoff-Luft-Controller möglicherweise nicht so ausgelegt,
daß er
vor der Zündung
für ein
ausreichendes Spülen
sorgt. Magere Brennstoffbedingungen können ebenfalls Probleme verursachen,
die damit verbunden sind, daß die
Flammenfront den Brennerkopf verläßt. Dies erzeugt ein Gebiet
unverbrannten Brennstoffs, das wieder zünden kann oder die Flamme erlöschen kann.
Alle diese Situationen können
zu Eigentumsverlust, Verletzungen und sogar Todesfällen führen.
-
Das
Austauschen von Aktuatoren kann zu ähnlichen Problemen führen, weil
es kein Verfahren gibt sicherzustellen, daß der Austauschaktuator in der
gleichen exakten Positionsbeziehung an der Welle angebracht ist
wie der Aktuator, der mit dem Verbrennungssystem konfiguriert oder
in Betrieb genommen worden war. Außerdem kann die eigentliche
Reaktion des Aktuators auf aktuelle Werte von den ursprünglichen
Aktuatoren abweichen.
-
Mindestens
ein vorhergehendes Verfahren zum Verhindern des Austauschs einer
Komponente hat aufwendige Mikroschalter verwendet, die auf der Rückseite
der Komponente angeordnet werden, so daß, wenn die Komponente von
ihrer Grundplatte angehoben wird, die Komponente deaktiviert wird.
Solche Systeme erfordern aufwendige Batterien und Batterieüberwachungsschaltungen,
um sicherzustellen, daß sie
betriebsbereit sind. Zudem vergeben solche Systeme nichts bei Fällen von
Routinewartung oder anfänglicher
Problembehebung aufgrund von Verdrahtungsfehlern, die ein Entfernen
der Komponente erfordern.
-
Die
Dokumente EP-A-O 326 244 und DE-A-35 35 820 betreffen beide Sicherheitseinrichtungen
zum Verhindern eines falschen Austauschs von Brennersystemkomponenten.
-
Somit
ist es wünschenswert,
ein System zu haben, bei dem der Austausch entweder von Controllern
oder Aktuatoren nicht bewerkstelligt werden kann, ohne daß der Controller
mit dem entsprechenden Verbrennungsprofil für die jeweils beteiligten Komponenten
neukonfiguriert oder neu in Betrieb genommen wird.
-
KURZE DARSTELLUNG
DER ERFINDUNG
-
Die
vorliegende Erfindung stellt ein Verfahren wie in Anspruch 1 definiert
bereit.
-
Das
Verfahren kann die Merkmale des abhängigen Anspruchs 2 enthalten.
-
Die
vorliegende Erfindung stellt außerdem ein
System wie in Anspruch 3 definiert bereit.
-
Das
System kann die Merkmale eines beliebigen oder mehrerer des abhängigen Anspruchs
4 enthalten.
-
Die
vorliegende Erfindung überwindet
die Nachteile und Beschränkungen
des Stands der Technik durch Bereitstellung von Systemsteuerungen,
die das Austauschen von Systemkomponenten verhindern, die möglicherweise
den Betrieb eines Verbrennungssystems beeinflussen und außerdem detektieren,
ob ein solcher Austausch stattgefunden hat, um den Betrieb des Systems
zu verhindern. Die vorliegende Erfindung kann auch ordnungsgemäßen Betrieb
der in Betrieb genommenen Komponenten detektieren.
-
Die
Vorteile der vorliegenden Erfindung liegen darin, daß durch
sie aufwendige Einrichtungen nach dem Stand der Technik entfallen,
um zu bestimmen, ob ursprünglich
in Betrieb genommene Komponenten von dem System entfernt worden
sind. Weiterhin erfordert die vorliegende Erfindung keinen aufwendigen
Stromversorgungsschutz, der für
Befehle erforderlich wäre,
die über
Kommunikationsstrecken übertragen
werden, oder aufwendigere Prozessoren und Software, die erforderlich
sind, um ein derartiges System zu implementieren. Die vorliegende
Erfindung stellt eine einfache und preiswerte Möglichkeit zum Übertragen
von Befehlen zwischen einem preiswerten Controller und einem preiswerten
Aktuator auf sichere und zuverlässige
Weise mit der Fähigkeit bereit,
zu detektieren, ob irgendwelche der Komponenten nicht die gleichen
Komponenten sind, die sich in dem Verbrennungssystem befanden, als
das Verbrennungssystem in Betrieb genommen (oder konfiguriert) wurde,
und um zu verifizieren, daß in
Betrieb genommene Komponenten ordnungsgemäß reagieren. Die vorliegende
Erfindung weist auch die Fähigkeit
auf zu prüfen,
ob das System abgeändert
worden ist, um mit Austauschkomponenten zu arbeiten.
-
KURZE BESCHREIBUNG
DER ZEICHNUNGEN
-
1 ist
eine schematische Darstellung, die ein typisches moduliertes Brennerverbrennungssystem
zeigt.
-
2 ist
eine grafische Darstellung, die den Prozentsatz der Luftposition
eines Luftaktuators gegenüber
dem Prozentsatz des absoluten Feuerungsratenwerts veranschaulicht.
Außerdem
ist die Feuerungsrateneingabe in Milliampere ebenfalls in 2 aufgetragen.
-
3 ist
ein schematisches Blockschaltbild, das die Komponenten der vorliegenden
Erfindung veranschaulicht.
-
4 ist
ein Flußdiagramm,
das den Betrieb des Mikroprozessors des in 3 dargestellten Brennstoff-Luft-Controllers
veranschaulicht.
-
5 ist
ein Flußdiagramm,
das den Betrieb eines Mikroprozessors eines in 3 dargestellten typischen
Aktuators veranschaulicht.
-
AUSFÜHRLICHE
BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSFORM
-
Das
in 1 dargestellte Brennstoff-Luft-Steuersystem besteht
aus einem Brennstoff-Luft-Controller 10 und mehreren Aktuatoren 12, 14, 16 und 18.
Die Gesamtzahl der in einem derartigen System verwendeten Aktuatoren
hängt von
der zur Verfügung
stehenden Anzahl von Brennstoffquellen ab und davon, ob in dem System
eine Rauchgasrückführungseinrichtung
implementiert ist. Normalerweise liegen in einem derartigen System
mindestens zwei Aktuatoren vor; ein Aktuator zum Steuern des Brennstoffs
und ein anderer Aktuator zum Steuern von Luft. Der in 1 dargestellte
Brennstoff-Luft-Controller 10 überwacht und steuert die am Kessel
angeordneten Aktuatoren als Reaktion auf ein Feuerungsratenanforderungssignal,
das von einem Drucksensor 28 und/oder einem Temperaturwandler 32 erzeugt
wird. Beispielsweise überwacht
und steuert der Brennstoff-Luft-Controller 10 den Brennstoff-1-Aktuator 12,
der das Strömen
von Erdgas zu dem Brenner steuert, den Brennstoff-2-Aktuator 14, der
das Strömen
von Öl
in den Brenner steuert, den Luftaktuator 16, der die der
Verbrennungskammer gelieferte Luftmenge steuert, und den Rauchgasrückführungsaktuator 18,
der die Wiederverbrennung von Rauchgas in der Verbrennungskammer
steuert, über
die Steuerleitungen 20, 22, 24 bzw. 26.
Jede dieser Steuerleitungen ist sowohl an den Brennstoff-Luft-Controller 10 als
auch die Aktuatoren 12, 14, 16 und 18 gekoppelt.
Druckinformationen werden vom Drucksensor 28 über einen
Verbinder 30 an den Brennstoff-Luft-Controller 10 geliefert.
Temperaturinformationen werden über
einen Verbinder 34 vom Thermoelementwandler 32 an
den Brennstoff-Luft-Controller 10 geliefert.
Der Brennstoff-Luft-Controller 10 positioniert die Aktuatoren
in voreingestellten Positionen als Reaktion auf die Feuerungsratenanforderung,
wie an den Verbindern 30 und 34 vom Drucksensor 28 bzw.
dem Thermoelementwandler 32 geliefert. Der Brennercontroller 36 wird
auch über
einen Verbinder 38 vom Brennstoff-Luft-Controller 10 gesteuert.
-
2 ist
eine grafische Darstellung, die den Prozentsatz der Luftposition
des Luftaktuators als Funktion des Prozentsatzes des absoluten Feuerungsratenwerts
veranschaulicht. Außerdem
ist in 2 auch die von dem Drucksensor 28 und
dem Thermoelementwandler 32 (1) gelieferte
Feuerungsrateneingabe gezeigt. Wie man am besten anhand von 2 erkennen
kann, ist das Brennstoff-Luft-Profil, wie durch Kurve 40 dargestellt,
nicht linear. Während
der anfänglichen
Inbetriebnahme eines Systems, wie etwa in 1 veranschaulicht,
verwendet Expertenservicepersonal eine Konfigurationseinrichtung
wie etwa eine Laptop-PC-Konfigurationseinrichtung 43 zum Überwachen
des Sauerstoffanalysators 44. Der Sauerstoffanalysator 44 fungiert als
ein Verbrennungsluftanalysator zum Analysieren des Sauerstoffgehalts
bei verschiedenen Feuerungsratenwerten. Mehrere Feuerungsrateneingabeanforderungen
werden über
Verbinder 30 und 34 geliefert, und die resultierende
Position des Luftaktuators 16 wird als Reaktion auf Signale
von dem Sauerstoffanalysator 44 von der Konfigurationseinrichtung 42 bestimmt.
-
Wie
in 2 gezeigt, sind die aufgezeichneten Luftpositionen
für die
mehreren Feuerungsrateneingabeanforderungen durch eine typische
Kurve 40 in 2 gezeigt. Die Rauchgasmischung
an jedem Punkt für
den Feuerungsratenwert wird in der Regel so gesetzt, um eine stoichometrische
Verbrennung plus einen zusätzlichen
Spielraum an Sauerstoff zwischen 5 Prozent und 10 Prozent sicherzustellen.
Andere verunreinigende Bestandteile (NOX, NCO) werden überwacht
und die Konzentrationen dieser Bestandteile werden ebenfalls während des
Einrichtens oder der Inbetriebnahme des Systems betrachtet. Nachdem
das ganze Profil bestimmt worden ist, werden die Konfigurationseinrichtung 43 und
der Kaminanalysator 44 vom Ort entfernt. Das System kann dann
automatisch weiterarbeiten. Der Brennstoff-Luft-Controller 10 ist über einen
Verbinder 38 mit dem Brennercontroller 36 verbunden,
der für
die Flammensicherheitsüberwachung
als ein unabhängiger
Controller verantwortlich ist. Der Brennercontroller 36 kann
den Brennstoff-Luft-Controller 10 in zwei vorprogrammierte
Positionen zwingen. Die erste Position ist eine Vorreinigungsposition,
bei der eine Anzahl von Luftaustauschen in der Brennkammer über den
Luftaktuator 16 vor der Zündung des Brenners vorgesehen
sind. Wenn der Brenner gezündet
worden ist und läuft,
gestattet der Brennercontroller 36 dem Brennstoff-Luft-Controller 10,
jeden der Aktuatoren 12, 14, 16 und 18 gemäß dem von
dem Drucksensor 28 und Thermoelementwandler 32 gelieferten Eingangsanforderungssignal
und als eine Funktion des Profils für das jeweilige System, das
gemäß Kurve 40 konfiguriert
ist (2), zu modulieren.
-
3 ist
ein Blockschaltbild, das die Komponenten der vorliegenden Erfindung
veranschaulicht. Der Brennstoff-Luft-Controller 42 enthält einen
Mikroprozessor 44 und einen an den Mikroprozessor 44 gekoppelten
nichtflüchtigen
Speicher 46. Der Computer 48 liefert eine Kommunikationsverbindung
zum Mikroprozessor 44 zum Steuern des Betriebs des Mikroprozessors 44.
Der Mikroprozessor 44 erzeugt Signale über Verbinder 50,
die an Treiberschaltungen 52 und Widerstände 54 gekoppelt
sind. Zwei Verbinder, wie etwa die Verbinder 64 und 66,
sind an jeden Aktuator angeschlossen. Der Verbinder 64 liefert
ein Stromsignal, um zu bewirken, daß sich der Aktuator für die Dauer
des am Verbinder 64 bereitgestellten Signals im Uhrzeigersinn
dreht. Analog liefert der Verbinder 66 ein Stromsignal,
das bewirkt, daß sich der
Aktuator 12 für
die Dauer des am Verbinder 66 bereitgestellten Signals
entgegen den Uhrzeigersinn dreht. Diese Positionierbefehle sind
digitale Impulse, die variierende Längen aufweisen und den Aktuator zur
Positionierungssteuerung modulieren. Wenn beispielsweise die Motoreinrichtung 69 des
Brennstoff-1-Aktuators 12 30
Sekunden benötigt,
um ihre ganze Drehentfernung zurückzulegen,
würden
Impulsbreiten mit einer Auflösung
von 25 Millisekunden gestatten, daß der Motor mit einer Genauigkeit
von 1.200 einzelnen Positionen angetrieben wird.
-
Zum
Zeitpunkt der Herstellung wird jedem der Aktuatoren 12, 14, 16 und 18 eine
eindeutige 32-Bit-Identifikationszahl zugewiesen, die in einem programmierbaren
Festwertspeicher (PROM), Flash-Speicher oder einer anderen nichtflüchtigen Speichereinrichtung
gespeichert wird, wie etwa durch die Speicherungseinrichtung 69 des
Brennstoff-1-Aktuators 12, Speicherungseinrichtung 70 des
Luftaktuators 14, Speicherungseinrichtung 72 des
Brennstoff-2-Aktuators 16 und Speicherungseinrichtung 74 des
RGR-Aktuators 18 veranschaulicht. Zum Zeitpunkt der Inbetriebnahme
oder Konfiguration des modulierten Brennerverbrennungssystems speichert
die Konfigurationseinrichtung 43 (1) die Identifikationszahlen
jedes der Aktuatoren im nichtflüchtigen
Speicher 46. Diese in Betrieb genommenen Aktuatoridentifikations zahlen
identifizieren eindeutig jeden der Aktuatoren 12, 14, 16 und 18.
Die Aktuatoren sind so programmiert, daß sie nicht auf irgendeine
Stromeingabe von der Stromerfassungsschaltung reagieren, wie etwa
der Stromerfassungsschaltung 77 des Brennstoff-1-Aktuators 12,
es sei denn, eine gültige
Identfikationszahl ist von dem Brennstoff-Luft-Controller 42 geliefert
worden. Mit anderen Worten werden Positionierbefehle erst dann ausgeführt, wenn
der Aktuator mit der Identifikationszahl freigegeben worden ist,
die der Identifikationszahl entspricht, die für den jeweiligen Aktuator gespeichert
ist. Wenn ein Stromverlust oder andere Rücksetzbedingungen von dem Aktuator
detektiert werden, kehrt der Aktuator in einen blockierten Zustand
zurück.
Die Identifikationszahl und andere Befehle werden an den Mikroprozessor
des Aktuators übertragen,
wie etwa dem Mikroprozessor 78 des Brennstoff-1-Aktuators 12,
und zwar über
die Verbinder 64 und 66.
-
Da
jeder der Aktuatoren automatisch in eine blockierte Position geht,
wenn sie einen Rücksetzzustand
detektieren, müssen
die Aktuatoren freigegeben werden, damit sie nach dem Auftreten
des Rücksetzzustands
arbeiten. Dies verhindert effektiv, daß ein nicht in Betrieb genommener
Aktuator in das Modulatorbrennerverbrennungssystem eingeführt wird,
ohne den Inbetriebnahmeprozeß zu
durchlaufen. Wenn eine neuer Controller in das in 3 dargestellte
modulierte Brennerverbrennungssystem eingeführt wird, ist er nicht in der
Lage, die Aktuatoren freizugeben, weil der neue Brennstoff-Luft-Controller
nicht die Aktuatoridentifikationszahlen in seinem nichtflüchtigen
Speicher enthält.
Somit ist das in 3 dargestellte Modulatorbrennerverbrennungssystem
erst dann in der Lage, mit einem Ersatzcontroller zu arbeiten, wenn
der Ersatzcontroller mit dem System in Betrieb genommen worden ist.
-
Wie
ebenfalls in 3 gezeigt, enthält jeder der
Aktuatoren einen Ausgabennabenwinkelpositionspotentiometer wie etwa
Ausgabenabenwinkelpositionspotentiometer 76 des Brennstoff-1-Aktuators 56.
Dieser Potentiometer ist mechanisch an die Ausgabenabe des Aktuators 56 gekoppelt
und liefert ein Widerstandssignal, das von einem Decodierer 78 detektiert
wird.
-
Der
Betrieb des in 3 dargestellten Systems wird
bezüglich
der Beschreibung der 4 und 5 offensichtlicher. 4 ist
ein schematisches Flußdiagramm,
das die Funktionen darstellt, die von dem Mikroprozessor 44 des
Brennstoff-Luft-Controllers 42 durchgeführt werden. Anfangs detektiert
der Mikroprozessor 44, ob ein Rücksetzzustand existiert, wie
etwa das Hochfahren des Systems, nicht Reagieren der Aktuatoren
nach der Freigabe oder andere Rücksetzzustände, wie
bei Schritt 82 von 4 dargestellt.
An diesem Punkt erzeugt der Mikroprozessor 44 einen Off-Line-Schlüssel, der
eine Off-Line-Identifikationszahl ist, und überträgt diese Off-Line-Identifikationszahl
an die Aktuatoren, um die Aktuatoren bei Schritt 84 von
der Leitung zu trennen. Bei Schritt 86 erzeugt der Mikroprozessor 44 eine
falsche ID, die eine ID ist, die nicht den IDs für die in Betrieb genommenen
Aktuatoren 56, 58, 60 und 62 entspricht.
Mit anderen Worten sind falsche IDs IDs, die nicht den IDs entsprechen,
die in den in Betrieb genommenen Aktuatoren zum Herstellungszeitpunkt gespeichert
sind. Auch Teststeuersignale werden bei Schritt 86 über den
Verbinder 63 an die Aktuatoren 56–62 geschickt.
Diese Teststeuersignale sind Signale, die bewirken, daß die Stromerfassungsschaltungen,
wie etwa die Stromerfassungsschaltung 77, den Mikroprozessor 78 anweisen,
den Motor sowohl im Uhrzeigersinn als auch entgegen den Uhrzeigersinn
anzutreiben. Auf diese Weise wird ein Nichtreagieren nicht das Ergebnis
der Tatsache sein, daß der Motor
vollständig
in einer Richtung gedreht wird.
-
Wieder
unter Bezugnahme auf 4 bestimmt bei Schritt 88 der
Mikroprozessor 44 (3), ob sich
die Aktuatoren als Reaktion auf die falsche ID bewegen. Wie oben
bezüglich
der Beschreibung von 3 beschrieben, liefert der Ausgangsnabenwinkelpositionspotentiometer 76 einen
variablen Widerstand, wenn sich die Ausgangsnabe dreht, was von dem
Decodierer 78 über
Verbinder 80 erfaßt
wird. Der Decodierer 78 sendet ein Signal 90 an
den Mikroprozessor 44, das die Bewegung des Motors 68 anzeigt.
Falls wieder unter Bezugnahme auf 4 bei Schritt 88 eine
Bewegung detektiert wird, blockiert der Mikroprozessor 44 das
System und liefert eine Anzeige, daß das System blockiert worden
ist. Alternativ kann der Mikroprozessor 44 einen Anruf
an einen zertifizierten Installierer erzeugen. Wenn der Mikroprozessor 44 bei
Schritt 88 bestimmt, daß der Motor 68 nicht
auf die falsche ID reagiert hat, wird bei Schritt 91 eine
korrekte ID zusammen mit Teststeuersignalen sowohl im Uhrzeigersinn
als auch entgegen dem Uhrzeigersinn erzeugt, und diese Signale werden über Verbinder 63 an
die Aktuatoren geschickt. Bei Schritt 92 bestimmt der Mikroprozessor 44,
ob sich die Aktuatoren als Reaktion auf die korrekte ID und Teststeuersignale
ordnungsgemäß bewegten. Beispielsweise
wird der Mikroprozessor 44 bestimmen, ob sich die Aktuatoren
als Reaktion auf die Teststeuersignale überhaupt oder ob sie sich um
den ordnungsgemäßen Betrag
bewegt haben. Falls sie sich nicht ordnungsgemäß oder überhaupt nicht bewegt haben,
blockiert der Mikroprozessor 44 das System auf die oben
beschriebene Weise. Eine nicht ordnungsgemäße Bewegung der Aktuatoren
zeigt an, daß die
Aktuatoren nicht ordnungsgemäß arbeiten
und ausgetauscht werden sollten. Wenn sich die Aktuatoren tatsächlich ordnungsgemäß bewegt
haben, dann geht das System bei Schritt 94 in einen Betriebsmodus.
-
5 ist
ein schematisches Flußdiagramm der
Funktionsweise der Aktuatorenmikroprozessor wie etwa des Mikroprozessors 78 des
Aktuators 56. Der Aktuator wird bei Schritt 102 automatisch
abgeklemmt, um einen Betrieb des Aktuators zu verhindern, bis der
Aktuator freigegeben wird. Der Mikroprozessor 78 prüft dann
bei Schritt 104, ob eine erste Identifikationszahl zusammen
mit einem Teststeuersignal empfangen wird. Falls keine erste Identifikationszahl
empfangen wird, wird der Aktuator bei Schritt 102 abgeklemmt.
Falls die erste Identifikationszahl empfangen wird, vergleicht der
Mikroprozessor 78 bei Schritt 108 die erste ID
mit der gespeicherten ID für
den Aktuator. Bei Schritt 110 bestimmt der Mikroprozessor,
ob zwischen der ersten ID und der gespeicherten Aktuator-ID eine Übereinstimmung
vorliegt. Da die erste ID eine falsche ID sein sollte, bewirkt eine Übereinstimmung
zwischen diesen IDs, daß der Aktuator
bei Schritt 102 abgeklemmt wird. Falls keine Übereinstimmung
vorliegt, dann ist die erste ID tatsächlich eine falsche ID und
der Aktuator wird bei Schritt 112 nicht als Reaktion auf
die Teststeuersignale bewegt. Bei Schritt 114 bestimmt
der Mikroprozessor 78, ob eine zweite ID mit zweiten Teststeuersignalen
empfangen wird. Falls keine zweite ID mit dem zweiten Teststeuersignal
empfangen wird, dann wird der Aktuator bei Schritt 102 abgeklemmt.
Falls die zweite ID mit den zweiten Teststeuersignalen empfangen
wird, vergleicht der Mikroprozessor 78 die zweite ID bei
Schritt 116 mit der gespeicherten Aktuator-ID. Falls die
IDs nicht übereinstimmen,
wird der Aktuator bei Schritt 102 abgeklemmt, da die zweite
ID der gespeicherten ID für
den Aktuator entsprechen sollte. Falls eine Übereinstimmung vorliegt, werden
die Aktuatoren freigegeben und bei Schritt 120 als Reaktion
auf die zweiten Teststeuersignale bewegt. Die Aktuatoren werden
dann bei Schritt 122 in einen Betriebsmodus versetzt. Falls
die Aktuatoren bei Schritt 124 einen Rücksetzzustand detektieren, werden
die Aktuatoren in Schritt 102 abgeklemmt. Wenn gemäß Schritt 84 von 4 ein
Abklemmschlüssel
empfangen wird, werden auch die Aktuatoren abgeklemmt. Der Prozeß beginnt
dann wieder bei Schritt 102.
-
Durch
das in 3, 4 und 5 dargestellte
Rückkopplungssystem
entfällt
die Notwendigkeit, daß irgendwelche
Sicherheitssoftware in den Aktuatormikroprozessor aufgenommen wird,
wie etwa den Aktuatormikroprozessor 78. Der Brennstoffluftcontroller 42 verwendet
im Mikroprozessor 44 ein Betriebssystem nach der zugelassenen
Klasse C. Der Brennstoffluftcontroller 42 führt Plausibilitätsprüfungen an
den Aktuatoren durch, die verifizieren, daß die zu dem Aktuator geschickten
Befehle, um den Aktuator entweder im Uhrzeigersinn oder entgegen dem
Uhrzeigersinn zu drehen, tatsächlich
auf ordnungsgemäße Weise
von dem Aktuator ausgeführt werden.
Diese Verifikation wird von dem Ausgangsnabenwinkelpositionspotentiometer 76 über dem
Decodierer 78 geliefert. Infolgedessen braucht in dem Aktuator
keine teure Sicherheitssoftware enthalten zu sein, und der Aktuator
kann mit einem preiswerten Prozessor implementiert werden.
-
Die
vorliegende Erfindung stellt somit ein System bereit, das in der
Lage ist, den Austausch von Komponenten wie etwa Brennstoffluftcontroller oder
Aktuatoren, die ursprünglich
in Betrieb genommen wurden oder ursprünglich mit dem System konfiguriert
wurden, zu verhindern. Die vorliegende Erfindung verhindert den
Betrieb des Systems, wenn der Controller dem Aktuator keine ordnungsgemäße ID liefert.
Um sicherzustellen, daß an
dem System keine unerlaubten Änderungen
vorgenommen worden sind oder es auf irgendwelche Weise außer Kraft gesetzt
worden ist, werden falsche IDs zusammen mit Teststeuersignalen geliefert.
Falls das System als Reaktion auf falsche IDs arbeitet, dann ist
dies ein Hinweis darauf, daß an
dem System unerlaubte Änderungen
vorgenommen worden sind, und das System wird abgeschaltet. Das System
kann auch verifizieren, daß die
Komponenten ordnungsgemäß arbeiten.