HUT73858A - Device for monitoring at least one safety-relevant function of an apparatus - Google Patents

Description

Készülék egy berendezés biztonsági szempontból fontos legalább egy funkciójának ellenőrzésére

A találmány tárgya készülék egy berendezés biztonsági szempontból fontos legalább egy funkciójának ellenőrzésére. A készülék két vagy több mikroprocesszort tartalmaz, amelyeket adatbusz köt össze. Ilyen készülék például a DE-OS 39 23 773 számú német közzétételi iratból ismert. Ez a készülék tüzelőanyagfűtésű berendezés vezérlésére és ellenőrzésére szolgál, és két mikroszámítógéprendszert tartalmaz, amelyeket adatbusz köt össze. Azokat a bemenőjeleket, amelyek a berendezésnek a biztonsági szempontból fontos funkcióit reprezentálják, mindkét mikroszámítógéprendszerbe bevezetik. Mindkét mikroszámítógéprendszer kiszámítja a megfelelő beavatkozójeleket, például mágnesszelepek számára. Kimenőjel csak akkor jut egy végfokozatra, ha a két mikroszámítógéprendszer beavatkozó parancsa azonos. Mindegyik mikroszámítógéprendszernek lehetősége van arra, hogy egy közös biztonsági lekapcsolón át minden végfokozatot árammentes állapotba kapcsoljon, és ezzel a tüzelőanyagfűtésű berendezést biztonságos állapotba vigye át.

Találmányunk célja olyan készülék egy berendezés biztonsági szempontból fontos legalább egy funkciójának ellenőrzésére, amely nagyon üzembiztos.

Ezt a feladatot a találmány értelmében úgy oldjuk meg, hogy mindegyik mikroprocesszorhoz saját nem felejtő tároló van hozzárendelve. A nem felejtő tároló a mikroprocesszorral írható és törölhető, valamint olvasható. A mikroprocesszor az észlelt hibákat a tárolóban tárolja.

A találmány értelmében tehát mindegyik mikroprocesszorhoz, amelyek egymástól függetlenül hibaészlelést végeznek, saját írható és olvasható tároló van hozzárendelve, amelyet a továbbiakban EEPROM-nak (elektromosan törölhető, programozható memória) nevezünk. Az üzembiztonságot fokozza, hogy az egy-egy mikroprocesszort tartalmazó ellenőrzési csatornák messzemenően elválaszthatóak. A mikroprocesszorokat csak egy közös adatbusz köti össze, ami lehetővé teszi információk közlését a két mikroprocesszorra egy adott esetben további mikroprocesszorról, és elsősorban lehetővé teszi az adatcserét a mikroprocesszorok között az észlelt hiba összehasonlítása végett.

A találmány egyik előnyös kiviteli alakjában írható és törölhető tárolóként egy EEPROM szolgál.

A találmány egyik előnyös továbbfejlesztése értelmében

- amely hiba esetén lehetővé teszi a berendezés gyors lekapcsolását - az egyik mikroprocesszor az általa észlelt hiba esetén beindítja a berendezés gyors lekapcsolását, és az észlelt hiba jellegét az EEPROM-ban tárolja.

A találmány egy másik előnyös továbbfejlesztése értelmében az EEPROM-okban lévő tártartalmat vagy periodikus időközökben vagy legalábbis hiba bekövetkezése után összehasonlítjuk egymással. Ha a hibák megegyeznek, akkor a berendezés véglegesen lekapcsolható. Ha viszont a tárolók tartalma nem egyezik meg, akkor lehetséges, hogy véletlen hiba következett be, amit például elektromágneses zavar okozott. A berendezés ekkor üzemben maradhat. Ha a berendezés gyors lekapcsolással már lekapcsolódott, akkor újból üzembe helyezhető.

A találmány egyik előnyös kiviteli alakjában mindegyik mikroprocesszor más-más funkciót vezérel, és ezeknek a funkcióknak a berendezés üzembe helyezéséhez vagy üzemeltetéséhez egy ÉS-feltételt kell teljesíteniük. Ez a kiviteli alak alkalmazható tüzelőanyagfűtésű berendezésben, és ekkor előnyös módon mindegyik mikroprocesszorhoz egy olajbevezetésben vagy gázbevezetésben elhelyezett mágnesszelep van hozzárendelve.

A találmány szerinti készülék különösen jól alkalmazható olyan berendezésekhez, amelyeknél szigorúak a biztonsági követelmények, és ugyanakkor a rendelkezésre állási időnek magasnak kell lennie. 1/ Az egyik előnyös alkalmazási terület a tüzelőanyagfútésű olyan berendezések, amelyeknél elsősorban a nagy üzembiztonság fontos. Egy másik előnyös alkalmazási terület a gépjárművekbe beépített vezérlések. A szigorú biztonsági követelmények mellett ezen az alkalmazási területen járulékosan még a rendelkezésre állási időnek magasnak kell lennie annak biztosítása végett, hogy a gépjárművel legalább a legközelebbi gépjárműjavító műhelybe még el lehessen jutni. A véletlen zavarok, például elektromágneses zavarok tüzelőanyagfűtésű berendezés esetén elsősorban az energiaellátási csatlakozáson át jutnak a berendezésbe, míg a gépjárművekbe beépített vezérlőkészülékek elsősorban nagyfrekvenciás elektromágneses zavaroknak vannak kitéve, amelyek mind a járművön kívül, mind magában a járműben felléphetnek.

Találmányunkat annak példaképpen! kiviteli alakjai kapcsán ismertetjük részletesebben ábráink segítségével, amelyek közül az

1. ábra egy készülék kapcsolási tömbvázlata, amelynél a találmány szerinti eljárás alkalmazható, a

2. ábra az 1. ábra szerinti készülékben folyó eljárás folyamatábráj a.

Az 1. ábrán látható egy első, 10a mikroprocesszor és egy második, 10b mikroprocesszor, amelyeket egy 11 adatbusz köt össze. Az első, 10a mikroprocesszor egy első, 12a fix tárolóval és egy első, 13a programozható és törölhető tárolóval működik együtt. A 12a fix tárolót a továbbiakban első PROM-nak nevezzük, a 13a programozható és törölhető tárolót a továbbiakban EEPROMnak nevezzük. Az első, 10a mikroprocesszor egy első, 14a kimenőjelet ad egy 15 gyújtóberendezésre, valamint egy második, 16a kimenőjelet ad egy első, 18a végfokozatra.

Az első, 18a végfokozat áramot ad egy 21 vezetékben elhelyezett első, 20a mágnesszelep első, 19a tekercsére. Az első, 19a tekercsen át folyó áram észlelésére az első, 22a áramérzékelő szolgál, amely egy első, 23a bemenőjelet ad az első, 10a mikroprocesszorra.

Az első, 10a mikroprocesszor kap egy 24 kapcsoló által leadott második, 25a bemenőjelet, egy 26 lángellenőrző berendezés által leadott harmadik, 27a bemenőjelet, egy 28 alaphelyzetbe állító kapcsolás által leadott negyedik, 29 bemenójelet, valamint egy 30 határhőmérséklet-távadó által leadott ötödik, 31a bemenőjelet.

A második, 10b mikroprocesszor kapcsolása teljesen megegyezik az első, 10a mikroprocesszor kapcsolásával.

A második, 10b mikroprocesszor egy harmadik, 14b kimenőjelet ad egy 15 gyújtóberendezésre, valamint egy negyedik, 16b

kimenőjelet ad egy második, 18b végfokozatra.

A második, 18b végfokozat áramot ad egy 21 vezetékben elhelyezett második, 20b mágnesszelep második, 19b tekercsére. A második, 19b tekercsen át folyó áram észlelésére a második, 22b áramérzékelő szolgál, amely egy hatodik, 23b bemenőjelet ad a második, 10b mikroprocesszorra.

A második, 10b mikroprocesszor kap egy 24 kapcsoló által leadott hetedik, 25b bemenőjelet, egy 26 lángellenőrző berendezés által leadott nyolcadik, 27b bemenőjelet, egy 28 alaphelyzetbe állító kapcsolás által leadott kilencedik, 29 bemenőjelet, valamint egy 30 határhőmérséklet-távadó által leadott tizedik, 31b bemenőjelet.

A két, 10a és 10b mikroprocesszort összekötő 11 adatbusz össze van kötve továbbá egy harmadik, 32 mikroprocesszorral, amely egy ötödik, 33a kimenőjelet ad az első, 18a végfokozatra és egy hatodik, 33b kimenőjelet ad a második, 18b végfokozatra. A harmadik, 32 mikroprocesszor egy harmadik, 38 fix tárolóval (a továbbiakban PROM) működik együtt. A harmadik, 32 mikroprocesszor kap egy tizenegyedik, 34 bemenőjelet, amelyet a 30 határhőmérséklet-távadó szolgáltat. Egy tizenkettedik, 35 bemenőjelet a harmadik, 32 mikroprocesszornak a 26 lángellenőrző berendezés szolgáltat. Egy utolsó, tizenharmadik, 36 bemenőjelet egy 37 bemeneti egység adja a harmadik, 32 mikroprocesszorra.

Az 1. ábrán látható kiviteli alak egy berendezés biztonsági szempontból fontos legalább egy funkciójának ellenőrzésére alkalmas kétcsatornás biztonsági koncepció megvalósítása. A kétcsatornás biztonsági koncepció lényeges része a két, 10a és 10b mikroprocesszor. Adott esetben minden további nélkül • ·· · · · · · ··· · ♦ 4 · · • · · · ··· · · · megvalósítható a kibővítés többcsatornás koncepcióra, amely további mikroprocesszorokat tartalmaz. A kibővítés további biztonsági csatornákra minden további nélkül lehetséges, mivel az egyes csatornák felépítése messzemenően azonos. Az, hogy melyik funkciót vagy mely funkciókat kell biztonsági szempontból fontosnak tekinteni, a mindenkori alkalmazási esettől függ. Az 1. ábrán látható kiviteli alak előnyösen tüzelóanyagfútésű berendezésben alkalmazható. A tüzelőanyagot a 21 vezetékben egy részletesebben nem ábrázolt égőhöz vezetjük. A tüzelőanyag beáramlását két, a 21 vezetékben elhelyezett, áramlási irányban sorba kapcsolt 20a, 20b mágnesszelep zárja el vagy teszi szabaddá. A 20a, 20b mágnesszelep a hozzá tartozó 19a, 19b tekercsben folyó áramtól függően működik. A biztonság szempontjából fontos első funkció a 20a, 20b mágnesszelep működtetési állapota. Az első, 19a tekercsben folyó áramot az első, 22a áramérzékelő észleli, amely leadja az első, 23a bemenőjelet az első, 10a mikroprocesszorra. A második, 19b tekercsben folyó áramot a második, 22b áramérzékelő érzékeli, amely leadja a hatodik, 23b bemenőjelet a második, 10b mikroprocesszorra. A tüzelőanyagfűtésű berendezéshez alkalmazott példaképpeni kiviteli alakhoz tartozó eszköz továbbá a 30 határhőmérséklet-távadó, valamint a 26 lángellenőrző berendezés, amelyeket ugyancsak biztonsági szempontból fontos funkciónak kell tekinteni. Az alkalmazási területtől független a 28 alaphelyzetbe állító kapcsolás, amely például feszültségellenőrzést tartalmazhat a villamos komponensek számára. A tápfeszültség ellenőrzése így biztonsági szempontból fontos funkció ellenőrzésének tekinthető.

A biztonsági szempontból fontos funkciók ellenőrzésére lényegében a két, 10a, 10b mikroprocesszor szolgál, míg a harmadik, 32 mikroprocesszor lényegében a berendezés vezérlési vagy szabályozási feladatait látja el. A harmadik, 32 mikroprocesszor programját a 38 PROM tartalmazza, amely vagy a harmadik, 32 mikroprocesszorban van, vagy külső építőelemet képez. A tizenharmadik, 36 bemenőjellel, amit a 37 bemeneti egység ad le, például előre megadható egy kívánt névleges hőmérséklet, amit a tüzelőanyagfűtésú berendezésnek el kell érnie.

A harmadik, 32 mikroprocesszor például a két, 18a és 18b végfokozatot közvetlenül vezérelheti. Az ötödik, 33a kimenőjel vezérli az első, 18a végfokozatot, és a hatodik, 33b kimenőjel vezérli a második, 18b végfokozatot. Egy másik kialakításban a két, 18a és 18b végfokozatnak a harmadik, 32 mikroprocesszor által leadott 33a és 33b kimenőjel mellett járulékosan az első, 10a mikroprocesszor és a második, 10b mikroprocesszor által leadott 16a és 16b kimenőjelre is szüksége van ahhoz, hogy áramot adjon a 19a, illetőleg 19b tekercsre. Az egyik előnyös kiviteli alakban a két, 18a és 18b végfokozatot kizárólag a két, 10a és 10b mikroprocesszor által leadott 16a és 16b kimenőjel működteti.

A hőigényre vonatkozó információt a harmadik, 32 mikroprocesszor a közös 11 adatbuszon közölheti a másik két, 10a és 10b mikroprocesszorral, amelyek ekkor megfelelő 16a és 16b kimenőjelet adnak le. Az első 17a kondenzátor és a második, 17b kondenzátor gondoskodik az adott, 18a és 18b végfokozat dinamikus vezérléséről. Ez a megoldás fokozza az üzembiztonságot azáltal, hogy a két, 10a és 10b mikroprocesszor legalább egyikének kiesését - amelynél az egyik vagy mindkét 16a és 16b kimenőjel a 10a és 10b mikroprocesszor megfelelő kimenetén statikus értéket venne fel - felfogja. Ha a 20a, 20b mágnesszelep lehetővé teszi az átáramló mennyiség folytonos állítását, akkor a harmadik, 32 mikroprocesszor által leadott 33a és 33b kimenőjel és/vagy a két másik, 10a és 10b mikroprocesszor által leadott 16a és 16b kimenőjel impulzusszélesség-modulált lehet. Az impulzusszélesség-modulált jelet a két, 17a és 17b kondenzátor akadálytalanul átereszti.

Az 1. ábra szerinti kiviteli alak úgy van kialakítva, hogy a 15 gyújtóberendezést vagy az első, 10a mikroprocesszor, vagy a második, 10b mikroprocesszor vezérelheti a megfelelő 14a, 14b kimenőjellel. A 15 gyújtóberendezés például elektródákat tartalmaz, amelyek között nagyfeszültségű átütés következik be, és ez a például porlasztótt olajat vagy gázt meggyújtja. A láng jelentkezését a 26 lángellenőrző berendezés észleli. Az eredmény harmadik, 27a bemenőjélként az első, 10a mikroprocesszorra, nyolcadik, 27b bemenőjélként a második, 10b mikroprocesszorra, és adott esetben tizenkettedik, 35 bemenőjélként a harmadik, 32 mikroprocesszorra jut. A biztonság ellenőrzése előnyös módon csak az első és második, 10a és 10b mikroprocesszorban folyik.

A biztonság másik ellenőrzése a 30 határhőmérséklet-távadó által leadott jeleket használja. Az első, 10a mikroprocesszor megkapja az ötödik, 31a bemenőjelet, és a második, 10b mikroprocesszor megkapja a tizedik, 31b bemenőjelet a 30 határhőmérséklet-távadótól.

A jelfeldolgozás az első, 10a mikroprocesszorba az első, 12a PROM-ban, a jelfeldolgozás a második, 10b mikroprocesszorban a második, 12b PROM-ban tárolt programtól függően van vezérelve. A két, 12a és 12b PROM-ot tartalmazhatja a 10a mikroprocesszor, illetőleg a 10b mikroprocesszor, vagy pedig ezeket külső építőelemek képezhetik.

Különösen fontos, hogy mindkét, 10a és 10b mikroprocesszorhoz saját 13a EEPROM, illetőleg 13b EEPROM van hozzárendelve. A 13a és 13b EEPROM-ot ugyancsak tartalmazhatja a 10a mikroprocesszor, illetőleg a 10b mikroprocesszor, vagy pedig ezeket külső építőelemek képezhetik. A 13a és 13b EEPROM-ban a berendezés üzemi állapotait, a fellépett hibákat, reteszelési jelöléseket, valamint markerjeleket lehet tárolni.

Az állapot, a hibák és a további jelek észlelését az első és a második, 10a, 10b mikroprocesszor külön-külön végzi. A két, 10a, 10b mikroprocesszor között a 11 adatbuszon át folyik adatcsere. Ezért lehetőség van arra, hogy az egyik 10a, 10b mikroprocesszor olvassa a másik 10a, 10b mikroprocesszorhoz hozzárendelt 13a és 13b EEPROM-ot.

A találmány értelmében mindegyik újbóli üzembe helyezéskor egy másik 10a, 10b mikroprocesszorhoz rendelünk hozzá gazda funkciót, és csak a gazda mikroprocesszor indíthatja meg a berendezés üzembe helyezéséhez szükséges folyamatot. A tárgyalt kiviteli alakban ez a folyamat abból áll, hogy az első, 10a mikroprocesszor leadja az első, 14a kimenőjelet vagy a második, 10b mikroprocesszor leadja a harmadik, 14b kimenőjelet a 15 gyújtóberendezés működtetéséhez. Amelyik 10a, 10b mikroprocesszor nem gazda, az szolgaként működik. A gazda funkció a berendezés üzembe helyezésére való jogosultság váltása mellett azt is jelentheti, hogy a mindenkori gazda ellenőrzi az adatátvitelt a

adatbuszon át.

A berendezés üzembe helyezését például a harmadik, 32 mikroprocesszor hőigény következtében indíthatja. Egy másik lehetőség a 28 alaphelyzetbe állító kapcsolásból indul ki. A 28 alaphelyzetbe állító kapcsolás az üzemi feszültség egy zavara után - ha további hiba nem következett be - újbóli üzembe helyezést indít az általa leadott 29a bemenőjellel és 29b bemenőjellel. Ezek a jelek negyedik, 29a bemenőjélként az első, 10a mikroprocesszorra és kilencedik, 29b bemenőjélként a második, 10b mikroprocesszorra jutnak. Az újbóli üzembe helyezés kiindulhat továbbá egy programból. Ezt lentebb részletesen taglaljuk. Annak meghatározása, hogy a két, 10a, 10b mikroprocesszor közül melyik működjön gazdaként, történhet az egyik vagy mindkét 13a, 13b EEPROM-ba bevitt utasítással. Ez az utasítás példa a markerjelre.

A hibaállapotok, amelyeket a két 10a, 10b mikroprocesszor külön-külön megállapít, például a bemenőjelek plauzibilitásvizsgálatából adódnak. Hiba áll fenn például akkor, ha egy 23a, 23b bemenőjel azt jelzi, hogy a 19a, 19b tekercsen át áram folyik, és a 15 gyújtóberendezés nincs működtetve. Másik példa hibára annak az előre meghatározott időnek az ellenőrzése, amelyen belül a 26 lángellenőrző berendezésnek jelet kell leadnia, miután a 15 gyújtóberendezést működtették. Ugyancsak hibák a két 10a, 10b mikroprocesszort tartalmazó csatorna közötti eltérések. Ilyen például az, hogy az első, 23a bemenőjel az első, 22a áramérzékelő által észlelt áramot jelez, míg a második, 22b áramérzékelő által leadott hatodik, 23b bemenőjel nem jelez áramot.

Egy előnyös folyamatot, amely legalább az egyik 10a, 10b mikroprocesszorban észlelt hiba esetén végbemehet, a 2. ábra szerinti folyamatábra kapcsán ismertetünk részletesebben. A 40 lépés az igény a berendezés üzembe helyezésére. Ezt követi a 41 lépés, a gazda funkció megadása vagy az első, 10a mikroprocesszornak, vagy a második, 10b mikroprocesszornak. A berendezés üzembe helyezésére vonatkozó igény (40 lépés) például a harmadik, 32 mikroprocesszor által kiváltott hőigény. A 42 lépés az üzembe helyezés, ami a szóban forgó kiviteli alakban a 15 gyújtóberendezésnek az egyik 10a, 10b mikroprocesszor által indított működtetéséből, valamint a két 20a, 20b mágnesszelep nyitásából áll. A 42 lépés után a 43 lépésben, egy lekérdezésben megállapítjuk, hogy bekövetkezett-e hiba? A 43 lépés szerinti lekérdezés mind az első, 10a mikroprocesszorban, mind a második, 10b mikroprocesszorban végbemegy. A lekérdezések tartalma a két 10a, 10b mikroprocesszorban különböző lehet. Minden esetben fellép egy időeltolás, ami a gazda és szolga kijelölésének a következménye.

A 43 lépés szerinti lekérdezésben megállapított hiba a következő, 44 lépésben gyors lekapcsolást válthat ki. Az ismertetett kiviteli alakban gyors lekapcsolás például akkor következik be, ha a 15 gyújtóberendezés működtetése után a 26 lángellenőrző berendezés nem ad le megfelelő jelet, ami láng jelenlétét jelezné. A 44 lépés gyors lekapcsolása megvalósítható például legalább egy, előnyös módon mindkét 20a, 20b mágnesszelep zárásával. Egy másik feltétel, ami gyors lekapcsolás kiváltásához vezet, például a 30 határhőmérséklet-távadó által meghatározott határhőmérséklet túllépése. A folyamatábrán szaggatott vonallal ··· ···· · • ·· · ··· ··· ábrázolt 44 lépésbeli gyors lekapcsolás helyett azonnal a 45 lépésre, egy tárolási folyamatra lehet lépni. A 44 lépésbeli gyors lekapcsolás átugrása - mint már említettük - a fellépett hibától függően határozható meg. A tárolási folyamatban az első, 10a és a második, 10b mikroprocesszor által megállapított hibát a megfelelő 13a és 13b EEPROM-ban tároljuk. Adott esetben a fennálló üzemállapotokat ugyancsak a 13a és 13b EEPROM-ban tároljuk. Járulékosan bevihető egy reteszelési jelölés, elsősorban akkor, ha a 44 lépésben gyors lekapcsolás volt.

A 45 lépésben végzett tárolást a 46 lépésben összehasonlítás követi, amelynek során összehasonlítjuk a 13a és 13b EEPROM tartalmát. A 11 adatbuszon át folyó adatcserét előnyös módon az a 10a, 10b mikroprocesszor vezérli, amelyikhez az adott időpontban a gazda funkció hozzá van rendelve. Ugyanígy a mindenkori gazda végezheti az összehasonlítási műveleteket. A 47 lépésben, egy további lekérdezésben megállapítjuk, hogy a tárolt tartalmak megegyeznek-e? Egy hiba megegyező bevitele minden esetben a 48 lépéshez, a berendezés végleges lekapcsolásához vezet. Ha a berendezés már a 44 lépésben gyors lekapcsolással leállt, akkor a 13a és 13b EEPROM-ban a megállapított hibánál egy reteszelési jelölés kerül bevitelre. A 48 lépésben bekövetkezett végleges lekapcsolás után a berendezés újbóli üzembe helyezése csak a 24 kapcsoló kézi működtetésével lehetséges. A 24 kapcsolót normális esetben a kihívott szerviztechnikus működteti, akinek a bekövetkezett hiba megállapítása végett lehetősége van arra, hogy a 13a és 13b EEPROM tartalmát egy az 1. ábrán részletesebben nem ábrázolt készülékkel lekérdezze. A 13a és 13b EEPROM-ot le lehet kérdezni például a 11 adatbuszon át, amely diagnosztikai « ·« • · · · · • · ·· · • · · · · · • · · ♦ · · · • · ♦ ·«· ·« · berendezéssel van összekötve. Ha a 13a és 13b EEPROM különálló építőelemet képez, akkor tartalmukat közvetlenül magán az építőelemen ki lehet olvasni.

Ha a 47 lépés, a lekérdezés során az az eset fordul elő, hogy egy hiba csak az egyik, 13a vagy 13b EEPROM-ban van tárolva, vagy a két 13a és 13b EEPROM-ba különböző hibákat vittek be, akkor bizonyos valószínűséggel arra lehet következtetni, hogy egy vagy több szórványos hiba lépett fel, amelyeket például elektromágneses zavar idézett elő. A 47 lépésről, a további lekérdezésről ebben az esetben közvetlenül a 41 lépésre, a gazda funkció megadására lehet lépni, ahol a gazda funkció hozzárendelése az egyik 10a vagy 10b mikroprocesszorhoz megváltozik. Ha a 44 lépésben a gyors lekapcsolás nem volt tartós, akkor közvetlenül a 43 lépés szerinti lekérdezés elé lehet ugorni. Ekkor a 42 lépés, az üzembe helyezés elmarad. Előnyös módon azonban a berendezést előbb üzemen kívül helyezzük, majd a 42 lépésben az üzembe helyezést újból elvégezzük, hogy a kezdeti feltételek definiáltak legyenek.

A 2. ábra szerinti programsorrend helyett - amely szerint a berendezés lekapcsolása csak a 43 lépés szerinti lekérdezés után, vagy adott esetben egy 47 lépés szerinti további lekérdezés után következik - a 46 lépés, az összehasonlítás lehet független. A 13a és 13b EEPROM tartalma például ciklikusan olvasható és összehasonlítható függetlenül attól, hogy volt-e bevitel, vagy hogy a 10a, 10b mikroprocesszor megállapított-e hibát. Ha ezután a 46 lépés szerinti összehasonlítással megegyező összehasonlítás során megállapítjuk, hogy a két, 13a és 13b EEPROM tartalma eltérő, akkor előírható először egy lekapcsolás, majd egy újbóli üzembe helyezés annak megállapítása végett, hogy szórványosan bekövetkező hiba következett-e be az egyik 10a, 10b mikroprocesszorban.

Claims (9)

1. SZABADALMI IGÉNYPONTOK

   1. Készülék egy berendezés biztonsági szempontból fontos legalább egy funkciójának ellenőrzésére, amely két vagy több mikroprocesszort (10a, 10b) tartalmaz, amelyeket adatbusz (11) köt össze, azzal jellemezve, hogy mindegyik mikroprocesszorhoz (10a, 10b) saját nem felejtő tároló van hozzárendelve, és hogy a nem felejtő tároló a mikroprocesszorral (10a, 10b) írható és törölhető, valamint olvasható, és hogy a mikroprocesszor (10a, 10b) az észlelt hibákat a tárolóban tárolja.
2. 2. Az 1. igénypont szerinti készülék, azzal jelleme z ve, hogy nem felejtő tárolóként EEPROM tároló (13a, 13b) szolgál.
3. 3. A 2. igénypont szerinti készülék, azzal jelleme z ve, hogy egy lekérdezés (43 lépés) során egy mikroprocesszor (10a, 10b) által megállapított hiba előidézi a berendezés gyors lekapcsolását (44 lépés), és hogy a megállapított az EEPROM-ban (13a, 13b) van tárolva.
4. 4 . A 2. vagy 3.

   igénypont szerinti készülék azzal j ellemezve, hogy egy összehasonlítás (46 lépés) során az

   EEPROM-ok (13a, 13b) tartalmát összehasonlítja, és tárolt hibák megegyezése esetén végleges lekapcsolást (48 lépés) végez.
5. 5. A 2. vagy 3. igénypont szerinti készülék, azzal j ellemezve, hogy EEPROM-ok (13a, 13b) tartalmát összehasonlítja (46 lépés); ha ez nem megegyező, akkor a berendezést nem kapcsolja le, vagy a berendezést gyors lekapcsolás (44 lépés) végrehajtása után újból üzembe helyezi.

   • · ♦ ··
6. 6. Az 1. igénypont szerinti készülék, azzal jellemezve, hogy mindegyik mikroprocesszor (10a, 10b) különálló funkciót, például mágnesszelepeket (20a, 20b) vezérel, és a funkcióknak a berendezés üzembe helyezéséhez vagy üzemeltetéséhez egy ÉS-feltételt kell teljesíteniük.
7. 7. Az 1-6. igénypontok bármelyike szerinti készülék, azzal jellemezve, hogy tüzelőanyagfűtésű berendezéshez alkalmazzák.
8. 8. A 7. igénypont szerinti készülék, azzal jellemezve, hogy mindegyik mikroprocesszorhoz (10a, 10b) egy olajbevezetésben vagy gázbevezetésben elhelyezett mágnesszelep (20a, 20b) van hozzárendelve.
9. 9. Az 1-8. igénypontok bármelyike szerinti készülék, azzal jellemezve, hogy vezérlőkészülékekben alkalmazzák, amelyek előnyös módon gépjárműbe vannak beépítve.