Überwachungsschaltung für computergesteuerte Sicherheitsgeräte

Beschreibung

[0001] Die Erfindung betrifft eine Überwachungsschaltung für computergesteuerte Sicherheitsgeräte mit einem durch ein erstes Ansteuersignal vom Computer in eine Betriebsstellung bringbaren Umschaltglied, wobei ein Haltekondensator parallel zum Ansteuerzweig des Umschaltglieds geschaltet ist, und wobei der Haltekondensator in der Ruhestellung des Umschaltglieds über einen Ladestromkreis aufladbar ist.

[0002] Eine derartige Überwachungsschaltung ist aus GB-A-2 207 307 bekannt. Die bekannte Überwachungsschaltung vergleicht ein analoges Sensorsignal mit einem analogen Referenzsignal, wobei die beiden Signale abwechselnd in demselben AD-Wandler digitalisiert werden. Die Ergebnisse des Vergleichs werden ständig dynamisch ausgewertet und entsprechend ein Sicherheitskontrollkontakt betätigt.

[0003] Computergesteuerte bzw. mikroprozessorgesteuerte Sicherheitsgeräte bedürfen über normale Sicherungsfunktionen hinaus besonderer Überwachungsmaßnahmen, die auch im Fehlerfall des steuernden Computers die Sicherheit gewährleisten.

[0004] Unter Sicherheitsgeräten versteht man bei Gasinstallationen Gasventile, Zündeinrichtungen u. ä.

[0005] Dagegen gibt es auch nichtsicherheitsrelevante Verbraucher, wie Gebläsemotoren, Umwälzpumpen, Dreiwegeventile usw.

[0006] Für die von den Sicherheitsgeräten zu erfüllenden Sicherheitsklassen gibt es einschlägige Normen und Vorschriften. Dabei werden in der Gasbrenner-Sicherheitstechnik im wesentlichen zwei Betriebsarten unterschieden. Diese sind "intermittierender Betrieb" unter 24 Stunden Dauer und "Dauerbetrieb". Für den intermittierenden Betrieb ist insbesondere eine "Anlaufüberwachung" wichtig, d. h., daß die für die Sicherheit wichtigen Funktionen oder Schaltungskomponenten vor Gasfreigabe geprüft werden müssen. Bei Folgesteuerungen muß ein Fehler im Verlauf einer Schaltfolge erkannt und die Gasfreigabe zweifelsfrei verhindert werden.

[0007] Beim Dauerbetrieb müssen die Fehler ständig, d.h. kontinuierlich oder quasi kontinuierlich erkannt werden, und die Abschaltung muß innerhalb einer gewissen Zeit erfolgen. Bei einer Mikroprozessorsteuerung solcher Gasbrenner kann es vorkommen, daß der steuernde Mikroprozessor im Fehlerfall ein Steuerprogramm nicht mehr ausführt oder durch Störungen (EMV) unverhergesehene Programmsprünge oder Zustandsänderungen auftreten.

[0008] Gattungsgemäße Überwachungsschaltungen, die mittels eines vom Mikroprozessor durch Ansteuerimpulse beaufschlagten Relais eine sogenannte "Watchdog"-Funktion erfüllen, sind im Stand der Technik bekannt. Das Sicherheitsrelais hält die sicherheitsrelevanten Geräte zunächst abgeschaltet, bis der Mikroprozessor unter Einhaltung geforderter Zeitbedingungen seine Selbsttestroutine erfolgreich abgeschlossen hat. Weiterhin verlangt die Überwachungsschaltung, daß der Mikroprozessor nach Durchführung des Selbsttests ständig weitere Ausgabebefehle erzeugen muß, die das Sicherheitsrelais in seiner Betriebsstellung halten.

[0009] Bei solchen Überwachungsschaltungen besteht ein besonderes Bedürfnis einer einfachen und möglichst eigensicheren Schaltungsanordnung.

[0010] Es ist deshalb Aufgabe der Erfindung eine gattungsgemäße Überwachungsanordnung so zu ermöglichen, daß eine besonders einfache Schaltungsanordnung mit hoher Eigensicherheit realisiert werden kann.

[0011] Die obige Aufgabe wird bei einer gattungsgemäßen Überwachungsschaltung erfindungsgemäß dadurch gelöst,
daß der Widerstand des Ladestromkreises des Haltekondensators so hochohmig gewählt ist, daß es dem Umschaltglied nicht möglich ist, direkt über den Widerstand anzuziehen, daß im Ladestromkreis des Haltekondensators ein Spannungsteiler eingeschaltet ist, wobei mit dem einen Ende des Spannungsteilers mindestens ein sicherheits-technisches Gerät über ein Schaltelement verbunden ist und wobei der durch das Gerät bei durchgeschaltetem Schaltelement vom Spannungsteiler fließende Strom ein Aufladen des Haltekondensators verhindert, daß eine Ansteuerschaltung vorgesehen ist, durch die der Ansteuerweg des Umschaltgliedes hochohmig bzw. niederohmig werden kann, und daß das Umschaltglied nach erfolgter Ladung des Haltekondensators und gleichzeitigem Anliegen des ersten Ansteuersignals in seiner Betriebsstellung gehalten wird, bei der der Ladestromkreis abgeschaltet ist.

[0012] Eine Forderung für eine solche Überwachungsschaltung für Gasfeuerungsautomaten besteht darin, daß letztere bei Auftreten eines unzulässigen Betriebszustandes abgeschaltet bleiben und eine Störverriegelung erfolgen muß. Die Stromversorgungsleitung zu jedem sicherheitsrelevanten Verbraucher ist über einen Umschaltkontakt des genannten Umschaltglieds geführt, wobei in den Stromspeiseleitungen zu den sicherheitsrelevanten Verbrauchern nochmals jeweils mindestens ein Schaltelement vorgesehen ist, dessen geöffneter Zustand miterfaßt wird. Dies geschieht dadurch, daß das Schaltelement in der Ruhestellung des Umschaltglieds zusammen mit dem sicherheitsrelevanten Verbraucher dem Haltekondensator parallel geschaltet ist, wobei im Ladestromkreis des Haltekondensators nach dem Umschalter des Umschaltglieds ein Spannungsteiler eingeschaltet ist, mit dessen einem Ende mindestens ein sicherheitstechnisches Gerät über eines der besagten Schaltelemente verbunden ist und wobei der durch das sicherheitsrelevante Gerät bei geschlossenem Schaltelement vom Spannungsteiler her fließende Strom eine Aufladung des Haltekondensators verhindert.

[0013] Bevorzugt ist als Umschaltglied ein Umschaltrelais eingesetzt.

[0014] Die Entriegelung muß von Hand und darf nicht durch Netzspannungsausfall und wiederkehrender Netzspannung erfolgen.

[0015] Gemäß einer vorteilhaften Ausbildung ist die erfindungsgemäße Überwachungsschaltung so ausgelegt, daß das Umschaltglied bei Netzausfall und Wiederkehr der Netzspannung in seiner Ruhestellung bleibt.

[0016] Da eine zeitliche Forderung besteht, daß die Störungsverriegelung für mindestens 10 Stunden gespeichert sein muß, kann man für den Fall, daß das Umschaltglied ein Umschaltrelais ist eine über diesen Zeitraum funktionsfähig bleibende Batterie-Notstromversorgung vorsehen. Die Störverriegelung kann in einem EEPROM, einem batteriegepufferten RAM oder einem zusätzlichen Remanenzrelais gespeichert werden.

[0017] Auf eine solche Notstromversorgung kann jedoch verzichtet werden, wenn als Störverriegelungselement ein Remanenzrelais parallel zum Umschaltrelais geschaltet wird oder das Umschaltglied ein Remanenzrelais ist.

[0018] Das Remanenzrelais wird bevorzugt durch Ansteuerimpulse vom Computer gesetzt und abgeworfen. Auf keinen Fall darf der Computer die Störverriegelung selbst löschen.

[0019] Dabei kann ein Remanenzrelais mit einer oder auch mehreren Wicklungen eingesetzt werden.

[0020] Das Remanenzrelais kann auch mit einem NTC-Widerstand gekoppelt werden, um das Remanenzrelais verzögert abzuwerfen.

[0021] Selbstverständlich kann auch eine ein Remanenzrelais enthaltende, das eigentliche Umschaltglied ansteuernde Schaltung vorgesehen werden. Solche Remanenzrelais haben den Vorteil, daß die Störung auch bei Ausfall der Netzspannung beliebig lange gespeichert wird. Eine Fern-Störentriegelung mittels elektrischen Impulsen kann nur vorgesehen werden, wenn die Störentriegelungseinrichtung im Sichtbereich des Brenners liegt.

[0022] Damit der steuernde Mikroprozessor die Überwachungsschaltung selbst überwachen kann, weist letztere einen ersten Ausgangsanschluß auf, der ein die Stellung des Umschaltglieds angebendes erstes Ausgangssignal abgibt, welches zum Mikroprozessor geführt ist. Weiterhin weist die Überwachungsschaltung vorteilhafterweise einen zweiten Ausgangsanschluß auf, über den der Mikroprozessor die korrekte Funktion der Überwachungsschaltung bei Anliegen des vom ihm erzeugten ersten Ansteuersignals abfragen kann.

[0023] Da es vorzuziehen ist, daß die Überwachungsschaltung potentialmäßig von dem Mikroprozessor getrennt ist, sind bei der bevorzugten Ausführungsart der Überwachungsschaltung zwischen dieser und dem ersten sowie dem zweiten Ausgangsanschluß jeweils eine Potentialtrennstufe vorgesehen.

[0024] In der bevorzugten Ausführungsform weist die Überwachungsschaltung eine logische Antivalenzschaltung auf, die das vom Mikroprozessor erzeugte erste Ansteuersignal mit einem zweiten, in regelmäßigen Zeitintervallen erzeugten Ansteuersignal so verknüpft, daß das Umschaltrelais nur dann in seine Betriebsstellung bringbar ist, wenn beide Ansteuersignale nicht gleichzeitig anliegen. Dazu muß im Mikroprozessor eine programmgesteuerte Synchronisation des ersten Ansteuersignals mit dem dem Mikroprozessor gleichfalls anliegenden zweiten Ansteuersignal vorgenommen werden.

[0025] Vorzugsweise ist die Antivalenzschaltung durch eine weitere Potentialtrennstufe potentialmäßig von der Überwachungsschaltung getrennt.

[0026] Weitere vorteilhafte Eigenschaften der erfindungsgemäßen Überwachungsschaltung werden im folgenden anhand der Zeichnung näher beschrieben, die mehrere Ausführungsalternativen und eine bevorzugte Ausführungsform der Erfindung darstellt. Es zeigen:

Fig. 1

in Blockform eine prinzipielle Schaltungsanordnung der erfindungsgemäßen Überwachungsschaltung;

Fig. 2

drei alternative Ausführungsformen einer Schaltung zur Erzeugung des am ersten Ausgangsanschluß anliegenden ersten Ausgangssignals;

Fig. 3

zwei alternative Schaltungsvarianten einer Ansteuerschaltung;

Fig. 4

ein Schaltdiagramm einer bevorzugten Ausführungsform der erfindungsgemäßen Überwachungsschaltung; und

Fig. 5

ein Funktions-Zeitdiagramm zur Erläuterung der Funktionen der erfindungsgemäßen Überwachungsschaltung.

[0027] Zunächst wird eine prinzipielle und dann alternative Ausführungsformen der erfindungsgemäßen Überwachungsschaltung sowie deren Funktion beschrieben.

[0028] Fig. 1 zeigt ein Umschaltrelais K mit einem Umschaltkontakt K 1, dessen Mittelkontakt COM an einem Speisespannungseingangsanschluß L1 liegt. Im Ruhezustand liegt der Umschaltkontakt K1 in der mit N_c bezeichneten Stellung. Parallel zum Ansteuerpfad des Umschaltrelais K liegt ein Haltekondensator C1, der in der Ruhestellung N_c des Umschaltkontakts K1 über den Widerstand R1 und die Diode V1 aufgeladen wird. Die Aufladung des Haltekondensators C1 kann jedoch nur dann vonstatten gehen, wenn der Ansteuerkreis des Umschaltrelais K hochohmig, d. h. wenn die Schaltung 40 hochohmig ist.

[0029] Ein Speicherglied z. B. ein Remanenzrelais zur Störungsverriegelung ist in Fig. 1 und den weiteren Figuren nicht dargestellt.

[0030] Auf die Funktion der Schaltung 40 wird weiter unten eingegangen. Der Widerstand R1 ist so hochohmig gewählt, daß es dem Relais K nicht möglich ist, direkt über R1 anzuziehen.

[0031] Der Haltekondensator C1 muß jetzt so lange aufgeladen werden, bis seine Ladung ausreicht, das Relais anzuziehen und den Umschaltkontakt K1 sicher in die mit No bezeichnete Stellung zu bringen.

[0032] Zum Verständnis der Funktionsweise der beschriebenen Überwachungsschaltung ist es wichtig, daß der erwähnte Widerstand R₁ mit einem weiteren Widerstand R₂ einen Spannungsteiler bildet, das andere Ende des Widerstandes R₂ am Kontaktpunkt N₀ des Umschaltkontakts K1 liegt und daß in den mit dem Kontaktpunkt N_o verbundenen Ausgangsleitungen S₁ bis S_n zu den sicherheitsrelevanten Verbrauchern einzeln oder in Gruppen schaltbare Schalter X₂ bis X_n angeordnet sind, deren Schaltzustand miterfaßt wird. Dies geschieht dadurch, daß ein nicht abgeschalteter, sicherheitsrelevanter Verbraucher einen Widerstand zwischen dem jeweiligen Ausgang S₁ bis S_n und einer Rückleitung N bildet und damit der über den relativ hochohmigen Widerstand R1 fließende Ladestrom für den Haltekondensator C1 über R2 und den eingeschalteten Verbraucher fließt. Dadurch kann der Haltekondensator C1 nicht geladen werden, wenn ein oder mehrere Schalter X₂ bis X_n geschlossen sind. Der Widerstand R2 ist so ausgelegt, daß es dem Umschaltrelais K reicht, sich damit auf der N_o-Seite zu halten. Dabei liegt die Spannung am Relais K zwischen der Abfall- und der Anzugsspannung. Um das Relais K sicher anzuziehen, muß der aus dem Widerstand R3, dem Umschaltrelais K, der Schaltung 30 und der Schaltung 40 bestehende Ansteuerweg niederohmig werden. Um das Umschaltrelais von der Ruhestellung in die Betriebsstellung zu bringen, müssen folgende Bedingungen erfüllt werden:

• Der Haltekondensator C1 muß über die Ladeschaltung mit der Energiemenge geladen werden, die benötigt wird um das Umschaltrelais K in die Betriebsstellung zu bringen.
• Diese Energiemenge aus dem Haltekondensator C1 wird über den Widerstand R3 und die Ansteuerschaltung 40 als Anzugsenergie auf die Spule des Umschaltrelais K geschaltet. Reicht diese Energiemenge nicht aus, um das Umschaltrelais K in die Betriebsstellung zu bringen und damit den Haltestromkreis zu schließen, fällt das Umschaltrelais K in seine Ruhestellung zurück.
• Die Energiemenge des Haltekondensators ist die Ladungsmenge Q, die dem Produkt aus Spannung und Kapazität entspricht.
• Kapazitätsverlust des Haltekondensators C1 reduziert die Ladungsmenge und damit bleibt das Umschaltrelais K in seiner Ruhestellung.
• Durch die Wahl eines Haltekondensators C1 mit entsprechender Kapazität kann z. B. erreicht werden, daß die Kondensatorspannung zum Anziehen des Umschaltrelais doppelt so hoch sein muß wie die Anzugsspannung des Umschaltrelais K.
• Mit einem Haltekondensator sehr hoher Kapazität muß die Kondensatorspannung nur größer oder gleich der Anzugsspannung sein.
• Durch die Dimensionierung der Ladeschaltung, die Wahl der Kapazität des Kondensators C1 und die Auswahl des Relais kann die Schaltung in weiten Bereichen an die Erfordernisse der Funktion und Anlaufsicherheit angepaßt werden.
• Die Schaltung ist für Gleich- und Wechselspannung geeignet.

[0033] An der rechten Seite der Überwachungsschaltung 10 sind zwei zum Mikroprozessor führende Ausgangsanschlüsse A1 und A2 und zwei Eingangsanschlüsse E1 und E2 dargestellt, wobei der Eingangsanschluß E1 ein Signal 101 vom Mikroprozessor und der Eingangsanschluß E2 ein Signal von einem Rechteckgenerator oder ein von der Netzfrequenz abgeleitetes Signal erhalten, die später genauer beschrieben werden.

[0034] Nachstehend werden anhand der Fig. 2 und 3 jeweils die zwischen den Kontaktpunkt Nc des Umschalters K1 und dem ersten Ausgangsanschluß A1 angeordnete Schaltung 20, die das Signal 104 am zweiten Ausgangsanschluß A2 erzeugende Schaltung 30 und die die beiden Eingangssignale 101 und 102 jeweils von den Eingangsanschlüssen E1 und E2 empfangende Ansteuerschaltung 40 in mehrereren Varianten näher beschrieben. Die Fig. 2 stellt drei Varianten 20a, 20b und 20c der Schaltung 20 dar. Die zuoberst dargestellte Variante 20a weist einen die am Kontaktpunkt Nc liegende Eingangsspannung gleichrichtenden Gleichrichter dar, der aus einem Widerstand 201, einem kapazitiven Vorwiderstand 202, einem Vollweggleichrichter 203 und einem Elektrolytkondensator 204 besteht. Die Gleichrichterschaltung gibt an ihrem Ausgang eine an die Eingangsspannung des Mikroprozessors angepaßte Spannung ab, die über eine Potentialtrennstufe, einen über einen Widerstand 205 angesteuerten Optokoppler 206 als Signal 103 zum ersten Ausgangsanschluß A1 gekoppelt wird.

[0035] Die in der Mitte dargestellte Schaltungsvariante 20b geht davon aus, daß am Kontaktpunkt Mc bereits Gleichspannung liegt, sodaß der Gleichrichter und auch die Potentialtrennstufe entbehrlich sind. Die Schaltung 20b besteht aus einem Spannungsteiler aus Widerstandsgliedern 210 und 211 und einem invertierenden Operationsverstärker 212, der am ersten Ausgangsanschluß A1 das Gleichspannungssignal 103 mit einem an die Eingangsspannung des Mikroprozessors angepaßten Pegel erzeugt.

[0036] Die in Fig. 2 unten dargestellte Schaltungsvariante 20c hat eine ähnliche Funktion wie die zuerst beschriebene Schaltungsvariante 20a und weist eine aus einem Trenntransformator 220 bestehende Potentialtrennstufe und eine aus einem Vollweggleichrichter 221 und einem Elektrolytkondensator 222 bestehende Gleichrichterstufe sowie eine Ausgangsentkoppelstufe auf die aus einem Widerstandselement 223 und einem Transistor 224 besteht. Auch die Schaltung 20c liefert das pegelmäßig angepaßte Ausgangssignal 103 am ersten Ausgangsanschluß A1.

[0037] Die Funktion der Schaltung 20 bzw. der Schaltungsvarianten 20a, 20b und 20c besteht darin, daß der Mikroprozessor die Stellung des Umschaltkontakts K1 am ersten Ausgangsanschluß A1 anhand des logischen Pegels des Signals 103 abfragen kann. Mit einer solchen Abfrage kann der Mikroprozessor z. B. ein Kleben der Kontakte des Umschalters K1 erkennen. Weiterhin kann der Mikroprozessor mittels des Signals 103 ein Kleben eines oder mehrerer der Schalter X2 bis Xn erkennen, da in diesem Fall der Haltekondensator C1 nicht seine volle Ladespannung erhält und somit das Relais K auch nach Durchsteuern der Schaltung 40 nicht anzieht.

[0038] In Fig. 3 sind die beiden Schaltungen 30 und 40 jeweils zusammen in zwei alternativen Schaltungsvarianten 30a, 40a und 30b, 40b dargestellt. Die im oberen Teil dargestellte Schaltungsvariante weist in der Ansteuerschaltung 40a ein Antivalenzglied 404 auf, welches mit den Eingangsanschlüssen E1 und E2 eingangsseitig verbunden ist. Die Antivalenzschaltung 404 verknüpft ein am ersten Eingangsanschluß E1 vom Mikroprozessor angelegtes Rechtecksignal mit einem zweiten Eingangssignal 102 am zweiten Eingangsanschluß E2, das von einem Rechteckgenerator erzeugt wird, oder von der Netzfrequenz abgeleitet ist. Die Netzfrequenz oder das Signal E2 kann auch dem Mikroprozessor zur Synchronisation zugeführt werden. Die Antivalenzschaltung 404 erzeugt nur dann ein Ausgangssignal, wenn die beiden Signale 101 und 102 an dem ersten und zweiten Eingangsanschluß E1 und E2 nicht gleichzeitig anliegen. Damit der Haltekondensator C1 aufgeladen werden kann, muß der Mikroprozessor das erste Eingangssignal 101 am ersten Eingangsanschluß E1 im Gleichtakt zum zweiten Eingangssignal 102 am zweiten Eingangsanschluß E2 erzeugen, wobei das Ausgangssignal der Antivalenzschaltung 404 tief bleibt, der Transistor 401 gesperrt und somit der Ansteuerweg des Relais K hochohmig bleibt. Der Transistor 401 ist in üblicher Weise als Schalttransistor an seiner Basis über einen aus Widerstandselementen 402 und 403 bestehenden Spannungsteiler mit dem Ausgang der Antivalenzschaltung 404 verbunden. Die Ausgangsschaltung 30a besteht in einfacher Weise aus einer Diode 301, die mit dem Kollektor des Transistors 401 verbunden ist, so daß der Mikrocomputer am zweiten Ausgangsanschluß A2 ein Signal 104 abfragen kann, das angibt, ob der Schalttransistor 401 durchgeschaltet hat, oder nicht, d. h. ob der Ansteuerweg für das Relais K niederohmig oder hochohmig ist. Zum Anziehen und zum Halten des Relais K muß der Mikroprozessor den Eingang E1 im Gegentakt zum Eingang E2 ansteuern, so daß die beiden Eingangssignale 101 und 102 nicht gleichzeitig anliegen. Die im unteren Teil der Fig. 3 dargestellten Schaltungsvarianten 30b und 40b unterscheiden sich von den oben beschriebenen Schaltungsvarianten in erster Linie darin, daß das Ausgangssignal der Antivalenzschaltung 418 in der Ansteuerschaltung 40b durch einen Optokoppler 416 potentialmäßig von der Überwachungsschaltung getrennt ist und daß auch das Ausgangssignal A2 der Schaltung 30b potentialmäßig durch einen Optokoppler 302 von der Überwachungsschaltung getrennt ist. Ferner wird statt des bipolaren Schalttransistors 401 der Schaltungsvariante 40a ein Feldeffekttransistor 414 in Verbindung mit einer 10er-Diode 415 eingesetzt. Das Gate des Feldeffekttransistors 414 liegt an einem Spannungsteiler, der durch die Zenerdiode 415 und einen Widerstand 413 gebildet ist, der seinerseits mit seinem anderen Ende an einem Verbindungspunkt einer Gleichrichterdiode 420 und einem Kondensator 421 liegt. Die Diode 420 ist mit dem Mittelkontakt COM des Umschalters K1 verbunden und bildet mit dem Kondensator 421 einen Einweggleichrichter, so daß die von diesem Einweggleichrichter erzeugte Gatevorspannung durch den Spannungsteiler 413 und 415 den Feldeffekttransistor 414 offen, d. h. hochohmig hält, bis der Optokopplertransistor 416 leitend wird. Die Ansteuerbedingungen für das Antivalenzglied 418 durch die Eingangssignale 101 und 102 an den beiden Eingangsanschlüssen E1 und E2 sind dieselben, wie sie oben für die Schaltungsvariante 40a erläutert wurden.

[0039] Insgesamt weisen die oben anhand der Fig. 1 bis 3 beschriebenen Schaltungen folgende Merkmale und vorteilhafte Funktionen auf:

• Ansteuerfehler, die durch einen eventuellen Ausfall oder fehlerhafte Programmsprünge des Mikroprozessors verursacht sein können, werden während des Ladevorgangs dadurch erkannt, daß der Haltekondensator C1 immer wieder entladen wird, so daß dieser die erforderliche Anzugsladespannung nicht erreicht;
• Ansteuerfehler, wenn das Umschaltrelais K angezogen hat führen zu einem Abfall des Relais K in die NC-Stellung. Ein sofortiges Wiederanziehen ist nicht möglich, da der Haltekondensator C₁ nur auf Haltespannung aufgeladen ist. Die Voraussetzung dafür ist, daß das Widerstandselement R1 so dimensioniert ist, daß die Ladung des Haltekondensators C1 erst nach mehreren Zyklen des zweiten Eingangssignals 102 am zweiten Eingangsanschluß zum Anzug des Relais K ausreicht;
• wenn vom Mikroprozessor das Signal 101 am ersten Eingangsanschluß E1 nicht oder nicht zeitrichtig erzeugt wird, bleibt die erfindungsgemäße Überwachungsschaltung im Ruhezustand, da das zweite Eingangssignal 102 am zweiten Eingangsanschluß E2 verhindert, daß der Haltekondensator C1 auf die Haltespannung aufgeladen wird;
• der Ausfall eines Bauteils wird erkannt oder führt zu einer Blockierung der Überwachungsschaltung;
• die Schalter X₂ bis X_n stellen einen zweiten Abschaltweg dar;
• die Überwachungsschaltung kann nicht freischalten, wenn eines der Schalter X₂ bis X_n mit angeschlossener Last geschlossen ist. Eine zweckmäßige Dimensionierung der den Ladespannungsteiler bildenden Widerstandselemente R1 und R2 ist R1 ≈ 10 . R2;

[0040] Fig. 4 zeigt eine bevorzugte Schaltungsanordnung der erfindungsgemäßen Überwachungsschaltung, die sich aus der Prinzipschaltung gemäß Fig. 1 und den Schaltungsvarianten 20a, 30b und 40b gemäß den Fig. 2 und 3 zusammensetzt. Die mit den entsprechenden Schaltelementen der Fig. 1 bis 3 übereinstimmenden Schaltelemente sowie Signale und Leitungen sind in Fig. 4 mit denselben Bezugsziffern bezeichnet.

[0041] In Fig. 5 ist ein Funktions-Zeitdiagramm dargestellt, anhand dessen nachstehend die Funktion der in Fig. 4 gezeigten bevorzugten Ausführungsform der erfindungsgemäßen Überwachungsschaltung erläutert wird. Im oberen Teil der Fig. 5 sind die Eingangssignale 101 und 102, die am ersten und zweiten Eingangsanschluß E1 und E2 anliegen und mit denen das Antivalenzglied 418 beaufschlagt ist, dargestellt. Im mittleren Teil sind die beiden Ausgangssignale 103 und 104 dargestellt, die an den Ausgangsanschlüssen A1 und A2 auftreten und vom Mikrocomputer abfragbar sind. Im unteren Teil von Fig. 5 ist die den Schaltern X₂ bis X_n über den Umschaltkontakt N₀ zugeführte Speisespannung dargestellt. Das Zeitdiagramm teilt sich in die Ladezeitdauer T_L und die Betriebszeitdauer T_W der Überwachungsschaltung gemäß Fig. 4. Um den Haltekondensator C1 zu laden, d. h. den Feldeffekttransistor 414 zu sperren, erzeugt der Mikroprozessor das Signal 101 im Gleichtakt zum Signal 102. Der Ladevorgang des Haltekondensators C1 beginnt zum Zeitpunkt t₀, wobei die Widerstandswerte der Widerstandsglieder R1 und R2 und der Kapazitätswert des Haltekondensators C1 so gewählt sind, daß der Ladevorgang mindestens 50 Zyklen der Signale E1 und E2 dauert. Wie das in der dritten Zeile in Fig. 5 dargestellte erste Ausgangssignal 103 während der Ladezeitdauer T_L angibt, ist das Umschaltrelais K während dieser Zeit im Ruhezustand und der Umschaltkontakt K₁ hat die Stellung Nc. Das vom Mikrocomputer abfragbare zweite Ausgangssignal 104 am zweiten Ausgangsanschluß A2 (siehe die vierte Zeile in Fig. 5) gibt während der Ladezeitdauer T_L ab dem Zeitpunkt t₁ an, daß der Feldeffekttransistor 414 nicht leitend ist. Nach Ablauf der Ladezeitdauer T_L schaltet das Umschaltrelais K den Umschaltkontakt K1 in die Stellung N₀, was der Mikrocomputer durch Abfrage des Signals 103 am ersten Ausgangsanschluß A1 erkennt und daraufhin das Signal E1 im Gegentakt zum Signal E2 erzeugt (Zeitpunkt t₂). Dadurch wird der Feldeffekttransistor 414 aufgrund des Ausgangssignals der Antivalenzschaltung 418 leitend, welcher Zustand am tiefen Pegel des Ausgangssignals 104 am Ausgangsanschluß A2 abfragbar ist.

[0042] Um die Gleich- bzw. Gegentaktansteuerung durchzuführen, muß sich der Mikroprozessor auf das am Eingang E1 liegende Rechtecksignal bzw. das von der Netzfrequenz abgeleitete Signal synchronisieren, da sonst das Anziehen bzw. das Halten des Relais nicht möglich ist. Dies bedeutet Sicherheit durch

• Anzugsverzögerung; und
• Abwurf des Umschaltrelais K sofort nach Sperrung des Feldeffekttransistors 414 mit einer Abwurfzeit ≤ 5 ms.

[0043] Der Wert des Widerstandes R2 ist so zu bemessen, daß nur ein Vielfaches der Netzperioden, bzw. der Perioden des Rechtecksignals E2 ausreicht, um den Haltekondensator C1 auf das zum Anziehen des Umschaltrelais K notwenige Niveau zu laden. Der Wert von R2 ist so zu wählen, daß er in Verbindung mit dem Wert von R3 ausreicht, um das Umschaltrelais zu halten und in Kombination mit dem Haltekondensator C1 einen Netzausfall von bis zu 20 ms überbrücken kann.

[0044] Die Anlaufsicherheit der erfindungsgemäßen Überwachungsschaltung ist dadurch sichergestellt, daß ein an den Schaltern X₂ bis X_n liegender Verbraucher mit einem Widerstand ≤ 10 kOhm bei geschlossenem Schalter eine Aufladung des Haltekondensators C₁ auf eine für den Anzug des Relais ausreichende Spannung verhindert.

[0045] Durch die vom Mikroprozessor abfragbaren Ausgangssignale 103 und 104 ist eine Prüfung der erfindungsgemäßen Überwachungsschaltung seitens des Mikroprozessors ermöglicht. Um sicherzustellen, daß der Feldeffekttransistor 414 sich schalten läßt, kann er während des Betriebs, d. h. bei angezogenem Umschaltrelais K kurzzeitig gesperrt und gleich danach wieder durchgeschaltet werden (Signale 101' und 104' in Fig. 5). Anhand des Signals 104' am Ausgangsanschluß A2 kann der Mikroprozessor abfragen, ob sich der Transistor 414 sperren läßt oder nicht.

[0046] Die hier beschriebene Überwachungsschaltung ist eine Anordnung, die mittels eines Sicherheitsrelais K sicherheitsrelevante Verbraucher zunächst abgeschaltet hält, bis ein Selbsttest des steuernden Computers unter Einhaltung geforderter Zeitbedingungen abgeschlossen ist. Ein Haltekondensator C₁ liegt parallel zum Ansteuerzweig des Sicherheitsrelais K, welcher Haltekondensator C₁ in der Ruhestellung N_c des Sicherheitsrelais K über einen Ladestromkreis R₁, V₁ aufladbar ist und das Relais K nach erfolgter Ladung unter gleichzeitigem Anliegen eines Ansteuersignals vom Mikroprozessor in die Betriebsstellung nur dann bringt, wenn vorgegebene Anschaltbedingungen der sicherheitsrelevanten Verbraucher erfüllt sind. Die erfindungsgemäße Überwachungsschaltung nutzt die Differenz zwischen der Anzugs- und der Abfallspannung des Sicherheitsrelais aus.

Ansprüche

1. Überwachungsschaltung für computergesteuerte Sicherheitsgeräte mit einem durch ein erstes Ansteuersignal (E₁) vom Computer in eine Betriebsstellung (N₀) bringbaren Umschaltglied (K), wobei ein Haltekondensator (C₁) parallel zum Ansteuerzweig des Umschaltglieds (K) geschaltet ist, und wobei der Haltekondensator (C1) in der Ruhestellung (N_c) des Umschaltglieds (K) über einen Ladestromkreis (R₁; V₁) aufladbar ist,
dadurch gekennzeichnet,

daß der Widerstand (R₁) des Ladestromkreises (R₁; V₁) des Haltekondensators (C₁) so hochohmig gewählt ist, daß es dem Umschaltglied (K) nicht möglich ist, direkt über den Widerstand (R₁) anzuziehen,

daß im Ladestromkreis des Haltekondensators (C₁) ein Spannungsteiler (R₁, R₂) eingeschaltet ist, wobei mit dem einen Ende des Spannungsteilers (R₁, R₂) mindestens ein sicherheits-technisches Gerät über ein Schaltelement (X₂, ... X_n) verbunden ist und wobei der durch das Gerät bei durchgeschaltetem Schaltelement (X₂, ..., X_n) vom Spannungsteiler (R₁, R₂) fließende Strom ein Aufladen des Haltekondensators (C₁) verhindert,

daß eine Ansteuerschaltung (40) vorgesehen ist, durch die der Ansteuerweg des Umschaltgliedes (K) hochohmig bzw. niederohmig werden kann,

und daß das Umschaltglied (K) nach erfolgter Ladung des Haltekondensators (C1) und gleichzeitigem Anliegen des ersten Ansteuersignals (E₁) in seiner Betriebsstellung gehalten wird, bei der der Ladestromkreis (R₁, V₁) abgeschaltet ist.

2. Überwachungsschaltung nach Anspruch 1, dadurch gekennzeichnet, daß das Umschaltglied ein monostabiles Umschaltrelais (K) ist.

3. Überwachungsschaltung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Überwachungsschaltung so ausgelegt ist, daß das Umschaltglied (K) bei Netzausfall und Wiederkehr der Netzspannung in seiner Ruhestellung bleibt.

4. Überwachungsschaltung nach einem der Ansprüche 1 oder 2, dadurch gekennzeichnet, daß zur Störungsspeicherung zusätzlich zum Umschaltglied (K) ein Remanenzrelais verwendet wird.

5. Überwachungsschaltung nach mindestens einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungsschaltung (10) einen ersten Ausgangsanschluß (A₁), aufweist, der ein die Stellung des Umschaltrelais (K) angebendes erstes Ausgangssignal (103) abgibt.

6. Überwachungsschaltung nach mindestens einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungsschaltung (10) einen zweiten Ausgangsanschluß (A₂) aufweist, der ein das Anliegen des ersten Ansteuersignals (E₁) angebendes zweites Ausgangssignal (104) abgibt.

7. Überwachungsschaltung nach Anspruch 5 oder 6,
dadurch gekennzeichnet, daß zwischen der Überwachungsschaltung (10) und dem ersten (A₁) und/oder dem zweiten Ausgangsanschluß (A₂) jeweils eine Potentialtrennstufe (206; 302) vorgesehen ist.

8. Überwachungsschaltung nach mindestens einem der vorangehenden Ansprüche,
dadurch gekennzeichnet, daß der Computer ein Mikroprozessor ist, welcher eine programmgesteuerte Selbsttestroutine in regelmäßigen Zyklen ausführt und das erste Ansteuersignal (E₁) nur bei erkannter Fehlerfreiheit des Mikroprozessors abgibt.

9. Überwachungsschaltung nach Anspruch 8,
dadurch gekennzeichnet, daß die Überwachungsschaltung eine logische Antivalenzschaltung (418) aufweist, die das vom Mikrocomputer gelieferte erste Ansteuersignal (E₁) mit einem zweiten, in regelmäßigen Zeitintervallen erzeugten Ansteuersignal (E₂) so verknüpft, daß das Umschaltglied (K) nur dann in seine Betriebsstellung bringbar ist, wenn beide Ansteuersignale (E₁, E₂) nicht gleichzeitig anliegen.

Claims

1. Monitoring circuit for computer-controlled safety devices having a switch-over member (K) which can be brought into an operating position (N₀) via a first control signal (E1) of a computer, wherein a holding capacitor (C₁) is in parallel with the control path of the switch-over member (K) and the holding capacitor (C₁) can be charged-up via a charging current circuit (R₁; V₁) in the non-operative position (N_c) of the switch-over member (K),
characterized in that

the resistance (R₁) of the charging circuit current (R₁; V₁) of the holding capacitor (C₁) is chosen to be sufficiently high ohmic that it is not possible to pull-up the switch-over relay (K) directly via the resistance (R₁),

and a voltage divider (R₁, R₂) is located within the charging current circuit of the holding capacitor (C₁) with at least one safety relevant device being connected to one end of the voltage divider (R₁, R₂) via a switching element (X₂, ... X_n) and wherein the current flowing through the device from the voltage divider (R₁, R₂) when the switching element (X₂, ..., X_n) has been switched-on prevents a charging-up of the holding capacitor (C₁),

and a control circuit (40) is provided for by means of which the control path of the switch-over member (K) can be caused to become high ohmic or low ohmic,

and the switch-over member (K) is held in its operating condition, in which the charging current circuit (R₁, V₁) is switched-off, after charge-up of the holding capacitor (C₁) and simultaneous presence of the first control signal (E1).

2. Monitoring circuit according to claim 1, characterized in that the switch-over member is a monostable switch-over relay (K).

3. Monitoring circuit according to claim 1 or 2, characterized in that the monitoring circuit is configured in such a fashion that the switch-over member (K) remains in its non-operative position in the event of a power failure and subsequent return of mains voltage.

4. Monitoring circuit according to one of the claims 1 or 2, characterized in that a remanence relay is utilized for malfunction storage in addition to the switch-over member (K).

5. Monitoring circuit according to at least one of the preceding claims, characterized in that the monitoring circuit (10) has a first output terminal (A1) which issues a first output signal (103) indicating the position of the switch-over relay (K).

6. Monitoring circuit according to at least one of the preceding claims, characterized in that the monitoring circuit (10) has a second output terminal (A2) which issues a second output signal (104) indicating the presence of the first control signal (E1).

7. Monitoring circuit according to claim 5 or 6, characterized in that a potential separation stage (206; 302) is provided for between the monitoring circuit (10) and both the first (A1) and/or the second output terminal (A2).

8. Monitoring circuit according to at least one of the preceding claims characterized in that the computer is a microprocessor which carries out a program-controlled internal test routine at regular intervals and which only issues the first control signal (E1) when recognition is made cf proper functioning of the microprocessor.

9. Monitoring circuit according to claim 8, characterized in that the monitoring circuit has a logical exclusive "OR" circuit (418) which combines the first control signal (E1) issued by the microcomputer with a second control signal (E2) produced in regular time intervals in such a fashion that the switch-over member (K) can only be brought into its operating position when both control signals (E1, E2) are not simultaneously present.

Revendications

1. Circuit de surveillance pour dispositif de sécurité commandé par ordinateur avec un organe (K) inverseur pouvant être mis dans une position (N_o) de fonctionnement par un premier signal (E₁) de commande de l'ordinateur, un condensateur (C₁) de maintien étant branché en parallèle avec le circuit de commande de l'organe (K) inverseur et le condensateur (C₁) de maintien pouvant être chargé par un circuit de courant de charge lorsque l'organe (K) inverseur est en position (N_c) de repos, caractérisé en ce que la résistance (R₁) du circuit (R₁, V₁) de courant de charge du condensateur (C₁) de maintien est choisie- d'une valeur ohmique tellement élevée qu'il est impossible d'attirer l'organe (K) inverseur directement par le biais de la résistance (R₁), en ce qu'un diviseur (R₁ , R₂) de tension est intercalé dans le circuit de courant de charge du condensateur (C₁) de maintien, un dispositif technique de sécurité au moins étant connecté par un élément (X₂, ... X_n) de commutation avec une extrémité du diviseur de tension (R₁ , R₂) et le courant passant du diviseur de tension (R₁ , R₂) à travers le dispositif quand l'élément (X₂, ... X_n) de commutation est commuté empêchant un chargement du condensateur (C₁) de maintien, en ce qu'un circuit (40) de commande est prévu par lequel la piste d'asservissement de l'organe (K) inverseur peut avoir une valeur ohmique élevée ou faible, et en ce que l'organe (K) inverseur, après accomplissement du chargement du condensateur (C₁) de maintien et application simultanée du premier signal (E₁) de commande, est maintenu dans sa position de fonctionnement, dans laquelle le circuit (R₁, V₁) de courant de charge est interrompu.

2. Circuit de surveillance selon la revendication 1, caractérisé en ce que l'organe inverseur est un relais (K) inverseur monostable.

3. Circuit de surveillance selon la revendication 1 ou 2, caractérisé en ce que le circuit de surveillance est dimensionné de telle manière que l'organe (K) inverseur reste dans sa position de repos en cas de défaillance du réseau et de retour de la tension du réseau.

4. Circuit de surveillance selon la revendication 1 ou 2, caractérisé en ce qu'outre l'organe (K) inverseur, un relais rémanent est utilisé pour mémoriser les dérangements.

5. Circuit de surveillance selon au moins des revendications précédentes, caractérisé en ce que le circuit (10) de surveillance présente une première connexion (A₁) de sortie, qui émet un premier signal (103) de sortie indiquant la position du relais (K) inverseur.

6. Circuit de surveillance selon au moins des revendications précédentes, caractérisé en ce que le circuit (10) de surveillance présente une deuxième connexion (A₂) de sortie, qui émet un deuxième signal (104) de sortie indiquant l'application du premier signal (E₁) de commande.

7. Circuit de surveillance selon la revendication 5 ou 6, caractérisé en ce qu'entre le circuit (10) de surveillance et la première (A₁) et/ou la deuxième connexion (A₂) de sortie, il est chaque fois prévu un étage séparateur (206, 302) de potentiel.

8. Circuit de surveillance selon au moins une des revendications précédentes, caractérisé en ce que l'ordinateur est un microprocesseur qui exécute une routine de test automatique contrôlée par programme par cycles réguliers et n'émet le premier signal (E₁) de commande que lorsqu'il a constaté l'absence d'erreurs du microprocesseur.

9. Circuit de surveillance selon la revendication 8, caractérisé en ce que le circuit de surveillance présente une porte logique (418) d'antivalence qui combine le premier signal (E₁) de commande donné par le micro-ordinateur avec un deuxième signal (E₂) de commande produit à intervalles de temps réguliers de telle manière que l'organe (K) inverseur ne peut être amené dans son position de fonctionnement que si les deux signaux (E₁, E₂) de commande ne sont pas appliqués simultanément.

Zeichnung