CH659718A5

CH659718A5 - Ueberwachungsschaltung fuer eine kraftanlage.

Info

Publication number: CH659718A5
Application number: CH4914/82A
Authority: CH
Inventors: Theodore Scott Malinowski; Andrew Edwin Taylor
Original assignee: United Technologies Corp
Priority date: 1981-09-14
Filing date: 1982-08-17
Publication date: 1987-02-13
Also published as: ES515665A0; BR8205190A; IT8223256A0; ZA826740B; FR2512978A1; SE8205152D0; FR2512978B1; CA1190307A; GB2105877A; MX151842A; DE3232513A1; JPS5860309A; BE894388A; ES8306411A1; IL66716A; SE8205152L; DK402282A; AU8832082A; AU560530B2; IT1152572B

Description

Die Erfindung betrifft eine Überwachungsschaltung für eine Kraftanlage, die einen Mikrocomputer enthält, der beim Liefern von Steuersignalen über mehrere Ausgangskanäle einem vorbestimmten Programm folgt.

Die Erfindung wird im Patentanspruch 1 gekennzeichnet. Es gibt zahlreiche bekannte Techniken zum Überwachen eines Computers, um dessen richtigen Betrieb zu gewährleisten. Ein solches System ist in der US-PS 3 795 800 beschrieben, die einen Überwachungs- und Wiederladeinitia-lisierer betrifft. Dieses System erfasst eine Funktionsstörung in einer Nachrichtenverbindung, und nach dem Auftreten der Funktionsstörung initialisiert eine logische Schaltung in Verbindung mit einer Zeitgeberschaltung Anpassungssignale für den anschliessenden Betrieb eines entfernten Prozessors und eines Datensatzes in dem entfernten Verarbeitungssystem. Eine Zeitgeberschaltung innerhalb des Überwachungsund Wiederladeinitialisierers erreicht eine Zeitsperre nach einer vorbestimmten Zeitverzögerung. Wenn eine Softwareinstruktion, die den richtigen Betrieb anzeigt, während der Verzögerungszeitspanne durch den Überwachungs- und Wiederladeinitialisierer nicht festgestellt wird, wird angenommen, dass ein Störungszustand vorliegt. Die Zeitgeberschaltung versieht dann einen Datensatz mit einem Signal, durch das der Datensatz effektiv abgetrennt wird. Anschliessend daran bewirkt der Überwachungs- und Wiederladeinitialisierer eine Reihe von Operationen, um den entfernten Prozessor und den Datensatz zu normalisieren. Zu diesen Operationen gehören das Befreien des entfernten Prozessors in der entfernten Verarbeitungseinheit von sämtlicher früheren Information, das Trennen des entfernten Prozessorsystems von der Fernsprechleitung für eine vorbestimmte Zeitspanne, das Initialisieren des entfernten Verarbeitungssystems, derart, dass es eine Rückmeldung aus der zentralen Verarbeitungseinheit empfangen kann, und das Einstellen des entfernten Prozessors in dem entfernten Verarbeitungssystem, so, dass er die Nachricht aus dem zentralen Prozessor empfangen kann. Nachdem diese Operationen ausgeführt worden sind, wird das entfernte Verarbeitungssystem wieder mit der Information geladen, die es vordem Zustand hatte, der die Funktionsstörung verursacht hat.

Eine weitere bekannte Anordnung ist in der US-PS 4 072 852 beschrieben, die eine Digitalcomputerüberwa-chungs- und -wiederstartschaltung betrifft. Diese Schaltung überwacht das Vorhandensein von periodischen Ausgangssignalen aus dem Digitalcomputer mit einem Detektor zum Erfassen von fehlenden Impulsen. Wenn der Detektor feststellt, dass ein Ausgangssignal aus dem Computer fehlt, zeigt er an, dass der Computer nicht arbeitet. Ein Wiederstartimpuls wird dann erzeugt und an den Computer angelegt, um diesen wieder zu starten und die Überwachungsschaltung rückzusetzen. Mit der Überwachungsschaltung nach der Erfindung soll eine verbesserte Mikrocomputerüberwachungsschaltung zum Abschalten einer Kraftanlage im Falle einer Mikrocomputersoftware- oder anderen Logikstörung geschaffen werden.

Weiter soll eine Störungserkennungsschaltung zum Überwachen des Ausgangs einer mikrocomputergesteuerten Brennstoffzelle geschaffen werden, um automatisch die Kraftanlage im Falle einer Logik- oder Softwarestörung sicher abzuschalten.

In einer besonderen Ausgestaltung der Überwachungsschaltung nach der Erfindung wird ein Mikrocomputer zum Betreiben einer Kraftanlage auf eine Softwarestörung hin überwacht. Falls eine Funktionsstörung auftritt, bringt die Überwachungsschaltung eine Reihe von Puffern in deren Sperrzustand, der den Mikrocomputer anhält und eine kontrollierte Abschaltung der Kraftanlage bewirkt.

In noch einer weiteren Ausgestaltung der Erfindung wird ein unbeabsichtigtes Anfahren einer durch einen Mikrocomputer gesteuerten Kraftanlage verhindert. Weil Digitalschaltungen während der Anfahrperiode, in der sich der durch eine Stromversorgung angelegte Spannungswert verändert, wenn er sein Betriebspotential erreicht, unregelmässig arbeiten, könnte der Mikrocomputer ungewollt Impulse erzeugen, die die Schaltelemente der Kraftanlage freigeben

5

10

15

20

25

30

35

40

45

50

55

60

65

3

659 718

könnten. Die Überwachungsschaltung enthält einen Rück-slellschalter, der nach dem Anfahren betätigt werden muss, um den Mikrocomputer mit den Schaltelementen zu verbinden.

Eines der wichtigen Merkmale der Überwachungsschaltung nach der Erfindung ist, dass sie sowohl ein fehlerhaftes Anfahren eines eine Kraftanlage steuernden Mikrocomputers verhindert als auch die Kraftanlage im Falle einer Soft-ware- oder anderen Logikstörung, die in Beziehung zu den durch den Mikrocomputer auszuführenden Berechnungen steht, automatisch abschaltet. Dieses Merkmal ist besonders wichtig, wenn die Kraftanlage eine Brennstoffzelle ist, die über einen Wechselrichter mit einem Stromnetz oder einer ähnlichen Einrichtung, in der Wechselstromenergie verbraucht wird, verbunden ist. Der Mikrocomputer überwacht im allgemeinen zahlreiche Bedingungen hinsichtlich der Brennstoffzelle, des Wechselsrichters und des Stromnetzes. Beim Betrieb einer Brennstoffzelle können zu den Eingangssignalen des Mikrocomputers Parameter wie die Reformertemperatur, die Zellentemperatur, der Zellenstrom und die Zellenspannung gehören, und der Mikrocomputer folgt einem vorbestimmten Programm, um den Brennstoffdurch-fluss, den Kühlmitteldurchfluss usw. durch Verändern der an die verschiedenen Ventile od. dgl. angelegten Steuersignale festzulegen. Ein weiteres Beispiel für die Berechnungen, die lypischerweise von einem Mikrocomputer ausgeführt werden, sind die Einschalt- und Abschaltzeiten für die Schaltelemente des Wechselrichters. Jede Blockierung in der Software oder Logik, die den durch den Mikrocomputer ausgeführten Berechnungen zugeordnet ist, könnte eine ernste Fehlfunktion verursachen, die zu einer beträchtlichen Beschädigung der Brennstoffzelle oder des Wechselrichters führen würde. Demgemäss ist es besonders wichtig, dass der Betrieb des Mikrocomputers sorgfältig überwacht wird. Das Sperren des Mikrocomputers erfolgt durch einen weiter unten ausführlicher beschriebenen Sperrimpuls, der an die Rücksetzklemme des Mikrocomputers angelegt wird und das Programm stoppt. Gleichzeitig wird das Sperrsignal an Drei-zustandspuffer angelegt, die in dem Steuerpfad zu den Schaltelementen der Brennstoffzelle angeordnet sind. Dieses Sperrsignal macht die Dreizustandspuffer für jegliche Streuimpulse aus dem Mikrocomputer unempfindlich.

Ein Ausführungsbeispiel der Erfindung wird im folgenden unter Bezugnahme auf die Zeichnungen näher beschrieben. Es zeigt

Fig. 1 ein Blockschaltbild einer Ausführungsform der Überwachungsschaltung nach der Erfindung und

Fig. 2 ein Impulsdiagramm der in Fig. 1 gezeigten Überwachungsschaltung.

Fig. 1 zeigt eine Ausführungsform einer Überwachungsschaltung nach der Erfindung. Eine Kraftanlage (nicht dargestellt) wird durch einen Mikrocomputer 10 gesteuert, der typischerweise die zahlreichen Betriebsparameter der Anlage überwacht und Entscheidungen trifft, indem er den aufeinanderfolgenden Schritten eines vorbestimmten Softwareprogramms folgt. Der Mikrocomputer 10 hat mehrere Ausgangskanäle 12, über die Steuerimpulse für viele Ventile, Schalter usw. zu den betreffenden Elementen gehen. Ein oder mehrere Dreizustandspuffer 13 oder eine ähnliche Blockierschaltung sind zwischen dem Mikrocomputer 10 und den Vorrichtungen, die die Steuerimpulse empfangen sollen, angeordnet. Die Dreizustandspuffer 13 haben, wie bekannt, eine Klemme, die, wenn sie einen Impuls empfängt, bewirkt, dass der Puffer einen Zustand hoher Impedanz oder blockierten Zustand annimmt und keinen Steuerimpuls durchlässt. Die Ausgangskanäle 12 sind die Kanäle, über die die Impulse zu den gesteuerten Vorrichtungen gelangen. Einer dieser Kanäle, der Kanal 12a, ist mit einem Impulsüberwacher verbunden und wird am Ende der Softwareroutine durch den Mikrocomputer 10 adressiert. Dieser Impulsüberwacher enthält einen monostabilen Multivibrator (MM) 14, der mit dem Ausgangskanal 12a verbunden ist, und einen mit dem monostabilen Multivibrator 14 verbundenen Zeitgeber 16, der nach einer vorgegebenen Zeit den monostabilen Multivibrator in seinen stabilen Zustand zurückführt, und zwar nach einer vorbestimmten Zeitspanne, die in Beziehung zu der Programmschleifenzeit steht. Das Ausgangssignal des monostabilen Multivibrators 14 wird über eine Leitung 18 an einen Eingang einer NAND-Schaltung 20 angelegt.

Die Überwachungsschaltung nach der Erfindung weist ausserdem eine Initialisiererverzögerung auf, um die Impuls-überwacherschaltung am Arbeiten zu hindern, wenn der Mikrocomputer 10 sämtliche Digitalschaltungen während einer Anfahrzeitspanne initialisiert, z.B. nach einem Stromausfall oder einer anderen derartigen Zeit, wenn der Mikrocomputer 10 alle logischen Schaltungen rücksetzt. Die Initialisiererschleife enthält einen monostabilen Multivibrator 22. dessen Ausgang über eine Leitung 24 mit einem Eingang der NAND-Schaltung 20 verbunden ist. Ein Zeitgeber 26, wie beispielsweise ein einfaches RC-Glied, führt nach einer vorbestimmten Zeitperiode den monostabilen Multivibrator 22 in seinen stabilen Zustand zurück, nachdem das Softwareprogramm sämtliche logischen Elemente initialisiert hat.

Weiter enthält die Überwachungsschaltung nach der Erfindung eine Anfahrverzögerungsschleife, die der gesamten logischen Schaltungsanordnung einschliesslich des Mikrocomputers 10 ausreichend Zeit während einer Anfahrperiode gewährt, um einen stabilen Zustand zu erreichen, bevor der Mikrocomputer beginnt, das Programm für sämtliche logischen Elemente zu initialisieren. Die Anfahrverzögerungsschleife enthält ein Flipflop 28, dessen Ausgang über eine Leitung 30 mit einem Eingang einer UND-Schaltung 32 verbunden ist. Ein Zeitgeber 34. der mit dem Flipflop 28 verbunden ist, setzt, kurz nachdem die Digitalschaltungen anfänglich mit Strom versorgt worden sind, sämtliche Digi-talschaltungselemente in diesem Zeitpunkt zurück.

Ein Rücksetzknopf 36 ist vorgesehen und muss jedesmal dann betätigt werden, nachdem die Schaltung abgeschaltet worden ist, damit der Mikrocomputer 10 das Initialisierungsprogramm startet, um die gesamte logische Digitalschal-tungsanordnung zu laden und zu setzen. Der Rücksetzknopf 36 ist über einen herkömmlichen Entpreller 38 durch eine Leitung 40 mit einem Eingang der UND-Schaltung 32 und durch eine Leitung 42 mit dem Flipflop 28 und dem monostabilen Multivibrator 22 zum Rücksetzen dieses Flipflops und dieses monostabilen Multivibrators verbunden.

Unter weiterer Bezugnahme auf Fig. 2 wird nun die Arbeitsweise der Überwachungsschaltung nach der Erfindung beschrieben. Eine Anfahrverzögerung ist, wie oben kurz erwähnt, vorgesehen, um dem Mikrocomputer 10 und sämtlichen Digitalschaltungen zu gestatten, sich zu beruhigen, wenn das Steuersystem zum erstenmal mit Strom versorgt wird, um falsche Steuerimpulse zu verhindern, die die Kraftanlage ungewollt aktivieren könnten. Vor dem Zeitpunkt to sind der Mikrocomputer 10 und alle seine logischen Schaltungen nicht mit Strom versorgt, was bedeutet, dass sämtliche Schaltungen in ihrem Signalzustand L sind.

Im Zeitpunkt to werden der M ikrocomputer 10 und das Steuersystem für die Kraftanlage mit Strom versorgt, und das gesamte System beginnt anzulaufen. Im Zeitpunkt ti legt der Zeitgeber 34 ein Signal an das Flipflop 28 an, welches anzeigt, dass eine ausreichende Zeit vergangen ist, um den logischen Schaltungen zu gestatten, sich zu beruhigen. Das Ausgangssignal des Flipflops 28 ist ebenso wie das Ausgangssignal der

5

10

15

20

25

30

35

40

45

50

55

60

65

659718

UND-Schaltung 32 null, d.h. L. Der Überwachungszeitgeber ist nun in einem stabilen Haltezustand und für das Betätigen des Rücksetzschalters 36 bereit.

Im Zeitpunkt t2 wird der manuelle Rücksetzschalter 36 betätigt, und ein Impuls wird dem Anfahrflipflop 28 sowie dem monostabilen Multivibrator 22 des Initialisierers zugeführt, wodurch diese beiden gleichzeitig rückgesetzt werden. Dadurch wird auch ein Impuls über die Leitung 40 an die UND-Schaltung 32 angelegt. Wenn der Rücksetzknopf im Zeitpunkt t3 losgelassen wird, kehren die Impulse auf den Leitungen 40 und 42 in ihren stabilen Zustand zurück, und der Zeitgeber 26 wird freigegeben. In diesem Zeitpunkt t3 sind alle drei Eingangssignale an der UND-Schaltung 32 in dem Signalzustand H, und die UND-Schaltung wird in dem EIN-Zustand gehalten, was bewirkt, dass der Mikrocomputer 10 sein Initialisierungsprogramm für die logischen Schaltungen beginnt.

Zur selben Zeit wird der Dreizustandspuffer 13 freigegeben, was den Steuersignalen gestattet, die Hauptschaltelemente der Kraftanlage zu erreichen. Die Initialisierungsschleife (22,24,26) verhindert über die NAND-Schaltung 20, dass der Impulsüberwacher die UND-Schaltung 32 vor dem Zeitpunkt sperrt, in welchem das Initialisierungsprogramm abgeschlossen ist und die Steuerimpulse für die Hauptschaltelemente erzeugt werden (t4). Schliesslich erreicht im Zeitpunkt ts der Zeitgeber 26 nach der vorbestimmten Zeitperiode seinen Schaltpunkt, und die UND-Schaltung 32 spricht nun auf ein Sperrsignal aus dem monostabilen Multivibrator 14 des Impulsüberwachers an.

Der Impulsüberwacher überwacht ständig, wie erwähnt, die Steuerimpulse auf dem Ausgangskanal 12a und in dem monostabilen Multivibrator 14 und wird durch jeden Steuerimpuls aus dem Mikrocomputer vor dem Erreichen der Zeit-s sperre des Zeitgebers 16 ständig rückgesetzt. Wenn jedoch eine Softwarestörurtg oder eine andere Logikstörung auftritt, wird der monostabile Multivibrator 14 rückgesetzt, bevor der Zeitgeber 16 nach der vorgegebenen Zeit seinen Schaltpunkt erreicht.

10

Wenn gemäss Fig. 2 diese Störung im Zeitpunkt t6 auftritt, nimmt das Ausgangssignal des monostabilen Multivibrators 14 auf der Leitung 18 seinen Signalzustand H an und sperrt gleichzeitig über die NAND-Schaltung 20 die UND-Schal-15 tung 32. In diesem Zeitpunkt liegt ein H-Signal an dem Dreizustandspuffer 13 an, das diesen für Steuerimpulse aus dem Mikrocomputer 10 augenblicklich unempfänglich macht. Durch augenblickliches Unterbrechen sämtlicher Steuersignale an der Brennstoffzelle wird gleichzeitig die gesamte 20 Kraftanlage vollständig abgeschaltet.

In diesem Sperrzustand verhindern die Dreizustandspuffer 13, dass Steuersignale die Hauptschaltelemente und andere Komponenten der Kraftanlage erreichen, so dass die 25 Kraftanlage nicht unabsichtlich wieder gestartet werden kann. Zum Wiederstarten des gesamten Systems wird der Rücksetzschalter 36 betätigt (Zeitpunkt t7), und das gesamte System durchläuft die Initialisierungsschritte, wie oben beschrieben.

B

2 Blatt Zeichnungen

Claims

659 718

PATENTANSPRÜCHE

1. Überwachungsschaltung tur eine Kraftanlage, die einen Mikrocomputer enthält, der beim Liefern von Steuersignalen über mehrere Ausgangskanäle einem vorbestimmten Programm folgt, gekennzeichnet durch:eine Impulsüberwachungsschaltung (14, 16), die mit den Ausgangskanälen (12) des Mikrocomputers (10) verbunden ist und einen ersten Zeilgeber ( 16) enthält, der eine Verzögerungszeitspanne hat; eine Blockierschaltung (13), die dem Mikrocomputer (10) nachgeschaltet ist, um für das Steuersystem bestimmte Steuerimpulse zu blockieren, wenn ein Sperrsignal an ihr anliegt;eine Rücksetzeinrichtung (22, 26, 36) mit einer Initialisierschaltung (22, 26) zum Wiederstarten des vorgewählten Programms, welchem der Mikrocomputer (10) folgt, um die logischen Elemente in dem Steuersystem zu initialisieren; wodurch, wenn ein Steuerimpuls, der von dem Mikrocomputer ( 10) über den überwachten Ausgangskanal abgegeben wird, eine vorbestimmte Länge überschreitet, die

Impulsüberwachungsschaltung (14, 16) ein Sperrsignal an die Blockiereinrichtung (13) anlegt, welches Steuerimpulse daran hindert, die Steuereinrichtungen der Kraftanlage zu erreichen, wodurch die Kraftanlage abgeschaltet wird.
2. Schaltung nach Anspruch 1, gekennzeichnet durch eine Anfahrverzögerungseinrichtung (28,34) zum Anlegen eines Sperrsignals an die Blockierschaltung (13) während der Anlaufphase des Steuersystems, um dadurch einen falschen Signalimpuls am unbeabsichtigten Freigeben der Steuereinrichtungen zu hindern.
3. Schaltung nach Anspruch 2, dadurch gekennzeichnet, dass die Anfahrverzögerungseinrichtung (28,34) ein Flipflop (28) und einen Zeitgeber (34) enthält, wobei das Flipflop mit einem Haltekreis (20,32) verbunden ist und wobei der Zeitgeber (34) das Flipflop nach einer vorbestimmten Zeitspanne zurücksetzt.
4. Schaltung nach Anspruch 1, gekennzeichnet durch eine Rücksetzeinrichtung (36), die mit der Initialisierschaltung (22,26) und mit dem Anfahrflipflop (28) verbunden ist, um diese rückzusetzen, wenn die Rücksetzeinrichtung betätigt wird.
5. Schaltung nach Anspruch 1, dadurch gekennzeichnet, dass die Initialisierschaltung (22,26) einen monostabilen Multivibrator (22) und einen Zeitgeber (26) enthält, der den monostabilen Multivibrator in dessen stabilen Zustand zurückbringt und eine Verzögerungszeit hat, die der Zeit entspricht, welche erforderlich ist, um die gesamte logische Schaltungsanordnung in dem Mikrocomputer (10) zu initialisieren.
6. Schaltung nach Anspruch 1, dadurch gekennzeichnet, dass die Impulsüberwachungsschaltung (14,16), die mit dem Ausgangskanal (12a) des Mikrocomputers (10) verbunden ist, einen Zeitgeber ( 16) enthält, der eine Verzögerung hat, die etwas länger ist als die maximale Länge des über den Ausgangskanal abgegebenen Steuerimpulses, und dass die Impulssteuereinrichtung, wenn sie nicht rückgesetzt wird, durch den Zeitgeber in ihren stabilen Zustand gebracht wird, wodurch ein Sperrsignal erzeugt wird, das die Blockierschaltung ( 13) in ihren blockierten Zustand bringt.