-
Die
Erfindung entspringt dem Gebiet der Automatisierungstechnik und
beschreibt eine Spannungsüberwachungsanordnung für
ein Sicherheitsmodul, welche zum sicheren Betrieb des Moduls dient.
-
Automatisierungssystemkomponenten,
wie beispielsweise Antriebsverstärker oder Steuerungen,
werden von Maschinenherstellern beispielsweise zum Bau von Bearbeitungsmaschinen
eingesetzt. Die Maschinenhersteller müssen hierbei die
einschlägigen Normen und Maschinenrichtlinien beachten
und benötigen daher Komponenten, mit denen ein sicherer
Betrieb der Maschinen gemäß Maschinenrichtlinie
realisierbar ist. Zur Lösung dieses Problems bietet die
Anmelderin für Automatisierungssystemkomponenten ein sogenanntes Sicherheitsmodul
an, mittels dessen ein sicherer Betrieb der von der Anmelderin hergestellten
und vertriebenen Automatisierungssystemkomponenten realisierbar
ist. Damit jedoch auch der sichere Betrieb dieses Moduls selbst
sichergestellt ist, müssen diverse schaltungstechnische
Vorkehrungen für das Modul getroffen werden, insbesondere
zum Schutz der Modulelektronik vor Überspannungen oder
vor Spannungsausfällen.
-
Es
sind Schaltungsanordnungen zur Abschaltung bei Überstrom
oder Überspannung zum Schutz eines Verbrauchers bekannt.
Eine solche Anordnung zeigt die deutsche Patentschrift
DE 2504648 C2 . Die
DE 38 29 705 A1 zeigt
eine Überspannungsschutzeinrichtung für eine Elektronikschaltung.
-
Würden
derartige Schaltungen jedoch zum Schutz des oben genannten Moduls
verwendet, so würden diese den sehr hohen Anforderungen
an die Betriebsbereitschaft und Funktionssicherheit nicht genügen.
Insbesondere würden derartige Schaltungen von den Zertifizierungsstellen
nicht akzeptiert, denn um die Normen und Richtlinien zu erfüllen,
muss die Betriebsbereitschaft der Spannungsüberwachung
nicht nur jederzeit sichergestellt, sondern auch jederzeit während
des ununterbrochenen Betriebes des Moduls testbar sein.
-
Die
erfindungsgemäße Lösung geht aus von
einer Spannungsüberwachung mit einem ersten Unterbrechungsmittel
zum Unterbrechen der zulässigen Versorgungsspannung für
einen elektrischen Verbraucher und einem Vergleichsmittel zum Vergleich
einer zu überwachenden Versorgungsspannung mit einer Referenzspannung.
Bei Abweichung (Überschreiten oder Unterschreiten) der
Versorgungsspannungstoleranzen kann mittels des Unterbrechungsmittels
die Versorgungsspannung unterbrochen werden.
-
Erfindungsgemäß wird
diese Lösung derart erweitert, dass das erste Unterbrechungsmittel
und ein zweites Unterbrechungsmittel parallel geschaltet wird, wobei
das erste Unterbrechungsmittel mittels eines ersten hardwaremäßig
vorgesehenen Vergleichsmittels ansteuerbar ist und wobei ein erstes
Steuermittel für das Unterbrechungsmittel vorgesehen ist,
um das erste Unterbrechungsmittel unter Verwendung des ersten Vergleichsmittels
anzusteuern. Es ist zusätzlich ein zweites Steuermittel
vorgesehen, um das zweite Unterbrechungsmittel unabhängig
von einem hardwaremäßig vorgesehenen Vergleichsmittel
softwaremäßig anzusteuern. Zusätzlich
sind Statusausgänge an den Unterbrechungsmitteln vorgesehen,
damit der Zustand beider Unterbrechungsmittel erfasst werden kann,
wobei beide Unterbrechungsmittel derart unabhängig voneinander mittels
der ebenfalls völlig unabhängig voneinander arbeitenden
Steuermittel betätigt werden können, dass die Versorgungsspannung
bei Betätigung eines Unterbrechungsmittel stets mittels
des jeweils parallel geschalteten anderen Unterbrechungsmittels
aufrecht erhalten bleibt. Selbstverständlich ist die Anordnung
auch derart steuerbar, dass beide Unterbrechungsmittel die Spannungsversorgung
unterbrechen können, d. h. zeitgleich öffnen bzw.
schließen können (In der Regel werden beide Unterbrechungsmittel
mittels eines Öffners und eines Schließers zueinander
invertiert ausgebildet).
-
Die Überprüfung
der Funktionstüchtigkeit der Unterbrechungsmittel erfolgt
während des Betriebes des Verbrauchers, um eine gegebenenfalls
fehlerbehaftete Spannungsüberwachungselektronik während
des Betriebes und ohne Unterbrechung des Betriebes sicher zu erkennen.
Ein Defekt eines Unterbrechungsmittels (Schalter/Schütze/Leistungshalbleiter)
kann somit frühzeitig signalisiert werden.
-
Das
Vergleichsmittel realisiert den Vergleich der zu überwachenden
Spannung mit Hilfe einer Referenzspannung. Je nach Ergebnis des
Vergleichs kann über das Ausgangssignal des Vergleichsmittels
(Steuermittel) eine Aktion gestartet werden. Im Sinne der Erfindung
würde man bei überhöhter Versorgungsspannung
alle Unterbrechungsmittel derart aktivieren, dass der Verbraucher
sofort vom Netz getrennt wird. Die erfindungsgemäße
Realisierung bewirkt, dass die Unterbrechungsmittel auch ohne tatsächlich
vorhandene Störung betätigt werden können.
Dies ermöglicht die Ausführung zyklischer Test
der Spannungsüberwachung während des Betriebes
des Verbrauchers, indem abwechselnd immer nur ein Unterbrechungsmittel
eines Zweiges betätigt wird, so dass die Versorgung des
Verbrauchers über den parallelen zweiten Zweig und wegen der
invers zueinander ausgeführten Schalter stets sichergestellt
ist. Für den Test der Spannungsüberwachungselektronik
ist es also nicht erforderlich den Verbraucher testweise abzuschalten,
denn mittels der parallelen Anordnung der Unterbrechungsmittel wird
ein redundanter Pfad zur Versorgung des Verbrauchers realisiert.
-
Mittels
der Statusausgänge ist der Zustand beider Unterbrechungsmittel
leicht erfassbar und durch zusätzliche Auswertevorrichtungen
beispielsweise auch durch den Verbraucher selbst weiterverarbeitbar.
Da das zweite Steuermittel unabhängig von dem mittels des
ersten Vergleichsmittel realisierte erste Steuermittel arbeitet,
können beide Steuermittel völlig autark betrieben
werden. Bei der Realisierung des zweiten Steuermittels wird gänzlich
auf die Verwendung des Vergleichsmittels verzichtet. Die Ansteuerung
des zweiten Unterbrechungsmittels mittels des zweiten Steuermittels
erfolgt rein auf Software basierend. Dies hat den Vorteil, dass
ohnehin vorhandene Rechenkapazität genutzt werden kann.
Dadurch reduziert sich die Anzahl der Bauteile und auch die Fehleranfälligkeit
der Anordnung. Wegen der geringeren Anzahl der Bauteile baut die
Leiterplatte außerdem kleiner und der Verdrahtungsaufwand
reduziert sich. Insgesamt können somit die Abmessungen
des Sicherheitsmoduls reduziert und Herstellungskosten eingespart
werden.
-
Erfolgt
die Überprüfung der Unterbrechungsmittel periodisch
und dauerhaft vorzugsweise während der gesamten Betriebsdauer
des Verbrauchers in Echtzeit, so ist eine permanente Funktionsprüfung
der Spannungsüberwachung gewährleistet, was die
Betriebsicherheit der Spannungsüberwachung selbst und die
Betriebssicherheit der überwachten Verbraucher erhöht.
Theoretisch wäre es auch denkbar die Überwachungslogik
derart zu realisieren, dass bei gewollter verminderter Sicherheit
oder hoher Auslastung der vorhandenen Rechenkapazität die
Kontrolle der Schaltmittel nur von Zeit zu Zeit, also unter Berücksichtigung
der Rechenlast, erfolgt.
-
Vorteilhafterweise
sind jeweils zwei Parallelschaltungen umfasst, wobei jeweils eine
erste Parallelschaltung mittels eines erstes Unterbrechungsmittelpaares
und eine zweite Parallelschaltung mittels eines zweiten Unterbrechungsmittelpaares
gebildet ist. Beide Unterbrechungsmittelpaare bilden eine Serienschaltung.
Jeweils nur ein Unterbrechungsmittel eines Unterbrechungsmittelpaares
ist mittels eines jedem Unterbrechungsmittelpaar zugeordneten ersten
bzw. zweiten mittels Hardware realisierten Vergleichsmittels ansteuerbar.
-
Die
Unterbrechungsmittelpaare beider Parallelschaltungen sind völlig
unabhängig voneinander testbar. Der Test beider Parallelschaltungen
erfolgt zeitversetzt. Für den Fall, dass während
eines Tests ein kritischer Zustand erreicht wird, wie beispielsweise
eine Überspannung am Verbraucher, kann mittels des jeweils anderen
Unterbrechungsmittelpaares, welches aktuell nicht getestet wird,
die Spannungsüberwachung sichergestellt werden. Die Spannungen
zum Verbraucher können aufgrund der Serienschaltung somit notfalls
unterbrochen werden. Hintergrund für dieses Vorgehen ist,
dass während des Testbetriebes das aktuell getestete Unterbrechungsmittelpaar
zur Realisierung einer Spannungsunterbrechung nicht verfügbar
ist.
-
Empfehlenswert
ist weiterhin, dass das erste Unterbrechungsmittel seinen Zustand
nach Maßgabe einer Hysterese abhängig von dem
Verlauf der Versorgungsspannung ändert, wobei das zweite
Unterbrechungsmittel den letzten Schaltzustand unabhängig
vom Verlauf der Versorgungsspannung hält. Die Hysterese
kann beispielsweise mittels eines Schmitt-Triggers und die Beibehaltung
des letzten Schaltzustandes mittels einer Selbsthalteschaltung realisiert
werden. Die Hysterese deckt dabei einen bestimmten Toleranzbereich ab,
in dem sich die zu überwachende Größe
bewegen darf, ohne eine Abschaltung des Verbrauchers zu bewirken.
Die Selbsthalteschaltung vermeidet, dass ein einmal abgeschalteter
Verbraucher erneut automatisch wieder ans Netz genommen wird, bevor
eine Fehlerbehebung erfolgt ist. Die Selbsthalteschaltung verhindert außerdem
ein Schwingen der Versorgungsspannung zwischen der unteren und oberen
Schaltschwelle des Schmitt-Triggers.
-
Vorteilhafterweise
ist eine Mehrzahl unterschiedlicher Versorgungsspannungen für
einen oder mehrere Verbraucher überwachbar (Beispiel: Mikrocontroller
mit unterschiedlichen Modulen, wobei jedes Modul einen anderen Spannungspegel
erfordert). Zur Realisierung dieses Merkmals werden mehrere Vergleichsmittel vorgesehen,
wobei diese Vergleichsmittel derart parallel zueinander geschaltet
sind, dass diese ein und demselben Umschaltmittel zugeordnet werden
können. Jedes Vergleichsmittel überwacht nur eine
Versorgungsspannung. Zur Überwachung von beispielsweise
drei Versorgungsspannungen wären demnach drei Vergleichsmittel
erforderlich.
-
Für
die ggf. parallel arbeitenden Vergleichsmittel ist eine gemeinsame
Referenzspannung vorgesehen, wobei jedes Vergleichsmittel einen
eigenen Steuereingang und zusätzlich einen Eingang für
die zu überwachende Spannung umfasst. Ein zum Vergleichsmittel
korrespondierendes Umschaltmittel ist mittels seines Steuereingangs
mittels aller parallel arbeitenden Vergleichsmittels ansteuerbar.
Eine zentrale Energieversorgung, welche die Versorgungsspannung
zur Erzeugung verschiedener weiterer zu überwachender Spannungen
liefert, kann bereits dann abgeschaltet werden, wenn nur eine der
beiden Versorgungsspannungen ihre zulässigen Toleranzen über-
oder unterschreitet.
-
Es
wird empfohlen eine Anlauflogik vorzusehen, welche beim Einschalten
des Verbrauchers die Spannungsüberwachung für
eine definierte Zeitdauer außer Kraft setzt, da bei einem
Einschaltvorgang stets kurzzeitig mit einer Unterspannung zu rechnen
ist.
-
Bevorzugt
wird eine Steuerlogik zur Ansteuerung der Steuereingänge
an den Überwachungsmitteln und/oder der Steuereingänge
der Vergleichsmittel vorgesehen. Diese Steuerlogik ist vorzugsweise
programmierbar. Die Steuerlogik kann mittels einer programmierbaren
Hardware (EPLD, FPGA, etc.) oder mittels einer Recheneinheit (Prozessor,
Mikrocontroller) realisiert werden. Die Recheneinheit hat den Vorteil,
dass das Steuerprogramm jederzeit einfach abgeändert werden
kann, während Änderungen bei einer programmierbaren
Hardware mit größerem Aufwand einhergehen.
-
Vorteilhafterweise
kann die Steuerlogik zusätzlich den Zustand der Unterbrechungsmittel
mittels der Statutsausgänge erfassen und auswerten. Gleichzeitig
kann die Steuerlogik weitere für die eigentliche Funktion
des Sicherheitsmoduls relevante Aufgaben, wie beispielsweise die
Kontrolle eines parallelen sicherheitsrelevanten Prozesses übernehmen,
welcher von einer das Sicherheitsmodul umfassenden Einheit (Steuerung, Antriebsverstärker)
ausgeführt werden muss.
-
Besonders
vorteilhaft ist es, wenn die Referenzspannung und die Eingangsspannung
oder auch weitere denkbare Spannungen der Vergleichsmittel digitalisiert
werden und zusätzlich überwacht werden. Die Überwachung
könnte beispielsweise ebenfalls mittels eines in der Recheneinheit
ablaufenden Computerprogramms erfolgen. Es wird damit eine zusätzliche
Kontrollmöglichkeit der Referenzspannungen und der Eingangsspannungen
gewährleistet, um einen fehlerhaften Vergleich durch falsche
Spannungswerte – hervorgerufen durch z. B. Bauteildrift,
Leiterbahnunterbrechungen, Alterung, Temperaturdrift etc. – frühzeitig
zu erkennen.
-
Vorzugsweise
umfasst ein Sicherheitsmodul für eine Automatisierungskomponente,
insbesondere eine Sicherheitssteuerung oder einen Antrieb, eine
Spannungsüberwachung gemäß einem der
vorhergehenden Ansprüche, wobei das Sicherheitsmodul den
Verbraucher in Form einer ersten Prozessoreinheit umfasst, welche
einen ersten Sicherheitskanal bildet, wobei zusätzlich
eine für die erste Prozessoreinheiten genutzte einzige
Spannungsversorgungseinheit umfasst ist, welche mittels der Spannungsüberwachung überwacht
ist. Das zweites Steuermittel für die Umschaltmittel wird
dann vorzugsweise mittels einer auf der Prozessoreinheit ablaufenden
Software realisiert.
-
Vorzugsweise
wird das zweite Steuermittel von der Prozessoreinheit bereitgestellt,
so dass die ohnehin vorhandene Hardware der Prozessoreinheit zusätzlich
zur Ansteuerung eines Umschaltmittels benutzt wird.
-
Vorteilhafterweise
umfasst der Verbraucher eine zusätzliche zweite Prozessoreinheit
zur Realisierung eines zweiten Sicherheitskanals, wobei beide Prozessoreinheiten
gemeinsam mittels der Spannungsversorgung versorgt werden können.
Dies hat den Vorteil, dass beide Sicherheitskanäle nicht
voneinander entkoppelt werden müssen. Sogenannte Entkopplungswiderstände,
welche zwischen allen Verbindungsleitungen der beiden Kanäle
vorzusehen wären, entfallen. Auch werden Bauteile wie DC/DC-Wandler
nicht mehrfach benötigt, wie bei mehreren getrennten Spannungsversorgungen.
Dies führt zu Kosteneinsparungen beim Einkauf der Komponenten,
bei der Bestückung und beim Test der Anordnung.
-
Bevorzugt
liefert die erste Prozessoreinheit das zweite Steuersignal der ersten
Parallelschaltung von Unterbrechungsmitteln, wobei die zweite Prozessoreinheit
das zweite Steuersignale der zweiten Parallelschaltung von Unterbrechungsmittel
zur Verfügung stellt. Beide Parallelschaltungen werden
daher unabhängig voneinander angesteuert. Dies erhöht
deren sicheren Betrieb und den sicheren Betrieb des Moduls, weil
nun während eine Prozessoreinrichtung beispielsweise den
Test der Unterbrechungsmittel durchführt die jeweils andere
Prozessoreinrichtung die eigentliche Spannungsüberwachung
parallel zum Test gewährleistet. Gleichzeitig und in Echtzeit
können beide Prozessoreinrichtungen noch modulspezifische
Kontroll- und/oder Überwachungsaufgaben übernehmen.
-
Bevorzugt
umfasst eine sichere Steuerung, insbesondere eine sichere SPS und/oder
eine sichere CNC, mit Netzteil zur Bereitstellung einer Versorgungsspannung
ein erfindungsgemäßes Sicherheitsmodul, wobei
das Netzteil zur Versorgung des Sicherheitsmoduls mit diesem verbunden
ist und wobei unter Verwendung der Spannungsüberwachung
des Sicherheitsmoduls eine sichere Versorgung zumindest einer auf
dem Sicherheitsmodul angeordneten Recheneinheit gewährleistet
ist.
-
Unter
Verwendung der Spannungsüberwachung des Sicherheitsmoduls
ist vorzugsweise eine sichere Versorgung zumindest zweier auf dem
Sicherheitsmodul angeordneter und parallel arbeitender Recheneinheiten,
welche sich zumindest zeitweise gegenseitig überwachen,
gewährleistet.
-
Ebenso
bevorzugt umfasst ein sicherer Antrieb, insbesondere Antriebsverstärker,
insbesondere mit integrierter Steuerung, insbesondere eine SPS und/oder
eine CNC, mit Netzteil zur Bereitstellung einer Versorgungsspannung
ein erfindungsgemäßes Sicherheitsmodul, wobei
das Netzteil zur Versorgung des Sicherheitsmoduls mit diesem verbunden
ist und wobei unter Verwendung der Spannungsüberwachung
des Sicherheitsmoduls eine sichere Versorgung zumindest einer auf
dem Sicherheitsmodul angeordneten Recheneinheit gewährleistet
ist.
-
Unter
Verwendung der Spannungsüberwachung des Sicherheitsmoduls
ist vorzugsweise eine sichere Versorgung zumindest zweier auf dem
Sicherheitsmodul angeordneter und parallel arbeitender Recheneinheiten,
welche sich zumindest zeitweise gegenseitig überwachen,
gewährleistet.
-
Die
nachfolgend erläuterten Figuren dienen lediglich dem besseren
Verständnis der vorliegenden Erfindung, sie schränken
die Erfindung nicht etwa auf das Ausführungsbeispiel ein.
Grundsätzlich kann jede Funktionsweise, jedes Prinzip,
jede technische Ausgestaltung und jedes Merkmal, welches/welche
in den Figuren oder im Text gezeigt ist/sind, mit allen Ansprüchen,
jedem Merkmal im Text und in den Figuren, anderen Funktionsweisen,
Prinzipien, technischen Ausgestaltungen und Merkmalen, die in dieser
Offenbarung enthalten sind oder sich daraus ergeben, frei und beliebig
kombiniert werden, so dass alle denkbaren Kombinationen dem Offenbarungsumfang
der Erfindung hinzuzurechnen sind. Dabei sind auch Kombinationen
zwischen allen einzelnen Ausführungen im Text, d. h. in
jedem Abschnitt des Beschreibungstexts, in den Ansprüchen
und auch Kombinationen zwischen verschiedenen Ausführungsbeispielen
im Text, in den Ansprüchen und in den Figuren umfasst.
-
1 zeigt
ein Realisierungsbeispiel für eine erfindungsgemäße
Lösung grob schematisch.
-
2 zeigt
die Ansteuerung der in 1 gezeigten Anordnung für
Testzwecke.
-
3 zeigt
das erfindungsgemäße Sicherheitsmodul grob schematisch.
-
Es
versteht sich von selbst, dass die in den Figuren gezeigten elektronischen
Bauteile noch gemäß ihrer Datenblätter
zu beschalten und mit entsprechenden Versorgungsspannungen zu betreiben
sind.
-
1 zeigt
eine zweikanalige Überwachung für zwei aus einer
gemeinsamen Versorgungsspannung 18 (VCC_HOST) erzeugte
Betriebsspannungen 16a (VCORE) und 16b (3,3 Volt)
für einen Verbraucher 10 (beispielsweise einem
oder mehrerer Prozessoren). Die Schalter 11a, b, c, d zur
Unterbrechung der Versorgungsspannungen VCORE und/oder 3,3 Volt
für den Verbraucher 10 können während
des Betriebes des Verbrauches (on the fly) getestet werden.
-
Dies
hat den Vorteil, dass der Verbraucher 10 für einen
Test nicht abgeschaltet werden muss. Ohne die erfindungsgemäße
Lösung wäre ein Test während des Betriebes
nicht möglich und laufende Prozesse, an denen das Sicherheitsmodul
beteiligt ist, müssten speziell für den Test unterbrochen
werden. Dieser Aufwand ist jedoch insbesondere bei kostenintensiven
Fertigungsprozessen nicht vertretbar.
-
Die
erfindungsgemäße Spannungsüberwachung
ist aufgrund der Parallelschaltung der Schalter 11a, b
und der Schalter 11c, d, welche paarweise in Serie geschaltet
sind, doppelt redundant ausgeführt und gewährleistet
sowohl die Testbarkeit als auch die Funktion der Spannungsüberwachung
während des Tests.
-
Jede
Parallelschaltung von Unterbrechungsmitteln 11a, b/11c,
d umfasst zumindest zwei Unterbrechungsmittel 11a, b/11c,
d welche Unterbrechungsmittel 11a, b/11c, d einzeln
derart ansteuerbar sind, dass die Unterbrechung der Spannungsversorgung
realisierbar ist. Die Unterbrechungsmittel 11a, b/11c,
d einer Parallelschaltung sind stets paarweise invers ausgebildet.
Dadurch, dass das erste Unterbrechungsmittel 11b, d einer
Parallelschaltung jeweils als Öffner 11b, d und
das zweite Unterbrechungsmittel 11a, c einer Parallelschaltung
jeweils als Schließer 11a, c realisiert ist, erreicht
man eine weitere Erhöhung der Sicherheit.
-
Jedes
Unterbrechungsmittel 11a, b, c, d ist mit einem Messpunkt 15a,
b, c, d versehen, an dem ein Messabgriff vorgesehen ist. Mittels
des Messabgriffes wird der aktuelle Zustand eines Unterbrechungsmittels 11a,
b, c, d beispielsweise durch eine Messung des anliegenden Spannungspegels
am Messpunkt 15a, b, c, d des Unterbrechungsmittels 11a,
b, c, d überprüfbar und auswertbar.
-
Der
Spannungspfad verläuft von der Versorgungsspannung 18 (VCC_HOST) über
die oben erläuterte Parallelschaltung von Überwachungsmitteln 11a,
b, c, d zu einem DC/DC-Wandler 22, welcher die Versorgungsspannung 18 für
den oder die Verbraucher 10 wandelt. Sollte nun eine Störung
im DC/DC-Wandler 22 oder auf Seiten der Versorgungsspannung 18 auftreten,
beispielsweise durch Überspannung oder einen defekten DC/DC-Wandler 22,
so ist es die Aufgabe des Spannungspfades den Verbraucher 10 vor
derartigen Spannungsänderungen zu schützen, indem
unzulässige Spannungen von Verbrauchen weggeschaltet werden.
Damit diese Schutzfunktion stets gewährleistet ist, muss
die Abschaltfunktion in regelmäßigen Abständen „on
the fly” gestestet werden.
-
Die
Erfindung sieht für derartige Tests Vergleichsmittelpaare 12a,
b und 12c, d vor. Einem Vergleichsmittelpaar 12a,
b und 12c, d ist jeweils ein Unterbrechungsmittel 11a,
d eines Unterbrechungsmittelpaares 11a, b und 11c,
d zugeordnet. Das Vergleichsmittelpaar 12a, b und 12c,
d kann dieses Unterbrechungsmittel 11a, d mittels vom jeweiligen
Vergleichsmittelpaar 12a, b und 12c, d erzeugten
Steuersignalen 14a, d betätigen. Das jeweils andere
Unterbrechungsmittel 11b, c eines Unterbrechungsmittelpaares 11a,
b und 11c, d ist unmittelbar mittels des Verbrauchers 10 selbstansteuerbar.
Die hierzu erforderlichen Steuersignale 14b, c werden mittels
des Verbrauchers 10 generiert. Bei dem Verbraucher 10 handelt
es sich vorzugsweise um eine Recheneinheit 10, welche neben
der Erzeugung der Steuersignale 14b, c in erster Linie
sicherheitsrelevante Prozessüberwachungsschritte durchführt.
-
Die
Vergleichsmittel 12a, b, c, d arbeiten mit jeweils einer
Referenzspannung 13a, b, gegen welche die zu überwachenden
Spannungen 16a, b vergleichbar sind. Der Pegel der Referenzspannung 13a,
b ist mittels einer jedem Vergleichsmittel 12a, b, c, d
zugeordneten Steuerspannung 21a, b, c, d im Rahmen eines
vorgebbaren Toleranzbereiches 17a, b, c, d beeinflussbar.
-
Die
als Verbraucher 10 ausgebildete Prozessoreinheit 10 dient
ebenfalls zur Ansteuerung der Steuereingänge 21a,
b, c, d. Die Prozessoreinheit 10 kann zusätzlich
den Zustand der Unterbrechungsmittel 11a, b, c, d mittels
der Statutsausgänge 15a, b, c, d erfassen, auswerten
und abhängig von der Auswertung die Steuereingänge 21a,
b, c, d der Vergleichsmittel und/oder der Steuereingänge
der Umschaltmittel 14a, b, c, d für Zwecke des
Tests der Spannungsüberwachung beeinflussen.
-
Es
bietet sich zusätzlich an die Referenzspannungen 13a,
b und die Eingangsspannung 18 mittels eines AD-Wandlers
zu digitalisieren und von der Prozessoreinrichtung 10 zusätzlich überwachen
zu lassen. Vorzugsweise sind zur Realisierung einer Mehrkanaligen
Lösung mehrere Prozessoreinheiten 10 umfasst,
welche von ein und derselben Spannungsversorgung 16a, b
betrieben werden.
-
Im
Folgenden wird nun noch etwas konkreter auf das erfindungsgemäße
Ausführungsbeispiel eingegangen.
-
Als
erste Schutzfunktion wird nach der Einspeisung der Spannung VCC_HOST
eine Suppressor Diode vorgesehen. Diese Suppressor Diode wirkt als
Schutz gegen schnelle Spannungsspitzen, die größer
als 6,4 V sind. Und ergänzen den Überspannungsschutz
des Sicherheitsmoduls.
-
Alle
verwendeten Bauteile besitzen eine maximal erlaubte Spannungstoleranz
von ±10%. Dies gilt sowohl für die Spannung VCORE
(1,4 V), als auch für die Logikspannung (3,3 V). Mittels
der Vergleichsmittel 12a, b, c, d (Fensterkomparatoren)
und der Schaltungsblöcke 17a, b, c, d wird die
Einhaltung der jeweiligen Spannungstoleranzen auf ±7% überwacht.
Im Fehlerfall wird das Sicherheitsmodul von der Spannungsversorgung
VCC_HOST getrennt. Die Ober- und Unterspannungsabschaltung ist zweikanalig 19a,
b aufgebaut. Es wird ein zyklischer Funktionstest der Abschaltlogik
durchgeführt, wobei ein gleichzeitiger Test beider Kanäle 19a,
b nicht erlaubt ist.
-
Für
den Funktionstest der Über-Unterspannungsabschaltung wird
die Referenzspannung des jeweiligen Kanals 19a, b um ca. ±7%
mittels der Steuereingänge 21a, b, c, d verstimmt.
Vor und während des Testvorganges muss das zugehörige
Umschaltmittel 11b, c (Bypasstransistor) zugeschaltet werden,
damit sich die Logik bzw. der Verbraucher 10 während
des Tests nicht tatsächlich abschaltet. Das gleichzeitige
Aktivieren beider Umschaltmittel 11b,c (Bypasstransistoren)
ist nicht erlaubt. Beide Überwachungskanäle 19a,
b sind im Aufbau im wesentlichen identisch und werden jeweils von
einem Steuereingang 21a, b und 21c, d bedient.
-
Bei
den im oberen Teil der 1 gezeigten Umschaltmitteln 11a und 11d handelt
es sich um in Reihe geschaltete Leistungsschalter, die von der jeweiligen Überwachungslogik 19a,
b angesteuert werden. Um die komplette Funktionalität der Überwachungslogik 19a,
b (einschließlich der beiden Schaltelemente 11a und 11d) überprüfen
zu können, muss der zu testende Schalter 11a, 11d mittels
der zugeordneten Bypasstransistoren 11b, 11c für
die Testdauer überbrückt werden. Das gleichzeitige
Zuschalten beider Bypasstransistoren ist nicht erlaubt. Der Zustand
aller Schalter (offen bzw. gesperrt) wird durch die Signale SK1_VOFF, SK1_VOFFBP
bzw. SK2VOFF, SK2 VOFFBP einer ersten (nicht gezeigt) und zweiten
(nicht gezeigt) CPU (Verbraucher 10) über GPIO-Ports
zugeleitet. Die Funktionalität der Überwachung
bzw. korrekten Abschaltung wird von der Firmware der ersten bzw.
zweiten CPU (Verbraucher 10) zyklisch überprüft.
-
Im
Folgenden wird die Bedeutung der in
1 gezeigten
Signale erläutert.
| Steuersignal | Funktion |
| SKx_VTEST | Zuschaltung
des Bypasstransistors (11b oder 11c) |
| SKx_UV_1V4_N | Referenzspannungseingangsbeeinflussung.
Bei
LOW-Pegel wird die Referenzspannung am Referenzspannungseingang
um 7% erhöht, so dass der 1,4 V Unterspannungskomparator 12a,
c schaltet. |
| SKx_OV_1V4_N | Referenzspannungseingangsbeeinflussung.
Bei
LOW-Pegel wird die Referenzspannung am Referenzspannungseingang
um 7% verringert, so dass der 1,4 V Überspannungskomparator 12a,
c schaltet. |
| SKx_UV_3V3_N | Referenzspannungseingangsbeeinflussung.
Bei LOW-Pegel wird die Referenzspannung am Referenzspannungseingang
um 7% erhöht, so dass der 3,3 V Unterspannungskomparator 12b,
d schaltet. |
| SKx_OV_3V3_N | Referenzspannungseingangsbeeinflussung.
Bei LOW-Pegel wird die Referenzspannung am Referenzspannungseingang
um 7% verringert, so dass der 3,3 V Überspannungskomparator 12b,
d schaltet. |
| | |
| Statussignal | Funktion |
| SKx_VOFF | Bei
HIGH-Pegel ist der Transistor 11a bzw. 11d ausgeschaltet. |
| SKx_VOFFBP | Bei
HIGH-Pegel ist der Bypasstransistor 11b bzw. 11c ausgeschaltet. |
-
Der
folgende Teil der Funktionsbeschreibung beschränkt sich
auf die Beschreibung des ersten Kanals 19a, da der zweite
Kanal 19b im wesentlichen gleich aufgebaut ist. Bei Erkennen
eines Fehlers muss von der auf dem Verbraucher 10 ablaufenden
Firmware der sichere Zustand eingenommen werden. Beim Einschalten der
Spannung VCC_HOST wird für einige Millisekunden die Unterspannungsabschaltung
gesperrt, um einen Hochlauf des Spannungsüberwachungsmoduls
zu ermöglichen. Spätestens nach dieser Zeit müssen
sich die beiden Spannungen VCORE und 3,3 Volt stabilisiert haben,
um eine Abschaltung durch die Unterspannungserkennung zu vermeiden.
Die Überspannungsabschaltung ist jedoch auch während
der Hochlaufphase wirksam. Die Firmware prüft außerhalb
des Testbetriebes zyklisch den ausgeschalteten Bypasstransistor
mittels des Statussignals SKx_VOFFBP 1.
-
Ein
Testzyklus wird durch Zuschalten der entsprechenden Bypasstransistoren
(11b bzw. 11c) begonnen. Durch Aktivierung eines
der vier Steuersignale (s. obige Tabellen) wird die betreffende
Referenzspannung um 7% verstimmt.
-
2 zeigt
den Zustand der Signal- und Statusleitungen während eines
Testlaufes. Vor dem Test werden die Steuereingänge 21a,
b, c, d aktiviert. Frühestens nach einer Reaktionszeit
von 0,6 ms kann das Schalten des entsprechenden Komparators 12a,
b, c, d (1,4 V, 3,3 V, Über- bzw. Unterspannung) inklusive
des entsprechenden Schalters 11a, 11d mittels
des zugehörigen Statussignals 15a, b SKx_VOFF überprüft
werden. Nach erfolgtem Test werden die Steuereingänge 21a,
b, c, d zum Verstimmen der Referenzspannung wieder inaktiv geschaltet.
Nach einem Delay von max. 10 ms muss der Schalter 11a bzw. 11d wieder
geschlossen sein. Anschließend muss der jeweilige Bypassschalter
(11b bzw. 11c) deaktiviert werden. Diese Prozedur muss
für alle Steuersignale SKx_UV_xx_N und SKx_OV_xx_N zyklisch
durchgeführt werden. Ein Fehlerzustand (ein Komparator
schaltet 11a bzw. 11d Transistor ab) wird hardwaremäßig
mindestens für 2 ms (max. 10 ms) gespeichert, um im Falle
einer Überspannungserkennung die Spannungsabschaltung solange
aufrecht zu erhalten, bis die Unterspannungserkennung aktiv wird.
Hierdurch wird eine Selbsthaltung der Abschaltung beim Erkennen
einer Überspannung erreicht, und ein Oszillieren der Spannung
verhindert.
-
3 zeigt
grob schematisch den Aufbau des erfindungsgemäßen
Spannungsüberwachungsmoduls. Es umfasst den Verbraucher,
welcher wiederum zwei Prozessoren 10a, b umfasst, wobei
die beiden Prozessoren 10a, b jeweils einen separaten Sicherheitskanal
darstellen und miteinander kommunizieren können. Beide
Prozessoren 10a, b werden mittels ein und derselben Spannungsversorgung
versorgt, welche wiederum mittels der erfindungsgemäßen
Spannungsüberwachung 20 überwacht wird.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste
der vom Anmelder aufgeführten Dokumente wurde automatisiert
erzeugt und ist ausschließlich zur besseren Information
des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen
Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt
keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
- - DE 2504648
C2 [0003]
- - DE 3829705 A1 [0003]