PatentDe  


Dokumentenidentifikation DE69623804T2 15.05.2003
EP-Veröffentlichungsnummer 0861459
Titel ÜBERPRÜFUNG EINES DIGITALEN KONTROLLSYSTEMS
Anmelder Limitorque Corp., Lynchburg, Va., US
Erfinder TALBOTT, R., Kenneth, Gretna, US;
GAHAGEN, D., Thomas, Forest, US;
DOLENTI, T., William, Lynchburg, US;
ADAMS, V., David, Gretna, US
Vertreter Dr. Weber, Dipl.-Phys. Seiffert, Dr. Lieke, 65183 Wiesbaden
DE-Aktenzeichen 69623804
Vertragsstaaten DE, GB, IT
Sprache des Dokument EN
EP-Anmeldetag 17.06.1996
EP-Aktenzeichen 969216571
WO-Anmeldetag 17.06.1996
PCT-Aktenzeichen PCT/US96/10474
WO-Veröffentlichungsnummer 0097001080
WO-Veröffentlichungsdatum 09.01.1997
EP-Offenlegungsdatum 02.09.1998
EP date of grant 18.09.2002
Veröffentlichungstag im Patentblatt 15.05.2003
IPC-Hauptklasse G05B 19/048

Beschreibung[de]
Hintergrund der Erfindung 1. Gebiet der Erfindung

Die vorliegende Erfindung bezieht sich allgemein auf digitale Steuersysteme und genauer gesagt auf Systeme zum Verifizieren des Betriebs bzw. der Betriebsweise eines digitalen Steuersystems.

2. Hintergrund der Erfindung

Digitale Steuersysteme verschiedener Typen werden in der Industrie oft für die Steuerung von elektromechanischen Ausrüstungsgegenständen verwendet. Beispielsweise sind Ventilbetätiger ein Beispiel derartiger Typen von elektromechanischen Ausrüstungsgegenständen, die dafür bekennt sind, daß sie durch die Verwendung digitaler Steuerungssysteme betreibbar sind. Typischerweise werden elektromechanische Ventilbetätiger verwendet, um Ventile zu öffnen und zu schließen, die einen Fluidstrom in einer großen Vielfalt von Prozeßumgebungen steuern bzw. kontrollieren. Beispielsweise findet man elektromechanische Ventilbetätiger häufig in Kraftwerken, Ölraffinerien und chemischen und Produktionsanlagen, um nur einige zu nennen. In vielen dieser Anwendungen wird die Betätigung eines bestimmten Ventilbetätigers reguliert durch die Verwendung eines digitalen Steuersystems. Ein Typ eines digitalen Steuersystems wird in dem US-Patent Nr. 5,400,360 offenbart, welches demselben Inhaber gehört wie die vorliegende Anmeldung.

Ein inhärentes Risiko bei digitalen Steuersystemen liegt darin, daß ein Ausfall des digitalen Schaltkreises möglicherweise nicht erfaßt wird, was in einzelnen Fällen die Steuerung des elektromechanischen Ausrüstungsgegenstandes in nachteiliger Weise beeinflussen kann. Beispielsweise kann der Ausfall des digitalen Schaltkreises bewirken, daß der elektromechanische Ausrüstungsgegenstand unerwartet arbeitet oder von der durch das System erforderlichen Arbeitsweise abweichend arbeitet. Eine bekannte Technik für das Überwachen von digitalen Steuersystemen verwendet Watchdog-Zeitgeber (Überwachungsschaltkreise), die durch die digitale Steuerung nun zu periodischen Zeitpunkten zurückgesetzt werden. Wenn insbesondere ein Watchdog-Zeitgeber nicht zurückgesetzt wird, so beginnt das digitale Steuersystem eine erneute Initialisierung oder geht in einen nicht wirksamen Betriebszustand über. Der Nachteil bei der Verwendung von Watchdog- Zeitgebern liegt darin, daß der besondere Grund für den Ausfalls des Systems nicht erfaßt wird und demnach eine weitere Analyse erforderlich ist, um das spezielle Problem mit dem digitalen Steuersystem zu ermitteln. Ein weiterer Nachteil besteht darin, daß in vielen Anwendungsfällen Watchdog- Zeitgeber keine genügend genaue Überwachung des digitalen Steuersystems bereitstellen. Insbesondere gibt es eine Verzögerungszeit von dem Punkt an, wenn der Fehler in dem digitalen Steuersystem auftritt, bis zu dem Zeitpunkt, zu welchem dieses durch die Watchdog-Zeitgeber erfaßt wird; insbesondere dann, wenn ein Watchdog-Zeitgeber nicht zurückgesetzt wird. In vielen Anwendungen muß jedoch der Betrieb der elektromechanischen Ausrüstung strenge Zuverlässigkeits- und Genauigkeitsstandards erfüllen und eine solche Verzögerung reicht in diesen Fällen oftmals nicht aus. Weiterhin ist es selbst bei Anwendungsfällen, in welchen die Genauigkeit weniger wichtig ist, dennoch vorteilhaft, schnell irgendwelche Systemprobleme zu erfassen und darauf zu reagieren, beispielsweise, um die Ausfallzeit der Ausrüstung um die für eine Reparatur durch einen Techniker erforderliche Zeit herabzusetzen. Die US 4,783,307 bezieht sich auf ein System zum Testen programmierbarer Logikschaltkreise, welche verwendet werden, um Kernenergieanlagen zu steuern. Daher bezieht sich die US 4,783,307 auf ein Gerät zum Simulieren von Eingangsgrößen von Sensoren, die über ein Kernkraftwerk verteilt sind, gibt diese simulierten Eingangsgrößen in einen programmierbaren Logikcontroller und überwacht dann die Ausgänge von dem Controller, um festzustellen, ob diese Ausgänge bzw. Ausgangsgrößen mit erwarteten Ausgangsgrößen übereinstimmen, die sich aus den simulierten Ereignissen ergeben sollten. Dementsprechend ist die vorliegende Erfindung in Anbetracht des Vorstehenden entwickelt worden und um die Nachteile des Standes der Technik zu überwinden.

Die vorliegende Erfindung offenbart ein System und ein Verfahren zum Verifizieren der Arbeitsweise bzw. Betätigung eines digitalen Steuersystems; insbesondere, um einen unerwarteten Betrieb der Ausrüstung in Reaktion auf das digitale Steuersystem zu vermeiden. Gemäß der vorliegenden Erfindung ist ein Verifizierungssystem für das Überwachen des Betriebes bzw. der Betätigung eines digitalen Steuersystems für die Verwendung mit elektromechanischer Ausrüstung ausgelegt. Das digitale Steuersystem arbeitet, indem es zumindest ein Steuersignal für das Verifizierungssystem bereitstellt. Das Verifizierungssystem umfaßt eine Validierungseinrichtung für ein Steuersignal, welche das von dem digitalen Steuersystem empfangene Steuersignal verifiziert. Das Verifizierungssystem umfaßt auch eine Treibereinrichtung, um zumindest ein Betriebssignal in Reaktion auf zumindest ein Treibersignal bereitzustellen. Eine Treibervalidierungseinrichtung ist ebenfalls vorhanden, welche einen Zustand bzw. Betriebszustand der Treibereinrichtung verifiziert. Weiterhin sind Betätigungseinrichtungen vorgesehen, die auf das Betriebssignal von der Treibereinrichtung reagieren, um zumindest ein Ausgangssignal von dem Verifizierungssignal bereitzustellen. Eine Sensoreinrichtung ist vorgesehen, die auf das Ausgangssignal reagiert, um einen Zustand bzw. Betriebszustand, welcher dem Ausgangssignal entspricht, zu identifizieren. Das Verifizierungssystem umfaßt Fehlererfassungseinrichtungen, die auf die Steuersignalvalidierungseinrichtung und die Treibervalidierungseinrichtung und die Sensoreinrichtung reagieren, um zumindest ein Fehlersignal bereitzustellen. Außerdem sind Treibersignalerzeugungseinrichtungen vorgesehen, die auf die Steuersignalvalidierungseinrichtung und die Fehlererfassungseinrichtung reagieren, um zumindest ein Treibersignal für die Treibereinrichtung bereitzustellen.

Das Verfahren gemäß der vorliegenden Erfindung ist dafür ausgelegt, die Betriebsweise eines digitalen Steuersystems zu verifizieren, welches bei der Steuerung verschiedener Typen von Ausrüstungsgegenständen verwendet wird, insbesondere von elektromechanischer Ausrüstung. Das Verfahren umfaßt die Schritte, daß zumindest ein Steuersignal erzeugt wird, das Steuersignal verifiziert wird und zumindest ein verifiziertes Steuersignal in Reaktion darauf erzeugt wird. Das Verfahren umfaßt außerdem die Schritte des Erzeugens zumindest eines Betriebssignals in Reaktion auf zumindest ein Treibersignal, das Verifizieren des Betriebssignales und das Erzeugen zumindest eines verifizierten Treibersignales in Reaktion darauf. Außerdem sind enthalten die Schritte des Erzeugens zumindest eines Ausgangssignales in Reaktion auf das Betriebssignal, um die elektromechanische Ausrüstung zu steuern und um das Ausgangssignal zu verifizieren und zumindest ein verifiziertes Ausgangssignal in Reaktion darauf zu erzeugen. Weiterhin umfaßt das Verfahren das Erzeugen von zumindest einem Fehlersignal in Reaktion auf das verifizierte Steuersignal, das verifizierte Treibersignal und das verifizierte Ausgangssignal, sowie das Erzeugen des zumindest einen Treibersignals in Reaktion auf das verifizierte Steuersignal und das Fehlersignal.

Es ist eine Aufgabe der vorliegenden Erfindung, den unerwarteten Betrieb von digital gesteuerter Ausrüstung zu vermeiden.

Es ist eine weitere Aufgabe der vorliegenden Erfindung, die Betriebsweise eines digitalen Steuersystems zu verifizieren, um die Arbeitsweise der Ausrüstung in Reaktion auf ein digitales Steuersystem zu regulieren.

Eine weitere Aufgabe der vorliegenden Erfindung liegt darin, die Betriebsweise eines Systems, welches für die Verifizierung der Betriebsweise digitaler Steuersysteme verwendet wird, zu verifizieren.

Weiterhin besteht eine weitere Aufgabe der vorliegenden Erfindung darin, die Fähigkeit der Erfassung von Systemfehlern in einem digitalen Steuersystem bereitzustellen, um einen unerwünschten Betrieb zu eliminieren.

Eine weitere Aufgabe der vorliegenden Erfindung besteht darin, eine genaue und zuverlässige Erfassung von Fehlern in einem digitalen Steuersystem bereitzustellen, welches darüber hinaus mit minimalen Kosten bereitgestellt werden kann.

Diese und ändere Aufgaben der vorliegenden Erfindung werden deutlicher bei Betrachtung der vorliegenden Beschreibung und der zugehörigen Figuren.

Kurze Beschreibung der Figuren

Fig. 1 ist ein Blockdiagramm, welches eine Ausführungsform eines Verifizierungssystems gemäß der vorliegenden Erfindung veranschaulicht,

Fig. 2 ist ein Blockdiagramm, welches eine bevorzugte Ausführungsfarm eines Verifizierungssystems nach der vorliegenden Erfindung veranschaulicht, und

Fig. 3 ist ein teilweise schematisches Teilblockdiagramm, welches eine beispielhafte Ausführungsform der Verarbeitungselektronik des Betriebssystems gemäß Fig. 2 veranschaulicht.

Genaue Beschreibung der bevorzugten Ausführungsform

Gemäß den Figuren im einzelnen, in welchen gleiche Bezugszahlen in den verschiedenen Ansichten gleiche Elemente bezeichnen, wird in Fig. 1 ein Blockdiagramm wiedergegeben, welches eine Ausführungsform eines Verifizierungssystems gemäß der vorliegenden Erfindung veranschaulicht. Die wesentlichen Teile des Verifizierungssystems 10 nach Fig. 1 sind eine Steuersignalvalidierungseinrichtung 12, eine Fehlererfassungseinrichtung 14, eine Treibersignalerzeugungseinrichtung 16, einen Treibereinrichtung 18, eine Treibervalidierungseinrichtung 20, eine Betätigungseinrichtung 22 und eine Sensoreinrichtung 24. Die Betriebsweise jedes dieser Abschnitte des Verifizierungssystems 10 wird genauer in folgenden Abschnitten beschrieben.

Das Verifizierungssystem gemäß der vorliegenden Erfindung wird vorzugsweise in Verbindung mit einem oder als Teil eines digitalen Steuerungssystems bereitgestellt. Im allgemeinen kann das Verifizierungssystem der vorliegenden Erfindung für die Verwendung mit irgendeinem Typ eines digitalen Steuerungssystems geeignet sein. Ein Beispiel eines digitalen Steuerungssystems, welches in der Lage ist, in dem Verifizierungssystem der vorliegenden Erfindung verwendet zu werden, liegt in denjenigen, die für die Steuerung einer elektromechanischen Ausrüstung ausgelegt sind und zu Zwecken der Veranschaulichung wird sich der verbleibende Teil dieser Anmeldung auf dieses Beispiel beziehen. Die Betriebsweise des Verifizierungssystems 10 im Verhältnis zu einem solchen digitalen Steuerungssystem wird hier beschrieben.

Im Betrieb des Verifizierungssystems 10 ist vorzugsweise eine Steuereinrichtung 26 vorgesehen, entweder als Teil des Verifizierungssystems 10 oder als Teil des digitalen Steuersystems. In vielen Anwendungsfällen ist die Zuordnung der Steuerungseinrichtung 26 als Teil des Verifizierungssystems 10 oder als Teil eines digitalen Steuerungssystems lediglich eine Frage der Semantik; insbesondere, wenn das Verifizierungssystem 10 unmittelbar in dem digitalen Steuerungssystem inkorporiert ist. Aus Gründen der anschaulichen Darstellung wird die Steuerungseinrichtung 26 als Teil des digitalen Steuerungssystems bezeichnet. Die Steuerungseinrichtung 26 gemäß der vorliegenden Erfindung ist vorzugsweise eine konventionelle Verarbeitungseinrichtung und arbeitet so, daß sie zumindest ein Steuersignal auf zumindest eine Signalleitung gibt, die mit dem Verifizierungssystem 10 verbunden ist. In dieser Ausführungsform entsprechen vorzugsweise die Steuersignale, die durch die Steuerungseinrichtung 26 plaziert werden, einem gewünschten Betriebszustand der elektromechanischen Ausrüstung und anderer zugeordneter Einrichtungen. Weiterhin haben die Steuersignale, die durch die Steuereinrichtung 26 plaziert werden, vorzugsweise Wellenformen und/oder eine wohldefinierte Konfiguration. Die Steuersignale von der Steuereinrichtung 26 werden zu der Validierungseinrichtung 12 für das Steuersignal 100 zu dem Verifizierungssystem 10 geleitet.

Die Validierungseinrichtung 12 für das Steuersignal arbeitet, indem sie die Steuersignale, die in sie eingegeben werden, überwacht, um zu verifizieren, daß die Wellenformen innerhalb der spezifizierten definierten Parameter liegen und gibt dann zumindest ein verifiziertes Steuersignal aus. Gemäß der vorliegenden Erfindung weist die Validierungseinrichtung 12 für das Steuersignal eine Periodenüberwachungseinrichtung 30 und eine Validierungs- und Sequenzüberwachungseinrichtung 32 auf. Im allgemeinen werden in dieser Ausführungsform die Steuersignale von der Steuereinrichtung 26 sowohl in die Periodenüberwachungseinrichtung 30 als auch in die Validierungs- und Sequenzüberwachungseinrichtung 32 eingegeben. Was die Periodenüberwachungseinrichtung 30 angeht, so werden die darin angegebenen Steuersignale entprellt und ihre hohen und niedrigen Periodenanteile werden gegenüber definierten Grenzwerten überwacht. Sollten jedoch diese Grenzwerte durch die überwachten Perioden überschritten werden, so wird ein Fehlersignal weitergeleitet, welches sich auf jedes Signal bezieht, von welchem festgestellt wird, daß es die definierten Grenzwerte überschreitet. Diese Fehlersignale werden an die Fehlererfassungseinrichtung 14 geleitet.

Die in die Validierungs- und Sequenzüberwachungseinrichtung 32 eingegebenen Steuersignale werden überwacht, um die Gültigkeit der Wellenform und die Sequenz zu verifizieren. Was die Gültigkeit der Wellenform angeht, so werden alle Signale gegenüber definiert gültigen Wellenformen überwacht, und wenn irgendeine Abweichung erfaßt wird, so wird ein Fehler signalisiert. Die Sequenz der gültigen Wellenformen wird in ähnlicher Weise gegenüber definierten zulässigen Sequenzen verifiziert und falls irgendwelche ungültigen Sequenzen erfaßt werden, so wird ein Fehler angezeigt. Die Fehlersignale, die entweder von der Überwachung der Wellenformgültigkeit oder der Sequenz der gültigen Wellenform herrühren, werden an die Fehlererfassungseinrichtung 14 weitergeleitet. Wenn jedoch durch die Gültigkeits- und Sequenzüberwachungseinrichtung 32 verifiziert worden ist, daß die Wellenformgültigkeit und die Sequenz der gültigen Wellenform innerhalb der akzeptierten Grenzwerte liegen, so wird zumindest ein verifiziertes Steuersignal an die Erzeugungseinrichtung 16 für das Treibersignal weitergeleitet.

Was die Fehlererfassungseinrichtung 14 angeht, wie sie oben erwähnt wurde, so empfängt diese Fehlereingaben sowohl von der Periodenüberwachungseinrichtung 30 als auch von der Gültigkeits- und Sequenzüberwachungseinrichtung 32 der Gültigkeitseinrichtung 12 für das Steuersiginal. Zusätzlich empfängt die Fehlererfassungseinrichtung 14 Fehlereingaben der Erzeugungseinrichtung 16 für das Treibersignal und der Sensoreinrichtung 24, wie nachstehend noch beschrieben wird. Die Fehlererfassungseinrichtung 14 löst die Fehlereingaben zu einem einzelnen Fehlersignal auf, welches an die Erzeugungseinrichtung 16 für das Treibersignal geleitet wird. Außerdem stellt in dieser Ausführungsform die Fehlererfassungseinrichtung 14 vorzugsweise eine Zustandsanzeige für die Steuereinrichtung 16 bereit, jedoch ist dieses nicht erforderlich.

Die Erzeugungseinrichtung 16 für das Treibersignal, die oben erwähnt wurde, empfängt die verifizierten Steuersignale von der Gültigkeits- und Sequenzüberwachungseinrichtung 32 der Validierungseinrichtung 12 für das Steuersignal und auch das Fehlersignal von der Fehlererfassungseinrichtung 14, und erzeugt zumindest ein Treibersignal für die Treibereinrichtung 18. Die Treibereinrichtung 18 erzeugt ihrerseits zumindest ein Betriebssignal in Reaktion auf jedes Treibersignal, welches sie von der Erzeugungseinrichtung 16 für das Treibersignal empfängt. Das Betriebssignal vom der Treibereinrichtung 18 wird an die Treibervalidierungseinrichtung 20 und die Betätigungseinrichtung 22 weitergeleitet.

In der vorliegenden Ausführungsform werden die Betriebssignale von der Treibereinrichtung 18 als Rückkopplungssignale an die Treibervalidierungseinrichtung 20 geleitet. Die Treibervalidierungseinrichtung 20 überwacht die empfangenen Rückkopplungssignale gegenüber definierten Werten, um irgendeine Fehlfunktion der Treibereinrichtung 18 festzustellen. Wenn irgendeine Fehlfunktion erfaßt wird, erzeugt die Treibervalidierungseinrichtung 20 zumindest ein Fehlersignal für die Fehlererfassungseinrichtung 14. In der vorliegenden Ausführungsform ist die Treibervalidierungseinrichtung 20 vorzugsweise als Teil der Erzeugungseinrichtung 16 für das Treibersignal vorgesehen, es versteht sich jedoch, daß diese Teile auch als getrennte Elemente vorgesehen werden könnten, ohne von dem Gedanken der vorliegenden Erfindung abzuweichen.

Die oben erwähnte Treibereinrichtung 18 leitet außerdem zumindest ein Betriebssignal an die Betätigungseinrichtung 22. In der vorliegenden Ausführungsform werden die Betriebssignale vorzugsweise als Relaistreibersignale an die Betätigungseinrichtung 22 weitergeleitet. Die Betätigungseinrichtung 22 reagiert auf die Relaistreibersignale, um zumindest ein Ausgangssignal zu erzeugen, welches an die Sensoreinrichtung 24 geleitet wird.

Die Sensoreinrichtung 24 reagiert auf die Ausgangssignale und kennzeichnet einen Zustand, welcher den Ausgangssignalen entspricht. In der vorliegenden Erfindung ist die Sensoreinrichtung 24 vorzugsweise für die Erfassung von Fehlern in der elektromechanischen Ausrüstung 60 ausgelegt und dafür, eine Ausgangsgröße bereitzustellen, die einen Fehler in dem System anzeigt. In dieser Ausführungsform ist ein von der Sensoreinrichtung 24 erfaßter Zustand der Betriebszustand der Betätigungseinrichtung 22. Vorzugsweise ist eine erste Erfassungseinrichtung 52 für diesen Zweck vorgesehen, und wenn irgendeine Fehlfunktion erfaßt wird, so wird ein Fehlersignal an die Fehlererfassungseinrichtung 14 geleitet. Ein weiterer Zustand, der durch die Sensoreinrichtung 24 identifiziert werden kann, ist derjenige, der dem digitalen Steuersystem entspricht. Zu diesem Zweck ist eine zweite Erfassungseinrichtung vorgesehen, die durch die Bezugszahl 54 gekennzeichnet ist, es versteht sich jedoch, daß die zweite Erfassungseinrichtung 54 nicht erforderlich ist und auch beiseite gelassen werden kann.

Zusätzlich zu dem Weiterleiten der Ausgangssignale an die Sensoreinrichtung 24 leitet die Betätigungseinrichtung 22 auch die Ausgangssignale an die elektromechanische Ausrüstung 60 entsprechend der Steuerung dieser Einrichtung.

Eine bevorzugte Ausführungsform des in Fig. 1 dargestellten Verifizierungssystems 10 ist in Fig. 2 dargestellt. In Fig. 2 sind diejenigen Teile, die den in Fig. 1 gezeigten entsprechen, durch Verwendung derselben Nummernbezeichnungen dargestellt, beginnend mit 100. In dieser Ausführungsform bringt die Steuereinrichtung 126 vier Signale auf vier Signalleitungen, die als 28a bis d gekennzeichnet sind und die von dem Verifizierungssystem 110 empfangen werden. Wie oben bereits in Bezug auf die Ausführungsform erwähnt, welche das Verifizierungssystem 10 beschreibt, entsprechen vorzugsweise die vier Steuersignale dem gewünschten Betriebszustand der zugehörigen elektromechanischen Ausrüstungen und anderen zugeordneten Einrichtungen, welche in dieser Ausführungsform eine Ventilbetätigung aufweisen. Wie bereits unter dem Hintergrund zu der vorliegenden Erfindung beschrieben wurde, ist eine Ventilbetätigung ein bestimmter Typ einer elektromechanischen Ausrüstung, die bekanntermaßen durch Verwendung von digitalen Steuerungssystemen betrieben werden kann.

Dementsprechend sind die durch die Steuereinrichtung 126 erzeugten vier Steuersignale der Spezifikation der Betriebsweise der Ventilbetätigung zugeordnet, die in Fig. 2 mit der Zahl 160 gekennzeichnet ist. Was die Konfiguration der vier Steuersignale angeht, sind ähnlich der vorherigen Ausführungsform der vorliegenden Erfindung, die vier Steuersignale jeweils Wellenformen mit einer definierten Konfiguration und jedes spezielle Steuersignal gewährleistet einen unabhängigen Betrieb. In der vorliegenden Ausführungsform arbeitet das erste Steuersignal 28a als Haupttakt (Herzschlag - heart beat) für das Regulieren des Verifizierungssystems 110, die zweiten und dritten Steuersignale 28b und c leiten die Bewegungen des Ventilbetätigers im Uhrzeigersinn bzw. entgegen dem Uhrzeigersinn und das vierte Signal 28d arbeitet als ein Alarmsignal. Die Einzelheiten jedes dieser Signale werden nachstehend noch genauer beschrieben.

Die vier von der Steuereinrichtung 126 weitergeleiteten Steuersignale werden in eine Validierungseinrichtung 112 für Steuersignale angegeben, welche eine Periodenüberwachungseinrichtung 130 und eine Validierungs- und Sequenzüberwachungseinrichtung 132 ähnlich der vorher beschriebenen aufweist. In der vorliegenden Ausführungsform weist die Periodenüberwachungseinrichtung 130 acht Einmal-Zeitgeber auf, wobei jedes Paar von Einmal-Zeitgebern eines von den vier Steuersignalen und das Inverse dieses Signals empfängt. Im allgemeinen legt die Spezifikation des digitalen Steuersystems den von der Steuereinrichtung 126 empfangenen Steuersignalen Anforderungen hinsichtlich der minimalen und maximalen Frequenz und des Tastverhältnisses auf. Wie zuvor beschrieben, werden die Steuersignale entprellt und in dieser Ausführungsform überwachen die acht Einmal-Zeitgeber jede Leitung auf ein Zeit-ein (time high) und Zeit-aus (time low) jedes Signals, ohne daß zuvor irgendeines dieser Signale für eine zu lange Zeit im Vergleich zu den für die Spezifizierung zugelassenen, definierten Grenzwerten auf high oder low liegen sollte, die es erfaßt und es wird ein Fehlersignal auf Leitungen 138a-h an die Fehlererfassungseinrichtung 114 weitergeleitet.

Die Steuersignale, die in dieser Ausführungsform in die Validierungs- und Sequenzüberwachungseinrichtung 132 eingegeben werden, werden auf die Schaltgates 133 mit den steigenden und fallenden Flanken des Haupttaktsignals geschaltet. An jeder Flanke des Haupttaktsignals wird der Zustand der geschalteten Daten mit annehmbaren Kombinationen verglichen, die durch die Spezifizierung definiert sind. Die Spezifizierung definiert nur bestimmte Wellenformen auf jedem Signal als gültige Steuerungsmuster und alle anderen werden als Fehler erkannt, die von der Validierungs- und Sequenzüberwachungseinrichtung 132 ein Fehlersignal an die Fehlererfassungseinrichtung 114 erzeugen. In der vorliegenden Ausführungsform erfordern vorzugsweise die definierten Wellenformen, die durch die Spezifizierung auferlegt werden, daß das Signal für den Uhrzeigersinn, das Signal entgegen dem Uhrzeigersinn und das Alarmsignal unterschiedliche Zustände an den ansteigenden und abfallenden Flanken der Haupttakte bzw. "Herzschläge" haben. Soweit dies verifiziert ist und die Steuersignale innerhalb der annehmbaren Grenzwerte liegen, werden die vier verifizierten Steuersignale auf Leitungen 30a-d an die Erzeugungseinrichtung 116 für das Treibersignal weitergeleitet.

In dieser Ausführungsform umfaßt die Signalerzeugungseinrichtung 116 für das Treibersignal die Treibervalidierungseinrichtung 120, wie sie in der früheren Ausführungsform beschrieben wurde. Die Erzeugungseinrichtung 116 für das Treibersignal empfängt dementsprechend die verifizierten Steuersignale von der Validierungs- und Sequenzüberwachungseinrichtung 132, das konsolidierte Fehlersignal von der Fehlererfassungseinrichtung 114, welches über die Leitung 40 anliegt, und empfängt Rückkopplungssignale von der Treibereinrichtung 118. Vorzugsweise legt die Ausgestaltung der Treibereinrichtung 118, die nachstehend noch genauer beschrieben werden wird, fest, daß die Treibersignale von der Erzeugungseinrichtung 116 für das Treibersignal aus pulsierenden Wellenformen eines spezifizierten hohen Tastverhältnisses bestehen. Sollte jedoch das Tastverhältnis zu klein werden oder die Wellenformen über eine festgelegte Zeitdauer entweder in einem hohen oder in einem niedrigen Zustand bleiben, so schaltet die Treibereinrichtung 118 aufgrund ihrer Auslegung ab. In der vorliegenden Ausführungsform stellt die Erzeugungseinrichtung 116 für das Treibersignal vier Treibersignale über die Leitungen 43a-d für die Treibereinrichtung 118 bereit.

Die Treibereinrichtung 118 weist in dieser Ausführungsform vier Treiberteile auf, wobei jedes Treiberteil einen Eingang in Verbindung mit einer der Ausgangsleitungen 43a-d von der Erzeugungseinrichtung 116 für das Signal hat. In ähnlicher Weise erzeugt jedes der Treiberteile ein Rückkopplungssignal über die Leitungen 45a-d, welches in die Treibervalidierungseinrichtung 120 der Erzeugungseinrichtung 116 für das Treibersignal zurückgeführt wird. Ähnlich dem vorher Beschriebenen, werden alle Rückkopplungssignale von jedem der Treiberteile gegenüber definierten Werten überwacht, um die Arbeitsweise jedes speziellen Treiberteiles zu verifizieren. Die Fehlfunktion irgendeines der Treiberteile führt zur Leitung des Fehlersignals über die Leitung 41 zu der Fehlererfassungseinrichtung 114.

Die Betätigungseinrichtung 122 empfängt ähnlich wie das Verifizierungssystem 10 die Betriebssignale als Relaistreibersignale von der Treibereinrichtung 118. In der vorliegenden Ausführungsform weist die Betätigungseinrichtung 122 vier Relais auf, wobei jedes Relais eines der vier Relaistreibersignale von einem bestimmten Treiberteil empfängt. Wie in Fig. 2 dargestellt, werden die durch die Treiberteile erzeugten Relaistreibersignale über Leitungen 48a-d an die vier Relais weitergeleitet. Drei der Relais treten ihrerseits über Leitungen 50a-c mit dem Kontaktgeber, der mit dem Ventilbetätiger integriert ausgeführt ist, in Eingriff, um eine Motorsteuerung bereitzustellen. In dieser Ausführungsform ist jedes der drei Relais für einen bestimmten Betätigervorgang festgelegt bzw. spezifiziert und das betreffende Relais, welches aktiv ist, hängt von der Aktion des Betätigers ab, die durch die Steuerungseinrichtung 156 angefordert wurde, als die Steuersignale auf die vier Signalleitungen 28a-d gegeben wurden. In dieser bevorzugten Ausführungsform ist ein Relais dafür ausgelegt, eine Betätigung des Motors im Uhrzeigersinn zu regulieren, ein Relais ist dafür ausgelegt, die Bewegung des Motors entgegen dem Uhrzeigersinn zu regulieren, und das dritte Relais dafür, die Regelung vorzunehmen, wenn der Motor läuft. Ein viertes Relais ist vorgesehen, welches mit der zweiten Erfassungseinrichtung 154 in dieser Einrichtung 124 über Leitungen 50d in Eingriff bzw. Wechselwirkung steht, ähnlich derjenigen, die in Verbindung mit dem Verifizierungssystem 10 beschrieben wurde. Das vierte Relais reagiert auch auf die Steuersignale, die durch die Steuereinrichtung 126 erzeugt werden, und erzeugt, wenn es aktiv ist, ein Ausgangssignal für die zweite Erfassungseinrichtung 154. Wie zuvor bereits erwähnt, stellt vorzugsweise die zweite Erfassungseinrichtung 154 eine Ausgangsgröße bereit, die den Fehler in dem System anzeigt. In der vorliegenden Ausführungsform weist die zweite Erfassungseinrichtung 154 einen Alarmmechanismus auf, der verwendet wird, um eine Anzeige des Zustandes des digitalen Steuerungssystems bereitzustellen. In ähnlicher Weise sind auch die drei übrigen Relais in Eingriff bzw. Kontakt mit der ersten Erfassungseinrichtung 152 der Erfassungseinrichtung 124 vorgesehen. Die erste Erfassungseinrichtung 152 ist in dieser Ausführungsform dafür ausgelegt, eine Überwachung der drei Relais ebenso wie der Kontaktgeberspulen bereitzustellen, um irgendwelche Fehler in diesen Bereichen zu erfassen. Weiterhin ist in der vorliegenden Ausführungsform, auch wenn nicht dargestellt, die erste Erfassungseinrichtung 152 vorzugsweise direkt auf den Spulen des Kontaktgebers vorgesehen.

Fig. 3 zeigt ein teilweise schematisches und teilweise in Blockform dargestelltes Diagramm einer beispielhaften Ausführungsform der Verarbeitungselektronik des Verifizierungssystems 110 gemäß Fig. 2. In Fig. 3 sind die Bauteile, welche den in dem Blockdiagramm von Fig. 2 dargestellten Bereichen entsprechen, in Blöcken mit gestrichelten Linien dargestellt und haben dieselben Nummernbezeichnungen wie die in Fig. 2. Wie dargestellt, werden die Steuersignale 28a-d, die von der Steuerungseinrichtung 126 (nicht dargestellt) weitergeleitet werden, in eine programmierbare Logikeinrichtung (PLD) 300 eingegeben. In dieser Ausführungsform ist die PLD 300 ein anwendungsspezifischer integrierter Schaltkreis, welcher die Vorgänge der Steuersignalvalidierungseinrichtung 112, der Fehlererfassungseinrichtung 114 und der Treibersignalerzeugungseinrichtung 116 beinhaltet und in einer konventionellen Weise aufgebaut ist. Beispielsweise kann die PLD 300 einen kommerziell erhältlichen Chip aufweisen, der von Microchip Technology, Inc. als Teil-Nr. PIC16c55/57 hergestellt wird. In der vorliegenden Ausführungsform wird die Statusanzeige, die von der in Fig. 2 dargestellten Fehlererfassungseinrichtung 114 geleitet wird, von der PLD 300 über die Leitung 380 geleitet, wie dargestellt. Zusätzlich ist auch eine (nicht dargestellte) Stromversorgung vorgesehen, die über die UPS-Leitung 384 mit der PLC 300 verbunden ist. Zusätzlich ist eine SER- Ausgangsleitung 386 dargestellt, die mit der PLC 300 und der Steuereinrichtung 126 in Verbindung steht, welche für die Übermittlung von Diagnoseinformationen ausgelegt ist, soweit es erwünscht ist. Die PLD 300 gibt ihrerseits drei Treibersignale über die Leitungen 43a-c an die drei entsprechenden Treiberteile der Treibereinrichtung 118 aus. Die drei Treiberteile erzeugen ihrerseits die Rückkopplungssignale an die PLD 300 über die Leitungen 45a-c, wie dargestellt. In der vorliegenden Ausführungsform ist der Aufbau jedes der Treiberteile der Treibereinrichtung 118 der gleiche und aus Gründen der Veranschaulichung wird der Betrieb der mit den Leitungen 43a und 45a verbundenen Treiberteile im folgenden Absatz beschrieben.

In der vorliegenden Ausführungsform kann das Treibersignal, welches in das Treiberteil eingegeben wird, vorzugsweise in zwei Zuständen vorgebracht werden. Der erste Zustand ist ein inaktiver Zustand mit konstanter Spannung und der zweite ist ein aktiver Zustand mit hohem Tastverhältnis und hoher Frequenz. In Situationen, in welchen der Zustand des Treibersignals sich auf irgendeiner Gleichspannung befindet, wird jede Spannung, die an dem Kompensator 327 anliegt, über die Entladung durch einen Widerstand 343 auf null reduziert. Wenn die Spannung unterhalb von etwa 2V reduziert worden ist, hört ein Feldeffekttransistor 360 auf, Strom zu leiten und der Strom durch die Spule des Relais 50a fließt ebenfalls nicht mehr, was bewirkt, daß das Relais in seinen inaktiven Zustand zurückgeht. Auf diese Weise geht die Treibereinrichtung inhärent in einen inaktiven Zustand zurück.

In Situationen, in welchen die Antriebs- bzw. Treibersignale sich im aktiven Zustand befinden, ist das Treibersignal im allgemeinen wechselnd zwischen etwa 5V und 0V. Die Frequenz der Wellen ist groß, wobei das Tastverhältnis ebenfalls groß ist und demnach ist die Periode des Signals mit niedriger Spannung ebenfalls sehr kurz. Wenn das Treibersignal von dem niedrigen Spannungszustand in den hohen Spannungszustand geht, steigt der negative Anschluß des Kondensators 325 ebenfalls entsprechend an. Dies bewirkt, daß ein Strom durch den Widerstand 344 fließt, welcher den Kondensator 327 lädt. Wie oben erwähnt, wirkt der Widerstand 343 während dieser Zeitperiode kontinuierlich, um den Kondensator 327 zu entladen. Vorzugsweise ist in dieser Ausführungsform der Wert des Widerstandes 344 viel kleiner als der Wert des Widerstandes 343 und demnach wird der Entladeeffekt bei weitem durch den Ladeeffekt überkompensiert, kurz nachdem das Treibersignal in hohes Spannungsniveau übergeht. Wenn das Treibersignal hoch bzw. auf high bleibt, lädt der Kondensator 325, während Strom von dem negativen Anschluß fließt. Vorzugsweise ist der Wert des Kondensators 325 wesentlich größer als der Wert des Kondensators 327 und in dieser Anordnung lädt der Kondensator 327 sich wesentlich schneller auf eine hohe Spannung auf als der Kondensator 325 sich auflädt. Dann geht im Anschluß an eine angemessene Periode, während welcher das Treibersignal high geblieben ist, das Treibersignal in seinen Zustand mit niedriger Spannung oder seinen Grundzustand über. In diesem Punkt erscheint eine Ladung, die während der Ladephase von dem negativen Anschluß des Kondensators 325 abfloß, als eine niedrigere Spannung an dem negativen Anschluß des Kondensators 325. Wenn dann die Spannung des Treibersignals auf 0V abfällt, wird eine Diode 346 wegen der Ladung auf dem Kondensator 325 in Vorwärtsrichtung vorgespannt. Die Diode 346 schaltet ihrerseits sehr schnell in einen Stromleitzustand um, um den Kondensator 325 auf etwa 0,2V zu entladen. Danach geht das Treibersignal erneut in seinen hohen Spannungszustand über. Während jedoch das Treibersignal sich in seinem niedrigen Spannungszustand befindet, arbeitet der Widerstand 344 parallel zu dem Widerstand 343, um den Kondensator 327 zu entladen.

Wie oben erwähnt, ist der Feldeffekttransistor 360 mit dem Relais 50a verbunden und wie dargestellt sind diese ihrerseits mit einer Diode 341 und einem Kondensator 302 in Reihe geschaltet. In dieser Ausführungsform sind sowohl Strom- als auch Spannungsspitzen, die mit dem Umschalten der induktiven Last der Relaisspule verbunden sind, begrenzt.

Das Rückkopplungssignal, welches von dem Treiberteil über die Leitung 45a geleitet wird, wird durch einen Widerstand 342 und eine Zehnerdiode 345 erreicht bzw. erzeugt. Wenn der Feldeffekttransistor 360 inaktiv und demnach nicht leitend ist, liegt der Widerstand der Relaisspule 50a in Reihe mit dem Widerstand 342. In dieser Konfiguration fließt, da ein Anschluß der Relaisspule 50a, wie dargestellt, mit der 9V-Systemversorgung verbunden ist, Strom durch diese beiden Widerstandselemente, um die Spannung des Rückkopplungssignals anzuheben. Die Spannung des Rückkopplungssignals ist jedoch durch die Zehnerdiode 345 auf einen sicheren Wert begrenzt. Vorzugsweise wird der Wert des Widerstandes 342 so ausgewählt, daß der normale Strom auf einen Wert oberhalb eines Stromes beschränkt ist und das Relais 50a betätigen würde. In Situationen, in welchen der Feldeffekttransistor 360 aktiv und leitend ist, wird die Spannung des Rückkopplungssignals auf nahe 0V reduziert.

Im Betrieb der ersten Erfassungseinrichtung 152 wird ein Signal abgeleitet, in dem der niedrige Widerstand der internen Kontaktgeberspannung der Ventilbetätigung 160 verwendet wird, in Verbindung mit den Kontakten der drei Relais 50a-c der Betätigungseinrichtung 122, zusammen mit der Wechselstromquelle 120 der elektromechanischen Ausrüstung, wie dargestellt. Die Verdrahtung zwischen diesen Teilen bildet eine Verbindung über einen Diodenbrückenschaltkreis, der aus Dioden 323, 349 und 350 besteht. Im Betrieb leitet der Diodenbrückenschaltkreis einen sehr kleinen Strom, der durch einen Widerstand 375 begrenzt ist, durch die Eingangsdiode eines Optoisolators 370. Diese Anordnung ermöglicht die Verwendung des Erfassungsschaltkreises in Systemen mit hoher Spannung, da der Optoisolator und die Dioden für sehr hohe Spannungswerte verfügbar sind. Der Ausgangstransistor des Optoisolators 370 wird auf die digitale Spannungsversorgung heraufgezogen, und zwar über einen Widerstand 391, und wird durch einen Widerstand 389 und einen Kondensator 390 entprellt. Die vier Treiberteile der Treibereinrichtung 118, die in Fig. 2, aber noch nicht in Fig. 3 dargestellt sind, haben dieselbe Konfiguration wie die anderen drei Treiberteile. In der vorliegenden Ausführungsform ist das vierte Treiberteil vorzugsweise mit einer anderen PC- Platine vorgesehen und steht in Verbindung mit der PCD 300 über die Leitungen 43d und 45d. In ähnlicher Weise hat das Alarmrelais 50d, welches in Fig. 2 identifiziert ist, dieselbe Konfiguration wie die Alarmrelais 50a-c, die in Fig. 3 beschrieben wurden, auch wenn dies aus Gründen der Einfachheit und Kürze nicht dargestellt ist. Das Alarmrelais 50d wird seinerseits mit seinem Ausgang mit der zweiten Erfassungseinrichtung 154 verbunden, die, wie in Bezug auf die zweite Ausführungsform der Erfindung angezeigt wurde, einen Alarmmechanismus aufweist. Im allgemeinen kann, wie zuvor bereits erwähnt, der Alarmmechanismus von irgendeinem geeigneten Aufbau sein, um eine Ausgangsanzeige bezüglich des Zustandes des digitalen Steuersystems bereitzustellen. Beispielsweise kann in einigen Anwendungsfällen der Alarmmechanismus eine getrennte Einheit sein oder kann Teil einer Mikroprozessoreinrichtung sein, um nur Beispiele anzugeben. Die übrigen Komponenten, die in Fig. 3 dargestellt sind, sind Fachleuten auf diesem Gebiet vertraut und werden deshalb der Kürze wegen nicht im einzelnen beschrieben.

Es versteht sich, daß die vorstehende Diskussion nur ein Beispiel der Verarbeitungselektronik ist, die für die Verwendung mit der vorliegenden Erfindung geeignet ist. Stattdessen könnte die Verarbeitungselektronik der vorliegenden Erfindung auch unter Verwendung irgendwelcher anderer geeigneter Bauteile aufgebaut sein, z. B. aus kommerziell erhältlichen integrierten Schaltkreisen.

In Anbetracht des Vorstehenden versteht es sich, daß das Verifizierungssystem der vorliegenden Erfindung mehrere Vorteile hat. Ein Vorteil liegt in der Bereitstellung eines Steuersignals in Form einer komplexen Wellenform, die von einer Steuereinrichtung durch das Verifizierungssystem empfangen wird. Insbesondere muß die Konfiguration der Wellenformen von der Steuereinrichtung mit gewissen Spezifikationen in Übereinstimmung sein, um einen ordnungsgemäßen Betrieb des digitalen Steuerungssystems aufrechtzuerhalten, ebenso wie den Betrieb der Ausrüstung aufrechtzuerhalten, mit welcher das digitale Steuerungssystem verbunden ist. Wie zuvor bereits erwähnt, wird zumindest eine Wellenform von der Steuerungseinrichtung erzeugt und diese Zahl kann variiert werden, um eine beliebige Anzahl von Wellenformen für das Verifizierungssystem bereitzustellen. In der vorliegenden Ausführungsform der Erfindung ist ein Beispiel dargestellt, bei welcher vier Wellenformen erzeugt werden. Die Wellenformen werden, während sie durch das Verifizierungssystem geleitet werden, überwacht und an verschiedenen Punkten in dem System verändert, und an jedem dieser Punkte reagiert das System entsprechend, wenn festgestellt wird, daß die Wellenformen nicht vorhanden oder ungültig sind, so daß ein Fehler bei digitalen Steuerungen aufgetreten ist, um den weiteren Betrieb des digitalen Steuerungssystems zu verhindern.

Ein besonderer Teil des Verifizierungssystems, welches die Wellenformen überwacht, ist die Validierungseinrichtung für das Steuersignal. Wie zuvor bereits angezeigt, umfaßt die Validierungseinrichtung für das Steuersignal die Periodenüberwachungseinrichtung und die Validierungs- und Sequenzüberwachungseinrichtung, die jeweils die Signale von der Steuerungseinrichtung überwachen, um festzustellen, ob diese innerhalb definierter Parameter liegen. Was die Periodenüberwachungseinrichtung angeht, so überwacht diese die hohen und niedrigen Perioden der Wellenformen, und wenn das Signal zu lange auf high oder auf low bleibt, so wird dieses erfaßt und ein Fehlersignal erzeugt. Ein besonderer Vorteil der Periodenüberwachungseinrichtung besteht darin, daß sie einen Schutz gegenüber offenen Signalkabeln, kurzgeschlossenen auf niedrigem Signal liegenden Kabeln bzw. Drähten, Treiberchipausfällen und den meisten Fehlerbetriebszuständen der Steuerungseinrichtung bietet, und die Periodenüberwachungseinrichtung erzeugt ein Fehlersignal in Reaktion darauf, was den Betrieb des Systems beendet.

In ähnlicher Weise gibt es besondere Vorteile der Validierungs- und Sequenzüberwachungseinrichtung. Generell stellt die Validierungs- und Sequenzüberwachungseinrichtung, wie zuvor bereits erwähnt, fest, ob die Wellenformen mit gültigen, spezifizierten Mustern übereinstimmen, einschließlich der Wellenformgültigkeit und -sequenz, falls es dort irgendeine Abweichung von der geforderten ergibt, so wird ebenfalls ein Fehlersignal erzeugt. Außerdem erfordert, wie es bezüglich der bevorzugten Ausführungsform der Erfindung bereits beschrieben wurde, die Spezifikation zulässiger Wellenformen, daß die Wellenformen der Signale für die Bewegung im Uhrzeigersinn, gegen den Uhrzeigersinn und die Alarmsignale unterschiedlicher Zustände an den ansteigenden und abfallenden Flanken des Herzschlagsignals bzw. Hauptsignals haben. Hier liegt der Vorteil darin, daß dies die Erfassung von Drähten bzw. Kabeln gewährleistet, die miteinander kurzgeschlossen sind und dies wird als ein Fehlerzustand interpretiert. Außerdem liegt ein weiterer Vorteil darin, daß zwar zu erwarten ist, daß ein mit der Steuerungseinrichtung verknüpfter Weglaufzustand keine Bewegung des Betätigers verursacht.

Ein weiterer Vorteil besteht in dem Verhältnis zwischen der Erzeugungseinrichtung für das Treibersignal, der Treibergültigkeitseinrichtung, der Treibereinrichtung und der Betätigungseinrichtung. Insbesondere erzeugt die Erzeugungseinrichtung für das Treibersignal die Treibersignale, welche dem Zustand der verifizierten Steuersignale von der Validierungs- und Sequenzüberwachungseinrichtung entsprechen, und zwar nur dann, wenn von der Fehlererfassungseinrichtung kein Fehlersignal eingegeben wurde. Dies stellt sicher, daß die Treibersignalbefehle nur dann erzeugt werden, wenn zuvor kein Fehler in dem System erfaßt wurde. In ähnlicher Weise werden die Betriebssignale von der Treibereinrichtung als Rückkopplungssignale an die Treibervalidierungseinrichtung zurück geleitet, welche so arbeitet, daß sie den Betrieb der Treibereinrichtung verifiziert. Diese Rückkopplungssignale werden gegenüber vordefinierten Parametern dieser Signale verifiziert, und wenn irgendeine Variation festgestellt wird, so verursacht dies auch die Erzeugung eines Fehlersignals für die Fehlererfassungseinrichtung, welche ihrerseits ein Signal an die Erzeugungseinrichtung für das Treibersignal erzeugt, daß ein Fehler erfaßt worden ist. Hierin besteht ein weiterer Vorteil, der für die bevorzugte Ausführungsform der vorliegenden Erfindung anzumerken ist, darin, daß es in der Auslegung der Treibereinrichtung erforderlich ist, daß das Betriebssignal, welches Relaistreibersignal der Betätigungseinrichtung zugeleitet wird, eine pulsierende Wellenform mit einem spezifizierten hohen Tastverhältnis ist. Sollte jedoch festgestellt werden, daß das Tastverhältnis zu gering wird, wenn die Wellenform entweder im hohen oder im niedrigen Zustand für eine spezifische Zeitdauer verbleibt, so beendet die Treibereinrichtung ihren Betrieb. Dementsprechend verursacht irgendeine Situation eines leeren bzw. Haltezustandes des Wellenformsignals von der Treibereinrichtung, daß das entsprechende Relais der Betätigungseinrichtung abfällt. Wie oben erwähnt, wird der Betrieb der Treibereinrichtung durch die Treibervalidierungseinrichtung reguliert, indem die Rückkopplungssignale überwacht werden, und jegliche derartige Fehlfunktionen erzeugen das Fehlersignal an die Erzeugungseinrichtung für das Treibersignal, welche den Betrieb der Treibereinrichtung beendet. Auch diese spezielle Funktion ist in einer minimalen Anzahl von Bauteilen implementiert, was einen ordnungsgemäßen Betrieb selbst im Falle massiver Fehler in dem System sicherstellt. Dementsprechend bestehen die Vorteile dieser speziellen Teile des Verifizierungssystems darin, daß ein Fehler in einer Komponente der Treibereinrichtung, des Relais oder der Stromversorgung erfaßt wird.

Ein weiterer Vorteil beruht auf der Beziehung zwischen der Betätigungseinrichtung und der Abfrage- bzw. Sensoreinrichtung der vorliegenden Erfindung. Insbesondere überwacht die erste Erfassungseinrichtung der Sensoreinrichtung die Betätigungseinrichtung, um irgendeinen Fehler festzustellen. Insbesondere arbeitet, wie in Bezug auf die bevorzugte Ausführungsform der vorliegenden Erfindung beschrieben wurde, die Erfassungseinrichtung so, daß sie die drei Steuerrelais überwacht, um einen Fehler in diesen Einrichtungen festzustellen. Wie in Bezug auf Fig. 3 der vorliegenden Erfindung erwähnt, ist die erste Erfassungseinrichtung dafür ausgelegt, die Kontakte an den Relais zu überwachen, die erfassen, ob irgendein Relaiskontakt durch Aufbringen eines übermäßigen Stromes angeschweißt worden ist. Weiterhin kann, wie bezüglich der bevorzugten Ausführungsform der vorliegenden Erfindung bemerkt wurde, die Erfassungseinrichtung auf den Spulen an dem Kontaktgeber positioniert werden, um ebenfalls die ordnungsgemäße Funktion der Kontaktgeberspulen zu überwachen. Ein weiterer Vorteil besteht darin, daß die zweite Erfassungseinrichtung der Sensoreinrichtung ebenfalls mit dem Alarmrelais und in Kontakt mit diesem vorgesehen werden kann, welches dafür ausgelegt ist, eine Anzeige bezüglich des Status des Systems für einen Benutzer bzw. Betreiber des Systems bereitzustellen.

In Anbetracht des oben Dargestellten versteht es sich, daß es ein Vorteil der vorliegenden Erfindung ist, unterschiedliche Niveaus des Schutzes gegenüber elektrischen, elektronischen, Verdrahtungs- und mechanischen Fehlern und Ausfällen in einer Betätigungseinrichtung bereitzustellen. Insbesondere werden Fehler in der Steuerungseinrichtung, welche die Steuersignale erzeugt, oder in der Verdrahtung, erfaßt, und erlauben damit keine Aktion einer Betätigung. Weiterhin werden die Stromversorgungseinrichtungen, Relais und der Kontaktgeber allesamt auf Fehler überwacht, um einen weiteren Schutzschild bzw. Schutzebene hinzuzufügen. Zusätzlich wirkt, falls irgendeine Erfassung eines Ausfalls oder Fehlers einer Komponente vorliegen sollte, die Treibereinrichtung inhärent so, daß sie eine Aktion des Betätigers verhindert. Weiterhin wird irgendeine Erfassung derartiger voraufgegangener Fehler durch die vorliegende Erfindung dazu führen, daß ein Alarm ausgelöst wird, der eine unmittelbare Anzeige des Systemstatus geben kann.

In Anbetracht des oben Dargestellten erkennen Fachleute auf diesem Gebiet, daß an den oben beschriebenen Ausführungsformen der Erfindung Veränderungen vorgenommen werden können, ohne von dem breiten erfindungsgemäßen Konzept derselben abzuweichen. Beispielsweise sind die durch die Steuerungseinrichtung erzeugten Steuersignale so beschrieben worden, daß sie als Wellenformen ausgestaltet sind, welche durch das Verifizierungssystem überwacht werden. Während jedoch eine Wellenform ein bevorzugtes Steuersignal ist, so können dennoch auch andere Signaltypen für denselben Zweck verwendet werden. Insbesondere besteht das Hauptmerkmal hier darin, daß das Verifikationssystem der vorliegenden Erfindung dafür ausgelegt ist, den Zustand der Steuersignale beispielsweise im Vergleich zu vordefinierten Signalen zu überwachen, um den ausreichenden Betrieb in dem System bereitzustellen. Weiterhin versteht es sich, daß diejenigen Teile, welche in Bezug auf die Verifikationssysteme 10 und 110 beschrieben wurden, nicht implementiert sein müssen, um einen ausreichenden Niveaubetrieb zu gewährleisten. Insbesondere ist es nicht erforderlich, daß eine Statusanzeige an die Steuerungseinrichtung von der Fehlererfassungseinrichtung herausgegeben wird. In ähnlicher Weise ist es nicht erforderlich, daß die zweiten Erfassungseinrichtungen der Sensoreinrichtung oder das Alarmrelais und der zugeordnete Treiberteil der Treibereinrichtung haben muß, wenn die Signalgebung eines Alarms, die zu dem Betrieb der Ausrüstung gehört, nicht erwünscht ist. In ähnlicher Weise müssen auch andere Teile des Verifizierungssystems der vorliegenden Erfindung nicht für weitere Anwendungen bereitgestellt werden, wo dies nicht angemessen wäre.


Anspruch[de]

1. Verifizierungssystem (10), welches dafür ausgelegt ist, den Betrieb eines digitalen Steuersystems für die Verwendung an einer elektromechanischen Ausrüstung zu überwachen, wobei das digitale Steuersystem zumindest ein Steuersignal für das Verifizierungssystem (10) bereitstellt und wobei das Verifizierungssystem aufweist:

eine Einrichtung (12) zum Gültigmachen (Validierung) des Steuersignals, um das von den digitalen Steuersystemen empfangene Steuersignal zu verifizieren,

eine Treibereinrichtung (18), um zumindest ein Betriebssignal in Reaktion auf zumindest ein Treibersignal bereitzustellen,

eine Einrichtung (20) zum Gültigmachen eines Treibervorgangs, im einen Zustand der Treibereinrichtung (18) zumindest in Reaktion auf ein Rückkopplungssignal zu verifizieren,

eine Betätigungseinrichtung (22), die auf das Betriebssignal reagiert, um zumindest ein Ausgangssignal von dem Verifizierungssystem (10) bereitzustellen,

eine Sensoreinrichtung (24), die auf das Ausgangssignal anspricht, um einen Zustand zu identifizieren, welcher dem Ausgangssignal entspricht, wobei die Sensoreinrichtung (24) zumindest

eine erste Erfassungseinrichtung (52) zum Identifizieren eines Betriebszustandes der Betätigungseinrichtung aufweist,

eine Fehlererfassungseinrichtung (14), die auf die Einrichtung (12) zum Gültigmachen des Steuersignals, die Einrichtung (20) zum Gültigmachen eines Treibervorganges und die Sensoreinrichtung (24) reagiert, um zumindest ein Fehlersignal bereitzustellen, und

eine ein Treibersignal erzeugende Einrichtung (16), die auf die Einrichtung (12) zum Gültigmachen des Steuersignals und die Fehlererfassung (14) reagiert, um zumindest ein Treibersignal für die Treibereinrichtung (18) bereitzustellen.

2. Verifizierungssystem nach Anspruch 1, wobei das Steuersignal eine Wellenform einer definierten Gestalt definiert, einschließlich zumindest einer hohen (high) Periode und zumindest einer tiefen (low) Periode.

3. Verifizierungssystem nach Anspruch 2, wobei die Einrichtung zur Gültigmachung (Validierung) des Steuersignals eine Periodenüberwachungseinrichtung aufweist, um die zumindest eine hohe Periode bzw. Dauer und die zumindest eine tiefe Periode bzw. Dauer des Steuersignals im Vergleich zu definierten Grenzwerten zu überwachen, wobei die diese Periode überwachende Einrichtung zumindest ein Fehlersignal für die Fehlererfassungseinrichtung bereitstellt, wenn die festgelegten Grenzwerte überschritten werden.

4. Verifizierungssystem nach Anspruch 3, wobei die Einrichtung zur Gültigmachung des Steuersignals weiterhin eine Validierungs- und Sequenzüberwachungseinrichtung zum Überwachen der Gestalt der Wellenform aufweist, um die Gültigkeit der Wellenform gegenüber definierten gültigen Wellenformen zu identifizieren, und um eine Folge gültiger Wellenformen gegenüber definierten, zullässigen Folgen zu identifizieren bzw. zu bestätigen, wobei die Validierungs- und Sequenzüberwachungseinrichtung zumindest ein verifiziertes Steuersignal für die Treibersignalerzeugungseinrichtung bereitstellt, wenn die Konfiguration der Wellenform den definierten gültigen Wellenformen und den definierten zulässigen Folgen entspricht, und zumindest ein Fehlersignal für die Fehlererfassungseinrichtung erzeugt, wenn die Konfiguration der Wellenform von zumindest einer, nämlich der definierten gültigen Wellenform oder der definierten zulässigen Folgen abweichen.

5. Verifizierungssystem nach Anspruch 1, wobei die Sensoreinrichtung weiterhin eine zweite Erfassungseinrichtung zur Identifizierung eines Betriebszustandes des digitalen Steuersystems umfaßt, und wobei die Fehlererfassungseinrichtung auf die erste Detektoreinrichtung der ersten Sensoreinrichtung reagiert.

6. Verifizierungssystem nach Anspruch 5, wobei die Betätigungseinrichtung eine Mehrzahl von Relais zum Erzeugen einer Mehrzahl von Ausgangssignalen aufweist, wobei zumindest ein erstes Relais zumindest eine Ausgangsgröße für die erste Erfassungseinrichtung und zumindest ein zweiten Relais zumindest einen Ausgangswert für die zweite Erfassungseinrichtung bereitstellen.

7. Verifizierungssystem nach Anspruch 6, wobei die Betätigungseinrichtung vier Relais aufweist, wobei drei Relais mit der ersten Erfassungseinrichtung in Verbindung stehen und ein Relais mit der zweiten Erfassungseinrichtung in Verbindung steht.

8. Verifizierungssystem nach Anspruch 3, wobei die die Zeitdauer bzw. Periode überwachende Einrichtung Mittel zum Entprellen des Steuersignals aufweist.

9. Verifizierungssystem (10) nach Anspruch 1, wobei das digitale Steuersystem eine Steuereinrichtung zum Erzeugen des zumindest einen Steuersignals aufweist,

die Steuersignalvalidierungseinrichtung (12) das Steuersignal empfängt, um das Steuersignal zu verifizieren und um zumindest ein verifiziertes Steuersignal in Reaktion auf das Steuersignal überzeugen,

wobei das Rückkopplungssignal von der Treibereinrichtung kommt,

die Treibervalidierungseinrichtung (20) einen Betriebszustand der Treibereinrichtung (18) verifiziert und zumindest ein verifiziertes Treibersignal in Reaktion auf das Rückkopplungssignal erzeugt,

die Betätigungseinrichtung (22) das zumindest eine Ausgangssignal zum Steuern der elektromechanischen Ausrüstung erzeugt,

die erste Erfassungseinrichtung auf das Ausgangssignal reagiert, um einen Betriebszustand der Betätigungseinrichtung zu verifizieren und um zumindest ein verifiziertes Ausgangssignal in Reaktion auf das Ausgangssignal zu erzeugen,

die Sensoreinrichtung (24) weiterhin eine zweite Erfassungseinrichtung aufweist, die auf das Ausgangssignal reagiert, um einen Betriebszustand des digitalen Steuersystems zu identifizieren,

die Fehlererfassungseinrichtung (14) zumindest ein Fehlersignal in Reaktion auf das zumindest eine Fehlersignal von der Steuersignalvalidierungseinrichtung (12), das verifizierte Treibersignal der Treibervalidierungseinrichtung (20) und das verifizierte Ausgangssignal von der Sensoreinrichtung (24) erzeugt, und wobei

die Treibersignalerzeugungseinrichtung (16) das zumindest eine Treibersignal für die Treibereinrichtung (18) in Reaktion auf das verifizierte Steuersignal der Steuersignalvalidierungseinrichtung (12) und auf das zumindest eine Fehlersignal erzeugt, welches von der Fehlererfassungseinrichtung (14) bereitgestellt wird.

10. Verifizierungssystem nach Anspruch 9, wobei das Steuersignal eine Wellenform für eine definierte Konfiguration festlegt, einschließlich zumindest einer hohen und zumindest einer niedrigen Periode.

11. Verifizierungssystem nach Anspruch 10, wobei die Steuersignalvalidierungseinrichtung eine Periodenüberwachungseinrichtung für die Überwachung der zumindest einen hohen Periode und der zumindest einen niedrigen Periode des Steuersignals im Vergleich zu definierten Grenzwerten aufweist, und wobei die Periodenüberwachungseinrichtung das zumindest eine Fehlersignal von der Steuersignalvalidierungseinrichtung für die Fehlererfassungseinrichtung bereitstellt, wenn die festgelegten Grenzwerte überschritten werden.

12. Verifizierungssystem nach Anspruch 11, wobei die Steuersignalvalidierungseinrichtung weiterhin eine Validierungs- und Sequenzüberwachungseinrichtung für die Überwachung der Gestalt der Wellenform aufweist, um die Wellenformgültigkeit bzw. -validität im Vergleich zu definierten gültigen Wellenformen zu identifizieren und um eine Sequenz bzw. Folge gültiger Wellenformen im Vergleich zu definierten zulässigen Folgen bzw. Sequenzen zu definieren, wobei die Validierungs- und Sequenzüberwachungseinrichtung das verifizierte Steuersignal für die Treibersignalerzeugungseinrichtung erzeugt, wenn die Konfiguration der Wellenform den definierten gültigen Wellenformen und den definierten zulässigen Sequenzen entspricht, und zumindest ein Fehlersignal für die Fehlererfassungseinrichtung erzeugt, wenn die Konfiguration der Wellenform von zumindest einem, nämlich den definierten gültigen Wellenformen und/oder den definieren zulässigen Folgen, abweicht.

13. Verifizierungssystem nach Anspruch 9, wobei die Betätigungseinrichtung zumindest ein Relais aufweist.

14. Verifizierungseinrichtung nach Anspruch 13, wobei die Betätigungseinrichtung eine Mehrzahl von Relais aufweist, um eine Mehrzahl von Ausgangssignalen zu erzeugen, wobei zumindest ein erstes Relais zumindest ein erstes Ausgangssignal für die erste Erfassungseinrichtung liefert und wobei zumindest ein zweites Relais zumindest ein Ausgangssignal für die zweite Erfassungseinrichtung bereitstellt.

15. Verifizierungssystem nach Anspruch 14, wobei das Ausgangssignal des ersten Relais einen Betriebszustand für die elektromechanische Ausrüstung bereitstellt.

16. Verifizierungssystem nach Anspruch 11, wobei die Periodenüberwachungseinrichtung Einrichtungen zum Entprellen des Steuersignals aufweist.

17. Verifizierungssystem nach Anspruch 9, wobei die Steuereinrichtung zumindest ein Statusanzeigesignal von der Fehlererfassungseinrichtung empfängt, wobei die Steuereinrichtung weiterhin eine Einrichtung zum Identifizieren eines Zustands der Fehlererfassungseinrichtung aufweist.

18. Verfahren zum Verifizieren des Betriebs eines digitalen Steuersystems für eine elektromechanische Ausrüstung, wobei das digitale Steuersystem zumindest ein Steuersignal liefert, welches für den Betrieb der elektromechanischen Ausrüstung vorgesehen ist, wobei das Verfahren die Schritte aufweist:

Verifizieren des Steuersignals und Erzeugen zumindest eines verifizierten Steuersignals und zumindest eines Fehlersignals in Reaktion auf das Steuersignal,

Erzeugen zumindest eines Betriebssignals und zumindest eines Rückkopplungssignals in Reaktion auf zumindest ein Treibersignal,

Erzeugen zumindest eines verifizierten Treibersignals in Reaktion auf das zumindest eine Rückkopplungssignal, Erzeugen zumindest eines Ausgangssignals in Reaktion auf das Betriebssignal, um die elektromechanische Ausrüstung zu steuern,

Verifizieren des zumindest einen Ausgangssignals und Erzeugen zumindest eines verifizierten Ausgangssignals in Reaktion darauf,

Erzeugen zumindest eines weiteren Fehlersignals in Reaktion auf das verifizierte Treibersignal, das verifizierte Ausgangssignal und das zumindest eine Fehlersignal, welches in Reaktion auf das Steuersignal erzeugt wurde, und

Erzeugen des zumindest einen Treibersignals in Reaktion auf das verifizierte Steuersignal und das zumindest eine weitere Fehlersignal.

19. Verfahren nach Anspruch 18, wobei der Schritt des Verifizierens des Ausgangssignals weiterhin den Schritt aufweist, daß ein Betriebszustand der zu dem digitaler Steuersystem gehörenden elektromechanischen Ausrüstung identifiziert wird.

20. Verfahren nach Anspruch 18, wobei das Steuersignal eine Wellenform einer definierten Gestalt bzw. Konfiguration einschließlich zumindest einer hohen Periode und zumindest einer niedrigen Periode definiert, und wobei das Verfahren weiterhin die Schritte aufweist, daß die zumindest eine hohe Periode und die zumindest eine niedrige Periode des Steuersignals mit definierten Grenzwerten verglichen wird und das zumindest eine Fehlersignal erzeugt wird, welches in Reaktion auf das Steuersignal erzeugt wird, wenn die definierten Grenzwerte überschritten werden.

21. Verfahren nach Anspruch 20, welches weiterhin den Schritt aufweist, daß die Konfiguration der Wellenform überwacht wird, um die Wellenformgültigkeit im Vergleich zu definierten gültigen Wellenformen zu identifizieren und um eine Sequenz bzw. Folge gültiger Wellenformen im Vergleich zu definierten zulässigen Folgen bzw. Sequenzen zu identifizieren, wobei das Verfahren weiterhin den Schritt aufweist, daß das verifizierte Steuersignal erzeugt wird, wenn die Konfiguration der Wellenform den definierten gültigen Wellenformen und den definierten zulässigen Sequenzen entspricht, und daß zumindest ein drittes Fehlersignal erzeugt wird, wenn die Konfiguration der Wellenform von zumindest einer, nämlich den gültigen definierten Wellenformen oder den definierten zulässigen Sequenzen abweicht.

22. Verfahren nach Anspruch 20, wobei der Schritt des Überwachens der zumindest einen hohen Periode und der zumindest einen niedrigen Periode weiterhin den Schritt des Entprellen des Steuersignals aufweist.

23. Verfahren nach Anspruch 18, wobei der Schritt des Verifizierens des Ausgangssignals und des Erzeugens eines verifizierten Ausgangssignals weiterhin den Schiritt umfaßt, daß ein Zustand des verifizierten Ausgangssignals identifiziert wird.

24. Verfahren nach Anspruch 18, wobei der Schritt des Erzeugens eines Fehlersignals weiterhin den Schritt umfaßt, daß ein Betriebszustand identifiziert wird, welcher dem Fehlersignal entspricht.







IPC
A Täglicher Lebensbedarf
B Arbeitsverfahren; Transportieren
C Chemie; Hüttenwesen
D Textilien; Papier
E Bauwesen; Erdbohren; Bergbau
F Maschinenbau; Beleuchtung; Heizung; Waffen; Sprengen
G Physik
H Elektrotechnik

Anmelder
Datum

Patentrecherche

Patent Zeichnungen (PDF)

Copyright © 2008 Patent-De Alle Rechte vorbehalten. eMail: info@patent-de.com