Die vorliegende Erfindung betrifft eine elektronische Steuereinrichtung eines elektrischen Antriebssystems, mit einer Zentraleinheit,

• – wobei in einem Normalbetrieb die Zentraleinheit von einer übergeordneten Steuereinrichtung eine Folge von Lage-, Drehzahl- oder Momentsollwerten entgegen nimmt, anhand der entgegen genommenen Sollwerte und korrespondierender Istwerte Stromsollwerte ermittelt und die Stromsollwerte an mindestens eine Antriebseinheit übermittelt.

Die vorliegende Erfindung betrifft weiterhin eine elektronische Antriebseinheit eines elektrischen Antriebssystems, mit einer Zentraleinheit,

• – wobei die Zentraleinheit in einem Normalbetrieb von einer Steuereinrichtung eine Folge von Stromsollwerten entgegen nimmt, anhand der Stromsollwerte Ansteuersignale für eine Anzahl von Leistungsschaltern ermittelt, mittels derer ein Elektromotor entsprechend dem Stromsollwert an eine Stromversorgung angeschaltet wird, und an die Leistungsschalter ausgibt.

Schließlich betrifft die vorliegende Erfindung ein elektrisches Antriebssystem, bestehend aus einer elektronischen Steuereinrichtung der oben beschriebenen Art und mindestens einer elektronischen Antriebseinheit der obenstehend beschriebenen Art, wobei die Steuereinrichtung mit der Antriebseinheit datentechnisch verbunden ist.

Ein elektrisches Antriebssystem weist eine elektronische Steuereinrichtung, eine Anzahl (mindestens einen) von Elektromotoren sowie pro Elektromotor je eine elektronische Ansteuereinheit auf. Der elektronischen Steuereinrichtung wird von einer übergeordneten Steuereinrichtung (z. B. einer speicherprogrammierbaren Steuerung oder einer numerischen Steuerung) getaktet eine Folge von Sollwerten vorgegeben. Die Sollwerte sind in der Regel Lage-, Drehzahl- oder Momentsollwerte.

Die Sollwerte werden innerhalb der Steuereinrichtung von einer Zentraleinheit der Steuereinrichtung entgegen genommen. Die Zentraleinheit ermittelt anhand der Sollwerte Stromsollwerte und übermittelt die Stromsollwerte über eine Ausgangsschnittstelle der Steuereinrichtung und eine Eingangsschnittstelle der Antriebseinheit an die Antriebseinheit.

In der Antriebseinheit nimmt eine Zentraleinheit die Stromsollwerte entgegen und ermittelt anhand der Stromsollwerte Ansteuersignale für eine Anzahl (mindestens einen) von Leistungsschaltern und gibt die Ansteuersignale an die Leistungsschalter aus. Die Leistungsschalter sind in der Regel Bestandteile der Antriebseinheit. In diesem Fall werden die Leistungsschalter von der Zentraleinheit direkt angesteuert. Es ist denkbar, dass die Leistungsschalter nicht Bestandteile der Antriebseinheit sind. In diesem Fall gibt die Zentraleinheit über eine Ausgangsschnittstelle die Ansteuersignale für die Leistungsschalter aus.

Eine Überwachung des Elektromotors durch die Steuereinrichtung des Antriebssystems ist prinzipiell möglich. Mittels der vorstehend beschriebenen Vorgehensweise ist ein Abschalten des Elektromotors jedoch nur dann gewährleistet, wenn alle relevanten Komponenten (Steuereinrichtung, Antriebseinheit, Leistungsschalter) ordnungsgemäß funktionieren. Fällt hingegen eine der genannten Komponenten aus, ist das Abschalten des Elektromotors nicht mehr gewährleistet.

Um ein sicheres Abschalten gewährleisten zu können, wird in Sicherheitsvorschriften (beispielhaft sei die IEC 61508 genannt) gefordert, dass jeder Einzelfehler sicher erkannt wird und die Stromversorgung des Elektromotors bei Erkennen eines Einzelfehlers sicher unterbrochen wird. Hierzu sind zwei voneinander unabhängige Abschalteinrichtungen erforderlich, die von zwei voneinander unabhängigen Einheiten angesteuert werden.

Das sichere Erkennen von Einzelfehlern kann beispielsweise dadurch gewährleistet werden, dass alle Signalwege und alle signalverarbeitenden Komponenten redundant (also mindestens zweikanalig) ausgelegt sind. Derartige Antriebssysteme sind allgemein bekannt. Bei diesen Antriebssystemen wird die Überwachung durch Zentraleinheiten realisiert, die als relativ leistungsfähige Prozessoren ausgebildet sein müssen.

Es ist möglich, dass die Zentraleinheit der elektronischen Steuereinrichtung eine der Zentraleinheiten ist, welche die Überwachung realisieren.

Es ist auch schon bekannt, dass in Signalflussrichtung gesehen aufeinander folgende Komponenten sich gegenseitig überwachen können. Beispielsweise können sich eine übergeordnete und eine untergeordnete Steuerung gegenseitig überwachen. In diesem Fall werden für die gegenseitige Überwachung Zentraleinheiten benötigt, die als relativ leistungsfähige Prozessoren ausgebildet sind.

Die Zentraleinheit der Antriebseinheit ist relativ leistungsschwach. Im Normalbetrieb muss sie lediglich anhand der Stromsollwerte die Ansteuersignale für die Leistungsschalter ermitteln und ausgeben können. Die Zentraleinheit der Antriebseinheit ist in der Regel nicht in der Lage, die erforderliche Überwachung der ihr übergeordneten elektronischen Steuereinrichtung zu übernehmen.

Es ist natürlich denkbar, die Antriebseinheit mit einer hinreichend leistungsstarken Zentraleinheit zu versehen. Dies würde jedoch die Kosten der Antriebseinheit erhöhen. Dieser Weg wird daher im Stand der Technik nicht ergriffen.

Auf dem Gebiet der speicherprogrammierbaren Steuerungen ist bereits die sichere Programmverarbeitung mit einem einzigen Prozessor bekannt. Bei diesem Verfahren wird in der Regel mit der sogenannten codierten Programmierung gearbeitet. Die codierte Programmierung als solche ist bekannt.

Bei der codierten Programmierung wird in üblicher Weise ein Anwenderprogramm in Klartext erstellt. Anhand des Anwenderprogramms erzeugt ein Übersetzungsprogramm ein Steuerprogramm, das einen Nutzteil und einen Zusatzteil aufweist. Der Nutzteil weist die Funktionalität auf, die ihm durch das Anwenderprogramm vorgegeben wird. Der Zusatzteil ist derart ausgebildet, dass er dieselben Eingangsgrößen erhält wie der Nutzteil, seine Ausgaben (bzw. mindestens eine der Ausgaben) jedoch das n-fache der korrespondierenden Ausgabe des Nutzteils sind bzw. ist. n ist eine geeignet bestimmte Primzahl.

Das Ausgabesignal des Zusatzteils entspricht Prüfinformationen, die für sich oder in Verbindung mit mindestens einem weiteren im Überwachungsbetrieb an die mindestens eine Antriebseinheit übermittelten Signal dafür charakteristisch sind, ob die speicherprogrammierbare Steuerung ordnungsgemäß funktioniert. Denn das mittels des Zusatzteils generierte Ausgangssignal kann nur ganz bestimmte Werte annehmen. Wenn diese Werte nicht angenommen werden, ist dies ein Indiz für eine Fehlfunktion der speicherprogrammierbaren Steuerung.

Im Stand der Technik überträgt die speicherprogrammierbare Steuerung die Prüfinformationen an eine andere Baugruppe. Diese andere Baugruppe überprüft, ob sie die Prüfinformationen erhält und ob die Prüfinformationen ordnungsgemäß sind. Erhält sie die Prüfinformationen nicht oder sind die Prüfinformationen nicht ordnungsgemäß, wird eine Fehlerreaktion ergriffen, insbesondere eine von der speicherprogrammierbaren Steuerung gesteuerte Anlage in einen sicheren Zustand überführt.

Die Aufgabe der vorliegenden Erfindung besteht darin, eine Steuereinrichtung eines elektrischen Antriebssystems, eine Antriebseinheit eines elektrischen Antriebssystems sowie ein entsprechendes Antriebssystem zu schaffen, mittels derer auf einfache und kostengünstige Weise im Fehlerfall ein sicheres Unterbrechen der Stromversorgung des Elektromotors möglich ist.

Die Aufgabe wird durch eine elektronische Steuereinrichtung mit den Merkmalen des Anspruchs 1, eine elektronische Antriebseinheit mit den Merkmalen des Anspruchs 13 und ein elektrisches Antriebssystem mit den Merkmalen des Anspruchs 27 gelöst.

Erfindungsgemäß prüft die Zentraleinheit in einem Überwachungsbetrieb, ob ein von der mindestens einen Antriebseinheit angesteuerter Elektromotor sich in einem sicheren Zustand befindet. In dem Fall, dass der Elektromotor sich nicht im sicheren Zustand befindet, übermittelt die Zentraleinheit an eine erste Abschalteinrichtung und an die Antriebseinheit je ein Abschaltsignal. Eine Stromversorgung des Elektromotors ist sowohl mittels der ersten Abschalteinrichtung als auch mittels der Antriebseinheit unterbrechbar. Weiterhin generiert die Zentraleinheit der elektronischen Steuereinrichtung zumindest im Überwachungsbetrieb Prüfinformationen, die für sich oder in Verbindung mit mindestens einem weiteren im Überwachungsbetrieb an die mindestens eine Antriebseinheit übermittelten Signal dafür charakteristisch sind, ob die Steuereinrichtung ordnungsgemäß funktioniert, und übermittelt die Prüfinformationen an die mindestens eine Antriebseinheit.

Die Zentraleinheit der elektronischen Antriebseinheit prüft in einem Überwachungsbetrieb, ob ihr von der Steuereinrichtung ein Abschaltsignal übermittelt wird. Im Fall der Übermittlung des Abschaltsignals unterbricht sie eine Stromversorgung des Elektromotors über eine zweite Abschalteinrichtung. Die Zentraleinheit der elektronischen Antriebseinheit prüft im Überwachungsbetrieb ferner, ob ihr von der Steuereinrichtung die Prüfinformationen übermittelt werden und ob die Prüfinformationen korrekt sind. Im Fall, dass die Prüfinformationen nicht übermittelt werden oder nicht ordnungsgemäß sind, unterbricht sie ebenfalls über die zweite Abschalteinrichtung die Stromversorgung des Elektromotors.

Auf Grund der Ausgestaltung der Steuereinrichtung ist auf Seiten der Antriebseinheit keine leistungsstarke Zentraleinheit erforderlich. Denn die Zentraleinheit der Antriebseinheit der vorliegenden Erfindung muss lediglich in der Lage sein, die Prüfinformationen zu überprüfen. Hingegen ist – im Gegensatz zum Stand der Technik – kein zweiter, leistungsstarker Prozessor erforderlich, der parallel zur Zentraleinheit der Steuereinrichtung die Überwachungsfunktionen ausführt.

Es ist möglich, dass die Zentraleinheit der Steuereinrichtung den Überwachungsbetrieb stets parallel zum Normalbetrieb ausführt. Es ist weiterhin möglich, dass die Zentraleinheit der Steuereinrichtung selbsttätig ermittelt, ob sie den Normalbetrieb oder den Überwachungsbetrieb ausführt. Vorzugsweise nimmt die Zentraleinheit von der übergeordneten Steuereinrichtung einen Betriebsmodusbefehl entgegen und entscheidet anhand des Betriebsmodusbefehls, ob sie den Normalbetrieb oder den Überwachungsbetrieb annimmt.

Der sichere Zustand, auf dessen Einhalten der Elektromotor im Überwachungsbetrieb überwacht wird, ist prinzipiell beliebig wählbar. Typische sichere Zustände sind Stillstand des Elektromotors, Drehen des Elektromotors mit einer kleinen Drehzahl, die unterhalb einer Grenzdrehzahl liegt, oder Einhalten eines maximalen Grenzmoments. Es ist möglich, dass der sichere Zustand der Steuereinrichtung des Antriebssystems von außen vorgegeben wird. Vorzugsweise ist der sichere Zustand durch in der Steuereinrichtung des elektrischen Antriebssystems hinterlegte Einstellungen bestimmt.

Es ist möglich, dass die Zentraleinheit der Steuereinrichtung einen Sollwertparameter entgegen nimmt. Anhand des Sollwertparameters kann die Zentraleinheit der Steuereinrichtung gegebenenfalls entscheiden, ob die von ihr entgegen genommenen Sollwerte Lage-, Drehzahl- oder Momentsollwerte sind. Diese Vorgehensweise ermöglicht einen flexibleren Betrieb der Steuereinrichtung des Antriebssystems.

Es ist möglich, dass das an die Antriebseinheit übermittelte Abschaltsignal in den Prüfinformationen enthalten ist. Alternativ kann das an die Antriebseinheit übermittelte Abschaltsignal ein von den Prüfinformationen verschiedenes Signal sein.

Für die Ermittlung der Prüfinformationen durch die Zentraleinheit der Steuereinrichtung kommen verschiedene Möglichkeiten in Frage. Bevorzugt ist, dass die Zentraleinheit der Steuereinrichtung die Prüfinformationen anhand der Sollwerte durch codierte Programmierung ermittelt.

Die Zentraleinheit der Antriebseinheit überprüft die Prüfinformationen stets auf eine Weise, anhand derer sie erkennen kann, ob die Prüfinformationen ordnungsgemäß sind. Wenn die Prüfinformationen durch codierte Programmierung ermittelt worden sind, überprüft die Zentraleinheit der Antriebseinheit die Prüfinformationen dahingehend, ob sie im Sinne einer codierten Programmierung mit einer vorbestimmten Zahl und/oder mit dem mindestens einen weiteren im Überwachungsbetrieb an die Antriebseinheit übermittelten Signal korrespondieren.

Es ist möglich, dass die Zentraleinheit der Steuereinrichtung die Prüfinformationen auch im Normalbetrieb generiert und an die mindestens eine Antriebseinheit übermittelt. Beispielsweise kann die Zentraleinheit der Steuereinrichtung stets prüfen, ob der Elektromotor sich im sicheren Zustand befindet, die Prüfinformationen ermitteln und die Prüfinformationen übermitteln. Lediglich das Übermitteln der Abschaltsignale an die erste Abschalteinrichtung und die Antriebseinheit unterbleibt. Der Unterschied zwischen Normalbetrieb und Überwachungsbetrieb besteht in diesem Fall darin, dass im Normalbetrieb die Ausgabe der Abschaltsignale deaktiviert ist, im Überwachungsbetrieb aktiviert.

Hiermit korrespondierend ist es möglich, dass auf Seiten der Antriebseinheit der Normalbetrieb und der Überwachungsbetrieb identisch sind. Alternativ wäre es jedoch auch möglich, den Überwachungsbetrieb aktivierbar und deaktivierbar zu gestalten.

Es ist möglich, dass die Zentraleinheit der Steuereinrichtung die erste Abschalteinrichtung direkt ansteuert. Vorzugsweise steuert die Zentraleinheit der Steuereinrichtung die erste Abschalteinrichtung über die Antriebseinheit an. In diesem Fall nimmt die Antriebseinheit auch das Abschaltsignal für die erste Abschalteinrichtung entgegen und leitet es an die erste Abschalteinrichtung weiter. Vorzugsweise erfolgt das Weiterleiten unter Umgehung der Zentraleinheit der Antriebseinheit.

Die Zentraleinheit der Steuereinheit ist in der Regel als Prozessor ausgebildet, der ein Steuerprogramm abarbeitet. Vorzugsweise weist somit die Steuereinrichtung eine Speichereinrichtung auf, in der das Steuerprogramm hinterlegt ist. Die Zentraleinheit führt in diesem Fall ihre Funktionen unter Abarbeitung des Steuerprogramms aus. Das Steuerprogramm ist vorzugsweise als Systemprogramm ausgebildet, das vom Anwender nicht änderbar ist.

Die Zentraleinheit der Antriebseinheit ist vorzugsweise in einen ASIC integriert. Sie kann schaltungstechnisch derart ausgebildet sein, dass sie ohne Abarbeitung eines Steuerprogramms arbeitet. Es ist alternativ möglich, dass die Antriebseinheit eine Speichereinrichtung aufweist, in der ein Steuerprogramm hinterlegt ist, und dass die Zentraleinheit der Antriebseinheit ihre Funktionen unter Abarbeitung des Steuerprogramms ausführt.

Auch das Steuerprogramm für die Zentraleinheit der Antriebseinheit ist – so vorhanden – vorzugsweise als Systemprogramm ausgebildet, das vom Anwender nicht änderbar ist.

Die Speichereinrichtung kann gegebenenfalls in den ASIC integriert sein.

Weitere Vorteile und Einzelheiten ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen in Verbindung mit den Zeichnungen. Es zeigen in Prinzipdarstellung:

1 ein Blockschaltbild eines elektrischen Antriebssystems,

2 und 3 Ablaufdiagramme und

4 eine Abwandlung von 1.

Gemäß 1 weist ein elektrisches Antriebssystem eine übergeordnete Steuereinrichtung 1, eine elektronische Steuereinrichtung 2, mindestens eine elektronische Antriebseinheit 3 und mindestens einen Elektromotor 4 auf. Die übergeordnete Steuereinrichtung 1 kann beispielsweise eine speicherprogrammierbare Steuerung oder eine numerische Steuerung sein. Die Anzahl von Elektromotoren 4 korrespondiert mit der Anzahl von Antriebseinheiten 3.

Die elektronische Steuereinrichtung 2 weist eine Ausgangsschnittstelle 5 auf. Die Antriebseinheit 3 weist eine Eingangsschnittstelle 6 auf. Die Ausgangsschnittstelle 5 der elektronischen Steuereinrichtung 2 und die Eingangsschnittstelle 6 der Antriebseinheit 3 sind datentechnisch miteinander verbunden.

Wenn mehr als eine Antriebseinheit 3 vorhanden ist, können diese auf verschiedene Weise mit der elektronischen Steuereinrichtung 2 verbunden sein. Beispielsweise ist eine Anbindung über ein Bussystem denkbar. Es ist weiterhin denkbar, dass die elektronische Steuereinrichtung 2 eine Anzahl von Ausgangsschnittstellen 5 aufweist und jede Ausgangsschnittstelle 5 mit genau einer Antriebseinheit 3 verbunden ist.

Die elektronische Steuereinrichtung 2 weist eine Zentraleinheit 7 auf. Die Zentraleinheit 7 ist in der Regel als Mikroprozessor 7 ausgebildet. Wenn sie als Mikroprozessor 7 ausgebildet ist, arbeitet sie im Betrieb ein Steuerprogramm 8 ab, das in einer Speichereinrichtung 9 der elektronischen Steuereinrichtung 2 hinterlegt ist. Die Zentraleinheit 7 führt in diesem Fall ihre nachfolgend näher beschriebenen Funktionen unter Abarbeitung des Steuerprogramms 8 aus.

Das Steuerprogramm 8 ist als Systemprogramm 8 ausgebildet. Es ist also kein Anwenderprogramm, das von einem in 1 nicht dargestellten Anwender nach Bedarf geändert werden kann. Vielmehr wird das Steuerprogramm 8 vom Hersteller der elektronischen Steuereinrichtung 2 in einen nicht flüchtigen Speicher 10 (z. B. einen EEPROM-Speicher) eingeschrieben. Der Speicher 10 wird als Speichereinrichtung 9 in die elektronische Steuereinrichtung 2 eingebracht. Er entspricht einem Datenträger im Sinne der vorliegenden Erfindung.

Auf Grund der Programmierung mit dem Steuerprogramm 8 arbeitet die elektronische Steuereinrichtung 2 gemäß 2 vorzugsweise wie folgt:

Die elektronische Steuereinrichtung 2 prüft in einem Schritt S1, ob ihr von der übergeordneten Steuereinrichtung 1 über eine Eingangsschnittstelle 11 Parameter C, T vorgegeben werden. Wenn dies der Fall ist, geht die elektronische Steuereinrichtung 2 zu Schritten S2 bis S4 über. Anderenfalls geht sie direkt zu einem Schritt S5 über.

Im Schritt S2 nimmt die elektronische Steuereinrichtung 2 die übermittelten Parameter C, T entgegen. Im Schritt S3 bestimmt die Zentraleinheit 7 anhand des Parameters C eine Reglercharakteristik für die Zentraleinheit 7. Beispielsweise kann mittels des Parameters C eingestellt werden, ob die Zentraleinheit 7 als P-, PI-, als PID-, als PT₁-Regler usw. arbeitet, welche Proportionalverstärkung der Regler aufweist, welche Integrationszeitkonstante der Regler aufweist usw.. Der Vollständigkeit halber sei erwähnt, dass der Parameter C nicht notwendigerweise ein skalarer Parameter ist. Er kann vielmehr auch eine Vektorgröße sein.

Anhand des Parameters T bestimmt die Zentraleinheit 7 im Rahmen des Schrittes S4, ob sie von ihr noch entgegen zu nehmende Sollwerte W* als Lagesollwerte, als Drehzahlsollwerte oder als Momentsollwerte behandelt.

Mittels der Parameter C, T wird die Funktionsweise der Zentraleinheit 7 beeinflusst. Es wird aber nicht das Steuerprogramm 8 geändert. Es wird lediglich eingestellt, auf welche Art und Weise das Steuerprogramm 8 abgearbeitet wird.

Die Schritte S1 bis S4 sind nur optional. Sie können gegebenenfalls entfallen. Sie sind aus diesem Grund in 2 nur gestrichelt dargestellt.

In einem Schritt S5 nimmt die Zentraleinheit 7 von der übergeordneten Steuereinrichtung einen Betriebsmodusbefehl M entgegen. Anhand des Betriebsmodusbefehls M entscheidet die Zentraleinheit 7 in einem Schritt S6, ob sie einen Normalbetrieb oder einen Überwachungsbetrieb annimmt. Sie setzt zu diesem Zweck den entsprechenden Betriebsmodus.

Im Schritt S7 nimmt die Zentraleinheit 7 der elektronischen Steuereinrichtung 2 über die Eingangsschnittstelle 11 von der übergeordneten Steuereinrichtung 1 einen Sollwert W* entgegen. Der Sollwert W* ist, wie bereits erwähnt, in der Regel ein Lagesollwert, ein Drehzahlsollwert oder ein Momentsollwert.

In einem Schritt S8 nimmt die Zentraleinheit 7 der elektronischen Steuereinrichtung 2 einen Istwert W des Elektromotors 4 entgegen. Der Istwert W korrespondiert mit dem Sollwert W*.

Wenn der Sollwert W* ein Lagesollwert ist, ist also auch der Istwert W ein Lageistwert usw.. Der Istwert W wird der Zentraleinheit 7 auf übliche Weise zugeführt.

In einem Schritt S9 ermittelt die Zentraleinheit 7 anhand des Sollwertes W*, des Istwertes W und der Reglercharakteristik der Zentraleinheit 7 einen Stromsollwert I*.

In einem Schritt S10 übermittelt die Zentraleinheit 7 über die Ausgangsschnittstelle 5 den Stromsollwert I* an die Antriebseinheit 3.

In einem Schritt S11 generiert die Zentraleinheit 7 der elektronischen Steuereinrichtung 2 Prüfinformationen P. Die Prüfinformationen P sind für sich oder in Verbindung mit mindestens einem Stromsollwert I* dafür charakteristisch, ob die elektronische Steuereinrichtung 2 ordnungsgemäß funktioniert.

Die ermittelten Prüfinformationen P können prinzipiell beliebig sein, solange anhand der Prüfinformationen P – gegebenenfalls in Verbindung mit mindestens einem Stromsollwert I* – erkennbar ist, ob die elektronische Steuereinrichtung 2 ordnungsgemäß funktioniert. Beispielsweise kann das Steuerprogramm 8 einen Nutzteil 8' und einen Zusatzteil 8'' aufweisen. Beiden Teilen 8', 8'' führt die Zentraleinheit 7 den Sollwert W* und den Istwert W zu. Der Nutzteil 8' ermittelt anhand des Sollwerts W* und des Istwerts W den korrespondierenden Stromsollwert I*.

Der Zusatzteil 8'' ist automatisch anhand des Nutzteils 8' erzeugt worden. Der Zusatzteil 8'' liefert bei ordnungsgemäßem Funktionieren der elektronischen Steuereinrichtung 2 als Prüfinformationen P beispielsweise stets das n-fache des Stromsollwerts I*. n ist eine geeignet bestimmte Primzahl. Diese Art der Erzeugung der Prüfinformationen P ist Fachleuten als codierte Programmierung bekannt.

In einem Schritt S12 prüft die Zentraleinheit 7 der Steuereinrichtung 2, ob sie sich im Normalbetrieb befindet.

Wenn die Zentraleinheit 7 der Steuereinrichtung 2 sich im Normalbetrieb befindet, führt sie einen Schritt S13 aus. Im Schritt S13 prüft die Zentraleinheit 7 der elektronischen Steuereinrichtung 2, ob sie einen internen Fehler der elektronischen Steuereinrichtung 2 und/oder einen externen Fehler in einer anderen Einheit (z. B. dem Elektromotor 4 oder der Antriebseinheit 3) erkennt. Wenn ein derartiger Fehler erkannt wird, geht die Zentraleinheit 7 zu einem Schritt S14 über. Im Schritt S14 übermittelt die Zentraleinheit 7 ein erstes Abschaltsignal A1 an eine erste Abschalteinrichtung 12. Mittels der ersten Abschalteinrichtung 12 ist es möglich, eine Stromversorgung U des Elektromotors 4 zu unterbrechen.

Im Rahmen des Schrittes S14 übermittelt die Zentraleinheit 7 der elektronischen Steuereinrichtung 2 weiterhin ein zweites Abschaltsignal A2 an die Antriebseinheit 3. Auch die Antriebseinheit 3 ist daher in der Lage, die Stromversorgung U des Elektromotors 4 zu unterbrechen.

Zusätzlich kann die Zentraleinheit 7 im Rahmen des Schrittes S14 die Prüfinformationen P modifizieren, so dass die Prüfinformationen P nicht mehr ordnungsgemäß sind. Die nicht mehr ordnungsgemäßen Prüfinformationen P übermittelt sie im Rahmen des Schrittes S14 an die Antriebseinheit 3.

Sodann geht die Zentraleinheit 7 zu einem Schritt S15 über, in dem sie eine Fehlerreaktion ausführt. Beispielsweise kann die Zentraleinheit 7 ein Reset-Signal abwarten.

Wenn im Schritt S13 kein Fehler erkannt wurde, geht die Zentraleinheit 7 zu einem Schritt S16 über, in dem sie die (unmodifizierten und daher ordnungsgemäßen) Prüfinformationen P an die Antriebseinheit 3 übermittelt. Ausgehend vom Schritt S16 geht die Zentraleinheit 7 zum Schritt S1 (so vorhanden) oder zum Schritt S5 zurück.

Wenn die Zentraleinheit 7 der Steuereinrichtung 2 sich nicht im Normalbetrieb befindet, geht sie vom Schritt S12 zu einem Schritt S17 über. Im Schritt S17 prüft die Zentraleinheit 7, ob der Elektromotor 4 sich in einem sicheren Zustand befindet. Beispielsweise kann die Zentraleinheit 7 überprüfen, ob der Istwert W oder eine zeitliche Änderung des Istwerts W dem sicheren Zustand entspricht. Der sichere Zustand ist vorzugsweise durch Einstellungen bestimmt, die in der Steuereinrichtung 2 in einem entsprechenden Einstellungsspeicher 10' hinterlegt sind.

Je nach dem Ergebnis der Überprüfung des Schrittes S17 geht die Zentraleinheit 7 entweder zum Schritt S13 oder zum Schritt S14 über. Insbesondere geht die Zentraleinheit 7 zum Schritt S13 über, wenn der Elektromotor 4 sich im sicheren Zustand befindet. Hiermit korrespondierend geht die Zentraleinheit 7 zum Schritt S14 über, wenn der Elektromotor 4 sich nicht im sicheren Zustand befindet.

Das an die Antriebseinheit 3 übermittelte zweite Abschaltsignal A2 kann ein eigenes, von den Prüfinformationen P verschiedenes Signal A2 sein. Alternativ kann es in den Prüfinformationen P enthalten sein.

Gemäß 1 ist die erste Abschalteinrichtung 12 Bestandteil der Antriebseinheit 3. Die Zentraleinheit 7 übermittelt daher das für die erste Abschalteinrichtung 12 bestimmte erste Abschaltsignal A1 über die Antriebseinheit 3 an die erste Abschalteinrichtung 12.

Aus der Darstellung von 2 ist ersichtlich, dass die Zentraleinheit 7 den Sollwert W* und den Istwert W getaktet entgegen nimmt. Sie nimmt also eine Folge von Sollwerten W* und Istwerten W entgegen.

Aus 2 ist weiterhin ersichtlich, dass die Zentraleinheit 7 die Stromsollwerte I* getaktet an die Antriebseinheit 3 ausgibt. Gemäß 2 stimmen die beiden Takte miteinander überein. Dies ist jedoch nicht zwingend. Sie könnten auch voneinander verschieden sein. Insbesondere könnten die Schritte S9 und S10 in eine innere Schleife eingebunden sein, die mehrfach durchlaufen wird, bevor erneut die Schritte S7 und S8 ausgeführt werden.

Gemäß 2 werden weiterhin die Prüfinformationen P mit jedem Stromsollwert I* an die Antriebseinheit 3 übermittelt. Auch dies ist nicht zwingend erforderlich. Vielmehr kann es ausreichend sein, die Prüfinformationen P nur in größeren Zeitabständen, beispielsweise einmal pro Minute oder einmal pro Viertelstunde, an die Antriebseinheit 3 zu übermitteln.

Die Antriebeinheit 3 weist gemäß 1 ebenfalls eine Zentraleinheit 13 auf. Die Zentraleinheit 13 kann gemäß 1 beispielsweise in einen ASIC 14 integriert sein. Sie kann, wie in 1 dargestellt, derart schaltungstechnisch ausgebildet sein, dass sie ohne Abarbeitung eines Steuerprogramms arbeitet.

Es ist möglich, dass die Antriebseinheit 3 in verschiedenen Betriebsarten arbeitet, insbesondere in einem Normalbetrieb und in einem Überwachungsbetrieb. In diesem Fall ist ein entsprechendes Umschalten der Betriebsarten erforderlich. Im vorliegenden Fall sind die beiden Betriebsarten identisch. Sie werden also stets zusammen ausgeführt.

Gemäß den 1 und 3 nimmt die Zentraleinheit 13 der Antriebseinheit 3 im Betrieb über die Eingangsschnittstelle 6 von der elektronischen Steuereinrichtung 2 in einem Schritt S21 einen Stromsollwert I* entgegen. Weiterhin nimmt sie im Rahmen des Schrittes S21 auch die Prüfinformationen P entgegen. Sofern von der Zentraleinheit 7 der Steuereinrichtung 2 ein Abschaltsignal A2 für die Zentraleinheit 13 der Antriebseinheit 3 übermittelt wird, nimmt die Zentraleinheit 13 im Schritt S21 auch das Abschaltsignal A2 entgegen.

Der Zentraleinheit 13 der Antriebseinheit 3 wird weiterhin in üblicher Weise ein Stromistwert I zugeführt, den sie in einem Schritt S22 entgegen nimmt.

In einem Schritt S23 ermittelt die Zentraleinheit 13 der Antriebseinheit 3 anhand des Stromsollwertes I* und des Stromistwerts I Ansteuersignale A* für eine Anzahl von Leistungsschaltern 15. Die Leistungsschalter 15 sind in der Regel elektronische Leistungsschalter 15, z. B. Leistungstransistoren oder Thyristoren.

Die Leistungsschalter 15 sind in der Regel Bestandteil der Antriebseinheit 3. Die Zentraleinheit 13 steuert in diesem Fall die Leistungsschalter 15 unmittelbar entsprechend an. Die Zentraleinheit 13 gibt also die Ansteuersignale A* an die Leistungsschalter 15 aus. Mittels der Leistungsschalter 15 wird der Elektromotor 4 an die Stromversorgung U angeschaltet.

In einem Schritt S24 überprüft die Zentraleinheit 13 der Antriebseinheit 3, ob ihr von der Zentraleinheit 7 der Steuereinrichtung 2 ein Abschaltsignal A2 übermittelt wurde. Falls das Abschaltsignal A2 der Zentraleinheit 13 der Antriebseinheit 3 als eigenes Signal A2 ermittelt wird, kann selbstverständlich direkt das Abschaltsignal A2 auf Vorhandensein überprüft werden. Falls das Abschaltsignal A2 in den Prüfinformationen P enthalten ist, wird es zuvor aus den Prüfinformationen P extrahiert.

Falls der Zentraleinheit 13 das Abschaltsignal A2 übermittelt wurde, steuert die Zentraleinheit 13 in einem Schritt S25 eine zweite Abschalteinrichtung 16 an. Dadurch wird die Stromversorgung U des Elektromotors 4 unterbrochen.

Alternativ oder zusätzlich sperrt die Zentraleinheit 13 in einem Schritt S26 das Ausgeben der Ansteuersignale A* an die Leistungsschalter 15. Auch auf diese Weise kann die Stromversorgung U des Elektromotors 4 unterbrochen werden.

Optional ist es weiterhin möglich, dass die Zentraleinheit 13 in einem Schritt S27 die erste Abschalteinrichtung 12 ansteuert, die von der Zentraleinheit 7 der Steuereinrichtung 2 direkt angesteuert wird.

In einem Schritt S28 führt die Zentraleinheit 13 eine Fehlerreaktion aus. Beispielsweise kann sie ein Reset-Signal abwarten.

Gemäß 1 sind die erste Abschalteinrichtung 12, die zweite Abschalteinrichtung 16 und die Leistungsschalter 15 in Reihe geschaltet. Bereits durch entsprechendes Ansteuern eines dieser drei Elemente 12, 15, 16 wird somit die Stromversorgung des Elektromotors 4 unterbrochen.

Wenn der Zentraleinheit 13 das Abschaltsignal A2 nicht übermittelt wurde, überprüft die Zentraleinheit 13 der Antriebseinheit 2, ob die Prüfinformationen P übermittelt wurden und ordnungsgemäß sind. Im vorliegenden Fall, in dem die Prüfinformationen P durch codierte Programmierung erzeugt worden sind, prüft die Zentraleinheit 13 in einem Schritt S29, ob die Prüfinformationen P durch die vorbekannte Primzahl n teilbar sind. Alternativ oder zusätzlich prüft die Zentraleinheit 13 in einem Schritt S30, ob die Prüfinformationen P das n-fache des Stromsollwerts I* sind.

Wenn die durchgeführten Prüfungen positiv verlaufen, sind die Prüfinformationen P ordnungsgemäß. In diesem Fall geht die Zentraleinheit 13 zum Schritt S21 zurück. Wenn hingegen eine der Prüfungen der Schritte S29 und S30 negativ verläuft, geht die Zentraleinheit 13 zum Schritt S25 über.

Die Abschaltsicherheit im Fehlerfall kann noch weiter erhöht werden, wenn auch die Zentraleinheit 7 der Steuereinrichtung 2 nicht nur die erste Abschalteinrichtung 12 ansteuert, sondern zusätzlich die zweite Abschalteinrichtung 16 ansteuert und/oder das Ausgeben der Ansteuersignale A* im Fehlerfall sperrt.

Die Abschalteinrichtungen 12, 16 sind vorzugsweise elektromechanische Schalteinrichtungen. Es ist jedoch auch möglich, sie als elektronische Schalteinrichtungen zu realisieren.

Die erste Abschalteinrichtung 12 und die zweite Abschalteinrichtung 16 sind vorzugsweise Bestandteile der Antriebseinheit 3. Die Antriebseinheit 3 nimmt daher unter anderem das in 1 gestrichelt eingezeichnete Abschaltsignal A1 der elektronischen Steuereinrichtung 2 für die erste Abschalteinrichtung 12 entgegen. Das Abschaltsignal A1 leitet die Antriebseinheit 3 unter Umgehung der Zentraleinheit 13 an die erste Abschalteinrichtung 12 weiter.

Bei der Darstellung gemäß 1 ist die Zentraleinheit 13 derart schaltungstechnisch ausgebildet, dass sie ohne Abarbeiten eines Steuerprogramms arbeitet.

Die in 4 dargestellte Antriebseinheit 3 entspricht von ihrer Funktion der in 1 dargestellten Antriebseinheit 3. Im Unterschied zur Antriebseinheit 3 von 1 arbeitet bei der Darstellung gemäß 4 die Antriebseinheit 3 jedoch ein Steuerprogramm 17 ab, das in einer Speichereinrichtung 18 hinterlegt ist und die Funktionsweise der Zentraleinheit 13 festlegt. Bei der Ausgestaltung gemäß 4 führt die Zentraleinheit 13 ihre obenstehend beschriebenen Funktion unter Abarbeitung des Steuerprogramms 17 aus.

Auch das Steuerprogramm 17 ist ein Systemprogramm 17. Es ist von dem Anwender nicht änderbar, sondern wird vielmehr vom Hersteller der Antriebseinheit 3 in die Speichereinrichtung 18 eingeschrieben. Beispielsweise kann das Steuerprogramm 17 mittels eines geeigneten Programmiergeräts von einem Datenträger 19, auf dem das Steuerprogramm 17 gespeichert ist, ausgelesen und in die Speichereinrichtung 18 eingeschrieben werden.

Die Zentraleinheit 13 kann – wie bei der Ausführungsform gemäß 1 – weiterhin in einen ASIC 14 integriert sein. Die Speichereinrichtung 18 kann außerhalb des ASICs 14 angeordnet sein. Sie kann aber auch in den ASIC 14 integriert sein.

Mittels der obenstehend beschriebenen Ausgestaltungen der elektronischen Steuereinrichtung 2 und der elektronischen Antriebseinheit 3 ist somit auf einfache und kostengünstige Weise eine Überwachung der elektronischen Steuereinrichtung 2 realisierbar.

Die obige Beschreibung dient ausschließlich der Erläuterung der vorliegenden Erfindung. Der Schutzumfang der vorliegenden Erfindung soll hingegen ausschließlich durch die beigefügten Ansprüche bestimmt sein.