DE3222692A1

DE3222692A1 - Elektrisches stromversorgungssystem

Info

Publication number: DE3222692A1
Application number: DE19823222692
Authority: DE
Inventors: Mark Gerald Pittsburgh Pa. Kraus
Original assignee: Westinghouse Electric Corp
Current assignee: Westinghouse Electric Corp
Priority date: 1981-06-18
Filing date: 1982-06-16
Publication date: 1983-01-05
Also published as: GB2102219B; US4409635A; GB2102219A; FR2508246B1; FR2508246A1; JPS5819123A; JPS6314565B2

Description

Elektrisches Stromversorgungssystem

Die Erfindung betrifft ein elektrisches Stromversorgungssystem mit einer Vielzahl von Generatoren sowie einer Vielzahl von individuell in Serie zu den Generatoren liegenden Schaltern und ferner einer Vielzahl von Leistungsbuse, auf welche die Generatoren in Abhängigkeit von mindestens einer Steuereinheit arbeiten. Wenn im Stromversorgungssystem oder in der Steuereinheit Fehler auftreten, entsteht am Ausgang der Steuereinheit ein vorgegebener Signalzustand.

Wenn Fehler in einem elektrischen Stromversorgungssystem auftreten, das für den Erhalt von Leben und Eigentum von großer Wichtigkeit ist, muß dieses Stromversorgungssystem genau und zuverlässig steuerbar und regelbar sein. Dabei müssen jegliche Fehler im System oder in der Steuereinheit festgestellt und eine Reaktion zur unmittelbaren Korrektur ausgelöst werden. Es stehen unterschiedliche Techniken zur Verfügung, um zuverlässige Steuerfunktionen auszuführen. Diese Techniken umfassen backup-Systeme, Auswahlschematas und spezielle Datenverarbeitungstechniken.

In einer Stromversorgung eines Flugzeuges muß der Ausfall eines Generators von einer Steuereinheit erfaßt werden, damit möglichst rasch Hilfsgeneratoren in das System eingeschaltet werden können. Zusätzlich dazu ist es wünschenswert, eine Steuereinheit zu besitzen, welche

WS327P-24.98 minimales Gewicht

minimales Gewicht und Größe hat, jedoch genügend eigene Überwachungseigenschaften besitzt, um Selbstprüfroutinen zu durchlaufen und Fehler festzustellen. Sobald ein Fehler in der Steuereinheit oder im System erkannt wird, müssen eine klare Indikation des Fehlers und positive Maßnahmen zur Blockierung der fehlerhaften Einrichtung im System einsetzbar sein.

Der Erfindung liegt die Aufgabe zugrunde, ein elektrisches Stromversorgungssystem höchster Zuverlässigkeit zu schaffen, wobei es wünschenswert ist, daß die Funktionsweise des Systems aufrechterhalten wird, auch wenn ein Fehler in der Steuereinheit auftritt.

Durch die US-PS * 107 253 ist es bereits bekannt, bei einem Eisenbahnsignalisiersystem Sicherheitseinrichtungen vorzusehen, welche durch die Verwendung von ROM-Speicher und Vergleichsschaltungen Ausgangssignale zur Verfügung stellen, die eine Funktionsabschätzung möglich machen. Diese Einrichtung ermöglicht den kontinuierlichen Betrieb der Steuereinheit, wenn korrekte Betriebsbedingungen wiederhergestellt sind, selbst nachdem ein unterbrechender Fehler aufgetreten ist. Deshalb kann unter bestimmten Fehlerbedingungen die Ausgangsspannung einen periodischen Zyklus durchlaufen. Ein solches intermittierende Ansprechen auf Fehler ist bei bestimmten Anwendungsfällen äußerst unerwünscht. Deshalb soll die Erfindung solche Fehleransprechzustände vermeiden, indem das ausgefallene System in einem bestimmten Zustand blockiert wird, so daß alle weiteren fehlerhaften Signale vom System ignoriert werden können.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, daß je eine auf Fehlertoleranzen ansprechende Steuereinheit jedem Generator zugeordnet 1st, daß Einrichtungen

WS327P-2498 zum überwachen

zum Überwachen des Generatorbetriebs und zum selektiven Betätigen von zumindest einem der Schalter vorhanden sind, um den fehlerhaften Generator von einem oder mehreren der Leistungsbuse ab- und einen anderen Generator zur Aufrechterhaltung der Stromversorgung an diese anzuschalten, und daß jede der Steuereinheiten Einrichtungen umfaßt, um den Betriebszustand einer zugeordneten Steuereinheit selbstätig zu überprüfen und selektiv Schalter zu betätigen, wenn eine Fehlerfunktion festgestellt wird, so daß sowohl die fehlerhafte Steuereinheit als auch der fehlerhafte Generator von einem oder mehreren der Leistungsbuse abschaltbar und eine andere Steuereinheit sowie ein anderer Generator zuschaltbar ist.

Vorteilhafte Ausgestaltungen der Erfindung sind Gegenstand von weiteren Ansprüchen.

Die Maßnahmen der Erfindung lassen sich besonders vorteilhaft in einem System verwirklichen, welches einen Mikroprozessor mit der dazugehörigen Software, einen Komparator zum Vergleich digitaler Signale und ein Rückkopplungsnetzwerk hat , welches die Blockiermaßnahmen im System bewirkt. Diese Komponenten arbeiten zusammen, um Selbstprüfroutinen durchzuführen, die den Betriebszustand des Systems und dessen Komponenten überprüfen und Signale liefern, wenn alle Testergebnisse zufriedenstellend sind. In diesem Zustand werden alle Elemente des Systems überwacht einschließlich der Funktionsweise der Steuereinheit. Die Steuereinheit liefert in einer Folge Schlüsselwörter, die eine besonders zuverlässige Fehlerüberwachung zulassen.

WS327P-2498 Die Mikroprozessor-Software

Die Mikroprozessor-Software ist in zwei Gruppen unterteilt. Die eine Gruppe umfaßt die Betriebssoftware, die die Verarbeitung der von außen dem Rechner zugeführten Daten verarbeitet und den Rechner steuert. Ferner sind eine Vielzahl von Selbstprüfroutinen vorgesehen, welche alle Aspekte der Steuereinheit erfassen, um sowohl passive als auch aktive Fehler aufzudecken. Die Auswahl einer bestimmten Selbstprüfroutine wird durch ein digital !codiertes Basiswort bestimmt, das in einem ROM-Speicher gespeichert ist.

Der Speicher umfaßt zwei Ausgänge, und zwar einen für die Daten A in Form einer Kollektion von Basiswörtern, mit denen die vom Rechner durchzuführende Selbstprüfroutine bestimmt wird. Am zweiten Ausgang stehen Daten B zur Verfügung, die die Form einer Kollektion von Schlüsselwörtern haben und zur Verifizierung der Ergebnisse der Selbstprüf routine Verwendung finden. Zum Becjinn der Verifikation in der Steuereinheit wird vom Speicher aus ein Basiswort in Form der Daten A in den Rechner eingelesen. Dieses Basiswort kennzeichnet die bestimmte vom Rechner auszuführende Prüfroutine. Nach der Beendigung der Prüfroutine erscheinen die Ergebnisse in Form digital !codierter Schlüsselwörter am Ausgang des Rechners als Daten C. Diese Schlüsselwörter treten in einem festliegenden Zeitabstand T. nach dem Lesen des Basiswortes durch den Rechner auf.

In einem Komparator wird das Schlüsselwort vom Rechner in Form der Daten C mit dem Schlüsselwort in Form der Daten B vom Speicher verglichen. Wenn die beiden Schlüsselwörter identisch sind, schaltet der Komparator ausgangsseitig von einer binären Null auf eine binäre Eins. Diese Änderung des logischen Zustandes wird von

WS327P-2498 Rückkopplungsnetzwerk

- ίο -

Rückkopplungsnetzwerk abgetastet, welches den ROM-Speicher nach der festliegenden Zeitperiode T. indiziert, um das nächste Basiswort (Daten A) und das nächste Schlüsselwort (Daten B) vom Rechner zu erhalten. Sobald der Rechner indiziert wurde, sind die Schlüsselwörter in Form der Daten B und C nicht mehr langer identisch, so daß das Ausgangssignal am Komparator auf den Wert der binären Null zurückgeht.

Das Auftreten eines zweiten Basiswortes in Form von Daten A triggert erneut eine Selbstprüfroutine im Rechner und löst ein neues Schlüsselwort in Form von Daten C nach der festliegenden Zeitdauer T. aus. Wenn dieses neue Schlüsselwort mit dem Schlüsselwort in Form der Daten B übereinstimmt, schaltet der Komperator erneut am Ausgang von einer binären Null auf eine binäre Eins, womit über das Rückkopplungsnetzwerk der Speicher in die nächste Position indiziert wird. Solange die Selbstprüfroutinen Schlüsselwörter in Form von Daten C liefern, die mit den Schlüsselwörtern in Form der Daten B identisch sind, fährt der Komparator fort, hin- und herzuschalten, wobei die binäre Eins für die feste Zeitdauer T. aufrechterhalten wird. Danach geht das Signal auf die binäre Null zurück und bleibt auf diesem Niveau für dieselbe Zeitdauer. Diese Signalfolge bewirkt eine Rechteckschwingung am Ausgang des Komparators, welche von einer Ausgangsschaltung der Steuereinheit dazu benutzt wird, um eine Ausgangsspannung ν_χ zu erzeugen, die das richtige Funktionieren der Steuereinheit erkennen läßt. Das Vorhandensein dieser Ausgangsspannung ν_χ hält den Rechner in Betrieb und ermöglicht der Steuereinheit, die gewünschte Steuerfunktion im gesamten System aufrechtzuerhalten.

WS327P-2498 Wenn jedoch

Wenn jedoch eine Komponente ausfällt, sei es im Rechner oder in der Steuereinheit bzw. den zugehörigen Schaltungen, verschwindet die Spannung V„. Durch einen Ausfall im Rechner werden die Daten C oder deren Zeittakt verändert. In gleicher Weise wird durch den Ausfall des Komparators, des Speichers oder des Rückkopplungsnetzwerkes die Daten B verändert. Da die Spannung V_x von einer aktiven Impulsfolge erzeugt wird, bewirkt auch der Ausfall der Ausgangsschaltung der Steuereinheit den Verlust dieser Spannung V_x-

Ein 'Stromversorgungssystem gemäß der Erfindung umfaßt eine Vielzahl von Generatoren, welche in die Leistungsbuse bzw. die Stromsammeischienen ein- und ausgeschaltet werden können. Hierzu werden Schalter benutzt, die durch die Vielzahl der Systemsteuereinheiten betätigt werden. Diese Steuereinheiten im System überwachen kontinuierlich alle Funktionen und lösen die Zu- bzw. Abschaltung von Generatoren aus, wenn ein Fehler festgestellt wird. In diesem Fall wird der fehlerhafte Schaltkreis blockiert und weiterhin Leistung über die nicht gestörten Leistungsbuse zur Verfügung gestellt* Um den Fehler zu korrigieren, sind manuelle Eingriffe erforderlich.

Die Steuereinheiten können auch über Interface-Schaltungen mit denjenigen Schaltkreisen kommunizieren, die vom Stromversorgungssystem betrieben werden. Auf diese Weise kann die Steuereinheit ihren eigenen Betriebszustand über die Selbstprüfroutinen testen. Wenn ein Ausfall festgestellt wird, werden die Ausgänge der Steuereinheiten blockiert und die an den Datenausgängen verfügbaren Informationen dazu benutzt, um für Wartungszwecke den Problembereich zu lokalisieren.

WS327P-2498 Die Erfindung

Die Erfindung mit ihren Vorteilen und Merkmalen wird anhand von auf die Zeichnung bezugnehmenden Ausführungsbeispielen näher erläutert. Es zeigen:

Fig. 1 Ein Flußdiagramm für den Betrieb der Steuereinheit gemäß der Erfindung;

Fig. 2 ein Blockdiagramm einer Ausführungsform der Steuereinheit gemäß der Erfindung;

Fig. 3 ein Zeitdiagramm zur Beschreibung von der Steuereinheit zugeordneten Signalen;

Fig. 4 bis 6 Beispiele von Interface-Schaltungen, welche in Verbindung mit der Steuereinheit gemäß Fig. 2 Verwendung finden;

Fig. 7 ein prinzipielles Schaltbild eines Stromversorgungssystems unter Verwendung der Erfindung.

Das Flußdiagramm gemäß Fig. 1 gibt eine Übersicht über die selbsttestenden Schloß- und Schlüsselmerkmale der Steuereinheit gemäß der Erfindung. Auf dieses Flußdiagramm wird bezuggenommen bei der Erörterung der Steuereinheit gemäß Fig. 2, um die Abhängigkeit zwischen den E.lementen bei der Beschreibung dieses Betriebs klarer darstellen zu können.

Wie aus dem Block 10 gemäß Fig. 1 hervorgeht, wird die Steuereinheit 11 initialisiert, wenn immer diese an die Stromversorgung angeschlossen wird. Das Auftreten der Versorgungsspannung V an dem Netzwerk aus dem

C C

Widerstand R und dem Kondensator C löst einen Spannungsimpuls aus, um den Eingang des Binärzählers 32 zurückzu-

WS327P-2498 stellen. Damit

stellen. Damit wird auch der Ausgang des Binärzählers 32 zurückgestellt, so daß eine binäre Eins an die Datenleitung 3A- abgegeben wird. Dadurch wird ein ROM-Speicher 36 durch die binäre Eins auf der Datenleitung 34 in die erste Ausgangsposition indiziert. Der ROM-Speicher enthält zwei Sätze von digital bodierten Daten, eine Anzahl von Basiswörtern und eine Anzahl von Schlüsselwörtern. Die Basiswörter werden von dem Mikroprozessor 42 der Steuereinheit zur Festlegung der bestimmten vorprogrammierten Selbstprüfroutine benutzt, welche auszuführen ist. Die Schlüsselwörter werden dazu benutzt, um festzustellen, ob das Ergebnis der Selbstprüfroutine zufriedenstellend ist. Nach der Initialisierung erscheinen das erste Basiswort auf der Datenleitung 38 (Daten A) und das erste Schlüsselwort auf der Datenleitung 40 (Daten B).

Aus Block 12 gemäß Fig* 1 geht hervor, daß der nächste Schritt des Mikroprozessors 42 darin besteht, das Basiswort auf der Datenleitung 38 zu lesen. Dieses Basiswort besteht typischerweise aus acht Bits und identifiziert die vorprogrammierte Selbstprüfroutine, weiche vom Mikroprozessor auszuführen ist. Die Selbstprüfroutine verwendet das Basiswort in der Folge der Überprüfungen in einer solchen Weise, daß eine Satzzahl von Bitadressen, typischerweise vier, ihren Wert bezüglich des Basiswortes beim Start ändert. Wie aus Block 14 gemäß Fig. hervorgeht, ergibt sich aus dieser Prüfsequenz ein als Schlüsselwort #1 bezeichnetes Datenkontrollwort, welches nach einer Zeit T. auf der Datenleitung 48 (Daten C) erscheint. Zu diesem Zeitpunkt steht das Schlüsselwort #1 am Ausgang des Mikroprozessors auf der Datenleitung 48 zur Verfügung und gibt den Mikroprozessor für weitere Eingangssignale vom System frei,

WS327P-2498 welche über

welche über die Datenleitung 44 zugeführt werden. Der Mikroprozessor kann damit die vorgesehene Systemkontrollfunktion ausführen und ein Steuersignal über die Datenleitung 46 abgeben.

Ein Komparator 50 vergleicht das vom Mikroprozessor erzeugte Schlüsselwort #1 auf der Datenleitung 48 (Daten C) mit dem vom ROM-Speicher 36 über die Datenleitung 40 (Daten B) empfangenen Schlüsselwort. Dieser Vergleich findet nach dem Flußdiagramm gemäß Fig. 1 im Block 16 statt. Wenn die Schlüsselwörter auf den Datenleitungen 40 und 48 nicht äquivalent sind, ergibt sich aus Block des Flußdiagrammes, daß das Ausgangssignal des Komparators 50, welches auf der Datenleitung 52 wirksam ist, keine Änderung erfahren hat. Entsprechend den Blöcken 20 und 22 wird der ROM-Speicher 36 nicht indiziert und der Ausgang über die Leitung 72 der Steuereinheit auf einen vorbestimmten Zustand verriegelt, welcher beim Ausführungsbeispiel eine logische Null ist. Die Details des Verriegelungsmechanismus werden anhand der nachfolgenden Schaltung erläutert.

Wenn die Schlüsselwörter auf den Leitungen 40 und 48 äquivalent sind, ändert der Komparator 50 seinen ausgangsseitigen Zustand von einer logischen Null auf eine logische Eins, welche über die Datenleitung 52 abgegeben wird. Dies veranlaßt die Rückkopplungsschaltung 54, mit dem monostabilen Impulsgenerator 56 und einem Binärzähler 32 den ROM-Speicher 36 nach der Zeit T. zu indizieren, so daß das nächste Basiswort auf der Datenleitung 38 und das nächste Schlüsselwort auf der Datenleitung erscheint. Sobald dies der Fall ist, sind die Schlüsselwörter auf den Datenleitungen 40 und 48 nicht mehr

WS327P-2498 äquivalent, so

äquivalent, so daß der Ausgang des Komparators 50 auf eine logische Null zurückfällt. Diese Folge geht aus den Blöcken 24, 26 und 28 des Flußdiagramms gemäß Fig. hervor. Zum gleichen Zeitpunkt verarbeitet der Mikroprozessor die nächste Selbstprüfroutine entsprechend dem Basiswort auf der Datenleitung 38.

Der Mechanismus, welcher in der Rückkopplungsschaltung 54 Verwendung findet, um den ROM-Speicher 36 zu indizieren, erfordert, eine weitere Erläuterung. Wenn das Ausgangssignal des Komparators auf der Datenleitung 52 von der binären Null zur binären Eins wechselt, triggert dieses den Impulsgenerator 56 und erzeugt einen Impuls von der Dauer T. auf der Datenleitung 58. Durch die Hinterflanke dieses Impulses wird der Binärzähler 32 auf einen neuen Stand gebracht. Deshalb ändert sich nach der Zeit T. das Signal auf der Da.tenleitung 34 auf die nächste binäre Zahl und entsprechend wird der ROM-Speicher 36 indiziert.

Wenn sich auf den Datenleitungen 38 und 40 eine Signaländerung als Resultat der Indizierung des Speichers 36 ergibt, wird das alte Schlüsselwort immer noch am Ausgang des Mikroprozessors auf der Datenleitung 48 festgehalten. Damit sind die Schlüsselwörter auf den Datenleitungen 40 und 48 nicht mehr länger äquivalent, so daß das Ausgangssignal des Komparators auf der Datenleitung 52 in eine binäre Null übergeht. In diesem Zustand verbleibt das Signal, bis der Mikroprozessor die nächste Selbstprüfroutine durchlaufen hat und ein neues Schlüsselwort über die Datenleitung 48 nach der Zeit T. zur Verfügung stellt. Wenn dieses Schlüsselwort äquivalent zu dem Schlüsselwort auf der Datenleitung 40 ist, ergibt sich

WS327P-2498 Ausgang des

am Ausgang des Komparators erneut eine Signaländerung von der binären Null zur binären Eins. Über die Rückkopplungsschaltung 44 wird der ROM-Speicher 36 erneut auf den neuesten Stand gebracht.

Daraus ergibt sich, daß auf der Ausgangsleitung 52 des Komparators das binäre Signal nach jedem Zeitintervall T. sich ändert, solange der Mikroprozessor fortfährt, erfolgreich Selbstprüfroutinen zu durchlaufen und korrekte Schlüsselwörter anbietet. Als Ergebnis erhält man eine Rechteckschwingung mit der Frequenz 1/2T., wie sie aus Fig. 3 als Schwingungsform 52 hervorgeht. Auch der Signalverlauf der auf der Datenleitung anliegenden Impulsfolge ist in Fig. 3 dargestellt, wobei man erkennt, daß der vom monostabilen Impulsgenerator abgegebene Impuls mit entgegengesetzter Polarität und gleichem Zeitintervall T. verläuft. In der Darstellung gemäß Fig. 3 wird die Steuereinheit zum Zeitpunkt T- initialisiert. Der Mikroprozessor gibt ausgangsseitig ein korrektes Schlüsselwort zum Zeitpunkt T. ab, so daß der Speicher zum Zeitpunkt 2T. auf neuesten Stand gebracht wird. Ein zweites korrektes Schlüsselwort wird vom Mikroprozessor zum Zeitpunkt 31*. geliefert.

Die Reckteckschwingung auf der Datenleitung 52, welche sich in Folge von korrekt durchlaufenden Selbstprüfroutinen und eines erfolgreichen Vergleichs der Schlüsselwörter ergibt, wird an die Steuereinheit 60 angelegt. Diese Schaltung umfaßt einen Verstärker 62 und ein Bandfilter 64, dem ausgangsseitig ein Vollweggleichrichter 66 nachgeschaltet ist, um ein Gleichstromsignal ν_χ auf der Datenleitung 68 auszulösen. Beim Vorhandensein eines positiven Gleichstromsignals auf der Datenleitung 68 wird der Ausgang der Steuereinheit,wie in Block 30 gemäß Fig. 1 angedeutet, freigegeben, um die positiven

WS327P-2498 Spannungssignale auf

Spannungssignale auf den Datenleitungen 46 zur ausgangsseitigen Datenleitung 72 des UND-Gatters 70 zu übertragen. Über die Datenleitung 72 stehen die Ausgangssignale für alle Kontrollfunktionen zur Verfügung, welche der Mikroprozessor aufgrund der ihm über die Datenleitung 44 zugeführten Signale ausführt. Es ist offensichtlich, daß der Mikroprozessor eine Vielzahl von ausgangsseitigen Leitungen haben kann, denen entsprechend eine Vielzahl von UND-Gattern nachgeordnet ist, um auf der ausgangsseitigen Datenleitung 72 gleichzeitig eine Vielzahl von Steuersignalen zur Verfugung zu stellen.

Damit die Steuereinheit gemäß der Erfindung in der Lage ist, alle Systemfunktionen selbsttätig zu überprüfen, müssen Interface-Schaltungen vorgesehen werden. Der Mikroprozessor 42 empfängt über die Datenleitung und sendet über die Datenleitung 76 selbst Prüfsignale, um den Zustand dieser Schaltungen abzuschätzen. Beispiele solcher Interface-Schaltungen sind in den Fig. 4, 5 und 6 dargestellt.

In Fig. 4 ist eine Interface-Schaltung gezeigt, welche als Ersatz für das UND-Gatter 70 der Fig. 2 Verwendung finden kann, wenn die an die Last anzulegende Spannung im Ruhezustand Null, jedoch größer als eine Minimumspannung V_oist, wenn die Steuereinheit die Interface-Schaltung erregt oder wenn die Steuereinheit ausfällt. Unter normalen Bedingungen, d. h. im Ruhezustand, ist die Versorgungsspannung V_{cc wirksam>
jedocn sind die} Transistoren Q1 und Q2 nicht leitend. Um den Betriebszustand dieser Schaltung zu überprüfen, würde die Steuereinheit bei einer Selbstprüfroutine gleichzeitig die Transistoren Q1 und Q2 über die Datenleitungen 76 und

WS327P-2498 46 in den

46 in den leitenden Zustand schalten und die Spannung V. an der Last ausmessen. Danach werden die Transistoren Q1 und Q2 gleichzeitig abgeschaltet und die Lastspannung erneut gemessen. Der Mikroprozessor der Steuereinheit kann derart programmiert sein, daß er diese zwei Spannungsmessungen dazu benutzt, um ein Ausfallen der Interface-Schaltung oder der Last festzustellen. Ein Analog/ Digitalwandler 7Θ wird dazu benutzt, um die Lastspannung in ein digitales Signal umzuwandeln, das vom Mikroprozessor verarbeitet werden kann.

Wenn die Steuereinheit ausfällt, wird die Spannung V_x Null. Durch eine geeignete Auswahl der Widerstandswerte kann dafür gesorgt werden, daß die Lastspannung V. einen Wert annehmen muß, der größer als V_n ist, selbst wenn einer der beiden Transistoren Q1 oder Q2 bzw. beide nicht leitend werden oder als Kurzschluß wirken. Wenn die Steuereinheit richtig arbeitet, kann sie ihre Kontrollfunktion ausführen und eine Spannung an die Last anlegen, in dem der Transistor Q2 eingeschaltet wird und der Transistor Q1 abgeschaltet bleibt.

In Fig. 5 ist eine Interface-Schaltung dargestellt, welche anstelle des UND-Gatters 70 gemäß Fig. 2 verwendet werden kann, wobei eine Spannung V1 im Ruhezustand an der Last wirksam ist und abgeschaltet werden muß, wenn die Steuereinheit ausfällt. Im Ruhezustand ist der Transistor Q4 eingeschaltet und der Transistor Q3 abgeschaltet. Beim ordnungsgemäßen Funktionieren der Steuereinheit kann die Spannung V1 abgeschaltet werden, indem beide Transistoren Q3 und Qk in den nicht leitenden Zustand gesteuert werden.

WS327P-2498 Eine Selbstprüfroutine

Eine Selbstprüfroutine kann diesen Betrieb der Schaltung überprüfen, indem beide Transistoren Q3 und Q4 eingeschaltet und die Spannung V- gemessen wird» Danach wird der Transistor Q4 abgeschaltet, wobei der Transistor Q3 eingeschaltet bleibt und die Spannung V. erneut gemessen wird. Die Ergebnisse der Spannungsmessungen werden in digitale Signale mit Hilfe des Analog/Digitalwandlers 80 umgeformt. Aufgrund dieser beiden Spannungsmessungen ist es offensichtlich, daß der Mikroprozessor der Steuereinheit für das Erkennen von Fehlern in der Interface-Schaltung programmierbar ist. Wenn die Steuereinheit ausfällt, geht die Spannung V_x auf Null zurück, womit auch die Lastspannung V₁ auf Null geht.

In Fig. 6 ist eine weitere Interface-Schaltung dargestellt, welche anstelle des UND-Gatters 70 gemäß Fig. 2 verwendet werden kann, und bei der die Lastspannung V, normalerweise Null ist, jedoch auf Null bleiben muß, wenn die Steuereinheit ausfällt. Da durch den Ausfall der Steuereinheit die Spannung V_x auf Null geht, ist es offensichtlich, daß dies eine Verringerung der Spannung V, auf Null mit sich bringt, da keine Spannung an die Schaltung angelegt wird. Diese Spannung wird über die Datenleitung 74 nach einer Umwandlung in ein digitales Signal durch den Analog/Digitalwandler erfaßt. Wenn die Steuereinheit richtig funktioniert, kann die zugeordnete Steuerfunktion durch das Einschalten entweder des Transistors Q5 oder Q6 ausgeführt werden. Die Selbstprüfroutine für diese Schaltung ist identisch mit der Selbstprüfroutine der Interface-Schaltung gemäß Fig. 4.

In Fig. 7 ist schematisch eine Ausführungsform der Erfindung für ein Stromversorgungssystem mit drei unab-

WS327P-2498 hängigen Generatoren

hängigen Generatoren 100, 102 und 104 dargestellt. Die Steuereinheiten 106, 108 und 110 für die Generatoren und die Steuereinheit 112 für den Stromversorgungsbus überwachen das System und stellen sicher, daß die erforderliche Leistung über den rechten Bus 114 und den linken Bus 116 unter Normalbedingungen abgegeben wird und ebenso wenn ein einzelner Schaltkreis ausfällt. Die Schalter 118, 120 und 124 sind im Ruhebetrieb geschlossen, während die Schalter 122 und 126 im Ruhebetrieb offen sind. Deshalb liefert unter normalen Bedingungen der Generator 100 seine Leistung an den linken Bus 116 und der Generator 104 seine Leistung an den rechten Bus 114.

Jede Steuereinheit in der Schaltung gemäß Fig. 7 ist entsprechend der Steuereinheit gemäß Fig. 2 aufgebaut. Die Steuereinheit 106 überwacht den Betrieb des Generators 100 über die Datenleitung 128. Die Verdrahtung zwischen Masse und dem linken Bus 116 wird durch Vergleich der durch die Stromwandler 130, 132 und 134 gemessenen Ströme überwacht. Wenn die Parameter auf der Datenleitung 128 ein Ausfallen des Generators erkennen lassen, ist der von den Stromwandlern 130, 132 und 134 gemessene Strom nicht gleichförmig. Die Selbstprüfroutine der Steuereinheit 106 stellt ein Ausfallen dieser Steuereinheit fest. Damit wird die Steuereinheit 106 in einen Zustand gebracht, in welchem der Schalter 118 geöffnet und die Steuereinheit 112 über die Datenleitung 136 davon unterrichtet wird, daß ein Fehler aufgetreten ist. Die Steuereinheit reagiert darauf durch ein Schließen des Schalters 122, so daß der Generator 102 nunmehr die Leistung zum linken Bus 116 liefert.

WS327P-2498 Die Steuereinheit

Die Steuereinheit 108 überwacht die Funktion des Generators 102 über die Datenleitung 138. Das Verdrahtungsnetzwerk zwischen Masse und dem linken Bus 116 wird durch die Steuereinheit 108 überwacht, indem der Strom mit den Stromwandlern 140, 142 und 144 gemessen wird. Ein Ausfall des Generators 102 bzw. ein Fehler im zugeordneten Verdrahungsnetzwerk oder ein Ausfall der Steuereinheit 108 bewirkt, daß der Schalter 124 geöffnet wird und die Steuereinheit 112 über die Datenleitung 146 von diesem Ausfall erfährt.

Die Steuereinheit 110 arbeitet entsprechend der Steuereinheit 106, jedoch ist sie für die überwachung des rechten Bus 114 vorgesehen. Die Funktion des Generators 104 wird über die Datenleitung 148 überwacht, wogegen das Verdrahtungsnetzwerk zwischen Masse und dem rechten Bus 114 über die Stromwandler 150, 152 und 154 erfaßt wird. Ein Ausfallen des Generators 104 bzw. des dazugehörigen Verdrahtungsnetzwerkes oder der Steuereinheit 110 bewirkt das Öffnen des Schalters 120 und eine Benachrichtigung der Steuereinheit 112 von dem Ausfall über die Datenleitung 156. Die Steuereinheit 112 reagiert darauf mit dem Schließen des Schalters 126, so daß nunmehr der Generator 102 die Leistung zum rechten Bus 114 liefern kann.

Die Steuereinheit 112 überwacht den Strom mit Hilfe der Stromwandler 158 und 160, um festzustellen, ob der Schalter 122 oder der Schalter 126 geschlossen ist. Die Stromwandler 162, 164 und 166 werden gleichzeitig überwacht und sind derart angeschlossen, daß jeder Ausfall in der Busverdrahtung zwischen den Transformatoren ein entsprechendes Signal in der Steuereinheit

WS327P-2498 auslöst, um

auslöst, um anzudeuten, daß eine Maßnahme notwendig ist.

Aus der vorstehenden Beschreibung geht hervor, daß die Leistung auf dem rechten bzw. linken Bus im normalen Ruhebetrieb und nach einem Ausfall irgendeiner Komponenten in dem System aufrechterhalten werden kann. Zwei voneinander unabhängige Ausfälle könnten den Verlust der Leistung an zumindest einem dieser Buse verursachen. Das dargestellte System kann durch weitere Generatoren und Steuereinheiten vergrößert werden, um entsprechend einen Schutz gegen Mehrfachausfälle vorzusehen. Eine solche Erweiterung liegt im Rahmen der üblichen handwerklichen Tätigkeit des Fachmanns.

Im Rahmen der Erfindung könnten auch von der Erläuterung abweichende Interface-Schaltungen Verwendung finden, welche eine Selbstüberprüfung ermöglichen. Die Verwendung eines Schalters in Serie zu der Widerstands/Kondensatorschaltung in Fig. 1 ermöglicht eine Rückstellung von Hand. Auch die Verwendung einer andersgestalteten Rückkopp] ungsschaltung kann dem Fachmann zweckmäßig erscheinen .

WS327P-2498

/3

Leerseite

Claims

Patentansprüche

Λ J Elektrisches Stromversorgungssystem mit einer Vielzahl von Generatoren sowie einer Vielzahl von individuell in Serie zu den Generatoren liegenden Schaltern und ferner einer Vielzahl von Leistungsbuse, auf welche die Generatoren in Abhängigkeit von zumindest einer Steuereinheit arbeiten,

dadurch gekennzeichnet,

- daß je eine auf Fehlertaleranzen ansprechende Steuereinheit (106, 108, 110) jedem Generator (100, 102, 104) zugeordnet ist,

- daß Einrichtungen (130 bis 166) zum überwachen des Generatorbetriebs und zum selektiven Betätigen von zumindest einem der Schalter (118 bis 126) vorhanden sind, um den fehlerhaften Generator von einem oder mehreren der Leistungsbuse ab- und einen anderen Generator zur" Aufrechterhaltung der Stromversorgung an diese anzuschalten,

- und daß jede der Steuereinheiten (106, 108, 110) Einrichtungen umfaßt, um den Betriebszustand einer

FS/B

zugeordneten Steuereinheit selbsttätig zu überprüfen und selektiv Schalter zu betätigen, wenn eine Fehlerfunktion festgestellt wird, so daß sowohl die fehlerhafte Steuereinheit als auch der fehlerhafte Generator von einem oder mehreren der Leistungsbuse abschaltbar und eine andere Steuereinheit sowie ein anderer Generator zuschaltbar ist.
2. Stromversorgungssystem nach Anspruch 1, dadurch gekennzeichnet,

- daß jede auf Fehlertoleranzen ansprechende Steuereinheit (106, 108, 110) einen Rechner (42) umfaßt, der eingangsseitig die Fehlertoleranzen kennzeichnenden Informationssignale empfängt und ausgangsseitig digitalisierte Informationssignale abgibt,

- daß der Rechner (4-2) in der Lage ist, die empfangenen Informationssignale entsprechend einem vorgegebenen Programm zu verarbeiten, um daraus die digitalen,ausgangsseitig abgegebenen Informationssignale zu erzeugen,

- daß der Rechner (42) in der Lage ist, eine Selbstprüfroutine zu durchlaufen, um ein digitales Schlüsselwort am Ende jeder Prüfprogrammfolge zu erzeugen, wobei das Schlüsselwort zur Codierung der Prüfprogrammergebnisse Verwendung findet,

- daß ein Speicher (36) vorhanden ist, in welchem vorgegebene digital codierte Schlüsselwörter und in einer vorgegebenen Folge Befehle für die Selbstprüfroutine gespeichert sind, der ausgangsseitig diese Schlüsselworte und die Befehle der Selbstprüfroutine zur Verfügung stelLt,

- daß ein Komparator (50) die vorgegebenen digital codierten Informationen vom Speicher mit den digital codierten Schlüsselwörtern vom Rechner vergleicht und

WS327P-2498

ausgangsseitig ein Signal abgibt, wenn diese miteinander äquivalent sind,

- daß die vom Komperator (50) abgegebenen Ausgangssignale eine Ausgangsstufe (60) ansteuern, wenn die miteinander verglichenen Signale fcoincident sind,

- daß Einrichtungen den Speicher derart initialisieren, daß ein bestimmtes vorgegebenenes digitales Signal am Ausgang des Speichers erscheint, wenn die elektrische Leistung an der Steuereinheit anliegt und daß ein Rückkopplungsnetzwerk (54-) vorhanden ist, welches in Abhängigkeit von dem Ausgangssignal des Komparators (50) den Speicher (36) ansteuert, um das vorgegebene digital bodierte Signal zu indizieren.
3. Stromversorgungssystem nach Anspruch 2, dadurch gekennzeichnet,

- daß die Einrichtungen zum Initialisieren des Speichers ein zwischen eine externe elektrische Stromversorgungsquelle und Masse liegendes Netzwerk umfassen,

- daß der Speicher mit einem Rückstelleingang versehen ist,

- und daß das Netzwerk einen mit einem Kondensator

in Serie geschalteten Widerstand umfaßt, deren Verbindungspunkt mit dem Rückstelleingang für den Speicher verbunden ist.
4. Stromversorgungssystem nach Anspruch 3, dadurch gekennzeichnet,

- daß in Serie zu dem Widerstand und dem Kondensator

ein Schalter im Netzwerk angeordnet ist, um die Steuereinheit von Hand zurückzustellen.

WS327P-2498
5. Stromversorgungssystem nach Anspruch 2, dadurch gekennzeichnet,

- daß die einzelnen Schritte der Prüfprogrammfolge durch die Information bestimmt werden, welche in den gespeicherten Befehlen der Selbstprüfroutine enthalten ist.
6. Stromversorgungssystem nach Anspruch 2, dadurch gekennzeichnet,

- daß das Rückkopplungsnetzwerk (54) einen monostabilen Impulsgenerator (56) umfaßt, der Spannungsimpulse erzeugt, wenn der Komparator (50) anzeigt, daß ein bestimmtes digital bodiertes Signal vom Speicher gleich dem digital !codierten Ausgangssignal des Rechners ist,

- und daß im Rückkopplungsnetzwerk ferner ein binärer Zähler (32) enthalten ist, welcher von den Ausgangsimpulsen des Impulsgenerators angesteuert wird, um damit die übertragung des bestimmten digital (codierten Signals zum Komparator (50) und zum Rechner (52) zu veranlassen.
7. Stromversorgungssystem nach Anspruch 6, dadurch gekennzeichnet,

- daß der monostabile Impulsgenerator (56) einen Ausgangsimpuls liefert, dessen Impulsbreite gleich dem Zeitintertall ist, welches zwischen dem Empfang der Befehle der Selbstprüfroutine und der Abgabe des Schlüsselwortes durch den Rechner ist, so daß sich am Ausgang des Komparators eine Rechteckschwingung ergibt, wenn die nacheinander vom Rechner erzeugten Schlüsselworte äquivalent zu den Schlüsselworten vom Speicher sind.
8. Stromversorgungssystem nach Anspruch 2, dadurch gekennzeichnet,

WS327P-24-98

- daß die Ausgangsschaltung einen Verstärker (6?) zum Verstärken der Ausgangssignale des Komparators (50) umfaßt,

- daß dem Verstärker ein Bandpaßfilter (64) nachgeschaltet ist,

- daß die Ausgangssignale vom Bandpaßfilter in einem Vollweggleichrichter (66) gleichgerichtet werden,

- und daß die gleichgerichteten Signale einer Vergleichsschaltung zugeführt werden, welche in Abhängigkeit von der Gleichspannung die digital kodierten Ausgangssignale des Rechners übertragen.
9. Stromversorgungssystem nach Anspruch 8, dadurch gekennzeichnet,

- daß die Vergleichsschaltung ein logisches Gatter ist.

WS327P-2498