專利名稱：安全信號發(fā)生裝置的制作方法
技術領域：
本發(fā)明涉及一種按各項獨立權利要求所述類的安全信號發(fā)生裝置。
背景技術：
在當今的各種系統(tǒng)中，安全攸關的信號例如點火和啟動器開關的端子控制信號被直接接到信號接收器上。但如果一個安全攸關的信號通過一個微控制器來產生，則必須保證它的安全攸關的輸出信號在系統(tǒng)中的某個元件發(fā)生簡單故障時不轉換成一個錯誤狀態(tài)或不再可能由一個狀態(tài)轉換成另一個狀態(tài)。

發(fā)明內容
本發(fā)明的目的是通過一個微控制器提高信號產生的安全性。這個目的是通過各項獨立權利要求的特征來實現的。
按本發(fā)明的安全信號發(fā)生裝置包括一個控制裝置，一個控制信號輸入該控制裝置中。該控制裝置根據該控制信號產生一個用于控制一個負荷的控制信號。根據本發(fā)明，設置了若干緊急運行裝置，它們在緊急狀態(tài)下取代控制裝置產生控制信號。通過控制信號的冗余產生，提高了整個系統(tǒng)的安全性，因為在控制裝置發(fā)生故障的情況下，緊急運行裝置總是立即投入，以產生緊急狀態(tài)下的控制信號。特別是，這樣就保證了在安全至關重要的信號的情況下，例如在點火和啟動器開關的端子控制信號的情況下的正確控制。在系統(tǒng)中的一個元件發(fā)生故障時，該控制信號不轉換成一個錯誤狀態(tài)，也不會轉換成另一個狀態(tài)。為此，該控制信號最好也輸入緊急運行裝置中，這些緊急運行裝置在緊急狀態(tài)下從該控制信號產生該控制信號。
在一個合適的改進方案中，設置了啟動緊急運行裝置的控制裝置，當控制裝置的故障被發(fā)現后，該控制裝置便啟動緊急運行裝置。只有在緊急情況下才通過該緊急運行裝置轉換為緊急運行和相應的控制。但在正常運行中，該控制裝置繼續(xù)產生控制信號。這樣就可減少緊急運行裝置的復雜性，因為在正常運行中，該控制裝置覆蓋了通常比較復雜的功能。
其它合適的改進方案可從其它各項從屬權利要求和說明書中得知。


在附圖中示出了本發(fā)明的一些實施例并在下面對其進行詳細說明。
圖1至3表示被按本發(fā)明安全信號發(fā)生裝置的幾個實施例的方塊圖。
具體實施例方式
一個控制信號12輸入一個控制裝置10和一個緊急運行裝置30中?？刂蒲b置10產生一個輸出信號13，該輸出信號輸入緊急運行開關裝置32中。一個由控制裝置10產生的觸發(fā)信號18由一個監(jiān)控裝置20進行處理。此外，控制裝置10產生一個用于緊急運行裝置30的緊急運行控制信號15。此外，緊急運行裝置30收到一個由監(jiān)控裝置20產生的監(jiān)控輸出信號22。緊急運行裝置30產生一個緊急運行輸出信號34和一個緊急運行控制信號36。緊急運行開關裝置32可通過緊急運行控制信號36改變它的開關位置。在一個開關位置中，緊急運行開關裝置32把控制裝置10的輸出信號13作為控制信號14轉發(fā)給一個開關裝置16。在另一個開關位置中，緊急運行開關裝置32把緊急運行裝置30的緊急運行輸出信號34作為控制信號14轉發(fā)給開關裝置16。用這個通過控制信號14接通的開關裝置16可以啟動或停止一個安全攸關的元件。
在圖2所示實施例中，控制信號12和一個由監(jiān)控裝置20產生的復位信號24輸入控制裝置10中?？刂蒲b置10則把輸出信號13轉發(fā)給緊急開關裝置32、把觸發(fā)信號18轉發(fā)給監(jiān)控裝置20以及把緊急控制信號15轉發(fā)給緊急運行裝置30。如已結合圖1的實施例所述，緊急運行裝置30把緊急運行信號34和緊急控制信號36發(fā)送給緊急運行開關裝置32，該裝置32的輸出信號作為控制信號14輸入控制用的開關裝置16。還設置了第二控制裝置40，該控制裝置通過一條通信線路44與控制裝置10交換數據。第二控制裝置40的緊急運行控制信號42被發(fā)送給緊急運行裝置30。
在圖3所示實施例中，第一控制信號54既到達第一反相器51，又到達第一開關裝置58。用第一反相器51的輸出信號控制第四個開關裝置64。第二個控制信號56既輸入第二個開關裝置60，又輸入第二個反相器52。第二反相器52的輸出信號作為第三個開關裝置62的控制信號。象第二開關裝置60和第四開關裝置64那樣，第一開關裝置58和第三個開關裝置62也是串聯的。第一開關裝置58和第三開關裝置62與串聯的第二和第四開關裝置60和64并聯。第三和第四開關裝置62和64的共同電位(例如)與接地線連接，第一和第二開關裝置58和60的共同電位(例如)與負荷50連接。為了獲得用來控制負荷50的信號，設置了一個反饋線路66。
圖1所示的實施例例如用于汽車的點火和啟動器開關的安全信號的發(fā)生。所要求的點火狀態(tài)的相應信號作為控制信號12既到達控制裝置10，又到達緊急運行裝置30。控制裝置10必要時在借助其它信息的情況下處理輸入的控制信號12。在控制裝置10中，例如實現啟動/停止自動操作，在存在一定的條件時，自動停止或啟動(例如負荷50的)點火。所以控制裝置10根據控制信號12產生一個輸出信號13，在正常運行狀態(tài)下，用該輸出信號控制開關裝置16例如進行點火的啟動或停止。
因為上述點火涉及一個安全攸關的功能，所以當控制裝置10不正常工作時，控制裝置16也必須正確控制。為此，按本發(fā)明設置了一個具有相應緊急運行開關裝置32的緊急運行裝置30。在控制裝置10發(fā)生故障的情況下，緊急運行裝置30這樣控制緊急運行開關裝置32，即緊急運行開關裝置32不再用控制裝置10的輸出信號13作為開關裝置16的控制信號14接通回路，而是緊急運行輸出信號34接通回路。在緊急運行輸出信號34時，涉及控制信號12的相應狀態(tài)。在最簡單的情況中，控制信號12通過緊急運行裝置30簡單地作為緊急運行輸出信號34接通回路。但也可在緊急運行裝置30中并入一個附加的邏輯電路，該邏輯電路根據一定的條件把控制信號12轉換成緊急運行輸出信號34。
當識別出控制裝置10的有錯誤的運行時，緊急運行開關裝置32轉換，以便把緊急運行輸出信號34作為控制信號進行發(fā)送。緊急運行裝置30的緊急運行功能可自動啟動控制裝置10或監(jiān)控裝置20。為此，在控制裝置10中并入一自診斷功能，以便監(jiān)控自身的功能作用。如果自動裝置10識別出一個自身的故障情況，它便通過緊急控制信號15向緊急運行裝置30發(fā)出一個相應的信號，以便啟動上述緊急運行功能。為控制裝置10的附加的或另外的監(jiān)控而設置了該監(jiān)控裝置20。該監(jiān)控裝置例如是一個所謂的監(jiān)視器。控制裝置10向監(jiān)控裝置20發(fā)出一個觸發(fā)信號18。監(jiān)控裝置20檢驗輸入的觸發(fā)信號18是否與預期的觸發(fā)信號一致。作為一種故障情況的判據例如可考慮觸發(fā)信號18的頻率偏移。當監(jiān)控裝置20識別出觸發(fā)信號18與預期的正常狀態(tài)存在明顯的差別時，它便接通出故障的控制裝置10并用一個相應的監(jiān)控輸出信號22啟動緊急運行裝置30的緊急運行功能。緊急運行裝置30通過緊急運行控制信號36使緊急運行輸出信號34作為開關裝置16的控制信號14接通回路，這已在上面進行了描述。但在圖1的實施例中，監(jiān)控裝置20不使控制裝置10復位，而只是控制緊急運行裝置30的緊急運行功能。
在圖2的實施例中，作為控制裝置10的另一個監(jiān)控裝置設置了第二個監(jiān)控裝置40。借助于必要時在第一控制裝置10和第二控制裝置40之間通過通信線路44進行的雙向通信，第二控制裝置40可對控制裝置10的功能進行監(jiān)控。為此，例如第二控制裝置40可向控制裝置10發(fā)送測試信號，而后者則反饋相應的應答信號。第二控制裝置40根據輸入的應答信號確認控制裝置10是否仍在正確工作。如果控制裝置10的輸入的應答與預期的存在偏差，則第二控制裝置40接通故障運行并通過緊急運行控制信號42啟動寄存在緊急運行裝置30中的緊急運行。該緊急運行與在第一實施例時所述的一致，可參考該處的相關敘述。第二控制裝置40基本上與第一實施例的監(jiān)控裝置20的功能一致。所以圖2的監(jiān)控裝置20擺脫了這個任務并可承擔所謂的監(jiān)視器功能。監(jiān)控裝置20又對觸發(fā)信號18的明顯的、不希望的偏差進行監(jiān)控。如果出現了這種情況，則監(jiān)控裝置20向控制裝置10發(fā)送一個相應的復位信號24。于是控制裝置10重新啟動。第二控制裝置40識別這個復位并最遲啟動緊急運行裝置30的緊急運行功能。如圖1實施例所述，控制裝置10也可自動啟動緊急運行裝置30的緊急運行功能。當控制裝置10自動識別出有錯誤的工作時和/或當它探測出第二控制裝置40的一個故障時，就可能是這種情況。另一種辦法是，在達到復位信號24的預定數目后，通過監(jiān)控裝置20釋放緊急運行裝置30的緊急運行功能。這時監(jiān)控裝置20的所謂監(jiān)視器功能保持不變。
為了進一步提高安全性，開關裝置16可具有圖3所示的結構?？刂蒲b置10產生兩個信號，即第一和第二控制信號54、56來代替唯一的輸出信號13。這兩個控制信號54、56中只有一個信號必須是確定故障的(已如上述)。不確定故障的那個控制信號在故障情況下必須只具有一定的狀態(tài)。此外，控制裝置10接收和處理從反饋線路66分接的信號。為了保證開關裝置16的可靠斷開，還有第三個開關裝置62與第一個開關裝置58串聯。例如當第一開關裝置58不再可能斷開時，還可通過第三開關62的斷開實現要求的輸出信號。但當第一開關裝置58不再可能接通時，要求的輸出狀態(tài)可通過第二和第四開關裝置60、64的接通來實現。
在基本狀態(tài)中，即在斷開負荷50的情況下，第一和第二控制信號54、56具有邏輯零的狀態(tài)。在與兩個反相器51、52共同作用的情況下，第三和第四開關裝置62、64接通。由于第一和第二開關裝置58、60繼續(xù)保持斷開，所以不接通負荷50。
當負荷50被接通時，例如在顯示的控制信號12轉換時，控制裝置10產生一個具有邏輯1電平的第二控制信號56，從而使第二開關裝置60接通。于是開關裝置16的右方路徑導電并由此接通負荷50。與此同時，控制裝置10通過反饋線路66測得負荷的狀態(tài)。在開關裝置16正常運行時，邏輯1的第二控制信號56的電平也導致負荷50的接通。
雖然負荷50接通了，但如果控制裝置10識別不出所要求的啟動，則該控制裝置轉換到一個緊急運行。為了消除故障狀態(tài)，通過將第一控制信號54變成邏輯1，使開關裝置16的左方路徑有效。于是第一開關58被接通，并由此接通負荷50。
盡管實現了相應的控制，但如果第二開關裝置60在“斷開”的正常運行中(第一控制信號54為邏輯零，第二控制信號56為邏輯零)不斷開，則這種情況也通過由反饋線路66獲得的信號來識別。在這種情況下，第一控制信號54變成邏輯1，于是第四開關裝置64斷開，從而斷開右方路徑。所以這個功能可只通過具有相應反邏輯實現。
權利要求
1.安全信號發(fā)生裝置，其具有一個控制裝置(10)，一個控制信號(12)輸入該控制裝置中，該控制裝置(10)根據控制信號(12)產生一個用于控制一個負荷(16，50)的控制信號(13，14)，其特征為，設置了緊急運行裝置(30，32)，在一種緊急運行中，該緊急運行裝置根據控制信號(12)產生控制信號(34，14)。
2.按前述權利要求任一項的裝置，其特征為，設置有用于啟動緊急運行裝置(30，32)的控制裝置(10，20，40)。
3.按前述權利要求任一項的裝置，設置了用于監(jiān)控控制裝置(10)的監(jiān)控裝置(10，20，40)。
4.按前述權利要求任一項的裝置，其特征為，在控制裝置(10)的一種不正常運行的情況下，監(jiān)控裝置(10，20，40)啟動產生控制信號(14)的緊急運行裝置(30，32)。
5.按前述權利要求任一項的裝置，其特征為，緊急運行裝置(30)至少包括一個開關裝置(32)，該開關裝置阻止或允許控制裝置(10)的控制信號(13)的傳送和/或把緊急運行裝置(30)的輸出信號(34)作為控制信號(14)進行傳送。
6.按前述權利要求任一項的裝置，其特征為，開關裝置(16)用控制信號(13，14，34)接通或斷開一個負荷(50)。
7.安全信號發(fā)生裝置，其具有一個控制裝置(10)，一個控制信號(12)輸入該控制裝置中，該控制裝置(10)根據控制信號(12)產生一個用于控制一個開關裝置(16)的控制信號(54，56)，該開關裝置接通或斷開一個負荷(50)，其特征為，設置了用于識別開關裝置(16)的一個正常的運行的識別裝置(10，66)，其中識別裝置(10，66)根據開關裝置(16)的一個正常的運行來影響控制信號(54，56)。
8.按前述權利要求任一項的裝置，其特征為，開關裝置(16)至少包括兩個并聯的開關裝置(58，62；60，64)。
9.按前述權利要求任一項的裝置，其特征為，開關裝置(16)至少包括兩個串聯的開關裝置(58，60；62，64)。
10.按前述權利要求任一項的裝置，其特征為，至少兩個控制信號(54，56)輸入開關裝置(16)中。
11.按前述權利要求任一項的裝置，其特征為，通過反饋線路(66)獲得的開關裝置(16)的輸出信號被起識別裝置作用的控制裝置(10)用來影響兩個控制信號(54，56)之一。
全文摘要
本發(fā)明涉及一種包括一個控制裝置(10)的安全信號發(fā)生裝置，一個控制信號(12)輸入該控制裝置中?？刂蒲b置(10)根據控制信號(12)產生一個用來控制一個負荷(50)的控制信號(13，14)。設置有緊急運行裝置(30，32)，在一種緊急運行中，該緊急運行裝置根據控制信號(12)產生控制信號(34，14)。
文檔編號F02D41/22GK1416503SQ01806156
公開日2003年5月7日 申請日期2001年2月15日 優(yōu)先權日2000年3月9日
發(fā)明者J·申克, V·布羅伊尼, F·施密德特, A·馬勒, K·溫策爾, A·奧維菲爾德特 申請人:羅伯特-博希股份公司