DE3322074A1

DE3322074A1 - Notlaufeinrichtung fuer mikrocomputergesteuerte systeme

Info

Publication number: DE3322074A1
Application number: DE19833322074
Authority: DE
Inventors: Wolfgang Dipl.-Ing. 7141 Möglingen Kosak
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 1982-07-23
Filing date: 1983-06-20
Publication date: 1984-01-26
Also published as: US4584645A

Description

3322U¹M

R. 182:3
8.11. 1982 Wt/Hm

ROBERT BOSCH GMBH, 7OOO STUTTGART 1

Notlaufeinrichtung für mikrocomputergesteuerte Systeme

Stand der Technik

Die Erfindung geht aus von einer Hotlaufeinrichtung nach der Gattung des Hauptanspruches.

Ss ist bekannt, zur Steuerung von Systemfunktionen Mikrocomputer zu verwenden, die aus einem oder mehreren Betriebsparametern des Systems Steuersignale zum Betätigen von Stellgliedern ableiten. In Kraftfahrzeugen werden ierartige Einrichtungen beispielsweise zum Betreiben von Einspritzanlagen, Zündanlagen, Getriebesteuerungen oder einer Leerlauffüllungsregelung verwendet.

In dem SAE-Technical Paper "Ir. 310157 ist eine mikrojomputergesteuerte Brennkraftmaschinenregelung beschrieben/ Der dabei verwendete Mikrocomputer erzeugt regelmäßige Xontrollimpuls e, die in einer Speicherschaltung auf regelmäßiges Auftreten untersucht werden. Gleichzeitig ijt eine monostabile Kippstufe vorgesehen, deren

18 256

Ausgangssignal der Einspritzanlage und der Zündeinrichtung zuführbar ist. Unterhalb einer vorbestimmten Drehzahl der Brennkraftmaschine werden die regelmäßigen Kontrcllimpulse unterdrückt, insbesondere bei der Inbetriebnahme der Brennkraftmaschine. Die Speicherschaltung sorgt dann dafür, daß der Einspritzanlage bzv. der Zündeinrichtung nicht die von der üblichen Regelung ermittelten Steuerwerte sondern eine Impulsfolge der monostabilen Kippstufe zugeführt wird.

Bei der bekannten Einrichtung wird jedoch keine Not-· lauffunktion dargestellt, da die Überwachung der regelmäßigen Impulse im wesentlichen unter einer Drehzahl wirksam ist,.die niedriger als die Leerlaufdrehzahl ist. Tritt jedoch eine .Fehlfunktiön während der Fahrt auf, müßte bei der.bekannten Einrichtung erst die niedrige Drehzahl wieder unterschritten werden und die Umschaltung auf die monostabile Kippstufe müßte durch einen erneuten Start der Brennkraftmaschine aufgehoben werden.

Vorteile der Erfindung

Die erfindungsgemäße Notlaufeinrichtung mit den kennzeichnenden Merkmalen des Hauptanspruches hat demgegenüber den Vorteil, daß eine ständige Überwachung der Mikrocomputersteuerung durchgeführt wird und bei Verschwinden der Störung in jedem möglichen Betriebszustand wieder auf die normale Regelung übergegangen wird.

Von der erfindungsgemäßen Einrichtung wird einmal ein Steuersignal für den üblichen Betrieb, zum anderen ein Notlauf signal für den Notlauf betrieb und schließlich

A 8 ?

f²⁰⁷⁴

-8.

ein Failsafe-Signal zur Erkennung eines Notfalles erzeugt. Durch unterschiedliche logische Verknüpfungen dieser Signale können unterschiedliche Vorteile für verschiedene Anwendungsfalle realisiert werden.

Bei einer ersten Ausführungsform einer logischen Verknüpfung werden bei normalen Betrieb gleichzeitig das Steuersignal und das Notlauf signal ■weitergeleitet, so daß wenigstens eines der Signale zum Betrieb des Systemes herangezogen werden kann, wenn das jeweils andere Signal nicht vorhanden ist und die Failsafe-Schaltung ebenfalls nicht ordnungsgemäß arbeitet.

Bei einer zweiten Variante einer erfindungsgemäßen logischen Verknüpfung wird hingegen das Notlaufsignal nur alternativ dann weitergeleitet, wenn die Failsafe-Schaltung einen Notfall erkennt. Hierdurch wird eine erhöhte Sicherheit in anderen Betriebsfällen erzielt und es ist wesentlich einfacher möglich, das Notlaufsignal seinerseits von Betriebsparametern abhängig zu machen, während es bei der vorstehend geschilderten ersten Variante aus Sicherheitsgründen stets kleiner sein muß als das Steuersignal für den üblichen Betrieb.

Schließlich ist noch eine dritte Variante einer erfindungsgemäßen logischen Verknüpfung vorgesehen, bei der die gesamte logische Verknüpfung durch lediglich eine einzige Diode realisiert wird, so daß ein besonders einfacher Aufbau möglich ist.

Bildet man das ote.uersignal und das Notlaufsignal jeweils als regelmäßige Impulsfolge aus, ist ein gleichzeitiges Wirksamwerden beider Signale dann unkritisch, wenn das Tastverhältnis des Notlaufsignales wesentlich kleiner als das des Steuersignales ist, so daß bei

. 3-

gleichzeitigem Auftreten das Steuersignal stets Priorität hat.

Werden Steuersignal und Notlau/signal mit einer logischen ODER-Verknüpfung zusammengeschaltet, kann eine Störung dann eintreten, wenn der das Steuersignal liefernde Ausgang des Mikrocomputers im Störungsfall Kurzschluß nach Masse hat. Diesem möglichen Fehlerfall kann dadurch begegnet werden, daß in die Zuleitung des Steuersignales ein weiterer Komparator geschaltet wird, der den Masseschluß kompensiert..

Besonders bei alternativem Weiterschalten des Steuersignales oder des Notlaufsignales. - etwa entsprechend der zweiten Varianten einer erfindungsgemäßen logischen Verknüpfung - ist es zweckmäßig, das Notlaufsignal seinerseits in Abhängigkeit von Betriebsparametern des Systems, beispielsweise der Luftmenge, der'Temperatur oder der Drehzahl einer Brennkraftmaschine einzustellen. Dann bleiben auch im Notfallbetrieb die positiven Regelungseigenschaften erhalten.

Besonders einfach und zweckmäßig ist die Erzeugung des Notlaufsignales mit einem Notlauf-Funktionsgenerator, der als monostabile Kippstufe aufgebaut ist, die von einem Bezugssignal des Systems, beispielsweise einem Zündsignal .einer Brennkraftmaschine eines Kraftfahrzeuges gesteuert wird. Dann kann die Standzeit der monostabilen Kippstufe in besonders einfacher Weise von Betriebsparametern des Kraftfahrzeuges abhängig gemacht werden.

Steuert man die Failsafe-Schaltung über einen Kondensator an, bleibt die Oszillator-Funktion oder auch automatische Rücksetzfunktion der Failsafe-Schaltung auch dann erhalten, wenn infolge einer weiteren Störung die Zuleitung der Failsafe-3chaltung einen Kurzschluß nach Masse oder ein Bezugspotential aufweist.

Schließlich wird eine besonders gute Wirkung dadurch erzielt, daß bei Auftreten eines Notfalles das Failsafe-Signal den Ausgang des Mikrocomputers, der die Kontrollimpulse liefert, auf ein Bezugspotential, beispiels weise Masse, schaltet.

Entkoppelt man schließlich den Eingang der Failsafe-Schaltung mit einer Diode, wirkt sich der Innenwiderstand des zugehörigen Ausganges des Mikrocomputers nicht auf die Schaltzeit der Singangsstufe -der Failsafe-Schaltung aus, die üblicherweise aus einem RC-Glied mit nachgeschaltetem Transistor besteht. Dadurch kann ein genügender Sicherheitsabstand zwischen den im normalen Betrieb auftretenden Regelspielen des Transistors und dem Erreichen der Schaltschwellen beim Ausbleiben der Kontrollimpulse bei gleichzeitig niedriger Reaktionszeit der Umschaltung im Notfall erzeugt werden·

Weitere Vorteile ergeben sich aus der Beschreibung und der beigefügten Zeichnung.

Zeichnung

Die Erfindung ist in der Zeichnung dargestellt und wird in der nachfolgenden Beschreibung näher erläutert. Es zeigen Figur 1 ein Blockschaltbild einer ersten Ausführungsform einer erfindungsgemäßen Notlaufeinrich-

IP 25 β

■ ^L^ Ϊ«Μ *^^^ ^MF

tung; Figur 2 ein Blockschaltbild einer zweiten Ausführung sform einer erfindungsgemäßen Notlaufeinrichtung; Figur 3 Impulsdiagramme zur Erläuterung der in Figuren 1 und 2 dargestellten Ausführungsformen; · Figur h ein detailliertes Schaltbild zur zweiten Ausführungsform gemäß Figur 2; Figur 5 eine Variation eines Notlauf-Funktionsgenerators mit Beeinflussung durch Betriebsparameter; Figur 6 Zeitverläufe von Signalen zur Erläuterung der Anordnung gemäß Figur 5; Figur T ein Schaltbild einer dritten Ausführungsform einer erfindungsgemäßen Notlaufeinrichtung; Figur 8. ein Schaltbild einer vierten Ausführungsform einer erfindungsgemäßen Notlaufeinrichtung; Figur 9 ein Detailschaltbild für die Eingangsbeschaltung einer Failsafe-Schaltung; Figur TO Zeitverläufe von Signalen zur Erläuterung der Anordnung gemäß Figur 9.

Beschreibung der Ausführungsbeispiele

In Figur 1 ist 10 ein Mikrocomputer, der zur Steuerung eines Systems, beispielsweise einer Leerlauffüllungsregelung in einem Kraftfahrzeug dient. Der Mikrocomputer 10 verfügt über einen Eingang 11 sowie zwei Ausgänge 12 und 13. Am Eingang 1 1 werden dem Mikrocomputer ¹O über eine Datenleitung 1H Signale zugeführt, die von Betriebsparametern des Systems abhän-

- gen. Bei dem genannten beispielhaften Anwendungsfall einer - Leerlauffüllungsregelung eines Kraftfahrzeuges können .diese Betriebsparameter beispielsweise die - Luf-cmenge Q, die Drehzahl η oder die Temperatur ·& sein

Am Signalausgang 12 erzeugt der Mikrocomputer 10 Steuersignale U., die zum Ansteuern von Stellglieder des Systems dienen.'Demgegenüber werden an dem wei-

teren Ausgang 13 Failsafe-Impulse U erzeugt, deren regelmäßiges Auftreten ein Kriterium für die ordnungsgemäße Funktion des Mikrocomputers 10 ist.

Die Steuersignale U. werden über ein ODER-Gatter 15 und ein UND-Gatter 16 sowie ein weiteres QDSR-Gatter '1T auf eine Klemme 18 geführt, die an eine Endstufe 19s ä.ie die Stellglieder symbolisieren soll, angeschlossen ist.

Die Failsafe-Impulse U gelangen auf eine Failsafe-Schaltung 20, die dann ein Failsafe-Signal U„„ erzeugt, wenn die Failsafe-Impulse ü nicht regelmäßig auftreten. Die Failsafe-Impulse U werden nur ausgegeben, wenn der Mikrocomputer 10 sein Programm einwandfrei durcharbeitet. Dazu sind an mehreren wichtigen Programmstellen Kontrollabfragen eingebaut, die alle positiv abgearbeitet werden müssen. Auf diese Weise wird ein Selbsttest durchgeführt, wobei ein Ausbleiben der Failsafe-Impulse U ein Maß dafür ist, daß das Programm des Mikrocomputers 10 nicht mehr regelmäßig arbeitet oder daß der Mikrocomputer 10 selbst unter Umständen ausgefallen ist. Wie das Symbol U^₁-

bereits andeutet, wird das Auftreten einer Störung bei den geschilderten Ausführungsbeispielen.durch ein logisches L-Signal angezeigt. Dieses Signal gelangt auf einen Reset-Eingang 21 des Mikrocomputers 10, dessen Logik so gewählt ist, daß bei Anliegen eines L-3ignales der Mikrocomputer 10 zurückgesetzt wird.

Sin No-tlauf-Funktionsgenerator 2U erzeugt ein NOtlaufsignal U,_T in Form einer Impulsfolge, wobei dieses Rotlaufsignal U„ zum einen dem anderen Eingang des ODER-Gatters 15 und zum. anderen einem Eingang eines 'JND-Gatters 23 zugeführt wird, dessen Ausgang mit lern anderen Eingang des ODER-

1825

Gatters 17 verbunden ist. Schließlich ist das Failsafe-Signal U__ einmal auf den anderen Eingang des UND-Gatters 16 sowie über einen Inverter 22 auf den anderen Eingang des UND-Gatters 23 geführt. Die Ausgangssignale der UND-Gatter 16, 23 sind mit U₁ bzv. U bezeichnet.

Die aus den logischen Elementen 15» 1ö, 1T₅ 22 und 23 bezeichnete Schaltungsanordnung in Figur 1'wird gesamthaft als Logik 30 bezeichnet.

Im Unterschied zum Ausführungsbeispiel gemäß Figur 1 weist das Ausführungsbeispiel gemäß Figur 2 eine abweichende Logik 31 insoweit auf, als die ODER-Verknüpfung durch das ODER-Glied 1.5 fehlt. Das Steuersignal U. ist vielmehr direkt dem UND-Gatter 16 zugeführt.

Die Logik 30 in Figur 1 sorgt dafür, daß entweder das UND-Gatter 16 (störungsfreier Betrieb) oder das UND-Gatter 23 (Notlauf) durchgesteuert ist. Im ersten Falle werden über das ODER-Gatter 15 gleichzeitig das Steuersignal U. und das Notlaufsignal U„ wirksam, während im zweiten Fall lediglich das Notlaufsignal U„ wirksam ist. Die Verknüpfung über das ODER-Gatter 15 von Steuersignal U. und Notlauf s'ignal U„ hat jedoch den Vorteil,' daß in einem denkbaren Störfall, in dem die Failsafe-Impulse U vorhanden sind, so daß kein Failsafe-Signal U„_ erzeugt wird, jedoch kein Steuersignal U. erzeugt wird, trotzdem das Notlaufsignal U„ über das durchgesteuerte UND-Gatter 16 zum Ausgang gelangt. Diesem Vorteil steht jedoch der Nachteil gegenüber, daß der genannte mögliche Störungsfall systematisch auch im Schubbetrieb bei Fahrzeugen mit Schubabschaltung auftreten kann, da dann der Mikrocomputer TO ordnungsgemäß arbeitet und Failsafe-Impulse U abgibt. Andererseits werden bei der Schubabschaltung jedoch die

3322Ü74

18 9 5 fi

- Ai+-

Steuerimpulse U- unterdrückt. Es müssen daher bei der Variante gemäß Figur 1 weitere Schaltmaßnahmen getroffen werden, die im Falle der Schubabschaltung das Notlaufsignal U unterdrücken, damit die gewünschte Schubabschaltung nicht durch das Durchschalten des Notlaufsignales über das UND-Gatter 16 zunichte gemacht wird. Diese Unterdrückung der Notlaufimpulse kann jedoch in einem echten Störungsfall ebenfalls fehlerhaft ansprechen, so daß kein Notlaufbetrieb möglich ist.

Dieser mögliche Nachteil ist bei der Variante gemäß Figur 2 ausgeschlossen, da das Notlaufsignal U„ lediglich direkt zum UND-Gatter 23 geführt wird, das nur im Notfall über den Inverter 22 durchgeschaltet wird.

Die Variante gemäß Figur 2 hat zusätzlich den Vorteil, daß das Notlaufsignal U in Abhängigkeit von Betriebsparametern eher beeinflußt werden kann, als dies bei der Variante gem.äß Figur 1 der Fall ist. Wie aus Figuren 1 und 2 ersichtlich ist, ist die Datenleitung lh in einer alternativen Ausgestaltung auf einen Eingang des Notlauf-Funktionsgenerators 2l· geführt, damit auch im.Notbetrieb eine echte Regelung des Systems vorgenommen werden kann. Bei der Variante gemäß Figur 1 kann dies jedoch aus den nachstehend noch zu Figur 3 geschilderten Gründen infolge der ODER-Verknüpfung im Gatter 15 zu Schwierigkeiten führen. Demgegenüber besteht bei der Variante gemäß Figur 2 eine wesentlich breitere Variationsmöglichkeit, so daß in weiten Bereichen auch das Notlaufsignal U von Betriebsparametern beeinflußt werden kann.

In Figur 3a ist las Failsafe-Signal U^_ dargestellt.

if D

Wie aus dem Stand der Technik bekannt, bewirkt das Auftreten einer Störung zum Zeitpunkt t. zunächst das

Auftreten einer Sperrphase der Dauer t,. Nach deren Ablauf schließt sich zum Zeitpunkt .t_o eine kürzere Freigabephase' der Dauer t„ an, die "bis zum Zeitpunkt t- dauert.

Figur 3b zeigt das Notlaufsignal U„ , das als Impulsfolge mit einem Tastverhältnis T₁ZT erzeugt wird.

Figur 3c zeigt das Steuersignal U.. Wie man an der mit 26 bezeichneten Stelle erkennt, ist die Impulsbreite des Steuersignales U. wesentlich größer als die des N'otlauf signales U„. Dies ist insbesondere bei der Variante gemäß Figur.1 erforderlich, da die beiden Signale im ODER-Gatter 15 miteinander verknüpft werden und bei Auftreten des Steuersignales U. dieses die Priorität haben soll. Ist jedoch die Impulsbreite des Notlaufsignales IL. stets wesentlich kleiner, macht das Notlauf signal U-„ sich im normalen Fahrbetrieb nicht bemerkbar. Es könnten jedoch Schwierigkeiten dann eintreten, wenn man bei- der Variante gemäß Figur 1 auch das Notlaufsignal abhängig von Betriebsparametern variieren würde, da dann unter Umständen die Impulsbreite des Notlaufsignales U„ die des Steuersignales U. überschreiten könnte, so daß eine Fehlfunktion im normalen Fahrbetrieb möglich wäre. Dies ist der Grund dafür, warum bei der Variante gemäß Figur 2 in weit größerem Maße die Möglichkeit besteht, das Notlaufsignal U„ von Betriebsparametern abhängig zu machen.

Tritt zum Zeitpunkt t die Störung ein, geht das Failsafe Signal \J„„ von logisch H auf L. Dann wird das UND-Gatter

Γ D

16 gesperrt und das UND-Gatter 23 durchgeschaltet. Entsprechend geht die Spannung U am Ausgang des UND-Gatters 16 auf logisch L, während die Spannung '1 _o am

έΔΌ Ι

182

Ausgang des UND-Gatters 2 3 nun das Notlauf signal U wiedergibt. Während der Freigabephase zwischen der Zeit t und t entsteht dabei ein Undefinierter Zustand, da das Steuersignal U. sowohl logisch H wie L sein kann.

In Anbetracht des Tastverhältnisses T = T /T des Notlauf signale s

IN X Cd

und des Tastverhältnisses t /(t +t ) des Failsafe-Signales ü_po er-

ISi Fo

gibt sich durch den kurzen Undefinierten Zustand in der Freigabephase ein Fehler des Tastverhältnis se s bei einer Rechner-Dauerstörung von

'NOT t + t.
s f

In einem praktischen Anwendungsfall ist das Tastverhältnis des Notlauf signale s beispielsweise 0., 35, t beträgt 10 ms und t be-

Λ. Ο

trägt 140 ms. Dann ergibt sich ein effektives Tastverhältnis i^ des resultierenden Notlauf signale s von O₁ 35 + 0, 04. Diese Abweichung ist jedoch niedrig und kann für den Notlauffall ohne weiteres in Kauf genommen werden.

Die genannte Formel gilt lediglich nähe rungs weise. Berücksichtigt man das im Störungsfall tatsächlich einstellende Rechnersignal U. (Fig. 3c), dann ergibt sich

^CNOT ^l ^b ^t

^T2^(ts ⁺ V

mit t = (T₂ - T₁) . t_fJ U. = high, bzw.

t = - T . t., U. = low.
χ y ί ι

Fig. 4 zeigt ein detailliertes Schaubild einer Ausführungsform einer erfindungs ge mäßen Notlaufeinrichtung, wie sie im Blockschaltbild etwa der Variante {.emäß Fig. 2 entspricht. Gleiche Baugruppen sind insoweit mit gleichen Bezugszeichen versehen. So erkennt man insbesondere im oberen Teil die mit 20 bezeichnete Failsafe-Schaltung, im linken unteren Teil den Notlauf-Funktionsgenerator 24 und im rechten Teil die Logik 31.

Der Failsafe-Ausgang 13 des Mikrocomputers 10 ist mit einem Signal "aktiv low" versehen, d.h. die Impulsfolge wechselt von logisch H bei Auftreten eines Signales nach logisch L. Im Störungsfalle ist der Failsafe-Ausgang 13 logisch H. Die Failsafe-Impulse U gelangen auf den nichtinvertierenden Eingang eines !Comparators K , dessen invertierender Eingang mit einer Bezugsspannung U-Q-, "beispielsweise 1,5 V "beschältet ist. Der

ü C.

Ausgang des !Comparators K. führt zur Failsafe-Schaltung 20. Dabei ist er ü"ber einen Widerstand R^ mit dem invertierenden Eingang eines weiteren Komparators K_? verbunden. Dessen Ausgang ist mit einem Widerstand R_ mit einer Bezugsspannung U„ _Λ , beispielsweise 5 V verbunden.

rs Ί

Von der .Bezugsspannung U-, ₁ führt weiterhin ein Konden-

ΰ ι

sator C. zum invertierenden Eingang und ein Widerstand R " zum nichtinvertierenden Eingang des Komparators K , der weiterhin über einen Widerstand R- mit dem Ausgang gekoppelt ist. Der Ausgang des Komparators K ist weiter über einen Widerstand R sowie dazu parallel die Reihenschaltung eines Widerstandes R_? und einer Diode D₁ gegen den invertierenden Eingang gekoppelt. Schließlich ist der nichtinvertierende Eingang noch mit einem Widerstand Ri an Masse angeschlossen.

Die Failsafe-Schaltung 20 besteht demnach aus einem hysteresebehafteten Schwellwertschalter, der durchschaltet, wenn die Failsafe-Impulse U_r den Kondensator C laden bzw. nicht mehr laden. Das Tastverhält-

T ■

nis τ— wird durch die unterschiedlichen Lade- bzw.

Entladezweige erzeugt, ia für die Ladung des Kondensators C in der einen Richtung die Parallelschaltung der Widerstände R₁, R^ und in der anderen Richtung wegen der Diode D lediglich der Widerstand R wirksam ist. Der Spannungsteiler R /R //R^ gibt dabei die statische untere Schalt schwelle, z.B. 1 V an und der Spannungsteiler

18^56

R_//R,-/R. bestimmt die statische obere Schaltschwelle, z.B. 2 V. Damit wird ein großer Sicherheitsabstand gegen Störspannungen und Spitzen erreicht, was insbesondere bei Anwendungen im Kraftfahrzeug wichtig ist.

Insgesamt ergibt sich am Ausgang des !Comparators K2 ein Failsafe-Signal U-,,,, das im störungsfreien Betrieb bei geladenem Kondensator C logisch H und im Störfalle bei nicht mehr geladenem Kondensator C. auf logisch L wechselt.

Bei Dauerstörung (Failsafe-Impulse U fehlen dauernd) arbeitet der Failsafe als Oszillator mit dem Tastverhältnis

T_PS*v (t_{f +} t_s)

da der Rechner im Reset auf logisch H geht und Komparator K2 als OPEN-Kollektor-Ausgang die Failsafe-Schaltung nicht beeinflußt.

Das Failsafe-Signal ϋ__σ wird einmal dem Reset-Eingang 21

Γ Q

des Mikrocomputers 10 und zum anderen der Logik 31 zugeführt. Wie mit dem Symbol R im Mikrocomputer 10 angedeutet, reagiert der Reset-Eingang 21 auf Signale mit logisch L, so daß im Störfall, wenn U logisch L ist, der Mikrocomputer 10 zurückgesetzt wird. Dabei geht der Failsafe-Ausgang 13 auf logisch H.

Der Notlauf-Funktionsgenerator 2U ist im Ausführungsbeispiel gemäß Figur k als freischwingender Oszillator ausgebildet. Hierzu ist ein Komparator K vorgesehen, der mit einem Widerstand R.. _Q mitgekoppelt und mit einem Widerstand R._o gegengekoppelt ist,, wobei vom Widerstand R noch ein Kondensator C₀ nach Masse geschaltet ist. Der Ausgang des Komparators Κ-, ist mit einem Wider-

^Wb oo 18

stand R und sein nichtinvertierender Eingang mit einem Widerstand R₃ an das Bezugspotential U₁ ange-

O öl

schlossen; der nichtinvertierende Eingang ist weiter über einen Widerstand R_Q an Masse angeschlossen. Durch geeignete Dimensionierung der Bauteile ergibt sich damit ein Notlaufsignal U„, das eine Impulsfolge darstellt, die zwischen einer Spannung 0,k V und U, 2 V hin- und herschaltet.

Das"Notlaufsignal U^ wird ebenso wie das Failsafe-Signal U_FS der Logik 31 augeführt,

Die Logik 31 besteht im wesentlichen aus zwei Köfflparatoren K^, K "> wobei der Ausgang des Komparators K^ an. den nichtinvertii3?ende"n lingäng des Komparators K angeschlossen ist. gern Komparator K> wird das Failsafe-Sigaal \] über einen Widerstand R₁, an den nichtinvertierenden Eingang und das Notlaufsignal Ujy über einen Widerstand Ii ^ ää den invertierenden Eingang zugeführt-. Der nie'iiliav'eptiei'ende Eingang ist mit einem Widerstaa^Sy an das Bezugspot§niial U_ßl und der invertieTexTde Eingang ist über einen Widerstand R.jg an Masse angesoliloiiSß. ßi© Ausgänge der Komparatoren K^, K sind mit Wldif§täSäiü R^« bzw. R_1Q ebenfalls an uas BesugSgetential U₁₃₁ angeschlossen". - Während bei einer ersten Variante das SteuersTgStEi^-U-^ vom S.ignalausgang 12 des Mikrocomputers 1-0. direkt dem nichtinvertierenden Eingang des Komparators K zugeführt wird, dessen invertierender liflfääf äfl das Bezugspotential Ug₂ angeschlossen,ist, sind in einer weiteren Variante zwei weitere Komparatoren K^-, K in der Zuleitung des Steuersignals ^rJ.. TOigösehen. Dabei ist

ein Widerstand R_pQ zwischen den Signalausgang 12 und den nichtinvertierenden Eingang des Komparators Kg geschaltet, dessen Ausgang mit dem nichtinvertieren-

3J22074

18256

den Eingang des Comparators K₁- und über einen Widerstand R₁ mit einem Bezugspotential verbunden ist. Der weitere Komparator K ist an seinem nichtinvertierenden Eingang mit dem Bezugspotential U_. und an seinem invertierenden Eingang mit dem Failsafe-Signal U-,;, beschaltet. Der Ausgang des Komparators K_ führt über eine Diode D zum nichtinvertierenden Eingang des Komparators K^ sowie über einen Widerstand R₉₁ an ein Bezugspotential.

Das Notlaufsignal U^. wird über die Widerstände R , R₁^ auf einen Wert 0,2 V bzw. 3 V heruntergeteilt. Demgegenüber wird das Failsafe-Signal U- über den

J? ο

Spannungsteiler R , , ^₁c» äer ^zum Bezugspotential U-,.. führt, angehoben, derart, daß sich im Störungsfall am nichtinvertierenden Eingang des Komparators K. eine Spannung von beispielsweise 1,5 V ergibt. Dann taktet der Komparator Ki mit der Frequenz des Notlauf-Funktionsgenerators 2k und am nichtinvertierenden Eingang des Komparators K₁. stellt sich ein Spannungsverlauf ein, wie er in Figur 3e aufgezeichnet ist.

Die Komparatoren K^, K dienen dazu, den theoretisch denkbaren Störfall abzudecken, daß der Signalausgang 12 einen Kurzschluß nach Masse aufweist. Da bei direktem Ansteuern des Komparators K₁. in diesem Falle auch das Notlaufsignal unterdrückt würde, ist zusätzlich der Komparator K„ vorgesehen, der vom Failsafe-Signal U„„ betätigt wird. Ist das Failsafe-Signal U„„ logisch

ro ro

L, schaltet der Komparator K auf logisch H, da sein η icht invert ierender Eingang mit dem Potential U₁₃₀ beschaltet ist. Dann wird jedoch auch der Komparator Κ,- entsprechend auf logisch H geschaltet, unabhängig davon, ob der Signalausgang 12 ies Mikrocomputers 10 aus Masse liegt oder nicht.

Figur 5 zeigt ein weiteres Ausführungsbeispiel eines Hotlauf-Funktionsgenerators 2Ua. Bei diesem Ausführungsbeispiel wird eine monostabile Kippstufe verwendet, die in Abhängigkeit von einem Systemparameter angestoßen wird.

Im Eingang des Notlauf-Funktionsgenerators 2Ua ist ein Komparator K„ angeordnet, dessen nichtinvertierender Eingang mit einem Signal U₇ beschaltet ist¹, daß beispielsweise von einer Zündanlage einer Brennkraftmaschine eines Kraftfahrzeuges abgeleitet wird. ^ An den invertierenden Eingang des Komparators K„ ist demgegenüber das Bezugspotential υ_ΏΟ gelegt. Der Aus-

JD C.

gang des Komparators Kn ist mit dem nichtinvertierenden Eingang eines Komparators K_Q verbunden. Von diesem nichtinvertierenden Eingang führt ein Kondensator C_ an dem eine Spannung U_p abfällt, nach Masse und ein Widerstand R_ol zum Bezugspotential U-,... Der Ausgang des' Komparators K_Q ist mit einem Widerstand R ,- ebenfalls an das Bezugspotential U_O1 angeschlossen. Vom

JD I

invertierenden Eingang des Komparators K führt ein Widerstand R_9P ^an Masse und ein Widerstand R_p_ einmal über einen Widerstand R₀₁ zu einem Bezugspotential U₁₃ von beispielsweise 8 V und zum anderen ein Widerstand - Rpo zum j-.'hgriff eines Potentiometers R_0Q , das in Reihe mit Widerständen E₁ R „ zwischen dem Bezugspotential υ_Ώ_ und Masse liegt.

In weiterer Ausgestaltung der Anordnung gemäß Figur 5 ist dem invertierenden Eingang des Komparators K_ über einen Widerstand R_ot- auch ein Signal U-h zuführbar.

Das Signal U₁₇ gibt beispielsweise die obere Totpunktlage OT eines Kolbens einer Brennkraftmaschine wieder. Das Signal U ist, wie aus Figur 6a ersichtlich ist,

"aktiv low" und hat beispielsweise eine Standzeit von 150 - 20 ,us. Damit eignet sich dieses Signal besonders als Interrupt-Signal für handelsübliche Mikroprozessoren.

Das Potentiometer R in Figur 5 repräsentiert z.B. die Potentiometerschleifbahn eines Luftmengenmessers. Damit liegt an der Verbindung der Widerstände R.n, R^₁ mit dem Widerstand R_o_ ein Signal U~ an, das die Luftmenge wiedergibt. Die Widerstände RpQ₅ R^₁ dienen dabei zur Anhebung des Signales U_Q im Leerlauf- und Teillastbereich. Dies setzt voraus, daß die Widerstände Rn und R_ sehr viel größer als der Widerstand R_ sind. Auf diese Weise wird die Standzeit der monostabilen Kippstufe in Abhängigkeit von der Luftmenge und bei der alternativen Ausführungsform mit dem Temperatursignal U φ zusätzlich noch in Abhängigkeit von der Temperatur eingestellt. Die temperaturabhängige Einstellung ergibt dabei besonders günstige Warmlaufeigenschaften.

Sobald das in Figur 6a dargestellte Signal U₁₇ auf logisch H geht, lädt sich der Kondensator C- auf, wie man aus Figur 6b erkennt. Die Zeitkonstante beträgt dabei R-, C Der Kondensator C, lädt sich dabei bis zum Erreichen des Bezugspotentials U₁ beispielsweise 5 V auf. Die Schaltschwelle des Komparators K wird durch das an seinem invertierenden Eingang wirksame Potential festgelegt. Dies hängt jedoch von der Stellung des Luftmengenmessers, d.h. des Potentiometers R_?Q ab. Bei den verschiedenen Betriebs fällen Vollast (VL), Teillast (TL) und Leerlauf (LL) ergeben sich die in Figur 6b aufgetragenen Schalt schwellen, so daß der Durchschaltbereich des Kondensators K_Q zu einem Notlaufsignal Uj_iLL> ^u _Nti_L ^bzw· ^(J _:iVL führt, wie dies in Figur oc bis e dargestellt ist. Man erkennt, daß die Impulsbreite bei konstanter Frequenz von Leerlauf zu

Vollast hin zunimmt, wobei die Impulsbreite so bemessen ist, daß bei Einspritzimpulsen für Brennkraftmaschinen und einem H-Zylinder-Motor bei jedem wirksamen Zündimpuls jeweils die halbe Menge eingespritzt wird.

Insgesamt ergibt sich damit eine in Abhängigkeit von der Luftmenge und gegebenenfalls der Temperatur sowie möglicherweise noch weiteren Betriebsparametern variierte Standzeit der monostabilen Kippstufe und damit ein betriebsspezifisch geregeltes Verhalten des Systems auch im Notbetrieb.

In Figur T ist eine weitere Variante einer erfindungsgemäßen Notlaufeinrichtung dargestellt.

Das Zusammenwirken von Mikrocomputer 10, Failsafe-Schaltung 20 sowie Notlauf-Funktionsgenerator 2k entspricht dabei den vorstehend geschilderten Ausführungsbeispielen, insoweit sind gleiche Bezugszeichen verwendet .

Im Gegensatz zu den Ausführungsbeispielen gemäß Figuren 1, 2, k und 5 wird im Ausführungsbeispiel gemäß Figur T eine stari, vereinfachte Logik 32 verwendet. Die Logik 32 besteht nämlich lediglich aus einer Diode D , die zwischen dem Ausgang der Failsafe-Schaltung 20 und dem Eingang des Notlauf-Funktionsgenerators 2k angeordnet ist, wobei die die Stellglieder des Systems repräsentierende Endstufe 19 gleichzeitig vom Notlaufsignal U_w und dem Steuersignal U. angesteuert wird. Im störungsfreiem Betrieb ist das Failsafe-Signal U₁-,,, auf logisch H₃ so daß der als Notlauf-Funktionsgenerator 2k wirkende freischwingende Oszillator mit dem Komparator K_ über die Diode D_ abgeschaltet wird. Der Ausgang des Komparators K nimmt dann einen Zustand

;t8256

logisch H ein, da er üblicherweise mit einem offenen Kollektor ausgestattet ist. Um das Schaltverhalten in diesem Falle zu verbessern, ist in Ergänzung zu der in Figur h insoweit identisch verwendeten Oszillatorschaltung parallel zum Kondensator C₀ noch ein Widerstand R. angeordnet, der am invertierenden Eingang des Komparators K_ eine eindeutige Differenz-· spannung erzeugt, so daß der Ausgang bei durchgesteuerter Diode D sauber auf logisch H schaltet.

Im Störungsfall nimmt das Failsafe-Signal U-,- den Zustand logisch L ein und die Diode D_ sperrt, so daß der Oszillator des Notlauf-Funktionsgenerators 2.\ frei schwingen und der Endstufe das Notlaufsignal U„ zuführen kann.

In bevorzugter Ausgestaltung der Erfindung wird bei diesem Ausführungsbeispiel gemäß Figur 7 das vom Notlauf-Funktionsgenerator 2h erzeugte Notlaufsignal U„ in den Mikrocomputer 10 programmiert, damit beim Übergang vom Störfall in den wieder störungsfreien Betrieb das System zunächst mit dem dan.β programmierten vorliegenden Notlaufsignal U. = U„ weitergeregelt wird, da im Störungsfall die Register des Mikrocomputers gelöscht waren und daher beispielsweise keine Drehzahlinformation vorliegt. Bei dem Anwendungsfall der Regelung von Brennkraftmaschinen ist; jedoch die Drehzahlinformation nach zwei Zündimpulsen wieder vorhanden, so daß der Mikrocomputer 10 die korrekte Drehzahl ermitteln und damit wieder auf die eigene Ermittlung der Steuersignale U. übergehen kann.

Eine besonders gute Wirkung kann auch dadurch erzielt werden, daß allgemein das vom Mikrocomputer 10 ermittelte Tastverhältnis für das Steuersignal U. auf

Plausibilität überprüft wird. Verläuft dieser Test (Selbsttest) negativ, wird dabei ebenfalls die Failsafe-Schaltung 20 angesteuert und die Notfunktion aktiviert (z.B. bei Abfall bzw. Ausbleiben der Drehzahlinformation).

Beim weiteren Ausführungsbeispiel gemäß Figur 8 liegt eine Besonderheit zunächst darin, daß der Failsafe-Ausgang 13 des Mikrocomputers 10 mit dem Eingang der Failsafe-Schaltung 20 über die Reihenschaltung einer Diode D, und eines Kondensators Ci verbunden ist, wobei der Verbindungspunkt der Elemente D., C, über einen Widerstand R_^ an das Bezugspotential U₁₃₁ an-

-5c. B I

geschlossen ist. Außerdem ist der Ausgang der Failsafe-Schaltung 20 über die Reihenschaltung einer Diode D^ und eines Widerstandes R^ an den Failsafe-Ausgang angeschlossen und der Verbindungspunkt der Elemente D^, R-.,- ist mit dem nichtinvertierenden Eingang eines Comparators K_1n verbunden, von dem ein Widerstand R_ an Bezugspotential führt. Der invertierende Eingang des !Comparators K_1n ist mit dem Abgriff eines Spannungsteilers R-, Ri verbunden, der im Ausgang des Notlauf-Funktionsgenerators 2U angeordnet ist". Der Ausgang des Komparators K^, führt zur Endstufe 19·

Die Anko^Olung der Failsafe-Schaltung 20 über den Kondensator Ci dient zur Erhöhung der Betriebssicherheit. Tritt nämlich am Failsafe-Ausgang 13 ein Dauerkursschluß nach Masse oder U infolge einer Störung auf, führt dies infolge der Gleichstromentkopplung durch den Kondensator C, nicht zum Aufheben des Reset-Zustandes , da die Failsafe-Schaltung 20 davon nicht beeinflußt wird. Im Störungsfalle, wenn das Failsafe-Signal U„.„ logisch

Γ D

L ist, wird der Failsaf e-Ausgang 13 über die Diode D^- und den Widerstand R^^ abgeschaltet, indem die an dem

Verbindungspunkt der Elemente D,-, R^ wirkende Spannung U^ 1,2 V geklammert wird. Der Widerstand R sorgt auch dann für einen Spannungsabfall an Dg₅ wenn der Failsafe-Ausgang 13 den vorstehend erwähnten Dauerkurzschluß nach Masse hat.

Im Störungsfalle erzeugt der Notlauf-Funktionsgenerator 2h das Notlaufsignal U„, das über den Spannungsteiler R__, R-i auf die Spannung U_ heruntergeteilt wird und beispielsweise zwischen 0,3 V und 3 V hin- und herschaltet .

Die Funktion der im Eingang der Failsafe-Schaltung noch vorgesehenen Diode D, soll nachstehend anhand von Figur 9 und 10 erläutert werden.

Figur 9 zeigt dabei einen Ausschnitt aus der Schaltung gemäß Figur 8. Der Eingang der Failsafe-Schaltung besteht dabei aus einem Transistor to, dessen Basis kit dem Ableitwiderstand R_₇ gegen Masse beschaltet ist. An der Schaltstrecke des Transistors i+0 fällt eine Spannung U__, ab. Vom Kollektor des Transistors u-0 führt ein Widerstand R,- zu einem invertierenden Eingang eines Komparators YL , an dem eine Spannung

U_T/. anliegt. Vom invertierenden Eingang des Komparators κ.

K_? führt der Kondensator C an 3ezugspotential. Die sonstige Beschaltung entspricht Figur U.

Die Failsafe-Impulse U sowie die Spannungen U _, und

U„ aus Figur 9 sind in ihrem zeitlichen Verlauf in κ.

Figur 10a, b und c dargestellt.

Die Failsafe-Impulse U_p bewirken, wie man aus Figur 10b -erkennt, eine regelmäßige Aufladung und plötzliche Entladung ' des Kondensators C₁,, wobei die Zeitkonstante

dieses Vorganges durch die Widerstände R^p' ^Ro sowie den Kondensator Ci bestimmt ist. Um eine Verfälschung dieser Zeitkonstante durch den Innenwiderstand des Failsafe-Ausganges R zu vermeiden, ist die Diod.e D, vorgesehen, die insoweit eine Entkopplung bewirkt. Die in Figur 10b wiedergegebenen regelmäßigen Lade- bzw. Entladevorgänge übertragen sich in Gestalt der Spannung Ό_ν auf den invertierenden Eingang des !Comparators K-, wie man aus Figur 10c erkennt. Der Abstand Δ U zwischen den Spitzenwerten der im Normalbetrieb regelmäßig schwankenden Spannung U^ und der Schaltschwelle

U ist kennzeichnend für die Reaktionszeit Τ_Ώ des s R

Systems. Einerseits muß dieser Abstand Δ U groß gehalten werden, um Fehlauslösungen zu vermeiden, andererseits ist man jedoch an einem relativ geringen Abstand Δ U interessiert, um eine .möglichst geringe Reaktionszeit Τ_Ώ zu erhalten. Es ist daher von besonderem Vorteil, den Innenwiderstand des Failsafe-Ausganges 13 von beispielsweise 10 ... 60 k Si. mit der Diode 'Di abzukoppeln, um bei ansonsten eng tolerierten Bauelementen einen möglichst geringen Abstand Λ U und damit eine geringe Reaktionszeit T_n reali-

si eren zu können.

Durch Ausschalten dieser Störeinflüsse kann nämlich der Abstand Δ U gering gehalten werden, ohne daß das Auftreten von Fehlauslösungen befürchtet werden muß.

In der Darstellung der Fig. 1 und 2 ist schließlich noch die Möglichkeit durch gestrichelte Linienführung angegeben, das Ausgangssignal der Failsafe-Schaltung 20 auch unmittelbar der Klemme 18 zuzuführen, was dann Bedeutung hat, wenn es die Failsafe-Schaltung 20 selbst ist, die bei von ihr erfaßter Rechner störung in einen ge takteten Notbetrieb übergeht.

Claims

18258 ^ü-üb-öo

8.11.1982 Wt/Hm

ROBERT BOSCH GMBH, 7OOO STUTTGART 1

Ansprüche

Notlaufeinrichtung für mikrocomputergesteuerte Systeme, insbesondere eine Leerlauffüllungsregelung in einem Kraftfahrzeug, bei dem der Mikrocomputer (TO) Eingänge für Betriebsparametern (Q, n, -O* ) entsprechende Signale, einen Signalausgang (12) zur Abgabe von vom Mikrocomputer (10) erzeugten Steuersignalen (U.) sowie einen weiteren Ausgang (13) zur Abgabe von regelmäßigen Impulsen bei normalem Betrieb des Systems aufweist, wobei die Impulse in einer Schaltung (20) auf regelmäßiges Auftreten überprüft werden, wobei ferner ein Funktionsgenerator vorgesehen ist, der ebenfalls Steuersignale abgibt und eine Logik (30, 31, 32) in Abhängigkeit von der Schaltung (20) dem System die Steuersignale (U.) des Mikrocomputers (10) oder" die Steuersignale des Funktionsgenerators zuleitet, dadurch gekennzeichnet, daß die regelmäßigen Impulse als Failsafe-Impulse (Up) zur ständigen Überwachung der Steuerung dienen, daß die Schaltung als Failsafe-3chaltung (20) außer der Logik (30, 31, 32) einen Reset-Eingang (21) des Mikrocomputers (10) im Störungsfalle mit einem Failsafe-Signal (υ_πο) ansteuert und die Steuersignale des als Notlauf-Funktionsgenerators (2k) verwendeten Funktionsgenerators als Hotlaufsignale (U„) dem System zugeführt werden.

2. Notlaufeinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die L nach der Beziehung:

zeichnet, daß die Logik (30) die Signale (U., U,_T, !!„„)

1 JM ro

^(UFS^A(Ui^VUN⁾⁾ ^V ^{( U}N^{A U}FS^} verknüpft.

3. Notlaufeinrichtung nach Anspruch 1, dadurch gekenn zeichnet, daß die L nach der Beziehung:

zeichnet, daß die Logik (31) die Signale (U., U._T,

1 JN

(U. A U) V (U Λ U)

1 VO Li VO

verknüpft.

h. Notlaufeinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die Logik (32) die Signale (U., U„, U₇,-,

1 JN Jb'

nach der Beziehung:

verknüpft.

5. Notlaufeinrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß das Notlaufsignal (U) und das Steuersignal (U.) regelmäßige Impulsfolgen sind, wobei das Tastverhältnis des Notlaufsignales (U^) kleiner als das des Steuer-

s ignals (U. ) ist.

6. Notlaufeinrichtung nach einem der Ansprüche bis 5 j dadurch gekennzeichnet, daß die ODER-Verknüpfung von Steuersignal (¹J.) und Notlaufsignal ■ i'Jj durch eine gemeinsame Ansteuerung eines Einganges eines Konparators (K_) dargestellt wird,

wobei in der Zuleitung des Steuersignales (U.) ein weiterer Komparator (K,-) angeordnet ist, der bei Auftreten des Failsafe-Signales (U„_o) auf positives

Γ ο

logisches Signal schaltet.

T. liotlaufeinrichtung nach einem der Ansprüche 5 oder 6, dadurch gekennzeichnet, daß der Notlauf-Funktionsgenerator (2U) in seinem Tastverhältnis in Abhängigkeit von Betriebsparametern (Q, η, α** ) entsprechenden Signalen einstellbar ist.

8. Notlauf einrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Notlauf-Funktionsgenerator (2U) eine synchron mit einem Bezugssignal des Systems, insbesondere eines Zündsignales eines Kraftfahrzeuges, gesetzte, monostabile Kippstufe ist.

■9· Notlaufeinrichtung nach Anspruch 7 und 8, dadurch gekennzeichnet, daß die Standzeit der monostabilen Kippstufe einstellbar ist.

10. Notlaufeinrichtung nach Anspruch 9₅ dadurch gekennzeichnet, daß die monostabile Kippstufe einen mitgekop^elten Komparator (K-) aufweist, dessen nichtinverGierender Eingang einmal über einen Kondensator (C) an Masse und zum anderen an den Ausgang eines Komparators (Ko) angeschlossen ist, dem eine Bezugsspannung ('U₁₃₀) sowie, ein 3ezugssignal (U₁₇) des Systems zugeführt werden und dessen invertierender Eingang mit einer betriebsparameterabhängigen Spannung ' U_Q , U₁^) beschaltet ist .

332207A

18 2 5

11. Notlaufeinrichtung nach einem der Ansprüche h bis 10, dadurch gekennzeichnet, daß die Logik (32) durch eine Diode (D ) zwischen Failsafe-Schaltung (20) und Notlauf-Funktionsgenerator (2U) gebildet wird, wobei der Signalausgang (12) des Mikrocomputers (1O) mit dem Ausgang des Notlauf-Funktionsgenerators 62U) verbunden ist.

12. Notlaufeinrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Failsafe-Schaltung (20) über einen Kondensator (C, ) vom weiteren Ausgang (13) des Mikrocomputers angesteuert wird.

13. Notlaufeinrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der weitere Ausgang (13) des Mikrocomputers (10) beim Auftreten des Failsafe-Signales (LL·^) auf Bezugspotential schaltbar

Γ D

1U. Notlaufeinrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Failsafe-Schaltung (20) im Eingang ein RC-Glied (R ₂, R /C^) aufweist, das an den Steuereingang eines Schalttransistors (UO)_- angeschlossen ist, über den ein
Kondensator (C ) im Eingang eines !Comparators (K_?)

über einen Widerstand (R,-) aufladbar ist und daß

der Eingang der Failsafe-Schaltung (20) mit einer
Diode (D₁ ) gegenüber dem zugehörigen weiteren Ausgang (13) des Mikrocomputers (1O) entkoppelt ist.

15· Notlaufeinrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß bei Übergang
vom Notbetrieb (Reset) auf regulärem Betrieb das System zunächst noch mit einem dem zuletzt vorliegenden ITo tlauf signal (^rJ) entsprechenden Steuersignal (U.) betrieben wird, ΌΪ3 der Mikrocomputer (10) wieder alle Registerwerte aus den aktuellen Betriebsparametern (Q₁, η., η}¹ ) ermittelt hat.

- J.. r.

337207/;

10. N-ot Lauf einrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß das vom Mikrocomputer (10) erzeugte Steuersignal (¹J. ) auf Plausibilität überprüft wird und bei niehtplausbi lern SignaL U.) die Fails.afe-Schaltung (20) aktiviert wird.

17. Notlaufeinrichtung nach einem der Ansprüche lh bis 16, dadurch gekennzeichnet, daß die Faiisafe-Schaltung (20) aufgrund der dynamischen Ankopplung (Ci) nicht nur bei Störungen anspricht, sondern auch bei Rechnerdefekt, wenn der Failsaf e-Ausgang (13) Dauerkur zscTiTluS äli\(U_D1) oder Masse hat, und dann als freischvingender Oszillator arbeitet, dessen Tastverhältnis (TT_TC, = t-„/(t, + t ) so

ι* ο I X S

bemessen ist, daß ein zufriedenstellender Notlaufbetrieb möglich ist.

18. Notlaufeinrichtung. nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Ausgang der Failsafe-Schaltung (20) unmittelbar mit dem Eingang (Klemme 18) der Endstufe (19) verbunden ist.

19. Notlaufeinrichtung nach Anspruch 18, dadurch gekennzeichnet, daß das Failsafe-Ausgangssignal als Notlauf signal unmittelbar der Endstufe zugeführt ist. ■.