DE19703894B4

DE19703894B4 - Verfahren zum Steuern eines Heizgerätes

Info

Publication number: DE19703894B4
Application number: DE1997103894
Authority: DE
Inventors: Markus Koenig; Juergen Schmidt
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 1997-02-03
Filing date: 1997-02-03
Publication date: 2004-08-19
Anticipated expiration: 2017-02-04
Also published as: DE19703894A1

Abstract

Verfahren zum Steuern eines Heizgeräts (10) mit einem Steuerprozessor (30) sowie mit einem ersten Mikroprozessor (12) und mit zumindest einem zweiten Mikroprozessor (14), wobei der erste Mikroprozessor (12) einen ersten Speicher (22), in dem eine erste Kennung (VN1) hinterlegt ist, und der zweite Mikroprozessor (14) einen zweiten Speicher (24), in dem eine zweite Kennung (VN2) hinterlegt ist, aufweist, wobei der erste Mikroprozessor (12) in einem Normalbetrieb erste Signale (16) und in einem Sicherheitsbetrieb zweite Signale (18) an das Gerät (10) abgibt, und wobei ein Vergleicher (20) die erste Kennung (VN1) mit der zweiten Kennung (VN2) vergleicht, dadurch gekennzeichnet, dass der Normalbetrieb des Heizgerätes (10) nur dann zugelassen wird, wenn die erste Kennung (VN1) mit der zweiten Kennung (VN2) übereinstimmt.

Description

Die Erfindung geht aus von einem Verfahren zum Steuern eines Heizgerätes nach dem Oberbegriff des Anspruchs 1.

Ein Verfahren zum Überwachen einer sicherheitsrelevanten Funktion eines Gerätes mit einem ersten Mikroprozessor und einem zweiten Mikroprozessor ist aus WO 95/16943 bekannt. Der erste Mikroprozessor weist einen ersten Speicher, in dem eine erste Kennung hinterlegt ist, und der zweite Mikroprozessor einen zweiten Speicher, in demn eine zweite Kennung hinterlegt ist, auf. Zusätzlich wird bei jeder erneuten Inbetriebnahme des Geräts dem jeweils anderen Mikroprozessor eine Masterfunktion zugeordnet. Nur dieser Master löst einen für die Inbetriebnahme des Geräts erforderlichen Vorgang, beispielsweise eine Zündung, aus. Der jeweils andere Mikroprozessor überprüft den Vorgang zusätzlich. Mittels einer Steuerung werden die Kennungen verglichen und auf eventuelle Fehler der sicherheitsrelevanten Funktionen des Gerätes geschlossen. Hierbei werden lediglich aktuelle Betriebszustände hinsichtlich ihrer sicherheitsrelevanten Funktion in Überwachung genommen.

Vorteile der Erfindung

Die erfindungsgemäße Vorrichtung zum Steuern eines Geräts sieht einen ersten Mikroprozessor vor, der einen ersten Speicher aufweist, in dem eine erste Kennung hinterlegt ist. Der erste Mikroprozessor gibt in einem Normalbetrieb erste Signale und in einem Sicherheitsbetrieb zweite Signale an ein Gerät ab. Er tauscht mit einem zweiten Mikroprozessor Daten aus, wobei der zweite Mikroprozessor einen zweiten Speicher aufweist, in dem eine zweite Kennung hinterlegt ist. Der Normalbetrieb ist nur dann zugelassen, wenn die erste Kennung mit der zweiten Kennung übereinstimmt.

Hierdurch wird eine weitere Möglichkeit geschaffen, fehlerträchtige Konfigurationen des Gesamtsystems zu erkennen und geeignete Sicherheitsmaßnahmen einzuleiten. Der Normalbetrieb stellt sich nur dann ein, wenn die Kennungen der beiden Mikroprozessoren aufeinander abgestimmt sind. Die Mikroprozessoren müssen in diesem Sinne vorbereitet und konfiguriert sein.

In einer zweckmäßigen Weiterbildung ist vorgesehen, daß in dem ersten Mikroprozessor ein Vergleicher angeordnet ist, der die erste Kennung mit der zweiten Kennung vergleicht. Der bei Übereinstimmung der beiden Kennungen zum Normalbetriebszustand führende Vergleich wird von dem als Master fungierenden ersten Mikroprozessor übernommen, der für den Datenaustausch mit dem Gerät zuständig ist. Damit läßt sich ein konsistenter Vergleich auch bei einer Vielzahl von Mikroprozessoren realisieren.

In einer vorteilhaften Weiterbildung überträgt der erste Mikroprozessor die erste Kennung nur im Normalbetrieb an das Gerät und/oder ein weiteres externes Gerät. Nur die Kennung wird ausgelesen, die in allen Mikroprozessoren in gleicher Weise hinterlegt ist. Andernfalls erkennt der Benutzer eine inkonsistente Konfiguration der Mikroprozessoren.

In einer weitergehenden Maßnahme sind weitere Mikroprozessoren vorgesehen, in deren Speicher jeweils weitere Kennungen hinterlegt sind. Der Normalbetrieb wird nur dann zugelassen, wenn jede der weiteren Kennungen mit der ersten, im ersten Mikroprozessor hinterlegten Kennung übereinstimmt. Das Sicherheitskonzept läßt sich für beliebig viele Mikroprozessoren realisieren. Nachträgliche Erweiterungen sind leicht in das Gesamtsystem zu integrieren.

In einer zweckmäßigen Weiterbildung geben die jeweiligen Kennungen Aufschluß über die in den jeweiligen Mikroprozessoren hinterlegten Programmversionen. Anhand übereinstimmender Kennungen wird auf übereinstimmende Softwareversionen in den jeweiligen Mikroprozessoren geschlossen. Mögliche Softwareunverträglichkeiten werden dadurch erkannt.

Bei einer weiteren Ausgestaltung ist vorgesehen, mit einer Initialisierung des Geräts die erste Kennung und die zweite Kennung mehrmals miteinander zu vergleichen. Hierdurch reduziert sich die Fehlerwahrscheinlichkeit, daß erste und zweite Kennung aufgrund mangelhafter Datenübertragung nicht als übereinstimmend erkannt werden. Gegebenenfalls läßt sich die Initialisierung solange wiederholen, bis erste und zweite Kennung übereinstimmen. Eine Sicherheitsabschaltung im Sicherheitsbetrieb des Geräts erfolgt nicht vorschnell.

weitere vorteilhafte Weiterbildungen und Ausgestaltungen der erfindungsgemäßen Vorrichtung ergeben sich aus weiteren abhängigen Ansprüchen in Verbindung mit der folgenden Beschreibung.

Es zeigt die 1 und 2 Blockschaltbilder zweier Ausführungsbeispiele der erfindungsgemäßen Vorrichtung.
Gemäß dem Ausführungsbeispiel nach 1 enthält ein erster Mikroprozessor 12 einen ersten Speicher 22, in dem eine erste Kennung VN1 hinterlegt ist, sowie einen Vergleicher 20. Ein zweiter Mikroprozessor 14 weist einen zweiten Speicher 24 auf, in dem eine zweite Kennung VN2 abgespeichert ist. Erster und zweiter Mikroprozessor 12, 14 tauschen Daten aus. Der erste Mikroprozessor 12 gibt ein erstes Signal 16 oder ein zweites Signal 18 an ein Heizgerät 10 ab. Ein Datenaustausch ist auch in der anderen Richtung möglich.
Die Anordnung nach 2 ergänzt die nach 1, indem ein Steuerprozessor 30 Daten sowohl mit dem ersten Mikroprozessor 12 als auch mit dem Heizgerät 10 austauscht. Der zweite Mikroprozessor 14 gibt Signale 16, 18 an das Heizgerät 10 ab und empfängt im Gegenzug die des Heizgeräts 10. Er enthält einen zweiten Vergleicher 26.
Unter Mikroprozessor 12, 14 wird eine signalverarbeitende Anordnung verstanden, die in Abhängigkeit von Bediensignalen oder Betriebsparametern, beispielsweise eines Heizgeräts 10, Signale 16, 18 für das Heizgerät 10 generiert. Während des Normalbetriebs des Heizgeräts 10 steuert der erste Mikroprozessor 12 mit dem ersten Signal 16 beispielsweise Magnetventile so an, daß sich die vom Benutzer gewünschte Heizleistung einstellt.
Dieses erste Signal 16 stellt gemäß dem zweiten Ausführungsbeispiel auch der zweite Mikroprozessor 14 bereit. Damit steuern beide Mikroprozessoren 12, 14 die Stellglieder des Heizgeräts 10 gemeinsam an.
Der erste Mikroprozessor 12 gibt das mit dem Normalbetriebszustand korrespondierende erste Signal 16 nur dann ab, wenn die beiden Kennungen VN1, VN2 übereinstimmen. Eine entsprechende Überprüfungsroutine wird beispielsweise während des Initialisierungs- oder Startvorgangs des Heizgeräts 10 automatisch aufgerufen. Der erste Mikroprozessor 12 sendet an den zweiten Mikroprozessor 14 einen Befehl, die zweite Kennung VN2, die der zweite Speicher 24 beinhaltet, auszulesen und an den ersten Mikroprozessor 12 zurückzusenden. Der Vergleicher 20 vergleicht die vom zweiten Mikroprozessor 14 gesendete zweite Kennung VN2 mit der im ersten Speicher 22 hinterlegten ersten Kennung VN1. Stimmen sie überein, wird der Normalbetrieb zugelassen. Das erste Signal 16 wird im Normalbetrieb erzeugt und an das Heizgerät 10 gesendet.
Im zweiten Ausführungsbeispiel sendet der erste Mikroprozessor 12 seine erste Kennung VN1 an den zweiten Mikroprozessor 14, welcher umgekehrt seine zweite Kennung VN2 an den ersten Mikroprozessor 12 sendet. Beide Mikroprozessoren 12, 14 vergleichen beide Kennungen VN1, VN2 in ihren Vergleichern 20, 26. Lassen beide Vergleiche auf ein Übereinstimmen der beiden Kennnungen VN1, VN2 schließen, wird der Normalbetrieb zugelassen.
Stellt bei beiden Ausführungsbeispielen einer der Vergleicher 20, 26 ein Abweichen der beiden Kennungen VN1, VN2 fest, wird das Heizgerät 10 im Sicherheitsbetrieb mit dem zweiten Signal 18 beaufschlagt. Die im Sicherheitsbetrieb vorgenommene Sicherheitsabschaltung bewirkt beispielsweise ein Ansteuern aller Ventile in der Weise, daß eine Brennstoffzufuhr zum Brenner des Heizgeräts 10 unterbunden wird. Die Endstufen steuern die Magnetventile entsprechend an. Diesbezügliche Befehle können im ersten oder zweiten Mikroprozessor 12, 14 hinterlegt sein. Je nach Ausführungsbeispiel wird das mit dem Sicherheitsbetrieb korrespondierende zweite Signal 18 nur vom ersten Mikroprozessor 12 oder von beiden Mikroprozessoren 12, 14 an das Heizgerät 10 übertragen.
Die Kennungen VN1, VN2 geben Auskunft über die jeweilige Softwareversion, mit der die Mikroprozessoren 12, 14 betrieben werden. Unterschiedliche Kennungen VN1, VN2 lassen auf unterschiedliche Softwareversionen schließen. Wünschenswert jedoch ist ein für alle Mikroprozessoren 12, 14 gleicher Softwarestand. Hierdurch können Programmunverträglichkeiten unterschiedlicher Versionen durch gezieltes Nachrüsten der jeweils aktuellen Programmversion vermieden werden.
Aus Plausibilitätsgründen werden die beschriebenen Vergleichsvorgänge in einer vorgebbaren Anzahl wiederholt. Wenn jedesmal die beiden Kennungen VN1, VN2 übereinstimmen, ist der Normalbetrieb zugelassen. Bei einer Abweichung kann neben einer Ansteuerung des Heizgeräts 10 im Sinne einer Sicherheitsabschaltung auch vorgesehen sein, die beschriebenen Vergleichsroutinen zu wiederholen. Bei Übereinstimmung wird die Sicherheitsstellung wieder aufgehoben.
Der erste Mikroprozessor 12 kommuniziert beim zweiten Ausführungsbeispiel regelmäßig in allen Betriebszuständen mit dem Steuerprozessor 30. Der Steuerprozessor 30 ist in der Lage, mit externen Geräten Daten auszutauschen. Das externe Gerät veranlaßt den Steuerprozessor 30, vom ersten Mikroprozessor 12 dessen erste Kennung VN1 anzufordern. Der Steuerprozessor 30 gibt diese an das externe Gerät weiter. Dieser Vorgang ist nur möglich, wenn die beiden Kennungen VN1, VN2 übereinstimmen, das heißt im Normalbetrieb.
Die Überprüfung der Kennungen VN1, VN2 ist nicht auf ein System beschränkt, das lediglich aus zwei Mikroprozessoren 12, 14 besteht. Weitere Mikroprozessoren müssen weitere Speicher aufweisen, in denen jeweils entsprechende Kennungen hinterlegt sind. Sie sind in der Lage, zumindest mit dem ersten Mikroprozessor 12 Daten auszutauschen. Nur wenn alle Kennungen der verschiedenen Mikroprozessoren übereinstimmen, wird ein mit dem Normalbetrieb korrespondierendes erstes Signal 16 erzeugt.

Claims

Verfahren zum Steuern eines Heizgeräts (10) mit einem Steuerprozessor (30) sowie mit einem ersten Mikroprozessor (12) und mit zumindest einem zweiten Mikroprozessor (14), wobei der erste Mikroprozessor (12) einen ersten Speicher (22), in dem eine erste Kennung (VN1) hinterlegt ist, und der zweite Mikroprozessor (14) einen zweiten Speicher (24), in dem eine zweite Kennung (VN2) hinterlegt ist, aufweist, wobei der erste Mikroprozessor (12) in einem Normalbetrieb erste Signale (16) und in einem Sicherheitsbetrieb zweite Signale (18) an das Gerät (10) abgibt, und wobei ein Vergleicher (20) die erste Kennung (VN1) mit der zweiten Kennung (VN2) vergleicht, dadurch gekennzeichnet, dass der Normalbetrieb des Heizgerätes (10) nur dann zugelassen wird, wenn die erste Kennung (VN1) mit der zweiten Kennung (VN2) übereinstimmt.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der erste Mikroprozessor (12) mit dem Vergleicher (20) ausgerüstet wird und die erste Kennung (VN1) mit der zweiten Kennung (VN2) vergleicht.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der zweite Mikroprozessor (14) mit einem zweite Vergleicher (26) ausgerüstet wird und die erste Kennung (VN1) mit der zweiten Kennung (VN2) vergleicht.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der erste Mikroprozessor (12) die erste Kennung (VN1) nur im Normalbetrieb an das Gerät (10) und/oder ein externes Gerät (30) überträgt.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass vorgesehene weitere Mikroprozessoren zumindest mit dem ersten Mikroprozessor (12) Daten austauschen, wobei diese weiteren Mikroprozessoren zumindest jeweils einen Speicher aufweisen, in denen weitere Kennungen hinterlegt sind, und der Normalbetrieb nur dann zugelassen wird, wenn jede der weiteren Kennungen mit der ersten Kennung (VN1) übereinstimmt.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die jeweiligen Kennungen (VN1, VN2) Aufschluss über die in den jeweiligen Mikroprozessoren (12, 14) hinterlegten Programmversionen geben.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass mit einer Initialisierung des Geräts (10) die erste Kennung (VN1) und die zweite Kennung (VN2) mehrmals verglichen werden.