DE19703894B4

DE19703894B4 - Method of controlling a heater

Info

Publication number: DE19703894B4
Application number: DE1997103894
Authority: DE
Inventors: Markus Koenig; Juergen Schmidt
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 1997-02-03
Filing date: 1997-02-03
Publication date: 2004-08-19
Anticipated expiration: 2017-02-04
Also published as: DE19703894A1

Abstract

Verfahren zum Steuern eines Heizgeräts (10) mit einem Steuerprozessor (30) sowie mit einem ersten Mikroprozessor (12) und mit zumindest einem zweiten Mikroprozessor (14), wobei der erste Mikroprozessor (12) einen ersten Speicher (22), in dem eine erste Kennung (VN1) hinterlegt ist, und der zweite Mikroprozessor (14) einen zweiten Speicher (24), in dem eine zweite Kennung (VN2) hinterlegt ist, aufweist, wobei der erste Mikroprozessor (12) in einem Normalbetrieb erste Signale (16) und in einem Sicherheitsbetrieb zweite Signale (18) an das Gerät (10) abgibt, und wobei ein Vergleicher (20) die erste Kennung (VN1) mit der zweiten Kennung (VN2) vergleicht, dadurch gekennzeichnet, dass der Normalbetrieb des Heizgerätes (10) nur dann zugelassen wird, wenn die erste Kennung (VN1) mit der zweiten Kennung (VN2) übereinstimmt.Method for controlling a heater (10) with a control processor (30) and with a first microprocessor (12) and with at least one second microprocessor (14), the first microprocessor (12) having a first memory (22) in which a first Identifier (VN1) is stored, and the second microprocessor (14) has a second memory (24) in which a second identifier (VN2) is stored, the first microprocessor (12) in a normal operation first signals (16) and emits second signals (18) to the device (10) in a safety mode, and a comparator (20) compares the first identifier (VN1) with the second identifier (VN2), characterized in that the normal operation of the heater (10) only is then permitted if the first identifier (VN1) matches the second identifier (VN2).

Description

Die Erfindung geht aus von einem Verfahren zum Steuern eines Heizgerätes nach dem Oberbegriff des Anspruchs 1.The invention is based on one Method for controlling a heater according to the preamble of Claim 1.

Ein Verfahren zum Überwachen einer sicherheitsrelevanten Funktion eines Gerätes mit einem ersten Mikroprozessor und einem zweiten Mikroprozessor ist aus WO 95/16943 bekannt. Der erste Mikroprozessor weist einen ersten Speicher, in dem eine erste Kennung hinterlegt ist, und der zweite Mikroprozessor einen zweiten Speicher, in demn eine zweite Kennung hinterlegt ist, auf. Zusätzlich wird bei jeder erneuten Inbetriebnahme des Geräts dem jeweils anderen Mikroprozessor eine Masterfunktion zugeordnet. Nur dieser Master löst einen für die Inbetriebnahme des Geräts erforderlichen Vorgang, beispielsweise eine Zündung, aus. Der jeweils andere Mikroprozessor überprüft den Vorgang zusätzlich. Mittels einer Steuerung werden die Kennungen verglichen und auf eventuelle Fehler der sicherheitsrelevanten Funktionen des Gerätes geschlossen. Hierbei werden lediglich aktuelle Betriebszustände hinsichtlich ihrer sicherheitsrelevanten Funktion in Überwachung genommen.A method of monitoring a safety-relevant function of a device with a first microprocessor and a second microprocessor is known from WO 95/16943. The first microprocessor has a first memory in which a first ID is stored, and the second microprocessor a second Memory in which a second identifier is stored. In addition, each time the device is restarted, the other microprocessor assigned a master role. Only this master solves you for the Commissioning the device required operation, for example an ignition. The other microprocessor checks the process additionally. through A control system compares the identifiers and, if necessary, on Error in the safety-related functions of the device closed. In this case, only current operating states with regard to their safety-relevant Monitoring function taken.

Vorteile der ErfindungAdvantages of invention

Die erfindungsgemäße Vorrichtung zum Steuern eines Geräts sieht einen ersten Mikroprozessor vor, der einen ersten Speicher aufweist, in dem eine erste Kennung hinterlegt ist. Der erste Mikroprozessor gibt in einem Normalbetrieb erste Signale und in einem Sicherheitsbetrieb zweite Signale an ein Gerät ab. Er tauscht mit einem zweiten Mikroprozessor Daten aus, wobei der zweite Mikroprozessor einen zweiten Speicher aufweist, in dem eine zweite Kennung hinterlegt ist. Der Normalbetrieb ist nur dann zugelassen, wenn die erste Kennung mit der zweiten Kennung übereinstimmt.The control device according to the invention of a device provides a first microprocessor that has a first memory has, in which a first identifier is stored. The first microprocessor gives the first signals in normal operation and in safety operation second signals to a device from. It exchanges data with a second microprocessor, whereby the second microprocessor has a second memory in which a second identifier is stored. Normal operation is only then allowed if the first identifier matches the second identifier.

Hierdurch wird eine weitere Möglichkeit geschaffen, fehlerträchtige Konfigurationen des Gesamtsystems zu erkennen und geeignete Sicherheitsmaßnahmen einzuleiten. Der Normalbetrieb stellt sich nur dann ein, wenn die Kennungen der beiden Mikroprozessoren aufeinander abgestimmt sind. Die Mikroprozessoren müssen in diesem Sinne vorbereitet und konfiguriert sein.This will be another option created, error prone Recognize configurations of the overall system and appropriate security measures initiate. Normal operation only occurs when the Identifiers of the two microprocessors are coordinated. The Microprocessors need be prepared and configured in this sense.

In einer zweckmäßigen Weiterbildung ist vorgesehen, daß in dem ersten Mikroprozessor ein Vergleicher angeordnet ist, der die erste Kennung mit der zweiten Kennung vergleicht. Der bei Übereinstimmung der beiden Kennungen zum Normalbetriebszustand führende Vergleich wird von dem als Master fungierenden ersten Mikroprozessor übernommen, der für den Datenaustausch mit dem Gerät zuständig ist. Damit läßt sich ein konsistenter Vergleich auch bei einer Vielzahl von Mikroprozessoren realisieren.In an expedient further training, that in a comparator is arranged the first microprocessor, the compares the first identifier with the second identifier. The one in agreement of the two identifiers leading to the normal operating state is made by the The first microprocessor, which acts as a master, is used for data exchange with the device. So that can achieve a consistent comparison even with a large number of microprocessors.

In einer vorteilhaften Weiterbildung überträgt der erste Mikroprozessor die erste Kennung nur im Normalbetrieb an das Gerät und/oder ein weiteres externes Gerät. Nur die Kennung wird ausgelesen, die in allen Mikroprozessoren in gleicher Weise hinterlegt ist. Andernfalls erkennt der Benutzer eine inkonsistente Konfiguration der Mikroprozessoren.In an advantageous further development, the first transmits Microprocessor the first identifier only in normal operation to the device and / or another external device. Only the identifier is read out, which in all microprocessors in is deposited in the same way. Otherwise the user recognizes an inconsistent configuration of the microprocessors.

In einer weitergehenden Maßnahme sind weitere Mikroprozessoren vorgesehen, in deren Speicher jeweils weitere Kennungen hinterlegt sind. Der Normalbetrieb wird nur dann zugelassen, wenn jede der weiteren Kennungen mit der ersten, im ersten Mikroprozessor hinterlegten Kennung übereinstimmt. Das Sicherheitskonzept läßt sich für beliebig viele Mikroprozessoren realisieren. Nachträgliche Erweiterungen sind leicht in das Gesamtsystem zu integrieren.In a further measure there are more Microprocessors are provided, in their memory further identifiers are deposited. Normal operation is only permitted if each the other identifiers with the first, in the first microprocessor stored identifier matches. The security concept can be for any number Realize microprocessors. Subsequent extensions are easy to integrate into the overall system.

In einer zweckmäßigen Weiterbildung geben die jeweiligen Kennungen Aufschluß über die in den jeweiligen Mikroprozessoren hinterlegten Programmversionen. Anhand übereinstimmender Kennungen wird auf übereinstimmende Softwareversionen in den jeweiligen Mikroprozessoren geschlossen. Mögliche Softwareunverträglichkeiten werden dadurch erkannt.In an appropriate further education, the respective identifiers information about the program versions stored in the respective microprocessors. Based on matching Identifiers will match on Software versions in the respective microprocessors closed. Possible software incompatibilities are recognized.

Bei einer weiteren Ausgestaltung ist vorgesehen, mit einer Initialisierung des Geräts die erste Kennung und die zweite Kennung mehrmals miteinander zu vergleichen. Hierdurch reduziert sich die Fehlerwahrscheinlichkeit, daß erste und zweite Kennung aufgrund mangelhafter Datenübertragung nicht als übereinstimmend erkannt werden. Gegebenenfalls läßt sich die Initialisierung solange wiederholen, bis erste und zweite Kennung übereinstimmen. Eine Sicherheitsabschaltung im Sicherheitsbetrieb des Geräts erfolgt nicht vorschnell.In a further embodiment the first identifier is provided when the device is initialized and compare the second identifier several times. hereby reduces the likelihood of errors that first and second identifier due to poor data transmission not as consistent be recognized. If necessary, repeat the initialization until the first and second identifier match. A safety shutdown takes place in the safety mode of the device not rash.

weitere vorteilhafte Weiterbildungen und Ausgestaltungen der erfindungsgemäßen Vorrichtung ergeben sich aus weiteren abhängigen Ansprüchen in Verbindung mit der folgenden Beschreibung.further advantageous developments and configurations of the device according to the invention result from other dependent claims in connection with the following description.

Es zeigt die 1 und 2 Blockschaltbilder zweier Ausführungsbeispiele der erfindungsgemäßen Vorrichtung.It shows the 1 and 2 Block diagrams of two exemplary embodiments of the device according to the invention.

Gemäß dem Ausführungsbeispiel nach 1 enthält ein erster Mikroprozessor 12 einen ersten Speicher 22, in dem eine erste Kennung VN1 hinterlegt ist, sowie einen Vergleicher 20. Ein zweiter Mikroprozessor 14 weist einen zweiten Speicher 24 auf, in dem eine zweite Kennung VN2 abgespeichert ist. Erster und zweiter Mikroprozessor 12, 14 tauschen Daten aus. Der erste Mikroprozessor 12 gibt ein erstes Signal 16 oder ein zweites Signal 18 an ein Heizgerät 10 ab. Ein Datenaustausch ist auch in der anderen Richtung möglich.According to the embodiment 1 contains a first microprocessor 12 a first store 22 , in which a first identifier VN1 is stored, and a comparator 20 , A second microprocessor 14 has a second memory 24 in which a second identifier VN2 is stored. First and second microprocessors 12 . 14 exchange data. The first microprocessor 12 gives a first signal 16 or a second signal 18 to a heater 10 from. Data exchange is also possible in the other direction.

Die Anordnung nach 2 ergänzt die nach 1, indem ein Steuerprozessor 30 Daten sowohl mit dem ersten Mikroprozessor 12 als auch mit dem Heizgerät 10 austauscht. Der zweite Mikroprozessor 14 gibt Signale 16, 18 an das Heizgerät 10 ab und empfängt im Gegenzug die des Heizgeräts 10. Er enthält einen zweiten Vergleicher 26.The order after 2 complements the after 1 by a control processor 30 Data both with the first microprocessor 12 as well as with the heater 10 exchanges. The second microprocessor 14 gives signals 16 . 18 to the heater 10 and receives the heater in return 10 , It contains a second comparator 26 ,

Unter Mikroprozessor 12, 14 wird eine signalverarbeitende Anordnung verstanden, die in Abhängigkeit von Bediensignalen oder Betriebsparametern, beispielsweise eines Heizgeräts 10, Signale 16, 18 für das Heizgerät 10 generiert. Während des Normalbetriebs des Heizgeräts 10 steuert der erste Mikroprozessor 12 mit dem ersten Signal 16 beispielsweise Magnetventile so an, daß sich die vom Benutzer gewünschte Heizleistung einstellt.Under microprocessor 12 . 14 is understood to be a signal processing arrangement which is dependent on operating signals or operating parameters, for example a heater 10 , Signals 16 . 18 for the heater 10 generated. During normal heater operation 10 controls the first microprocessor 12 with the first signal 16 For example, solenoid valves so that the heating power desired by the user is set.

Dieses erste Signal 16 stellt gemäß dem zweiten Ausführungsbeispiel auch der zweite Mikroprozessor 14 bereit. Damit steuern beide Mikroprozessoren 12, 14 die Stellglieder des Heizgeräts 10 gemeinsam an.That first signal 16 also provides the second microprocessor according to the second embodiment 14 ready. This controls both microprocessors 12 . 14 the actuators of the heater 10 together.

Der erste Mikroprozessor 12 gibt das mit dem Normalbetriebszustand korrespondierende erste Signal 16 nur dann ab, wenn die beiden Kennungen VN1, VN2 übereinstimmen. Eine entsprechende Überprüfungsroutine wird beispielsweise während des Initialisierungs- oder Startvorgangs des Heizgeräts 10 automatisch aufgerufen. Der erste Mikroprozessor 12 sendet an den zweiten Mikroprozessor 14 einen Befehl, die zweite Kennung VN2, die der zweite Speicher 24 beinhaltet, auszulesen und an den ersten Mikroprozessor 12 zurückzusenden. Der Vergleicher 20 vergleicht die vom zweiten Mikroprozessor 14 gesendete zweite Kennung VN2 mit der im ersten Speicher 22 hinterlegten ersten Kennung VN1. Stimmen sie überein, wird der Normalbetrieb zugelassen. Das erste Signal 16 wird im Normalbetrieb erzeugt und an das Heizgerät 10 gesendet.The first microprocessor 12 gives the first signal corresponding to the normal operating state 16 only if the two identifiers VN1, VN2 match. A corresponding check routine is carried out, for example, during the initialization or starting process of the heater 10 automatically called. The first microprocessor 12 sends to the second microprocessor 14 a command, the second identifier VN2, which the second memory 24 includes, read out and sent to the first microprocessor 12 returned. The comparator 20 compares that from the second microprocessor 14 sent second identifier VN2 with that in the first memory 22 stored first identifier VN1. If they match, normal operation is permitted. The first signal 16 is generated in normal operation and to the heater 10 Posted.

Im zweiten Ausführungsbeispiel sendet der erste Mikroprozessor 12 seine erste Kennung VN1 an den zweiten Mikroprozessor 14, welcher umgekehrt seine zweite Kennung VN2 an den ersten Mikroprozessor 12 sendet. Beide Mikroprozessoren 12, 14 vergleichen beide Kennungen VN1, VN2 in ihren Vergleichern 20, 26. Lassen beide Vergleiche auf ein Übereinstimmen der beiden Kennnungen VN1, VN2 schließen, wird der Normalbetrieb zugelassen.In the second embodiment, the first microprocessor sends 12 its first identifier VN1 to the second microprocessor 14 , which conversely sends its second identifier VN2 to the first microprocessor 12 sends. Both microprocessors 12 . 14 compare both identifiers VN1, VN2 in their comparators 20 . 26 , If both comparisons indicate that the two identifiers VN1, VN2 match, normal operation is permitted.

Stellt bei beiden Ausführungsbeispielen einer der Vergleicher 20, 26 ein Abweichen der beiden Kennungen VN1, VN2 fest, wird das Heizgerät 10 im Sicherheitsbetrieb mit dem zweiten Signal 18 beaufschlagt. Die im Sicherheitsbetrieb vorgenommene Sicherheitsabschaltung bewirkt beispielsweise ein Ansteuern aller Ventile in der Weise, daß eine Brennstoffzufuhr zum Brenner des Heizgeräts 10 unterbunden wird. Die Endstufen steuern die Magnetventile entsprechend an. Diesbezügliche Befehle können im ersten oder zweiten Mikroprozessor 12, 14 hinterlegt sein. Je nach Ausführungsbeispiel wird das mit dem Sicherheitsbetrieb korrespondierende zweite Signal 18 nur vom ersten Mikroprozessor 12 oder von beiden Mikroprozessoren 12, 14 an das Heizgerät 10 übertragen.Provides one of the comparators in both embodiments 20 . 26 if the two identifiers VN1, VN2 deviate, the heater becomes 10 in safety mode with the second signal 18 applied. The safety shutdown carried out in safety mode causes, for example, all valves to be actuated in such a way that fuel is supplied to the heater burner 10 is prevented. The output stages control the solenoid valves accordingly. Instructions relating to this can be in the first or second microprocessor 12 . 14 be deposited. Depending on the embodiment, the second signal corresponding to the safety mode becomes 18 only from the first microprocessor 12 or from both microprocessors 12 . 14 to the heater 10 transfer.

Die Kennungen VN1, VN2 geben Auskunft über die jeweilige Softwareversion, mit der die Mikroprozessoren 12, 14 betrieben werden. Unterschiedliche Kennungen VN1, VN2 lassen auf unterschiedliche Softwareversionen schließen. Wünschenswert jedoch ist ein für alle Mikroprozessoren 12, 14 gleicher Softwarestand. Hierdurch können Programmunverträglichkeiten unterschiedlicher Versionen durch gezieltes Nachrüsten der jeweils aktuellen Programmversion vermieden werden.The identifiers VN1, VN2 provide information about the respective software version with which the microprocessors 12 . 14 operate. Different identifiers VN1, VN2 indicate different software versions. However, one is desirable for all microprocessors 12 . 14 same software version. In this way, program incompatibilities of different versions can be avoided by retrofitting the current program version.

Aus Plausibilitätsgründen werden die beschriebenen Vergleichsvorgänge in einer vorgebbaren Anzahl wiederholt. Wenn jedesmal die beiden Kennungen VN1, VN2 übereinstimmen, ist der Normalbetrieb zugelassen. Bei einer Abweichung kann neben einer Ansteuerung des Heizgeräts 10 im Sinne einer Sicherheitsabschaltung auch vorgesehen sein, die beschriebenen Vergleichsroutinen zu wiederholen. Bei Übereinstimmung wird die Sicherheitsstellung wieder aufgehoben.For reasons of plausibility, the comparison processes described are repeated in a predeterminable number. Normal operation is permitted if the two identifiers VN1, VN2 match each time. In the event of a deviation, the heater can also be activated 10 In the sense of a safety shutdown, provision can also be made to repeat the comparison routines described. If there is a match, the safety position is canceled.

Der erste Mikroprozessor 12 kommuniziert beim zweiten Ausführungsbeispiel regelmäßig in allen Betriebszuständen mit dem Steuerprozessor 30. Der Steuerprozessor 30 ist in der Lage, mit externen Geräten Daten auszutauschen. Das externe Gerät veranlaßt den Steuerprozessor 30, vom ersten Mikroprozessor 12 dessen erste Kennung VN1 anzufordern. Der Steuerprozessor 30 gibt diese an das externe Gerät weiter. Dieser Vorgang ist nur möglich, wenn die beiden Kennungen VN1, VN2 übereinstimmen, das heißt im Normalbetrieb.The first microprocessor 12 communicates with the control processor regularly in all operating states in the second exemplary embodiment 30 , The control processor 30 is able to exchange data with external devices. The external device causes the control processor 30 , from the first microprocessor 12 to request its first identifier VN1. The control processor 30 passes this on to the external device. This process is only possible if the two identifiers VN1, VN2 match, that is, in normal operation.

Die Überprüfung der Kennungen VN1, VN2 ist nicht auf ein System beschränkt, das lediglich aus zwei Mikroprozessoren 12, 14 besteht. Weitere Mikroprozessoren müssen weitere Speicher aufweisen, in denen jeweils entsprechende Kennungen hinterlegt sind. Sie sind in der Lage, zumindest mit dem ersten Mikroprozessor 12 Daten auszutauschen. Nur wenn alle Kennungen der verschiedenen Mikroprozessoren übereinstimmen, wird ein mit dem Normalbetrieb korrespondierendes erstes Signal 16 erzeugt.The verification of the identifiers VN1, VN2 is not limited to a system that only consists of two microprocessors 12 . 14 consists. Additional microprocessors must have additional memories in which corresponding identifiers are stored. You are able to, at least with the first microprocessor 12 Exchange data. Only when all the identifiers of the different microprocessors match does a first signal corresponding to normal operation appear 16 generated.

Claims

Method of controlling a heater ( 10 ) with a control processor ( 30 ) and with a first microprocessor ( 12 ) and with at least one second microprocessor ( 14 ), the first microprocessor ( 12 ) a first memory ( 22 ), in which a first identifier (VN1) is stored, and the second microprocessor ( 14 ) a second memory ( 24 ), in which a second identifier (VN2) is stored, the first microprocessor ( 12 ) first signals in normal operation ( 16 ) and second signals in a safety mode ( 18 ) to the device ( 10 ) and a comparator ( 20 ) compares the first identifier (VN1) with the second identifier (VN2), characterized in that the normal operation of the heater ( 10 ) is only permitted if the first identifier (VN1) matches the second identifier (VN2).

A method according to claim 1, characterized in that the first microprocessor ( 12 ) with the comparator ( 20 ) is equipped and the first identifier (VN1) is compared with the second identifier (VN2).

Method according to one of the preceding claims, characterized in that the second microprocessor ( 14 ) with a second comparator ( 26 ) is equipped and the first identifier (VN1) is compared with the second identifier (VN2).

Method according to one of the preceding claims, characterized in that the first microprocessor ( 12 ) the first identifier (VN1) is only sent to the device during normal operation ( 10 ) and / or an external device ( 30 ) transmits.

Method according to one of the preceding claims, characterized in that provided further microprocessors at least with the first microprocessor ( 12 ) Exchange data, these further microprocessors each having at least one memory in which further identifiers are stored, and normal operation is only permitted if each of the further identifiers matches the first identifier (VN1).

Method according to one of the preceding claims, characterized in that the respective identifiers (VN1, VN2) provide information about those in the respective microprocessors ( 12 . 14 ) stored program versions.

Method according to one of the preceding claims, characterized in that with an initialization of the device ( 10 ) the first identifier (VN1) and the second identifier (VN2) are compared several times.