DE102009052998A1

DE102009052998A1 - Method for controlling drive system e.g. hydrostatic traction drive of forklift truck, involves monitoring function of functional controller by redundant controller in normal operating state

Info

Publication number: DE102009052998A1
Application number: DE102009052998A
Authority: DE
Inventors: Wolfgang Klüpfel; Erich Dr. Flach; Joachim Dr. Hirth
Original assignee: Linde Material Handling GmbH
Current assignee: Linde Material Handling GmbH
Priority date: 2009-10-27
Filing date: 2009-11-12
Publication date: 2011-04-28

Abstract

The method involves detecting input signal of a control device (2) and converting the input signal in to a control signal for a control element (3) of a drive system by a functional controller (1), where the drive system is stationary in a secure operating state and the drive system is in motion in a normal operating state. The input signal is converted in to the control signal by a parallel redundant controller (4) in the secure operating state. A function of the functional controller is monitored by the redundant controller in the normal operating state. An independent claim is also included for an electronic control device with a functional controller.

Description

Die Erfindung betrifft ein Steuerungsverfahren für ein Antriebssystem mit einem ersten Funktionscontroller, der Eingabesignale von Bedienvorrichtungen für das Antriebssystem erfasst, und mit einem Zweitcontroller, der Eingabesignale der Bedienvorrichtungen für das Antriebssystem erfassen und das Antriebssystem über einen vom Funktionscontroller unabhängigen Signalweg beeinflussen kann, wobei der Funktionscontroller die erfassten Eingabesignale in Steuersignale für Steuerelemente des Antriebssystems umsetzt.The invention relates to a control method for a drive system having a first function controller that detects input signals from drive system controls, and a second controller that can detect input signals of the drive system controls and influence the drive system via a signal path independent of the function controller converts the detected input signals into control signals for controls of the drive system.

Bei elektronischen Steuerungen für Antriebssysteme, vor allem bei Fahrantriebssystemen für mobile Arbeitsmaschinen, wie Landmaschinen, Forstmaschinen, Baumaschinen und Flurförderzeugen, ist es notwendig, Sicherheitssysteme vorzusehen, um das Risiko von Fehlfunktionen zu minimieren. Beispiele für solche mobile Arbeitsmaschinen sind aus dem Bereich der Landmaschinen Mähdrescher, Feldhäcksler sowie Rüben oder Kartoffelroder und aus dem Bereich der Flurförderzeuge Gegengewichtsgabelstapler, Schubmaststapler sowie Rad- oder Teleskoplader. Mobile Arbeitsmaschinen weisen oftmals hohe Fahrzeuggewichte auf und eine zuverlässige Kontrolle über die Fahrbewegungen ist zur Risikominderung besonders wichtig. Dabei kommen elektrische und hydrostatische Antriebssysteme zum Einsatz. Die hydrostatischen Antriebssysteme bestehen dabei oft aus einer verstellbaren Axialkolbenpumpe, die einen oder mehrere hydraulische Fahrmotoren mit einem Hydraulikfluid versorgt. Das hydrostatische Antriebssystem wird dabei von einer Bedienperson über eine elektrische Steuerung bedient, die auf Steuerelemente, z. B. über elektromagnetische Ansteuerventile auf eine Verstelleinrichtung der Axialkolbenpumpe einwirkt, und somit die Fahrtrichtung, die Fahrgeschwindigkeit, und das durch den hydrostatischen Antrieb aufgebrachte Drehmoment regelt. Dabei besteht zwischen einer Fahrbefehleingabevorrichtung und den Steuerelemente keine mechanische Verbindung.In electronic control systems for propulsion systems, especially in traction drive systems for mobile work machines such as agricultural machinery, forestry machines, construction machinery and industrial trucks, it is necessary to provide safety systems to minimize the risk of malfunction. Examples of such mobile machines are from the field of agricultural machinery combine harvesters, forage harvesters and beets or potato harvester and from the field of trucks counterbalanced forklifts, reach trucks and wheel or telescopic loaders. Mobile work machines often have high vehicle weights and reliable control over the movements is particularly important for risk reduction. In this case, electrical and hydrostatic drive systems are used. The hydrostatic drive systems often consist of an adjustable axial piston pump, which supplies one or more hydraulic traction motors with a hydraulic fluid. The hydrostatic drive system is operated by an operator via an electrical control that controls on z. B. acts via electromagnetic control valves on an adjustment of the axial piston pump, and thus controls the direction of travel, the driving speed, and the torque applied by the hydrostatic drive. There is no mechanical connection between a drive command input device and the controls.

Ebenso hängt bei rein elektrischen Antriebssystemen mit Elektromotoren, insbesondere Drehstrommotoren, die Umsetzung der Fahrbefehle maßgeblich von der Steuerung ab, die die Leistungselektronik, etwa die Umrichter bei Drehstrommotoren ansteuert.Likewise, in purely electric drive systems with electric motors, in particular three-phase motors, the implementation of the travel commands depends decisively on the controller, which controls the power electronics, such as the converters in three-phase motors.

Insbesondere bei allen Steuerungssignalen, die die Steuerung erzeugt, um das Antriebssystem aus dem Stillstand in Bewegung zu setzen, muss dabei soweit wie möglich sicher gestellt werden, dass von einer Bedienperson ein entsprechender Befehl an der Fahrbefehleingabevorrichtung, wie etwa einem Fahrpedal, vorgegeben wurde. Ein Anfahren aus dem Stillstand oder Beschleunigen, das nicht durch die Bedienperson veranlasst wurde, muss vermieden werden und als Fehlfunktion der Steuerung zu einer Sicherungsmaßnahme wie etwa einer sofortigen Abschaltung des Antriebssystems oder zu einer Überführung in einen sicheren Zustand führen.In particular, with all the control signals that generates the control to start the drive system from a standstill, it must be ensured as far as possible that an appropriate command to the driving command input device, such as an accelerator pedal has been specified by an operator. Startup from standstill or acceleration that was not initiated by the operator must be avoided and, as a malfunction of the controller, lead to a safety measure such as an immediate shutdown of the drive system or to a transfer to a safe state.

Hierzu ist bekannt, die Steuerung vollständig redundant aufzubauen. Dabei werden die Eingabesignale der Fahrbefehleingabevorrichtung bzw. des Fahrpedals von zwei unabhängig voneinander programmierten Controllern verarbeitet. Beide Controller weisen jeweils einen Abschaltweg für das Antriebssystem auf, der unabhängig von dem des anderen Controllers ist und mit dem das Antriebssystem außer Betrieb gesetzt werden kann. Jeder Controller kann bei einer erkannten Fehlfunktion somit das Antriebssystem außer Betrieb setzen. Darüber hinaus erfolgt ein Abgleich der Ergebnisse der beiden Controller und sobald festgelegte Toleranzwerte für Differenzwerte überschritten werden, erfolgt eine Bewertung als Fehlfunktion und eine Abschaltung. Je nach Anforderung an die Sicherheit ist die Software der programmierten Controller und/oder die Hardware unterschiedlich. Dabei ist die Steuerungssoftware von zwei voneinander völlig unabhängigen Teams von Programmierern programmiert, um zu vermeiden, dass die Steuerungssoftware der beiden Controller Fehler aufweist, die in einem identischen Betriebszustand der Steuerung auftreten können. Ebenso kann durch zumindest teilweise unterschiedliche Hardware das Auftreten von identischen Hardwarefehlern vermieden werden. Durch diesen Stand der Technik ist es möglich, die Sicherheitskategorie 3 nach der bisherigen Norm EN 954-1 , die durch die Norm DIN EN ISO 13489-1 ersetzt wurde, zu erreichen.For this purpose, it is known to build the control completely redundant. In this case, the input signals of the drive command input device or of the accelerator pedal are processed by two independently programmed controllers. Both controllers each have a shutdown path for the drive system, which is independent of that of the other controller and with which the drive system can be put out of operation. Each controller can thus put the drive system out of service if a malfunction is detected. In addition, a comparison of the results of the two controllers and as soon as specified tolerance values for difference values are exceeded, a valuation is made as a malfunction and a shutdown. Depending on the requirement for safety, the software of the programmed controllers and / or the hardware is different. The control software is programmed by two completely independent teams of programmers to prevent the controller software of the two controllers from having errors that may occur in an identical operating state of the controller. Likewise, by at least partially different hardware, the occurrence of identical hardware errors can be avoided. By this state of the art, it is possible to safety category 3 after the previous Standard EN 954-1 that through the Standard DIN EN ISO 13489-1 was replaced to reach.

Nachteilig an diesem Stand der Technik ist, dass ein erheblicher Mehraufwand für die Entwicklung der Controller erforderlich ist. Es ist im Ergebnis der doppelte Aufwand erforderlich, da für jede Anwendung getrennt die Programmierung zweimal durchgeführt werden muss. Dieser doppelte Aufwand entsteht auch bei der Sicherheitsüberprüfung, wenn die Programmierung auf sichere Funktion hin überprüft wird. Die Entwicklung eines Antriebssystems erfordert dadurch mehr Zeit und es entstehen hohe Mehrkosten. Schließlich sind nachträgliche Anpassungen und Änderungen ebenfalls nur mit hohen Kosten und hohem Zeitaufwand umzusetzen.A disadvantage of this prior art is that a significant overhead for the development of the controller is required. As a result, twice as much effort is required because for each application separately, programming must be done twice. This duplication of effort also occurs during security checking when programming is checked for safe operation. The development of a drive system thus requires more time and there are high additional costs. Finally, subsequent adjustments and changes are also only with high costs and a lot of time to implement.

Ebenfalls ist bekannt, ein System aus zwei Controllern einzusetzen, bei dem ein Controller als Funktionscontroller arbeitet und der zweite Controller diesen überwacht. Der Funktionscontroller verarbeitet dabei die Eingabesignale der Fahrbefehleingabevorrichtung z. B. des Fahrpedals und erzeugt die Steuerbefehle für das hydrostatische oder auch elektrische Antriebssystem. Der zweite Controller dient zur Überwachung und überprüft als so genannter „Watchdogcontroller” die Funktionsfähigkeit des Funktionscontrollers. Dies geschieht beispielsweise durch Plausibilitätsüberprüfungen, indem die von dem Funktionscontroller erzeugten Steuersignale auf plausible Wertebereichen überprüft werden. Sind diese Kriterien nicht erfüllt, so setzt der überwachende Controller das Antriebssystem außer Betrieb oder überführt es in einen sicheren Zustand.It is also known to use a system of two controllers in which one controller works as a function controller and the second controller monitors it. The function controller processes the input signals of the drive command input device z. B. the accelerator pedal and generates the control commands for the hydrostatic or electric drive system. The second controller is used for monitoring and checks the so-called "Watchdogcontroller" functionality of the function controller. This happens, for example, through plausibility checks in that the control signals generated by the function controller are checked for plausible value ranges. If these criteria are not met, the monitoring controller deactivates the drive system or transfers it to a safe state.

Nachteilig an diesem Stand der Technik ist, dass sich höhere Sicherheitsanforderungen nur schwer oder nicht umsetzen lassen. Dies wird durch den festgelegten Aufbau und die alleinige Nutzung des zweiten Controllers zur Überwachung verhindert. Sicherheitsanforderungen entsprechend einem Performance Level (PL) Buchstabe „d” nach den Klassifikationen der Norm DIN EN ISO 13489-1 sind damit nur schlecht oder nicht erreichbar. Ein „P1 d” entspräche einer Ausfallwahrscheinlichkeit von weniger als 2,29·10^–7 pro Betriebsstunde.A disadvantage of this prior art is that higher security requirements are difficult or impossible to implement. This is prevented by the set up and the sole use of the second controller for monitoring. Safety requirements according to a Performance Level (PL) letter "d" according to the classifications of Standard DIN EN ISO 13489-1 are therefore poor or unreachable. A "P1 d" would correspond to a probability of failure of less than 2.29 · 10 ^-7 per operating ^hour .

Aus der DE 39 21 286 A1 ist ein Verfahren zum sicheren elektronischen Steuern eines Prozesses bekannt, bei dem Steuerkommandos einem Steuerkanal zugeführt und in Steuerausgangsgrößen umgewandelt werden, mit denen der Prozessausgangsgrößen erzeugende Prozess beschickt wird. Um die Sicherheit der Steuerung mit geringem Aufwand zu erhöhen, werden zumindest die sicherheitsrelevanten Steuerkommandos und Prozessausgangsgrößen erfasst und einer die mathematische Kenntnis vom Verhalten des Steuerkanals beinhaltenden Rückführungsüberwachungseinheit zugeführt, wobei bei nicht plausibel übereinstimmenden Steuerkommandos und Prozessausgangsgrößen Abschaltsignale von der Rückführungsüberwachungseinheit erzeugt werden und der Prozess in Richtung auf einen sicheren Zustand gesteuert wird.From the DE 39 21 286 A1 For example, there is known a method for safely electronically controlling a process in which control commands are applied to a control channel and converted into control outputs that are used to load the process output generating process. In order to increase the safety of the controller with little effort, at least the safety-related control commands and process output variables are recorded and fed to a mathematical knowledge of the behavior of the control channel feedback monitoring unit, which are generated in non-plausibly matching control commands and process output signals shutdown signals from the feedback control unit and the process in Direction to a safe state is controlled.

Nachteilig an diesem Stand der Technik, der nur eine Plausibilitätsüberwachung der sicherheitsrelevanten Steuerkommandos und somit eine Funktionsüberwachung vorsieht, ist, dass dadurch eventuell erforderliche Sicherheitskategorien nicht erreichbar sind.A disadvantage of this prior art, which provides only a plausibility monitoring of the safety-related control commands and thus a function monitoring is that thereby possibly required safety categories are not achievable.

Der vorliegenden Erfindung liegt die Aufgabe zugrunde, ein Steuerungsverfahren für ein Antriebssystem, ein entsprechendes Antriebssystem und eine mobile Arbeitsmaschine zur Verfügung zu stellen, die kostengünstig und mit wenig Aufwand umzusetzen sind und mit denen ein hohes Sicherheitslevel erreichbar ist.The present invention has for its object to provide a control method for a drive system, a corresponding drive system and a mobile machine available, which are inexpensive and implement with little effort and with which a high level of security can be achieved.

Diese Aufgabe wird durch ein Steuerungsverfahren für ein Antriebssystem mit den Merkmalen des Anspruchs 1, eine elektronische Steuerung mit den Merkmalen des Anspruchs 13, ein Antriebssystem mit den Merkmalen des Anspruchs 14 und eine mobile Arbeitsmaschine mit den Merkmalen des Anspruchs 15 gelöst. Vorteilhafte Weiterbildungen werden in den Unteransprüchen angegeben.This object is achieved by a control system for a drive system having the features of claim 1, an electronic control having the features of claim 13, a drive system having the features of claim 14 and a mobile work machine having the features of claim 15. Advantageous developments are specified in the subclaims.

Die Aufgabe wird erfindungsgemäß dadurch gelöst, dass bei einem Steuerungsverfahren für ein Antriebssystem mit einem ersten Funktionscontroller, der Eingabesignale von Bedienvorrichtungen für das Antriebssystem erfasst, und mit einem Zweitcontroller, der Eingabesignale der Bedienvorrichtungen für das Antriebssystem erfassen und das Antriebssystem über einen vom Funktionscontroller unabhängigen Signalweg beeinflussen kann, der Funktionscontroller die erfassten Eingabesignale in Steuersignale für Steuerelemente des Antriebssystems umsetzt und zumindest zwei Betriebszustände unterschieden werden. Ein Betriebszustand ist ein Sicherheitsbetriebszustand, bei dem sich das Antriebssystem im Stillstand befindet, und ein zweiter Betriebszustand ist ein Normalbetriebszustand, in dem sich das Antriebssystem in Bewegung befindet, wobei der Zweitcontroller im Sicherheitsbetriebszustand als paralleler redundanter Controller die erfassten Eingabesignale in Steuersignale für Steuerelemente des Antriebssystems umsetzt, und im Normalbetriebszustand der Zweitcontroller die Funktion des Funktionscontroller überwacht. Vorteilhaft kann dadurch in dem Sicherheitsbetriebszustand ein höheres und ausreichendes Sicherheitsniveau erreicht werden, ohne dass die Entwicklungskosten für die elektronische Steuerung des Antriebssystems in dem Maße ansteigen, wie bei einer vollständig redundanten Steuerung. Auch spätere Anpassungen der Funktionalität des Funktionscontrollers sind einfacher und leichter umzusetzen, soweit keine Anpassung von im Sicherheitsbetrieb erfolgenden Funktionen notwendig ist, da dann nur erforderlichenfalls eine Anpassung der Programmierung des Zweitcontrollers für die Überwachung im Normalbetrieb, aber keine parallele doppelte Programmierung für den redundanten Betrieb erfolgen muss. Durch den Sicherheitsbetriebszustand wird berücksichtigt, dass bei einem Antriebssystem im Stillstand sich die Bedienperson entfernt haben könnte, beispielsweise, wenn es sich um einen Fahrantrieb handelt, da der Fahrer das Fahrzeug verlassen haben könnte. In diesen Sicherheitsbetriebszustand fallen daher alle Steuerungsabläufe einschließlich der Aufrechterhaltung des Stillstands des Antriebssystems, die von einem Betriebszustand des Stillstands des Antriebssystems ausgehen. Allgemein können als Sicherheitsbetriebszustand bei einem Antriebssystem, das z. B. sich nicht auf einen Fahrantrieb bezieht, daher auch unabhängig von einem Stillstand des Antriebssystems alle diejenigen Betriebszustände zusammengefasst werden, bei denen eine fehlende Kontrolle durch eine Bedienperson möglich ist. Bei einer Risikoabschätzung einer Gefährdung muss daher etwa entsprechend der Norm EN ISO 13849-1 berücksichtigt werden, dass eine Vermeidung einer Gefährdung durch einen Eingriff der Bedienperson eventuell nicht möglich ist und der entsprechende, in der Norm mit dem Buchstaben P bezeichnete, Parameter mit hierauf angepassten Werten berücksichtigt werden. Da der Fahrer oder die Bedienperson eventuell nicht anwesend ist, kann dieser bei einer Fehlfunktion nicht eingreifen. Dies erfordert eine hohe Zuverlässigkeit und eine sehr geringe Ausfallwahrscheinlichkeit pro Betriebszeit für die die Bedienbefehle umsetzende Steuerung. Diese hohe Zuverlässigkeit lässt sich im Sicherheitsbetriebszustand durch den redundanten Betrieb erreichen, bei dem die errechneten Steuerungssignale der beiden Controller verglichen werden und bei einer Abweichung um mehr als ein erlaubter Toleranzwert das Antriebssystem durch den Funktionscontroller und/oder den parallel dazu wirkenden Zweitcontroller in einen sicheren Zustand gebracht wird, insbesondere abgeschaltet wird.The object is achieved in that detects in a control method for a drive system with a first function controller, the input signals of operating devices for the drive system, and with a second controller, the input signals of the operating devices for the drive system and detect the drive system via a function controller independent signal path can influence, the function controller converts the detected input signals into control signals for controls of the drive system and at least two operating states are distinguished. One operating state is a safety operating state in which the drive system is at a standstill, and a second operating state is a normal operating state in which the drive system is in motion, wherein the second controller in the safety operating state as a parallel redundant controller, the detected input signals in control signals for controls of the drive system converts, and monitors the function of the function controller in the normal operating state of the second controller. Advantageously, a higher and sufficient safety level can thereby be achieved in the safety operating state without the development costs for the electronic control of the drive system increasing to the same extent as with a completely redundant control. Even later adjustments to the functionality of the function controller are simpler and easier to implement, as far as no adaptation of functions taking place in safety operation is necessary because then only if necessary, an adaptation of the programming of the secondary controller for monitoring in normal operation, but no parallel duplicate programming for redundant operation got to. The safety operating state takes into account that in the case of a drive system at standstill the operator could have departed, for example, if it is a traction drive, since the driver could have left the vehicle. In this safety mode, therefore, all control operations including the maintenance of the standstill of the drive system, which emanate from an operating state of the stoppage of the drive system. In general, as a safety operating state in a drive system, the z. B. does not relate to a traction drive, therefore, regardless of a stoppage of the drive system all those operating conditions are summarized in which a lack of control by an operator is possible. In a risk assessment of a hazard must therefore approximately in accordance with the Standard EN ISO 13849-1 be taken into account that avoiding a risk from interference by the operator may not be possible and the corresponding parameters designated by the letter P in the standard are taken into account with values adapted to them. Since the driver or the operator may not be present, he can not intervene in case of malfunction. This requires a high reliability and a very low probability of failure per operating time for the control commands implementing the operating commands. This high reliability can be achieved in the safety mode by the redundant operation, in which the calculated control signals of the two controllers are compared and in a deviation by more than a permissible tolerance value, the drive system by the function controller and / or acting in parallel second controller in a safe state is brought, in particular is switched off.

In vorteilhafter Ausgestaltung des erfindungsgemäßen Steuerungsverfahrens setzt der Zweitcontroller im Sicherheitsbetriebszustand als paralleler redundanter Controller die erfassten Eingabesignale für Stillstand und/oder Anlauf und/oder Auswahl der Laufrichtung in Steuersignale für Steuerelemente des Antriebssystems um.In an advantageous embodiment of the control method according to the invention, the secondary controller in the safety operating state as a parallel redundant controller to the detected input signals for standstill and / or start-up and / or selection of the direction in control signals for controls the drive system.

Dadurch wird die Verwendung einer Sicherheits- und Überwachungssoftware im Zweitcontroller möglich, die unabhängig von der spezifischen Anwendung ist. Der Zweitcontroller arbeitet nur bei den eindeutig definierten Funktionsabläufen Aufrechterhaltung des Stillstand und/oder Anlauf und/oder Auswahl der Laufrichtung des Antriebssystems im Sicherheitsbetriebszustand redundant. Im Normalbetriebszustand ist die Funktion des Zweitcontrollers auf die Überwachungsfunktion reduziert, die eine weniger aufwendige Programmierung erfordert und zumeist bei Modifikationen des Funktionscontrollers im Normalbetriebszustand nicht angepasst werden muss. Ein solcher nur der Überwachung dienender Controller wird oftmals als „Watchdog”-Controller bezeichnet. Dies ermöglicht eine Optimierung der Entwicklungszeit und auch die Umsetzung eines Steuerungsverhaltens für nur kleine Stückzahlserien. Der Zeitaufwand für eine Sicherheitsprüfung kann signifikant verringert werden und bei gleichem Aufwand ein höherer Sicherheitsstandard erreicht werden.This makes it possible to use a security and monitoring software in the second controller, which is independent of the specific application. The second controller operates redundantly only in the clearly defined functional processes maintenance of the standstill and / or start-up and / or selection of the direction of the drive system in the safety mode. In the normal operating state, the function of the secondary controller is reduced to the monitoring function, which requires a less complicated programming and usually does not have to be adapted during modifications of the function controller in the normal operating state. Such a monitoring only controller is often referred to as a "watchdog" controller. This allows an optimization of the development time and also the implementation of a control behavior for only small number of pieces. The time required for a safety test can be significantly reduced and a higher safety standard can be achieved with the same effort.

Vorteilhaft ist das Antriebssystem ein Fahrantrieb für eine mobile Arbeitsmaschine, insbesondere ein Flurförderzeug.Advantageously, the drive system is a travel drive for a mobile work machine, in particular an industrial truck.

Das Antriebssystem kann ein hydrostatischer Fahrantrieb sein.The drive system may be a hydrostatic drive.

Insbesondere bei über ein hydrostatisches Antriebssystem angetriebenen Flurförderzeugen ist das erfindungsgemäße Steuerungsverfahren vorteilhaft. Durch den geringeren Aufwand und die Anpassbarkeit wird es möglich, die Steuerung an Bedürfnisse von Kunden individuell anzupassen und eine Anpassung der Steuerung an Kundenwünsche vor Ort in Niederlassungen vorzunehmen und dabei die geforderten Sicherheitserfordernisse zu erfüllen.Particularly in the case of industrial trucks driven by a hydrostatic drive system, the control method according to the invention is advantageous. The reduced effort and adaptability make it possible to tailor the control system to the needs of customers and to adapt the control system to customer requirements locally in branch offices while meeting the required security requirements.

Der hydrostatische Fahrantrieb kann aus einer in der Förderrichtung und im Fördervolumen verstellbaren Hydraulikpumpe und/oder einem Hydromotor, insbesondere einem im Schluckvolumen verstellbaren Hydraulikmotor, in geschlossenem Kreislauf bestehen, wobei die Hydraulikpumpe durch eine Pumpenverstellvorrichtung verstellt wird, die durch eine elektromagnetische Ansteuervorrichtung, insbesondere ein Proportionalventil, für die Rückwärtsstellrichtung und durch eine elektromagnetische Ansteuervorrichtung, insbesondere ein Proportionalventil, für die Vorwärtsstellrichtung angesteuert wird, und/oder wobei der Hydraulikmotor durch eine Motorverstellvorrichtung verstellt wird, die über eine elektromagnetische Ansteuervorrichtung, insbesondere ein Proportionalventil, angesteuert wird.The hydrostatic drive can consist of a variable in the conveying direction and the delivery volume hydraulic pump and / or a hydraulic motor, in particular a variable in displacement hydraulic motor, in a closed circuit, wherein the hydraulic pump is adjusted by a pump adjustment by an electromagnetic drive device, in particular a proportional valve , for the reverse direction and by an electromagnetic drive device, in particular a proportional valve, is controlled for the forward direction, and / or wherein the hydraulic motor is adjusted by a motor adjustment, which is controlled by an electromagnetic drive device, in particular a proportional valve.

In vorteilhafter Ausführung überwacht im Normalbetriebsmodus der Zweitcontroller, ob ein Überschreiten eines Maximalstroms der elektromagnetischen Ansteuervorrichtung für die Rückwärtsstellrichtung und/oder eines Maximalstroms der elektromagnetischen Ansteuervorrichtung für die Vorwärtsstellrichtung und/oder eines Maximalstrom der elektromagnetischen Ansteuervorrichtung der Motorverstellvorrichtung vorliegt.In an advantageous embodiment, in the normal operating mode, the second controller monitors whether there is an exceeding of a maximum current of the electromagnetic drive device for the reverse direction and / or a maximum current of the electromagnetic drive device for the forward direction and / or a maximum current of the electromagnetic drive device of the motor adjustment.

Im Normalbetriebsmodus kann der Zweitcontroller überwachen, ob eine gleichzeitige Bestromung der elektromagnetischen Ansteuervorrichtung für die Rückwärtsstellrichtung und der elektromagnetischen Ansteuervorrichtung für die Vorwärtsstellrichtung vorliegt.In the normal operation mode, the second controller can monitor whether there is a simultaneous energization of the electromagnetic drive device for the reverse drive direction and the electromagnetic drive device for the advance drive direction.

In vorteilhafter Ausgestaltung des Verfahrens überwacht im Normalbetriebsmodus der Zweitcontroller während die elektromagnetische Ansteuervorrichtung für die Rückwärtsstellrichtung oder die elektromagnetischen Ansteuervorrichtung für die Vorwärtsstellrichtung mit einem Mindeststrom bestromt ist, ob eine in der Zuleitung zu diesen angeordnete Freigabeventileinrichtung, insbesondere ein elektromagnetisches Schaltventil, mit einem Mindeststrom bestromt ist.In an advantageous embodiment of the method monitors in the normal operation mode of the second controller while the electromagnetic drive device for the reverse direction or the electromagnetic drive device for the forward direction is energized with a minimum current, whether in the supply line to these arranged release valve device, in particular an electromagnetic switching valve, is energized with a minimum current ,

Dadurch werden Fehlfunktionen des Funktionscontrollers durch Tests erkannt, die bei einer Anpassung der Programmierung des Funktionscontrollers unverändert bleiben.As a result, malfunctions of the function controller are detected by tests that remain unchanged when adapting the programming of the function controller.

Vorteilhaft ist das Antriebssystem ein elektrischer Fahrantrieb.Advantageously, the drive system is an electric traction drive.

Auch bei einem elektrischen Fahrantrieb ergeben sich die geschilderten Vorteile.Even with an electric traction drive, the described advantages arise.

In günstiger Ausgestaltung des erfindungsgemäßen Steuerungsverfahrens ist das Antriebssystem ein Stellantrieb einer Arbeitshydraulik eines Flurförderzeugs, insbesondere ein Hubantrieb eines Hubmastes eines Gabelstaplers. In a favorable embodiment of the control method according to the invention, the drive system is an actuator of a working hydraulics of a truck, in particular a lifting drive of a lifting mast of a forklift.

Das erfindungsgemäße Verfahren ist insbesondere auch zur Steuerung einer Arbeitshydraulik geeignet, die z. B. etwa die Hubvorrichtung eines Hubgerüstes, eine Mastneigevorrichtung, eine Schubvorrichtung eines Schubmastes aber auch einen Seitenschub einer Lastaufnahmevorrichtung umfassen kann. Besonders vorteilhaft ist das erfindungsgemäße Steuerungsverfahren zur Ansteuerung einer Hubvorrichtung, da dadurch das Risiko z. B. eines fehlerhaften selbständigen Absenkens verringert werden kann.The inventive method is particularly suitable for controlling a working hydraulics, z. B. may include the lifting device of a mast, a mast tilting device, a pusher of a mast but also a side thrust load handling device. Particularly advantageous is the control method according to the invention for controlling a lifting device, since thereby the risk z. B. a faulty independent lowering can be reduced.

In vorteilhafter Ausführungsform kann der Zweitcontroller über den unabhängigen Signalweg das Antriebssystem abschalten und schaltet im Fall einer festgestellten Fehlfunktion das Antriebssystem ab.In an advantageous embodiment, the second controller can switch off the drive system via the independent signal path and switches off the drive system in the event of a detected malfunction.

Vorteilhaft ist der Zweitcontroller mit dem Funktionscontroller über einen Datenbus, insbesondere SPI-Bus, verbunden, dessen Funktion von Zweitcontroller und Funktionscontroller überwacht wird und wird im Normalbetriebszustand bei einem Ausfall des Datenbusses das Antriebssystem abgeschaltet, wenn das Abtriebssystem in Bewegung ist.The second controller is advantageously connected to the function controller via a data bus, in particular SPI bus, whose function is monitored by the second controller and function controller and the drive system is switched off in the normal operating state in case of failure of the data bus when the output system is in motion.

Dadurch erfolgt eine Sicherheitsabschaltung im Falle eines Ausfalls der Überwachung. Zur Funktionsüberprüfung des Datenbusses erfolgt über Prüfsummen oder den Austausch von mit jedem übertragenen Datenpaket hochgezählten Zählvariablen, so dass die Nichtübertragung eines Datenpaketes erkannt werden kann.This results in a safety shutdown in case of failure of the monitoring. To check the function of the data bus is carried out via checksums or the exchange of counted up with each transmitted data packet counter variables, so that the non-transmission of a data packet can be detected.

In vorteilhafter Ausführungsform erfasst der Zweitcontroller in dem Normalbetriebszustand die Eingabesignale der Bedienvorrichtungen für das Antriebssystem und erhält über den Datenbus die Ergebnisse der Erfassung der Eingabesignale der Bedienvorrichtungen durch den Funktionscontroller und vergleicht diese.In an advantageous embodiment, the second controller detects the input signals of the operating devices for the drive system in the normal operating state and receives via the data bus the results of the detection of the input signals of the operating devices by the function controller and compares them.

Dadurch ist eine Überwachung der Funktion der Analog/Digitalwandler des Funktionscontrollers möglich und wird deren Ausfalle erkannt.As a result, a monitoring of the function of the analog / digital converter of the function controller is possible and their failure is detected.

Die Aufgabe wird auch gelöst durch eine elektronische Steuerung mit einem ersten Funktionscontroller, der Eingabesignale von Bedienvorrichtungen für das Antriebssystem erfassen kann, und mit einem Zweitcontroller, der Eingabesignale der Bedienvorrichtungen für das Antriebssystem erfassen und das Antriebssystem über einen vom Funktionscontroller unabhängigen Signalweg beeinflussen kann, wobei der Funktionscontroller die erfassten Eingabesignale in Steuersignale für Steuerelemente des Antriebssystems umsetzen kann und der Funktionscontroller sowie der Zweitkontroller ein zuvor beschriebnes Steuerverfahren durchführen.The object is also achieved by an electronic controller having a first function controller that can detect input signals from drive system controls, and a second controller that can detect input signals from the drive system controls and affect the drive system via a signal controller independent function circuit the function controller can convert the detected input signals into control signals for control elements of the drive system and the function controller and the secondary controller perform a previously described control method.

Dadurch steht eine für eine Mehrzahl von unterschiedlichen Antriebssystemen einsetzbare elektronische Steuerung zur Verfügung, die aufgrund des eingesetzten erfindungsgemäßen Verfahrens leicht an die unterschiedlichen Antriebssysteme angepasst werden kann und die erforderlichen Sicherheitsanforderungen erfüllt.As a result, an electronic controller that can be used for a plurality of different drive systems is available, which, because of the method according to the invention, can be easily adapted to the different drive systems and fulfills the required safety requirements.

Die Aufgabe wird weiterhin durch ein Antriebssystem mit einer zuvor beschriebenen elektronischen Steuerung und eine mobile Arbeitsmaschine mit einem solchen Antriebssystem gelöst.The object is further achieved by a drive system with a previously described electronic control and a mobile machine with such a drive system.

Diese weisen die bereits zuvor geschilderten Vorteile auf.These have the advantages already described above.

Weitere Vorteile und Einzelheiten der Erfindung werden anhand der in den schematischen Figuren dargestellten Ausführungsbeispiele näher erläutert. Hierbei zeigtFurther advantages and details of the invention will be explained in more detail with reference to the embodiments illustrated in the schematic figures. This shows

1 ein Funktionsschema des erfindungsgemäßen Steuerungsverfahrens in einem Sicherheitsbetriebszustand, 1 a functional diagram of the control method according to the invention in a safety mode,

2 ein Funktionsschema des erfindungsgemäßen Steuerungsverfahrens in einem Normalbetriebszustand und 2 a functional diagram of the control method according to the invention in a normal operating state and

3 schematisch ein hydrostatisches Antriebssystem, bei dem das erfindungsgemäße Verfahren zum Einsatz kommt. 3 schematically a hydrostatic drive system in which the inventive method is used.

Die 1 zeigt ein Funktionsschema des erfindungsgemäßen Steuerungsverfahrens in einem Sicherheitsbetriebszustand. Ein Funktionscontroller 1 erhält, wie durch die zwei Pfeile angedeutet, Eingabesignale von einer Bedienvorrichtung 2 zur Eingabe von Steuerkommandos für das Antriebssystem durch eine Bedienperson. Der Funktionscontroller 1 errechnet aus diesen Eingabesignalen Steuerbefehle für Steuerelemente 3 des Antriebssystems und erhält von den Steuerelementen 3 Sensordaten über Stellwerte. Ein Zweitcontroller 4 erhält von der Bedienvorrichtung 2 dieselben Eingabesignale für das Antriebssystem und die Sensordaten von den Steuerelementen 3 und berechnet redundant dieselben Steuerbefehle, die mit denjenigen des Funktionscontrollers 1 sowohl durch den Funktionscontroller 1, wie auch den Zweitcontroller 4 über einen Datenbus abgeglichen werden, wie durch den Doppelpfeil dargestellt. Bei einer unzulässig großen Abweichung zwischen den Steuerbefehlen des Funktionscontrollers 1 und den Steuerbefehlen des Zweitcontrollers 4 schaltet der Funktionscontroller 1 über die Steuerelemente 3 das Antriebssystem ab. Gleichzeitig schaltet in diesem Fall auch der Zweitcontroller 4 redundant das Antriebssystem über einen unabhängigen Signalweg 5 ab. Der Sicherheitsbetriebszustand liegt vor, wenn das Antriebssystem im Stillstand ist und nicht gewährleistet ist, dass eine Bedienperson das Antriebssystem überwachen kann und gegebenenfalls bei einer Fehlfunktion eingreifen könnte. In dem Sicherheitsbetriebszustand werden im vorliegenden Beispiel eines Fahrantriebs einer mobilen Arbeitsmaschine alle Signale für das Aufrechterhalten des Stillstands und/oder den Anlauf und/oder die Auswahl der Laufrichtung, entsprechend der Fahrtrichtung, von dem Funktionscontroller 1 in Steuersignale für die Steuerelemente 3 des Antriebssystems umgesetzt.The 1 shows a functional diagram of the control method according to the invention in a safety mode. A function controller 1 receives, as indicated by the two arrows, input signals from an operating device 2 for input of control commands for the drive system by an operator. The function controller 1 calculates control commands from these input signals 3 of the drive system and receives from the controls 3 Sensor data via control values. A second controller 4 gets from the control device 2 the same input signals for the drive system and the sensor data from the controls 3 and redundantly calculates the same control commands as those of the function controller 1 both through the function controller 1 as well as the second controller 4 be matched via a data bus, as shown by the double arrow. For an impermissibly large deviation between the control commands of the function controller 1 and the control commands of the secondary controller 4 the function controller switches 1 about the controls 3 the drive system off. At the same time, the second controller also switches in this case 4 redundant the drive system via an independent signal path 5 from. The safety mode is when the drive system is at a standstill and there is no guarantee that an operator can monitor the drive system and, if necessary, intervene in the event of a malfunction. In the safety mode, in the present example of a traction drive of a mobile work machine, all the signals for maintaining the stoppage and / or the start and / or the selection of the running direction, according to the direction of travel, from the function controller 1 in control signals for the controls 3 implemented the drive system.

Die 2 zeigt ein Funktionsschema des erfindungsgemäßen Steuerungsverfahrens in einem Normalbetriebszustand, der alle sicherheitsrelevanten Funktionen umfasst, die aus dem Fahrbetrieb ausgeführt werden müssen. Dabei sind dieselben Funktionseinheiten mit denselben Bezugszeichen bezeichnet. Der Funktionscontroller 1 errechnet aus von der Bedienvorrichtung 2 erhaltenen Eingabesignalen und den von den Steuerelementen 3 erhaltenen Sensordaten Steuerbefehle für die Steuerelemente 3 des Antriebssystems. Der Zweitcontroller 4 kann das Antriebssystem über einen unabhängigen Signalweg 5 abschalten. In dem Normalbetriebszustand wird von dem Zweitcontroller 4 nur die Funktionsfähigkeit des Funktionscontrollers 1 überprüft, ohne dass der Zweitcontroller 4 selbst die Steuerbefehle ebenfalls berechnet. Dies geschieht, indem zum Beispiel plausible Wertebereiche berechnet werden und daran die Steuerbefehle überprüft werden, oder die Steuerbefehle auf sich widersprechende Steuerbefehle, wie etwa ein gleichzeitiges Stellsignal der einer steuerbaren Hydraulikpumpe für die Förderrichtung vorwärts und die Förderrichtung rückwärts. Wird durch den Zweitcontroller 4 eine Fehlfunktion des Funktionscontrollers 1 erkannt, so schaltet der Zweitcontroller 4 über den unabhängigen Signalweg 5 das Antriebssystem ab.The 2 shows a functional diagram of the control method according to the invention in a normal operating state, which includes all safety-related functions that must be performed from the driving operation. The same functional units are denoted by the same reference numerals. The function controller 1 calculated from the operating device 2 received input signals and those of the controls 3 received sensor data control commands for the controls 3 of the drive system. The second controller 4 The drive system can use an independent signal path 5 switch off. In the normal operating state, the second controller is used 4 only the functionality of the function controller 1 checked without the secondary controller 4 even the control commands are also calculated. This is done, for example, by calculating plausible value ranges and checking the control commands, or the control commands for conflicting control commands, such as a simultaneous control signal of a controllable hydraulic pump for the forward feed direction and the downstream feed direction. Is through the second controller 4 a malfunction of the function controller 1 detected, the second controller switches 4 via the independent signal path 5 the drive system off.

3 zeigt schematisch einen hydrostatischen Fahrantrieb als Beispiel eines hydrostatischen Antriebssystems, bei dem das erfindungsgemäße Verfahren zum Einsatz kommt. Eine im Fördervolumen und in der Förderrichtung verstellbare Hydraulikpumpe 10 wird im vorliegenden Beispiel von einer Antriebsmaschine 11, beispielsweise einem Verbrennungsmotor, angetrieben. Über Hydraulikleitungen 12 ist die Hydraulikpumpe 10 mit einem im Schluckvolumen verstellbaren Hydraulikmotor 13 verbunden, der wie symbolisch dargestellt ein Antriebsrad 14 eines Flurförderzeugs oder über ein Verteilergetriebe die Antriebsräder beider Fahrzeugseiten antreibt. Die Hydraulikleitungen 12, die Hydraulikpumpe 10 und der Hydraulikmotor 13 bilden dabei einen geschlossenen Kreislauf für den Umlauf des Druckmittels. Der Hydraulikmotor 13 kann alternativ als im Schluckvolumen konstanter Konstantmotor ausgebildet sein. 3 schematically shows a hydrostatic drive as an example of a hydrostatic drive system, in which the inventive method is used. An adjustable in the delivery volume and in the conveying direction hydraulic pump 10 is in the present example of a prime mover 11 , For example, an internal combustion engine, driven. Via hydraulic lines 12 is the hydraulic pump 10 with a hydraulic motor adjustable in displacement 13 connected, as symbolically represented by a drive wheel 14 a truck or a transfer case drives the drive wheels both sides of the vehicle. The hydraulic lines 12 , the hydraulic pump 10 and the hydraulic motor 13 form a closed circuit for the circulation of the pressure medium. The hydraulic motor 13 Alternatively, it can be configured as a constant-constant motor in the displacement volume.

Der als Verstellmotor ausgebildete Hydraulikmotor 13 kann über eine Motorverstellvorrichtung 15 verstellt werden, die über eine beispielsweise als elektromagnetisches Proportionalventil 16 ausgebildete elektromagnetische Ansteuervorrichtung 17 angesteuert wird. Die verstellbare Hydraulikpumpe 10 kann zur Umkehrung der Förderrichtung in zwei Richtungen gesteuert werden, um durch eine Umkehr des Druckmittelstromes in den Hydraulikleitungen 12 den Hydraulikmotor 13 in der Laufrichtung zwischen Vorwärts- und Rückwärtsfahrt umsteuern zu können.The trained as adjusting motor hydraulic motor 13 can via a motor adjustment device 15 be adjusted, for example via an electromagnetic proportional valve 16 trained electromagnetic drive device 17 is controlled. The adjustable hydraulic pump 10 can be controlled to reverse the conveying direction in two directions, by a reversal of the pressure medium flow in the hydraulic lines 12 the hydraulic motor 13 to be able to change direction between forward and reverse in the running direction.

Die Steuerung der Hydraulikpumpe 10 erfolgt über eine Pumpenverstellvorrichtung 18, die über eine als elektromagnetisches Proportionalventil 19 ausgebildete elektromagnetische Ansteuervorrichtung 20 für die Rückwärtsstellrichtung und eine als ein elektromagnetisches Proportionalventil 21 ausgebildete elektromagnetische Ansteuervorrichtung 22 für die Vorwärtsstellrichtung angesteuert wird. Die Regelung der Fördermenge der Hydraulikpumpe 10 und des Schluckvolumens des Hydraulikmotors 13 kann in Abhängigkeit von einem drehzahlabhängigen Steuerdruck erfolgen. Die elektromagnetische Ansteuervorrichtung 20 für die Rückwärtsstellrichtung und die elektromagnetische Ansteuervorrichtung 22 für die Vorwärtsstellrichtung bilden zusammen eine Ansteuerventileinrichtung, mit der eine z. B. als zweiseitig beaufschlagter Stellkoben ausgebildete Pumpenverstellvorrichtung 18 von einer Stellung für maximale Fördermenge rückwärts bis zu einer Stellung für maximale Fördermenge vorwärts bewegt werden kann, indem die elektromagnetische Ansteuervorrichtung 20 für die Rückwärtsstellrichtung den Stellkolben von der einen Seite und die elektromagnetische Ansteuervorrichtung 22 für die Vorwärtsstellrichtung den Stellkolben von der anderen Seite mit Druckmittel beaufschlagt.The control of the hydraulic pump 10 via a pump adjustment 18 , which has one as an electromagnetic proportional valve 19 trained electromagnetic drive device 20 for the reverse direction and one as an electromagnetic proportional valve 21 trained electromagnetic drive device 22 is controlled for the forward direction. The regulation of the flow rate of the hydraulic pump 10 and the displacement of the hydraulic motor 13 can take place in dependence on a speed-dependent control pressure. The electromagnetic drive device 20 for the reverse direction and the electromagnetic drive device 22 for the forward direction together form a control valve device, with a z. B. as two-sided acted Stellkoben trained pump adjustment 18 from a position for maximum delivery backward to a position for maximum delivery can be moved forward by the electromagnetic drive device 20 for the reverse direction of the adjusting piston from one side and the electromagnetic drive device 22 for the forward direction of the actuating piston from the other side acted upon with pressure medium.

In dem Normalbetriebszustand während des Fahrbetriebs überwacht der Zweitcontroller 4 die Funktion der Steuerung des hydrostatischen Antriebssystems durch den Funktionscontroller 1 mithilfe von drei grundsätzlichen Überwachungsfunktionen. Diese sind erstens eine Überwachung der Datenkommunikation des Funktionscontrollers 1 mit dem Zweitcontroller 4 über einen Datenbus, zweitens eine Plausibilitätsprüfung der Eingabesignale und drittens eine Überwachung der Schaltströme für die Steuerelemente 3 an den Ausgängen des Funktionscontrollers 1.In the normal operating state during driving, the second controller monitors 4 the function of controlling the hydrostatic drive system by the function controller 1 using three basic monitoring features. These are firstly a monitoring of the data communication of the function controller 1 with the second controller 4 via a data bus, second, a plausibility check of the input signals, and third, a monitoring of the switching currents for the control elements 3 at the outputs of the function controller 1 ,

In einer Druckmittelzuführung für die elektromagnetische Ansteuervorrichtung 20 für die Rückwärtsstellrichtung und die elektromagnetische Ansteuervorrichtung 22 für die Vorwärtsstellrichtung ist eine hier als elektromagnetisches Schaltventil 24 ausgebildete Freigabeventileinrichtung 23 abgeordnet, die bei anliegendem Strom und somit einer Ansteuerung den Zufluss freigibt.In a pressure medium supply for the electromagnetic drive device 20 for the reverse direction and the electromagnetic driving 22 for the forward direction is one here as an electromagnetic switching valve 24 trained release valve device 23 seconded, which releases the inflow at an applied current and thus a control.

Der Funktionscontroller 1 tauscht mit dem Zweitcontroller 4 Daten über ein SPI-Bussystem aus. Im Normalbetriebszustand prüft der Zweitcontroller 4, ob eine Kommunikation in dem Bus entsprechend dem SPI-Protokoll vorhanden und ordnungsgemäß ist. Ein Fehler, der zu einem Abschaltendes Antriebssystems durch den Zweitcontroller führt, wird erkannt, wenn zeitgleich zu einer andauernden Störung der SPI-Kommunikation das Antriebssystem sich in Bewegung befindet. Die Abschaltzeit für diesen Fehlerfall beträgt beispielsweise 600 ms. Parallel prüft der Funktionscontroller 1, ob die Datenantworten des Zweitcontrollers 4 korrekt sind. Hierzu wird das SPI-Protokoll bidirektional über Prüfsummen abgesichert. Zusätzlich wird eine Zählvariable von dem Funktionscontroller 1 bei jeder neuen Übertragung von Daten um eins erhöht und muss von dem Zweitcontroller bei der nächsten Übertragung zurück gesendet werden. Entspricht der zurück übertragene Wert der Zählvariable dabei nicht dem hoch gezählten Wert, wird auf einen Datenübertragungsfehler erkannt. Damit wird das Funktionieren der Überwachung durch den Zweitcontroller 4 sicher gestellt.The function controller 1 exchanges with the second controller 4 Data from an SPI bus system. In the normal operating state, the second controller checks 4 whether there is communication in the bus according to the SPI protocol and is proper. An error leading to a shutdown of the drive system by the secondary controller is detected when the drive system is in motion in parallel with a persistent failure of the SPI communication. The switch-off time for this error case is, for example, 600 ms. The function controller checks in parallel 1 whether the data responses of the secondary controller 4 are correct. For this purpose, the SPI protocol is protected bidirectionally using checksums. In addition, a counter variable from the function controller 1 with each new transmission of data increased by one and must be sent back from the second controller on the next transmission. If the value of the count variable transmitted back does not correspond to the counted-up value, a data transfer error is detected. This will be the functioning of the monitoring by the secondary controller 4 ensured.

Der Zweitcontroller 4 kann auch redundant die Eingabesignale von der Bedienvorrichtung 2 empfangen und im Funktionscontroller 1 auf Plausibilität überprüfen. Das Ergebnis wird dem Zweitcontroller 4 über den SPI-Bus mitgeteilt. Dadurch kann über den Zweitcontroller 4 eine Prüfung der A/D-Wandler Einheit des Funktionscontrollers 1 und eine zweikanalige Überwachung der Eingangssignale erreicht werden.The second controller 4 can also redundantly the input signals from the operating device 2 received and in the function controller 1 check for plausibility. The result will be the second controller 4 communicated via the SPI bus. This can be done via the secondary controller 4 a test of the A / D converter unit of the function controller 1 and a two-channel monitoring of the input signals can be achieved.

Die dritte Überwachungsfunktion in dem Normalbetriebszustand soll verhindern, dass es zu gleichzeitigen sich widersprechenden Ausgangssignalen und zu unzulässig großen Schaltströmen kommt. Registriert der Zweitcontroller 4 gleichzeitig eine Ansteuerung, insbesondere eine Pulsweitenmodulation zur Erzeugung eines solchen Signals, an den Ausgängen für das elektromagnetische Proportionalventil 19 bzw. für die elektromagnetische Ansteuervorrichtung 20 für die Rückwärtsstellrichtung und für das elektromagnetische Proportionalventil 21 bzw. die für die elektromagnetische Ansteuervorrichtung 22 für die Vorwärtsstellrichtung und einen Summenstrom durch einen bzw. die Messwiderstände größer als ein Grenzwert, z. B. 250 mA, so wird ein Fehlerzähler „CheckCurrent” des Zweitcontrollers 4 aktiviert und nach einer Zeitspanne, z. B. 600 ms erfolgt eine Abschaltung der Antriebssystems. Erfolgt eine Bestromung der Ausgänge für die für die elektromagnetische Ansteuervorrichtung 20 für die Rückwärtsstellrichtung und/oder für die elektromagnetische Ansteuervorrichtung 22 für die Vorwärtsstellrichtung, die einen zulässigen Strommaximalwert um eine festgelegten Wert, z. B. 100 mA, übersteigt, so wird der Fehlerzähler „CheckCurrent” des Zweitcontrollers 4 aktiviert und nach einer Zeitspanne, z. B. 600 ms, erfolgt eine Abschaltung der Antriebssystems.The third monitoring function in the normal operating state is intended to prevent simultaneous, conflicting output signals and impermissibly large switching currents. Join the secondary controller 4 at the same time a drive, in particular a pulse width modulation for generating such a signal, at the outputs for the electromagnetic proportional valve 19 or for the electromagnetic drive device 20 for the reverse direction and for the electromagnetic proportional valve 21 or for the electromagnetic drive device 22 for the forward direction and a sum current through one or the measuring resistors greater than a limit value, for. B. 250 mA, then an error counter "CheckCurrent" of the second controller 4 activated and after a period of time, for. B. 600 ms takes a shutdown of the drive system. If an energization of the outputs for the for the electromagnetic drive device 20 for the reverse direction and / or for the electromagnetic drive device 22 for the forward direction, which is an allowable current maximum value by a predetermined value, z. B. 100 mA, the error counter "CheckCurrent" of the second controller 4 activated and after a period of time, for. B. 600 ms, there is a shutdown of the drive system.

Ebenso wird der Fehlerzähler „CheckCurrent” des Zweitcontrollers 4 aktiviert und zeitverzögert, z. B. nach 600 ms, erfolgt eine Abschaltung der Antriebssystems, wenn eine Bestromung des Ausgangs für das elektromagnetische Proportionalventil 16 bzw. die Steuerventileinrichtung 17 des Hydromotors 13 einen zulässigen Strommaximalwert um einen festgelegten Wert, z. B. 100 mA, übersteigt.Likewise, the error counter "CheckCurrent" of the second controller 4 activated and delayed, z. B. after 600 ms, there is a shutdown of the drive system, when an energization of the output for the electromagnetic proportional valve 16 or the control valve device 17 the hydraulic motor 13 a permissible maximum current value by a specified value, z. B. 100 mA, exceeds.

Schließlich erfolgt durch den Zweitcontroller 4 eine Überwachung auf Ausfall oder Unterbrechung des Freigabeventilstroms an der Freigabeventileinrichtung 23 während der Bewegung des Antriebssystems, d. h. bei durch elektromagnetische Ansteuervorrichtung 20 für die Rückwärtsstellrichtung oder die elektromagnetischen Ansteuervorrichtung 22 für die Vorwärtsstellrichtung angesteuerter Hydraulikpumpe 10. Die Stromgrenzen für den Pumpenstrom sind beispielsweise bei einem 12 V-System mehr als 250 mA und bei einem 24 V-System mehr als 125 mA. Liegen diese vor, wird von einer angesteuerten Hydraulikpumpe 10 ausgegangen. Die Stromgrenzen für den Freigabeventilstrom sind bei einem 12 V-System beispielsweise weniger als 250 mA und bei einem 24 V-System weniger als 125 mA. Ein Wegfall des Freigabeventil-Stroms während der Bewegung des Antriebssystems bewirkt ein Anlaufen des Fehlerzählers des Zweitcontrollers 4 bis auf 30 sowie anschließendes zeitverzögertes Abschalten.Finally done by the second controller 4 monitoring for failure or interruption of the release valve flow to the release valve device 23 during movement of the drive system, ie by electromagnetic drive device 20 for the reverse direction or the electromagnetic drive device 22 for the forward direction direction controlled hydraulic pump 10 , The current limits for the pump current are, for example, more than 250 mA for a 12 V system and more than 125 mA for a 24 V system. If these are present, is by a controlled hydraulic pump 10 went out. The current limits for the release valve current are, for example, less than 250 mA for a 12 V system and less than 125 mA for a 24 V system. An elimination of the release valve current during the movement of the drive system causes a start-up of the error counter of the secondary controller 4 up to 30 and subsequent time-delayed shutdown.

Im dem Normalbetriebszustand ist daher die Funktion des Zweitcontrollers 4 auf die Überwachungsfunktion reduziert. Die Programmierung des Zweitcontrollers 4 ist erheblich vereinfacht und bei Programmierungsänderungen des Funktionscontrollers 1 für den Normalbetriebszustand muss die Programmierung des Zweitcontrollers 4 nicht unbedingt angepasst werden. Dies ermöglicht eine Optimierung der Entwicklungszeit und verringert den Zeitaufwand für die Sicherheitsprüfung der Steuerung.In the normal operating state is therefore the function of the secondary controller 4 reduced to the monitoring function. The programming of the second controller 4 is greatly simplified and in programming changes of the function controller 1 for the normal operating state, the programming of the secondary controller 4 not necessarily adapted. This allows optimization of the development time and reduces the time required for the safety inspection of the controller.

ZITATE ENTHALTEN IN DER BESCHREIBUNG QUOTES INCLUDE IN THE DESCRIPTION

Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.This list of the documents listed by the applicant has been generated automatically and is included solely for the better information of the reader. The list is not part of the German patent or utility model application. The DPMA assumes no liability for any errors or omissions.

Zitierte PatentliteraturCited patent literature

DE 3921286 A1 [0009]

Zitierte Nicht-PatentliteraturCited non-patent literature

Standard EN 954-1 [0005]
Standard DIN EN ISO 13489-1 [0005]
Standard DIN EN ISO 13489-1 [0008]
Standard EN ISO 13849-1 [0013]

Claims

Control method for a drive system with a first function controller ( 1 ), the input signals from operating devices ( 2 ) for the drive system, and with a secondary controller ( 4 ), the input signals of the operating devices ( 2 ) for the drive system and the drive system via a function controller ( 1 ) independent signal path ( 5 ), the function controller ( 1 ) the detected input signals into control signals for controls ( 3 ) of the drive system, characterized in that at least two operating states are distinguished, one operating state being a safety operating state in which the drive system is at a standstill, and a second operating state being a normal operating state in which the drive system is in motion, wherein the Second controller ( 4 ) in the safety operating state as a parallel redundant controller, the detected input signals in control signals for control elements ( 3 ) of the drive system, and in the normal operating state of the second controller ( 4 ) the function of the function controller ( 1 ) supervised.

Control method according to claim 1, characterized in that the secondary controller ( 4 ) in the safety operating state as a parallel redundant controller, the detected input signals for standstill and / or start-up and / or selection of the running direction in control signals for controls ( 3 ) of the drive system.

Control method according to claim 1 or 2, characterized in that the drive system is a travel drive for a mobile work machine, in particular an industrial truck.

Control method according to claim 3, characterized in that the drive system is a hydrostatic drive.

Control method according to claim 4, characterized in that the hydrostatic drive from a in the conveying direction and in the delivery volume adjustable hydraulic pump ( 10 ) and / or a hydraulic motor ( 13 ), in particular a hydraulic motor which can be adjusted in terms of displacement ( 13 ), in a closed circuit, the hydraulic pump ( 10 ) by a pump adjustment device ( 18 ), which is controlled by an electromagnetic drive device ( 20 ), in particular a proportional valve ( 19 ), for the reverse direction and by an electromagnetic drive device ( 22 ), in particular a proportional valve ( 21 ), is controlled for the forward direction, and / or wherein the hydraulic motor ( 13 ) by a motor adjustment device ( 15 ) which is controlled by an electromagnetic drive device ( 17 ), in particular a proportional valve ( 16 ), is driven.

Control method according to Claim 5, characterized in that in the normal operating mode the second controller ( 4 ) monitors whether an exceeding of a maximum current of the electromagnetic drive device ( 20 ) for the reverse direction and / or a maximum current of the electromagnetic drive device ( 22 ) for the forward direction and / or a maximum current of the electromagnetic drive device ( 17 ) of the engine adjusting device ( 15 ) is present.

Control method according to claim 5 or 6, characterized in that in the normal operating mode the second controller ( 4 ) monitors whether a simultaneous energization of the electromagnetic drive device ( 20 ) for the reverse direction and the electromagnetic drive device ( 22 ) is present for the forward direction.

Control method according to one of Claims 5 to 7, characterized in that in the normal operating mode the second controller ( 4 ) while the electromagnetic drive device ( 20 ) for the reverse direction or the electromagnetic drive device ( 22 ) is energized for the forward direction with a minimum current, monitors whether a arranged in the supply line to this release valve device ( 23 ), in particular an electromagnetic switching valve ( 24 ), is supplied with a minimum current.

Control method according to claim 3, characterized in that the drive system is an electric traction drive.

Control method according to claim 1 or 2, characterized in that the drive system is an actuator of a working hydraulics of a truck, in particular a lifting drive of a lifting mast of a forklift.

Control method according to one of Claims 1 to 10, characterized in that the secondary controller ( 4 ) via the independent signaling pathway ( 5 ) can shut down the drive system and shuts off in the event of a detected malfunction.

Control method according to claim 11, characterized in that the secondary controller ( 4 ) with the function controller ( 1 ) is connected via a data bus, in particular SPI bus, whose function is controlled by secondary controllers ( 4 ) and function controller ( 1 ) is monitored and that in the normal operating state in case of failure of the data bus, the drive system is switched off when the output system is in motion.

Control method according to claim 12, characterized in that the secondary controller ( 4 ) in the normal operating state, the input signals of the operating devices ( 2 ) for the drive system and via the data bus the results of the detection of the input signals of the operating devices ( 2 ) by the function controller ( 1 ) and compares them.

Electronic control with a first function controller ( 1 ), the input signals from operating devices ( 2 ) for the drive system, and with a secondary controller ( 4 ), the input signals of the operating devices ( 2 ) for the drive system and the drive system via a function controller ( 1 ) independent signal path ( 5 ), the function controller ( 1 ) the detected input signals into control signals for controls ( 3 ) of the drive system and the function controller ( 1 ) as well as the secondary controller ( 4 ) perform a control method according to any one of claims 1 to 13.

Drive system with an electronic control according to claim 14.

Mobile work machine, in particular an industrial truck such as a forklift, with a drive system according to claim 15.