Hallo zusammen,
Ich möchte eine Schaltung vor dauerhaften Überspannungen schützen. Also
die Art von Überspannung, wo der Schaltregler bzw. LDO schon voll
daneben sind und man verhindern will, dass in der Schaltung noch
irgendetwas unbeabsichtigt aktiv ist.
Nun findet man mit der Crowbar eine etwas brutale, aber effektive Art,
das umzusetzen. In Google ganz oben:
https://www.elektronik-kompendium.de/public/schaerer/crowbar.htm
In meinem Aufbau gibt es nun 2 Spannungspegel, die es zu überwachen
gilt: 3V3 und 7V.
Nun hätte ich 2 Sachen anders gemacht als im Link oben und hätte gerne
eure Meinung dazu:
1) zuerst hätte ich den Thyristor nicht die 3V3 (bzw. 7V) kurzschließen
lassen, sondern direkt die Eingangsspannung. Wenn man nämlich die 3V3
kurzschließt, muss der LDO erst den Schaltregler in Überlast bringen,
und dieser löst dann erst die Sicherung aus. Ich sehe den Vorteil darin
nicht, eher Fehlerpotential. Allerdings wird bei den Crowbars, die ich
gefunden habe, immer die Ausgangsseite kurzgeschlossen. Hab ich was
übersehen, das dagegen spricht?
2) Der Einfachheit halber glaube ich, dass man mit 1 Thyristor 2
Spannungen überwachen kann, wenn man die Schaltung wie oben aufbaut. Da
die Spannung am Gate bzw. zwischen 470 und 100 Ohm nie größer wird als
3V3, dürften sich die beiden Zweige nie beeinflussen, oder?
Dominik schrieb:> Ich möchte eine Schaltung vor dauerhaften Überspannungen schützen.
Eines vorneweg: wozu braucht man sowas?
Ich habe schon zig Schaltungen und zig Stromversorgungen entwickelt und
sowas noch nie gebraucht. Auf jeden Fall kann ich mir keinen Fall
vorstellen, wo so ein Aufbau noch was genützt hätte.
> Hab ich was übersehen, das dagegen spricht?
Im Prinzip nicht.
Aber der DCDC sollte die Masse durchbrücken. Sonst fehlt dem Thyristor
der Potentialbezug.
Und dir ist hoffentlich schon klar, dass der Schaltpunkt dieser analogen
Schaltung mit Z-Diode und Thyristor reichlich undefiniert und
temperaturabhängig ist.
> Allerdings wird bei den Crowbars, die ich gefunden habe, immer die> Ausgangsseite kurzgeschlossen.
Weil das normalerweise die einzigen Klemmen sind, an die man kommt. Und
in diesem Fall ist so ein "Brechwerkzeug" eben noch die einzige
Maßnahme, die man da einsetzen kann.
Was spricht aber in deinem Fall eigentlich dagegen, die
Eingangsspannung im Fehlerfall einfach mit einem Transistor
abzuschalten. Dann spart man sich den laufenden Sicherungstausch.
Lothar M. schrieb:> Ich habe schon zig Schaltungen und zig Stromversorgungen entwickelt und> sowas noch nie gebraucht.
Ich kenne Leute, denen in den 1990er Jahren im PC ein Netzteil
hochgegangen ist und in der Folge die Festplatte gestorben. Da hätte ein
Crowbar (wie ich ihn aus der Prä-PC-Ära aus vielen Computern kannte)
sicher geholfen. Mein alter Eigenbau-CP/M-Computer hatte auch einen,
aber der hat nie getriggert. ;)
Lothar M. schrieb:> Eines vorneweg: wozu braucht man sowas?
Im Safety-Manual meines µCs steht, dass man ihn vor Überspannung
schützen muss(ehklar). Und einfach den Reset ziehen spielts da ja nicht
mehr, weil das Teil wird ja trotzem hin. Da da der Fehlermodi nicht
definiert ist, muss man dafür Sorgen, dass nach einer Überspannung das
Gerät nicht mehr funktioniert.
Lothar M. schrieb:> Was spricht aber in deinem Fall eigentlich dagegen, die> Eingangsspannung im Fehlerfall einfach mit einem Transistor> abzuschalten.
Also wenn die Spannungsversorgung kaputt geht und die Crowbar auslöst
soll das Teil eh zum Service. Soll aber natürlich so ausgelegt sein,
dass die Crowbar nur auslöst, wenn die Spannungsversogung -wirklich-
kaputt ist.
Lothar M. schrieb:> Aber der DCDC sollte die Masse durchbrücken. Sonst fehlt dem Thyristor> der Potentialbezug.
Stimmt, ist gemacht.
Lothar M. schrieb:> Und dir ist hoffentlich schon klar, dass der Schaltpunkt dieser analogen> Schaltung mit Z-Diode und Thyristor reichlich undefiniert und> temperaturabhängig ist.
Ja, leider. Die genaue Rechnung mit Toleranzen steht ja noch an. Aber
mein Bachgefühl sagt mir, dass ich um die genaue Lösung mit
Spannungsreferenz nicht herumkomme(auch weil sie ja nicht unabsichtlich
auslösen darf). Da das meine Frage aber nicht beeinflusst, habe ich das
mal aussen vorgelassen.
Dominik schrieb:> Im Safety-Manual meines µCs steht, dass man ihn vor Überspannung> schützen muss(ehklar).
Ja schon, aber warum erwartest du da bei Seriengeräten überhaupt
Überspannungen? Stochert ja keiner in der Schaltung herum...
Und noch ein Gedanke: ist der µC wirklich so teuer, dass es sich
"lohnt", hunderte Geräte mit Hardware auszuliefern, die nie zuschlägt,
nur um ggfs. 1 µC zu schützen? Und zudem ist das Gerät in so einem Fall
ja sowieso kaputt und muss zur Reparatur.
Thyristoren kannst Du nicht auf den Punkt zünden. Sie haben einen
relativ großen Bereich für die Gate-Spannung und den minimalen
Gate-Strom, mit der/dem sie zünden. Möchtest Du es genau haben, dann
mußt Dir Dir schon eine geeignete Schaltung zur Gate-Ansteuerung
ausdenken.
Wir schützen übrigens Leistungshalbleiter mit dem Crowbar-Prinzip bei
max. Strömen von >2000A und Auslösezeiten <1µs.
Lothar M. schrieb:> Ja schon, aber warum erwartest du da bei Seriengeräten überhaupt> Überspannungen? Stochert ja keiner in der Schaltung herum...
Standard-Fehlermodi muss man betrachten... und ein Standard-Fehlermodus
bei einer Spannungversorgung ist nunmal: Zu viel Spannung.
Lothar M. schrieb:> Und noch ein Gedanke: ist der µC wirklich so teuer, dass es sich> "lohnt", hunderte Geräte mit Hardware auszuliefern, die nie zuschlägt,> nur um ggfs. 1 µC zu schützen?
Nein, da hast du natürlich recht, das lohnt sich nicht. Ich will die
Person, die das Ding fährt, schützen (Darum auch der Verweis aufs Safety
Manual). Überspannungen machen können halt "Depscher" in eine CPU
machen. Dann rechnet sie nicht mehr richtig, Speicherfehler und so
weiter, lebt aber nocht(Hab ich schon erlebt). Da sollte vermieden
werden, dass das Gerät nach einer Überspannung wieder in Betrieb
genommen wird.
fisch schrieb:> Möchtest Du es genau haben, dann> mußt Dir Dir schon eine geeignete Schaltung zur Gate-Ansteuerung> ausdenken.
Hast du da an sowas gedacht?
https://www.elektronik-kompendium.de/public/schaerer/bilder/crowb_02.gif
Du knobelst dir da m.E. was zusammen, was es in der Wirklichkeit nicht
gibt.
Wenn da Sicherheitsbedenken sind, dann knüppelt man im Fehlerfall nicht
die Versorgung der CPU platt, sondern man schaltet die relevanten
Ausgänge inaktiv.
Dominik schrieb:> Verweis aufs Safety Manual
Was und wofür ist das? Was wird da "gefahren"?
> Standard-Fehlermodi muss man betrachten...
Sagt wer? Und wofür?
> und ein Standard-Fehlermodus> bei einer Spannungversorgung ist nunmal: Zu viel Spannung.
Für wie lange?
Denn in deiner Crowbar-Schaltung kann ich ja sorgenfrei mit einem kurzen
Spike die CPU grillen und die Crowbar juckt das gar nichts.
> Dann rechnet sie nicht mehr richtig, Speicherfehler und so weiter, lebt> aber nocht(Hab ich schon erlebt).
Was waren da die Rahmenbedingungen? Woher kam die Überspannung?
Lothar M. schrieb:> Dominik schrieb:>> Ich möchte eine Schaltung vor dauerhaften Überspannungen schützen.> Eines vorneweg: wozu braucht man sowas?> Ich habe schon zig Schaltungen und zig Stromversorgungen entwickelt und> sowas noch nie gebraucht.
Du mußt jung sein :)
Zu Zeiten der TTL-Gräber war so etwas gang und gäbe. So ein 5V Netzteil
mußte im Betrieb etliche Ampere liefern. Und wenn es durchgegangen ist
und die Ausgangsspannung über 7V gestiegen ist, gab es eine große
Menge an Kollateralschäden. Deswegen die Crowbar - allerdings typisch am
Ausgang des Netzteils.
> der DCDC sollte die Masse durchbrücken. Sonst fehlt dem Thyristor> der Potentialbezug.
Ja. Ich nehme an, so war das gemeint. Auch wenn das Schaltbild das nicht
explizit zeigt.
> Was spricht aber in deinem Fall eigentlich dagegen, die> Eingangsspannung im Fehlerfall einfach mit einem Transistor> abzuschalten.
Es ist im Zweifelsfall sicherer, die Ausgangsspannung kurzzuschließen.
Thyristoren sind sehr robust. Es ist weit weniger wahrscheinlich daß
die Crowbar versagt, als daß der Abschalttransistor versagt. Denn wenn
der angepeilte Fehlerfall eintritt, hat ja bereits ein Transistor
zwischen Rohspannung und Ausgangsspannung versagt.
Suppressordioden werden ähnlich ausgelegt. Die sollen nicht nur
Spannungsspitzen ableiten, sondern werden im Überlastfall auch
niederohmig und sorgen dann für einen dauerhaften Kurzschluß. Als Schutz
gegen das (weitere) Ansteigen der Spannung ist das perfekt.
> Dann spart man sich den laufenden Sicherungstausch.
Wenn diese Sicherung ausgelöst hat, dann ist das Gerät ein Fall für
den Service. Sicherung tauschen und weiter ist dann keine Option.
Dominik schrieb:> ... hätte ich den Thyristor nicht die 3V3 (bzw. 7V) kurzschließen> lassen, sondern direkt die Eingangsspannung. Wenn man nämlich die 3V3> kurzschließt, muss der LDO erst den Schaltregler in Überlast bringen,> und dieser löst dann erst die Sicherung aus.
Das ist ein Fehlschluß. Der Zweck des gezündeten Thyristors ist nicht,
daß er die Sicherung durchbrennen lassen soll. Er soll die Spannung auf
der geschützten Rail am weiteren Ansteigen hindern. Die Sicherung
schützt nur den Teil vor der Crowbar.
In deinem Fall mit zwei überwachten Ausgangsspannungen hast du
natürlich einen Vorteil, wenn du die gemeinsame Rohspannung
kurzschließt. Du brauchst so nur eine Crowbar. Und im Fall des Falles
sind beide Ausgangsspannungen gleichzeitig totgelegt.
Einen Nachteil gibt es aber auch: wenn im Zwischenkreis [1] genügend
Energie gespeichert ist, kann die Schaltung am Ausgang trotzdem hops
gehen. Obwohl die Crowbar ausgelöst hat.
[1] sagen wir mal der 3V3 Regler geht durch. Wenn der
Ausgangskondensator des 7V Bucks groß genug ist, reicht seine Energie
u.U. zur Zerstörung der Schaltung an der 3V3 Rail. Auch wenn du seine
Eingangsspannung kurzschließt.
Axel S. schrieb:> Zu Zeiten der TTL-Gräber war so etwas gang und gäbe. So ein 5V Netzteil> mußte im Betrieb etliche Ampere liefern. Und wenn es durchgegangen ist> und die Ausgangsspannung über 7V gestiegen ist, gab es eine große Menge> an Kollateralschäden.
Ja, das war der Stand vor etwa 30 Jahren. Denn seit dann Jahren packt
man große Logikhaufen in programmierbare Bausteine (da komme dann ich
ins Spiel...) ?
Und wie gesagt: hier, wo es offenbar hauptsächlich um einen uC geht,
zieht das Argument "aufwändiger Tausch der defekten Bauteile" nicht
mehr.
Ich habe zehntausende Schalt- und Linearregler ausliefern lassen und das
einzige Mal, dass mal einer durchgeht, ist bei der Inbetriebnahme der
Prototypen.
Etwas anderes ist es, die 42-58V Eingangsspannung dieser Anordnung zu
überwachen und ggfs kurzzuschließen, um dem DCDC Wandler am Eingang vor
Überspannung zu schützen. Je nachdem, wo diese Versorgung herkommt und
wer daran herumbasteln darf, könnte es sonst sein, dass der da 100V
anlegt und deshalb irgendwann der DCDC Wandler kaputtgeht und dann
hinten zu viel Spannung liefert.
Deshalb wäre es zumindest sinnvoll auch die Eingangsspannung als
dritte zu überwachende Spannung mit in die Auswertung aufzunehmen.
Lothar M. schrieb:> Dominik schrieb:>> Verweis aufs Safety Manual> Was und wofür ist das? Was wird da "gefahren"?http://www.ti.com/lit/ug/sprui78c/sprui78c.pdf
Da steht halt drinn, wie der Prozessor zu benutzen ist, damit er z.B.
mit ISO 26262,IEC 61508 compliant ist. (Mir fällt nach der ganzen
englischen Liternei das deutsche Wort dafür grad nicht ein)
Lothar M. schrieb:> Sagt wer? Und wofür?
Macht man - was ich bis jetzt gesehen habe - in so ziemlich jeder
Fehleranlayse, siehe z.B. FMEA.
Und die Fehleranalyse braucht man halt wieder für z.B. ISO 26262,IEC
61508.
Lothar M. schrieb:> Für wie lange?> Denn in deiner Crowbar-Schaltung kann ich ja sorgenfrei mit einem kurzen> Spike die CPU grillen und die Crowbar juckt das gar nichts.
Da hast du natürlich vollkommen recht. Aber mir geht es an einer
besseren Idee ab. Damit es einen Mehrwert hat, darf danach nicht mehr
zum einschalten sein. Sonst könnt ich ja einfach den Reset von der CPU
ziehen.
Lothar M. schrieb:> Wenn da Sicherheitsbedenken sind, dann knüppelt man im Fehlerfall nicht> die Versorgung der CPU platt, sondern man schaltet die relevanten> Ausgänge inaktiv.
Und nach der Überspannung? Probiert man einschalten und hofft dass alles
OK ist? Und mit was schaltest du ab? Mit der CPU, die vll gegrillt ist?
Lothar M. schrieb:> Was waren da die Rahmenbedingungen? Woher kam die Überspannung?
Es war ein Prototyp, wo ein Ungeschick passiert ist (metallsicher
Kontakt über Leiterplatte). Also welche Spannung genau wo angelegen ist,
kann ich nicht sagen. Zuerst dachten wir, dass wir Glück gehabt hätten.
Aber dann haben wir gesehen, dass die Logs über UART komische Zeichen
beinhaltet haben, die nicht kommen dürften (UART-Empfangsfehler
ausgeschlossen). Debuggen über JTAG hat auch wunderbar funktioniert, und
auch einzelne Programmteile sind noch gelaufen. Allerdings war auch nach
erneutem Flashen der RAM und Flash in manchen Bereichen fehlerhaft.
Axel S. schrieb:> Das ist ein Fehlschluß. Der Zweck des gezündeten Thyristors ist nicht,> daß er die Sicherung durchbrennen lassen soll. Er soll die Spannung auf> der geschützten Rail am weiteren Ansteigen hindern. Die Sicherung> schützt nur den Teil vor der Crowbar.
ja, voll. Ich muss mir nochmal anschauen, was da an Kondis verbaut ist.
Aber wenn die Crowbar auslöst, kann man in dem µs Bereich keine Aktion
mehr durchführen, die den Benutzer gefährdet. (Also z.B. 10µs Vollgas
tut keinem Weh, wenns mit dem Durchbrennen der Sicherung sicher vorbei
ist). Das Board wird ja dann sowieso getauscht.
Lothar M. schrieb:> Ich habe zehntausende Schalt- und Linearregler ausliefern lassen und das> einzige Mal, dass mal einer durchgeht, ist bei der Inbetriebnahme der> Prototypen.
Diese Erfahrung habe ich leider noch nicht. Hoffentlich kann ich das
auch mal sagen :). An dieser Stelle: Danke vielmals, dass Ihr euch die
Zeit nehmt und mir helft! Einen Rat von jemandem mit viel Erfahrung ist
immer eine enorme Hife!
Lothar M. schrieb:> Etwas anderes ist es, die 42-58V Eingangsspannung dieser Anordnung zu> überwachen und ggfs kurzzuschließen, um dem DCDC Wandler am Eingang vor> Überspannung zu schützen.
Ist batteriegetrieben und sehr verbaut, ausser im vorsätzlichen
Missbrauchsfall kommt da keiner dazu.
Dominik schrieb:> Lothar M. schrieb:>> Was waren da die Rahmenbedingungen? Woher kam die Überspannung?> Es war ein Prototyp, wo ein Ungeschick passiert ist
q.e.d.
> Da steht halt drinn, wie der Prozessor zu benutzen ist, damit er z.B.> mit ISO 26262,IEC 61508 compliant ist.
Alles klar, du brauchst das nicht zum Schutz des Prozessors, sondern zum
Erfüllen der Norm. Dann bleibt dir da tatsächlich leider nichts anderes
übrig, als sowas einzubauen.
Lothar M. schrieb:> das einzige Mal, dass mal einer durchgeht, ist bei der Inbetriebnahme> der Prototypen.
Einen LTC1475 statt an 12V an 24V gehängt: Puff, und der nRf24 auf der
3.3V Seite ist hin. Der Atmega hats überlebt.
Aber wegen so Kleinkram überall Crowbars einzuplanen halte ich für
übertrieben.
Schau dir mal das TL431 Datenblatt von TI an.
Die dort vorgeschlagene Crowbar funktioniert tadellos und blitzschnell.
Wenn man sie ein wenig modifiziert kann man damit auch einen
Schaltregler deaktivieren oder ein Trennrelais aktivieren.
Gruß
Anselm
> Die dort vorgeschlagene Crowbar funktioniert tadellos und blitzschnell.
Silizium schmilzt schneller als manche Sicherung. :-) In der
Vergangenheit gab es auch einige Crowbar-Thyristoren, die den Deckel
aufgemacht haben (weil sie zu schwächlich waren).
Ich wollt grad sagen, der TL431 ist doch prädestiniert für solche
Kippschaltungen.
Mir hätte so eine Crowbar vor kurzen noch 4k€ Schaden erspart. Da war
ein Labornetzteil durchgegangen.
Wobei ich mich nach wie vor scheue, Produkte von Voltcraft und Peaktech
als "Labornetzteil" zu bezeichnen. Eigentlich sind die größtenteils
Kernschrott.
Mein Gossen Konstanter von vor 30 Jahren hat sogar eine eingebaute
Crowbar.
Mach doch lieber ein "Surge Stopper" gibt's von LT vor deine Schaltung.
Der bügelt dir Überspannungen weg und man kann ihn als Überstrom Schutz
nutzen...
Vielleicht besser die Elektronik schützen anstatt wenn Überspannung
direkt richtig hinüber und erstmal Müll oder einschicken...
Anselm 6. schrieb:> Schau dir mal das TL431 Datenblatt von TI an.> Die dort vorgeschlagene Crowbar funktioniert tadellos und blitzschnell.
Hab ich mit angeschaut, schaut einfach & gut aus. Danke!
Abdul K. schrieb:> Halbleiter neigen zum Durchlegieren, sind also als serielle> Schutzmaßnahme allein nicht benutzbar.
Gerade für sicherheitskritische Schaltungen sehe ich das auch so.
Noch ein kleiner Hinweis,
die Beispielschaltung der Crowbar ist extrem flink,
die ging bei mir gelegentlich "ungewollt" los.
Abhilfe schafft man mit einem 100nF am unteren Widerstand des
Spannungsteiles am Steuereingang des TL431. Das bremst ihn ein wenig ;)
crowbar-82.png
(530 KB)
