DE2134079A1 - - Google Patents

Description

FA	JKT. . B.	HOLZRB
89	ÜG	SBUUG
PHXUPPI]	-WKl	-^EK-STIiASSBl*
	ix.« ro	Ki S1S73
Tl G
A
HB

R. 805

Augsburg, den J, Juli I97I

Der Staatssekretär für Verteidigung in der Regierung Ihrer Majestät der Königin des Vereinigten Königreiches von Großbritannien und Nordirland, Whitehall, London, S.W.l, England

On-Line-Rechnersteuerungssystem

Die Erfindung betrifft On-Line-Rechnersteuerungssysteme für technische Anlagen mit zwei Steuerungskanälen. Eine solche technische Anlage stellen beispielsweise die Gasturbinentriebwerke eines Plugzeuges dar.

Es ist bereits bekannt, ein einziges Triebwerk durch

— 1 —

109884/1250

zwei Rechner zu steuern, wobei der eine Rechner sicherheitshalber zur Reserve für den anderen dient. Das bedeutet, daß bei allen Anlagen, die zwei oder mehr als zwei Triebwerke aufweisen, die Anzahl der vorhandenen Rechner immer doppelt so groß ist wie die Anzahl der Triebwerke und daß ein Totalausfall der Anlage aufgrund eines Rechnerversagens nur in dem unwahrscheinlichen Fall eintreten kann, daß eine große Anzahl von Rechnern gleichzeitig ausfällt. Eine derartige Anlage hat deshalb einen übermäßig hohen Redundanzfaktor.

Es ist außerdem bereits bekannt, ein einzelnes Triebwerk mit zwei identischen Gruppen von Steuerungsmeßumformern zu versehen, wobei die eine Gruppe mit dem einen und die andere Gruppe mit dem anderen Rechner verbunden ist. Das hat zur Folge, daß das Versagen eines Meßumformers einer Gruppe den gesamten Rechner-Triebwerk-Steuerungskanal unwirksam macht, der die betreffende Gruppe steuert, und daß der auf die andere Gruppe einwirkende Reserverechner in Benutzung genommen werden muß.

Durch die Erfindung soll die Aufgabe gelöst werden, ein On-Line-Rechnersteuerungssystem zu schaffen, welches eine Verringerung der Anzahl der pro Anlage vorhandenen

109884/1250

Rechner bei gleichzeitiger Verbesserung der Störungssicherheit gestattet.

Im Sinne der Lösung dieser Aufgabe beinhaltet die Erfindung ein On-Line-Reohnersteuerungssystem für technische Anlagen mit mindestens zwei Steuerungskanälen, welches gemäß der Erfindung gekennzeichnet ist durch eine gleiche Anzahl diesen Kanälen Jeweils einzeln zugeordneter Rechner, die jeweils mit einer an die betreffende technische Anlage anschließbaren Eingabe/Ausgabe-Einheit verbindbar sind, weiter durch Einrichtungen zum Feststellen von Steuerstörungen in dem einen Kanal, ferner durch Störungsantworteinrichtungen, die in Abhängigkeit von einer in dem einen Kanal auftretenden Störung den einen Rechner unwirksam machen, und schließlich durch Einrichtungen, die in Abhängigkeit von dem unwirksam gemachten einen Rechner den Rechner des anderen Kanals mit der Eingabe/Ausgabe-Einheit des einen Kanals verbinden.

Gemäß einer Ausführungsform der Erfindung können die Eingabe/Ausgabe-Einheiten der beiden Kanäle jeweils mit zwei zu steuernden Triebwerken verbunden sein. Das führt auf eine Anlage, bei welcher das Versagen eines der Rechner nicht beide Triebwerke ihrer Steuerung beraubt, obwohl nur ein Rechner pro Triebwerk vorhanden ist. Auf

— 3 _
109884/1250

diese Weise kann eine Anlage, die zwei oder mehr Triebwerke aufweist, mit mindestens zwei Rechnern versehen werden, und die Wahrscheinlichkeit eines -Totalausfalls der Anlage aufgrund von Rechnerstörungen entspricht dem gleichzeitigen Ausfall von mindestens zwei Rechnern. Die Anzahl der Rechner, die zusätzlich zu den beiden verwendeten Rechnern vorhanden sind, hängt von dem gewünschten Sicherheitsgrad ab. Im folgenden wird gezeigt, daß die Anzahl der Rechner nicht größer zu sein braucht, als die Anzahl der in der Anlage vorhandenen Triebwerke.

In Weiterbildung dieses Gedankens können die Eingabe/ Ausgabe-Einheiten der beiden Kanäle jeweils mit zwei identischen Gruppen von Steuerungsmeßumformern eines Triebwerks verbunden sein, so daß bei Ausfall eines Meßumformers der einen Gruppe der eine Rechner in der Lage ist, das Triebwerk über den entsprechenden Meßumformer ψ des anderen Triebwerks zu steuern, was bedeutet, daß das Triebwerk nur dann der Steuerung beraubt ist, wenn zwei entsprechende Meßumformer gleichzeitig ausfallen. Für diesen wahlweisen Einsatz der Meßumformer ist die Einrichtung zum Peststellen von Steuerstörungen für das Feststellen von Meßumformerstörungen und zur Herstellung einer Verbindung des einen Rechners mit den in Frage kommenden Eingabe/Ausgabe-Einheiten ausgelegt.

- 4 109884/1250

Wenn zwei Triebwerke mit jeweils zwei Gruppen von Meßumformern durch das On-Line-Rechnersteuerungssystem nach der Erfindung gesteuert werden sollen, wird die Eingabe/ Ausgabe-Einheit jedes Kanals mit einer Gruppe von Meßumformern des einen Triebwerks und mit einer Gruppe von Meßumformern des anderen Triebwerks verbunden. Das Steuerungssystem nach der Erfindung weist Einrichtungen zur Verbindung des Rechners des einen Kanals mit dem Ausgangsabschnitt des anderen Kanals auf, wodurch jedem Rechner der Zugriff zu beiden Gruppen von Meßumformern des ihm zugeordneten Triebwerks ermöglicht wird. Der Vorteil dieser Anordnung besteht darin, daß bei Ausfall eines Ausgangsabschnittes des einen der Kanäle nur eine Gruppe von Meßumformern jedes Triebwerks unwirksam wird und daß der Ausgangsabschnitt des anderen Kanals zur Steuerung beider Triebwerke mit Hilfe der übrigen einzelnen Gruppen von Meßumformern zur Verfügung steht.

Zur Verbindung des Rechners jeweils eines Kanals mit dem Ausgangsabschnitt des anderen Kanals weist jeder Kanal eine Abzweigung auf, die zum wahlweisen Anschluß des Rechners an diesen Ausgangsabschnitt mit dem Ausgangsabschnitt des anderen Kanals verbunden ist.

Da gemäß der Erfindung beide Rechner jeweils mit den Ausgangsabschnitten des anderen Kanals verbindbar sind, ist

- 5 109884/1250

es wichtig, daß sämtliche Betriebsabläufe, die sich aus einer Rechnerstörungssituation ergeben, schnell und zuverlässig ausgeführt werden, damit nicht der gestörte Rechner die Steuerung beider Ausgangsabschnitte übernimmt. Zu diesem Zweck weist die Störungsantworteinrichtung jedes einzelnen Kanals ein Relais auf, welches in Abhängigkeit von einer Störung betätigbar ist und den Zugriff des Rechners des einen Kanals zu dem Ausgangsabschnitt und zu W . der Abzweigung des Kanals unterbricht, und ein weiteres, ebenfalls in Abhängigkeit von einer Störung betätigbares Relais auf, welches die Stromversorgung des Rechners unterbricht, wobei das letztgenannte Relais über eine zwischengeschaltete Verzögerungseinrichtung derart betätigbar ist, daß, während der Rechnerzugriff unmittelbar unterbrochen wird, der Rechner jedoch nicht sofort stromlos gemacht wird, da es sich um eine vorübergehende Störung handeln könnte.

Die Kanäle weisen jeweils Abfühleinrichtungen auf,

die feststellen, ob in dem anderen Kanal eine Störungssituation vorhanden ist und die einen in der Stromversorgung des Rechners des anderen Kanals liegenden Meßfühler aufweisen, so daß bei Unterbrechung der Stromversorgung des anderen Kanals infolge einer Störung dies dem einen Kanal mitgeteilt und dazu verwendet wird, den Rechner des einen Kanals mit beiden Ausgangsabschnitten zu verbinden.

- 6 109884/1250

Zur Peststellung und Beantwortung von Störungen weist Jeder eine Kanal Einrichtungen zum Starten von zwei Rechnern in regelmäßigen Zeitintervallen auf, wobei der eine Zähler eine festgelegte Zählung ausführt und wobei die Zählung des anderen Zählers vom Ergebnis eines Prüfprogramms bestimmt wird, welchem der Rechner des Kanals unterzogen wird, wobei die letztgenannte Zählung nur dann in bestimmtem Verhältnis zu der festgelegten Zählung steht, wenn der Rechner in Ordnung ist. Außerdem weist jeder eine Kanal Einrichtungen auf, die dann ein Störungsausgangssignal erzeugen, wenn das vorher festgelegte verhältnis nicht eingehalten wird. Diese Anordnung ermöglicht bei einer Rechnerstörung eine sehr zuverlässige Erzielung eines Störungsantwortsignals.

Ein Ausführungsbeispiel der Erfindung, bei welchem das On-Line-Rechnersteuerungssystem auf zwei Rechner angewendet wird, die zwei lediglich als Beispiel gewählte Plugzeuggasturbinentriebwerke steuern, ist in den Zeichnungen dargestellt und wird im folgenden näher beschrieben. Es zeigen:

Fig. 1 ein Blockdiagramm des gesamten

Steuerungssystems nach der Erfindung,

- 7 -109884/1250

Pig. 2 ein gegenüber Fig. 1 verein

fachtes Diagramm, welches die Auswirkungen einer Störung in einem der Rechner zeigt,

Fig. 3 in einem Diagramm wie in Fig.

die Auswirkungen einer Störung in einer Vielfachleitungsverbindung zwischen einem der Rechner und einem der Triebwerke,

Fig. 4 in einem Blockdiagramm die

Anwendung des Rechnersteuerungssystems nach der Erfindung ■ auf vier Triebwerke,

ψ Fig. 5 ein Blockdiagramm der Progrämm-

organisation eines der Rechner,

die Fig. 6.1

und 6.2 jeweils Logikdiagramme von

Störungsantworteinheiten des Rechnersteuerungssystems nach der Erfindung,

- 8 109804/1250

Fig. 7 ein Logikdiagramm eines

sogenannten "Fenster"-Generators der Fehlerantworteinheiten,

Fig. 8 eine Einzelheit eines

Koinzidenzdetektors der Fehle rantwort e inhei ten,

Fig. 9 ein Logikdiagramm einer

Verriegelungsanordnung des Rechnersteuerungssystems nach der Erfindung,

die Fig. 10.1

und 10.2 Jeweils Logikdiagramme

von Vielfaohleitungssehaltern des Rechnersteuerungssystems nach der Erfindung,

Fig. 11 eine Darstellung von

Eingangs-Ausgangs-Verbindungen mit den Triebwerken,

Fig. 12 ein Signaltaktdiagramm für

— Q _

109884/1250

213AÜ79

das Rechnersteuerungssystem nach der Erfindung,

Fig. 13 einen Impulsplan, der für

das Schaltbild in Pig. IO die Auswirkung einer Rechnerstörung zeigt,

Fig. 14 einen Impulsplan, der für

das Schaltbild nach Fig. die Auswirkung einer Vielfachleitungsstörung zeigt,

Fig. 15 einen Impulsplan, der für

das Schaltbild nach Fig. die Auswirkung einer Störung in der Verbindung zwischen den beiden Rechnern zeigt, und

die Fig. 16

bis 22 aufeinanderfolgende Daten-

flußdiagramme des Gesamtprogramms des Rechnersteuerungssystems nach der Erfindung.

- 10 84/125-0

In Fig. 1 ist ein Digitalrechner 100 dargestellt, der über eine Vielfachleitung 102 mit einem Vielfachleitungsschalter 104 verbunden ist. Der Vielfachleitungsschalter 104 ist über eine Vielfachleitung 106 mit einer Eingabe/Ausgabe-Einheit 107 verbunden, die über Meßumformerleitungen 110 an eine Gruppe von Meßumformern 112 eines Triebwerkes 114 und über eine weitere Gruppe von Meßumformerleitungen Il6 an eine Gruppe von Meßumformern 218 eines weiteren Triebwerks 214 angeschlossen ist.

Ebenso ist ein weiterer Digitalrechner 200 über eine Vielfachleitung 202 mit einem Vielfachleitungsschalter verbunden. Der Vielfachleitungsschalter 204 ist über eine Vielfachleitung 206 mit einer Eingabe/Ausgabe-Einheit 207 verbunden, die über Meßumformerleitungen 210 an eine Gruppe von Heßumformern 212 eines Triebwerkes 214 und über weitere Meßumformerleitungen 216 an eine Gruppe von Meßumformern 118 des Triebwerkes 114 angeschlossen ist.

Die Vielfachleitung 102 weist eine von einer Verbindungsstelle 105 ausgehende Abzweigung 103 auf, über welche der Rechner 100 mittels des Schalters 204 mit der Vielfachleitung verbindbar ist. Die Vielfachleitung 202 weist eine von einer Verbindungsstelle 205 ausgehende Abzweigung 203

- 11 -

109884/1250

auf, über welche der Rechner 200 mittels des Schalters mit der Vielfachleitung 106 verbindbar ist.

Die Vielfachleitungen 102, 103, 106 und der Schalter bilden das Vielfachleitungssystem des Rechners 100. Für den Rechner 200 ist ein entsprechendes Vielfachleitungssystem vorhanden.

Die Meßumformer 112, 118, 212 und 218 sind entweder Stellantriebe zur Erzeugung einer Ausgangswirkung in dem betreffenden Triebwerk oder Meßfühler zur Erzeugung eines Informationssignals aus dem betreffenden Triebwerk bzw. aus dessen Umgebung.

Den Triebwerken 114 bzw. 214 sind zwei Pilotengashebel 120 bzw. 220 zugeordnet, über welche den Rechnern ein Befehlssignal für die Triebwerksgeschwindigkeit oder die Brennstoffzufuhr eingegeben werden kann. Die Stellung des Hebels 120 wird durch jeweils einen der Meßumformer 112, 118 abgefühlt, während die Stellung des Hebels 220 jeweils durch einen der Meßumformer 212, 218 abgefühlt, wird.

Die Meßumformer 112 sind jeweils Duplikate der Meßumformer 118, d.h. für jeden Parameter ist ein Paar gleicher

- 12 -

109884/1250

, Meßumformer 112, 118 vorhanden. Die Meßumformer 212, bilden ebenfalls Paare.

Die Eingabe/Ausgabe-Einheiten 107, 207 enthalten Multiplexer 108, 208 zum Adressieren der einzelnen Meßumformerleitungen 110, 116, 210, 216, und außerdem in bezug auf diese Leitungen Konverter 122, 222 zur Herstellung der Kompatibilität zwischen den Digitalrechnern und den im allgemeinen analogen Meßumformern.

Jede Vielfachleitung besteht aus drei Leitungen, nämlich aus der mit den Meßfühlern verbundenen Eingabevielfachleitung 3, der mit den Stellantrieben verbundenen Ausgabevielfachleitung 2 und der Adressenvielfachleitung 1, über welche der Rechner den besonderen Meßumformer oder ein anderes entsprechendes Ausrüstungsteil auswählt, welches zur Eingabe oder Ausgabe mit dem Rechner zu verbinden ist.

In Fig. 1 sind die Vielfachleitungsschalter und die Eingabe/Ausgabe-Einheiten symbolisch als einfache Drehschalter dargestellt. Ihr tatsächlicher Aufbau ist im folgenden im einzelnen beschrieben. An dieser Stelle genügt eü zu wissen, daß die Vielfachleitungsschalter durch Aüresaensignale auf der Adressenvielfachleiturio betätigt

- 13 -

109884/1250

werden und daß die Adressenvielfachleitungen selbst durch Adressensignale auf diesen Vielfachleitungen umgeschaltet werden. Die Multiplexer werden ebenfalls durch Adressensignale umgeschaltet.

Normalerweise steuert der Rechner 100 das Triebwerk 114, welches sein ihm "zugeordnetes" Triebwerk ist, während der Rechner 200 das Triebwerk 214 steuert. Der Informationsaustausch zwischen dem Rechner 100 und den Meßumformern erfolgt über die Leitungen 110, während der Informationsaustausch 3wischen diesem Rechner und den Meßumformern jedoch über die Abzweigung 103 und die Leitungen 216 erfolgt. In gleicher Weise kann der Rechner 200 die Meßumformer 212, 218 jeweils über die Vielfachleitungen 206, 106 adressieren.

ψ Jeder der Rechner ist in der Lage, die Schalter 104,

204 zu adressieren, um Zugriff zu den Ilultiplexern zu haben. Es sind Vorkehrungen getroffen um zu verhindern, daß die Rechner gleichzeitig Zugriff zu den gleichen Multiplexern haben.

Der Rechner 100, sein Vielfachleitungssystem, sein im folgenden näher beschriebenes Störungssystem 3Ov/ie seine

- 14 -

109884/1250

Eingabe/Ausgabe-Einheit 107 und seine Meßumformer 112, bilden einen Steuerkanal 101. Es ist ein entsprechender Steuerkanal 201 vorhanden. Es ist klar, daß der Rechner 100 nur .über den Kanal 201 unter Verwendung der Vielfachleitung 103 und der Meßumformerleitungen 216 Zugriff zu den Meßumformern 118 gewinnen kann. Entsprechend muß der Rechner 200 für einen Zugriff zu den Meßumformern 218 über den Kanal 101 gehen. Die Trennlinie zwisehen den beiden Kanälen ist in Fig. 1 willkürlich als Mittellinie 0 eingezeichnet; tatsächlich ist diese Trennlinie jedoch etwas komplex. Beispielsweise endigt, soweit es die Vielfachleitung 103 betrifft, der Kanal 101 in dem Schalter 204,

Aus Sicherheitsgründen sind die Kanäle 101, 201 in dem Flugzeug, in welchem die Triebwerke installiert sind, so weit wie praktisch möglich voneinander entfernt angeordnet. Die Kanäle sind über drei Kabel Cl, C2, C3 miteinander verbunden, von welchen zwei die Vielfachleitungen 103, bilden, während das dritte für das im folgenden beschriebene Störungssystem vorgesehen ist. Die Kabel sind in dem Kanal über Stecker Pll, P12, P13 und in dem Kanal 201 durch Stecker P21, P22, P23 angeschlossen.

- 15

109884/1250

Störungsarten und ihre Beziehung zur Auslegung des Systems

Der Rechner 100 ist auf das Peststellen von Störungen programmiert, was im folgenden noch näher beschrieben ist, und weist ein Störungssystem auf, zu welchem eine Verbindung 124A zwischen der Ausgangsleitung der Vielfachleitung 102 und einer Störungsantworteinheit 126A gehört, die bei Pest-

h stellung bestimmter Störungen ein Relais 128A auslöst und dadurch eine Leitung 13°, die die Stromversorgungsleitung des Rechners bildet, unterbricht. Diese Unterbrechung wird durch einen Meßfühler 132a abgefühlt, der über eine Verriegelungsleitung 134R mit der Eingangsleitung der Vielfachleitung 202 des Rechners 200 verbunden ist, so daß eine Unterbrechung in der Stromversorgungsleitung des Rechners 100 dem Rechner 200 signalisiert wird. Der Rechner weist zusätzlich zu dem Steuerprograrmn für das Triebwerk

_fc ein Reservesteuerprogramm für das Triebwerk 114 auf. Bei Empfang des Signals 13¹JR aktiviert der Rechner 200 das Reserveprogramm und übernimmt die Steuerung des Triebwerks gemeinsam mit dem Triebwerk 214.

tfer Rechner 200 ist ebenfalls auf das Peststellen von Störungen programmiert. Die Steuerung seines Triebwerks wird im Falle einer Unterbrechung in einer Leitung 230,

- 16 -

109884/1250

welches die Stromversorgungsleitung für den Rechner 200 ist, von dem Rechner 100 übernommen. Zu diesem Zweck hat der Rechner 200 eine Verbindung 224A mit einer Störungsantworteinheit 226A, welche in der Lage ist, auf ein Relais 228A zwecks Unterbrechung der Leitung 230 einzuwirken und über einen Meßfühler 232A und eine "Verbindungsleitung 234R diese Unterbrechung dem Rechner 100 mitzuteilen.

Die Störungen, für deren Peststellung das Störungssystem jedes Kanals organisiert ist, sind folgende:

a) Rechnerstörung, d.h, eine Störung in dem Rechner und eingeschlossen eine Störung in dem Störungssystem selbst,

b) vollständige Informationsaustauschstörung, d.h. eine Störung, die es dem Rechner unmöglich macht, Zugriff zu einem der Triebwerke 114 oder 214 zu gewinnen, welches er zu steuern sucht; eine volt· ständige Informationsaustauschstörung erfordert notwendigerweise das Vorhandensein von zwei Störungen, z.ü, eine Störung in jeder der Vielfach-

- 17 -

1 03884/12SO

leitungen 103, 106, die verhindert, daß der Rechner 100 Zugriff zu dem Triebwerk 114 gewinnt, oder eine Störung in jedem von zwei einander entsprechenden Meßumformer 112, 118,

c) teilweise Informationsaustauschstörung, d.h, beispielsweise eine Störung in einem Meßumformer oder einer Meßumformerleitung, die sich nur auf einen Meßumformer eines Paares entsprechender Meßumformer auswirkt, so daß das Triebwerk noch über den anderen Meßumformer des Meßumformerpaares gesteuert werden kann, und

d) Verriegelungsstörung, d.h. eine Störung, die das korrekte Ablesen des Zustandes der Stromversorgung des anderen Rechners durch den einen Rechner be-

P einflußt.

Diese verschiedenen Störungen werden im folgenden noch ausführlich beschrieben. An dieser Stelle sei jedoch bemerkt, daß die allgemeine Auslegung des Systems insbesondere auf oben genannte Rechner- und Informationsaustauschstörungen abgestellt ist.

- 18 -

109884/1250

Die Beziehung zwischen der Auslegung des Systems und bestimmten Störungen wird im folgenden unter Bezugnahme auf die Fig. 2 und 4 näher erläutert.

Die Wirkung einer Rechnerstörung ist in Fig. 2 dargesteilt, wobei angenommen ist, daß der Rechner 100 gestört und von seiner Stromversorgung abgeschaltet ist, so daß auf den durch strichpunktierte Linien dargestellten Vielfachleitungen keine Ausgangssignale vorhanden sind. Die nunmehr durch den Rechner 200 gesteuerten Vielfachleitungen sind durch stark ausgezogene Linien dargestellt. Es ist ersichtlich, daß der Rechner 200 aufgrund des Leitweges zwischen den Rechnern über die Vielfachleitungsschalter 104, 204 die volle Steuerung des Triebwerkes 114 übernehmen kann, indem er einfach durch das im Rechner 200 enthaltene Reserveprogramm für das Triebwerk 114 die Schalter 104, 204 zwecks Zugriff auf das Triebwerk 114 adressiert. Man bemerkt außerdem, daß der Zugriff zu keinem der Meßumformer verlorengeht.

Die Wirkung einer teilweisen Informationsaustauschstörung ist in Fig. 3 dargestellt, wobei angenommen ist, daß irgendwo zwischen der Verbindungsstelle 105 und der Eingabe/Aus^abe-Linheit 107 eine Störung vorhanden ist,

- 19 109884/1260

so daß die Vielfachleitung 106 unbrauchbar ist und keine wirksame Datenübertragung auf den in strichpunktierten Linien dargestellten Wegen erfolgen kann. Da jedes Triebwerk zwei gleiche Gruppen von Meßumformern aufweist und da jede Eingabe/Ausgabe-Einheit 107, 207 mit einer Gruppe von Meßumformern des einen Triebwerkes und mit einer Gruppe von Meßumformern des anderen Triebwerkes verbunden ist, führt der Ausfall der Vielfachleitung 106 nicht zu einem Verlust des Zugriffes auf das Triebwerk 114. Der Rechner 100 steuert weiterhin das Triebwerk 114 über die Meßumformer 118, und der Rechner 200 steuert weiterhin das Triebwerk 214 über die Meßumformer 218.

Wenn eine Rechnerstörung und eine teilweise Informationsaustauschstörung gemeinsam auftreten, so steuert der verbleibende Rechner die übrigen Meßumformer beider Triebwerke.

In Fig. 4 ist eine Anlage mit vier Triebwerken 114, 214, , 4l4 und mit entsprechend bezifferten Rechnern und Vielfachleitungen dargestellt, wobei ein Rechner, ein Vielfachleitungsschalter und eine Eingabe/Ausgabe-Einheit pro Triebwerk vorhanden sind. Jeder Rechner hat Zugriff zu den beiden Gruppen von Meßumformern eines Triebwerkes und zu einer Gruppe von Meßumformern der beiden benachbarten Triebwerke, so daß bis auf zwei Rechner sämtliche Rechner

- 20 -109884/1250

ausfallen können, ohne daß dadurch die Steuerung beeinflußt wird, wobei lediglich vorausgesetzt werden muß, daß jeder Rechner Steuerprogramme für drei Triebwerke enthält; Eine teilweise Informationsaustauschstörung in bezug auf irgendeines der Triebwerke würde lediglich das betreffende Triebwerk des Zugriffes auf eine seiner beiden Meßumformergruppen berauben. Durch Abänderung der Meßumformerverbindungen ist es möglich, daß Zugriffsmuster derart abzuändern, daß beispielsweise jeder Rechner Zugriff zu sämtlichen Triebwerken hat.

Feststellen von Störungen

Das Störungssystem, das jedem Kanal lol bzw. 201 zugeordnet ist, enthält Programme zum Feststellen von Störungen, ein Störungsantwortsystem, welches im wesentlichen die Aufgabe hat, das Ergebnis des StörungefestStellungsprogramms in eine Einwirkung auf den betreffenden Kanal umzuwandeln, ein Verriegelungssystem, über welches der Zustand des einen Kanals dem Rechner des anderen Kanals mitgeteilt wird, und ein Programm in dem anderen Rechner mit dessen Hilfe dieser, falls erforderlich, die Aufgaben des einen Rechners übernimmt,

- 21 -

1 09884/1250

Gemäß Pig. 5 weist der Rechner 100 eine Zentraleinheit 136, ein Grundordnungsprogramm 137» ein Gesamtsystempro gramm 138 für die Steuerung der Triebwerke und Speicher 139, 140 auf. Das Programm 138 besteht aus sieben Abschnitten 1.0 bis 7·0· Diese Teile des Rechners 100 sind im folgenden im einzelnen beschrieben. An dieser Stelle sollen nur einige Gesichtspunkte der Störungsfeststellung durch das Programm kurz erwähnt werden.

Rechnerstörungen werden durch den Rechner festgestellt, der eine Anzahl von Prüfrechnungen ausführt, die eine Prüfzahl ergeben, welche, wenn der Rechner in Ordnung ist, gleich einer bekannten Standardzahl ist. Diese Prüfzahl wird dem Antwortsystem mitgeteilt, welches sie mit der bekannten Zahl vergleicht.

Informationsaustauschstörungen, welche die Vielfachleitungen beeinflussen, werden durch den Rechner festgestellt, der ein Testsignal auf die Ausgangsvielfachleitungen schickt, welches, falls das Vielfachleitungssystem in Ordnung ist, auf bestimmte Prüfsignale auf der Exngangsvielfachleitung und auf ein sich daraus ergebendes "Störung"- oder "Keine Störung"-Signal am Pehlerantwortsystem führt.

- 22 -

109884/1250

Einzelne Meßumformerstörungen können dadurch festgestellt werden, daß beispielsweise die Meßfühler nicht in der Lage sind, entsprechend einem in dem Rechner gespeicherten Modell zu arbeiten, was dazu führt, daß der gestörte Meßumformer nicht betätigt wird.

Verriegelungsstörungen werden direkt durch eine Vergleichseinrichtung in dem Störungsantwortsystem festgestellt und naben die gleiche Auswirkung wie eine vollständige Informationsaustauschstörung. Das gleiche gilt für alle anderen Störungen in dem Störungsantwortsystem.

Das Störungsantworts stern ist zwar so ausgelegt, daß es im Falle von Rechnerstörungen oder vollständigen Informationsaustauschstörungen die Stromzuführung zu dem Rechner über das Relais 128A bzw. 228A unterbricht, jedoch wird diese Unterbrechung der Stromzuführung, wie im folgenden noch näher erläutert, verzögert, so daß vorübergehende Störungen Gelegenheit haben, sich selbst zu korrigieren. Im Falle einer Rechnerstörung werden jedoch die Vielfachleitungen des gestörten Rechners sofort unterbrochen, um zu verhindern, daß ein gestörter Rechner ein Steuerprogramm ausführt.

Bevor das Störungssystem weiter beschrieben wird, müssen

- 23 -

109884/1250

einige weitere Einzelheiten des Gesamtsystems erwähnt
werden.

Gemäß Fig. 5 weist die Vielfachleitung 102 jeweils
Adressen-, Ausgangs- und Eingangssignale tragende Leitungen 1, und 3 auf. Jedes Ausgangs- oder Eingangssignal benötigt,
um wirksam zu sein, ein begleitendes Adressensignal, welches fc durch einen Adressendekodierer gelesen wird, der ein

diskretes Signal auf einer mit der Einrichtung, 2.B. einem Meßumformer, auf welchen sich das Ausgangs- bzw. Eingangssignal bezieht, verbundenen Leitung erzeugt und dadurch
die betreffende Einrichtung derart anschließt, daß sie das Ausgangssignal des Rechners empfängt oder das Eingangssignal des Rechners weiterüberträgt. Sofern es nicht im Zusammenhang mit der Beschreibung erforderlich ist, sind die Adressensignale und Dekodierer nicht dargestellt. Es ist allgemein ausreichend, lediglich die Ausgangs- oder Eingangssignale
darzustellen. In manchen Fällen ist es für ein Adressensignal oft ausreichend, allein seine Wirkung anzugeben,
beispielsweise das Setzen bzw. Einstellen eines bistabilen Schaltkreises.

Im folgenden wird nun wieder auf das Störungssystem
Bezug genommen. Das Programm 138 gibt die Prüfzahl in den
Speicher l40 ein, von welchem aus sie auf die Ausgabeviel-

- 24 .109884/1250

fachleitung als Datensignal 144A ausgelesen wird, welches von einem Adressensignal 145A auf der Adressenvielfachleitung begleitet ist. Wenn eine vollständige Informationsaustauschstörung vorlag, wird das Signal 144A von einem Adressensignal l46A begleitet. Mit anderen Worten, das Signal 14¹JA wird entweder durch das Adressensignal 145A oder durch das Adressensignal l46A ausgelesen, abhängig davon, ob eine Rechner- oder eine vollständige Informationsaustauschstörung vorlag. Ein Signal 234RY, welches anzeigt, ob der Rechner 200 mit Strom versorgt ist oder nicht, wird in den Speicher eingelesen und, für Prüfzwecke, als Adressensignal 147A wieder ausgelesen. Diese vier Speicherauslesungen werden als "A"-Störungssignale bezeichnet. Es ist eine gleiche Gruppe von "B"-Störungssignalen vorhanden, welche jeweils mit dem Zusatz "B" versehen sind. Diese Gruppe von Signalen wird direkt nach den "A"-Signalen ausgelesen.

Die Störungssignale werden zu dem Störungsantwortsystem hin ausgelesen. Das Störungssystem macht in diesem Zusammenhang vorteilhaften Gebrauch von der Tatsache, daß die Kanäle nach der Abfragedatenmethode betrieben werden, wodurch die Gesamtheit des Gesamtsystemprogramms in kurzen Zeitintervallen wiederholt wird. Bei dem gewählten Beispiel

- 25 109 884/1250

betragen diese Zeitintervalle, die als "Abfrageperioden" bezeichnet werden, genau 50 ms. Das Auslesen der Störungssignale erfolgt am Beginn jeder Abfrageperiode, während die tatsächlichen Störungsprüfungen am Ende der vorhergehenden Abfrageperiode durchgeführt worden sind. Die Bedeutung dieser Methode liegt darin, daß das konstante Zeitintervall, welches die Abfrageperiode bildet, als Standard bzw. Normal verwendet wird, mit welchem die Prüfzahlsignale 144, d.h. die Signale 144A, l44B verglichen werden, damit das Antwortsystern feststellen kann, ob eine Störung vorhanden ist oder nicht.

Gemäß Fig. 12 wird jede Abfrageperiode durch einen Zähler bzw. Abfragetaktgeber 150 gestartet, welcher am Ende seiner Zählung ein Unterbrechungssignal 151 zur Unterbrechung des RechnergrundordnungsProgramms und zur Einleitung des Gesamtsystemprogramms erzeugt, dessen erste Tätigkeit vor dem Auslesen der Störungssignale darin besteht, den Taktgeber 150 für die nächste Zählung zurückzustellen, indem der Speicher 139, der die Rückstellzahl gespeichert hat, mit dem Taktgeber verbunden wird, so daß die Rückstellzahl in Form eines Signals 152 dem Taktgeber 150 übermittelt wird, welcher sofort mit der Zählung der nächsten Abfrageperiode beginnt.

- 26 109884/1250

2134Π79

Störungsantwortsystem

Das Störungsantwortsystem des Kanals 101 weist die Störungsantworteinheit 126A und eine Duplikateinheit 126B auf, wie in Fig. 6.1 dargestellt.

Die Einheiten 126A und 126B empfangen jeweils die "A"- und "B-"-Störungssignale und wandeln sie in Tätigkeiten um, die zur Sicherstellung des Betriebes der Triebwerke erforderlich sind. Es wird lediglich die Einheit 126A im einzelnen erläutert. Die Einheit 126B wird nur so weit erwähnt, wie es erforderlich ist, um die Verbindung zwischen diesen Einheiten und einen geringen Unterschied in ihrer Verbindung zu anderen Systemen darzulegen.

Die "A"-Störungssignale werden über die Vielfachleitung 102 der Einheit 126A zugeführt, in welcher das Prüfzahlsignal 144A in einen Zähler 148A eingegeben wird. Die Signale 145A, 1^6A und 147A werden durch einen Adressendekodierer 149A gelesen, welcher zwischen diesen einzelnen Signalen unterscheidet und sie auf gesonderten Leitungen abgibt, wie in Fig. 6.1 dargestellt.

Bei Empfang des geeigneten Signals l^A wird der

- 27 -

1098 84/1250

213A079

Zähler l48A gesetzt, so daß er eine Zahl zählt, die gleich der durch das Signal 144A dargestellten Zahl ist. Das Programm 138 ist derart aufgebaut, daß, wenn der Rechner in Ordnung ist, die durch das Signal 144A dargestellte Prüfzahl durch den Zähler 148A in einer Zeit gezählt werden kann, welche in bestimmtem Verhältnis zur Abfrageperiode steht, d.h. welche in einem festgelegten Verhältnis zu der Zahl in dem Signal 152 steht, welches die Abfrageperiode bestimmt. Bei dem vorliegenden Beispiel ist dieses Verhältnis derart gewählt, daß der Zähler l48A geringfügig weniger Zeit als der Zähler 150 benötigt, um die korrekte Zählung vollständig auszuführen, beispielsweise 49,2 ms gegenüber 50 ms.

Der Zähler l48A erzeugt am Ende seiner Zählung ein Signal 153A, welches einen weiteren Zähler 154A veranlaßt, )| eine Zählung verhältnismäßig kurzer Zeitdauer auszuführen und währenddessen ein Signal 155A aufrechtzuerhalten, welches als "Fenster" bezeichnet wird. Die Kombination der beiden Zähler 148A, 154A wird auch als "Penstergenerator" bezeichnet. Da die Störungssignale in festgelegtem Verhältnis zu dem Signal 151 des Zählers 150 ausgelesen werden, folgt somit, daß, wenn das Prüfzahlsignal 144A, welches am Beginn

- 28 -

884/1250

.irgendeiner "Strom"-Abfrageperiode ausgelesen worden ist, korrekt war, der Zähler l48A während einer Zeitspanne derart zählt, daß das resultierende "Fenster" während einer Zeitspanne erscheint, die mit dem Auftreten der Störungssignale am Beginn der nächsten Abfrageperiode zusammenfällt.

Insbesondere ist gemäß der Darstellung in Pig. 12 das Signal 155A ausreichend lang gemacht, damit die Signale 147A, 145A innerhalb der Dauer des Signals 155A erscheinen können. Das Signal 144A ist so gewählt, daß dann, wenn die Rechnerprüfzahl korrekt ist, die Signale 147A, 145A tatsächlich während der Zeitspanne des Signals 155A erscheinen. Bei Vorliegen einer vollständigen Informationsaustauschstörung nimmt das Signal l46A die Stelle des Signals 145A ein.

Der Zähler 154A setzt zwar nach dieser verhältnismäßig kurzen Zeitspanne das Signal 155A auf Null zurück, wenn jedoch die Störungssignale während der kurzen Zeitspanne erscheinen, setzen sie selbst das Signal 155A auf Null zurück.

Es ist nunmehr klar, daß der Grund dafür, daß die Zählung des Zählers l4b eine etwas kürzere Zeitdauer

- 29 109884/1250

hat als die des Zählers 150 darin zu suchen ist, daß dem nächstfolgenden Signal l44A Zeit gegeben werden soll, um sicher innerhalb der Zeitspanne des Signals 155A zu erscheinen. Das gleiche Signal l44A wird sowohl für die Rechner- wie auch für die Informationsaustausehstörungen gewählt, damit der gleiche Zähler 148a für beide Störüngsarten verwendet werden kann.

Das entsprechende Störungsantwortsystem des Kanals ist in Fig. 6.2 dargestellt. Die beiden Systeme unterscheiden sich lediglich in den Bezugszahlen, welche in bezug auf Kanal 101 mit der Ziffer "1" und in bezug auf Kanal mit der Ziffer "2" beginnen.

Fenster-Generator

Im folgenden wird der Fenstergenerator l48A, 154A unter Bezugnahme auf Fig. 7 beschrieben. "Der Zähler 148A enthält bistabile Schaltungen 1481, die in an sich bekannter* Weise zu einem Binärzähler zusammengeschaltet sind. Der Zähler zählt von einer Zahl an abwärts, die durch die Ausgangssignale von UND-Schaltungen 1482 gesetzt bzw. eingestellt wird. Ausgänge 1483 der bistabilen Schaltungen werden dabei, je nachdem es zur Darstellung einer bestimmten Zahl erforder-

- 30 -

109884/125 0

lieh ist₃ entweder auf "1" oder auf "O" gesetzt. Die UND-Schaltungen 1482 empfangen jeweils als ein Eingangssignal ein Ausgangssignal 145A oder 146A einer ODER-Schaltung 169A. An den anderen Eingängen der UND-Schaltungen 1482 liegen die entsprechenden Ziffern bzw. Stellen des Signals l44A, welche hier durch vier Leitungen dargestellt sind, die von entsprechenden vier Leitungen der Ausgangsvielfachleitung 1022 ausgehen. In der Praxis besteht die AusgangsVielfachleitung aus zwölf Leitungen zur übertragung eines 12-Bit-Signals l44A. Der Zähler l48A wird durch einen Oszillator 176 angetrieben. Die Ausgänge 1483 werden invertiert und durch eine UND-Schaltung 1484 hindurchgeführt, deren Ausgangssignal 153A auf "0", d.h. falsch ist, wenn nicht sämtliche Ausgänge 1483 auf "0" sind. An dieser Stelle wird der Zähler wegen einer Verbindung zwischen dem Signal 153A und einer UND-Schaltung 1485 angehalten.

Der Zähler 154A enthält eine Reihe miteinander verbundener bistabiler Schaltungen 1541, die von einem Anfangszustand aus abwärts zählen, in welchem der Ausgang 1542 jeder bistabilen Schaltung auf "1" gesetzt ist. Dieser Zustand kann, wie dargestellt, durch die Signale 145A oder l46A eingestellt werden. Der Zähler 154A wird durch den Oszillator I76 über eine UND-Schaltung 1543 angetrieben,

- 31 -

10 9 8 8 4/1250

die durch das Signal 15 3A wirksam und durch eine NICHT-UND-Sehaltung 1544 unwirksam gemacht wird, wenn die Ausgänge 1543 sämtlich auf "O" sind, d.h. wenn der Zähler auf Null heruntergezählt hat. Die Ausgangssignale 1542 erzeugen das Signal I55A indem sie durch eine WEDER-NOCH-Sehaltung 1545, deren Ausgang solange auf "1" ist, wie irgendeiner seiner Eingänge auf "0" ist, und schließlich durch eine UND-" Schaltung 1546 hindurchgeleitet werden, welch letztere unwirksam, d.h. "falsch" gemacht wird, wenn der Zähler Null erreicht oder durch die Signale 145A bzw. l46A auf seinen Anfangszustand gesetzt wird.

Es ist klar, daß die Zähler 14 8A, 154A zusammenwirken und nach einer durch das Signal 144A festgelegten Zeitspanne das Signal 155A erzeugen, und daß dieses Signal 155A während einer Zeitspanne vorhanden ist, die mit dem Erscheinen des h Signals 153A beginnt und durch die Maximalzählung des Zählers 154A oder durch das nächstfolgende Erscheinen der Signale 145A oder l46A beendet wird. Die Zeitberechnung dieser Signale geht ebenfalls aus Fig. 12 hervor.

Es ist klar, daß es keine Rolle spielt, ob die Zähler 148A, 154A aufwärts oder abwärts zählen.

- 32 -

109884/ 1250

Der in Figo 6,1 dargestellte Zähler 150 hat den gleichen Aufbau wie der Zähler 1^k und braucht nicht näher beschrieben zu werden. Der Zähler 150 wird durch einen nicht dargestellten Oszillator angetrieben, der von dem Oszillator I76 getrennt ist. Der Zähler 150 zählt außerdem in entgegengesetzter Richtung, d.h. er zählt aufwärts, wenn der Zähler l48A abwärts zählt. Durch diese Vorkehrungen wird die Möglichkeit verringert, daß eine Oszillatorstörung oder eine ähnliche Störung nicht festgestellt wird.

Die drei Störungezustände, die durch die Signale l44A und 1^5A (Rechnerstörung), 144A und 146A (Informationsaustauschstörung) und 147A (Verriegelungsprüfung) dargestellt werden, werden im folgenden, soweit es die Störungsant'vvort- und Verriegelungssysteme betrifft, im einzelnen betrachtet.

Rechnerstörungsantwort

Die Signale 145A, 155A werden in einen Koinzidenzdetektor 156A eingegeben, dessen Ausgang 157A dann und nur darm "wahr" ist, wenn das gesamte Signal 145A während der Zeitspanne ües Signals 155A erscheint, und dessen Ausgang

- 33 109884/1260

daran anschließend wahr bleibt, wenn diese Bedingung während eines darauffolgenden Erscheinens der Signale 145A, 155A erfüllt wird. Einzelheiten der Einheit 156A werden unter Bezugnahme auf Fig. 9 gesondert beschrieben. ■

Der Ausgang 157A ist mit einem Verzögerungszähler I58A verbunden, dessen Ausgang 159A mit dem Relais 128A in der W Stromversorgungsleitung 132 des Rechners verbunden ist. Demzufolge wird der Rechner, falls nicht das Signal 157A wahr ist, nach der Periode, der Verzögerungseinheit, in diesem Falle 0,5 s, von der Stromversorgung getrennt und das Programm für den übernehmenden Rechner 200 wird begonnen.

Die Verzögerungsperiode, die gleich 10 Abfrageperioden ist, gestattet, daß unechte Störungen sich selbst bereinigen, h stellt jech sicher, daß währenddessen kein Schaden auftreten kann. Die Vielfachleitungen werden mittels eines weiteren Koinzidenzdetektors I6OA sofort abgetrennt, dem die Signale 155A und 145A ebenfalls zugeführt v/erden und der ein Ausgangssignal 16IA abgibt, welches unter den gleichen Bedingungen wie für den Detektor 158A wahr ist.

Das Signal I6IA wird^einer UND-Schaltung 162A zuge-

- 34 109884/1250

führt, deren Ausgang I63A wahr ist, wenn beide Eingänge wahr sind, und deren anderer Eingang l64A tatsächlich wahr ist, wenn keine Rechnerverriegelungsstörung vorhanden ist, vgli weiter unten die Wirkungen des Signals 147A. Das Signal I63A wird einem Relais I65 zugeführt, welches, wenn das Signal I63A falsch ist, eine Stromversorgungsleitung 166 unterbricht und damit optoelektronische Koppelelemente I67, I68 abschaltet, die jeweils die Vielfachleitungsverbindungsstelle IO5 mit der Vielfachleitung 103 und mit dem Vielfachleitungsschalter lO^J verbinden. Fehlende Koinzidenz der Signale 145A und 155A während der Fensterperiode hat demzufolge zusätzlich zum Starten der erwähnten 0,5 s-Verzögerungszeitspanne das sofortige Entkoppeln der Vielfachleitungen zur Folge. Dieser Zustand ist in Fig. 13 dargestellt.

Wenn die Rechnerstörung vorübergehend war und sich während der VerzögerungsZeitspanne selbst korrigiert, so werden die Koppelelemente durch das Signal I63A, welches wahr ist, wieder mit Strom versorgt. In gleicher Weise wird der Verzögerungszähler auf Null zurückgestellt bzw. veranlaßt, abwärts zu zählen, wenn das Signal 157A wahr ist. Der Zähler I58A ist vorzugsweise derart organisiert, daß er, wenn das Signal 157A falsch ist, mit einer Geschwin-

- 35 -

1098:84/125:0;.,;

digkeit abwärts zählt, welche größer ist als die Geschwindigkeit , mit welcher er aufwärts zählt, wenn das Signal wahr ist. Dadurch werden intermittierende Störungen mit einer Dauer von weniger als 0,5 s erkannt, wenn sie mit einer Frequenz auftreten, die zur Überwindung des Abwärtszählens ausreicht. Derartige Störungen könnten, wenn sie nicht festgestellt werden, auf die Steuerung schädlich einwirken.

Bei der Störungsantworteinheit 126B wird das Signal 163B aus der entsprechenden UND-Schaltung 162B nicht einem Relais, wie beispielsweise I65B, sondern dem Vielfachleitungsschalter 104 zugeführt. Einzelheiten dazu sind im folgenden bei der Beschreibung des Vielfachleitungsschalters angegeben. Das Signal I63B hat eine Abzweigung I63BI, die mit dem Schalter 204 des Rechners 200 verbunden ist. Das ist der einzige Unterschied zwischen den Einheiten 126A und 126B.

Antwort auf vollständige Informationsaustauschstörung

Im Falle einer Rechnerstörung wurde der Zähler I58A gestartet, um den Rechner in 0,5 s von der Stromversorgung

- 36 -

109884/125 0

2134073

abzuschalten, und das Relais 128 wurde ausgelöst, um den Rechner sofort abzutrennen.

Im Falle einer vollständigen Informationsaustauschstörung wird nur der Zähler I58A gestartet. Die Vielfachleitungsverbindung wird ungestört belassen, so daß der Zähler weiterhin während jeder der Abfrageperioden, die noch verbleiben, bevor die Stromversorgung des Rechners durch den Zähler I58A unterbrochen wird, die Vielfachleitung überprüfen kann. Das ergibt sich im wesentlichen aus der Tatsache, daß das Signal 146A nur mit dem Zähler l48A und mit dem Detektor I6OA verbunden ist, wohingegen das Signal 145A mit dem Zähler 148A und mit beiden Detektoren 156A und I6OA verbunden ist. Im Falle einer vollständigen Informationsaustauschstörung wird deshalb der Detektor I6OA durch die Signale 146A, 155A adressiert und hält das Relais 128A eingeschaltet, während der Detektor I56A adressiert wird, so daß der Ausgang 157A falsch ist und der Verzögerungszähler I58A gestartet wird. Der Zustand einer vollständigen Informationsaustauschstörung ist in Fig. 14 dargestellt.

Koinzidenzdetektor

Einzelheiten der Koinzidenzdetektoren, z.B. der

- 37 109884/125 0

Detektoren 156A, 16OA und 174A, sind in Fig. 8 dargestellt, welche den Detektor I56A zeigt. Die anderen Koinzidenzdetektoren weisen zwar einen identischen Aufbau auf, haben jedoch jeweils unterschiedliche Eingänge und Ausgänge.

Gemäß Fig. 8 werden die Signale 145A, 155A einer UND-Schaltung I561 zugeführt, deren Ausgang I562 nur wahr ist, wenn beide Eingänge wahr sind. Das Ausgangssignal 1562 wird als Taktsignal auf eine "JK"-bistabile Schaltung 1563 gegeben, deren Ausgang tj das Signal 157A (vgl. Fig. 6) bildet, welches von falsch in wahr geändert wird, vorausgesetzt, daß ein Rückstellsignal 1564 falsch ist, was normalerweise der Fall ist. Sobald demnach das Signal 145A innerhalb der Zeitspanne des Signals 155A wahr wird, wird das Signal 157A ebenfalls wahr oder bleibt wahr.

Das Signal 155A ist außerdem direkt mit einem Eingang J einer bistabilen Schaltung I565 und über einen Inverter mit einem Eingang K dieser bistabilen Schaltung verbunden. Das Signal 145A wird als Taktsignal der bistabilen Schaltung 1565 mit dem Effekt zugeführt, daß dann, wenn das Signal J wahr und das Signal K falsch ist, das Taktsignal bewirkt, daß ein Ausgang Q wahr wird oder wahr bleibt. Der Ausgang Q ist mit einem Inverter I566 verbunden, welcher das Signal 1564

- 38 1 0 98 8Λ/ 1 25 0

213/,

abgibt, und es ist klar, daß dann, wenn das Signal 145A wahr wird, während das Signal 155A wahr ist, das Rück-Stellsignal 1564 falsch ist, was erforderlich ist, damit das Signal 157A wahr wird.

Wenn aufgrund einer Störung das Signal 145A wahr wird bevor das Signal 155A wahr wird, bleibt das Signal 1562 falsch und die Eingänge J und K der bistabilen Schaltung 1565 sind jeweils falsch und wahr, mit der Folge, daß das Signal 145A in dieser bistabilen Schaltung bewirkt, daß der Ausgang Q falsch wird. Dadurch wird das Signal 1564 auf "wahr" geändert, welches seinerseits das Signal 157A in "falsch" ändert und dadurch eine Störung anzeigt.

Wenn anschließend die Signale 155A, 145A korrekt zusammenfallen, so ist das Signal 1564 falsch und das nunmehr wahre Signal 1562 kann die Steuerung der bistabilen Schaltung 1563 übernehmen und das Signal 157A wieder in "wahr" abändern.

Das Signal 1562 kann nur auf seiner ansteigenden Flanke wirksam sein. Aufgrund der Verzögerung durch den Inverter 1566 wird das Signal 1564 erst ganz kurze Zeit nach der ansteigenden Flanke falsch. Das Signal 157A wird

- 39 109884/1250

nach einer Störung nicht schon beim ersten, sondern erst beim zweiten zeitlichen Zusammenfallen mit den Signalen 145A wahr. Das bedeutet, daß eine vollständige Abfrageperiode verstreichen muß, bevor die Störung bereinigt werden kann. Das ist erwünscht, weil, wenn die Störung ganz kurz vor dem Ende einer Abfrageperiode auftreten sollte, es möglich ist, daß das Relais 165A (Fig. 6) keine Zeit zum Ansprechen hat, bevor die Störung bei Beginn der nächsten Abfrageperiode bereinigt wird. Eine auf diese Weise wiederholt auftretende Störung könnte unentdeckt bleiben, wenn nicht die Verzögerung über den Inverter I566 vorgesehen wäre.

Andere, nicht dargestellte Verfeinerungen können bei dem Detektor 156A vorgesehen werden, um sicherzustellen daß andere Signalstörungen festgestellt werden, beispielsweise das doppelte Auftreten eines Signals I¹15A innerhalb der Zeitspanne des Signals 155A.

Verrieselungssystem und Verriep;elunp;sstörungen

Eine Verriegelungsstörung wird im Störungsantwortsystem sowohl festgestellt wie auch beantwortet. Der Rechner liest lediglich das Signal 1^7A aus um zu prüfen,

- HO - 109884/1250

ob seine Ablesung des Signals 234RY korrekt war. Diese Prüfung wird folgendermaßen durchgeführt.

Gemäß der Darstellung in den Fig. 6.1, 6.2 und 9 wird das Signal 234R aus dem Rechner 200 an dem Stecker Pll empfangen und durch einen Verteiler 170C in Signale 234Rl, 234R2 und 234R3 unterteilt, welche jeweils dem Rechner, der Antworteinheit 126A und der Antworteinheit 126B zugeleitet werden. Die Prüfung besteht aus einem Vergleich des durch den Rechner empfangenen Signals mit den durch die entsprechenden Antworteinheiten empfangenen Signalen,

Wie in den Zeichnungen dargestellt, wird das Signal dem Rechner 100 über eine ODER-Schaltung 171C zugeführt, deren Ausgang 234RY über eine ODER-Schaltung 175 (Fig. 6.1) Zugriff zu der Eingangsvielfachleitung 1023 ermöglicht. Das Signal 234R2 wird einer ODER-Schaltung 171A zugeführt, deren Ausgang 234SY einen Eingang für einen an sich bekannten Äquivalenzdetektor 172A darstellt, welcher ein weiteres Eingangssignal 173A aus einem Koinzidenzdetektor 174a (Fig. 6.1) empfängt, der seinerseits an seinen Ein gangen die Signale 155A und 147A empfängt. Das Signal 234R3 wird einer ODER-Schaltung 171B zugeführt, deren Aus-

- 41 109884/1250

gang 234TY ein Eingangssignal an einen Äquivalenzdetektor 172B (Pig. 6.1) abgibt, welcher ein weiteres Eingangssignal aus einem Koinzidenzdetektor 174B empfängt, der seinerseits an seinen Eingängen die Signale 155B, 147B empfängt.

Die "Keine Störung"-Bedingung ist erfüllt, wenn die Signale 234SY und 173A beide gleich sind und wenn beide Signale 234TY und 173B ebenfalls gleich sind. Wenn die zwei Eingänge an jedem der Detektoren 172A, 172B beide wahr sind, so bedeutet das, daß der Rechner 100 das Signal 234R1 gelesen hat, daß der Rechner 200 mit Strom versorgt ist und daß diese Ablesung mit den Signalen 234S und 234T überprüft wird. Wenn die zwei Eingänge an jedem der Detektoren 172A, 172B beide falsch sind, so bedeutet das, daß durch Lesen und Prüfen festgestellt worden ist, daß der Rechner 200 nicht mit Strom

versorgt ist.

Wenn zwischen den beiden Eingängen an der Einheit 172A keine Äquivalenz vorhanden ist, so bedeutet das, daß die abgelesene Bedingung des Rechners 200 gestört ist, daß der Ausgang 161A des Äquivalenzdetektors falsch wird, daß das Signal l63A falsch wird und daß das Relais I65 die Stromzuführung zu den Koppelelementen 167, I68 unterbricht

- 42 -

109884/1250

und den Rechner 100 von der Vielfachleitung IO3 und von dem Schalter 104 trennt. Eine gleiche Situation ergibt sich, wenn die zwei Eingänge der Einheit 172B nicht gleich sind. In diesem Fall liegt jedoch das Signal I63B an den Schaltern 104, 204 an, so daß die Verbindung dort unterbrochen wird, was im folgenden noch näher beschrieben ist. Wenn angenommen wird, daß der Rechner 100 selbst in Ordnung ist, abgesehen von einer möglichen Störung, die ein falsches Ablesen des Siiiinals 234Rl verursacht, so wird die Unterbrechung der Vielfachleitungen durch den Rechner 100 als vollständige Informationsaustauschstörung festgestellt, mit der Folge, daß die Relais 128A, 128B veranlaßt werden, nach der Verzogerungsperxode von 0,5 s die Stromzuführung zu dem Rechner 100 zu unterbrechen. Mit anderen Worten, der Rechner 100 wird von der Stromversorgung abgeschaltet, wenn festgestellt wird, daß die Signale 23¹^RY, 23¹JSY und 234TY nicht gleich sind. Wenn der Rechner 200 von der Stromversorgung abgeschaltet ist und wenn der Rechner 100 den Zustand des Rechners 200 nicht korrekt abliest, so ist ein Zustand gegeben, in welchem beide Rechner von der Stromversorgung abgeschaltet werden. Bei diesem Störungszustand, der statistisch unwahrscheinlich ist, würden zwar die Triebwerke normalerweise auf dem zuletzt gesteuerten Einstell-

- 43 109884/1250

wert bleiben, sie werden jedoch durch Trennen von den Eingabe/Ausgabe-Einheiten der Stromversorgungen angehalten, welche zur Aufrechterhaltung ihres Anschlusses auf Signale aus den Rechnern angewiesen sind.

Zur Gewährleistung eines hohen Sicherheitsfaktors in dem Verriegelungssystem sind gemäß Fig. 6.2 zusätzlich zu dem Meßfühler 232A zwei weitere Meßfühler 232B und 232C vorgesehen, die durch verschiedene Leitwege von dem einen Kanal zu dem anderen Kanal geführt sind. Der Meßfühler 232B hat ein Ausgangssignal 234S, welches über Stecker P22, PI3 der Einheit 126A zugeführt wird, in welcher ein Verteiler 17OA das Signal 23¹JS in ein Signal 23*JS3, das
mit dem Äquivalenzdetektor 172B verbunden ist, weiter in ein Signal 23¹JSl, das mit der Eingangs Vielfachleitung 1023 verbunden ist, und in ein Signal 234S2 unterteilt, das P mit dem Äquivalenzdetektor 172A verbunden ist. Der Meßfühler 232c hat ein Aus gangs signal 23¹JT, das über die Stecker P23, P12 in die Einheit 126B eingeleitet wird, in welcher ein Verteiler 17OB das Signal 23¹JT in ein
Signal 23¹JTl, das mit der Eingangsvielfachleitung 1023 verbunden ist, weiter in ein Signal 23^Τ2, das mit dem Äquivalenzdetektor 172A verbunden ist und in ein Signal 234T3 unterteilt, das mit dem Äquivalenzdetektor 172B verbunden

109884/1250

ist. Auf diese Weise sind die Meßfühler 232A, 232B und 232c jeweils mit dem Rechner 100 und mit jedem der Einheiten I72A, I72B verbunden, wodurch sich für das Verriegelungssystem ein entsprechend hoher Sicherheitsgrad ergibt.

Es ist klar, daß der Rechner 200 ebenfalls abliest, ob der Rechner 100 mit Strom versorgt ist, und zwar in der gleichen Weise, wie der Rechner 100 den Zustand des Rechners 200 abliest.

Der Vielfachleitungsschalter

Gemäß Fig. 10.1 sind die Adressen- und Ausgangsleitungen 1021, 1022 der Vielfachleitung 102 jeweils über UiTO-Sehaltungen 18OIX, 18O2X und ODER-Schaltungen I8IIX, 1812X mit den Adressen- und Ausgangsleitungen ΙΟβΙΧ, 1Ο62Χ der Vielfachleitung 106 verbunden. Die Eingangsleitung 1023 ist mit dem Ausgang einer UND-Schaltung I8O3 verbunden, welche ein Eingangssignal von der Vielfachleitung IO63 empfängt.

Entsprechend ist die Vielfachleitung 203 über UND-

- 45 -

»09884/1250

Schaltungen 28O1Y, , 28Ο2Υ, 28Ο3Υ mit der Vielfachleitung verbunden«, Die Anordnung ist unter der Voraussetzung gezeichnet, daß die Vielfachleitungen 102, 106 angeschlossen sind, sämtliche Signale, die unter dieser Bedingung wahr sein müssen, sind durch dick ausgezogene Linien dargestellt, während die Signale, die falsch sein müssen, durch dünne, unterbrochene Linien dargestellt sind. Darüberhinaus ist eine Verriegelungsanordnung derart vorgesehen, daß, während die Vielfachleitung 102 mit der Vielfachleitung 106 verbunden ist, die Vielfachleitung 203 von dieser Verbindung ausgenommen ist.

Um die Vielfachleitung 102 anzuschließen, ist ein Adressendekodierer 184X mit der Vielfachleitung 102 verbunden und macht ein Adressensignal 182X wahr, wodurch eine bistabile Schaltung I85X derart umgeschaltet wird, daß ihr einer Ausgang 185AX wahr wird, während ihr anderer Ausgang I85BX falsch wird.

Um die Vielfachleitung 203 abzutrennen, macht ein mit der Vielfachleitung 203 verbundener Adressendekodierer 28*fY ein Adressensignal 283Y wahr, wodurch eine bistabile Schaltung 285Y derart umgeschaltet wird, daß ihr einer Ausgang 285BY wahr wird, während ihr anderer Ausgang 285AY

- 46 109884/125 0-

falsch wird.

Die Verriegelungsanordnung ist derart gewählt, daß zum Verbinden der Vielfachleitung 102 die Signale I85AX und 285BY beide wahr sein müssen. Zu diesem Zweck werden diese beiden Signale einer UND-Schaltung I87X zugeführt, deren Ausgang eine bistabile Schaltung I88X umschaltet und ein Signal I88AX wahr macht, wenn ihre beiden Eingänge wahr sind. Das Signal 188AX kann direkt zum Wirksammachen der UND-Schaltung I8OX, d.h. der UND-Schaltungen I8OIX, 18O2X und 1803X verwendet werden. Um jedoch die Polgen einer möglichen Störung zu vermeiden, die in der bistabilen Schaltung 188X auftritt, wird das Signal I85AX zusammen mit dem Signal I88AX einer UND-Schaltung I86X zugeführt, deren Ausgang so geschaltet ist, daß er die UND-Schaltungen I8OX wirksam macht.

Das Verbinden der Vielfachleitung 203 mit der Vielfachleitung 206 erfordert das Umschalten der bistabilen Schaltungen 285Y und I85X derart, daß die Signale 285AX und I85BX jeweils wahr sind, wodurch eine UND-Schaltung 287Y wirksam gemacht wird und die bistabile Schaltung I88X umgeschaltet wird, die ein Signal I88BX an einer UND-Schaltung 286Y wahr macht, welch letztere als weiteres

- 47 -

109884/1250

Eingangssignal das Signal 285AY empfängt. Wenn beide Signale I88BX, 285AY wahr sind, wird der Ausgang der UND-Schaltung 286Y wahr und macht die UND-Schaltungen 28OY, d.h. die UND-Schaltungen 28O1Y, 28O2Y, 2803Y wirksam.

Die Verriegelung wird durch die Signale I85BX, 285BY bewirkt. Es ist klar, daß dann, wenn der Rechner 200 versuchen sollte, über die Vielfachleitung 203 Zugriff zu der Vielfachleitung IO6 zu gewinnen, während die Vielfachleitung 102 mit dieser verbunden ist, das notwendige Umschalten der bistabilen Schaltung 285Y zum Wahrmachen des Signals 285AY ohne Auswirkung ist, weil das Signal 185BX falsch ist und die UND-Schaltung 287Y nicht wirksam gemacht werden kann.

UND-Schaltungen 197X und I98X sind zum direkten Ein-P lesen des Ausganges der Schaltungen 286Y und I86X jeweils in die EingangsVielfachleitung 1023 vorgesehen. Die Ausgangssignale der Schaltungen 286Y und I86X sind jeweils über UND-Schaltungen 297Y und 298Y ebenfalls direkt in die EingangsVielfachleitung 2033 einlesbar.

Wie im Abschnitt "Fehlerantwortsystem" und anderswo

109884/1250

bereits erwähnt, wird das Signal 16 3B den Schaltern 104, 204 zugeleitet. Gemäß der Darstellung in Fig. 10.1 liegt das Signal I63B an der bistabilen Schaltung l85X an und schaltet diese um bzw. verriegelt diese in dem Zustand, in welchem das Signal I85AX falsch und das Signal I85BX wahr ist. Dadurch wird die Vielfachleitung 102 von der Vielfachleitung IO6 getrennt.

Der in Fig. 10.2 dargestellte Schalter 204 gleicht in jeder Hinsicht dem Schalter 104, und es sind für gleiche Teile jeweils gleiche Bezugszahlen verwendet worden. Teile, die durch Adressensignale auf der Vielfachleitung 103 betätigt werden, tragen vorne den Zusatz "1" und hinten den Zusatz "Y", während Teile, die durch Adressensignale auf der Vielfachleitung 202 betätigt werden, vorn mit dem Zusatz "2" und hinten mit dem Zusatz "X" versehen sind. Das Signal I63BI liegt an der bistabilen Schaltung I85Y an und trennt die Vielfachleitung IO3 ab. Es liegen selbstverständlich Signale 2β3Β, 263Bl aus der Fehlerantworteinheit 226B an den bistabilen Schaltungen 285X (Fig. 10.1) und 285Y (Fig. 10.2) an.

Multiplexer und Meßumformer

Gemäß Fig. 11 weist der Multiplexer 108 der Eingabe/Aus-

- 49 1 09884/1250

gabe-Einheit 107 mit Bezug auf jeden Meßumformer 112 UND-Schaltungen I89, 19O jeweils zur Verbindung der entsprechenden Meßumformerleitung mit den Vielfachleitungen 1062, IO63 auf. Die Verbindung wird durch Adressensignale 191 aus einem Dekodierer 192 hergestellt, der mit der Vielfachleitung 1061 verbunden ist. Gemäß der Darstellung führen die Meßumformerleitungen 110 Signale 1102A, IIO3A. Diese Signale werden über den Konverter 122 zwei analogen Meßumformern 1122A, 1123A zugeführt, wobei der Anschluß über die Konverter 1222, 1223 erfolgt, die jeweils das Ausgangssignal aus seiner digitalen Form in eine analoge Form umwandeln und das Eingangssignal aus seiner analogen Form in eine digitale Form umwandeln. Der Meßumformer 1122A ist ein Elektromotor, der ein Ventil 19²J in der Brennstoffversorgung 195 des Triebwerkes 114 antreibt. Der Meßumformer 1123A ist ein Meßfühler für die Ventilstellung. Multiplexer, Konverter und Meßumformer dieser Art sind an sich bekannt und brauchen nicht näher beschrieben zu werden.

Die doppelt vorhandenen Meßumformer sind mit 1182A und II83A bezeichnet. Der Motor 1182A ist mit dem Motor 1122A über ein Differentialgetriebe 193 verbunden, so daß jeder der beiden Motoren das Ventil 194 antreiben kann.

- 50 -

109884/1250

Fig. 11 zeigt außerdem die Eingabe/Ausgabe-Einheit und die Meßumformer 212, 218 des Triebwerkes 214, In beiden Kanälen sind gleiche Teile jeweils mit gleichen Bezugszahlen versehen, mit der Ausnahme, daß wie sonst auch in der Beschreibung, die Teile des Kanals 101 mit der Ziffer "1" beginnen, während die Teile des Kanals mit der Ziffer "2" beginnen.

Außerdem ist ersichtlich, daß die Meßumformerleitungen 116 ein Signal 1162A zur Betätigung eines Motors 2182A und ein Signal II63A zum Ablesen eines Ventilstellungsmeßfühlers 2183A führen. Gleiche Signale 2162A und 2163A werden jeweils zum Betätigen bzw. Ablesen des Stellantriebes 1182A und des Meßfühlers II83A verwendet.

Der an die Bezugszahlen angefügte Buchstabe "A" dient zur Kennzeichnung des ersten Meßumformers einer Reihe A, B, C ... N von Meßumformern.

Das Gesamtsystemprogramm

Im folgenden wird das Programm 138 des Rechners 100 beschrieben. Der Rechner 200 hat ein identisches Programm, welches allein zur Kennzeichnung seines Platzes mit 238 (Fig.7)

- 51 -

109884/1250

ζΐ

b e ζ eichnet ist.

Das Programm 138 macht Ge'brauch von Störungsmarken, bei welchen es sich um Signale handelt, die in Speicherplätzen enthalten sind, die durch bestimmte Abschnitte des Programms I38 gesetzt oder gelöscht werden und die eine Information für andere Abschnitte des Programms * liefern. Wenn die Marke gelöscht ist, so ist keine Störung vorhanden. Die Marken sind:

MO = vollständige Informationsaustauschstörung, d.h. der Rechner hat keinen Zugriff zu dem ihm zugeordneten Triebwerk.

Ml a Störung in der Verbindung zwischen dem Rechner 100 und der Eingabe/Ausgabe-Einheit 107,

M2 ϊ Störung in der Verbindung zwischen dem Rechner 100 und der Eingabe/Ausgabe-Einheit 207.

M3 = Störung im Motor 112-2A.
M4 = Störung im Motor 118-2A.

M5 = der "andere" Rechner, d.h. der Rechner 200 ist nicht mit Strom versorgt.

- 52 -

109884/1250

Mo = Störung im Motor 212-2A.
M7 = Störung im Motor 218-2A.

Es sei hier festgestellt, daß bei dem vorliegenden Beispiel Marken für sämtliche Stellantriebsmeßumformer, jedoch keine Marken für die Abfühlmeßumformer vorhanden sind.

Der Speicher enthält Speicherstellen für die
Signale jMA, 1MB, für sämtliche von den Abfühlmeßumformern abgelesenen Daten sowie für den im folgenden
noch näher beschriebenen sogenannten "Vielfachleitungsverbindungszähler".

Die sieben Abschnitte (Fig. 5) des Programms 138
werden nun unter Bezugnahme auf die Datenflußdiagramme
beschrieben.

Abschnitt 1,0 (Fig. 16) des Programms 138 beinhaltet das Starten des Abfragefrequenztaktgebers und das Ausgeben der Störungssignale. Das Erzeugen des Signals 151 durch den Taktgeber I50 unterbricht das Grundordnungsprogramm und startet das Programm 138. Der erste Schritt des

- 53 109884/1250

Abschnittes 1.0 ist die Ausgabe des Signals 152 (Block 1,1) zur Zurückstellung des Abfragefrequenztaktgebers 150. Anschließend liest dieser Abschnitt das Signal 234RX am Block 1.2 ab, welches, wenn es wahr ist, (Entscheidung 1.3) zeigt, daß der Rechner 200 mit Strom versorgt ist.

Wenn der Rechner 200 mit Strom versorgt ist, si t der Abschnitt die Signale 147A, 147B ab und löscht dis Markierung M5 im Block 1.4. Wenn der Rechner 200 nicht mit Strom versorgt ist, werden diese Signale weggelassen, und die Marke M5 wird im Block 1.5 gesetzt. Wenn in der vorhergehenden Abfrageperiode eine Informationsaustauschstörung vorlag, ist anschließend die Marke MO gesetzt worden. Wenn demzufolge im Abschnitt 1.0 die Marke MO gesetzt wurde (Entscheidung 1.6), gibt dieser Abschnitt Signale l44A bzw. 144B an die'Adressen l46A bzw. 146B ab (Block 1.7). Andernfalls werden die Signale l44A bzw· 144B an die Adressen 145A bzw. 145B abgegeben (Block 1.8).

Abschnitt 2.0 (Fig. 17) versucht den Rechner 100 mit der Eingabe/Ausgäbe-Einheit 107 zu verbinden und überprüft als Sicherheitsmaßnahme, daß der Rechner 100, während er mit der Einheit 107 verbunden ist, nicht auch noch mit der

109884/1250

SS 213A079

Eingabe/Ausgabe-Einheit 207 verbunden ist oder daß der Rechner 200 nicht mit der Einheit 107 verbunden ist. Der Abschnitt 2.0 unterliegt in bezug auf den entsprechenden Abschnitt des Rechners 200 keiner besonderen Zeitsteuerung, so daß beide Programme versuchen könnten, gleichzeitig Zugang zu der Einheit 107 zu gewinnen. Es ist deshalb der obengenannte Vielfachleitungsverbindungszähler vorgesehen, welcher das Programm fortgesetzt versuchen läßt, den Rechner 100 während einer Zeitspanne anzuschließen, welche länger ist als die Zeitspanne, während welcher der Rechner 200 beim Ausführen seines Programms mit der Einheit 107 verbunden ist. Sobald der Rechner 200 fertig ist, kann der Rechner seinen Zugriffsversuch ausführen. Dann, angenommen daß keine Störung aufgetreten ist, ermöglicht das Programm dem Rechner 100 äsn Zugriff zu den Meßumformern 112 zur normalen Verwendung und außerdem den Zugriff zu den Meßumformern 218 für den Fall, daß der Rechner 200 nicht mit Strom versorgt ist.

Gemäß Fig. 17 wird der Versuch, eine Verbindung mit der Eingabe/Ausgabe-Einheit IO7 herzustellen im Unterabschnitt 2.1 ausgeführt, indem der Vielfachleitungsschalter 104 über das Signal 182X adressiert und geprüft wird, ob die Verbindung tatsächlich hergestellt worden ist, indem festgestellt

- 55 10 9 8 8 4/1250

wird, ob das Signal l86x wahr ist. Wenn die Verbindung nicht hergestellt worden ist, wird der Versuch unter Steuerung durch den Vielfachleitungsverbindungszähler wiederholt. Wenn die Verbindung nicht in dem Zeitpunkt erreicht ist, in welchem der Zähler eine vorbestimmte Maximalzählung erreicht hat, wird die Marke Ml im Block gesetzt.

Wenn die Verbindung zu der Eingabe/Ausgabe-Einheit hergestellt ist, prüft ein Unterabschnitt 2.3» ob eine gleichzeitige Verbindung zu der Eingabe/Ausgabe-Einheit existiert, indem er überprüft, ob das Signal 186Y wahr ist. Wenn eine solche Verbindung existiert, wird das Signal 183Y abgegeben um zu versuchen, die Verbindung zu trennen, und das Signal 186Y wird wieder geprüft. Wenn die Verbindung zu der Einheit 207 bleibt, wird im Block 2.2 die Marke Ml gesetzt.

Wenn die Verbindung zur Einheit 107 hergestellt ist und wenn keine Verbindung zur Einheit 207 vorhanden ist, wird geprüft, ob das Signal 286Y wahr ist (Entscheidung 2.4), d.h. ob der Rechner 200 aufgrund einer Störung in dem Vielfachleitungsschalter 104 mit der Einheit 107 verbunden ist. Wenn das Signal 286Y wahr ist, wird die Marke Ml

- 56 10988 4/ 12S0

gesetzt. Andernfalls fährt der Abschnitt mit einer sogenannten Echoprüfung 2.5 fort, wobei es sich um eine Art einer an sich bekannten Kontinuitätsprüfung handelt, nämlich auf der Verbindung zwischen dem Rechner 100 und der Einheit 107. Wenn das Ergebnis der Echoprüfung positiv ist (Entscheidung 2.6), wird die Marke Ml im Block 2.7 gelöscht. Andernfalls wird die Marke Ml im Block 2.2 gesetzt.

Dem Setzen der Marke Ml, egal aus welchem Grund, folgt stets das Abtrennen der Einheit 107 im Abschnitt (Fig. 18).

Im Abschnitt 3.0 (Fig. 18) adressiert der Rechner selbst die Stellantriebsmeßumformer 1122, um die durch das Steuerprogramm während der vorhergehenden Abfrageperiode für das Triebwerk 114 geforderten Schritte auszuführen und um die Abfühlmeßumformer 1123 nach Daten abzufragen, die durch das Triebwerksteuerprogramm in der laufenden Abfrageperiode gefordert werden. Der Rechner hat ebenfalls Zugriff zu den Meßumformern 218, wenn das Ablesen einer durch das Programm 1,0 gesetzten Marke zeigt, daß der Rechner 200 abgeschaltet worden ist. Am Anfang liest das Programm die Marken ab, die in der

- 57 109884/1250

vorhergehenden Abfrageperiode gesetzt worden sind, zeigt dadurch die Brauchbarkeit bestimmter Stellantriebsmeßumformer an und schreitet auf der Basis dieser Ablesungen fort.

Gemäß Fig. 18 wird das Signal 11O2A zum Antrieb des Motors 1122A (Block 3.3) abgegeben, die Meßfühler 1123 werden abgelesen (Block 3.4) und schließlich wird der Rechner von der Einheit 107 getrennt (Block 3.5). Wenn der Motor 1122A nicht in Ordnung ist (Entscheidung 3.1), hält das Programm diesen Motor an (Block 3.2), d.h. trennt diesen Motor von seiner Stromversorgung und übt auf die Motorwelle eine Bremskraft aus. An dieser Stelle wird kein Versuch gemacht, den Motor 1182A in Betrieb zu setzen, das wird in Abschnitt 5.0 unternommen. Soweit es die Steuerung des Triebwerkes 214 angeht, untersucht ' das Programm, ob der Rechner 200 mit Strom versorgt ist (Entscheidung 3.6), und, wenn das nicht der Fall ist, ob der Motor 2182A verwendet werden kann, weil das derjenige Motor ist, zu dem der Rechner 100 an dieser Stelle des Programms direkten Zugriff hat. Wenn der Motor 2122A nicht in Ordnung ist (Entscheidung 3.7) und der Motor 2182A in Ordnung ist (Entscheidung 3.8), so wird der letztgenannte

- 58 -

109884/1250

Motor zur Steuerung verwendet und angetrieben (Block 3·9)· Andernfalls wird der Motor 2182A festgebremst (Block 3.10). Die Meßfühler 2183 werden bei 3·H abgelesen, bevor der Rechner im Block 3·5 von der Einheit 107 getrennt wird.

Abschnitt 4.0 (Fig. 19) versucht, den Rechner 100 mit der Eingabe/Ausgabe-Einheit 207 zu verbinden, und überprüft zur Sicherheit, daß der Rechner, während er mit der Einheit 207 verbunden ist, nicht auch noch mit der Einheit 107 verbunden ist, bzw. daß der Rechner 200 nicht mit der Einheit 207 verbunden ist. Dieser Abschnitt ist gleich dem Abschnitt 2.0, mit Ausnahme der Bestimmung der Signale. Der Abschnitt 4.0 wird deshalb nicht näher beschrieben. Es sei jedoch festgehalten, daß in diesem Abschnitt der Rechner 100 für den Fall einer Vielfachleitungs- oder Meßumformerstörung, die die Meßumformer beeinflußt, Zugriff zu den Meßumformern II8 erhält. Außerdem erhält im Abschnitt 4.0 der Rechner 100 Zugriff zu den Meßumformern 212 für den Fall, daß der Rechner nicht mit Strom versorgt ist.

Abschnitt 5.0 (Fig. 20) ist zwar gleich dem Abschnitt 3.0, er adressiert sich jedoch selbst zu den Meßumformern II8 in dem Fall, daß eine Störung in irgend-

- 59 109884/1250

einem der Meßumformer 112 auftritt, obgleich der Abschnitt die Abfühlmeßumformer II83 unabhängig davon abliest, ob eine Störung in einem Abfühlmeßumformer II83 vorhanden ist oder nicht. Außerdem adressiert der Abschnitt sich selbst zu den Meßumformern 212, wenn der Rechner von der Stromversorgung abgeschaltet war, ausgenommen daß, soweit es die Stellantriebsmeßumformer 2122 angeht, der Abschnitt diese nicht adressiert, wenn sie im Abschnitt 3·0 für nicht in Ordnung befunden worden sind und wenn die Stellantriebe 2182 demzufolge durch den letztgenannten Abschnitt verwendet worden sind,

Abschnitt 6.0 (Fig. 21 und 22) überprüft sämtliche Meßumformer 112, Wenn einer von ihnen gestört ist, überprüft dieser Abschnitt die entsprechenden Meßumformer 118, Wenn die letztgenannten Meßumformer in Ordnung sind, werden sie verwendet. Wenn sie nicht in Ordnung sind, so liegt eine Informationsaustauschstörung vor und die Marke MO wird mit den entsprechenden Polgen im Abschnitt 1,0 während der nächsten Abfrageperiode gesetzt.

Hinsichtlich der Meßfühler 112 beachtet der Abschnitt 7.0, der im folgenden näher beschrieben ist,

- 60 109884/1250

nur diese und läßt die Meßfühler 118 außer Acht. Wenn deshalb im Abschnitt 6,0 einer der Meßfühler 112 als gestört ermittelt wird (Entscheidungen 6,1, 6,2, 6,3), und wenn der entsprechende Meßfühler 118 in Ordnung ist (Entscheidungen 6,4, 6,5, 6,6) _t wird die Ablesung des Meßfühlers 112 im Rechnerspeicher durch die Ablesung des entsprechenden Meßfühlers 118 (Blöcke 6,7, 6,8, 6,9) ersetzt. Wenn einer der Meßfühler 118 nicht in Ordnung ist, so wird die Marke MO gesetzt (Block 6.17).

Hinsichtlich der Stellantriebsmeßumformer 112, 118 sind die Abschnitte 3.0 und 5·0 so programmiert, daß sie nur diejenigen Stellantriebe adressieren, deren Marken gelöscht sind. Wenn deshalb im Abschnitt 6,0 ein Stellantrieb 112 in Ordnung ist (Entscheidung 6,10), wird seine Marke gelöscht (Block 6.11), und die Marke des entsprechenden Stellantriebs 118 wird gesetzt (Block 6,12), so daß in den Abschnitten 3.0 oder 5.0 kein Zweifel auftreten kann, welcher der Stellantriebe 112 oder 118 zu adressieren ist. Wenn einer der Stellantriebe 112 nicht in Ordnung ist, so wird seine Marko gesetzt (Block 6,13)» und der entsprechende Stellantrieb 118 wird überprüft (Entscheidung 6,14), Wenn der Stellantrieb 118 in Ordnung

- 61 109884/1250

ist, wird seine Marke gelöscht (Block 6.15). Wenn er nicht in Ordnung ist, wird seine Marke gesetzt (Block 6,12). Eine Prüfung auf Informationsaustauschstörungen wird durchgeführt, indem geprüft wird, ob die Marken der beiden entsprechenden Stellantriebe 112, 118 beide gesetzt sind (Entscheidung 6.16). Wenn das der Fall ist, wird die Marke MO im Block 6.17 gesetzt.

Der Abschnitt setzt außerdem die Marke MO, wenn die Marken Ml, M2 (Entscheidung 6.18) gesetzt sind (vgl. Abschnitte 2.0, 4.0). Andernfalls wird die Marke MO im Block 6.19 gelöscht.

Wenn der Rechner 200 nicht mit Strom versorgt ist, steuert der Rechner 100 das Triebwerk 21¹I, vorausgesetzt, daß zwischen dem Rechner 100 und dem Triebwerk keine vollständige Informationsaustauschstörung vorhanden ist. Deshalb prüft der Abschnitt, ob der Rechner 200 an die Stromversorgung angeschlossen ist (Entscheidung 6.20), und wenn das der Fall ist, überprüft der Abschnitt die Meßumformer 212, 218 in der gleichen Weise wie die Meßumformer 112, 118 (Unterabschnitt 6.21, Fig. 22), Wenn in bezug auf die Meßumformer 212, 218 eine vollständige Informationsaustauschstörung festgestellt worden ist, so

- 62 -

103884/1250

werden die Marken sämtlicher Stellantriebe 212, 218 gesetzt, was zur Folge hat, daß das Triebwerk 214 festgebremst wird. Es ist bemerkenswert, daß eine vollständige Informationsaustauschstörung zwischen dem Rechner 100 und dem Triebwerk 214 nicht bewirkt, daß die Marke MO gesetzt wird, weil der Rechner selbstverständlich immer noch das Triebwerk 114 steuern kann.

Die tatsächliche Prüfung der Meßumformer erfolgt im wesentlichen durch Vergleich entweder mit einem Modell oder mit einer Ablesung, die von einem Duplikat- bzw. Ersatzmeßfühler stammt. Beispielsweise wird das überprüfen der Position , die der Motor 1122A infolge eines Antriebssignals erreicht hat, welches eine bestimmte Position verlangt, ausgeführt, indem eine Ablesung des Meßfühlers 1123A mit dem Ausgangssignal eines Modells der bekannten dynamischen Kennlinien des Motors verglichen wird. Dieses Modell ist ein Programm, welches das Befehlssignal entsprechend den genannten Kennlinien modifiziert, um die Position zu simulieren, die der Motor erreichen soll. Das Ausgangssignal des Modells wird sodann mit der Ablesung des Meßfühlers 1123A der tatsächlichen Motorstellung verglichen,

Abschnitt 7.0 (Fig. 23) führt das Triebwerksteile!·-

109884/1250

programm aus, d.h. er bestimmt aus den Meßfühlerablesungen, welche Stellantriebssignale zur Betätigung der Triebwerke erforderlich sind. In^- dem hier gewählten Beispiel bestimmt der Abschnitt im Block 7.0 das Brennstoffversorgungssignal 1102A, welches im Triebwerk 114 zur Befolgung eines Geschwindigkeitsbefehlssignals des Piloten erforderlich ist,oder legt eine Einschränkung der Brennstoffversorgung infolge eine Höhenänderung fest. Diese Verfahren sind an sich bekannt und brauchen im einzelnen nicht beschrieben zu werden.

Dieser Abschnitt weist außerdem ein Überwachungsprogramm 7.2 auf, in welchem die Zentraleinheit des Rechners mit gegebenen numerischen Daten betätigt wird, so daß, wenn die Einheit in Ordnung ist, eine bekannte Zahl doppelter Länge (144A, 144B) erzeugt wird, bei welcher es sich um die Daten der Signale l44A, 144B handelt. Dieses Überwachungsprogramm wird selbstverständlich nur dauernde Störungen und vorübergehende Störungen, die während des Ablaufs des Überwachungsprogramms vorhanden sind, feststellen.

Zur Peststellung vorübergehender Störungen, die außerhalb der Zeitspanne des überwachungsProgramms auf-

- 64 109884/1250

treten, wird das Triebwerksteuerprogramm doppelt durchgeführt, nämlich einmal vor (Block 7.1) und noch einmal nach (Block 7.3) dem Überwachungsprogramm 7.2. Der Ablauf 7.2 erzeugt ein Signal 1102Ax, welches von dem Signal 1102A abgezogen wird. Die Differenz wird dem Signal (144A, 144B) im Block 7.4 hinzugefügt. Wenn während eines der Trxebwerksteuerprogramme 7.1, 7.3 eine vorübergehende Störung aufgetreten ist, so besteht die hohe Wahrscheinlichkeit, daß die Signale 1102A und 1102Ax nicht identisch sind. Demzufolge wird ihre Differenz einen beträchtlichen Wert haben und die Daten (l44A, l44B) beeinflussen.

Wenn der Rechner 200 nicht an die Stromversorgung angeschlossen ist (Entscheidungen 7.5, 7.6, 7.7), führt der Abschnitt die Trxebwerksteuerprogramme (Blöcke 7.8, 7.9) und die Rechnerprüfoperationen (Block 7.10), anders als das Überwachungsprogramm, ebenfalls für das Triebwerk 214 auf der Basis der Ablesungen der Meßfühler dieses Triebwerkes aus. Das Ende des Abschnitts 7*0 beendigt die Unterbrechung des Grundordnungsprogramms 137.

Die Programme 138, 238, sind identisch, wie oben bereits erwähnt. Das bedeutet, daß für die Zwecke dieser

- 65 109884/12B0

Programme die erste Ziffer "1" in der Bezugszahl der Signale, z.B. die "1" in 183X bedeutet"zu dem zugeordneten Kanal gehörend", wohingegen die erste Ziffer "2", z.B. die "2" in 283X besagt "zu dem anderen Kanal gehörend".

Bei einer abgewandelten Ausführungsform der Erfindung fc ist das Programm derart organisiert, daß der Rechner 100 normalerweise beide Triebwerke steuert, während der Rechner 200 nur den Abschnitt 1.0 (Fig. 16) seines Programms 238 ausführt. Wenn der Rechner 100 mit Strom versorgt ist, endigt das Programm 238 mit dem Abschnitt 1.0, Andernfalls geht es mit dem übrigen Teil des Programms zur Steuerung beider Triebwerke weiter. Unter diesen Umständen kann in den Programmen 138, 238 eine Vielzahl von Vereinfachungen vorgenommen werden. Der Nachteil dieser Abwandlung besteht darin, daß das Rechnersteuerungssystem nach der Erfindung weniger sicher ist, weil eine nicht festgestellte Störung in dem Rechner 100 beide Triebwerke beeinflußt.

Bei einer weiteren Abwandlung des Rechnersteuerungssystems nach der Erfindung werden beide Rechner zur Steuerung eines Triebwerkes, beispielsweise des Triebwerkes 114,

- 66 -

109884/1250

verwendet. In diesem Falle adressiert die Eingabe/Ausgabe-Einheit 107 nur die Meßumformer 112, während die Eingabe/Ausgabe-Einheit 207 nur die Meßumformer 118 adressiert.

-67 109884/1250

Claims (4)

1. Patentansprüche:

   (1.) On-Line-Rechnersteuerungssystem für technische Anlagen mit mindestens zwei Steuerkanälen, gekennzeichnet durch eine gleiche Anzahl, diesen Kanälen (101 bzw. 201) jeweils einzeln zugeordneter Rechner (100 bzw. 200), die jeweils mit einer an die betreffende technische Anlage anschließbaren Eingabe/Ausgabe-Einheit (107) verbindbar sind, weiter durch Einrichtungen (I38) zum Feststellen von Steuerstörungen in dem einen Kanal (101), ferner durch Störungsantworteinrichtungen (126), die in Abhängigkeit von einer in dem einen Kanal auftretenden Störung den einen Rechner (100) unwirksam machen, und schließlich durch Einrichtungen (134, 238, 203, 104), die in Abhängigkeit von dem unwirksam gemachten einen Rechner (100) den Rechner (200) des anderen Kanals (201) mit der Eingabe/Ausgabe· P Einheit (107) des einen Kanals (101) verbinden.
2. 2. Steuerungssystem nach Anspruch 1, gekennzeichnet durch eine Anlage (114) mit zwei identischen Qruppen von Meßumformern (112, 118), weiter durch Einrichtungen (I38, 104) zur gesteuerten Verbindung eines der Rechner (100) mit einer der Meßumformergruppen und schließlich durch Einrichtungen (I38, 204), welche auf das Versagen eines

   - 68 -109884/1250

   Meßumformers (112) der einen Gruppe ansprechen und den Rechner (100) über die Eingabe/Ausgabe-Einheit (207) des anderen Kanals (201) mit dem entsprechenden Meßumformer (118) der anderen Gruppe verbinden.
3. 3. Steuerungssystem nach Anspruch 1, gekennzeichnet durch zwei Anlagen (114, 214) mit jeweils zwei Gruppen von Meßumformern (112, 118; 212, 218), weiter durch dem einen Kanal (101) zugeordnete Einrichtungen (138, 104, 107) zum Verbinden des einen Rechners (100) mit einer Gruppe von Meßumformern (112) der einen der Anlagen (114) zur Steuerung derselben, ferner durch dem anderen Kanal (201) zugeordnete Einrichtungen zur Verbindung des anderen Rechners (200) mit der einen Gruppe von Meßumformern (212) der anderen Anlage (214) zur Steuerung derselben, und schließlich durch Einrichtungen, die auf das Versagen eines Meßumformers (112) der einen Meßumformergruppe der einen Anlage (114) ansprechen und den einen Rechner (100) über die Eingabe/Ausgabe-Einheit (207) des anderen Kanals (201) mit dem entsprechenden Meßumformer (118) der anderen Meßumformergruppe der einen Anlage (114) verbinden.
4. 4. Steuerungssystem nach Anspruch 1, gekennzeichnet durch mindestens für einen der Kanäle (z.B. 101) vorgesehene

   - 69 -10988A/1250

   Einrichtungen (1J58, 150, I5I) zur Erzeugung eines Signals (144) in bestimmten, regelmäßigen Zeitintervallen, welches eine "keine Störung"-Grundgröße aufweist, weiter durch auf das eine Signal (144) ansprechende Einrichtungen zur Erzeugung eines durch die Größe desselben bestimmten Zeitintervalls und zur Erzeugung eines weiteren Signals (155) am Ende dieses ZeitIntervalls, wobei die Grundgröße des einen Signals (144) derart gewählt ist, daß zwischen ψ jeweils einem der einen Signale (144) und dem durch das nächstvorhergehende eine Signal erzeugten weiteren Signal Koinzidenz besteht, ferner durch auf einen Störungszustand in dem Kanal (z.B. 101) ansprechende Einrichtungen zur Änderung der Größe des einen Signals und damit zur Störung der Koinzidenz, und schließlich durch auf die fehlende Koinzidenz ansprechende Einrichtungen (I56) zur Erzeugung eines Störungsantwortsignals (157) zum Unwirksammachen des Rechners (100).

   - 70 109884/1250

   Leerseite