DE2453011A1 - Verfahren und schaltungsanordnung zur auswahl eines signals aus wenigstens drei redundanten signalkanaelen - Google Patents

Description

20-4369 Ge . 7. November 1974

HONEYWELL INC.
2701 Fourth Avenue South Minneapolis, Minn., USA

Verfahren und Schaltungsanordnung zur Auswahl eines Signals aus wenigstens drei redundanten Signalkanälen

Bei manchen Regelanlagen, insbesondere bei Flugreglern muß die.Zuverlässigkeit der gesamten Anlage größer sein als die Zuverlässigkeit ihrer einzelnen Komponenten. Man erreicht dies durch die Verwendung redundanter Systeme oder Komponenten. Die vorliegende Erfindung beschäftigt sich dabei mit einer Betriebsart, bei welcher ein System oder ein Teil hiervon beim Auftreten eines ersten Fehlers ohne merkliche Störungen oder Verlust von Funktionsfähigkeit weiterarbeitet und bei Auftreten eines zweiten Fehlers einen passiven Zustand annimmt. Der letztgenannte Zustand erlaubt es einer Bedienungsperson die Handregelung zu übernehmen, ohne dabei Umschaltprobleme hervorzurufen. Der Obergang in den passiven Zustand bedeutet dabei, daß Signale und Zustände den zuletzt vorhandenen Wert beibehalten und eine Handsteuerung nicht behindern. Es werden überwachte Komponenten benötigt, d.h. Komponenten, welche entweder von einem anderen Bauteil oder Schaltkreis überwacht werden oder Mittel zur Eigenüberwachung aufweisen und ein Betriebsbereitschaftssignal liefern, solange sie ordnungsgemäß arbeiten. Für die oben erwähnte Betriebsweise werden zwei identische Komponenten benötigt. Beim Aus- ::fall der ersten Komponente verschwindet deren Betriebsbereitschaftssignal, und.eine überwachungsschaltung schaltet den Regelkreis auf das Ausgangssignal der anderen Komponente, beispielsweise eines anderen Zustandsfühlers um. Tritt ein zweiter Fehler auf, so sind

509820/0813

die Betriebsbereitschaftssignale beider Komponenten verschwunden, wodurch eine Steuerschaltung die Anlage in den passiven Zustand umschalten kann. Im Falle eines Flugreglers stellt beispielsweise der Empfänger eines Instrumentenlandesystems ILS mit eingebauter Selbstüberwachung'eine solche überwachte Komponente dar. Empfänger dieser Art sind beispielsweise in zwei Pflichtenheften der Aeronautical Radio Inc. (ARINC) beschrieben, nämlich in Characteristic Nr. 745 "Airborne VHF Navigation Receiver" vom 1. Oktober 1961 und Characteristic Nr. 548 "Altitude Encoder" vom 1. März 1962.

Werden nicht überwachte Komponenten eingesetzt, also solche die nicht direkt überwacht werden, sondern de.ren. Ausgangssignale mit dem Ausgangssignal anderer gleicher Komponenten verglichen werden, um einen Fehler festzustellen, so müssen wenigstens drei solcher Komponenten vorhanden sein, um die oben erwähnte Betriebsweise zu ermöglichen/ bei der bei einem ersten Fehler das System weiterarbeitet und bei einem zweiten Fehler passiviert wird. Beim ersten Fehler, d.h. beim Ausfall einer der drei Komponenten, schaltet die Steuerlogikschaltung auf eine der beiden anderen Komponenten über, deren Ausgangssignale übereinstimmen. Tritt nunmehr in einer der beiden übrigen Komponenten ein Fehler auf, so stellt die Steuerlogikschaltung eine Differenz der Äusgangssignale fest und schaltet die Anlage in den passiven Zustand um. Ein typisches Beispiel für eine nicht überwachte Komponente in einem Flugregler ist ein Vertikalkreisel. .

Die Realisierung eines redundanten Regelsystems der oben genannten •Art mit einer möglichst geringen Anzahl von Komponenten wird jedoch durch andere Anforderungen noch erschwert. Es ist vielfach erwünscht, daß die Regeleinrichtung die obengenannte Betriebsweise· hat, sofern alle ihre redundanten Komponenten vorhanden sind, und bei Entfernung einer redundanten Komponente, beispielsweise zur Reparatur, wenigstens noch die Sicherheit hat, daß bei einem Ausfall die Einrichtung selbsttätig in den passiven Zustand überführt wird. Will man diesen Wunsch mit nicht überwachten Komponenten erfüllen, so müssen vier Komponenten in zwei Gruppen von

509 820/0813 original inspected

if^:'!;""nii:«!T, ,¹¹IiIiV ..»'!'.Π'

je zwei Komponenten verwendet werden. Bei einer solchen Konfiguration kann jede Gruppe von zwei Komponenten für Reparaturzwecke oder dergleichen entfernt werden. Unterschiede im Ausgangssignal der beiden verbleibenden redundanten Komponenten können von der Systemlogik zur Feststellung eines ersten Fehlers ausgewertet werden, nach welchen die Systemlogik die Regeleinrichtung in den passiven Zustand umschaltet. Sind alle vier redundanten nicht überwachten Komponenten vorhanden, so hat das System dann mehr Komponenten verfügbar als sie für die eingangs genannte Betriebsweise erforderlich sind. Hieraus wird ersichtlich, daß für die praktische Anwendung redundanter Technik für die eine bestimmte Systemfunktion eine andere Anzahl redundanter Komponenten erforderlich sein kann als für eine andere Funktion. Bezeichnet man die Anzahl der redundanten Komponenten zur Erfüllung einer bestimmten Systemfunktion als Redundanzpegel, so kann man von gemischten Redundanzpegeln sprechen. Hierbei treten jedoch Probleme auf, welche mit bekannten Signalauswahlschaltungen nicht zu lösen sind. Die beispielsweise in den US-PS 3 305 735, 3 467 956 und 3 289 193 beschriebenen Signalauswahl- und Überwachungsschaltungen sind nur verwendbar, wenn in der gesamten Regeleinrichtung der. gleiche Redundanzpegel vorhanden ist.

Aufgabe der Erfindung ist die Schaffung eines Signalauswahlsystems, welches auch bei gemischten Redundanzpegeln anwendbar ist und für bestimmte Komponenten bei Ausfall einer von zwei redundanten Komponeten eine Umschaltung in den passiven Zustand bewirkt, während bei anderen Komponenten, welche dreifach redundant vorhanden sind, bei Ausfall einer ersten Komponente die Umschaltung auf eine der beiden verbleibenden betriebsbereiten Komponenten und erst bei einem zweiten Fehler eine Umschaltung in den passiven Zustand stattfindet.

Diese Aufgabe wird gelöst durch das im Anspruch 1 gekennzeichnete Verfahren. Vorteilhafte Schaltungsanordnungen zur Lösung der gestellten Aufgabe, insbesondere zur Durchführung des Verfahrens nach Anspruch 1 sind im Anspruch .2 und den .. nachgeordneten Unter-.ansprüchengekennzeichnet.

5 0 9 8 20/0813 original inspected

Die bevorzugten Ausführungsformen der Erfindung sind dabei derart ausgelegt, daß trotz gemischter Redundanzpegel beim Auftreten eines Fehlers in einer zwei Kanäle beeinflussenden überwachten Komponente oder eines zwei Kanäle beeinflussenden unüberwachten Fühlers die Regeleinrichtung auf den passiven Zustand umgeschaltet wird. Außerdem sind bei einer Anlage mit zwei Rechnern Vorkehrungen getroffen, daß beim Einsatz beider Rechner ein erster Fehler zunächst die Umschaltung auf den anderen Rechner und ein zweiter Fehler die Passivierung der Anlage bewirkt, während beim Fehlen eines der Rechner, beispielsweise infolge Reparatur, ein Fehler im verbleibenden Rechner zu einer Passivierung der Regeleinrichtung führt.

Die Erfindung wird im folgenden anhand eines in den Zeichnungen dargestellten Ausführungsbeispiels erläutert. Dieses Ausführungsbeispiel zeichnet sich durch die Verwendung von zwei überwachten Fühlern und drei unüberwachten Fühlern aus, deren Signale in vier Signalverarbeitungskanälen weiterverarbeitet werden und wobei die eingangs erwähnte Betriebsweise eingehalten wird. In den Zeichnungen zeigt

Figur 1 das Blockschaltbild einer Regeleinrichtung mit gemischten Redundanzpegeln als Anwendungsbeispiel für eine Signalauswahlschaltung zur Fehlerunterdrückung; Figur 2 schematisch die Steuerlogikschaltung,wie sie mit jedem der Signalselektoren in Figur 1 zwecks Fehlerunterdrückung zusammenarbeitet;
. Figur 3 das Blockschaltbild eines der vier Signal" selektoren gemäß Figur 1 unter Einbeziehung der Schalter, welche durch die Steuerlogikschaltung gemäß Figur 2 zwecks Fehlerunterdrückung betätigt werden; Figur 4 die tabellarische Darstellung der Signalauswahl bei verschiedenen Kombinationen der Signalpolarität der Signale in den Rechnerkanälen, wenn alle Schalter den in Figur 3 dargestellten Schaltuzustand einnehmen; und Figur 5 die Darstellung von sechs verschiedenen Signal-Zeitverläufen zur Erläuterung der Art der Fehlerunterdrückung bei verschiedenartigen Fehlern.

509820/0813 qbg,_Näl _IN8pect_Ed

Die gezeigte Ausführungsbeispiele sind nicht als Beschränkung der Erfindung aufzufassen. Vielmehr können die einzelnen Schaltstufen unterschiedlich aufgebaut sein, solange sie im Rahmen des Gesamtsystems die geforderten Eigenschaften aufweisen. Anstelle mechanischer Schalter können beispielsweise elektronische Schalter eingesetzt werden, die dargestellten Gatterschaltungen lassen Sich durch andere gleichwertige Gatterschaltungen ersetzen. ·

In Figur 1 ist der Übersichtlichkeit halber die Steuerlogik der Schaltung weggelassen. Die Regeleinrichtung enthält zwei Rechner- j einheiten A und B, welche durch entsprechende Einrahmung ange- i

deutet sind. Am Eingang der Rechnereinheit A befindet sich ein j erster überwachter Fühler 10, welcher einen durch die Regelein- ; richtung zu steuernden Zustand mißt. Der Fühler 10 liefert das dem überwachten Zustand entsprechende Ausgangssignal an zwei Rechenkanäle A^ und A-, welche durch die Blöcke 12 und 14 in der I Rechnereinheit A dargestellt sind. In gleicher Weise speist ein j zweiter überwachter Fühler 16 ein Ausgangssignal in die beiden Rechenkanäle.B₁ und B₂ ein, dargestellt in Form der Blöcke 18 und 20. Beide·überwachte Fühler 10 und 16 messen denselben Zu- i stand. Arbeiten beide Fühler ordnungsgemäß, so sind ihre Ausgangs- I signale praktisch gleich. Beide Fühler 10 und 16 erzeugen bei ordnungsgemäßem,Betrieb ein Betriebsbereitschaftssignal an den Ausgängen 22 und 24. Die Auswertung dieser Signale wird später an- ^! hand der Figuren 2 und 3 erläutert.

Die Regeleinrichtung gemäß Figur 1 umfaßt ferner drei nicht überwachte Komponenten in Form von drei nicht überwachten Fühlern 26, 28 und 30. Der Fühler 26 mißt einen Zustand und liefert sein entsprechendes Ausgangssignal an den Rechenkanal 12 in der Recheneinheit A. Der Fühler 28 mißt den gleichen Zustand unabhängig hiervon und gibt sein Ausgangssignal an den Rechenkanal 14 inder Rechnereinheit A sowie den Rechenkanal 18 in der Rechnereinheit B weiter. Der Fühler 28 beeinflußt somit die Signale in beiden Rechenkanälen 14 und 18. Dem nicht überwachten Fühler 26 am Eingang der Recheneinheit A entspricht am Eingang der Recheneinheit B ein

50 9 82 0/0813 · original inspected

ebenfalls nicht überwachter Fühler 30, der sein Ausgangssignal an .den Rechenkanal 20 abgibt.

Die Rechenkanäle 12, 14,18 und 20 bewirken in herköiranlicher Weise ein Summieren, Aufbereiten und Einordnen der Fühlerausgangssignale um hieraus Stellsignale für die von der Regeleinrichtung zu steuernden Stellglieder abzuleiten. Das Ausgangssignal jedes der vier Rechenkanäle wird einer Eingangsklemme eines von vier Signalauswahlschaltungen 32,34,36 und 38 zugeleitet. Die Verbindungen,über welche die Ausgängssignale der vier Rechenschaltungen zur Auswahlschaltung 32 gelangen, sind dargestellt. Der Übersichtlichkeit halber wurden jedoch die Verbindungen zu den Eingängen der übrigen drei Signalauswahlschaltungen 34,36 und 38 nur symbolisch angedeutet. Lediglich die Verbindungsleitung zwischen dem jeweiligen Rechenkanal und der unmittelbar rechts davon dargestellten Signalauswahlschaltung ist jeweils eingezeichnet. Die übrigen Verbindungen sind durch Kreise mit eingetragenen Rechenkanalsymbolen angedeutet. Jede der vier im folgenden als Signalselektor bezeichneten Äuswahlschaltungen 32,34,36 und 38 wählt bei Normalbetrieb aus den Eingangssignalen ein Signal aus, dessen Größe zwischen derjenigen des größten und derjenigen des niedrigsten Signals liegt. Jeder Signalselektor erhält vier Eingangssignale, so daß entweder das zweit negativste oder das zweit positivste · Signal ausgewählt wird. Die Signalselektoren werden weder anhand von Figur 3 näher beschrieben.

Den vier Signalselektoren sind vier Vergleicher 40,42,44 und 46 zugeordnet. Jeder Vergleicher hat zwei Eingänge, welche in Figur durch auf dem jeweiligen Vergleicher gerichtete Pfeile gekennzeichnet sind. An dem einen Eingang erhält der Vergleicher das Ausgangssignäl des zugeordneten Signalselektors. Beispielsweise erhält der Signalselektor 40 am einen Eingang das Ausgangssignal und damit das ausgewählte Signal des Signalselektors 32. Der andere Eingang des Vergleichers 40 mit dem Ausgang des Rechenkanals 12 verbunden. Der Vergleicher 40 spricht auf etwaige Unterschiede zwischen seinen beiden Eingangssignalen an. überschreitet dieser Unterschied einen vorgegebenen Wert, so liefert er an seinem

509820/0813

Ausgang 48 ein Schaltsignal. Drei weitere Vergleicher42,44 und arbeiten in der gleichen Weise und vergleichen jeweils das Ausgangssignal des zugeordneten Rechenkanals mit* dem ausgewählten Signal·des betreffenden Signalselektors. Wird hierbei eine merkliche Differenz festgestellt, so liefert der betreffende Vergleicher an seinem Ausgang 50,52 bzw.54 ein Schaltsignal. Diese Schaltsignale werden in Verbindung mit der Steuerlogikschaltung gemäß Figur 2 zur Fehlerunterdrückung in der Regeleinrichtung benutzt, indem hierdurch Schalter betätigt werden, die in jedem der vier Signalselektoren vorgesehen sind. Die von den Signalselektoren ausgewählten Signale gelangen nicht nur zu den zugeordneten Vergleichern, sondern werden ferner über Leitungen 56,58,60 und 62 &enServoverstärkern 64 und 66 bzw. den Überwachungsschaltungen und 70 zugeleitet.Jede dieser Überwachungsschaltungen 68 und 70 überwacht einen Servoverstärker 64 bzw. 66 und einen Servomotor 76 bzw. 78. Bei ordnungsgemäßem Betrieb der Rege!einrichtung sollte das von der überwachungsschaltung aufgenommene Signal dem vom zugeordneten Servoverstärker aufgenommenen Signal derselben Recheneinheit praktisch gleich sein. Die Verbindung der einzelnen· Servoverstärker, überwachungsschaltungen und Servomotoren untereinander ergibt sich aus den eingezeichneten Leitungen undP-feilen. über diese Verbindungen werden das Ausgangssignal des Servoverstärkers zum Servomotor, die Stellungsrückmeldung Vom Servomotor zum Servoverstärker und andere Informationen geleitet, welche die über- -

um
wachungsschaltungen benötigen, festzustellen, ob diese Komponenten ordnungsgemäß arbeiten. Stellt eine der Überwachungsschaltungen ein fehlerhaftes Arbeiten des zugehörigen Servoverstärkers oder Servomotors fest, so erzeugt sie ein logisches Schaltsignal, welches durch eine in Figur 1 nicht dargestellte Schaltungsbaugruppe dazu benutzt wird, die Regelung auf die andere Rechnereinheit um-, zuschalten. Die an den Ausgängen 72 und 74 der beiden Servoverstärker 64 und 66 stehenden Signale werden jeweils dem dieser Rechnereinheit zugeordneten Servomotor und andererseits der zugeordneten überwachungsschaltung zugeleitet.

Bei normaler Betriebsweise der Regeleinrichtung gemäß Figur 1, d.h. wenn keine Fehler und kein Ausfall vorhanden sind, wird in jedem Rechnerkanal das Ausganqssignal eines der überwachten

509820/0813

. OWGlNAL INSPECTED.

Fühler und eines der nicht überwachten Fühler verarbeitet. Jeder der Rechenkanäle 12,14,18 und 20 leitet aus den Fühlersignalen ein Rechenkanalsignal ab, welches zur Verwendung als Steuersignal durch die Regeleinrichtung ansteht. Die vier Rechenkanalausgangssignale werden jedem der vier Signalselektoren 32,34,36 und 38 zugeleitet, die in der erwähnten Weise ein Zwischensignal aus den vier Eingangssignalen auswählen, derart, daß das größte und das kleinste Signal nicht ausgewählt werden. Die ausgewählten Signale der Signalselektoren 32 und 36 gelangen zu den beiden Servoverstärker, welche mit den verstärkten und gefilterten Signalen die Servomotoren 76 und 78 speisen. Diese Servomotoren bzw. einer der beiden bewirkt über ein Stellglied eine Änderung des durch die Regeleinrichtung überwachten und zu steuernden Zustandes. Die Rückführung vom Servomotor zum Servoverstärker und zur überwachchungsschaltung ist durch Pfeile gekennzeichnet und wird, da sie nicht Gegenstand der Erfindung ist, sondern in bekannter Weise ausgebildet sein kann, im einzelnen nicht weiter erläutert.

Figur 2 zeigt die Steuerlogikschaltung mit den zugehörigen Schaltern zur Fehlerunterdrückung in den Signalselektoren 32,34,36 und 38. In jedem dieser Signalselektoren ist eine Gruppe von Schaltern S- bis Sg enthalten. Die bereits anhand von Figur 1 erläuterten überwachten Fühler 10 und 16 sind in Figur 2 jeweils nur mit ihrem Überwachungsausgang 22 bzw. 24 dargestellt. Desgleichen ist bei den Vergleichern 40,42 und 46 jeweils nur der zur Steuerlogik-

54 schaltung führende Ausgang 48,50,52 bzw. ,eingezeichnet. Diese Komponenten lassen erkennen, wo die von der Steuerlogikschaltung zu verarbeitenden Schaltsighale herkommen. Die Schalter S₁ bis Sg sind in Form von Blöcken 100,152,154,156,158 und 120 nur schematisch dargestellt. Die tatsächliche Anordnung dieser Schalter in den einzelnen Signalselektoren ergibt sich aus Figur 3. Die Signalselektoren in Verbindung mit der Steuer logikscha.ltung gemäß Figur ermöglichen bei Regelenrichtungen mit gemischten Redundanzpegeln die eingangs erwähnte Betriebsart, wonach bei einem ersten Fehler die Regelenrichtung auf einen zweiten Kanal umgeschaltet und erst bei einem zweiten Fehler in den passiven Zustand überführt wird.

50 9820/0813

Für die Beschreibung des dargestellten Ausführungsbeispiels wird davon ausgegangen, daß bei ordnungsgemäßem fehlerfreien Betrieb das logische Signal am Betriebsbereitschaftsausgang 22 bzw. 24 der beiden überwachten Fühler 10 und 16 sowie das Schaltsignal an den Ausgängen 48,50,52 und 54 der Vergleicher 40,42,44 und jeweils den Zustand "1" hat. Selbstverständlich würde die Anordnung in der gleichen Weise arbeiten können, wenn der Normalzustand "0" wäre. ·

Der Bereitschaftsausgang 22 des Fühlers 10 ist an einen Inverter 80 angeschlossen, welcher das Eingangssignal in seiner Polarität umkehrt. Folglich .steht bei normalem störungsfreien Betrieb am Ausgang des Inverters 80 ein Signal "0". Der Ausgang des Inverters 80 ist mit dem einen Eingang eines ODER-Gatters 84 verbunden, dessen anderer Eingang an den Ausgang eines Rechnerbereitschaftsschalters 86 für die Rechnereinheit A angeschlossen ist. Dieser Rechnerbereitschaftsschalter stellt fest, ob die Rechnereinheit A vorhanden und eingeschaltet oder etwa zwecks Reparatur entfernt ist. Der Berei;tschaftsschalter 86 liefert das Ausgangssignal "0", wenn die Rechnereinheit "A" vorhanden ist, und schaltet auf "1"· um, sobald die Rechnereinheit "A" entfernt wird. Somit erzeugt eine Herausnahme der Rechnereinheit "A" oder das Verschwinden des Bereitschaftssignals vom überwachten Fühler 10 ein logisches Signal "1" am Ausgang des ODER-Gatters 84. Dieser ist an ein Speichergatter 87 sowie an jedes von zwei speichernden ODER-Gattern und 90 angeschlossen. Das Speichergatter 87 behält an seinem Ausgang das Signal "1" bei, wenn einmal ein Eingangssignal "1" vorhanden ist. Der Ausgang des Speichergatters 87 steht mit einem Treiberverstärker 94 in Verbindung, welcher das Signal derart verstärkt und filtert, daß dieses Signal "1" zur Betätigung eines nachgeordneten Schalters 100 geeignet ist. Wie bereits erwähnt, stellt der Block 100 einen Schalter in einen der Signalselektoren gemäß Figur 1.dar, wobei jeder dieser Signalselektoren einen solchen Schalter enthält.

Die an den überwachten Fühler 16 angeschlossene Logikschaltung hat praktisch den gleichen Aufbau. Das Bereitschaftssignal vom Aus-

509820/0813

-· 10 -

gang 24 gelangt über einen Inverter 102 an ein ODER-Gatter 104, j dessen anderer Eingang an einen Rechnerbereitschaftsschalter 106 für die Rechnereinheit B-angeschlossen ist. Hier erzeugt der Bereitschaftsschalter 106 das Ausgangssignal "1", sobald die Rechnereinheit B entfernt wird. Der Ausgang des Gatters 104 steht wiederum dem Eingang aines Speichergatters 108 sowie mit den Eingängen zweier speichernder ODER-Gatter 110 und 112 in Verbindung.. An den Ausgang des Gatters 108 ist über einen Treiberyerstärker 116 ein Schalter 120 angeschlossen.

Die übrigen Schaltsignale werden als Ergebnis logischer Signale aus den vier Vergleichern erzeugt. Da die den einzelnen Vergleichern zugeordneten Schaltungsanordnungen praktisch untereinander gleich sind,wird im folgenden die ganze Gruppe zusammen beschrieben. Die Vergleicherausgänge 48,50,52 und 54 sind mit den Eingängen der In-

verter T24,126,128 und 130 verbunden, welche die gleiche Arbeitsweise haben wie die Inverter 80 und 102. Die Ausgänge der genannten vier Inverter sindmit den Eingängen der Verzögerungsschaltungen 132,134,136 bzw.138 verbunden, welche eine Zeitverzögerung der Signale bewirken, um Fehlschaltungen zu vermeiden. Andernfalls könnten Schaltvorgänge durch Unterschiede in auf den einzelnen Kanälen auftretenden Störungen hervorgerufen werden, die zu einer vorübergehenden Vergrößerung des Vergleicherausgangssignals führen aber ^! nicht auf Fehler in den Rechenkanälen zurückzuführen sind. Solche Übergangsstörungen können beispielsweise durch Störungen im Versorgungsnetz hervorgerufen werden. Die Zeitkonstante der Verzögerungsschaltungen liegt beispielsweise bei 100 ms. Die Ausgänge der Verzögerungsschaltungen sind mit je einem Eingang von vier speichernden ODER-Gattern 88,90,110 und 112 verbunden, welche eine Rückkopplung zur Erzeugung der Speicherwirkung aufweisen. Diese Rückkopplungsleitung ist beim Gatter 88 mit dem Bezugszeichen 140 versehen. Die anderen Eingänge der speichernden ODER-Gatter 88, 90,110 und 112 sind an die Ausgänge der Gatter 84 bzw 104 angeschlossen, während die Ausgänge der erwähnten vier speichernden ODER-Gcx ter mit den Eingängen der Treiberverstärker 142,144,146 und 148 verbunden sind» An letztere sind die Schalter in den

509820/0813

Blöcken 152,154,156 und 158 angeschlossen.

Zunächst folgt eine kurze Beschreibung der Betriebsweise der Steuerlogikschaltung gemäß Figur 2, während die Grundlage für die einzelnen Schaltvorgänge später nach der Beschreibung von Figur 3 erläutert wird, weil die Wirkung der Schalter S₁ bis S_g, dargestellt durch die Blöcke 100,120,152,154,156 und.158 sich am besten unter Bezugnahme auf die Figuren 1 bis 3 zusammen erklären läßt. Tritt während des Betriebes ein Fehler in einem überwachten Fühler', beispielsweise in Fühler 10, auf, so verschwindet das Bereitschaftssignal am Ausgang 22. Dieser nimmt folglich den logischen Schaltzustand "0" an, der im Inverter 80 invertiert wird und somit als "1" zum ODER-Gatter 84 gelangt. Dieses erzeugt an seinem Ausgang folglich ein Signal "1", welches das Gatter 86 und die ODER-Gatter 88 und 90 verriegelt, so daß deren Ausgangssignal "1" festgehalten wird. Dieses Signal wird von den Treiberverstärkern verstärkt und betätigt die Schalter S-, S₂ und S₃. Wird die Rechnereinheit A herausgenommen, so hat dies die gleiche Wirkung auf die Steuerlbgikschaltung, weil dann ebenfalls ein Signal,"1" am ODER-Gatter 84 steht. Entsprechendes gilt für einen Fehler im überwachten Fühler 16 bzw. eine Abschaltung oder Entfernung der 'Rechnereinheit B. Geschieht dies, so werden die Schalter S^, S^ und Sg betätigt. , - .

Nunmehr wird die Auswirkung eines Schaltsignals am Ausgang der Vergleicher betrachtet. Tritt beispielsweise infolge eines Fehlers im Rechenkanal"A- eine merkliche Änderung des Kanalsignales auf, so stellt der Vergleicher 40 die Differenz zwischen diesem Kanalsignal und dem ausgewählten Signal am Ausgang des Signalselektors A. fest,und die Ausgangsklemme 48 nimmt den Signalzustand "0" an statt den vorherigen Normalzustand "1". Dieser SchaltpegeL ¹¹O" wird vom Inverter 124 in ein Signal "1" umgekehrt," anschließend in der Verzögerungsschaltung 132 vorübergehend verzögert und schließlich dem speichernden ODER-Gatter 88 zugeleitet, welches an seinem Ausgang den Signalwert "1" annimmt und aufrechterhält. Dieses Signal gelangt zum Treiberverstärker 142, welcher den Schalter S₃ betätigt. Beim Ansprechen irgendeines der übrigen

. 509820/0813

Vergleicher wird dementsprechend einer der anderen drei Schalter S₃, S. bzw. S,- umgeschaltet.

Die Punktion der Schalter S₁ bis Sg kann ar* sich am besten anhand von Figur 3 erläutert werden, welche einen der Signalselektoreri 32,34,36 bzw.38 darstellt. In dem wiedergegebenen Signalselektor sind bestimmte Rechenkanäle an bestimmte Eingänge des Signalselektors angeschlossen. Diese Verbindung wird bestimmt durch die Funktion der Schalter S- bis S₆ in diesem Signalselektor, nämlich durch die gewünschte Fehlerunterdrückung in bestimmten Kanälen mit Hilfe dieser Schalter. Beispielsweise wird ein Fehler im Rechenkanal Ä.. vom Vergleicher A. festgestellt, so wird der Schalter S₂ betätigt. Hierdurch wird das Kanalsignal aus dem Rechenkanal A₁ als möglicher Anwärter für die Auswahl durch den Signalselektor abgeschaltet. Das Kanalsignal des Rechenkanals A.. gelangt über den Ruhekontakt S₂ an jeden von drei Extremwert-Durchlaßschaltern 204,206 und 208 für eine erste Signalpolarität. ' In Figur 3 ist dies die negative Signalpolarität, d.h. diese Schaltungsanordnungen lassen jeweils das am meisten negative Signal hindurch. Jede dieser Auswahlschaltungen 204,206 und 208 hat zwei Eingänge, wählt also jeweils das negativste der beiden Eingangssignale aus.

Ähnlich wie das Kanalsignal des Rechenkanals A₁ wird das Kanalsignal des Rechenkanals B₂ über einen Ruhekontakt S₅ den Eingängen von drei Extremwert-Durchlaßschaltungen 208,214 und 216 der gleichen zuerst genannten Polarität zugeleitet. Sie arbeiten genauso wie die zuvor erwähnten Wahlschaltungen und lassen wiederum jeweils nur das am meisten negative Eingangssignal hindurch.

Der in Figur 3 wiedergegebene Signalselektor erhält ferner die Kanalsignale aus den Rechenkanäl'en A₂ und B-. Der erstgenannte Kanal ist über einen Ruhekontakt S₃ mit dem einen Eingang der beiden Extremwert-Durchlaßschaltungen 204 und 216 verbunden, während der Rechenkanal B₂ über einen Ruhekontakt S mit den Eingängen

509820/0813

der Extremwert-Durchlaßschaltungen 206 und 214 in Verbindung steht. Die fünf Extremwert- Durchlaßschaltungen 204, 206, 208, 214 und 216 erhalten an ihren Eingängen fünf bestimmte Untergruppen von je zwei Kanalsignalen. Diese Untergruppen sind derart aufgebaut, daß keine Untergruppe einer anderen entspricht. Andererseits ist eine der möglichen Untergruppen aus zwei Kanalsignalen nicht an den Eingang einer der Extremwert-Durchlaßschaltungen geführt. Dier se nicht angeschlossene Untergruppe besteht aus den Kanalsignalen der Rechenkanäle A₂ und B.. Der Grund für diesen Ausschluß einer bestimmten Untergruppe ergibt sich später aus der Beschreibung von Figur 4.

Die Ausgänge der Durchlaßschaltun'gen 204,206,214,216 sind mit den Eingängen einer Extremwert-Durchlaßschaltung 230 entgegengesetzter Polarität verbunden. Wenn beispielsweise die erstgenannten fünf Durchlaßschaltungen jeweils das am meisten negative Signal hindurchlassen, läßt die letztgenannte Durchlaßschaltung das positLvsbe Signal hindurch. Dabei ist zwischen die Durchlaßschaltungen 204 und 230 ein Ruhekontakt S- und zwischen die Durchlaßschaltungen 214 und 230 eine Ruhekontakt S_g eingeschaltet. Hierbei erhält die Durchlaßschaltung 204 die Eingangssignale aus den Rechenkanälen der Recheneinrichtung A, während die Durchlaßschaltung 214 die Eingangssignale,aus den beiden Rechenkanälen der Recheneinrichtung B bekommt. Die übrigen drei der fünf erstgenannten Durchlaßschaltungen erhalten jeweils gemischt aus beiden Recheneinrichtungen ihre Eingangssignale und sind ausgangsseitig unmittelbar mit der Durchlaßschaltung 230 entgegengesetzter Polarität verbunden. Diese .wählt aus den zugeführtne Signalen, das am meisten positive Signal aus, welches das ausgewählte Signal des betreffenden Signalselektors darstellt.Diese von den vier Signalselektoren 32,34,36 unf in Figur 1 ausgewählten Signale werden über Leitungen 56, 58, 60 und 62 den angeschlossenen Schaltungsteilen der Regeldnrichtung zugeleitet.

Die Funktionsweise des Signalselektors gemäß Figur 3 läßt sich am leichtesten anhand von Figur 4 erläutern, die eine Tabelle möglicher Polaritätskombinationen der Rechenkanalsignale und das hieraus ergebende ausgewählte Signal für jede Kombination darstellt.

509820/0813

Diese Tabelle umfaßt alle Zustände, in denen kein Fehler festgestellt worden ist und keiner der sechs Schalter S^ bis Sg ge-.öffnet wurde. Es ergeben sich 24 mögliche Kombinationen von. Kanalsignalpolaritäten. Für 20 dieser 24 Kombinationen wird jeweils das zweithöchst positive Signal ausgewählt; für die vier anderen Kombinationen jeweils das dritthöchst positive Signal. Die ausgewählten Signale sind in Figur 4 durch kreisförmige Umrandung hervorgehoben. In allen Fällen dient der Signalselektor als Mittel zur Auswahleines Zwischensignals, welches der Größe nach zwischen dem größten und dem kleinsten bzw. dem positivsten und dem negativsten Signal liegt. Da die Extremwert-Durchlaßschaltungen 204/206,208,216,214 jeweils das am meisten negative Signal hindurchlassen, wird jeweils das am meisten positive Signal eliminiert. Die Durchlaßschaltung 230 entgegengesetzter Polarität läßt wie erwähnt das am meisten positive Signal aus den verbliebenen Signalen hindurch, welches folglich das zweithöchst positive Signal ist.

Das zweithöchst positive Signal wird in denjenigen Fällen nicht · ausgewählt, wo die Signale aus den Rechenkanälen A„ und B.. die beiden positiven Signalen sind. Dies liegt daran, daß der Signalselektor gemäß Figur 3 keine Extremwert-Durchlaßschaltung für das negativste Signal enthält, die als Eingangssignale die Untergruppe, bestehend aus den Rechenkanalsignalen A₂ und B.. ,aufweist. Wenn diese Signale positiver sind als die übrigen werden sie folglich durch die Extremwert-Auswahlschaltungen für die erste Polarität eliminiert. Dieses Merkmal ist notwendig, um die eingangs erwähnte Betriebsweise der Regeleinrichtung zu erzeilen, wo bei einem ersten Fehler eine Umschaltung und bei einem zweiten Fehler eine Passivierung der Regeleinrichtung erfolgt. Aus Figur 1 ist ersichtlich, daß eines der Fühlerausgangssignale, welches die Kanalsignale in den Rechenkanälen A₂ und B₁ beeinflußt, vom· nicht überwachten Fühler 28 stammt. Im Fall einer Störung des nicht überwachten Fehlers 28 würden somit beide Rechenkanäle A₂ und B- betroffen sein. In manchen Fäller kann eine dolche Störung dazu führen-} daß diese Kanalsignale Werte annehmen, die positiver sind als es der gemessene Zustand erfordert. Würde eine Extremwert-Durchlaßschaltung für das am meisten negative Signal vorhanden

509820/0813

sein und diese beiden Signale erhalten, so würde ein Signal aus einem fehlerhaften Signalkanal ausgewählt werden. Da dies zu

^v beim einem . fehlerhaften Betrieb der Regeleinrichtung Auftreten eines ersten Fehlers führen würde, hätte eine solche Regeleinrichtung nicht die eingangs geforderte Betriebsweise.' Durch paarweise Zusammenfassung der ankommenden Kanalsignale zu allen möglichen untereinander unterschiedlichen Zweiergruppen mit Ausnahme der Signale aus den-Kanälen A₂ und B₁ wird dieses Problem gelöst. Die Kombinationen von Kanalsignalpolaritäten, welche durch diese Struktur beeinflußt werden, sind die vier Kombinationen gemäß Figur 4, bei denen das dritthöchst positive Signal ausgewählt wird. Die Schalter im Signalselektor gemäß Figur 3 und die zugehörige Steuerlogikschaltung in Figur 2 enthält diejenigen Schalter, die zur .Fehlerunterdrückung im Signalselektor erforderlich sind, wenn Fehler auftreten und festgestellt werden. Dieser Fehlerunterdrückung wird erreicht durch Schalter, welche zwischen den Rechenkanälen und den Eingängen der Extremwert-Durchlaßschaltungen erster Polarität liegen sowie durch Schalter, welche zwischen den beiden Extremwert-Durchlaßschaltungen angeordnet sind. Wie oben bereits erwähnt, führt ein Verschwinden des Betriebsbereitschaftssignals am Bereitschaftsausgang 22 des Fühlers 10 oder ein Herausnehmen der Recheneinrichtung A zu einer Betätigung der Schalter S., , S₀ und S- in jedem der in der Regeleinrichtung vorhandenen Signal-

Der
selektoren. Grund für diese Umschaltung des Schalters S- in jedem der Signalselektoren wird ersichtlich aus Figur, 1 , v/o der Fühler ein Ausgangssignal an jeden der beiden Rechenkanäle A₁ und A„ liefert. Aus diesem Grund müssen die Signalselektoren die Auswahl eines Signals aus beiden Rechenkanälen unterdrücken, wenn dieser Fühler 10 schadhaft ist. Die Schalter S₂ und S₃ werden auch bei einem Herausnehmen der Recheneinrichtung A oder einem Verschwinden des Betriebsbereitschaftssignales am Ausgang 22 betätigt. Ihre Umschaltung führt zum Ersatz jedes der Kanalsignale auf den Rechenkanälen A₁ und' A₂ durch ein Passiv-Signal. Für eine Regeleinrichtung gemäß Figur 1 bedeutet eine Erdung die Einfügung eines Passiv-Signals, weil die Signalinformation der Regeleinrichtung durch die Amplitude bzw. den Spannungspegel des Signals dargestellt ist.

509820/0813

Würden bei einem Fehler des überwachten Fühlers 10 keine Passiv-Signale anstelle der Kanalsignale aus den Rechenkanälen A^ und A₂ eingeführt werden, so zeigt die nachfolgende Betrachtung, daß die Regeleinrichtung dann nicht die gewünschte Betriebswese ermöglichen würde. Angenommen ein erster Fehler im Fühler 10 würde die Kanalsignale der Kanäle A₁ und A₂ fälschlicherweise hohe positive Werte annehmen -lassen und ein zweiter Fehler würde anschließend im Kanal B₁ auftreten, welcher zu einem noch höheren positiven Wert des Kanalsignals B₁ führt;und weiterhin angenommen,daß diese Differenzen anfänglich nicht genügend groß sind, um die Vergleicher ansprechen zu lassen, so würde bei Nichtbetätigung der Schalter S₂ und S- das fehlerhafte Signal aus dem Kanal A^ ausgewählt werden, nämlich durch die Extremwert-Durchlaßschaltungen 206 und 230. Beim Auftreten eines zweiten Fehlers würde die Anlage nicht in den passiven Zustand umgeschaltet werden. Durch Einfügung von Passivierungssignalen wird dieser mögliche Fehler vermieden und eine Überführung der Regeleinrichtung in den passiven Zustand gewährleistet.

Ein Fehler im überwachten Fühler 16 ergibt eine Änderung des Bereitschaftsignals am Ausgang 24 und führt zu einer Umschaltung der Schalter S., S₅ und S_g weil der Aufbau der Fehlerlogikschaltung in der unteren Hälfte von Figur 2 symmetrisch zu derjenigen in der oberen Hälfte ist. Unter diesen Umständen hat der Schalter Sg die gleiche Funktion wie der Schalter S₁; er verhindert die Durchschaltung des von der Durchlaßschaltung 214 ausgewählten Signals zum Eingang der Extremwert-Durchlaßschaltung 230. Dementsprechend haben die Schalter S^ und S₅ die gleichen Funktionen wie die Schalter S₃ und S₃ im obengenannten Beispiel. Sie führen anstelle der beiden Kanalsignale B₁ und B₂ je ein Passivierungssignal ein, indem sie die Eingänge der Extremwert-Durchlaß-Schaltungen an Masse legen. Hierdurch wird die Regeleinrichtung auf das Eintreten eines zweiten Fehlers vorbereitet.

Wird eine der beiden Rechnereinrichtungen, beispielsweise der Rechner A herausgenommen, so ist der Signalselektor der gleichen

50 9 8 20/0813

Änderung unterworfen wie bei einem Fehler in einem der überwachten Fühler. Wenn der Rechner A entfernt wird, dürfen seine Kanalsignale nicht langer ausgewählt werden. Der ^Schalter S.. Verhindert dies, indem er die Verbindung zur Extremwert-Auswahlschaltung unterbricht. Die Schalter S₂ und S₃ legen die Eingänge der Signalselektoren an Masse, verhindern hierdurch gleichzeitig, daß irgendwelche Störsignale an den Trennstellen in den Kanälen auftreten. Als Folge der Betätigung der Schalter S.. bis S₃ wird bei negativen Kanalsignalen B₁ und B₂ gegenüber Masse keines der geerdeten Signale durch die Extremwert-Auswahlschaltungen der ersten Polarität ausgewählt, weil die Kanalsignale A.. oder A₂ an diesen Schaltungen nur zusammen mit Kanalsignalen B.. oder B₂ auftreten. Andererseits wird.wenn die Kanalsignale B₁ und B₂ positiv bezogen, auf Masse sind, eines der beiden von der Durchlaßschaltung 214 ausgewählt, während die Durchlaßschaltungen 206,208 und 216 die Kanalsignale A₁, A₁ bzw. A₃ auswählen. Durch die Extremwert-Auswahlschaltung 230 der entgegengesetzten Polarität wird das Ausgangssignal der Durchlaßschaltung 214 ausgewählt, wobei dieses das am meisten positive Signal ist.

Bei einer kurzen Betrachtung von Figur 2 kann der Eindruck entstehen, als ob die Schalter S₁ und S_g für die eingangs erwähnte Betriebsweise nicht unbedingt erforderlich seien, weil ein Fehler im Fühler 10 oder 16 die Eingänge desjenigen Signalselektors an Masse legt, der normalerweise die Signale der durch den fehlerhaften Fühler beeinflußten Rechenkanäle erhält. Die Notwendigkeit für diese beiden Schalter ergibt sich, wenn man einen Fehler im Fühler 10 zu einer Zeit annimmt, wenn die Kanalsignale in den nicht vom Fühler 10 beeinflußten Kanälen B₁ und B₂ negativ gerichtetsind. Wären jetzt die Schalter S₂ und S₃ die einzigen durch den Fehler betätigten Schalter, so würden die Durchlaßschaltungen 204,206,208,216 und 214 das Signal Masse und die Kanalsignale B₁, B₂, B₂, und B₁ oder B₂ auswählen und weiterleiten. Da die Durchlaßschaltung 230 das positivste dieser Signale hindurchläßt und die Kanäle B. und B₂ negativ sind, würde die Durchlaßschaltung 230 das Ausgangssignal der Durchlaßschaltung 204, d.h. das Massesignal hindurchlassen. Dies würde aber bedeuten,

509820/0813

daß bei dem ersten Fehler keine Umschaltung eines anderen Kanals, sondern gegebenenfalls eine Umschaltung der Regeleinrichtung auf den passiven Zustand bereits erfolgen würde. Die Betätigung des Schalters S.J trägt dieser Situation Rechnung, indem sie das Ausgangssignal der Durchlaßschaltung 204 nicht zur Durchlaßschaltung 230 gelangen läßt.

Vier der Schalter in jedem der Signalselektoren können durch andere Signale als durch Betriebsbereitschaftssignale oder Rechnerbereitschaftssignale betätigt werden. Dies sind die Schalter S bis Sc, die von einem zugehörigen Vergleicher angesteuert werden können. Da die Punktion aller vier Schalter gleich ist, wird dieser Vorgang anhand des Schalters S„ und des zugehörigen Vergleichers A. beispielsweise erläutert. Angenommen, daß im Rechenkanal A₁ ein Fehler auftritt und zur Folge hat, daß das Kanalsignal dieses Kanals von den Werten der übrigen Kanäle abweicht, so zeigt Figur 4,daß dann entweder das zweithöchst positive oder das zweithöchst negative Signal ausgewählt wird. Deshalb wird das Kanalsignal A₁, ob es nun positiv oder negativ von den übrigen Signalen der Gruppe abweicht, nicht durch den Signalselektor 32 ausgewählt. Der Vergleicher 40 erhält als Eingangssignal das vom Signalselektor 32 ausgewählte Signal und das Kanalsignal A.. .Wenn Unterschied zwischen diesen beiden Signalen einen vorgegebenen Wert überschreitet, spricht der Vergleicher 40 an und erzeugt ein Signal "0" an seinem Ausgang 48. Dieses Signal wird vom Inverter 124 in der Steuerlogikschaltung gemäß Figur 2 invertiert und nach einer Zeitverzögerung durch die Verzogerungss.chaltung 32 dem .speichernden ODER-Gatter 88· zugeleitet. Dies führt zur Betätigung des Schalters 152 in jedem der Signalselektoren 32,34,36 und 38. Der Schalter 152 setzt anstelle des Kanalsignals A.. an allen Signalselektoreingängen ein Passivierungsöignal, nämlich das Signal Masse ein. Dieses beeinträchtigt das Regelsignal solange nicht, bis. ein zweiter Fehler auftritt» Es bereitet vielmehr die Regeleinrichtung lediglich auf einen möglichen zweiten Fehler vor, bei dessen Eintreffen die Regeleinrichtung in den passiven Zustand umgeschaltet wird.

509820/0813

Wie bereits oben erwähnt ist jeder der in Figur 2 dargestellte Schalter in jedem der vier Signalselektoren gemäß Figur 1 vorhanden. Auch der Zusammenhang zwischen den Rechenkanälen und den Fehlerunterdrückungsschaltern ist gleich. Beispielsweise muß ein Fehler in dem Kanal A₁ die Einspeisung einea Passivierungssignals in all diejenigen Eingänge der vier Signalselektoren zur Folge haben, an denen bei Normalbetrieb das Kanalsignal A. steht. Einige Beispiele für die Reaktion der Auswahlschaltung auf erste und zweite Fehler werden nachfolgend erläutert. Aufgabe des Signalselektors nach einem zweiten Fehler ist es, das Störsignal am Signallselektor solange zu unterdrücken, bis eine in der Zeichnung nicht dargestellte Abschaltlogik die Regelenrichtung vom Stellglied trennt und gegebenenfalls ein die Bedienungsperson zur Handsteuerung aufforderndes oder automatisch auf Handsteuerung umschaltendes Signal liefert. Die sechs Kurvendarstellungen in Figur 5 zeigen den zeitlichen Verlauf der vier Rechenkanalsignale, wobei jeweils die nicht ausgewählten Signale gestrichelt und das ausgewählte Signal als ausgezogene Linie dargestellt sind. Die Eingangsspannungen sind jeweils in Form von Sinuskurven wieder- ' gegeben, um die Funktion des Signalselektors sowohl bei positiven als auch bei negativen Signalanteilen erläutern zu können.

In Figur 5A ist vom Vergleicher A. ein einziger Fehler im Rechenkänal A₁ festgestellt worden. Der Schalter S, hat die Eingänge der Signalselektoren, welche normalerweise dieses Kanalsignal A₁ erhalten, an Masse gelegt. In Figur,5A ist das Signal A₁ als dicht bei Null liegend dargestellt, um die Erdung anzudeuten. Die Kanalsignale aus den Rechenkanälen A₂, B₁ und B₂ sind mit deutlich unterschiedlichen Beträgen dargestellt, um den Auswahlvorgang besser sichtbar werden zu lassen. In der Praxis haben diese Signale jedoch normalerweise bei ungestörtem Kanal nur geringe Unterschiede, welche u.U.. mit Hilfe einer nicht gezeigten Ausgleichsschaltung noch verringert werden können. Bei diesem ersten Fehler erhalten sich die Signalselektoren in der gleichen Weise wie vor der Erdung des Kanals A₁, d.h. das zweithöchst positive Signal wird ausgewählt Dies ist während der positiven," also der

509810/0813

ersten Signalhalbwelle das Kanalsignal B- und während der negativen, d.h. der zweiten Halbwelle das Signal A2. Dies bedeutet, daß nach einem ersten Fehler ein ungestörter Kanal ausgewählt wird und die Steuerung des Stellglieds übernimmt.

Figur 5B zeigt den Fall, daß der überwachte Fühler 10 ausgefallen ist und die Schalter S-, S₂ und So in jedem der Signalselektoren betätigt worden sind. Zunächst wird der Verlauf nach dem ersten Fehler betrachtet. Für Signale positiver Polarität wird das zweithöchst positive Signal ausgewählt und für Signale negativer Polarität das zweithöchst negative Signal. Bei Fehlen des Schalters S- , der in Figur 3 es dem Signalselektor ermöglicht, das Ausgangssignal der Extremwert-Äuswahlschaitung 204 zu unterdrücken, würden die Signalselektoren für Signale negativer Polarität das gestörte . Kanalsignal A„ auswählen, weil dieses das zweithöchst positive Signal ist. Aus Figur 5B ergibt sich ferner, daß beim dortigen Beispiel die Rechnereinheit A abgeschaltet oder entfernt ist und somit die Rechnerkanäle A- und A₃ fehlen.

Bei der Darstellung in Figur 5C tritt ein erster Fehler in der zuvor anhand von Figur 5A erläuterten Weise auf. Ein zweiter Fehler ergibt sich im Rechenkanal B- in Form einer plötzlichen Signalerhöhung bis zu einem oberen positiven Sättigungsbetrag. Sobald die Spannung des Signals B- den Wert des Kanalsignals B₃ durchläuft, schaltet die Extremwert-Auswahlschaltung auf das Kanalsignal B₂/ also das zweithöchste positive Signal um, so daß während der positiven Halbwelle ein ordnungsgemäßes Signal ausgewählt wird. Sind die fehlerfreien Signale A₃ und B₂ negativ, so wird das zweithöchst positive Signal, also das Signal A- ausgewählt. Nach einem zweiten Fehler unterdrückt somit die Auswahlschaltung den Fehler^ und je nach Polarität der Eingangssignale wird entweder ein ungestörter Kanal ausgewählt oder ein Passivierungssignal eingefügt, bis die Regeleinrichtung abgeschaltet wird.

Anhand von Figur 5D wird eine Situation erläutert, bei welcher ein erster Fehler ähnlich desjenigen gemäß Figur 5B auftritt, mit Aus-

5098:20/0813

nähme, daß das Kanalsignal B₁ nach einem zweiten Fehler einen oberen Grenzwert annimmt. Die Signalauswahl ist hier die gleiche wie in Figur 5C. Solange ein fehlerfreies positives Signal existiert, wird dieses von jedem der Signalselektoren ausgewählt. Ist das ungestörte Signal hingegen negativ, so wird ein Passivierungssignal ausgewählt.

Figur 5E stimmt im wesentlichen mit 5A überein, mit der Ausnahme, .daß ein Fehler im Kanal B- zu einem Absinken des Kanalsignals B^ auf Null führt. Sobald das Signal B. den Signalpegel des Signals A₂ in Richtung Null-Linie durchläuft, wählt der Signalselektor-das ungestörte Signal A₂ aus. Bei negativ gerichteten störungsfreien Signalen wird ein passives Signal, nämlich das Signal B₁ ausgewählt. ■

Schließlich zeigt Figur 5F ähnliche Verhältnisse wie Figur 5D, mit Ausnahme daß das Kanalsignal B₁ nach einem zweiten Fehler auf Null abfällt. In diesem Fall werden sowohl für positive als auch für negative Werte des ungestörten Kanalsignals B₂ jeweils passive Signale ausgewählt, weil diese in drei der vier Kanäle eingespeist wurden und das zweithöchst positive sowie das zweithöchst negative Signal jeweils ausgewählt wird.

Eine Vielzahl weiterer Fehlerkombinationen ließe sich angeben und erläutern, welche jedoch alle bei einem ersten Fehler zu einer Kanalumschaltung und bei einem zweiten Fehler zur Passivierung der Regeleinrichtung führen.

509820/0813

Claims (5)

Patentansprüche

1. Verfahren zur Auswahl eines aus drei Eingangssignalen, wobei die Größe wenigstens zweier dieser Eingangssignale durch einen überwachten Fühler beeinflußt wird, welcher bei ordnungsgemäßem Betrieb ein Betriebsbereitschaftssignal liefert, und wobei das ausgewählte Signal der Größe nach zwischen dem größten und dem kleinsten der drei Eingangssignale liegt, dadurch gekennzeichnet, daß die drei Eingangssignale in Gruppen von je zwei Signalen zusammengefaßt werden, wobei eine ■ der Gruppen die beiden von dem überwachten Fühler (10) beeinflußten Signale (A.. ,A,). umfaßt;

daß aus jeder Gruppe das Extremwertsignal der einen Polarität ausgewählt wird; ■ -

daß das Vorhandensein oder Fehlen des Betriebsbereitschaftssignals festgestellt wird;

daß beim Fehlen des Betriebsbereitschaftssignals aus den ausgewählten Signalen dasjenige entfernt wird, welches aus der Gruppe der vom überwachten Fühler beeinflußten Signale ausgewählt wurde (S₁);

daß beim Fehlen des Betriebsbereitschaftssignals für jedes Signal aus der Gruppe der vom überwachten Fühler beeinflußten Signale ein Passivierüngssignal eingespeist wird (S-,S₃); und daß aus den verbleibenden ausgewählten Signalen das Extremwertsignal, entgegengesetzter-Polarität ausgewählt wird.

509820/0813

2. Schaltungsanordnung zur Answahl eines Signals aus wenigstens drei redundanten Signalkanälen, insbesondere zur Durchführung des Verfahrens nach Anspruch 1, wobei die Größe von wenigstens zwei Signalen durch die gleiche Systemkomponente, beispielsweise den gleichen Zustandsfühler beeinflußt ist, dadurch gekennzeichnet, daß ein Signalselektor (32 bis 38) vorgesehen ist, dessen Eingängen die Kanalsignale (Α^₂'^Β'\'^Β2^ ^zu9^efünr>:t werden und deren aus diesen ein Signal (Zwischensignal) auswählt, dessen Größe zwischen derjenigen des größten und des kleinsten Eingangssignals liegt; daß eine bei Betriebsbereitschaft der genannten Systemkompönente (10) ein Bereitschaftssignal liefernde Vorrichtung vorhanden ist; ·- · ......... . ι. . " . .

daß am Eingang des Signalselektors auf logische Signale ansprechende Schalter (S~ bis ..Sc) vorgesehen sind, welche an einem Eingang für eines der durch die genannte Systemkomponente beeinflußten redundanten Kanalsignal ein Passivierungssignal einschalten;

und daß eine Steuerlogikschaltung (80 bis 148) die Weitergabe der Betriebsbereitschaftssignale an die Schalter (S- bis Sc) steuert.

3. Schaltungsanordnung nach Anspruch 2, dadurchgekennzeichnet, daß ein Vergleicher (40,42,44,46) an seinem einen Eingang ein erstes redundantes Kanalsignal und an seinem anderen Eingang das ausgewählte Zwischensignal erhält und an seinem Ausgang (48,50,52,54) ein Schaltsignal liefert, sobald der Unterschied zwischen den beiden Eingangssignaleη einen vorgegebenen Wert überschreitet, und daß logische Schaltkreise (88,90,110,112) das genannte Schaltsignal den Schaltern (S₀ bis S_c) zuleiten.

4. Schaltungsanordnung nach Anspruch 3,dadurch g e -

. kennzeichnet, daß zwischen die Vergleicher (40,42,44» 46) einerseits und die logischen Schaltkreise (88,90,110,112) andererseits Verzögerungsschaltungen (132,134,136,138) eingeschaltet sind.

509820/0813

5. Schaltungsanordnung nach einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, daß in jedem Signalselektor (32,34,3638) eine Gruppe von Extremwert-Auswahlschaltungen (204,206,216,214) für eine erste Signalpolarität mit je zwei Eingängen und einem Ausgang vorhanden ist, deren Eingängen paarweise die redundanten Kanalsignale zugeführt werden und die an ihrem Ausgang jeweils dasjenige Kanalsignal abgeben, welches hinsichtlich dieser Polarität den höchsten Wert hat;

daß die Ausgänge der erstgenannten Extremwert-Auswahlschaltungen an die Eingänge einer weiteren Extremwert-Auswahlschaltung (230) entgegengesetzter Polarität angeschlossen sind, welchen an ihrem Ausgang als ausgewähltes Signal dasjenige Eingangssignal abgibt, welches hinsichtlich der entgegengesetzten Polarität den höchsten Wert hat; daß "erste Schalter (S-. ;S_g) zwischen die Ausgänge der als Eingangssignal die beiden von der gleichen Systemkomponente (10; 16) beeinflußten Kanalsignale (A.. ,A₂; B.,B₂) empfangende Extrem-wert-Auswahlschaltung (204;214) erster Polarität einerseits und die zugehörigen Eingänge der Extremwert-Auswahlschaltung (230) zweiter Polarität andererseits eingeschaltet sind und beim Fehlen des Betriebsbereitschaftssignals diese Verbindung unterbrechen

und daß zweite Schalter (S₂ bis Sc) den Eingängen der Extremwert-Auswahlschaltungen (204,206,208,216,214) erster Polarität vorgeschaltet sind und beim Fehlen des Betriebsbereitschaftssignals diese Verbindung unterbrechen und stattdessen den Eingang der.Extremwert-Auswahlschaltungen ein Passivierungssignal (Masse zuführen).

6. Schaltungsanordnung nach Anspruch 3 und 5, dadurch gekennzeichnet , daß dritte Schalter (S₂ bis S₅) durch das .Ausgangssignal der-Vergleicher (40,42,44,46) gesteuert am Eingang der Extremwert-Auswahlschaltungen (204,206, 208,216,214) erster Polarität vorgesehen sind und ein redundantes Kanalsignal durch ein Passivierungssignal (Masse ersetzen)

509820/0813

7. Schaltungsanordnung nach einem der Ansprüche 2 bis 6 für vier Kanalsignale/ dadurch gekennzeichnet, daß das erste Kanalsignal (A-) durch das Ausgangssignal eines ersten überwachten Fühlers (10) und eines ersten nicht überwachten Fühlers (26) beeinflußt ist,

daß das zweite Kanalsignal (A₂) durch das Ausgangssignal des ersten überwachten Fühlers (10) und eines zweiten nicht überwachten. Fühlers (28) beeinflußt ist,

daß das dritte Kanalsignal B..) durch das Ausgangssignal des zweiten nicht überwachten Fühlers (28) und eines zweiten überwachten Fühlers (16) beeinflußt ist,

daß das vierte Kanalsignal (B₂) durch das Ausgangssignal eines dritten nicht überwachten Fühlers (30) und des zweiten überwachten Fühlers (16) beeinflußt ist,

und daß alle vier Kanalsignale den vier Eingängen eines jeden von vier Signalselektoren (32,34,36,38) zugeleitet sind, der jeweils das zweithöchste Signal der einen Polarität auswählt und als ausgewähltes Signal einer dem Stellglied vorgeschalteten Treiberschaltung(64 bis 70) zuleitet.

8. Schaltungsanordnung nach Anspruch 7, dadurchgekennze lehnet, daß bei jedem Signalselektor (32,34, 36,38) zwischen den dem betreffenden Kanal zugeordneten Eingang und den·Ausgang ein Vergleicher (40^42,44,46) eingeschaltet ist und die Ausgänge der Vergleicher mit den Eingangsgliedern (124,126,128,130) einer Steuerlogikschaltung für die Schalter (S- bir Sg) in den einzelnen Signalselektoren verbunden sind.

9. Schaltungsanordnung nach Anspruch 7 oder 8, dadurch gekennzeichnet, daß die Ausgänge (56,60) des ersten und des dritten Signalselektors (32,36) mit einem Eingang je eines Servoverstärkers (65,66) und die Ausgänge (58, 62)f des zweiten und des vierten Signalselektors (34,38) mit einem Eingang je einer dem Servoverstärker zugeordneten überwachungsschaltung (68,70) verbunden sind. ' ·

5 09820/0813

10. Schaltungsanordnung nach Anspruch 9, dadurch gekennzeichnet, daß jeweils der Servoverstärker (64;66) und die überwachungsschaltung (68;7O) zusammen mit einem ,.Servomotor (76; 78; einen Servoantrieb für ein gemeinsames Stellglied bilden.

11. Schaltungsanordnung nach einem der Ansprüche 7 bis 10, dadurch gekennzeichnet, daß jeweils der erste und zweite (32,34) sowie der dritte und vierte Signal-. selektor (36,38) mit zugeordnetem Vergleicher (40,42;44,46) und nachgeschaltetem-Servokreis (64,68;66,70) zusammen eine Rechnereinheit.(A;B) bilden.

12. Schaltungsanordnung nach Anspruch 11,dadurch gekennzeichnet, daß die beiden Rechnereinheiten (A;B) getrennt abschalt- oder entfernbar sind und in der Steuerlogikschaltung für jede Rechnereinheit eine Rechnerbereitschaftsschaltung (86;106) vorgesehen ist, welche bei abgeschalteter Rechnereinheit ein gleiches Ausgangssignal liefert. wie die Fühlerüberwachungsvorrichtung bei nicht betriebsbereitem Fühler (10;16). .

13. Schaltungsanordnung nach Anspruch 12, dadurch gekennzeichnet, daß die Steuerlogikschaltung zwei Gruppen (A,B) von je drei Speichergattungen (87,88,9O;110, 112,108) enthält, die den Schaltern (S₁ bis Sg) vorgeschaltet sind und denen in jeder Gruppe an dem einen Eingang des Betriebsbereitschaftssignal zugeleitet wird, während bei zwei (88,9Q?11O,112) der drei Gatter jeder Gruppe ein zweiter Eingang, mit dem Ausgang jeweils eines der beiden Vergleicher (40, 42j44,46) dieser Rechnereinheit (A,B) in Verbindung steht.

14. Schaltungsanordnung nach einem der Ansprüche 2 bis 13 mit vier Kanalsignalen, von denen ein erstes Paar von einem überwachten Fühler und ein zweites Paar von einem nicht überwachten Fühler beeinflußt wird, dadurchgekennzeichnet.

509820/0813

■· OBiGSNAL INSPECTED

Τ-~η· ■ ·»"■ ■■;■'-'■

27 -

daß die Schalter (S₂ bis S₅) am Eingang des Signalselektors die beiden Eingänge, denen das erste Kanalsignalpaar zugeführt wird, beim Vorhandensein eines Fehlers im überwachten Fühler (10) an Masse legen.

15. Schaltungsanordnung nach Anspruch 14, dadurch gekennzeichnet, daß die Signalselektoren (32,34,36, 38) Eingänge für nicht mehr als fünf Paare von Kanalsignalen aufweisen und mit Ausnahme des zweiten Paares (A2/B-) von Kanalsignaleri allen möglichen paarweisen Kombinationen (A-, Ä2/A-,B. ;A-,B2;A2/B₂;B-,B2) von Kanalsignalen (A-. ,A₂,B-,B₂) den Signalselektoren zugeleitet werden.

16. Schaltungsanordnung nach Anspruch 14, dadurch gekennzeichnet, daß einem ersten Paar von Signalselektor-Eingangsklemmen das zweite Paar (A₂/B-) von Kanalsignalen zugeführt wird und das erste Eingangsklemmenpaar derart mit den Eingängen der Extremwert-Durchlaßschaltungen (204, 206,208,216,214) erster Polarität verbunden -ist, daß jedes dem ersten Eingangsklemmenpaar zugeführte Signal nur mit solchen Signalen paarweise zusammengefaßt wird, die nicht im ersten Signalpaar enthalten sind.

5 0 9820/0813