DE2258917B2 - Regelvorrichtung mit mindestens zwei parallelen signalkanaelen - Google Patents

Description

redundanten Regelung in aktiver Reserve geschaltet sind wobei die aktive Reserve für sich bereits bekannt geworden ist (vgl DT-Zeitschrift »Raketentechnik und Raumfahrlforsehung« (1961), Heft 3. S. 101 -105), nämüch als Redundanz, d.h. Parallelschaltung von Bauelementen, Schaltkreisen, Geräten oder Systemen, insbesondere als Kreis-Redundanz, indem eine ganze Stufe oder Verstärkung zuverlässiger gestallet wird, wenn man dieser Stufe eine weitere parallelschaltet, wobei diese Redundanz in passiver Form ausgeführt werden kann, d. h. erst bei Ausiall eines Verstärkers wird ein zweiter parallelgeschaltet, oder in aktiver Reserve, wenn man, wie es z. B. bei Sendern durchgeführt wird, die Verstärkung aufteilt, also zwei Sender so zusammengeschaltet sind, daß sie eine gemeinsame Antenne über eine Briicke speisen und jeder der beiden Sender 50% der abgestrahlten Leistung liefert

Zur Erhöhung der Sicherheit bei der erfindungsgemäßen Regelvorrichtung trägt ferner das Merkmal be«, daß die beiden Rechner selbst kontinuierlich überprüfen, ob das mit dem jeweils anderen Rechner erzielte Rechenergebnis mit dem eigenen Rechenergebnis innerhalb vorgegebener Toleranzen übereinstimmt.

Demgegenüber war es für sich bereits bekannt (vgl. DT-Zeitsehrift »Regelungstechnik und Prozeß-Datenverarbeitung«, Heft 1 [1970], S. 3- 10. insbes. S. 9. 1. Sp). bei Verwendung von parallelen Rechnern deren Rechenergebnis zu vergleichen, wobei allerdings während der normalen Betriebsfahrweise der meist unbeschäftige Reserverechner benutzt wird, um Prüfoder Diagnoseroutinen in beiden Rechnern durchzuführen und sporadische Fehler aufzufinden, d. h.. es liegt keine Redundanz in aktiver Reserve vor. da normalerweise die beiden Rechner unterschiedliche Arbeiten verrichten.

Schließlich trägt zur mit der erfindungsgemaßen Regelvorrichtung erzielten hohen Sicherheit bei. daß in jeden Rechner von dem zugehörigen Fehlerprüfkreis Prüfsignale zur Diagnose eines Fehlers in seiner Hardware und vom zugehörigen Ausgangsglied Rückkopplungssignale eingegeben sind. Es wird also eine aktive Diagnose vorgenommen.

Weitere Vorteile der erfindungsgemäßen Vorrichtung gegenüber bekannten Vorrichtungen werden im folgenden aufgeführt: Da zwei Anordnungen bzw. Signalkanäle, von denen jede einen Rechner umfaßt, der für sich einen Fehler überprüfen oder erfassen kann, vereinigt sind, um eine Regelvorrichtung mit zwei parallelen Si^nalkanälen zu bilden, kann die gesamte Regelvorrichtung vereinfacht werden, und die Auswahl der letzten Ausgangssignale der einzelnen Anordnungen wird erleichtert. Da jede Anordnung für sich selbst einen Fehler überprüft, kann eine zufriedenstellende Zuverlässigkeit selbst dann erreicht werden, wenn nur eine Hälfte der Regelvorrichtung verwe.idet wird. Da die Ausgangssignale der Eingangsglieder synchron sind, um ein Bezugssignal durch Austausch der Informationen miteinander und durch Auswahl eines der Ausgangssignale zu bilden, ist die Auswahl wesentlich einfacher als in einer herkömmlichen Regelvorrichtung mit mehreren Eingangsgliedern, selbst wenn die addierten Ergebnisse durch mehrere Code bei der Regelung eines Bremsvorganges, wie unten beschrieben, wiedergegeben werden.

Vorteilhafte Weiterbildungen der Erfindung linden sich in den Unteransprüchen.

Nachfolgend wird die Erfindung anhand der Zeichnung näher erläutert. Es zeigen:

Fig. 1 und 2 das Blockschaltbild von zwei einfachen Ausführungsbeispielen der erfindungsgemaßen Regelvorrichtung mit zwei parallelen Signalkanälen;

Fig. 3 ein genaueres Blockschaltbild des einen Fehlerprufkreises von F i g. 1 in Verbindung mit dem zugehörigen Rechner und dem zugehörigen Ausgangsglied;

Fig.4 in der Schaltung von Fig. 3 auftretende Signale;

F i g. 5 genauer die in F i g. 3 abgebildete Koinzidenzschaltung;

F i g. 6 genauer das Schaltbild des Schaltglieds 20 von F i g. 3 einschließlich eines Sicherheits- und Anzeigeschalters;

Fig. 7 in der Schaltung von Fig.6 auftretende Signale;

Fig.8 ein anderes Blockschaltbild der Fehlerprüfkreise von F i g. 1;

F i g. 9 in der Schaltung von F i g. 8 auftretende Signale:

Fig. 10 ähnlich Fig.8 ein Blockschaltbild der Fehlerprüfkreise von Fig. 1 und zusätzlich ein Blockschallbild der Rechner von Fig. 1;

Fig. 11 in der Schaltung von Fig. 10 auftretende Signale.

Fig. 12 weitere Einzelheiten der Schaltung von Fig. 10; und

Fig. 13 genauer ein Teil der in der Fig. 12 dargestellten Schaltung, die eine allgemeine Betriebseinheit bildet.

In der Fig. 1 ist ein einem Blockschaltbild die Grundschaltung eines Ausführungsbeispiels der vorliegenden Erfindung dargestellt, d. h. einer Regelvorrichtung mit zwei parallelen Signalkanälen, bei der Rechner 11a und 12a, die die Regelstrecke abhängig von Eingangssignalcn regeln, vorgesehen sind: Fehlerprüfkreise 116 und 126 sind vorgesehen, um jeweils die in den Rechnern Ha und 12a auftretenden Fehler bzw Störungen zu überprüfen bzw. zu diagnostizieren. Die Fehlerprüfkreise 116 und 126 prüfen periodisch die Rechner Ua und 12a, und die Fehlerprüfkreise 11 6 und 126 liefern Signale, die die Fehler anzeigen, wenn Fehler in den Rechnern Ua und 12a vorhanden sind. Eiei dieser Schaltung kann die Information des Rechners 11a und des Rechners 12a entsprechend Signalen a und t miteinander ausgetauscht werden. Von den Rechnern werden keine Endergebnisse erhalten, aber die während des Rechenbetriebs erhaltenen Ergebnisse werden mit anderen Ergebnissen dieser Schaltung verglichen Insbesondere wird ermittelt, ob der Unterschied zwischen zwei während der Rechnung erhaltenen Ergebnissen mit einer vorbestimmten Fehlertoleranz übereinstimmt oder nicht, und ob die beiden Ergebnisse miteinander übereinstimmen. Wenn der Unterschied innerhalb der vorbestimmten Toleranz liegt, dann wird daraus geschlossen, daß mindestens eines der Ergebnisse richtig ist. Danach werden die folgenden Rechenoperationen in den Rechnern durchgeführt, indem die Ergebnisse so verwendet werden, sie sie sind. Bei dei Regelung der Bremswirkung eines sich bewegender Zu^es als Regelstrecke kann beispielsweise einer vor verschiedenen, beispielsweise von zehn vorbestimmter Graden der Bremskraft, ausgewählt werden, entspre chend den Bedingungen des betrachteten Eisenbahnzu ges. die durch Berechnung erhalten werden. Wenr angenommen wird, daß die Ergebnisse »drei« um »zwei« jeweils von den Rechnern 11a und 12a bei einei

derartigen Verarbeitung erhalten werden, dünn vergleicht die Schaltung die beiden Ergebnisse miteinander, um den Unterschied zwischen ihnen zu erhallen. Wenn die Schaltung so ausgelegt ist, daß sie den größeren Wert von zwei Ergebnissen auswählen kann, wenn der Unterschied kleiner ist als »zwei«, was zuvor als Toleranz angenommen wurde, dann werden die folgenden Rechenoperationen begonnen, wobei die durch die Rechner erhaltenen Ergebnisse »drei« sind. Diese vergleichenden Operationen werden mehrere Male durchgeführt, bis das Endergebnis erhalten wird. Wenn jedoch nach einem Informationsaustausch ermittelt wird, daß der Unterschied zwischen den beiden Ergebnissen größer ist als die Toleranz, dann wird eine derartige Verarbeitung für eine Auswertung neu berechnet oder eine Programm-Überprüfung durchgeführt, um sicherzustellen, daß die Rechnung richtig ist.

Ausgangsglieder 14 und 15 übertragen die durch die Rechner 11a und 12a verarbeiteten tnformations-Ausgangssignale zur Regelstrecke und bestehen jeweils aus einem Relais und dessen Ansteuerschaltung.

Wenn die Fehlerprüfkreise llöund Vermitteln, daß die Endergebnisse richtig sind, erzeugen sie für die jeweiligen Relais-Ansteuerschaltungen geeignete Signale, so daß die Ansteuerschaltungen die Relais betätigen, um zu bewirken, daß die Rechner 11a und 12a die verarbeiteten Ergebnisse liefern. Ein Gatter 16 ermittell die logische Summe der Ausgangssignale der Ausgangsglieder 14 und 15 und besteht beispielsweise aus den Kontakten der Relais.

Wenn die Datenverarbeitungseinrichtungen il und 12 mit dem oben beschriebenen Aufbau genau auf der Grundlage ihrer Funktion zur Erkennung oder Überprüfung von Fehlern arbeiten, dann stimmen die Eingangssignale in die Rechner 11a und 12a miteinander in jedem Zeitpunkt überein. Tatsächlich ist jedoch der Takt der Eingangssignale so ausgebildet, daß diese nicht miteinander in Phase sind, da die Rechner unabhängig arbeiten. Es kann daher der Fall eintreten, daß die Signale gestört sind, bevor sie die Eingänge der Rechner 11a und 12a erreichen. Es ist in diesem Fall möglich, zu ermitteln, welches der Eingangssignale richtig ist, indem die Eingangsinformationen in den Rechnern 11a und 12a mit Hilfe der Signale a und b gemischt werden. Wenn das Eingangsglied 136 einfach ist, dann kann, wie darauf hingewisen werden soll, die Ermittlung in manchen Fällen nicht möglich sein, wenn das Eingangssignal in das Eingangsglied 136 falsch oder unterbrochen ist. In einem derartigen Fall können zusätzliche Eingangsglieder 13a und 13c vorgesehen werden, um ein Vielfach-Eingangssystem zu bilden, wie dies in der Fig.2 dargestellt ist, so daß die Zuverlässigkeit der Eingangsinformation verbessert werden kann. Darüber hinaus kann bei dieser Schaltungsanordnung die Phasendifferenz zwischen den mehreren Eingangssignalen, die oft bei einer Anordnung mit mehreren Einheiten aufUiU, dadurch korrigiert werden, daß eines der mehreren Emgangssignate durch die Verwendung der oben beschriebenen Einrichtungen zum Austausch der Informationen anf der Grundlage eines gememsaeren Bezugssignals fiir alle Einheiten ausgewählt wird. Dieses Verfahren ist einfädler aus das herkömmliche Verfahren, bei dem eine derartige Auswahl in der Ausgangsstufe mit Hilfe der Relais durchgeführt wird. Weiterhin könne» durch einen Vergleich der Endergebnisse oder der Ergebnisse während der Verarbeitung miteinander mit Hilfe der Verwendung der Einrichtung for den Informationsaustausch Fehler, die in den Rechnern auftreten können, durch den wechselseitigen Austausch der Informationen erfaßt werden, so daß eine wiederholte Verarbeitung oder eine ausführliche Erkennung oder Diagnose der Fehler durchgeführt ist. oder so. daß die Regelvorrichtung ein sicheres Signal liefert Weiterhin kann ein Fehler in den Ausgangsgliedern 14 oder 15 dadurch erfaßt werden, indem ermittelt wird, ob das eingegebene Ausgangssginal erhalten wird, wenn die Ausgangssignale der Ausgangsglieder 14 und 15 ■ο jeweils über Leitungen 110 und 120 (Fig. 1) zu den Rechnern Ua und 12a rückgekoppelt sind. Deshalb kann jede nicht normal arbeitende Einheit elektrisch von dem übrigen System getrennt werden.

In Fig. 3 ist ein Blockschaltbild mit der Grundschaltung des Fehlerprüfkreises Ub und in Fig.4 ein Zeildiagramm zur Erläuterung der Wirkungsweise der Teile des Fehlerprürkreises 116 dargestellt. In der Fig. 3 erzeugt ein Taktimpulserzeuger 17 ein Impulssignal a aus einer Folge von Taktimpulsen mit einer ίο konstanten Folgefrequenz. Ein Verzögerungsglied 18 verzögert das Impulssignal a um eine konstante Zeit t und erzeugt danach ein Impulssignal b mit einer Impulsbreite Δι. Die zeitliche Beziehung zwischen diesen Inipulssignalen a und b ist in der Fig 4 dargestellt. Ein Rechner 11a führt eine arithmetische Operation aus, um das gesteuerte System zu regeln Der Rechner 11a hat eine allgemeine Betriebseinheit, die in Ze.tteilbetr.eb (time-sharing) die Regelstrecke regelt. Uer Rechner 11a führt eine vorbestimmte Operation durch den gewöhnlichen Betrieb der allgemeinen Betnebse.nhcit in dem Rechner 11a abhängig von der Unterbrechung des Impulssignales a aus. In diesem Fall ist die vorbestimmte arithmetische Operation, die durch den Rechner 11a ausgeführt wird, so programmiert, daß be. einem Fehler oder einer vom Normalzustand abwesenden Betriebsbedingung in dem Rechner 11a der vom Normalzustand abweichende Betriebszustand klar im verarbeiteten Ergebnis auftritt. Nach einer rolge von Operationen kann demgemäß ermittelt vverden ob das Ergebnis mit einem vorbestimmten Wert übereinstimmt. Wenn die Bedingung erfüllt ist. dann wird ein Impuls c von dem Rechner Ha erzeugt. Wenn in diesem Fall die für die betrachtete Operation ertorderhehe Zeit t₂ so gesteuert ist, daß t, < I₂ < /, + Δ t gilt was aus der F i g. 4 hervorgeht, dann kann ermittelt werden, ob der Rechner 11 a genau arbeitet, und damit entsprechend, ob der Impuls c innerhalb oder außerhalb der Impulsbreite des Impulses b liegt.

Ein Koinzidenzglied 19 dient dazu, um die Übereinstimmung (Koinzidenz) des Impulses b mit dem Impuls c zu erfassen. Wenn eine Übereinstimmung zwischen s diesenι Impulsen vorliegt, dann erzeugt das Koinzidenz J glied 19 ein Impulssignal d (F i g. 4), um ein Schaltglied „ t°,^z.^u betätigen. Das Schahglied 20 zeigt nicht nur den ^J α κ, ÜT ^{echner ί U} abhängig von dem Signal an, das die Nicht-Komzidenz von dem Koinzidenzglied ff darstellt, sondern liefert auch ein Änderungssignal e, um das Ausgangsglied U zu betätigen, so daß der Rechner "adasSicherhehsstgnalfiefernkann.

tsi sind drei RBe, in denen der Impuls b im Takt nicht mit dem Impuls c übereinstimmt Sn Fall ist gegeben, , wenn ermittelt wird, daß ein Fehler im verarbeite« | Ergebms vorhanden ist Bn anderer Fall Begt vor. weatt Sfi. η ^Verarbertnngszeit fe erhalten wird, da ete V »ajscner Operationsweg, d.h. ein falsches Prograswa. ■> verfolgt w,rd Der letzte Fall liegt vor. wenn eine fefcAe | Verarbeitungsze« t₂ erhalten wird, da eine WSfrSS Normalzustand abweichende Betriebsbedmgung in *» ^

684

Verzögerungsschaltung 18 vorliegt. In jedem Fall kann der vom Normalzustand abweichende Zustand genau erfaßt werden, so daß der Fehler ermittelt werden kann.

Die oben beschriebene Regelvorrichtung weist sehr einfache Einrichtungen zur Erfassung oder Überprüfung von Fehlern auf. Wegen dieser sehr einfachen Struktur hat die Einrichtung zur Erfassung oder Überprüfung von Fehlern eine hohe Zuverlässigkeit und ist deshalb besonders zu einer Verwendung in einer derartigen Regelvorrichtung geeignet, die in einem Eisenbahnzug verwendet wird, und die einen Fehler ohne Ausfall erfassen und ein Sicherheitssignal liefern muß. Jedoch kann dieses System nicht langer die Sicherheit des Rechners lla gewährleisten, wenn eines der folgenden Bauteile außerhalb des Normalzustandes betrieben wird: Taktimpulserzeuger 17. Verzögerungsglied 18. Koinzidenzglied 19 und Schaltglied 20. Um diesen Nachteil zu beseitigen, besteht das Koinzidenzglied 19 aus einem UND-Glied 21 und aus einem Binärzähler mit einem Bit, d.h. einem Flip-Flop 22. Wenn das UND-Glied 21 die Koinzidenz zwischen den linpulssignalen b und c erfaßt, dann erzeugt das UND-Glied 21 ein Ausgangssignal, das den Flip-Flop 22 ansteuert, um ein Wechselstromsignal c/zu erzeugen, wie dies in der Fig. 5 dargestellt ist. Wenn nun der Taktimpulserzeuger 17 oder das Verzögerungsglied 18 oder das Koinzidenzglied 19 nicht in nomalem Betriebszustand sind, dann tritt kein Wechselstromausgangssignal am Ausgang des Koinzidenzglieds 19 auf. Deshalb ist das Schaltglied 20 so ausgelegt, daß es nur dann arbeitet, wenn das Eingangssignal d ein Wechselstromsignal ist. Dann kann das Sicherheitssignal durch das Schaltglied 20 erzeugt werden.

In Fig. 6 ist ein Ausführungsbeispie! eines solchen Sicherheits-Schaltglieds 20 dargestellt, das ein Ausgangssignal e liefert, das einen Pegel »1« nur dann aufweist, wenn e%.aa Wechselstromsignal d empfängt. In Fig.6 sind dargestellt ein Verstärker 23. ein Transformator 24, Gleichrichter 25 und 26, ein Relais 27 und Kontakte 28 des Relais 27.

Fig. 7 erläutert die Veränderung der Amplitude des Ausgangssignals e abhängig von der Anwesenheit oder Abwesenheit eines Wechselstrom-Ausgangssignals d. Das Signal /'ist das Ausgangssignal der Gleichrichter 25 und 26. Wenn das Ausgangssignal d (Fig. 7) von dem Koinzidenzglied 19 in das Schaltglied 20 eingespeist wird, wird das Ausgangssignal e durch die Gleichrichter 25 und 26 gleichgerichtet. Sodann wird das gleichgerichtete Signal in die Ansteuerschaltung 27 des Relais eingespeist, um die Kontakte 28 des Relais zu schließen. Die Kontakte 28 des Relais sind mit einer Relaisansteuer-Spannungsquelle im Ausgangsglied 14 verbunden. Während das Wechselstromsignal d in das Schaltglied 20 eingespeist wird, schaltet demgemäß das Relais im Ausgangsglied, so daß das verarbeitete Ergebnis des Rechners über dem Ausgang des Aasgangsgliedes 14 erhalten wird.

In Fig.8 ist ein weiteres Ausführungsbeispiel der vorliegenden Erfindung dargestellt in dieser Figur ist lediglich eine Hälfte einer erfmdungsgemäßen Regelvorrichtung mit zwei parallelen Signalkanälen dargestellt Gemäß der vorliegenden Erfindung kann diese Hälfte allein verwendet werden. In einem derartigen Fall kann ebenfalls eine zufriedenstelleßde Zuverlässigkeit erreicht werden. In F i g. 8 sind sich entsprechende Teile mit dm gleichen Bezugszeichen versehen wie in Fig. !,nämlich ein Rechner !la,ein FeWerprüfkreis Ub und ein Takthnpofaerzeuger 29. Ein Prfflgfied 30 startet

durch einen durch den Erzeuger 29 erzeugten Taktimpuls «/, erzeugt ein Signal b und erkennt, ob ein Fehler im Rechner lla vorliegt. Der Rechner 11a arbeitet so. wie dies oben beschrieben wurde, und regelt die nicht dargestellte Regelstrecke.

In Fig.9 sind die Signale der an den verschiedenen Punkten der in der Fig.8 dargestellten Anordnung gezeigt. Die Wirkungsweise der Anordnung wird weiter unten näher anhand der Fig.9 beschrieben. Wenn ein

ίο Taktimpuls jtrdurch den Impulserzeuger 29 erzeugt wird, dann startet das Prüfglied 30 durch den Taktimpuls t\ um ein Signal h zu erzeugen, das den Betrieb des Rechners 11 a erkennt oder überprüft. Das Diagramm ο zeigt den Zustand des Betriebes des Rechners 11a: Der Normalbetrieb (durch Schraffur dargestellt) ist während der Überprüfung unterbrochen, während der Normalbetrieb wieder eingeschaltet wird, wenn das Signal h verschwindet, um anzuzeigen, daß der Normalzustand wieder hergestellt ist. Wenn eine vom Normalzustand abweichende Bedingung erfaßt wird, dann wird diese vom Normalzustand abweichende Bedingung durch das Signal e von dem Prüfglied 30 geliefert. Die weitere Wirkungsweise dieser in der F i g. 8 dargestellten Anordnung ist die gleiche wie die Wirkungsweise der anhand der F i g. 6 beschriebenen Anordnung.

In Fig. 10 sind weitere Einzelheiten der in der Fig.8 gezeigten Anordnung dargestellt, wobei der Rechner lla zwei Einheiten 31 (beispielsweise eine allgemeine Betriebseinheit) und 32 (beispielsweise eine spezielle Betriebseinheit) umfaßt. Fig. 11 dient zur Erläuterung der in der Fig. 10 dargestellten Anordnung. Wenn ein Taktimpuls vom Impulserzeuger 29 geliefert wird, dann startet das Prüfglied 30 zunächst, um ein Signal h zu erzeugen, das die allgemeine Betriebseinheit 31 überprüft. Falls festgestellt wird, daß die Einheit 31 fehlerfrei arbeitet, gibt sie ein Signal j ab, und innerhalb der Periode des Signals j überprüft die allgemeine Betriebseinheit 31 die spezielle Betriebseinheit 32 und nicht die allgemeine Betriebseinheit 31. Danach wird der überprüfte Bereich ausgedehnt, d. h. die Überprüfung wird auch auf andere Teile als die Einheit 32 ausgedehnt. Wenn eine der Einheiten 31 und 32 nicht in Ordnung ist. dann erzeugt das Prüfglied 30 oder die allgemeine Betriebseinheit 31 ein Signal e. um den Fehler anzuzeigen. Das Diagramm ο der F i g. 11 zeigt den Betriebszustand des Rechners Ha. wobei aus diesem Diagramm hervorgeht, daß der normale Betrieb (durch schraffierte Flächen dargestellt) während der Überprüfung unterbrochen wird.

Wie oben bereits beschrieben wurde, wird durch die Verwendung eines mehrstufigen Prüfverfahrens ein Vorteil erhalten, der darin liegt, daß die Struktur des Prüfglieds 30 vereinfacht und die zur Erfassung eines Fehlers erforderliche Zeit verkürzt wird.

F i g. 12 zeigt eine weitere Einzelheit des Rechners lla.der bei einer erfindungsgemäßen Regelvorrichtung mit zwei parallelen Signalkanälen benutzt wird. In dieser Ftgur sind dargestellt ein Taktimpulserzeuger 29. ein Prüfglied 30. eine allgemeine Betriebseiaheit 31 (ähnlich zu der in Fig. 10 gezeigten Einheit), ein Speicher 34. ein Adreßregister 33, um die Adressen des Speichers 34 auszusondern, ein Speicherregtster 33, um den inhalt des Speichers 34 auszulesen und za schreiben, and Gatter 36, 37, 38 und 39. die durch die allgemeine Betriebseinheit 31 gesteuert werden, mn die information des Adreßregisters 33 und des Speicherregisters 35 auszulesen oder um eine neue Information in die Register 33 und 35 einzuschreiben. Ein Programm und

609534/72

zugeordnete Daten zur Steuerung der Regelvorrichtung sind im Speicher 34 gespeichert, und die allgemeine Betriebseinheit 31 liest den Inhalt des Speichers 34 aus, um entsprechend dem Befehl die Verarbeitung durchzuführen. Bei dieser Schaltungsanordnung führt das Prüfgliec

30 seine eigentliche Funktion zur Überprüfung der allgemeinen Betriebseinheii 31 dann aus, wenn ein Taktimpuls durch das Prüfglied 30 empfangen wird. Wenn ermittelt wird, daß die allgemeine Betriebseinheit

31 fehlerfrei arbeitet, dann wird die Steuerung auf die allgemeine Betriebseinheit 31 übertragen. Danach kann der Inhalt des Speichers 34 in Übereinstimmung mit der Überprüfung in der Einheit 31 ausgelesen werden, und die ermittelten Werte des Speichers 34, des Adreßregisters 33 und des Speicherregisters 35 werden beispielsweise dadurch vervollständig, daß die Summe der aus dem Speicher 34 ausgelesenen Teilinformationen betrachtet wird.

In Fig. 13 ist ein Ausführungsbeispiel für die allgemeine Betriebseinheit 31 (Fig. 12) dargestellt. In dieser Figur speichert ein Festspeicher 40 ein Programm zur Steuerung der übrigen Bauteile und arbeitet mit einer.i Decodierer, der einen gegebenen Befehl für eine notwendige Steuerung decodiert, zusammen. Ein Zähler 42 sondert für einen nachfolgenden Zugriff zum Festspeicher 40 die Adressen aus und wird gewöhnlich durch das Ausgangssignal des Festspeichers 40 über einen Decodierer 41 gesteuert. Gatter 51 und 52 sind wichtig für die Steuerung des Zählers 42. Eine logische Schaltung 43 vollführt eine Operation, die durch das Ausgangssignal des Festspeichers 40 über den Docodierer 41 gesteuert ist. Register 44 und 45 speichern zeitweise die schließlich verarbeiteten Ergebnisse oder die Zwischenergebnisse während des Betriebs und führen ebenfalls Operationen durch. Bei diesem Ausführungsbeispiel werden lediglich zwei derartige Register verwendet; aber es ist selbstverständlich, daß auch zusätzliche Register vorgesehen werden können, wenn dies erforderlich ist. Ein Prüfglied 30 startet durch ein Ausgangssignal 47, das abhängig vom Ausgangssignal des Decodierers 41 und abhängig vom Ausgangssignal 46 des Festspeichers 40 erhalten wird, stellt den Zähler 42 abhängig von einem Signal 48 zurück, löst den Ausgang des Festspeichers 40 vom Decodierer 41. und i'i

bewirkt, daß die logische Schaltung 43 und das Register 44 über das Gatter 51 einen Addiervorgang durchführen, so daß das Ergebnis der Addition zusammengefaßt wird. Diese Operation der Zusammenfassung wird durch das Signal 50 ausgelöst, das von dem Prüfglied 30 über den Decodierer 41 geliefert wird. In diesem Fall erfüllt jedes Operations- oder Funktionsbauteil seine eigene Funktion in Übereinstimmung mit dem Signal 50: und es wird durch Erfassung des Signals 47, das den Wert des Zählers 42 wiedergibt, erfaßt, daß der gesamte Inhalt des Festspeichers ausgelesen wurde. Danach ermittelt das Prüfglied 30, ob das Register 44 einen vorbestimmten Wert enthält oder nicht, und zeigt an, ob ein Fehler vorliegt oder nicht. Weiterhin kann durch die Speicherung eines Programmes im Feslspeicher 40 zur Prüfung der anderen Bauteile, wie beispielsweise des Speichers 34, des Adreßregisters 33 und des Speicherregisters 35 (Fig. 12). die Überprüfung auf die gesamte Regelvorrichtung ausgedehnt werden. Da der Rechner gemäß der vorliegenden Erfindung ebenfalls als Prüfschaltung verwendet werden kann, wird ein weiterer Vorteil dadurch erhalten, daß die gesamte Regelvorrichtung sehr einfach ist, und daß damit die Zuverlässigkeit der Regelvorrichtung wesentlich verbessert wird.

Wie oben beschrieben wurde, liegt ein wesentlicher Vorteil der vorliegenden Erfindung darin, daß ein Fehler der Regelvorrichtung mit Hilfe eines Prüfglieds mit einer sehr einfachen Struktur ermittelt werden kann, so daß die Zuverlässigkeit der Regelvorrichtung sehr hoch ist. Ein weiterer Vorteil liegt darin, daß die Überprüfung mit Hilfe des Prüfglieds weiter ausgedehnt werden kann. Wenn in diesem Fall jedoch ein Fehler in der allgemeinem Betriebseinheit 31 in der Stufe verursacht wird, in der die allgemeine Betriebseinheit 31 die spezielle Betriebseinheit 32 überprüft, dann können die im folgenden erhaltenden Ergebnisse nicht sicher fehlerfrei sein. Deshalb wird das Prüfglied 30 periodisch mit den Taktimpulsen des Taktimpulserzeugers 29 angesteuert, wobei das Überprüfen immer mit dem Prüfglied 30 beginnt, so daß der Fehler in der allgemeinen Betriebseinheit in einem neuen Verfahrensschritt erfaßt werden kann. Deshalb ist eine derartige unterbrechende Einrichtung mit Taktimpulsen sehr zweckmäßig.

Hierzu 6 Blatt Zeichnungen

Claims (4)

Patentansprüche:

1. Regelvorrichiung mit mindestens zwei parallelen Signalkanälen, mit mindestens einem Eingangsglied zum Umsetzen empfangener Signale in Digitalsignale, mit einem ersten und mit einem zweiten Rechner, die jeweils nut dfm Eingangsglied verbunden sind, um ein Signal zur Regelung entsprechend den vom Eingangsglied empfangenen Signalen zu erzeugen, mit einer Verbindungseinrichtung der beiden Rechner, mit einem ersten und einem zweiten Fehlerprufkreis, denen Signale des ersten bzw. zweiten Rechners eingegegen sind und die bei Feststellung von Störungen den jeweiligen Rechner durch ein Ausgangsglied von den zugehörigen Stellgliedern trennen, dadurch gekennzeichnet, daß beide Signalkanäle zur redundanten Regelung derart in aktiver Reserve geschaltet sind, d^ß die beiden Rechner (lla. 12a) selbst kontinuierlich überprüfen, ob das mit dem jeweils anderen Rechner(12a. lla)erzielte Rechenergebnis mit dem eigenen Rechenergebnis innerhalb vorgegebener Toleranzen übereinstimmt, und daß in jeden Rechner (I la. 12a) von dem zugehörigen Fehlerprufkreis (llf>. 12Z>) Prufsignale (a) /um Diagnostizieren eines Fehlers im betreffenden Rechner(!la, 12a) und von dem zugehörigen Ausgangsglied (14. 15) Rückkopplungssignale eingegeben sind (Fig. I oder 2)

2. Regelvorrichtung nach Anspruch 1. dadurch gekennzeichnet, daß jeder Fehlerorüfkreis (1! b. 12b) aufweist, einen Taktimpulser/euger (29) zur Erzeugung eines Impulssignals (a) konstanter Periode und ein Prüfglied (30), das synchron mit dem Impulssignal vom Taktirr pulserzeuger (29) arbeitet und das Vorliegen eines Fehlers im Rechner (lla, 12a) überprüft, und daß jeder Rechner (lla. 12a) eine allgemeine Betriebseinheit (31) aufweist, die im Zeitmultiplex synchron mit dem Impulssignal arbeitet (F ig. 10).

3. Regelvorrichtung nach Anspruch 2. dadurch gekennzeichnet, daß das Prüfglied aufweist: ein Verzögerungsglied (18) /ur Verzögerung des Impulssignals (a), ein Koinzidenzglied (19). das das vom zugehörigen Rechner (lla. 12a) kommende Signal (c) mit dem durch das Verzögerungsglied (18) erzeugten Impulssignal (6) vergleicht und ein von diesem Vergleich abhängiges Signal (d) liefert, und ein Schaltglied (20). das abhangig von einem Nicht-Koin/iden/signal vom Koinzidenzglied (19) arbeitet und einen Relaisschalter im zugehörigen Ausgangssignal (14 oder 15) steuert, und daß jeder Rechner (lla. 12a) über seine allgemeine Betriebseinheit (31) einen Ausgangsimpuls (c) erzeugt, wenn das Rechenergebnis mit einem vorgegebenen Wert übereinstimmt (F i g. 3. F ι g. 4).

4. Regelvorrichtung nach Anspruch 2 oder 3. dadurch gekennzeichnet, daß die allgemeine Betriebseinheit (31) ihren Betrieb während der Fehlerüberprüfung unterbricht und daß die übrigen Glieder (32) des Rechners (lla. 12a) durch die als fehlerfrei festgestellte allgemeine Betriebseinheit (31) überprüfbar sind (F ig. 10).

Die F-rfindung bezieht sich auf eine Regelvorrichtung gemäß dem Oberbegriff des Anspruchs 1.

Derartige Regelvorrichtungen, insbesondere zur automatischen Regelung des Eisenbahnverkehrs, müssen verständlicherweise äußerst zuverlässig sein. d. h. es muß unter allen Umständen verhindert werden, daß eine Störung in der Regelvorrichtung zu einem Ausfall der Regelung überhaupt führt.

Aus diesem Grund haben derartige Regelvorrichtungen mindestens zwei parallele Signalkanäle, um im Störungsfall ein Umschalten von einem zum anderen Signaikanal zu einem die Regelstrecke beaufschlagenden Stellglied vornehmen zu können.

Eine Regelvorrichtung der eingangs genannten Art ist bereits bekannt geworden (vgl. Fig.2 der DT-OS 15 38 493). Genauer gesagt, es ist dort eine Rechenanlage zur ausfallsicheren Regelung von industriellen Verfahrensabläufen mit zwei Rechnern beschrieben, die über zwei zugeordnete Daten- Übertragungseinrichtungen jeweils auf eine eigene Gruppe von Regel- oder Überwachungskreisen (Stellgliedern) einwirken, wobei mindestens eine Gruppe von parallel zueinander an die eine Daten-Übertragungseinrichtung angeschlossenen Kreisen zur Direkt-Digitalregelung eines Verfahrensablaufs dient, wobei jede der beiden Daten-Übertragungseinrichtungen über eine zugeordnete Umschaltcinrichtung wahlweise mit dem einen oder dem anderen Rechner verbindbar ist und beiden Gruppen von Regelkreisen je ein Anlagen-Prüfkreis zugeordnet ist, der bei Störung oder Ausfall des die betreffende Gruppe beeinflussenden Rechners ein die zugehörige Umschalteinrichtung auf den anderen Rechner umschaltendes Signal sowie ein Signal abgibt, welches den anderen Rechner von der Umschaltung der Umschalteinrichtung unterrichtet. Von diesen beiden Rechnern ist einer ein Überwachungsrechner und ein anderer ein Direkt-Digitalregelrechner. wobei der Überwachungsrechner nicht nur eine Überwachung vornimmt, sondern auch zur eigentlichen Regelung eingesetzt wird, um bestimmte Regelkreise /u beeinflussen, die von den Regelkreisen verschieden sind, die durch den Direkt-Digitalregelrechner beaufschlagt werden. Auf diese Weise sollen die Rechner zur Regelung von Verfahrensabläufen so miteinander kombiniert werden, daß allen verwendeten Rechnern unter normalen Betriebsbedingungen Arbeitsfunktionen zugeordnet sind, daß aber bei Ausfall eines der Rechner die erforderlichen Stellsignale für den Verfahrensablauf weitergeliefert werden, d. h. selbst im Störungsfall eine gewisse Mindesianzahl von Regelkreisen beeinflußt wird.

Ein Nachteil dieser bekannten Regelvorrichtung besteht also darin, daß die dort vorhandenen Kreise nur teilweise parallelgeschaltet sind, nicht wirklich zur voneinander unabhängigen Signalübertragung verwendet werden können, was die Ausfallsicherheit herabsetzt. Der Sicherheit dieser bekannten Regelvorrichtung ist auch abträglich, daß die Anlagen-Prüfkreise keine eigentliche Diagnose einer Störung im zugehörigen Rechner vornehmen, d. h. kein aktives, sondern nur ein passives Verhalten zeigen, indem sie das Fehlersignal bereits vom zugehörigen Rechner erhalten.

Demgegenüber ist es Aufgabe der Erfindung, bei einer Regelvorrichtung der eingangs genannten Art die Ausfallsicherheit beträchtlich zu erhöhen.

Diese Aufgabe wird durch die Lehre nach dem Kennzeichen des Anspruchs I gelöst.

Der Erhöhung der Sicherheit dient zunächst das Merkmal, daß beide Signalkanälc überhaupt zur