DE2710517A1

DE2710517A1 - Steuersystem mit zwei oder mehr kanaelen

Info

Publication number: DE2710517A1
Application number: DE19772710517
Authority: DE
Inventors: James Frederick Meredith; Brian Williams
Original assignee: Smiths Group PLC
Current assignee: Smiths Group PLC
Priority date: 1976-03-10
Filing date: 1977-03-10
Publication date: 1977-09-22
Also published as: US4130241A; FR2344063A1

Description

Die Erfindung betrifft ein Steuersystem mit zwei oder mehr Kanälen, deren Jeweiliges Ausgangssignal das System in Abhängigkeit von Eingangs- und Rückkopplungssignalen zu steuern vermag und die zum Zwecke einer kontinuierlichen Arbeitsweise des Systems bei Auftreten von Fehlern im System zusammenarbeiten, wobei digitale Darstellungen der Eingangsdaten digitalen Prozessoren der Kanäle zur Erzeugung von Steuerausgangssignalen in Abhängigkeit der Rückkopplungssignale zugeführt werden.

Derartige Steuersysteme finden beispielsweise Verwendung bei der Steuerung von Flugzeugen. Hierbei werden analoge Eingangs- und Rückkopplungssignale drei oder mehr Kanälen zugeführt, wo sie jeweils auf digitale Weise verarbeitet

709838/0778

7309/71/Ch/Fr - I - 9. März 1977

werden. Die Ausgänge der Kanäle werden miteinander verglichen, um Fehler bzw. Fehlfunktionen in einem der Kanäle erkennen zu können. Solche Systeme weisen einen hohen Sicherheitsgrad gegenüber Fehlern auf, die aufgrund des Ausfalls einzelner Bauteile entstehen, da der Ausfall gleicher Bauteile zur gleichen Zeit gemäß der Wahrscheinlichkeitsrechnung verschwindend gering ist.

Die richtige Arbeitsweise jedes Kanals hängt jedoch nicht lediglich von der richtigen Arbeitsweise der Bauteile in jedem Kanal ab, sondern auch davon, ob die jedem Kanal zugeführten Werte richtig sind. Aus diesem Grund wird eine Reihe von Sensoren verwendet, deren Zahl üblicherweise gleich der Anzahl der verwendeten Steuerkanäle ist. Für jedes einzelne Datum wird also pro Kanal ein separater Sensor verwendet, beispielsweise zum Erfassen der Geschwindigkeit und der Höhe. Die Sensoren jedes Satzes liefern nominell-identische Werte des bezüglichen Datums zu den Steuerkanälen, wobei ein Fehler oder eine Fehlfunktion eines der Sensoren erfaßt werden kann durch Vergleich der jeweiligen Signale miteinander. Das abweichende Signal kann auf diese Weise isoliert werden. Dieser Vergleich entspricht demjenigen für die Fehlererfassung bei den Steuerkanälen selbst.

Obwohl die Sensoren jedes Satzes so angeordnet sein können, daß sie nominell-identische Eingangssignale für die Kanäle erzeugen, so sind doch unvermeidbare geringe Differenzen zwischen diesen Signalen infolge der Herstell- und Betriebstoleranzen vorhanden. Falls keine Maßnahmen ergriffen werden, um die Signale zu egalisieren, dann weisen die Ausgangssignale der Kanäle entsprechende Differenzen auf. Obwohl diese Differenzen zwischen den Ausgangssignalen der Steu-

709838/0778

7309/71/Ch/Fr - } - 9. März 1977

•A*

erkanäle unterhalb eines Schwellwerts liegen können, der zur Feststellung eines Fehlers oder einer Fehlerfunktion festgelegt ist, so kann doch das Vorhandensein dieser Differenzen ein Indiz für das Vorhandensein eines wirklichen Fehlers oder einer Fehlfunktion in einem der Kanäle sein. Wird dagegen zur Entdeckung solcher Fehler der Schwellwert herabgesetzt, dann wird das gesamte System zu empfindlich gegenüber geringfügigen Differenzen zwischen den Kanälen.

Um eine Egalisierung zu erreichen und um die unerwünschten Folgen geringer Differenzen zwischen den nominell-identischen Sensorsignalen zu vermeiden, ist es bekannt, in den Kanälen in Bezug auf jedes einzelne Eingangsdatum ein einziges repräsentatives Digitalsignal zu erzeugen, welches von den Signalen abgeleitet wird, die der entsprechende Sensorensatz erzeugt. Dieses repräsentative Signal wird in jeder Leitung erzeugt durch einen Vermischungsprozeß der jeweiligen Sensorsignale, um beispielsweise einen Mittelwert dieser Sensorsignale zu erzeugen. Hierbei wird ein Signal, welches außerhalb eines tolerierbaren Bereiches liegt, aus dem Vermischungsprozeß ausgeschieden. Es beeinflußt somit nicht die Arbeitsweise der Kanäle.

Jeder Kanal weist einen digitalen Prozessor auf, der entsprechend den Eingangsdaten Zwischenwerte erzeugt und von diesen ein geeignetes digitales Steuersignal errechnet. Dieses Steuersignal wird in ein Analogsignal umgewandelt und in einem Differentialverstärker verglichen mit einem Rückkopplungssignal, wodurch ein entsprechendes Fehlersignal bzw. ein Stellbefehl erzeugt wird, der geeignet ist, die entsprechenden Steuerkorrekturen durchzuführen. Die Stellbefehle aller Kanäle werden einem Vermischungsprozeß in analoger Form in Monitorschaltkreisen unterworfen. Die Monitorschalt-

709838/0778

7309/71/Ch/Fr - » - 9. März 1977

kreise erzeugen zu Steuerzwecken Ausgangssignale, die bezüglich irgendwelcher Differenzen zwischen den den Differentialverstärkern zugeführten analogen Rückkopplungssignalen im wesentlichen egalisiert sind.

Es besteht die Aufgabe, ein derartiges Steuersystem betriebssicherer zu gestalten.

Gelöst wird diese Aufgabe mit den Merkmalen des Anspruches 1. Vorteilhafte Ausgestaltungen sind den Unteransprüchen entnehmbar.

Bei dem vorliegenden Steuersystem werden also die Rückkopplungsdaten zusätzlich mit den Eingangsdaten in digitaler Form verarbeitet im Gegensatz zu den Steuersystemen bekannter Art, wo lediglich eine analoge Verarbeitung vorgesehen ist. Die vorhandenen digitalen Prozessoren zur Verarbeitung der Eingangsdaten werden also auch dazu verwendet, die Rückkopplungsdaten zu verarbeiten, wodurch die analog arbeitenden Egalisierungsschaltkreise gemäß dem Stand der Technik entfallen können. Die Kompliziertheit des Systems und auch das Gewicht der entsprechenden Geräte kann dadurch vermindert werden.

Die digitale Verarbeitung der Rückkopplungsdaten ermöglicht die Vereinheitlichung der Rückkopplungssignale in den digitalen Prozessoren auf wirtschaftliche Weise in der gleichen Art, wie dies bei den Eingangssignalen erfolgt. Außerdem ist es auf leichte Weise möglich, zur Vereinheitlichung in digitaler Form die Rückkopplungssignale zwischen den einzelnen Kanälen auszutauschen, wobei dieser Austausch entsprechend dem Austausch der Eingangssignale zur Vereinheitlichung dieser Eingangssignale durchgeführt wird.

709838/0778 ₅

- $ - 9. März 1977

Λ·

Zwei Ausführungsbeispiele der Erfindung in Anwendung auf ein Flugsteuersystem werden nachfolgend anhand der Zeichnungen erläutert. Es zeigen:

Die Fig. 1 zusammengefügt ein Blockschaltbild eines ersten Flugsteuersystems und

Fig. 3 ein Blockschaltbild eines weiteren Flugsteuersystems.

Das erste beschriebene System ist Teil eines Doppelgegenflugsteuersystems, welches die konventionellen mechanischen Verbindungen zwischen dem Piloten und den beweglichen Rudern des Flugzeugs ersetzt. Die Steuerbewegungen des Piloten werden mittels elektrischer Transducer abgetastet, welche elektrische Signale erzeugen, welche repräsentativ für diese Bewegungen sind. Die Stellungen der Ruder und die Bewegungen des Flugzeugs werden in ähnlicher Weise abgetastet, wodurch zwei weitere Signalgruppen erzeugt werden. Diese drei Signalgruppen werden einem Rechner zugeführt, der die elektrischen Steuersignale zur Betätigung der Ruder in Übereinstimmung mit den Steuerbefehlen des Piloten errechnet. Die Steuerbefehle des Piloten und die Ruder sind somit lediglich durch elektrische Schaltkreise miteinander verbunden. Die Steuerung des Flugzeuges und damit auch seine Sicherheit hängt wesentlich von der Zuverlässigkeit dieser Schaltkreise ab.

In den Fig. 1 und 2 werden die Höhenruder 10 des Flugzeuges betätigt durch zwei Hydraulikzylinder 11 und 12, die miteinander und mit den Höhenrudern 10 durch ein gemeinsames Gelenk 13 verbunden sind. Die Hydraulikflüssig-

709838/0778 . * .

- φ - 9. März 1977

keit wird den Zylindern 11 und 12 über Ventile 14 und 15 zugeführt, die miteinander über ein Gelenk 16 mechanisch verbunden sind. Die Stellung der Ventile 15 und 16 wird bestimmt durch zwei Sätze von jeweils drei Servoventilbetätigungsgliedern 17 bis 19 und 20 bis 22. Ein Satz von jeweils drei Betatigungsgliedern zum Antrieb jedes der Ventile 14 und 15 ist vorgesehen^ damit, falls eines der drei Betätigungsglieder oder die zugehörige Steuerschaltung ausfällt, eine Unterbrechung dieses Betätigungsgliedes nicht erforderlich ist, da die beiden verbleibenden Betätigungsglieder des Satzes zusammen mit den drei Betätigungsgliedern des anderen Satzes ausreichend Kraft erzeugen, die Wirkung des fehlerhaften Betätigungsgliedes zu überwinden.

Die Stellung der Gelenkverbindung 13 wird abgetastet durch vier Meßwertumwandler 23 bis 26, von denen jeder ein Analogsignal in Übereinstimmung der Stellung erzeugt, wobei dieses Analogsignal jeweils einem der vier Flugsteuerrechner 27 bis 30 zu'geführt wird. Die Flugsteuerrechner 27 bis 30 erhalten weiterhin nominell-identische analoge Signale in Übereinstimmung der Steuerknüppelbefehle, welche von den vier Meßwertwandlern 31 bis 34 abgegeben werden. Diese vier Meßwertwandler 31 bis 34 sind mit dem Steuerknüppel verbunden. Weitere nominell-identische Analogsignale, im vorliegenden Fall in Übereinstimmung mit der Flugbewegung des Flugzeugs, insbesondere die Höhenänderungsgeschwindigkeit, werden den Computern 27 bis 30 von vier Gebern 35 biö 38 zugeführt.

709838/0778

9. März 1977

Die vier Steuerrechner 27 bis 30 erzeugen in Abhängigkeit der Eingangs- und Rückkopplungssignale, welche analoge Signale sind, Steuersignale zur Betätigung der Betätigungsglieder 17, 18, 21 und 22 zur Betätigung der Höhenruder 10 in Übereinstimmung mit dem Steuerbefehl des Piloten. Oeder der Rechner 27 bis 30 weist einen Analog-Digitalumsetzer 100 auf, dem die Eingangssignale zugeführt werden, wobei diese Signale dem Umsetzer über einen Multiplexer 101 in zyklischer Folge zugeführt werden. Der Umsetzer 100 führt entsprechende Digitaldarstellungen einer Prozeßeinheit 102 des Rechners zu. Die Einheit 102 jedes Rechners erhält nicht nur Digitaldarstellungen der Eingangs- und Rückkopplungsdaten vom Umsetzer 100 des gleichen Rechners, sondern erhält auch die nominell—identisehen digitalen Darstellungen der gleichen Daten von den Umsetzern 100 der anderen drei Rechner. Oede Einheit 102 arbeitet in Übereinstimmung mit einem gespeicherten Programm zur Errechnung eines Digitalbefehls, abhängig von den Eingangs- und Rückkopplungsdaten. Zum Zwecke der Berechnung wird der Wert jedes verarbeiteten Datums abgeleitet in Übereinstimmung mit einem Vermischungsprozeß eines Satzes von vier nominal-identischen Darstellungen des gleichen Datums. 3ede Einheit 102 ist also so programmiert, daß für jeden Satz von vier digitalen Darstellungen bestimmt wird, ob einer der Werte außerhalb der Grenzen liegt, die von den zulässigen Toleranzen dieses Werts bestimmt werden. Ist dies nicht der Fall, dann wird zur Erzeugung eines digitalen Befehls eine Digitaldarstellung herangezogen, die zwischen den Extremwerten der vier Signalwerte liegt. Liegt einer der Signalwerte außerhalb der vorgenannten Grenzen, dann wird dieser Signalwert ausgeschieden und nicht berücksichtigt bei der Ableitung der Zwischenwertdarstellung.

709838/0778

_ I _ 9. März 1977

* 40'

Ein Signal in Übereinstimmung mit dem digitalen Steuerbefehl, der von der Einheit 102 jedes Steuerrechners 27 bis 30 errechnet wurde, wird über einen Digital-Analogumsetzer 103 einem Sample-and-Hold-Sehaltkreis 104- und direkt zwei digitalen Datenübermittlungsschaltkreisen 105 und 106 zugeführt. Der Ausgang des Schaltkreises 104· wird in einem Verstärker 107 verglichen mit einer Darstellung der Stellung der beiden Ventile 14- und 15. Zu diesem Zwecke sind vier Meßwertumwandler 39 bis 42 mit dem Gelenk 16 verbunden, die den Verstärkern 107 der vier Rechner 27 bis 30 Analogsignale zuführen, welche repräsentativ sind für die Stellung der Ventile 1* und 15 und damit für die Bewegung der Zylinder 11 und 12. Die Ausgangssignale der Verstärker 107 der vier Rechner 27 bis 30 geben damit den Lagefehler der Ventile 14 und 15 an. Diese Fehlersignale werden den Betätigungsgliedern 17, 18, 20 und 21 zugeführt und zwar in einem solchen Sinne, daß dieser Fehler korrigiert wird, was bewirkt, daß die Zylinder 11 und 12 betätigt werden und die Höhenruder 10 über das Gelenk 13 so angetrieben werden, daß die Veränderungsgeschwindigkeit dem Steuerbefehl des Piloten entspricht.

Die Ausgangssignale der digitalen Datenübermittlungsschaltkreise 105 der Steuerrechner 27 bis 30 werden einzelnen digitalen Datenempfängern 110 bis 113 eines digitalen Monitorrechners 43 zugeführt. Die Ausgangssignale der Übermittlungsschaltkreise 106 der vier Steuerrechner 27 bis 30 werden entsprechenden digitalen Datenempfängern 110 bis 113 eines digitalen Monitorrechners 44 zugeführt. Die von den Empfängern 110 bis 113 empfangenen digitalen Signale jedes Rechners 43 und 44 werden miteinander verglichen, um festzustellen, ob eines dieser Signale be-

709838/0778 - 9 -

-F- 9. März 1977

trächtlich unvereinbar ist mit den anderen. Zu diesem Zweck weist jeder Rechner 43 und 44 eine digitale Prozeßeinheit 114 auf, welche gemäß einem gespeicherten Programm die vier Signale miteinander vergleicht und von ihnen ein repräsentatives Signal ableitet. Dieses repräsentative Signal hat einen Wert in Übereinstimmung mit einer Vermischung der vier Signale. Liegt eines der Signale außerhalb des Bereichs der drei anderen Signale, dann wird dieses Signal bei der Mittelwertbildung nicht berücksichtigt. Dieses repräsentative Signal wird über einen Digitalanalogumsetzer 115 einem Sample-and-Hold-Schaltkreis 116 zugeführt und in einem Verstärker 117 verglichen mit einer Darstellung der Stellung der beiden Ventile 14 und 15. Zu diesem Zweck sind zwei Meßwertumwandler 45 und 46 entsprechend den Meßwertwandlern 39 bis 42 mit dem Gelenk 16 verbunden. Diese Meßwertumwandler 45 und 46 führen den Verstärkern 117 der beiden Rechner 43 und 44 Analogsignale entsprechend der Stellung der Ventile 14 und 15 zu. Das resultierende Fehlersignal wird den Betätigungsgliedem 19 und 22 zugeführt, entsprechend den Fehlersignalen der Verstärker 107 in Bezug auf die Betätigungsglieder 17, 18, 20 und 21.

Tritt ein Bauteilefehler in einem der vier Steuerrechner 27 bis 30 auf, der bewirkt, daß dieser Rechner ein Steuersignal erzeugt, welches nicht in Übereinstimmung steht mit den Steuersignalen, die die anderen drei Rechner erzeugen, dann wird, wie bereits oben erwähnt wurde, dieses Steuersignal von der Prozeßeinheit 114 erfaßt und von der durchzuführenden Rechnung ausgeschlossen. Deshalb befinden sich die Steuersignale, die den Betätigungsgliedern 19 und 22 zugeführt werden, im wesentlichen in Übereinstimmung mit

709838/0778 - io -

9. März 1977

den Steuersignalen, die drei der vier Betätigungsglieder 17, 18, 20 und 21 zugeführt werden. Die Stellungssteuerung des Ventils Ik oder 15 vom fehlerhaften Steuerrechner wird damit unterdrückt durch den anderen Steuerrechner und den Monitorrechner, die in Übereinstimmung miteinander wirken zur Steuerung des gleichen Ventils und ihre diesbezügliche Arbeitsweise wird erleichtert durch die beiden Steuerrechner und den Monitorrechner, die das andere Ventil steuern.

Die Wahrscheinlichkeit, daß mehr als einem der Rechner bis 30 der gleiche Bauteilefehler gleichzeitig auftritt, ist sehr gering, diese Wahrscheinlichkeit liegt in Jedem Fall in den normal akzeptablen Grenzen des Fehlerbestands. Es verbleibt jedoch die Möglichkeit, daß einige spezielle Werte des Eingangssignals eine Digitaldarstellung bei den Steuerrechnern 27 bis 30 ergeben, die in Verbindung mit der.programmierten Arbeitsfolge innerhalb der digitalen Prozeßeinheit 102 eine Fehlfunktion bewirken. Eine solche Fehlfunktion kann beispielsweise auftreten, wenn bei der Aufstellung des Rechenprogramms für die Steuerrechner 27 bis 30 sich ein Fehler eingeschlichen hat, der zu einer nicht kategorierten und falschen Wechselbeziehung zwischen dem Programm und den von den Eingangssignalen abgeleiteten Daten führt.

Die Steuerrechner 27 bis 30 weisen üblicherweise etliche tausend elektrische Schaltkreise auf und das bei den Rechnern verwendete Rechenprogramm besteht üblicherweise aus einigen tausend Rechenschritten, Falls irgendeiner der Schaltkreise während irgendeiner Rechnung nicht richtig arbeitet, dann wird das Ergebnis der Gesamtrechnung fehlerhaft. Die Praxis hat gezeigt, daß die Möglichkeit ei-

709838/0778 - 11 -

- ΛΑ - 9. März 1977

ner fehlerhaften Rechnerarbeitsweise in jedem Fall gegeben ist, selbst wenn der Rechner in allen anderen Bezügen korrekt ausgelegt ist und ihm Signale zugeführt werden, die für eine korrekte Arbeitsweise geeignet sind. Dies kann auftreten beispielsweise bei Umständen, wo eine Vielzahl komplizierter Schaltkreisverbindungen innerhalb des Rechners zu einer bei der Auslegung nicht beabsichtigten gegenseitigen Beeinflussung mit Schaltkreisen führt, die jedoch nur dann auftritt, wenn eine bestimmte Kombination von Binärdatensignalen erzeugt wird aufgrund eines bestimmten .Programmbefehls, wenn die Rechnerschaltkreise sich in einer bestimmten Kombination ihrer elektrischen Zustände befinden. Die Möglichkeit, daß dies auftritt, beträgt 1 : vielen Millionen und es ist praktisch unmöglich, die Auslegung der Rechner und das Programm von auf derartige gegenseitige Beeinflussungen zu testen.

Bei dem System gemäß den Fig. 1 und 2 sind alle vier Steuerrechner 27 bis 30 gleich ausgelegt und arbeiten nach dem gleichen Programm, so daß alle vier Steuerrechner 27 bis 30 die gleichen Fehlfunktionen ausführen würden, die somit nicht von den beiden Monitorrechnern 4-3 und kW erfaßt werden wurden.

Es sind somit Vorkehrungen zu treffen, welche derartige Fehl funktionen vermeiden. Zu diesem Zweck werden die Eingangssignale zu den Steuerrechnern 29 und 30 in umgekehrter Richtung zugeführt in Bezug auf die Eingangssignale, die den Steuerrechnern 27 und 28 zugeführt werden. Um dies zu erreichen, werden die Verbindungen von den Meßwertumwandlern 25, 26, 33 und 34- und von den Sensoren 37 und 38 zu den Steuerrechnern 29 und 30 umgekehrt im Vergleich zu

709838/0778 - 12 -

den Verbindungen zwischen den Meßwertumwandlern 23, 24, 31 und 32 und den Sensoren 35 und 36 zu den Rechnern 27 und 28. In den Zeichnungen ist die Umkehrung durch die Kreuze R und die Direktzuführung durch die nicht gekreuzten Linien D dargestellt. Dies stellt sicher, daß die Binärzahlen zur Darstellung der gleichen Größe in zwei Rechnerpaaren 27 und 28 bzw. 29 und 30 unterschiedlich ist. Die Weise, in welcher diese Differenz entsteht, kann demonstriert werden bei der Erläuterung des "Twos-Complement" Achtdigitbinarzahlensystems in Tabelle I.

Die Tabelle I verdeutlicht die Umdrehung des Vorzeichens ohne Änderung der Größe, was zur Änderung mindestens eines der binären Digits der Darstellung führt. Bei der Binärdarstellung von +64 und -64 unterscheiden sich die Werte an den ersten Stellen.

Tabelle T

01111111 = +127 01111110 = +126 01111101 = +125

01000001 =	+ 65
01000000 =	+ 64
00111111 =	+ 63
00000001 =	+ 1
00000000 =	0
11111111 =	-1
11000001 =	-63
11000000 =	-64
10111111 =	-65
10000001 =	-127
10000000 =	-128

709838/0778 _ ₁₃ _

ORIGINAL INSPECT«)

9. März 1977

Obwohl die Steuerrechner 27 bis 30 alle die gleichen nominell identischen Eingangs- und Rückkopplungsdaten erhalten und diese verarbeiten, so arbeiten doch die Steuerrechner 29 und 30 mit Kombinationen von Binärdigits, die sich unterscheiden von denjenigen der Steuerrechner 27 und 28. Die Differenz von nur einem Digit infolge der Umdrehung des Vorzeichens ist ausreichend, daß Fehlfunktionen der gleichen Art in den vier Rechnern 27 bis 30 gleichzeitig auftreten.

Die Zeichenumkehr bei den Steuerrechnern 29 und 30 bedingt eine Zeichenumkehr bei der analogen Signalverbindung von den Meßumformern 41 und 42 zu den Verstärkern 107 der Rechner 29 und 30. Weiterhin wird eine Zeichenumkehr bewirkt in der Verbindungsleitung zwischen den Verstärkern 107 und den Betätigungsgliedern 20 und 21. Bei den Signalen von den Meßwertumwandlern 39 und 40 und zu den Betätigungsgliedern 17 und 18 in Bezug auf die Ver stärker 107 der Rechner 27 und 28 findet eine solche Zeichenumkehr nicht statt. Die von den Einheiten 102 der Steuerrechner 27 bis 30 ausgeführten Mittelwertbildungen und die Mittelwertbildungen in den Einheiten 114 der Monitorrechner 43 und 44 kompensieren automatisch die Zeichenumkehr, die zwischen einem Paar und dem anderen der zu vergleichenden digitalen Darstellungen besteht. Bei der Vermischung werden die jeweiligen Vorzeichen dazu verwendet, die Differenz der digitalen Darstellungen zu erhalten, wie zwischen verschiedenen Paaren von Rechnern 27 bis 30.

709838/0778 -14-

9. März 1977

Eine Fehlfunktion in jedem der Rechner 27 bis 30 äußert sich im wesentlichen auf zwei Arten: entweder in einer abrupten Änderung im Programmzyklus des Computers, beispielsweise indem dieser in einen Kreis von Befehlen verfällt, oder in einem offensichtlich falschen Ausgangsbefehl, der beispielsweise darin bestehen kann, daß das Höhenruder plötzlich in eine Extremstellung bewegt werden soll.

Die digitalen Prozeßeinheiten 102 der Steuerrechner 27 bis 30 vollenden jeweils einen Rechenzyklus und erzeugen jeweils einen Ausgangsbefehl in Abständen zwischen 10 bis 20 Millisekunden. Jede digitale Prozeßeinheit 114 der Monitorrechner 43 und 44 führen ihr diesbezügliches Programm des Vergleichs und der Prüfung der Ausgangsbefehle der Steuerrechner 27 bis 30 und der Erzeugung des eigenen Ausgangssignals im gleichen Zeitintervall aus. Auf diese Weise resultiert eine plötzliche Änderung in der Programmausführung infolge einer Fehlfunktion in irgendeinem der Steuerrechner 27 bis 30 in einem Synchronisierfehler in den Monitorrechnern 43 und 44. Die Monitorrechner 43 und 44 prüfen kontinuierlich, ob diese beiden Rechner und die einzelnen Steuerrechner 27 bis 30 synchron arbeiten. Weichen zwei der Steuerrechner 27 und 28 bzw. 29 und 30 gleichzeitig von dieser synchronen Arbeitsweise ab, ist dies gleichbedeutend mit einer Fehlfunktion in diesen zwei Rechnern. Die Monitorrechner 43 und 44 erfassen auch die Veränderungsgeschwindigkeit der von den Steuerrechnern 27 bis 30 erzeugten Steuerbefehle und wird hierbei festgestellt, daß ein Paar dieser Befehle eine extreme Veränderungsgeschwindigkeit aufweist, dann ist dies ebenfalls gleichbedeutend mit einer Fehlfunktion in einem der

709838/0778 - 15 -

9. März 1977

Rechnerpaare. Die Ausgangssignale der fehlerhaft arbeitenden Rechner 27 und 28 bzw. 29 und 30 werden entsprechend dem Monitorrechnerprogramm bei der Erzeugung der Steuersignale für die Betätigungsglieder 19 und 22 nicht berücksichtigt. Die von den fehlangesteuerten Betätigungsgliedern 17 und 18 bzw. 20 und 21 ausgeführten Steuerbewegungen werden unterdrückt bzw. überspielt durch die jeweils anderen vier Betätigumjsglieder.

Es ist durchaus möglich, daß bei einer Fehlfunktion ein falsches Ausgangskommando erzeugt wird, welches keiner übermäßigen Veränderungsgeschwindigkeit entspricht und deshalb von den Monitorrechnern 43 und 44 nicht erfaßt wird. Im allgemeinen jedoch ist dann die resultierende Differenz zwischen den Steuersignalen, die von zwei Steuerrechnerpaaren erzeugt werden, nicht groß und führt daher nicht zu ernsten Folgen. Außerdem ist hierbei zu berücksichtigen, daß solche Fehler nur vorübergehender Natur sind und spätestens nach einigen Sekunden verschwinden.

Die Rechner 27 bis 30 und 43 und 44 werden dazu verwendet, die Quer- bzw. Seitenruder und die Höhenruder bei einem Flugzeug zu steuern. Zwischen den meisten Teilen dieser Computer und den drei Steuerfunktionen besteht eine Zeitbeziehung. Lediglich die sample-and-hold Schaltkreise 104 und die Verstärker 107 der Rechner 27 bis 30 und die entsprechenden sample-and-hold Schaltkreise 116 und die Verstärker 117 der Rechner 43 und 44 sind in diese Zeitbezogenheit nicht einbezogen.

709838/0778

9. März 1977

Die Erfindung ist auch anwendbar auf andere Systeme als auf das Im Zusammenhang mit Fig. 1 und 2 beschriebene Doppelgegenflugsteuersystem. Als Beispiel für ein weiteres System wird anhand der Fig. 3 ein zweikanaliges Rückkopplungssystem beschrieben.

Die Höhenruder 200 eines Flugzeugs werden in diesem Fall gesteuert von zwei Digitalrechnern 201 und 202. Die Rechner 201 und 202 erhalten nominel1-identische Eingangssignale von den Meßwertwanalern 203 und 204. Diese Meßwertwandler übermitteln die Steuerbefehle des Piloten. Außerdem werden diesen Rechnern Signale von den Sensoren 205 und 206 zugeführt, die irgendeinen Flugzustand des Flugzeugs erfassen. Die Signale, die dem Rechner 202 zugeführt werden, werden bezüglich ihres Vorzeichens umgedreht gegenüber denjenigen Signalen, die zum Rechner 201 gelangen.

Die Ausgangssteuersignale der Rechner 201 und 202 werden Betätigungsgliedern 207 und 208 zugeführt, die die Höhenruder 200 betätigen. Außerdem werden diese Ausgangssteuersignale einem gemeinsamen Monitorrechner 209 zugeführt. Der Rechner 209 erhält Eingangssignale von'einem Meßwertwandler 210 und einem Sensor 211 entsprechend den Meßwertumwandlern 203 und 204 und den Sensoren 205 und 206. Diese Signale jedoch werden dem Monitorrechner 209 jeweils über Teilerschaltkreise 212 und 213 mit einem Teilungsverhältnis von zwei zugeführt.

Die Eingabe der Stellung der Höhenruder von den Meßwertumwandlern 214 und 215 in die Rechner 201 und 202 erfolgt ebenfalls mit einer Zeichenumkehr bezüglich des Rechners

709838/0778

7309/71/Ch/Fr - l·^ - 9. März 1977

202. Die Eingabe der Iststellung der Ruder 200 über den Meßwertumwandler 216 in den Rechner 209 erfolgt wiederum über eine Teilerschaltung 217 mit einem Teilungsverhältnis von zwei.

Der Monitorrechner 209 führt die gleichen digitalen Rechenprogramme aus, wie sie ausgeführt werden in den Rechnern

201 und 202. Die Eingangs- und Rückkopplungssignalgrößen sind jedoch nur halb so groß wie bei den Rechnern 201 und

202 und zudem gegenüber denjenigen des Rechners 202 im Vorzeichen umgekehrt. Auf diese Weise wird erreicht, daß alle drei Rechner bei gleichen Eingangsdaten unterschiedliche Rechenoperationen infolge der unterschiedlich zu verarbeitenden Daten ausführen. Die Möglichkeit einer gleichzeitigen Fehlfunktion in zwei oder drei der Rechner 201, 202 und 209 ist somit praktisch nicht gegeben.

Der Monitorrechner 209 prüft, ob die Ausgangsbefehle der Steuerrechner 201 und 202 mit dem eigenen Ausgang übereinstimmen. Falls eine beträchtliche Abweichung festgestellt wird, wird der entsprechende Rechner 201 oder 202 abgeschaltet bzw. bezüglich seiner Da.ten außer acht gelassen.

Zwischen den Rechnern 201 und 202 findet ein Datenaustausch entsprechend demjenigen nach Fig. 1 und 2 statt, d. h. bezüglich der digitalen Daten von den Meßwertumformern 205 und 206, bezüglich der Daten der Sensoren 203 und 204 und bezüglich der Rückkopplungssignale von den Meßwertumformern 214 und 215. Diese Signale werden entsprechend dem ersterwähnten Beispiel egalisiert, wobei Extremwerte ausgeschieden werden. Zur Feststellung eines Extremwertes werden zusätzlich die Bauteile 210, 211 und 216 herangezogen.

709838/0778 - "..-

Ansprüche

■ ^iB ·.

Leerseite

Claims

7309/71/Ch/Fr - Hf - 9. März 1977

Ansprüche

teuersystem mft zwei oder mehr Kanälen, deren jeweliges Ausgangssignal das System in Abhängigkeit von Eingangs- und Rückkopplungssignalen zu steuern vermag und die zum Zwecke einer kontinuierlichen Arbeitsweise des Systems bei Auftreten von Fehlern im System zusammenarbeiten, wobei digitale Darstellungen der Eingangsdaten digitalen Prozessoren der Kanäle zur Erzeugung von Steuerausgangssignalen in Abhängigkeit der Rückkopplungssignale zugeführt werden, dadurch gekennzeichnet , daß die Rückkopplungssignale auch den digitalen Prozessoren zugeführt werden, die in Abhängigkeit sowohl der digitalen Darstellungen d.er Eingangs- und der Rückkopplungssignale die Ausgangssignale erzeugen.
2. Steuersystem nach Anspruch 1, dadurch . gekennzeichnet, daß die digitalen Darstellungen der Eingangs- und der Rückkopplungsdaten zwischen den Steuerkanälen ausgetauscht werden und daß der digitale Prozessor jedes Kanals einen Zwischenwert jedes Datums zur Berechnung des Ausgangssignals des Kanals bildet.
3. Steuersystem nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die digitalen Ausgangssignale der Prozessoren einem oder mehreren weiteren Kanälen zugeführt werden und daß jeder weitere Kanal

709838/0778

- 19 -

ORIGINAL INSPgQTEQ

7309/71/Ch/Fr - W - 9. März 1977

einen digitalen Prozessor enthält, der einen Zwischenwert der diesem Kanal zugeführten Signale zu Steuerzwecken bildet.
4. Steuersystem nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet , daß die Eingangs- und Rückkopplungssignale dem Prozessor jedes Steuersignals in zeitmultiplexer Form zugeführt wird.
5. Steuersystem nach einem der Ansprüche 1 bis 4·, dadurch gekennzeichnet , daß die Steuerausgangssignale der Kanäle einzelnen Betätigungsgliedern zugeführt werden und daß die Betätigungsglieder zur Erzeugung einer gemeinsamen Stellwirkung miteinander verbunden sind.

709838/0778