CH634672A5

CH634672A5 - Digitale datenverarbeitungsanordnung, insbesondere fuer die eisenbahnsicherungstechnik.

Info

Publication number: CH634672A5
Application number: CH647478A
Authority: CH
Inventors: Horst Dipl Ing Strelow
Original assignee: Siemens Ag
Priority date: 1977-06-29
Filing date: 1978-06-14
Publication date: 1983-02-15
Also published as: DE2729362B1; SE421355B; US4222515A; FR2396361B1; AT364987B; SE7807317L; ZA783295B; FR2396361A1; ATA461578A; DE2729362C2

Description

Die Erfindung geht nun von einer bekannten digitalen Datenverarbeitungsanordnung der eingangs genannten Art aus, die beispielsweise unter dem Titel «URTL-Schaltkreis-system U1 mit hoher Sicherheit und automatischer Fehlerdiagnose», Siemens-Zeitschrift, 48. Jahrgang, Heft 7, Juli 1974, Seiten 490 bis 506 ausführlich beschrieben ist. Diese bekannte zweikanalige Datenverarbeitungsanordnung garantiert eine hohe Fehlersicherheit, ohne dass die einzelnen in den beiden Kanälen vorhandenen speichernden oder verknüpfenden Schaltglieder bzw. Schaltwerke nach dem Fail-Safe-Prinzip aufgebaut sein müssen. Für beide Kanäle ist eine gemeinsame Taktstromversorgung für eine schrittweise Steuerung der beiden Schaltwerke vorgesehen, die bei jedem Verarbeitungsschritt ausser mehreren Steuersignalpaaren einen Überwachungsimpuls ausgibt. Bei der bekannten zweikanaligen Datenverarbeitungsanordnung ist ferner eine Vielzahl von Vergleichern vorgesehen, welche im Einzelfall die Aufgabe haben, Signalpaare auf Übereinstimmung bzw. Antivalenz zu überwachen. Die einzelnen Vergleicher bilden eine Reihenschaltung,

2

5

10

15

20

25

30

35

40

45

50

55

60

65

634672

bei welcher der an erste Stelle vorgesehene Vergleicher den von der Taktstromversorgung ausgelösten Überwachungsimpuls erhält. Bei einer durch die einzelnen Vergleicher festgestellten ordnungsgerechten Arbeitsweise der zweikanaligen Datenverarbeitungsanordnung durchläuft der Überwachungsimpuls alle Vergleicher und dient schliesslich nach dem Verlassen des in der Reihenschaltung an letzter Stelle vorgesehenen Vergleichers in der Taktstromversorgung zum Auslösen des nächsten Verarbeitungsschrittes und der damit verbundenen Signale.

Bei diesem bekannten Doppelsystem bildet also die Taktstromversorgung mit der zweikanaligen Datenverarbeitungsanordnung eine Art Selbsthaltekreis, der nach der Feststellung eines Fehlers aufgelöst wird.

Der Erfindung liegt die Aufgabe zugrunde, eine digitale Datenverarbeitungsanordnung mit hoher Verarbeitungssicherheit der obengenannten Art anzugeben, bei welcher ausserdem auf beide Kanäle von aussen gleichzeitig eindringende gleichartige elektrische Störungen sich in einer für den Vergleicher erkennbaren Weise auswirken und die eine relativ hohe Verar-beitungsgechwindigkeit aufweist.

Erfindungsgemäss wird die Aufgabe durch folgende Merkmale gelöst:

Die Signale jedes Steuersignalpaares sind mindestens um einen Verarbeitungsschritt gegeneinander versetzt, jeder der Vergleicher besteht aus einem Transistorverstärker, dessen Schaltstrecke über eine Gleichrichterbrückenschaltung mit dem Ausgang eines ersten D-Kippgliedes und mit dem negierten Ausgang eines zweiten D-Kippgliedes verbunden ist und an den Eingang des ersten D-Kippgliedes ein digitales Verzögerungsglied angeschlossen ist für dieselbe Anzahl von Verarbeitungsschritten wie die Signale der Steuersignalpaare gegeneinander versetzt sind und wobei den Eingängen des Verzögerungsgliedes und des zweiten D-Kippgliedes die zu vergleichenden Signale zugeführt sind, die Takteingänge aller ersten D-Kipp-glieder bzw. zweiten D-Kippglieder der Vergleicher sind über zwei gesonderte Leitungen mit der Taktstromversorgung verbunden zur Übernahme eines Taktimpulses jeweils am Ende jedes Verarbeitungsschrittes.

Bei der zweikanaligen Datenverarbeitungsanordnung arbeiten die in den beiden Verarbeitungskanälen vorgesehenen Schaltwerke also synchron, jedoch in einer mindestens um einen Verarbeitungsschritt versetzten Lage. Aufgrund der hierdurch erzwungenen Zustandsungleichheit beider Kanäle bezüglich der Verarbeitungsphase wirken sich Störungen, die auf beide Kanäle gleichzeitig und gleichartig einwirken, auf die Datenverarbeitung unterschiedlich aus, so dass hierdurch ein Erkennen der Störungen in Form von gestörten Daten möglich wird. Durch die Verwendung des speziellen Vergleichers entstehen trotz der Abhängigkeit der Taktstromversorgung von diesen keine die Verarbeitungsgeschwindigkeit mindernde Verarbeitungslücken bei der Datenverarbeitung, so dass die gesamte Datenverarbeitungsanordnung eine hohe Verarbeitungsgeschwindigkeit aufweist.

In der Regel wird es aus Sicherheitsgründen ausreichen, die Signale der Steuersignalpaare nur um einen einzigen Verarbeitungsschritt gegeneinander zu versetzen. Dann kann in vorteilhafter Weise das Verzögerungsglied in jedem Vergleicher aus einem dritten D-Kippglied für eine Informationsübernahme an der Rückflanke dqr Taktimpulse bestehen, wobei das erste und zweite D-Kippglied in jedem Vergleicher für eine Informationsübernahme an den Vorderflanken der Taktimpulse ausgelegt ist. i '

Zwei Ausführungsbeispiele der Erfindung sind in der Zeicli nung dargestellt und werden nachstehend näher erläutert. \

Es zeigen:

Fig. 1 eine zweikanalige Datenverarbeitunsanordnung und

Fig. 2 die Ausführungsform eines vorteilhaften Vergleichers.

Die digitale Datenverarbeitungsanordnung nach Fig. 1 zeigt schematisch als Blockschaltbild einen zweikanaligen Aufbau mit einer Datenverarbeitungsanlage DVA1 im einen Verarbeitungskanal und einer zweiten Datenverarbeitungsan-5 läge DVA2 im anderen Verarbeitungskanal. Beide Datenverarbeitungsanlagen verarbeiten dieselben vom Prozess zugeführten Iniformationen taktgesteuert synchron, jedoch um einen Verarbeitungsschritt versetzt. Zur gemeinsamen Steuerung der beiden Datenverarbeitungsanlagen DVA1 und DVA2 ist eine 10 gemeinsame Taktstromversorgung TG vorgesehen, welche über Vielfachleitungen LI bzw. L2 die beiden Datenverarbeitungsanlagen DVA1 und DVA2 mit Steuersignalen versorgt, die, bezogen auf jedes Steuersignalpaar gegeneinander um einen Verarbeitungsschritt versetzt sind. Hierdurch wird in den 15 beiden Datenverarbeitungsanlagen DVA1 und DVA2, die beispielsweise als Mikrocomputer ausgebildet sein können, zu gleichen Zeitpunkten bezüglich der Verarbeitungsphasen eine Zustandsungleichheit erzielt, wodurch gleichartig und gleichzeitig auf beide Datenverarbeitungsanlagen DVA1 und DVA2 20 einwirkende elektrische Störungen sich ungleich auswirken.

Zur Erzielun eines 2 von 2-Systems ist eine Vielzahl von bezüglich einer Zustandsabfrage in Reihe geschalteten Vergleichern VR1, VR2 bis VRn vorgesehen, welche die Aufgabe haben, Signale auf gleichartigen Ausgangsleitungen, z.B. Al 1 25 und A21 bzw. A12 und A22 oder Aln und A2n der beiden Datenverarbeitungsanlagen DVA1 und DVA2 miteinander zu vergleichen. Bei den genannten Ausgängen der Datenverarbeitungsanlagen handelt es sich nicht nur um solche Ausgänge, die Informationen für den zu steuernden Prozess führen, sondern 30 beispielsweise auch um solche Leitungen, die wie ein interner BUS Adressen oder Programminformationen bzw. Zwischeninformationen führen, die zwischen einem Mikroprozessor und Baugruppen ausgetauscht werden, die in Verbindung mit dem Mikroprozessor zum Aufbau eines Mikrocomputers als Daten-35 Verarbeitungsanlage DVA1 bzw. DVA2 dienen.

Ausser den Eingängen 1VR1 und 2VR1 beim Vergleicher VR1 zum Zuführen der zu vergleichenden Signale hat jeder der Vergleicher noch zwei Eingänge, 3VR1 und 4VR1 beim Vergleicher VR1, zur Aufnahme von zwei voneinander unabhängi-40 gen, zeitlich übereinstimmenden und jeweils am Ende jedes Verarbeitungsschrittes durch die Taktstromversorgung TG ausgelösten Taktimpulsen über zwei Leitungen L3 und L4.

Jeder der Vergleicher VR1 bis VRn hat ferner einen Eingang, z.B. 5VR1 beim Vergleicher VR1, zum Zuführen eines Überwa-45 chungsimpulses, der zeitlich gesehen etwa in der Mitte jedes Verarbeitungsschrittes liegt. Dem Vergleicher VR1 wird der Überwachungsimpuls aus der Taktstromversorgung TG üer die Leitung L5 zugeführt. Bei Übereinstimmung der dem Vergleicher VR1 zugeführten zu vergleichenden Sinale wird der so Überwachungsimpuls über den Ausgang 6VR1 wieder ausgegeben. Dieses Signal (Fehlerfreimeldung) dient dann als Überwachungsimpuls zum Abfragen des nächsten Überwachungsgliedes VR2. Auf diese Art und Weise bilden die einzelnen Vergleicher VR1 bis VRn eine Reihenschaltung, die von dem durchs 55 die Taktstromversorgung TG abgegebenen Überwachungsimpuls bei ordnungsgerechter Datenverarbeitung in den beiden Datenverarbeitungsanlagen DVA1 und DVA2 alle durchlaufen werden, wobei der in der Reihenschaltung an letzter Stelle vorgesehene Vergleicher VRn bei ordnungsgerechtem Betrieb 60 über dessen Ausgang 6VRn an die Taktstromversorgung TG eine fehlerfreie Meldung abgibt, die zum Auslösen der für den nächsten Verarbeitungsschritt der beiden Datenverarbeitungsanlagen DVA1 und DVA2 erforderlichen Steuersignalpaare und eines weiteren Überwachungsimpulses dient. Bei einem 65 Fehler in einer der beiden Datenverarbeitungsanlagen unterbricht mindestens einer der Vergleicher VR1 bis VRn den Weg des als Fehlerfreimeldung dienenden Signals, und die Taktstromversorgung TG wird bis zu einer vorzunehmenden Bedie-

634672 4

nungshandlung inaktiv. Hierdurch wird die zweikanalige Überwachungsimpuls als Fehlerfreimeldung über den Ausgang

Datenverarbeitungsanordnung abgeschaltet und damit die 6VR1 wieder abgegeben wird. Aufgrund der Verwendung der

Ausgabe einer u.U. gefährlichen Information unterbunden. Gleichrichterbrückenschaltung zur Stromversorgung des

Die Schaltungsanordnung nach Fig. 2 zeigt nähere Einzel- Transistors TR ist es dabei gleichgültig, welche zueinander ent-

heiten eines bevorzugten Vergleichers; bei der Darstellung s gegengesetzten Schaltzustände an den D-Kippgliedern DK1

sind diejenigen Bezugszeichen, die bereits im Zusammenhang und DK2 vorliegen, so dass für die Stromversorgung stets die mit dem Vergleicher VR1 verwendet wurden, wieder eingetra- richtige Polarität der Versorgungsspannung gegeben ist.

gen worden. Der Vergleicher VRl gemäss Fig. 2 besteht aus Wie bereits an Hand der Schaltungsanordnung nach Fig. 1

einem Transistorverstärker mit einem Transistor TR, dessen erläutert wurde, arbeiten die beiden Datenverarbeitungsanla-

Schaltstrecke über eine Gleichrichterbrückenschaltung Dl, >o gen DVA1 und DVA2 aufgrund einer diesbezüglichen Steuersi-

D2, D3 und D4 und einen Widerstand R mit Strom versorgt gnalversorgung um einen Taktschritt gegeneinander versetzt,

wird. Die Gleichrichterbrückenschaltung Dl bis D4 ist zu dem So eilt z.B. die Datenverarbeitunsanlage DVA1 gegenüber der

Zweck einerseits mit dem Ausgang 1DK1 eines D-Kippgliedes Datenverarbeitungsanlage DVA2 in der Datenverarbeitung

DK1 und andererseits mit dem negierten Ausgang 1DK2 eines um einen Verarbeitungsschritt voraus. Dieses zeitliche Vor-

zweiten D-Kippgliedes DK2 verbunden. An den Eingang 2DK1 is auseilen wird in den Vergleichern VRl bis VRn durch ein des D-Kippgliedes DK1 ist mit seinem Ausgang 1DK3 ein wei- gesondertes Verzögerunsglied in Form des jeweils dritten teres D-Kippglied DK3 angeschlossen, dessen Eingang 2DK3 D-Kippgliedes, beim Vergleicher VRl des D-Kippgliedes DK3,

den einen Eingang 1 VRl des Vergleichers VRl bildet. Der Ein- ausgeglichen. Dieses D-Kippglied nimmt am Ende eines Verar-

gang 2DK2 des des zweiten D-Kippgliedes DK2 bildet den beitungsschrittes beim Übergang vom Zustand 1 in den anderen Eingang 2VR1 des Vergleichers VRl. Alle drei 20 Zustand 0 des über den Eingang 3VR1 zugeführten Taktimpul-D-Kippglieder DK1, DK2 und DK3 haben einen Takteingang C ses den Wert des am Eingang 2DK3 anstehenden Signals auf.

für eine Flankensteuerung, die es gestattet, dass das betref- Am Ende des betrachteten Verarbeitungsschrittes wird mit der fende D-Kippglied beim Übergang vom Zustand 0 nach 1 eines Vorderflanke, also beim Übergang vom Zustand 0 nach 1, des

über den betreffenden Takteingang C geführten Taktimpulses folgenden Taktimpulses der in dem D-Kippglied DK3 gespei-

den am Eingang 2DK1 bzw. 2DK2 oder 2DK3 vorhandenen 25 cherte Zustand vom nachfolgenden D-Kippglied DK1 über-

Wert des anstehenden Signals zu übernehmen. Die Taktim- . nommen, während gleichzeitig bei ordnungsgerechtem Areiten pulse werden einerseits über den Eingang 3VR1 unmittelbar der zweikanaligen Datenverarbeitungsanordnung derselbe dem Eingang C des D-Kippgliedes DK1 und mittelbar über ein Signalwert über den Eingang 2DK2 vom D-Kippglied DK2

Nicht-Glied VD dem Eingang C des D-Kippgliedes DK3 zuge- übernommen wird. Nach dem Auslesen auf der Vorderflanke führt. Die zur Steuerung des D-Kippgliedes DK2 erforderli- 30 des besagten Taktimpulses aus dem D-Kippglied DK3 kann die-

chen Taktimpulse gelangen auf den betreffenden Takteingang ses Schaltglied auf der Rückflanke desselben Taktimpulses den

C über den Eingang 4VR1 des Vergleichers VRl. nächsten Signalwert einspeichern. Nach der Übernahme der

Wenn beispielsweise D-Kippglieder zur Verfügung stehen, Signale in die D-Kippglieder DK1 und DK2 erfolgt auf dem die zur Flankensteuerung einen Takteingang aufweisen, der bei vorliegenden Verarbeitungsschritt etwa zeitlich gesehen in der einem Übergang von 1 auf 0 wirksam ist, so kann ein derartiges 35 Mitte durch den Überwachungsimpuls der eigentliche Ver-

D-Kippglied anstelle des dargestellten D-Kippgliedes DK3 ver- gleich, der bei positivem Ergebnis, also bei ordnungsgemässer wendet werden, was den Vorteil hätte, dass auf das Nicht-Glied Datenverarbeitung, die Weiterleitung des Überwachungsim-

VD verzichtet werden könnte. Die dem Vergleicher VRl über puises als Fehlerfreimeldung über den Ausgang 6VR1 zur den Eingang 5VR1 zugeführten Überwachungsimpulse gelan- Folge hat.

gen auf die Basiselektrode des Transistors TR. Wenn, wie noch 40 Bei einer anderen Ausführungsform, bei welcher der zeitnaher erläutert wird, zuvor eine ordnungsgerechte Datenverar- liehe Versatz der beiden Datenverarbeitungsanlagen DVA1 beitung stattgefunden hat, besitzen die Ausgänge 1DK1 und und DVA2 grösser als ein Verarbeitungsschritt ist, kann 1DK2 der beiden D-Kippglieder DK1 und DK2 zum Zeitpunkt anstelle des D-Kippgliedes DK3 als Vorspeicher in vorteilhaf-eines Überwachungsimpulses entgegengesetzte Schaltzu- ter Weise ein Schieberegister zur Anwendung kommen mit so stände, so dass über die Gleichrichterbrückenschaltung D1 bis 45 vielen Stufen, wie Verarbeitungsschritte zur zeitlich versetzten D4 die zum Verstärken und Übertragen des Überwachungsim- Arbeitsweise der beiden Datenverarbeitungsanlagen vorgese-pulses erforderliche Versorgungsspannung vorliegt und der hen sind.

/

! / F

G

1 Blatt Zeichnungen

Claims

634672 PATENTANSPRÜCHE

1. Digitale Datenverarbeitungsanordnung, insbesondere für die Eisenbahnsicherungstechnik, mit in zwei Kanälen dieselben Informationen nach dem 2 von 2-Prinzip verarbeitenden Schaltwerken, die durch eine gemeinsame Taktstromversor-gung schrittweise gesteuert werden, welche bei jedem Verarbeitungsschritt ausser mehreren Steuersignalpaaren einen Überwachungsimpuls ausgibt, und mit jeweils für je zwei vergleichbare Signale aus den beiden Schaltwerken vorgesehenen Vergleichern, die zwei Eingänge für die beiden zu vergleichenden Signale, einen weiteren Eingang für die Überwachungsimpulse und einen Ausgang aufweisen, über den beim Vorhandensein von ordnungsgerechten Signalpaaren der Überwachungsimpuls als Fehlerfreimeldung wieder abgegeben wird, wobei die Vergleicher zum konjunktiven Verknüpfen der einzelnen Fehlerfreimeldungen eine Reihenschaltung bilden, deren letzter Vergleicher seine Fehlerfreimeldung zum Auslösen der für den nächsten Verarbeitungsschritt der beiden Schaltwerke erforderlichen Steuersignalpaare und eines weiteren Überwachungsimpulses an die Taktstromversorgung gibt, gekennzeichnet durch folgende Merkmale: die Signale jedes Steuersignalpaares sind mindestens um einen Verarbeitungsschritt gegeneinander versetzt, jeder der Vergleicher (VR1) besteht aus einem Transistorverstärker (TR), dessen Schaltstrecke über eine Gleichrichterbrückenschaltung (Dl, D2, D3, D4) mit dem Ausgang (1DK1) eines ersten D-Kippgliedes (DK1) und mit dem negierten Ausgang (1DK2) eines zweiten D-Kippgliedes (DK2) verbunden ist und an den Eingang (2DK1) des ersten D-Kippgliedes (DK1) ein digitales Verzögerungsglied (DK3) angeschlossen ist für dieselbe Anzahl von Verarbeitungsschritten wie die Signale der Steuersignalpaare gegeneinander versetzt sind und wobei den Eingängen (2DK3,2DK2) des Verzögerungsgliedes (DK3) und des zweiten D-Kippgliedes (DK2) die zu vergleichenden Signale zugeführt sind, die Takteingänge (C) aller ersten D-Kippglieder (DK1) bzw. zweiten D-Kippglie-der (DK2) der Vergleicher (VR1 bis VRn) sind über zwei gesonderte Leitungen (L3, L4) mit der Taktstromversorgung (TG) verbunden zur Übernahme eines Taktimpulses jeweils am Ende jedes Verarbeitungsschrittes.

2. Digitale Datenverarbeitungsanordnung nach Anspruch 1, dadurch gekennzeichnet, dass die Signale jedes Steuersignalpaares um einen Verarbeitungsschritt gegeneinaner versetzt sind und als Verzögerungsglied in jedem Vergleicher ein drittes D-Kippglied (DK3) für eine Informationsübernahme an der Rückflanke der Taktimpulse vorgesehen ist und mit einem ersten und zweiten D-Kippglied (DK1, DK2) für eine Informationsübernahme an der Vorderflanke der Taktimpulse.

Die EKindung bezieht sich auf eine digitale Datenverarbeitungsanordnung, insbesondere für die Eisenbahnsicherungstechnik, mit in zwei Kanälen dieselben Informationen nach dem 2 von 2-Prinzip verarbeitenden Schaltwerken, die durch eine gemeinsame Taktstromversorgung schrittweise gesteuert werden, welche bei jedem Verarbeitungsschritt ausser mehreren Steuersignalpaaren einen Überwachungsimpuls ausgibt, und mit jeweils für je zwei vergleichbare Signale aus den beiden Schaltwerken vorgesehenen Vergleichern, die zwei Eingänge für die beiden zu vergleichenden Signale, einen weiteren Eingang für die Überwachungsimpulse und einen Ausgang aufweisen, über den beim Vorhandensein von ordnungsgerechten Signalpaaren der Überwachungsimpuls als Fehlerfreimeldung wieder ausgegeben wird, wobei die Vergleicher zum konjunktiven Verknüpfen der einzelnen Fehlerfreimeldungen eine Reihenschaltung bilden, deren letzter Vergleicher seine Fehlerfreimeldung zum Auslösen der für den nächsten Verarbeitungsschritt der beiden Schaltwerke erforderlichen Steuersignalpaare und eines weiteren Überwachungsimpulses an die Taktstromversorgung gibt.

Bei einer Anzahl von technischen Prozessen, z.B. bei der Überwachung von Kernreaktoren oder der Steuerung von Eisenbahnanlagen wird nach einem anerkannten sicherungstechnischen Prinzip gearbeitet, wodurch bei technischen Fehlern, mit denen beim Betrieb von nicht eigensicheren Datenverarbeitungsanlagen gerechnet werden muss, der zu steuernde Prozess in einen für den Menschen und das Material unkritischen Zustand überführt wird. Dies kann beispielsweise bei Eisenbahnanlagen dadurch bewirkt werden, dass allen prozess-aktivierenden Signalen ein hoher Signalpegel zugeordnet wird, der bei einer technischen Störung der Datenverarbeitungsanlage auf allen Ausgabekanälen abgeschaltet wird. Hierzu sind allerdings Einrichtungen erforderlich die eine fehlerhafte Datenverarbeitung erkennen und abschaltend reagieren, bevor die infolge der fehlerhaften Datenverarbeitung ermittelten Steuerbefehle beim zu sichernden Prozess angelangt sind. Zur Erhöhung der Verfügbarkeit kann eine Verdopplung der Datenverarbeitungsanlage unter dem Gesichtswinkel vorgesehen werden, dass nach dem Auftreten eines Fehlers in einer der beiden Datenverarbeitungsanlagen auf die jeweils andere Anlage umgeschaltet wird, die im Parallelbetrieb dieselben Informaionen verarbeitet. Dabei wird vorausgesetzt, dass diese andere Datenverarbeitungsanlage zum Zeitpunkt des Umschaltens noch ordnungsgerecht arbeitet. Die Verwendung von gleichzeitig parallel dieselben Informationen verarbeitenden Datenverarbeitungsanlagen ist beispielsweise in der DT-AS 1 280 539 bzw. in der DT-OS 1499 262 beschrieben.

Doppelsysteme dieser Art haben zwar in wünschenswerter Weise eine erhöhte Verfügbarkeit, jedoch nicht die erforderliche Sicherheit, wie sie bei den eingangs genannten Anwendungsfällen gefordert werden muss. Im Hinblick auf die erforderliche Sicherheit darf dabei keine Beschränkung dahingehend erfolgen, dass nach einem Fehlerfall nur einzelne Anlagenteile eines verdoppelten Systems abgeschaltet werden, weil hierfür kein genügend sicherer Fehlererkennungsmechanismus vorhanden ist. So ist es auch aus Sicherheitsgründen nicht möglich, nach dem besagten Fehlerfall mit nur einer zu dem Zeitpunkt als intakt erkannten Datenverarbeitungsanlage des Doppelsystems weiter zu arbeiten, weil diese Datenverarbeitungsanlage aus Mangel eines sicheren Fehlererkennungsmechanismus in Alleinarbeit Gefährdungen für den Menschen und das Material verursachen kann. Demzufolge müssen für sicherungstechnische Steuerungen konzipierten Doppelsysteme nach einem erkannten Fehler beide Datenverarbeitungsanlagen abgeschaltet werden.