DE102007004153A1

DE102007004153A1 - Channel switching logic for two-channel control device, has output gate with input value in low state when series error occurs as pseudo error in channel corresponding to output gate and with maximum pseudo error occurring in other channels

Info

Publication number: DE102007004153A1
Application number: DE200710004153
Authority: DE
Inventors: Friedrich Schwamm
Original assignee: ATENA ENGINEERING GmbH
Current assignee: SILVER ATENA ELECTRONIC SYSTEMS ENGINEERING GM, DE
Priority date: 2007-01-22
Filing date: 2007-01-22
Publication date: 2008-07-24

Abstract

The logic has an output gate provided with an output value (25) in a high state when all four inputs of the output gate are in the high state. An input value of the output gate corresponds to an inverted output value of other output gates. The input value of the output gate is in a low state when a series error occurs as a pseudo error in a channel corresponding to the output gate and a maximum pseudo error occurs in other channels. The output gates are formed by NAND-elements (11, 13) and transistors (15, 17) e.g. MOSFET.

Description

Technisches GebietTechnical area

Die Erfindung betrifft eine Kanal-Umschaltlogik für 2-kanalige Steuergeräte, die Steuergeräte selbst sowie deren Anwendungen. Die Erfindung betrifft insbesondere eine eigensichere Kanalumschaltlogik mit Redundanzkonzept für Aktiv-Standby.The The invention relates to a channel switching logic for 2-channel controllers, the Control units themselves as well as their applications. The invention relates in particular to a intrinsically safe channel switching logic with redundancy concept for active standby.

Zweikanalige Steuergeräte können überall dort zum Einsatz kommen, wo der Gesamtausfall der Steuerung zu unerwünschten Fehlereffekten führen würde. Zu denken ist hier in erster Linie an die Steuerung von Flugzeugen und Hubschraubern. Aber auch für Automotive Anwendungen, wie zum Beispiel im Bereich der Fahrer-Assistenz oder den so genannten, X-By-Wire'-Systemen, d. h. der elektronischen Bremsung, Lenkung, Getriebe-Schaltung und Spritzumessung sind 2-kanalige Steuergeräte mit großer Wahrscheinlichkeit unerlässlich. Fällt der gerade aktive Kanal aus, so kann der aktuell passive Kanal innerhalb kürzester Zeit die Steuerung übernehmen. Dabei muss allerdings von einem Kanal auf den anderen umgeschaltet werden, d. h. es bedarf einer Kanal-Umschaltlogik.Two-channel ECUs can be everywhere be used where the overall failure of the controller to undesirable Would cause error effects. To thinking here is primarily about the control of aircraft and helicopters. But also for Automotive applications, such as in the field of driver assistance or the so-called 'X-by-wire' systems, d. H. the electronic braking, steering, transmission circuit and Spritzumessung are 2-channel controllers with big ones Probability essential. Does that fall currently active channel, the currently passive channel can be within short Time to take control. It must, however, switched from one channel to another be, d. H. it requires a channel switching logic.

Bei einer Kanal-Umschaltlogik ist zu beachten, dass auch in dieser selbst eine Störung auftreten kann. Sie selbst stellt daher wieder potentiell eine Fehlerquelle dar und sollte gegen solche abgesichert sein. Es wird also eine eigensichere Kanal-Umschaltlogik benötigt.at a channel switching logic is to be noted that even in this self a disorder can occur. Therefore, it itself potentially represents a source of error and should be protected against such. So it will be one intrinsically safe channel switching logic required.

Für eine solche Kanal-Umschaltlogik gilt generell, dass sie möglichst einfach aufgebaut sein sollte, damit sie einerseits zuverlässig und andererseits überschaubar ist, um die notwendige Sicherheit gewährleisten zu können. Für Automotive Anwendungen muss darüber hinaus diese Logik mit minimalem Kostenaufwand herzustellen sein.For such Channel switching logic is generally considered to be as simple as possible should be both reliable and manageable is to ensure the necessary safety. For Automotive Applications must be about it In addition, this logic can be produced with minimum cost.

Stand der TechnikState of the art

In einigen bekannten 2-kanaligen Steuergeräten ist die Kanal-Umschaltlogik zwischen den Kanälen angeordnet. Dies hat allerdings zur Folge, dass die Zuordnung zum jeweiligen Kanal erschwert ist. Neben dem ersten und dem zweiten Kanal ist hier mit der Umschalt-Logik noch eine weitere Schaltung implementiert, welche mit den Kanälen entsprechend verknüpft werden muss. Dies bewirkt in der Regel eine ungewollte zusätzliche Vermaschung der beiden Kanäle was letztlich auf eine Redundanzeinschnürung hinausläuft. Vorteilhaft wäre demgegenüber eine Auslegung eines Kanals in dem sämtliche Hardware-Bestandteile der Umschaltlogik bereits vorgesehen sind. Die Fertigstellung des 2-kanaligen Steuergerätes würde dann darin bestehen, zwei im Wesentlichen identisch ausgelegte Kanäle zu verdrahten.In Some known 2-channel controllers have channel switching logic between the channels arranged. However, this has the consequence that the assignment to the respective channel is difficult. Next to the first and the second Channel is here with the switching logic yet another circuit implemented, which are linked to the channels accordingly got to. This usually causes an unwanted extra Meshing of the two channels which ultimately results in a reduction of redundancy. Advantageous would be a contrast Design of a canal in which all Hardware components of the switching logic are already provided. The completion of the 2-channel control unit would then consist of two to wire essentially identically designed channels.

Die Kanalumschaltung soll dann erfolgen, wenn im aktiven Kanal ein Fehler auftritt und der passive Kanal fehlerfrei ist bzw. weniger kritische Fehler hat. Hierbei wird zwischen leichten Fehlern und schweren Fehlern unterschieden. Während die Steuerung durch einen mit einem schweren Fehler betroffenen Kanal unter keinen Umständen erfolgen sollte, ist denkbar, dass die Steuerung bei einem leichten Fehler im Kanal durchaus noch funktioniert. D. h. Abschaltung eines von einem leichten Fehler betroffenen Kanals sollte lediglich erfolgen, wenn der andere Kanal von gar keinem wirklichen Fehler betroffen ist und damit die Steuerbedingungen verbessert würden. Es ist daher eine Kanal-Umschaltlogik wünschenswert, die eine feinstufige Reaktion auf Degradationsdefekt erlaubt.The Channel switching should take place if an error occurs in the active channel occurs and the passive channel is error-free or less critical Has errors. This is between slight errors and serious Distinguish errors. While Controlled by one with a serious error Channel under any circumstances should be done, it is conceivable that the controller is at a slight error in the channel still works. Ie. Shutdown one of a slightly faulty channel should only be done, if the other channel is not affected by any real mistake and thus the tax conditions would be improved. It is therefore a channel switching logic desirable, which allows a fine-level response to degradation defect.

Im Zusammenhang mit derartig 2-kanaligen Steuergeräten darf zur eigentlichen Steuerung nur ein Kanal die Stellglieder ansteuern. Das heisst, dass lediglich ein Kanal aktiv ist, während der andere Kanal passiv ist. Typischerweise folgt der passive Kanal dem aktiven sklavisch, um gegebenenfalls schnell die Masterrolle übernehmen zu können, d. h. zum aktiven Kanal zu werden. Übernimmt nun über längere Zeit immer derselbe Kanal die passive Rolle, so wird ein in diesem Kanal auftretender versteckter Fehler nur mit unzureichender Wahrscheinlichkeit entdeckt. Der Anwender, der glaubt. durch die 2-kanalige Steuerung gesichert zu sein, hat in Wirklichkeit lediglich einen funktionsfähigen Kanal zur Verfügung, da im anderen passiven Kanal der Fehler unbemerkt schlummert. Solche schlafenden Fehler können dadurch schnell entdeckt werden, indem man regelmäßig die Rollen des aktiven und des passiven Kanals vertauscht. Einen Teil dieser Aufgabe kann vorteilhafterweise die Kanal-Umschaltlogik übernehmen. Man kann nämlich im bisher aktiven Kanal einen Fehler simulieren, auf den die Umschaltlogik reagiert und die Umschaltung auf den bisher passiven Kanal auslöst. Liegt im passiven Kanal ein derartiger schlafender Fehler vor, so gelingt diese Umschaltung nicht bzw. es erfolgt mit der Erkennung des Fehlers eine sofortige Rückschaltung auf den gesunden Kanal. Der vergebliche Versuch kann jedoch recht einfach signalisiert werden und der Anwender wird über die Fehlerhaftigkeit des bisher passiven und immer noch passiven Kanals unterrichtet. Da mit dieser Fehlersimulation kein wirklicher Fehler vorliegt, wird dieser im folgenden Pseudofehler genannt.in the Connection with such 2-channel controllers may be the actual control only one channel to control the actuators. That means that only a channel is active while the other channel is passive. Typically, the passive channel follows the active slavish to quickly take on the role of master, if necessary to be able to d. H. to become the active channel. Now takes over a long time always the same channel the passive role, so becomes one in this channel occured hidden error only with insufficient probability discovered. The user who believes. through the 2-channel control Being secured actually has only one functional channel to disposal, because in the other passive channel the error slumbers unnoticed. Such sleeping mistakes can be quickly discovered by regularly checking the Roles of the active and passive channels reversed. A part This task can advantageously take over the channel switching logic. You can namely in previously active channel simulate an error to which the switching logic reacts and triggers the switch to the previously passive channel. Lies in the passive channel such a dormant error, so succeed this switching does not take place or it takes place with the recognition of the error an immediate downshift on the healthy channel. The futile attempt can be right Simply be signaled and the user will be on the Deficiency of the previously passive and still passive channel informed. Because with this error simulation no real error is present, this is called in the following pseudo error.

Gemäß Stand der Technik wird in der Umschaltlogik bisher nicht zwischen Pseudofehler und leichtem Fehler unterschieden.As per stand So far, the technique does not distinguish between pseudo errors in the switching logic and a slight error.

Aufgabe der ErfindungObject of the invention

Der Erfindung liegt daher die Aufgabe zugrunde, eine Kanal-Umschaltlogik für 2-kanalige Steuergeräte anzugeben die eine feinstufige Reaktion auf Degradationsdefekte erlaubt, die sogenante schlafende Fehler weitgehend verhindert und die aufgrund von Aufbau und Symmetrie kostengünstig verwirklicht werden kann.The invention is therefore the task The reason is to specify a channel switching logic for 2-channel control devices which allows a fine-grained response to degradation defects, which largely prevents so-called sleeping errors and which can be realized cost-effectively due to design and symmetry.

Übersicht über die vorliegende ErfindungOverview of the present invention

Erfindungsgemäß wird diese Aufgabe durch eine Kanal-Umschaltlogik gelöst, in der zwischen 3 Fehlerkategorien unterschieden wird:

– schwerer Fehler
– leichter Fehler
– Pseudofehler

According to the invention, this object is achieved by a channel switching logic in which a distinction is made between three error categories:

- big mistake
- slight mistake
- Pseudo error

Dies kann dadurch erreicht werden, dass die Logik mit im Wesentlichen vier Gattern aufgebaut ist.This can be achieved by using the logic with essentially four gates is built.

In Gatter 1 bilden sämtliche Fehlerkategorien Eingänge (schwere Fehler, leichte Fehler und Pseudofehler). Liegt kein Fehler vor, so sind sämtliche Eingänge auf hohem Niveau („high"), d. h. Fehlerindikation findet durch den Zustand „low" statt. Nur wenn sämtliche Eingänge auf „high” sind, ist auch der Ausgang im ersten Gatter auf „high". Ist dagegen einer der Eingänge auf niedrigern Niveau („low") so ist auch der Ausgang auf „low". D. h. in Gatter 1 liegt ein UND-Element vor.In Gates 1 form all Error categories inputs (severe errors, minor errors and pseudo errors). There is no error before, so are all inputs at a high level, ie error indication takes place through the state "low" Only if all inputs are on high, is also the output in the first gate to "high." Is on the other hand, one of the inputs on lower level ("low") is the same Output on "low", ie in gate 1, an AND element is present.

In Gatter 2 bilden nur die schweren und die leichten Fehler Eingänge, nicht hingegen Pseudofehler. Liegt kein schwerer und auch kein leichter Fehler des entsprechenden Kanals vor, so sind sämtliche Eingange auf „high" und der Ausgang des Gatters 2 ist auch auf „high". Liegt ein schwerer oder ein leichter Fehler vor, so ist einer der Eingänge auf „low" und damit auch der Ausgang des Gatters 2 auf „low". D. h. auch in Gatter 2 liegt ein UND-Element vor.In Gates 2 only make the heavy and light fault inputs, not however, pseudo errors. Is not difficult and no easy Error of the corresponding channel before, then all inputs are on "high" and the output of the gate 2 is also on "high." Is a heavier or a slight error, so one of the inputs to "low" and thus the Output of gate 2 to "low", ie also in gate 2, an AND element is present.

Gatter 1 und Gatter 2 sind jeweils separat in beiden Kanälen verwirklicht. Kanal 1 hat also ein Gatter 1 (G₁K₁) und ein Gatter 2 (G₂K₁). Ebenso hat Kanal 2 ein Gatter 1 (G₁K₂) und ein Gatter 2 (G₂K₂)Gate 1 and gate 2 are each realized separately in both channels. Channel 1 thus has a gate 1 (G ₁ K ₁ ) and a gate 2 (G ₂ K ₁ ). Similarly, channel 2 has a gate 1 (G ₁ K ₂ ) and a gate 2 (G ₂ K ₂ )

Gatter 3 hat für jeden Kanal zwei Bestandteile. Der erste Bestandteil ist der Fehlerkategorie 1 (Pseudofehler) des einen Kanals und dem Gatter 1 des anderen Kanals zugeordnet und hat entsprechende Eingänge. Der zweite Bestandteil ist der Fehlerkategorie 2 (leichte Fehler) des einen Kanals und dem Gatter 2 des anderen Kanals zugeordnet und hat entsprechende Eingänge. Beide Bestandteile werden aus einem ODER-Element gebildet. Allerdings ist zu beachten, dass die Signale der Gatter 1 und 2 an den Eingängen der jeweiligen Bestandteile invertiert werden.gate 3 has for each channel has two components. The first component is the error category 1 (pseudo error) of one channel and the gate 1 of the other channel assigned and has corresponding inputs. The second component is the error category 2 (slight errors) of the one channel and the Assigned gate 2 of the other channel and has corresponding inputs. Both Constituents are formed from an OR element. Indeed It should be noted that the signals of gates 1 and 2 at the inputs of the respective components are inverted.

D. h. ist der Ausgang des Gatters 1 des ersten Kanals „high" (kein Fehler im ersten Kanal) so ist der entsprechende Eingang im ersten Bestandteil des Gatters 3 des zweiten Kanals „low". Der Ausgang des ersten Bestandteils des Gatters 3 des zweiten Kanals ist in diesem Fall nur „high", falls in Kanal 2 kein Pseudofehler vorliegt.D. H. is the output of gate 1 of the first channel "high" (no error in first channel) so the corresponding input is in the first part of the Gate 3 of the second channel "low." The output of the first component of the gate 3 of the second channel is in this Case only "high", if in channel 2 there is no pseudo error.

Ist der Ausgang des Gatters 1 des ersten Kanals „low" (Pseudofehler oder anderer Fehler im ersten Kanal), so ist der entsprechende Eingang im ersten Bestandteil des Gatters 3 des zweiten Kanals „high". Der Ausgang des ersten Bestandteils des Gatters 3 des zweiten Kanals ist dann in jedem Fall „high"is the output of gate 1 of the first channel "low" (pseudo error or other error in first channel), the corresponding input is in the first component of the gate 3 of the second channel "high." The output of the first component the gate 3 of the second channel is then in any case "high"

Tritt also in einem der Kanäle irgendein Fehler auf, so ist dafür gesorgt, dass der Ausgang des ersten Bestandteils des Gatters 3 des anderen Kanals „high" ist. Nur wenn in einem Kanal kein Fehler auftritt und im anderen Kanal zumindest ein Pseudofehler auftritt, wird der Ausgang des ersten Bestandteils des Gatters 3 des anderen Kanals auf „low" gesetzt.kick So in one of the channels any mistake, so is for it ensured that the output of the first component of the gate 3 the other channel is "high." Only if in no error occurs in one channel and at least in the other channel a pseudo error occurs, becomes the output of the first component the gate 3 of the other channel is set to "low".

Im Wesentlichen entsprechendes gilt für den zweiten Bestandteil des Gatters 3:
Ist der Ausgang des Gatters 2 des ersten Kanals „high" (maximal Pseudofehler im ersten Kanal) so ist der entsprechende Eingang im zweiten Bestandteil des Gatters 3 des zweiten Kanals „low". Der Ausgang des zweiten Bestandteils des Gatters 3 des zweiten Kanals ist in diesem Fall nur „high", falls in Kanal 2 kein leichter Fehler vorliegt.Substantially the same applies to the second component of the gate 3:
If the output of gate 2 of the first channel is "high" (maximum pseudo error in the first channel), the corresponding input in the second component of gate 3 of the second channel is "low". The output of the second component of the gate 3 of the second channel is in this case only "high" if there is no slight error in channel 2.

Ist der Ausgang des Gatters 2 des ersten Kanals „low" (leichter oder schwerer Fehler im ersten Kanal) so ist der entsprechende Eingang im zweiten Bestandteil des Gatters 3 des zweiten Kanals „high". Der Ausgang des zweiten Bestandteils des Gatters 3 des zweiten Kanals ist dann in jedem Fall „high".is the output of gate 2 of the first channel "low" (slight or severe error in the first channel) so the corresponding input is in the second part of the gate 3 of the second channel "high." The output of the second component of the gate 3 of the second channel is then in in any case "high".

Tritt also in einem der Kanäle ein leichter und/oder schwerer Fehler auf, so ist dafür gesorgt, dass der Ausgang des zweiten Bestandteils des Gatters 3 des anderen Kanals „high" ist. Nur wenn im einen Kanal maximal ein Pseudofehler auftritt, während im anderen Kanal mindestens ein leichter Fehler vorliegt, wird der Ausgang des zweiten Bestandteils des Gatters 3 des anderen Kanals auf „low" gesetzt.kick So in one of the channels a slight and / or serious error, it is ensured that the output of the second component of the gate 3 of the other channel is "high" one channel maximum one pseudo error occurs, while in the other channel at least there is a slight error, the output of the second component of the Gate 3 of the other channel set to "low".

Das Gatter 4 jedes Kanals wird durch ein UND-Element gebildet das 4 Eingänge hat. Der erste Eingang des Gatters 4 eines Kanals wird im Wesentlichen durch den invertierten Ausgang des Gatters 4 des anderen Kanals gebildet. D. h. ist der erste Kanal aktiv, also auf „high", so ist der erste Eingang des Gatters 4 des zweiten Kanals auf „low" und damit ist der Ausgang des zweiten Kanals zwangsläufig auf „low" und der zweite Kanal inaktiv. Ist der erste Kanal inaktiv, also auf „low", so ist der erste Eingang des Gatters 4 des zweiten Kanals auf „high" und es kommt darauf an, in welchem Zustand die anderen drei Eingänge des Gatters 4 des zweiten Kanals sind.The gate 4 of each channel is formed by an AND element having 4 inputs. The first input of the gate 4 of one channel is essentially formed by the inverted output of the gate 4 of the other channel. Ie. If the first channel is active, ie "high", then the first input of gate 4 of the second channel is "low" and thus the output of the second channel is inevitably "low" and the second channel is inactive inactive, that is to say "low", the first input of the gate 4 of the second channel is "high" and it is depends on what state the other three inputs of the gate 4 of the second channel.

Der zweite Eingang des Gatters 4 eines Kanals wird direkt durch Fehler der schweren Kategorie (schwerer Fehler) gebildet. Tritt in dem Kanal ein schwerer Fehler auf, so ist dieser Eingang „low" und der Ausgang des Gatters 4 des Kanals ist „low", unabhängig vom Zustand des anderen Kanals. D. h. im Beispiel, auch wenn der erste Kanal inaktiv ist, kann der zweite Kanal die Steuerung nicht übernehmen, da mit schwerem Fehler behaftet.Of the second input of the gate 4 of a channel is directly by mistake heavy category (serious mistake). Kick in the If a serious error occurs, this input is low and the output is low the gate 4 of the channel is "low", regardless of State of the other channel. Ie. in the example, even if the first Channel is inactive, the second channel can not take control because with a serious error.

Der dritte Eingang des Gatters 4 eines Kanals wird durch Ausgang des ersten Bestandteils des Gatters 3 desselben Kanals gebildet. Ist im Beispiel im ersten Kanal irgendein Fehler aufgetreten, so ist der erste Bestandteil des Gatters 3 des zweiten Kanals, wie oben beschrieben auf „high" geschaltet. Der dritte Eingang des Gatters 4 des zweiten Kanals ist somit auf „high" sollte im ersten Kanal irgendein Fehler auftreten. Nur wenn im ersten Kanal kein Fehler auftritt und im zweiten Kanal zumindest ein Pseudofehler Auftritt wird der Ausgang des ersten Bestandteils des Gatters 3 des zweiten Kanals auf „low" gesetzt.Of the third input of the gate 4 of a channel is output by the first component of the gate 3 of the same channel. is in the example in the first channel any error occurred, so is the first component of the gate 3 of the second channel, as described above switched to "high." The third Input of the gate 4 of the second channel is thus on "high" should be in the first Channel any error occur. Only if in the first channel no Error occurs and in the second channel at least one pseudo error Appearance will be the output of the first component of the gate. 3 of the second channel set to "low".

Der vierte Eingang des Gatters 4 eines Kanals wird durch den zweiten Bestandteil des Gatters 3 desselben Kanals gebildet. Ist im Beispiel im ersten Kanal ein leichter oder schwerer Fehler aufgetreten, so ist der zweite Bestandteil des Gatters 3 des zweiten Kanals „high". Ob im zweiten Kanal irgendein Fehler aufgetreten ist, spielt für Zustand des vierten Eingangs des Gatters 4 des zweiten Kanals dann keine Rolle mehr. Nur wenn im ersten Kanal maximal ein Pseudofehler auftritt während im zweiten Kanal mindestens ein leichter Fehler vorliegt wird der Ausgang des zweiten Bestandteils des Gatters 3 des anderen Kanals auf „low" gesetzt.Of the fourth input of the gate 4 of a channel is the second Part of the gate 3 of the same channel formed. Is in the example in the first channel a slight or serious error occurred, so is the second part of the gate 3 of the second channel "high." Whether in the second channel any error has occurred playing for state of the fourth input of the gate 4 of the second channel then no longer matter. Only if in the first channel a maximum of one pseudo error occurs while in the second channel is at least a slight error is the output of second component of the gate 3 of the other channel set to "low".

Auf diese Weise findet also eine Kanalabschaltung lediglich dann statt, wenn ein schwerwiegender Fehler registriert wird oder ein im Vergleich zum anderen Kanal schwererer Fehler registriert wird. Die Logik ist hinsichtlich der beiden Kanäle vollständig symmetrisch aufgebaut. Beide Kanäle sind lediglich durch ein paar Verdrahtungen verbunden.On this way, a channel shutdown will take place only if a fatal error is registered or one compared to other channel heavier error is registered. The logic is in terms of the two channels Completely symmetrically constructed. Both channels are only connected by a few wires.

In der Umschaltlogik ist sichergestellt, dass nur der aktive Kanal eine Kanalumschaltung bzw. Kanalabschaltung bewirken kann. Der passive Kanal kann sich damit nicht selbst zum Master machen. Er kann sich nur für eine Übernahme der Steuerung ,bereit' erklären oder sie verhindern.In the switching logic ensures that only the active channel can cause a channel switching or channel shutdown. The passive one Kanal can not make itself master. He can only for a takeover explain the controller 'ready' or prevent them.

Dies ist wichtig weil sonst ein ,verwirrt' arbeitender Kanal fälschlicherweise den gesunden Kanal stören könnte, was letztlich einem Totalausfall des Steuergeräts bedeuten könnte.This is important because otherwise a 'working' channel mistakenly falsifies the healthy Channel disturb could, which could ultimately mean a total failure of the controller.

Nach dem Einschalten wird über das Anstehen des Reset-Signals die Signale des ,schweren Fehlers' auf ,low' gesetzt (Default Wert). Das Rücksetzen erfolgt durch Software – nachdem die Kanalüberwachung vollständig durchlaufen ist. Master wird damit der Kanal, der zuerst seine Fehlerflags zurücknimmt.To turning on is over the presence of the reset signal sets the signals of the 'serious error' to 'low' (default Value). The reset done by software - after the channel monitoring Completely has passed through. Master will be the channel that first gets its error flags withdraws.

Für den ,schweren Fehler' sind vorzugsweise zwei Fehlersignale vorgesehen. Dies hat den Zweck, dass die Kanalabschaltung auch bei Ausfall eines Fehlersignals möglich ist. Ausserdem wird dadurch die Testbarkeit des eigentlichen Umschalt-Gatters stark verbessert.For the, heavy Errors are preferred provided two error signals. This has the purpose of the channel shutdown even with failure of an error signal is possible. In addition, it will the testability of the actual switching gate greatly improved.

Kurze Beschreibung der FigurenBrief description of the figures

1 schematisch die Architektur einer Kanal-Umschaltlogik gemäß einer Ausführungsform der vorliegenden Erfindung 1 schematically the architecture of a channel switching logic according to an embodiment of the present invention

2 zeigt einen Design-Vorschlag für das vierte Gatter eine Kanals in einer besonderen Ausführungsform 2 shows a design proposal for the fourth gate of a channel in a particular embodiment

3 zeigt einen Designvorschlag für einen Überspannungsschutz 3 shows a design proposal for overvoltage protection

4 zeigt das Gesamtschaltbild der Kanal-Umschaltlogik in der Ausführungsform wie in 2 und 3 dargestellt. 4 shows the overall circuit diagram of the channel switching logic in the embodiment as in 2 and 3 shown.

Detaillierte Beschreibung der ErfindungDetailed description the invention

In 1 ist eine Architektur gemäß einer Ausführungsform der vorliegenden Erfindung gezeigt. Oberhalb der gestrichelten Linie sei der erste Kanal verwirklicht, unterhalb der gestrichelten Linie sei der zweite Kanal verwirklicht. Für jeden Kanal sind 3 Fehlerleitungen gezeigt. Eine erste Fehlerleitung F_PK₁ des Kanals 1 bezieht sich auf Pseudofehler des Kanals 1, eine zweite Fehlerleitung F_LK₁ bezieht sich auf leichte Fehler des ersten Kanals und eine dritte Fehlerleitung bezieht sich auf schwere Fehler F_SK₁ des ersten Kanals. Entsprechend gibt es für den zweiten Kanal Leitungen F_PK₂, F_LK₂, F_SK₂ für Pseudo-, leichte und schwere Fehler.In 1 an architecture according to an embodiment of the present invention is shown. Above the dashed line, the first channel is realized, below the dashed line, the second channel is realized. For each channel 3 fault lines are shown. A first error line F _P K ₁ of channel 1 relates to pseudo error of channel 1, a second error line F _L K ₁ refers to slight errors of the first channel and a third error line refers to heavy errors F _S K _{1 of} the first channel. Accordingly, there are lines F _P K ₂ , F _L K ₂ , F _S K ₂ for pseudo, light and heavy errors for the second channel.

Im unteren Teil der 1, nicht zur Architektur gehörend, ist gezeigt in welchen Bereichen die ersten G1, zweiten G2, dritten G3 und vierten G4 Gatters liegen. Das erste Gatter des ersten Kanals G₁K₁ wird durch ein UND Element gebildet. Als Eingänge werden hier Verbindungen zu allen Fehlerleitungen F_PK₁, F_LK₁, F_SK₁ des ersten Kanals abgezweigt. Arbeitet die Steuerung im ersten Kanal fehlerfrei, d. h. liegt keinerlei Fehler vor, so sind sämtliche dieser Abzweigungen im Zustand „high". Der Ausgang bei G₁K₁ ist dann ebenfalls im Zustand „high". Dieser Ausgang bildet einen der Eingänge eines ersten Bestandteils G₃₁K₂ des dritten Gatters des zweiten Kanals, allerdings invertiert. D. h. liegt keinerlei Fehler im ersten Kanal vor, so geht, aufgrund der Inversion des Zustandes, am Eingang des dritten Gatters des zweiten Kanals ein „low" Zustand ein. Der zweite Eingang des ersten Bestandteils G₃₁K₂ des dritten Gatters des zweiten Kanal wird direkt mit der Fehlerleitung für Pseudofehler F_PK₂ des zweiten Kanals verbunden. Der erste Bestandteil G₃₁K₂ des dritten Gatters des zweiten Kanals wird durch ein ODER-Element gebildet. Sein Ausgang ist daher nur dann „low", wenn ein Pseudofehler im zweiten Kanal vorliegt und gleichzeitig keinerlei Fehler im ersten Kanal vorliegt. In allen anderen Fällen ist der Ausgang des G₃₁K₂ im Zustand „high".In the lower part of the 1 not belonging to the architecture is shown in which areas the first G1, second G2, third G3 and fourth G4 gates lie. The first gate of the first channel G ₁ K ₁ is formed by an AND element. As inputs, connections to all error lines F _P K ₁ , F _L K ₁ , F _S K _{1 of} the first channel are branched off here. If the controller operates fault-free in the first channel, ie if there is no error, then all of these branches are in the "high" state, and the output at G ₁ K ₁ is then also in the "high" state. This output forms one of the inputs of an ers component G ₃₁ K _{2 of} the third gate of the second channel, but inverted. Ie. if there is no error in the first channel, then due to the inversion of the state, a "low" state enters the input of the third gate of the second channel The second input of the first component G ₃₁ K _{2 of} the third gate of the second channel becomes direct connected to the error line for pseudo error F _P K ₂ of the second channel. the first component G ₃₁ K ₂ of the third gate of the second channel is formed by an OR element. therefore, its output can only be "low", if a pseudo-error in the second Channel is present and at the same time there is no error in the first channel. In all other cases, the output of the G ₃₁ K _{2 is} in the "high" state.

Das zweite Gatter des ersten Kanals G₂K₁ wird auch durch ein ODER Element gebildet. Als Eingänge werden hier Verbindungen zu den Fehlerleitungen die leichten Fehlern F_LK₁ und schweren Fehlern F_SK₁ des ersten Kanals entsprechen, abgezweigt. Arbeitet die Steuerung im ersten Kanal fehlerfrei oder liegt im ersten Kanal nur ein Pseudofehler vor, so sind beide Abzweigungen im Zustand „high". Der Ausgang bei G₂K₁ ist dann ebenfalls im Zustand „high". Dieser Zustand bildet einen der Eingänge des zweiten Bestandteils G₃₂K₂ des dritten Gatters des zweiten Kanals, allerdings wiederum invertiert. D. h. liegt maximal ein Pseudofehler im ersten Kanal vor, so geht, aufgrund der Inversion des Zustandes am Eingang des zweiten Bestandteils G₃₂K₂ des dritten Gatters des zweiten Kanals ein „low" Zustand ein. Der zweite Eingang des zweiten Bestandteils G₃₂K₂ des dritten Gatters des zweiten Kanals wird direkt mit der Fehlerleitung für leichte Fehler F_LK₂ im zweiten Kanal verbunden. Der zweite Bestandteil G₃₂K₂ des dritten Gatters des zweiten Kanal wird durch ein ODER-Element gebildet. Sein Ausgang ist daher nur dann „low" wenn im zweiten Kanal ein leichter Fehler vorliegt und gleichzeitig höchstens ein Pseudofehler im ersten Kanal vorliegt. In allen anderen Fällen ist der Ausgang im Zustand „high".The second gate of the first channel G ₂ K ₁ is also formed by an OR element. Here, connections to the error lines corresponding to the slight errors F _L K ₁ and heavy errors F _S K _{1 of} the first channel are branched off as inputs. If the controller operates without errors in the first channel or if there is only one pseudo error in the first channel, then both branches are in the "high" state, and the output at G ₂ K ₁ is then also in the "high" state. This state forms one of the inputs of the second component G ₃₂ K _{2 of} the third gate of the second channel, but in turn inverted. Ie. is a maximum of a pseudo error in the first channel is present, is due to the inversion of the state at the input of the second component G ₃₂ K ₂ of the third gate of the second channel a "low" state. The second input of the second component G ₃₂ K ₂ of the The third gate of the second channel is connected directly to the error line for light faults F _L K ₂ in the second channel The second part G ₃₂ K _{2 of} the third gate of the second channel is formed by an OR element and its output is therefore only " low "if there is a slight error in the second channel and at the same time there is at most one pseudo error in the first channel. In all other cases, the output is in the "high" state.

Das dritte Gatter des ersten Kanals umfasst wie das dritte Gatter des zweiten Kanals zwei Bestandteile. Da die Architektur vollständig symmetrisch bezüglich dem ersten und dem zweiten Kanal aufgebaut ist, erübrigt sich eine Beschreibung der Ein- und Ausgänge der Bestandteile des dritten Gatters vom ersten Kanal. Es sei nur erwähnt, dass der erste Bestandteil des dritten Gatters des ersten Kanals nur dann einen „low" Zustand im Ausgang liefert, wenn ein Pseudofehler in im ersten Kanal vorliegt und gleichzeitig keinerlei Fehler im zweiten Kanal vorliegt. In allen anderen Fällen ist der Ausgang im Zustand „high". Ausserdem sei erwähnt, dass der zweite Bestandteil des dritten Gatters 3 des ersten Kanals nur dann einen „low" Zustand im Ausgang liefert, wenn im ersten Kanal ein leichter Fehler vorliegt und gleichzeitig höchstens ein Pseudofehler im zweiten Kanal vorliegt. In allen anderen Fällen ist der Ausgang im Zustand „high".The third gate of the first channel includes like the third gate of the second channel two components. Because the architecture is completely symmetrical in terms of The first and the second channel is built, is unnecessary a description of the inputs and outputs of the components of the third Gates from the first channel. It's just mentioned that the first ingredient of the third gate of the first channel only then a "low" state in the output returns if there is a pseudo error in the first channel and simultaneously there is no error in the second channel. In all other cases the output in the state "high." It should also be mentioned that the second component of the third gate 3 of the first channel only then a "low" state in the output returns if there is a slight error in the first channel and simultaneously at the most there is a pseudo error in the second channel. In all other cases the output in the state "high".

Das vierte Gatter des zweiten Kanals G₄K₂ wird durch ein UND-Element gebildet das 4 Eingänge hat. Der erste Eingang des vierten Gatters des zweiten Kanals G₄K₂ wird im Wesentlichen durch den invertierten Ausgang des vierten Gatters des ersten Kanals gebildet, wie die 1 zeigt. D. h. ist der erste Kanal aktiv, also auf „high", so ist der erste Eingang des vierten Gatters des zweiten Kanals auf „low" und damit ist Ausgang des vierten Gatters des zweiten Kanals zwangsläufig auf „low" und der zweite Kanal inaktiv. Ist der erste Kanal inaktiv, also auf „low" so ist der erste Eingang des vierten Gatters des zweiten Kanals auf „high" und es kommt darauf an in welchem Zustand die anderen drei Eingänge des vierten Gatters des zweiten Kanals sind.The fourth gate of the second channel G ₄ K ₂ is formed by an AND element having 4 inputs. The first input of the fourth gate of the second channel G ₄ K ₂ is essentially formed by the inverted output of the fourth gate of the first channel, like the 1 shows. Ie. if the first channel is active, ie "high", then the first input of the fourth gate of the second channel is "low" and thus the output of the fourth gate of the second channel is inevitably "low" and the second channel inactive first channel inactive, ie to "low" so the first input of the fourth gate of the second channel is "high" and it depends on what state the other three inputs of the fourth gate of the second channel.

Der zweite Eingang des vierten Gatters des zweiten Kanals G₄K₂ wird direkt durch Fehler der schweren Kategorie F_SK₂ des zweiten Kanals gebildet. Tritt im zweiten Kanal ein schwerer Fehler auf, so ist dieser Eingang „low" und der Ausgang des vierten Gatters des zweiten Kanals ist „low", unabhängig vom Zustand des ersten Kanals. D. h. auch wenn der erste Kanal inaktiv ist, kann der zweite Kanal die Steuerung nicht übernehmen, da mit schwerem Fehler behaftet.The second input of the fourth gate of the second channel G ₄ K ₂ is formed directly by faults of the heavy category F _S K _{2 of} the second channel. If a serious error occurs in the second channel, then this input is "low" and the output of the fourth gate of the second channel is "low", regardless of the state of the first channel. Ie. even if the first channel is inactive, the second channel can not take control because of a serious error.

Der dritte Eingang des vierten Gatters des zweiten Kanals wird durch den Ausgang des ersten Bestandteils des dritten Gatters desselben Kanals G₃₁K₂ gebildet. Nur wenn im ersten Kanal keinerlei Fehler auftritt und im zweiten Kanal zumindest ein Pseudofehler auftritt wird der Ausgang des ersten Bestandteils des dritten Gatters G₃₁K₂ des zweiten Kanals auf „low" gesetzt.The third input of the fourth gate of the second channel is formed by the output of the first component of the third gate of the same channel G ₃₁ K ₂ . Only if no error occurs in the first channel and at least one pseudo error occurs in the second channel, the output of the first component of the third gate G ₃₁ K _{2 of} the second channel is set to "low".

Der vierte Eingang des vierten Gatters des zweiten Kanals wird durch den zweiten Bestandteil des dritten Gatters des zweiten Kanals G₃₂K₂ gebildet. Nur wenn im ersten Kanal maximal ein Pseudofehler auftritt während im zweiten Kanal mindestens ein leichter Fehler vorliegt wird der Ausgang des zweiten Bestandteils des dritten Gatters G₃₁K₂ des zweiten Kanals auf „low" gesetzt.The fourth input of the fourth gate of the second channel is formed by the second component of the third gate of the second channel G ₃₂ K ₂ . Only if a maximum of one pseudo error occurs in the first channel while at least a slight error in the second channel, the output of the second component of the third gate G ₃₁ K _{2 of} the second channel is set to "low".

Die Erläuterung des vierten Gatters des ersten Kanals erübrigt sich wiederum, da, wie bereits erwähnt, die Architektur bezüglich dem ersten und dem zweiten Kanal vollständig symmetrisch aufgebaut ist.The explanation the fourth gate of the first channel is unnecessary in turn, there, as already mentioned, the architecture re the first and the second channel constructed completely symmetrical is.

Auf diese Weise wird also mittels weniger Schaltelemente erreicht, dass ein passiver Kanal lediglich dann diese Steuerung übernehmen kann, wenn im aktiven Kanal ein entsprechend schwererer Fehler vorhanden ist.On This way is thus achieved by means of fewer switching elements, that a passive channel only then take over this control can if there is a correspondingly heavier error in the active channel is.

Bei dieser Kanal-Umschaltlogik kommt es ganz wesentlich auf das vierte Gatter beider Kanäle an. Im Folgenden soll nun etwas genauer auf ein vorteilhaftes Design dieses Gatters eingegangen werden. Die Ansteuer-Signale der Fehler der schweren Kategorie gehen vom Signalpfad her direkt in diese vierte Gatterlogik und haben deshalb bezüglich der Umschaltlogik die höchste „Authorität". Deshalb ist es vorteilhaft, diese Gatterlogik so auszuführen, dass sie auch bei einem Erstfehler in der Logik selbst noch die benötigte Funktion erfüllt. Erst bei einem unwahrscheinlichen Mehrfachfehler sollte der Logik erlaubt werden, auszufallen. Vorteilhaft wäre insbesondere, sie testbar zu gestallten, damit beispielsweise nicht zu einem schlafenden Fehler nach einer bestimmten Zeit ein zweiter Fehler dazu kommt, mit dem der unerwünschte Ausfall erzeugt werden könnte. Um dies zu erreichen geht man auf zwei Signale für die Fehler der schweren Kategorie über. Damit wird bei einem Erstfehler in der Gatterlogik zumindest die Fähigkeit erhalten, den Kanal abzuschalten. Ausserdem wird die Gatterlogik testbar und ein Erstfehler kann erkannt werden. Mit dieser verbesserten Testbarkeit der Logik geht eine verbesserte Systemsicherheit einher. Möglicherweise kann dann ein Selbsttest nach dem Einschalten verkürzt werden, weil durch die verringerte Wahrscheinlichkeit des Funktionsausfalls der Test über mehrere Einschaltvorgänge verteilt werden kann.This channel switching logic occurs very much on the fourth gate of both channels. The following will now be a little more detail on a favorable design of this gate will be discussed. The drive signals of the heavy category faults go directly into this fourth gate logic from the signal path and therefore have the highest "authority" in the switching logic, so it is advantageous to execute this gate logic in such a way that it does so even in a first fault in the logic itself The logic should be allowed to fail only in the case of an unlikely multiple error, and it would be advantageous, in particular, to make it testable so that, for example, a second error is not caused by a sleeping error after a certain time, with the undesired failure In order to achieve this one passes on two signals for the faults of the heavy category, thus at least the ability to switch off the channel in the event of a first fault in the gate logic, in addition the gate logic can be tested and a first fault can be detected. With this improved testability of the Logi k goes hand in hand with improved system security. It may then be possible to shorten a self-test after switching on, because the reduced probability of a functional failure means that the test can be distributed over several switch-on processes.

2 zeigt einen entsprechenden Design-Vorschlag für das vierte Gatter des ersten Kanal. 2 shows a corresponding design proposal for the fourth gate of the first channel.

Als Eingänge liegen dabei vor:

F_S1K₁ ein schwerer Fehler im ersten Kanal über eine erste Signalleitung.
F_S2K₁ der schwere Fehler im ersten Kanal über eine zweite Signalleitung
G₃₁K₁ der Ausgang des ersten Bestandteils des dritten Gatters des ersten Kanals
G₃₂K₁ der Ausgang des zweiten Bestandteils des dritten Gatters des ersten Kanals
G₄K₂ der Ausgang des zweiten Kanals

The inputs are:

F _S1 K ₁ a serious error in the first channel via a first signal line.
F _S2 K ₁ the serious fault in the first channel via a second signal line
G ₃₁ K _1, the output of the first component of the third gate of the first channel
G ₃₂ K _1, the output of the second component of the third gate of the first channel
G ₄ K _2, the output of the second channel

Es werden zwei NAND-Elemente 11, 13 mit je vier Eingängen verwendet. Beide NAND-Elemente haben jeweils G₃₁K₁, G₃₂K₁ und G₄K₂-Eingänge. UND-Element 13 hat einen F_S1K₁ -Eingang, UND-Element 11 hat einen F_S2K₁-Eingang. Ein NAND-Element kann dadurch realisiert werden, dass der Ausgang eines UND-Elementes invertiert wird. Am Ausgang der UND-Elemente 11, 13 sind jeweils ein Transistor 15, 17 vorgesehen, so dass die Ausgänge der UND-Elemente die Ansteuerung der Transistoren bilden. Nur wenn sämtliche Eingänge eines NAND-Elementes im Zustand „high" vorliegen, ist am Ausgang des NAND-Elementes der Zustand „low" realisiert. Ist der Ausgang des NAND-Elementes 11 im Zustand „high", d. h. die Basis des Transistors 15 auf Spannung gelegt, so fliest Strom vom positiven Pol einer Spannungsquelle 19 in den Emitter und hin zum Kollektor, d. h. durch den Transistor 15 zur Masse 21. Aufgrund dieses „Stomflusses" nimmt die Spannung am Ausgang 25 ab. Ein „Kurzschluss" wird durch den Widerstand 29 verhindert. Ist der Ausgang des NAND-Elementes 13 im Zustand „high" so fliest Strom vom positiven Pol der Spannungsquelle 19 durch den Transistor 17 zur Masse 23. Aufgrund des „Stromflusses" nimmt die Spannung am Ausgang 25 wiederum ab. Dies bedeutet allerdings, dass sich ein „low"-Zustand jeglichen Eingangs des Gatters 4 insgesamt auf „low" am gemeinsamen Ausgang 25 durchsetzt. Auch falls die Spannungsquelle 19 ausfällt, ist hierdurch ein „low"-Zustand realisiert. Lediglich wenn die Ausgänge beider NAND-Elemente 11, 13 im Zustand „high" sind fliesst durch keinen der Transistoren 11, 13 Strom. Ist ausserdem die Spannungsquelle 19 nicht ausgefallen, dann baut sich Spannung am Ausgang 25 auf und es ist ein „high" Zustand verwirklicht.There are two NAND elements 11 . 13 used with four inputs each. Both NAND elements have G ₃₁ K ₁ , G ₃₂ K ₁ and G ₄ K ₂ inputs, respectively. AND element 13 has an F _S1 K ₁ input, AND element 11 has an F _S2 K ₁ input. A NAND element can be realized by inverting the output of an AND element. At the output of the AND elements 11 . 13 are each a transistor 15 . 17 provided so that the outputs of the AND elements form the drive of the transistors. Only when all inputs of a NAND element are in the "high" state, is the "low" state realized at the output of the NAND element. Is the output of the NAND element 11 in the state "high", ie the base of the transistor 15 energized, current flows from the positive pole of a voltage source 19 in the emitter and towards the collector, ie through the transistor 15 to the mass 21 , Because of this "Stomflusses" takes the voltage at the output 25 from. A "short circuit" is caused by the resistance 29 prevented. Is the output of the NAND element 13 in the "high" state, current flows from the positive pole of the voltage source 19 through the transistor 17 to the mass 23 , Due to the "current flow", the voltage at the output decreases 25 turn off. However, this means that a "low" state of any input of the gate 4 in total to "low" at the common output 25 interspersed. Even if the voltage source 19 If this is the case, then a "low" state is realized, only if the outputs of both NAND elements 11 . 13 in the state "high" are flowing through none of the transistors 11 . 13 Electricity. Is also the voltage source 19 not failed, then builds tension at the output 25 on and it is a "high" state realized.

Indem nun wahlweise ein Fehlersignal über F_S1K₁ oder F_S2K₁ eingespeist wird, kann unabhängig getestet werden ob die mit dem vierten Gatter verbundene Logik noch einwandfrei funktioniert. Schlafende Fehler in dieser Logik können somit einfach aufgespürt werden.By optionally an error signal via F _S1 K ₁ or F _S2 K _{1 is} fed, it can be independently tested whether the logic associated with the fourth gate is still working properly. Sleeping mistakes in this logic can thus easily be detected.

Zusätzlich kann man, wie in 2 dargestellt, den G₄K₁-Eingang mit einem Überspannungsschutz 4 versehen. Dieser ist vorzugsweise immer beim Signal-Empfänger angeordnet. Der Widerstand 5 ist als „Pull-Down" Widerstand gedacht, der dafür sorgt, dass eine Draht-Unterbrechung der jeweiligen Logik wie eine Fehler-Indikation des anderen Kanals wirkt. Damit ist beispielsweise auch der Fall abgedeckt, wenn die Platinen vom anderen Kanal eventuell aufgrund eines Produktionsfehlers nicht bestückt sind. Damit kann diese Kanal-Umschaltlogik in unveränderter Form auch für abgespeckte einkanalige Lösungen implementiert bleiben, was für Entwicklungsgeräte häufig von Vorteil ist. Bei Bedarf hat man dann sehr einfach die Möglichkeit, die einkanalig Lösung auf eine zweikanalige Version zu erweitern.In addition, you can, as in 2 shown, the G ₄ K ₁ input with an overvoltage protection 4 Mistake. This is preferably always arranged at the signal receiver. The resistance 5 is designed as a "pull-down" resistor, which ensures that a wire interruption of the respective logic acts as an error indication of the other channel, for example, the case is covered, if the boards from the other channel may be due to a production error Thus, this channel switching logic can remain unaltered even for slimmed-down single-channel solutions, which is often beneficial for development devices, and it is then very easy to extend the single-channel solution to a two-channel version.

In 3 ist ein Überspannungsschutz 4 beispielhaft und detaillierter dargestellt. Dieser umfasst einen Widerstand 33, zwei Gleichrichterdioden 35, 39 sowie den Pluspol 41 einer Spannungsquelle und die Erdung 43.In 3 is a surge protector 4 illustrated by way of example and in more detail. This includes a resistor 33 , two rectifier diodes 35 . 39 as well as the positive pole 41 a voltage source and grounding 43 ,

Wie das Gesamtschaltbild einer solchen Ausführungsform aussehen kann ist in 4 gezeigt. Auf die schon ausführlich besprochenen Elemente soll jetzt nicht mehr näher eingegangen werden. Das Schaltbild zeigt deutlich wie erstes, zweites drittes und viertes Gatter miteinander verschaltet sind. Zusätzlich im Schaltbild gezeigt sind die zu Steuernden Elemente 8.What the overall circuit diagram of such an embodiment can look like is in 4 shown. The elements already discussed in detail will not be discussed in more detail. The diagram clearly shows how the first, second third and fourth gates are interconnected. Additionally shown in the diagram are the elements to be controlled 8th ,

Den oberen und den unteren Bereich des Schaltbildes bilden zwei Leitungen, die ausgehend von den Ausgängen des vierten Gatters des jeweiligen Kanals zurück zur Steuerung insbesondere zum Steuer-Rechner verlaufen. Diese sind mit jeweils einer langen Linie mit Pfeilende gezeigt. Hierdurch wird eine ständige Überprüfung des Zustandes beider Kanäle ermöglicht sowie die zum aufspüren der schlafenden Fehler durchzuführenden Tests erleichtert.The upper and the lower part of the Circuit diagram form two lines that extend starting from the outputs of the fourth gate of the respective channel back to the control in particular to the control computer. These are each shown with a long line with arrow end. As a result, a constant check of the condition of both channels is made possible and facilitated to track the sleeping errors to be performed tests.

In der Figur ist in Bezug auf die Aufschaltung eines Kanals eine weitere Sicherheit eingebaut: Wie die 4 zeigt, kann ein Kanal lediglich durch das Schliessen zweier Schalter aktiviert werden. Sollte einer der Schalter defekt sein und infolgedessen fälschlicherweise schliessen, so ist der Stromkreis dennoch nicht geschlossen, da der zweite Schalter nicht geschlossen ist.In the figure, with regard to the connection of a channel another security is built in. Like the 4 shows, a channel can only be activated by closing two switches. Should one of the switches be defective and consequently close incorrectly, then the circuit is still not closed because the second switch is not closed.

Es sei nochmals auf die vollständige Symmetrie der Logik bezüglich dem ersten und dem zweiten Kanal hingewiesen, was die Produktion der Komponente sehr erleichtert.It be again on the whole Symmetry of Logic Re the first and the second channel pointed out what the production the component is much easier.

Damit wurde eine Kanal-Umschaltlogik vorgestellt, deren Hardware vollständig auf beide Kanäle aufgeteilt ist, d. h. es gibt keine Elektronik-Bauteile, die zwischen den Kanälen implementiert sind. Zwischen den Kanälen gibt es nur leitende Verbindungen, wie zum Beispiel Drähte.In order to was presented a channel switching logic, the hardware completely on both channels is split, d. H. There are no electronics components between the channels are implemented. There are only conductive connections between the channels like wires.

Es wurde auch gezeigt, dass die Logiksteuerung in hochintegrierten Bausteinen untergebracht werden kann. Dies und die Tatsache dass ein vollständig symmetrisches System vorliegt, erlaubt eine sehr kostengünstige Fertigung der Umschaltlogik.It was also shown that the logic controller in highly integrated Building blocks can be accommodated. This and the fact that a complete one Symmetrical system exists, allows a very cost-effective production the switching logic.

Hinzu kommt, dass ein Hardwareausfall der Logik selbst entweder zu keinem funktionalen Effekt führt oder zu einer Umschaltung auf einen anderen Kanal und damit zu keiner negativen Beeinflussung der Steuerung.in addition comes that a hardware failure of the logic itself either to none functional effect leads or to a switch to another channel and thus to none negative influence on the controller.

Mit der erfindungsgemäßen Logik ist sichergestellt, dass nur auf einen Kanal umgeschaltet werden kann, der weniger schlimme Fehler aufweist. Wenn also bei beiden Kanälen gleichzeitig die Fehlersignale Pseudofehler oder leichte Fehler gesetzt sind gibt es keine zweikanalige Abschaltung des Steuergeräts. Außerdem ist sichergestellt, dass nur der jeweils aktive Kanal eine Kanalumschaltung durchführen kann. Der jeweils passive Kanal kann sich nur für eine Übernahme der Regelung „bereit" schalten. Hinzukommt, dass sichergestellt ist, dass sich nicht beide Kanäle lediglich aufgrund von leichten oder von Pseudofehlern nicht mehr zur Übernahme der Regelung „bereit" geschaltet sind.With the logic of the invention it is ensured that only one channel is switched over can, which has fewer bad mistakes. So if both channels simultaneously the error signals pseudo error or slight error are set, there is no two-channel shutdown of the controller. Besides that is ensures that only the active channel can perform a channel switchover. The respective passive channel can only be "ready" for acceptance of the regulation. that ensures that not both channels only due to light or pseudo errors no longer for takeover the scheme "ready" are switched.

In einer bevorzugten Ausführungsform der vorliegenden Erfindung sind die mit schweren Fehlern verbundenen Gatter derart geschaltet, dass beim Eintritt eines Erstfehlers im Gatter die Möglichkeit der Abschaltung des Kanals weiterhin besteht. Ausserdem ist ein einfaches Testen des Gatters möglich, so dass so genannte schlafende Fehler leicht aufgespürt werden können.In a preferred embodiment of the present invention are those associated with serious errors Switched such that when a first error occurs in the Gate the possibility the shutdown of the channel still exists. There is also one easy testing of the gate possible, so that so-called sleeping mistakes are easily tracked down can.

Im Folgenden werden nun nochmals einige Aspekte wiederholt:
Bei der vorliegenden Erfindung handelt es sich um eine Kanal-Umschaltlogik für 2-kanalige Steuergeräte, die für beide Kanäle jeweils ein Ausgangsgatter umfasst und die Schaltung dergestalt ist, dass

– die Ausgangsgatter jeweils vier Eingänge umfassen und der Ausgangswert (25) jeweils nur dann im Zustand „high" ist wenn alle vier Eingänge des jeweiligen Ausgangsgatter im Zustand „high" sind,
– und der erste Eingangswert des einen Ausgangsgatter jeweils dem invertierten Ausgangswert des anderen Ausgangsgatters entspricht
– und der jeweils zweite Eingangswert der Ausgangsgatter nur dann im Zustand „low" ist, wenn im dem Ausgangsgatter entsprechenden Kanal ein schwerer, d. h. die Steuerung verunmöglichender Fehler auftritt und
– der jeweils dritte Eingangswert der Ausgangsgatter nur dann im Zustand „low" ist, wenn in dem, dem Ausgangsgatter entsprechenden Kanal, ein Pseudofehler, d. h. ein zur Vermeidung schlafender eingespeister Fehler auftritt, während der andere Kanal fehlerfrei ist und
– der jeweils vierte Eingangswert der Ausgangsgatter nur dann im Zustand „low" ist, wenn in dem, dem Ausgangsgatter entsprechenden Kanal ein schwererer Fehler als ein Pseudofehler auftritt, während im anderen Kanal maximal ein Pseudofehler auftritt.

In the following some aspects will be repeated:
The present invention is a channel switching logic for 2-channel controllers, each comprising an output gate for both channels, and the circuit is such that

- the output gates each comprise four inputs and the output value ( 25 ) is only in the state "high" if all four inputs of the respective output gate are in the state "high",
- And the first input value of the one output gate respectively corresponds to the inverted output value of the other output gate
- And the second input value of the output gate is only in the state "low" when in the output gate corresponding channel a heavy, ie the control verunmöglichender error occurs and
- The third input value of the output gate is only in the state "low" when in the, corresponding to the output gate channel, a pseudo error, ie an error to avoid dormant fed error occurs while the other channel is error-free and
- The fourth input value of the output gate is only in the state "low" when in the, corresponding to the output gate channel, a heavier error than a pseudo error occurs, while in the other channel a maximum of one pseudo error occurs.

Vorzugsweise ist die Kanalumschaltlogik derart aufgebaut, dass die Ausgangsgatter eines Kanals jeweils durch zwei NAND-Elemente (11, 13) und zwei Transistoren (15, 17) gebildet werden, wobei der Ausgang eines NAND-Elementes (11 bzw. 13) jeweils die Basis eines Transistors (17 bzw. 15) bildet und wobei die Emitter der Transistoren (15, 17) miteinander leitend verbunden sind und leitende Verbindung zum selben Pol (19) einer Spannungsquelle sowie zum Ausgang (25) des Ausgangsgatters haben, wobei jeweils erste, jeweils dritte und jeweils vierte Eingänge der NAND-Elemente (11, 13) miteinander leitend Verbunden sind und damit den ersten, dritten und vierten Eingang des Ausgangsgatters bilden und wobei der zweite Eingang eines NAND-Elementes (11) nicht mit dem zweiten Eingang des anderen NAND-Elementes (13) verbunden ist, sondern getrennt über Ansteuersignale schwerer Fehler des Kanals gespeist wird.Preferably, the channel switching logic is constructed such that the output gates of a channel are each represented by two NAND elements ( 11 . 13 ) and two transistors ( 15 . 17 ), the output of a NAND element ( 11 respectively. 13 ) each have the base of a transistor ( 17 respectively. 15 ) and wherein the emitters of the transistors ( 15 . 17 ) are conductively connected to each other and conducting connection to the same pole ( 19 ) of a voltage source as well as to the output ( 25 ) of the output gate, wherein in each case first, third and fourth inputs of the NAND elements ( 11 . 13 ) are conductively connected to each other and thus form the first, third and fourth input of the output gate and wherein the second input of a NAND element ( 11 ) with the second input of the other NAND element ( 13 ), but fed separately via drive signals of heavy faults of the channel.

Die Transistoren (15, 17) können Halbleiterschalter oder MosFets sein und der Pol (19) der Spannungsquelle kann ein Pluspol sein.The transistors ( 15 . 17 ) may be semiconductor switches or MOSFETs and the pole ( 19 ) of the Voltage source can be a positive pole.

In der Kanalumschaltlogik gemäß der vorliegenden Erfindung ist vorzugsweise der dritte Eingangswert des Ausgangsgatters des einen Kanals durch den Ausgangswert eines ersten. ODER-Elementes mit zwei Eingängen gebildet, wobei der erste Eingang im Zustand des invertierten Ausgangssignal eines ersten UND-Elementes ist, wobei die Eingänge des ersten UND-Elementes durch Ansteuersignale schwerer und leichter Fehler des anderen Kanals gebildet werden und wobei der zweite Eingang des ersten ODER-Elementes durch das Ansteuersignal leichter Fehler des einen Kanals gebildet wird.In the channel switching logic according to the present Invention is preferably the third input value of the output gate of a channel by the initial value of a first. OR element with two entrances formed, wherein the first input in the state of the inverted output signal of a first AND element, wherein the inputs of the first AND element by driving signals heavy and light errors of the other channel are formed and wherein the second input of the first OR element formed by the drive signal easy error of a channel becomes.

In der Kanalumschaltlogik gemäß der vorliegenden Erfindung ist vorzugsweise der jeweils vierte Eingangswert des Ausgangsgatters des einen Kanals durch den Ausgangswert eines zweiten ODER-Elementes mit zwei Eingängen gebildet, wobei der erste Eingang im Zustand des invertierten Ausgangssignal eines zweiten UND-Elementes ist, wobei die Eingänge des zweiten UND-Elementes durch Ansteuersignale schwerer und leichter Fehler sowie Pseudofehler des anderen Kanals gebildet werden und wobei der zweite Eingang des zweiten ODER-Elementes durch das Ansteuersignal von Pseudofehlern des einen Kanals gebildet wird.In the channel switching logic according to the present Invention is preferably the fourth input value of the output gate of one channel by the output value of a second OR element with two entrances formed, wherein the first input in the state of the inverted output signal a second AND element, wherein the inputs of the second AND element by Control signals of heavy and light errors as well as pseudo errors the other channel are formed and wherein the second input of the second OR element by the drive signal of pseudo errors of a channel is formed.

In der Kanalumschaltlogik gemäß der vorliegenden Erfindung ist vorzugsweise an jedem Ausgang eines logischen Elementes (UND, ODER und NAND), der selbst einen Eingang eines anderen logischen Elementes bildet, ein Überspannungsschutz (4) vorgesehen.In the channel switching logic according to the present invention, overvoltage protection is preferably applied to each output of a logic element (AND, OR and NAND), which itself constitutes an input of another logic element. 4 ) intended.

In der Kanalumschaltlogik gemäß der vorliegenden Erfindung ist vorzugsweise der Überspannungsschutz durch einen Widerstand (33), zwei Gleichrichterdioden (35, 39) einen Pluspol (41) einer Spannungsquelle und einer Erdung (43) gebildet.In the channel switching logic according to the present invention, preferably the overvoltage protection by a resistor ( 33 ), two rectifier diodes ( 35 . 39 ) a positive pole ( 41 ) of a voltage source and a ground ( 43 ) educated.

In der Kanalumschaltlogik gemäß der vorliegenden Erfindung ist vorzugsweise zwischen dem Überspannungsschutz und anderem logischen Element ein Widerstand 5 vorgesehen, derart, dass dieser dafür sorgt, dass eine Draht-Unterbrechung in der jeweiligen Logik eine Fehlerindikation des anderen Kanals bewirkt, wobei der Widerstand dergestalt ist, dass für ihn der Fehlermodus ,Kurzschluss' praktisch nicht, d. h. mit extrem kleiner Wahrscheinlichkeit vorkommt.In the channel switching logic according to the present invention, it is preferable to have a resistance between the overvoltage protection and other logic element 5 provided such that it ensures that a wire interruption in the respective logic causes an error indication of the other channel, wherein the resistance is such that for him the fault mode 'short circuit' practically not, ie occurs with extremely small probability.

In der Kanalumschaltlogik gemäß der vorliegenden Erfindung wird vorzugsweise die Kanalauf- oder Abschaltung über jeweils zwei Schalter bewerkstelligt und dadurch die Aufschaltung eines Kanals durch einen fehlerhaften Schalter unterbunden.In the channel switching logic according to the present Invention is preferably the Kanalauf- or shutdown on each two switches accomplished and thereby the connection of a Channel prevented by a faulty switch.

Claims

Channel switching logic for 2-channel controllers, each comprising an output gate for both channels, and the circuit is such that - the output gates each comprise four inputs and the output value ( 25 ) is only in the "high" state if all four inputs of the respective output gate are in the "high" state, and - the first input value of one output gate corresponds in each case to the inverted output value of the other output gate - and the second input value of the output gates only then in the state "low" when in the output gate corresponding channel a heavy, ie the control verunmöglichender error occurs and - the third input value of the output gate is only in the state "low", if in the output gate corresponding channel, a Pseudo-error, ie a fault fed in to avoid error occurs, while the other channel is error-free and - the fourth input value of the output gate is only in the state "low", if a heavier error than a pseudo-error occurs in the, corresponding to the output gate channel while in the other channel a maximum of one pseudo error occurs.

Channel switching logic according to claim 1, characterized in that the output gates of a channel are each represented by two NAND elements ( 11 . 13 ) and two transistors ( 15 . 17 ), the output of a NAND element ( 11 respectively. 13 ) each have the base of a transistor ( 17 respectively. 15 ) and wherein the emitters of the transistors ( 15 . 17 ) are conductively connected to each other and conducting connection to the same pole ( 19 ) of a voltage source as well as to the output ( 25 ) of the output gate, wherein in each case first, third and fourth inputs of the NAND elements ( 11 . 13 ) are conductively connected to each other and thus form the first, third and fourth input of the output gate and wherein the second input of a NAND element ( 11 ) with the second input of the other NAND element ( 13 ), but fed separately via drive signals of heavy faults of the channel.

Kanalumschaltlogik according to claim 2, characterized in that the transistors 15 . 17 Semiconductor switches or MosFets are and the pole ( 19 ) the voltage source is a positive pole.

Kanalumschaltlogik according to one of the preceding claims, characterized in that the respective third input value of the output gate of the one channel is formed by the output value of a first OR element with two inputs, wherein the first input in the state of the inver output of a first AND element, wherein the inputs of the first AND element are formed by drive signals heavy and light error of the other channel and wherein the second input of the first OR element is formed by the drive signal easy error of a channel.

Channel switching logic according to one of the preceding claims in that the respective fourth input value of the output gate of the a channel through the output of a second OR element with two entrances is formed, wherein the first input in the state of the inverted Output signal of a second AND element is, the inputs of the second AND element by drive signals heavier and easier Error as well as pseudo errors of the other channel are formed and wherein the second input of the second OR element by the drive signal is formed by pseudo errors of one channel.

Kanalumschaltlogik according to any one of the preceding claims, characterized in that at each output of a logical element (AND, OR and NAND) itself forms an input of another logical element, an overvoltage protection ( 4 ) is provided.

Kanalumschaltlogik according to claim 6, characterized in that the high-voltage protection by a resistor ( 33 ), two rectifier diodes ( 35 . 39 ) a positive pole ( 41 ) of a voltage source and a ground ( 43 ) is formed, wherein the resistance is such that for him the fault mode, short circuit 'practically not, ie occurs with extremely small probability.

Kanalumschaltlogik according to one of claims 6 and 7, characterized in that between the overvoltage protection and other logic element, a resistor 5 is provided such that it ensures that a wire interruption in the respective logic causes an error indication of the other channel.

Kanalumschaltlogik according to any one of the preceding claims, characterized characterized in that the channel on or off via each two switches is accomplished and thereby the connection of a Channel is prevented by a faulty switch.