DE102018127568A1

DE102018127568A1 - Circuit module and method for fault-tolerant wiring

Info

Publication number: DE102018127568A1
Application number: DE102018127568.4A
Authority: DE
Inventors: Philipp Lemberger; Gerald Thonigs
Original assignee: Cuonics GmbH
Current assignee: Cuonics GmbH
Priority date: 2018-11-05
Filing date: 2018-11-05
Publication date: 2020-05-07

Abstract

Die vorliegende Erfindung betrifft ein Schaltungsmodul (1) und ein Verfahren zur fehlertoleranten Beschaltung von elektronischen Geräten, insbesondere von avionischen Geräten oder dergleichen, mit einem Schaltungsmodul, wobei das elektronische Gerät mittels einer Steuervorrichtung des Schaltungsmoduls gesteuert wird, wobei mittels zumindest einer Schalteinheit (7) einer Eingabeeinrichtung (6) einer Bedienvorrichtung (2) des Schaltungsmoduls einer von zumindest zwei möglichen Schaltzuständen eingegeben wird, wobei mittels einer Übertragungsvorrichtung (5) des Schaltungsmoduls Statusdaten, welche einen Status der zumindest einen Schalteinheit, insbesondere nach der Eingabe des Schaltzustands, beschreiben, von der Bedienvorrichtung zu der Steuervorrichtung übertragen werden, wobei ein Status der Steuervorrichtung den Statusdaten entsprechend geändert wird, wobei die zumindest eine Schalteinheit redundant mit zumindest drei Schaltkanälen (10, 11, 12) ausgebildet ist, wobei eine der Bedienvorrichtung nachgeordnete Erfassungsvorrichtung (3) des Schaltungsmoduls eine Plausibilitätsprüfung der Eingabe durchführt, wobei die Erfassungsvorrichtung bei der Eingabe des Schaltzustandes die Statusdaten und Integritätsdaten, welche eine Güte der Statusdaten beschreiben, generiert, wobei eine der Erfassungsvorrichtung nachgeordnete und der Übertragungsvorrichtung vorgeordnete Verarbeitungsvorrichtung (4) des Schaltungsmoduls die Statusdaten und die Integritätsdaten verarbeitet.The invention relates to a circuit module (1) and a method for fault-tolerant wiring of electronic devices, in particular avionic devices or the like, to a circuit module, the electronic device being controlled by means of a control device of the circuit module, with at least one switching unit (7). An input device (6) of an operating device (2) of the circuit module is used to enter one of at least two possible switching states, with status data describing a status of the at least one switching unit, in particular after the switching state has been entered, by means of a transmission device (5) of the circuit module the operating device is transmitted to the control device, a status of the control device being changed in accordance with the status data, the at least one switching unit being designed redundantly with at least three switching channels (10, 11, 12), one of which being de r control device downstream of the detection device (3) of the circuit module carries out a plausibility check of the input, the detection device generating the status data and integrity data describing a quality of the status data when the switching state is entered, with a processing device (4) downstream of the detection device and upstream of the transmission device of the circuit module processes the status data and the integrity data.

Description

Die vorliegende Erfindung betrifft ein Schaltungsmodul und ein Verfahren zur fehlertoleranten Beschaltung von elektronischen Geräten, insbesondere von avionischen Geräten oder dergleichen, mit einem Schaltungsmodul, wobei das elektronische Gerät mittels einer Steuervorrichtung des Schaltungsmoduls gesteuert wird, wobei mittels zumindest einer Schalteinheit einer Eingabeeinrichtung einer Bedienvorrichtung des Schaltungsmoduls einer von zumindest zwei möglichen Schaltzuständen eingegeben wird, wobei mittels einer Übertragungsvorrichtung des Schaltungsmoduls Statusdaten, welche einen Status der zumindest einen Schalteinheit, insbesondere nach der Eingabe des Schaltzustands, beschreiben, von der Bedienvorrichtung zu der Steuervorrichtung übertragen werden, wobei ein Status der Steuervorrichtung den Statusdaten entsprechend geändert wird.The present invention relates to a circuit module and a method for fault-tolerant wiring of electronic devices, in particular avionic devices or the like, with a circuit module, the electronic device being controlled by means of a control device of the circuit module, with at least one switching unit of an input device of an operating device of the circuit module one of at least two possible switching states is entered, status data describing a status of the at least one switching unit, in particular after the switching state has been entered, being transmitted from the operating device to the control device by means of a transmission device of the circuit module, a status of the control device including the status data is changed accordingly.

Derartige Schaltungsmodule und Verfahren sind aus dem Stand der Technik hinreichend bekannt und werden regelmäßig zur Beschaltung von elektronischen Geräten, insbesondere von avionischen Geräten oder dergleichen, eingesetzt. Dabei weisen derartige Schaltungsmodule regelmäßig eine Bedienvorrichtung mit einer Eingabeeinrichtung mit zumindest einer Schalteinheit auf, mittels derer einer von zumindest zwei möglichen Schaltzuständen eingegeben bzw. ausgewählt werden kann. Beispielsweise kann die zumindest eine Schalteinheit ein Schalter mit zwei möglichen Schaltzuständen bzw. Positionen EIN oder AUS sein. In diesem Falle ist dann unter einer Eingabe eines Schaltzustandes zu verstehen, dass der Schalter von beispielsweise der Position AUS in die Position EIN gebracht bzw. umgeschaltet wird. Bedingt durch die Eingabe des Schaltzustandes wird ein Status der Bedienvorrichtung bzw. der zumindest einen Schalteinheit geändert. Bezogen auf das obige Beispiel bedeutet das, dass sich der Status der Bedienvorrichtung bzw. des Schalters nach dem Umschalten des Schalters von der Position AUS in die Position EIN von dem Status AUS zu dem Status EIN ändert. Der Status der Bedienvorrichtung bzw. der zumindest einen Schalteinheit, insbesondere nach der Eingabe des Schaltzustandes, wird dabei in Form von Statusdaten beschrieben bzw. codiert. Diese Statusdaten werden dann anschließend von einer Übertragungsvorrichtung des Schaltungsmoduls von der Bedienvorrichtung zu einer Steuervorrichtung, mittels derer das elektronische Gerät gesteuert wird, übertragen, wobei ein Status der Steuervorrichtung den Statusdaten entsprechend geändert wird. Im Hinblick auf das obige Beispiel des Schalters heißt das, dass Statusdaten, welche den Status EIN des Schalters beschreiben, mittels der Übertragungsvorrichtung zu der Steuervorrichtung übertragen werden, wobei ein Status der Steuervorrichtung diesen Statusdaten entsprechend geändert bzw. ein diesen Statusdaten entsprechender Steuerbefehl ausgeführt wird. Wäre der besagte Schalter zum Beispiel für das Ein- und Ausschalten eines Autopiloten gedacht, dann würde die Steuervorrichtung beim Umschalten des Schalters von AUS nach EIN den Statusdaten entsprechend den Autopiloten aktivieren bzw. einschalten und ihren Status von Autopilot AUS nach Autopilot EIN ändern.Circuit modules and methods of this type are sufficiently known from the prior art and are used regularly to connect electronic devices, in particular avionic devices or the like. Circuit modules of this type regularly have an operating device with an input device with at least one switching unit, by means of which one of at least two possible switching states can be entered or selected. For example, the at least one switching unit can be a switch with two possible switching states or positions ON or OFF. In this case, an input of a switching state is to be understood to mean that the switch is moved or switched from, for example, the OFF position to the ON position. Due to the input of the switching state, a status of the operating device or the at least one switching unit is changed. Based on the above example, this means that the status of the operating device or the switch changes from the OFF position to the ON state after the switch has been switched from the OFF position to the ON position. The status of the operating device or the at least one switching unit, in particular after the switching state has been entered, is described or coded in the form of status data. This status data is then transmitted from a transmission device of the circuit module from the operating device to a control device by means of which the electronic device is controlled, a status of the control device being changed in accordance with the status data. With regard to the above example of the switch, this means that status data which describe the ON status of the switch are transmitted to the control device by means of the transmission device, a status of the control device being changed in accordance with these status data or a control command corresponding to these status data being executed. If the switch in question were intended, for example, to switch an autopilot on and off, the control device would activate or switch on the status data corresponding to the autopilot when the switch was switched from OFF to ON and change its status from autopilot OFF to autopilot ON.

Die Bedienvorrichtung ist im Bereich der Avionik oftmals räumlich und logisch von der Steuervorrichtung getrennt, was einerseits Platzverhältnissen in einem Cockpit eines Flugzeugs und anderseits einer Anpassbarkeit der Steuervorrichtung an verschiedene Flugzeugtypen, Cockpitdesigns und Bedienvorrichtungen geschuldet ist. Dabei ist die Bedienvorrichtung gemäß einer Systemarchitekturentscheidung im Stand der Technik mit einer geringstmöglichen Komplexität ausgelegt. Bedingt dadurch werden Statusdaten als unplausibilisierte Rohdaten von der Bedienvorrichtung zu der Steuervorrichtung übertragen. Unplausibilisierte Rohdaten bedeuten in diesem Zusammenhang, dass die Statusdaten unabhängig von einer Güte zu der Steuervorrichtung übertragen werden bzw. dass keine zu den Statusdaten zusätzlichen Informationen an die Steuervorrichtung übermittelt werden, welche die Güte der Statusdaten beschreiben. Somit hat die Steuervorrichtung a priori keine Informationen darüber, wie sie die Zustandsdaten zu verwerten hat. Beispielsweise kann ein durch elektrische oder mechanische Fehler bedingter Effekt die Güte der Statusdaten reduzieren bzw. fehlerhafte oder inkonsistente Statusdaten, welche keinen gültigen, d. h. mit einem Schaltzustand verbundenen Status beschreiben, hervorrufen. Damit liegt die Steuerhoheit durch elektrische oder mechanische Fehler verursachte Effekte von gültigen bzw. zuverlässigen und abgesicherten Eingaben von Schaltzuständen zu unterscheiden bei den aus dem Stand der Technik bekannten Schaltungsmodulen vollständig bei der Steuervorrichtung. Nachteilig ist hier jedoch, dass dazu detaillierte Informationen und deren Anwendung in einer Auswertelogik der Steuervorrichtung erforderlich sind. Des Weiteren steigert eine Einbettung von Algorithmen, welche zu einer Auswertung der Statusdaten zur Anwendung gebracht werden, in die Steuervorrichtung deren Komplexität erheblich, was zudem eine Wiederverwendbarkeit bewährter Steuervorrichtungen erschwert.In the field of avionics, the control device is often spatially and logically separated from the control device, which is due on the one hand to space in a cockpit of an aircraft and on the other hand to adaptability of the control device to different types of aircraft, cockpit designs and control devices. The operating device is designed with the least possible complexity in accordance with a system architecture decision in the prior art. As a result, status data are transmitted as implausible raw data from the operating device to the control device. In this context, implausible raw data mean that the status data are transmitted to the control device independently of a quality or that no information that describes the quality of the status data is transmitted to the control device. The control device thus does not have a priori information about how it has to use the status data. For example, an effect caused by electrical or mechanical errors can reduce the quality of the status data or erroneous or inconsistent status data which do not contain a valid, i.e. H. describe the status associated with a switching state. The control sovereignty caused by effects caused by electrical or mechanical errors is therefore to be distinguished entirely from the control device in the circuit modules known from the prior art from valid or reliable and secure inputs of switching states. The disadvantage here, however, is that detailed information and its use in an evaluation logic of the control device are required for this. Furthermore, embedding algorithms, which are used for evaluating the status data, in the control device considerably increases their complexity, which furthermore makes it difficult to reuse proven control devices.

Weiter sind die bekannten Schaltungsmodule regelmäßig derart ausgebildet, dass die Bedienvorrichtung bzw. die zumindest eine Schalteinheit auch im Falle einer einfachen Fehlfunktion ihren Dienst aufrechterhält, was nicht zuletzt im Bereich der Avionik, in dem ein erhöhtes Sicherheitsbedürfnis besteht, eine wichtige Rolle spielt. Hier ist es notwendig, dass die Bedienvorrichtung bzw. die zumindest eine Schalteinheit auch im Falle einer einfachen Fehlfunktion eine Betriebsfähigkeit aufrechterhält bzw. noch bedienbar ist, also fehlertolerant ist. Nachteilig ist jedoch, dass diese Fehlertoleranz im Stand der Technik derart realisiert ist, dass die Komplexität des elektronischen bzw. avionischen Geräts bzw. der Steuervorrichtung zusätzlich gesteigert wird.Furthermore, the known circuit modules are regularly designed in such a way that the operating device or the at least one switching unit continues to function even in the event of a simple malfunction, which plays an important role not least in the field of avionics, in which there is an increased need for security. Here it is necessary that the operating device or the at least one switching unit maintains operability even in the event of a simple malfunction is operable, so it is fault tolerant. However, it is disadvantageous that this fault tolerance is implemented in the prior art in such a way that the complexity of the electronic or avionic device or the control device is additionally increased.

Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren sowie ein Schaltungsmodul vorzuschlagen, mit dem eine zuverlässige und fehlertolerante Beschaltung von elektronischen Geräten, insbesondere von avionischen Geräten oder dergleichen, ermöglicht wird.The present invention is therefore based on the object of proposing a method and a circuit module with which reliable and fault-tolerant wiring of electronic devices, in particular avionic devices or the like, is made possible.

Diese Aufgabe wird durch ein Verfahren mit den Merkmalen des Anspruchs 1 und ein Schaltungsmodul mit den Merkmalen des Anspruchs 18 gelöst.This object is achieved by a method with the features of claim 1 and a circuit module with the features of claim 18.

Bei dem erfindungsgemäßen Verfahren zur fehlertoleranten Beschaltung von elektronischen Geräten, insbesondere von avionischen Geräten oder dergleichen, mit einem Schaltungsmodul, wird das elektronische Gerät mittels einer Steuervorrichtung des Schaltungsmoduls gesteuert, wobei mittels zumindest einer Schalteinheit einer Eingabeeinrichtung einer Bedienvorrichtung des Schaltungsmoduls einer von zumindest zwei möglichen Schaltzuständen eingegeben wird, wobei mittels einer Übertragungsvorrichtung des Schaltungsmoduls Statusdaten, welche einen Status der zumindest einen Zeiteinheit, insbesondere nach der Eingabe des Schaltzustandes, beschreiben, von der Bedienvorrichtung zu der Steuervorrichtung übertragen werden, wobei ein Status der Steuervorrichtung den Statusdaten entsprechend geändert wird, wobei die zumindest eine Schalteinheit redundant mit zumindest drei Schaltkanälen ausgebildet ist, wobei eine der Bedienvorrichtung nachgeordnete Erfassungsvorrichtung des Schaltungsmoduls eine Plausibilitätsprüfung der Eingabe durchführt, wobei die Erfassungsvorrichtung bei der Eingabe des Schaltzustandes die Statusdaten und Integritätsdaten, welche eine Güte der Statusdaten beschreiben, generiert, wobei eine der Erfassungsvorrichtung nachgeordnete und der Übertragungsvorrichtung vorgeordnete Verarbeitungsvorrichtung des Schaltungsmoduls die Statusdaten und die Integritätsdaten verarbeitet.In the method according to the invention for fault-tolerant wiring of electronic devices, in particular avionic devices or the like, with a circuit module, the electronic device is controlled by means of a control device of the circuit module, one of at least two possible switching states being controlled by means of at least one switching unit of an input device of an operating device of the circuit module is entered, using a transmission device of the circuit module to transmit status data, which describe a status of the at least one time unit, in particular after the switching state has been entered, from the operating device to the control device, a status of the control device being changed in accordance with the status data, the at least one switching unit is designed redundantly with at least three switching channels, with a detection device of the circuit module arranged downstream of the operating device s performs a plausibility check of the input, the detection device generating the status data and integrity data, which describe a quality of the status data, when the switching state is entered, a processing device of the circuit module downstream of the detection device and upstream of the transmission device processing the status data and the integrity data.

Demnach ist die zumindest eine Schalteinheit redundant mit zumindest drei Schaltkanälen ausgebildet. Ein Schaltzustand bzw. ein Status einer Schalteinheit ist also mit zumindest drei Schaltkanälen verknüpft. Dadurch ist das Schaltungsmodul bzw. die Schalteinheit tolerant gegenüber zumindest einer einfachen Fehlfunktion und bleibt im Falle einer derartigen Fehlfunktion bedienbar. Weiter weist das erfindungsgemäße Schaltungsmodul eine der Bedienvorrichtung logisch nachgeordnete Erfassungsvorrichtung auf, welches eine Plausibilitätsprüfung bzw. eine Fehlerdiagnose der Eingabe durchführt. Dabei generiert die Erfassungsvorrichtung bei der Eingabe des Schaltzustands die Statusdaten. Beispielsweise kann die Erfassungsvorrichtung einen Analog-Digital-Umsetzer aufweisen, der an den zumindest drei Schaltkanälen anliegende elektrische Signale in digitale Signale umwandelt. Neben den Statusdaten generiert die Erfassungsvorrichtung zusätzlich Integritätsdaten, welche eine Güte der Statusdaten beschreiben. Insbesondere sagen die Integritätsdaten etwas darüber aus, ob die Statusdaten korrekt oder fehlerhaft sind. Weiter weist das erfindungsgemäße Schaltungsmodul eine der Erfassungsvorrichtung nachgeordnete und der Übertragungsvorrichtung vorgeordnete Verarbeitungsvorrichtung auf. Nachgeordnet bzw. vorgeordnet bezieht sich hier auf eine Richtung eines Datenflusses, d. h. die Statusdaten bzw. Integritätsdaten passieren von der Erfassungsvorrichtung kommend zuerst die Verarbeitungsvorrichtung, bevor sie zu der Übertragungsvorrichtung gelangen können. Die Verarbeitungsvorrichtung verarbeitet die von der Erfassungsvorrichtung empfangenen Status- bzw. Integritätsdaten und bereitet diese zur Übertragung bzw. zur Übermittlung an die Steuervorrichtung auf. Somit ist die Steuervorrichtung von der Steuerhoheit über eine angemessene Verwertung der Zustandsdaten zu entscheiden bzw. eine fehlerhafte Eingabe von einer gültigen Eingabe zu unterscheiden entbunden, da diese Steuerhoheit bei dem erfindungsgemäßen Schaltungsmodul auf die Erfassungsvorrichtung bzw. die Verarbeitungsvorrichtung verlagert wurde. Somit wird die Komplexität der Steuervorrichtung erheblich reduziert, so dass keine detaillierten Informationen und deren Anwendung in der Auswertelogik der Steuervorrichtung mehr erforderlich sind, was die Wiederverwendbarkeit bewährter Steuervorrichtungen zudem deutlich erleichtert. Die Erfindung kann vornehmlich in dem Bereich der Avionik eingesetzt werden. Darüber hinaus kann sie in allen weiteren sicherheitsrelevanten Feldern zum Einsatz kommen, in denen eine Verlässlichkeit von Eingaben eines Bedieners eine wichtige Rolle spielt, insbesondere in der Medizintechnik, Fahrzeugtechnik, Schifffahrt und Anlagensteuerung.Accordingly, the at least one switching unit is designed redundantly with at least three switching channels. A switching state or a status of a switching unit is therefore linked to at least three switching channels. As a result, the circuit module or the switching unit is tolerant of at least one simple malfunction and remains operable in the event of such a malfunction. Furthermore, the circuit module according to the invention has a detection device which is logically subordinate to the operating device and which carries out a plausibility check or error diagnosis of the input. The detection device generates the status data when the switching state is entered. For example, the detection device can have an analog-to-digital converter which converts electrical signals applied to the at least three switching channels into digital signals. In addition to the status data, the detection device also generates integrity data which describe a quality of the status data. In particular, the integrity data say something about whether the status data is correct or incorrect. Furthermore, the circuit module according to the invention has a processing device downstream of the detection device and upstream of the transmission device. Subordinate or upstream refers to a direction of a data flow, i. H. the status data or integrity data coming from the detection device first pass through the processing device before they can reach the transmission device. The processing device processes the status or integrity data received from the detection device and prepares it for transmission or transmission to the control device. The control device is therefore to be released from the control sovereignty about an appropriate utilization of the status data or to distinguish a faulty input from a valid input, since this control sovereignty has been shifted to the detection device or the processing device in the circuit module according to the invention. The complexity of the control device is thus considerably reduced, so that detailed information and its use in the evaluation logic of the control device are no longer required, which also makes the reusability of proven control devices significantly easier. The invention can be used primarily in the field of avionics. In addition, it can be used in all other safety-relevant fields in which the reliability of operator input plays an important role, especially in medical technology, vehicle technology, shipping and plant control.

Der Schaltzustand kann durch an den zumindest drei Schaltkanälen anliegende Spannung mit Werten nur aus einer Anzahl von gültigen Spannungsbereichen erfasst werden, wobei zwischen zwei gültigen Spannungsbereichen zumindest ein ungültiger Spannungsbereich liegt, wobei die Anzahl der gültigen Spannungsbereiche zu einer Anzahl der möglichen Zahlzustände der zumindest einen Schalteinheit proportional ist, wobei ein von den gültigen und ungültigen Spannungsbereich gebildetes Spektrum oben und unten von jeweils einem ungültigen Spannungsbereich begrenzt wird. Demnach kann das Spektrum elektrisch möglicher Signale bzw. durchgeleiteter Spannungen für jeden der zumindest drei Schaltkanäle in 2*n+1 Spannungsbereiche geteilt werden, wobei n durch die Anzahl der möglichen Schaltzustände der zumindest einen Schalteinheit gegeben ist. Beispielsweise ergeben sich für den Fall, dass die Schalteinheit ein Schalter mit zwei Schaltzuständen bzw. Positionen ist, fünf Spannungsbereiche, bestehend aus zwei gültigen Spannungsbereichen und drei ungültigen Spannungsbereichen, wobei zwischen den beiden gültigen Spannungsbereichen ein ungültiger Spannungsbereich liegt, wobei ein von den fünf Spannungsbereichen gebildetes Spektrum oben und unten von jeweils einem ungültigen Spannungsbereich begrenzt wird. Die zumindest eine Schalteinheit kann dann derart beschaltet werden, dass der Schaltzustand mit bzw. als Spannungen mit Werten nur aus der Anzahl von gültigen Spannungsbereichen verknüpft bzw. erfasst wird.The switching state can be detected by values applied to the at least three switching channels with values from only a number of valid voltage ranges, with at least one invalid voltage range between two valid voltage ranges, the number of valid voltage ranges relating to a number of the possible number states of the at least one switching unit is proportional, with a spectrum formed by the valid and invalid voltage ranges being bounded by an invalid voltage range at the top and bottom. Accordingly, the spectrum of electrically possible signals or passed voltages for each of the at least three switching channels can be divided into 2 * n + 1 voltage ranges, n being the number of possible switching states of the at least one switching unit given is. For example, in the event that the switching unit is a switch with two switching states or positions, there are five voltage ranges, consisting of two valid voltage ranges and three invalid voltage ranges, an invalid voltage range lying between the two valid voltage ranges, one of the five voltage ranges formed spectrum above and below is limited by an invalid voltage range. The at least one switching unit can then be connected in such a way that the switching state with or as voltages with values is linked or recorded only from the number of valid voltage ranges.

Folglich kann die Erfassungsvorrichtung einen Fehler durch Spannungen aus ungültigen Spannungsbereichen erkennen, wobei sie aus einem ungültigen Spannungsbereich auf eine Art des Fehlers schließen kann. Somit können die Spannungen auf einfache Weise als Fehlererkennungskriterium verwendet werden. Dabei können sowohl Grenzen der Spannungsbereiche als auch ein Toleranzzeitfenster derart groß gewählt werden, dass eine kurzzeitig auftretende Spannungsschwankung nicht unmittelbar als Fehler erkannt wird. Darüber hinaus können aber auch je nach Ausführungsform Abweichungen von weiteren Charakteristika beispielsweise bekannter Prellzeiten der zumindest einen Schalteinheit oder typischer Spannungsverläufe während eines Prellvorgangs als Fehlererkennungskriterien herangezogen werden.As a result, the detection device can detect an error due to voltages from invalid voltage ranges, and can conclude a type of the error from an invalid voltage range. The voltages can thus easily be used as an error detection criterion. Both the limits of the voltage ranges and a tolerance time window can be chosen so large that a brief voltage fluctuation is not immediately recognized as an error. In addition, depending on the embodiment, deviations from further characteristics, for example known bounce times of the at least one switching unit or typical voltage profiles during a bounce process, can also be used as error detection criteria.

Weiter kann ein Ausfall der zumindest einen Schalteinheit mit einem bestimmten der Erfassungsvorrichtung und der Steuervorrichtung bekannten Schaltzustand der zumindest einen Schalteinheit verbunden sein. Dadurch kann eine unkontrollierte Störung vermieden werden, weil die zumindest eine Schalteinheit für den Fall eines Ausfall in einen für diesen Fall bestimmten der Erfassungsvorrichtung und der Steuervorrichtung bekannten Schaltzustand bzw. sicheren Status übergehen kann. Somit kann der Ausfall bzw. eine mehrfache Fehlfunktion in einer für die Steuervorrichtung bzw. einen Bediener erkennbarer Weise erfolgen. Furthermore, a failure of the at least one switching unit can be connected to a specific switching state of the at least one switching unit known to the detection device and the control device. In this way, an uncontrolled malfunction can be avoided, because the at least one switching unit can, in the event of a failure, pass into a switching state or safe status known to the detection device and the control device for this case. The failure or a multiple malfunction can thus take place in a manner recognizable for the control device or an operator.

Ferner kann die Erfassungsvorrichtung softwarebasiert oder mittels einer programmierbaren Logik eine Entprellung der zumindest einen Schalteinheit durchführen. Damit kann vermieden werden, dass vorübergehend inkonsistente Statusdaten, d. h. Statusdaten, die keinem möglichen Schaltzustand bzw. Status der zumindest einen Schalteinheit entsprechen, an die Steuervorrichtung übermittelt werden. Softwarebasiert bedeutet hier, dass die Entprellung per Software bzw. Signalverarbeitung und nicht per Hardware mittels einer Entprellschaltung erfolgt. Beispielsweise kann eine Statusänderung der zumindest einen Schalteinheit erst dann erfasst werden, wenn diese eine bestimmte Zeit, eine so genannte Entprellzeit, vorliegt. Jedoch ist es ebenso denkbar, dass die Entprellung per Hardware, einschließlich programmierbarer Logik, erfolgt.Furthermore, the detection device can carry out debouncing of the at least one switching unit based on software or by means of programmable logic. This can prevent temporarily inconsistent status data, i.e. H. Status data that do not correspond to a possible switching state or status of the at least one switching unit are transmitted to the control device. Software-based here means that debouncing takes place via software or signal processing and not via hardware using a debouncing circuit. For example, a change in status of the at least one switching unit can only be detected when it has been present for a certain time, a so-called debouncing time. However, it is also conceivable that the debouncing takes place via hardware, including programmable logic.

In einer möglichen Ausführungsform kann mittels zumindest einer Ausgabeeinheit eine Ausgabeeinrichtung der Bedienvorrichtung der Status der zumindest einen Schalteinheit ausgegeben werden. Somit kann ein Bediener bzw. ein Pilot sofort erkennen, in welchem Status sich die zumindest eine Schalteinheit befindet. Beispielsweise ist es denkbar, dass die Schalteinheit als ein Schalter mit den beiden Schaltzuständen bzw. Positionen AN und AUS, und die Ausgabeeinheit als eine LED ausgebildet ist, wobei die LED in den Schalter integriert sein kann. Die LED kann dann beim Umschalten des Schalters von AUS nach EIN aufleuchten, wodurch der Bediener bzw. Pilot optisch direkt erkennen kann, dass der Schalter sich im Status EIN befindet.In one possible embodiment, the status of the at least one switching unit can be output by means of at least one output unit. An operator or a pilot can thus immediately recognize the status of the at least one switching unit. For example, it is conceivable that the switching unit is designed as a switch with the two switching states or positions ON and OFF, and the output unit is designed as an LED, it being possible for the LED to be integrated in the switch. The LED can then light up when the switch is switched from OFF to ON, which means that the operator or pilot can directly see that the switch is in the ON state.

Die Statusdaten können nur im Falle einer ausreichend hohen Güte mittels der Übertragungsvorrichtung zu der Steuervorrichtung übertragen werden. Damit werden Zustandsdaten, deren Güte derart reduziert ist, dass diese nicht mehr verwendet werden dürfen, erst gar nicht an die Steuervorrichtung übermittelt.The status data can only be transmitted to the control device by means of the transmission device if the quality is sufficiently high. This means that status data, the quality of which is reduced in such a way that it may no longer be used, is not even transmitted to the control device.

Außerdem kann vorgesehen sein, dass die Steuervorrichtung ihren Status nur im Fall einer ausreichend hohen Güte der Statusdaten ändert. Dadurch kann vermieden werden, dass die Steuervorrichtung auf Basis von Statusdaten, deren Güte derart reduziert ist, dass sie nicht mehr verwendet werden dürfen, einen Steuerbefehl ausführt bzw. ihren Status ändert.It can also be provided that the control device changes its status only in the case of a sufficiently high quality of the status data. This can prevent the control device from executing a control command or changing its status on the basis of status data, the quality of which is reduced in such a way that it may no longer be used.

In einer möglichen Ausführungsform können die Statusdaten und die Integritätsdaten mittels der Übertragungsvorrichtung zu der Steuervorrichtung übertragen werden. Danach kann es der Steuervorrichtung obliegen, die Zustandsdaten in einer angemessenen Weise zu verwerten. Dies kann insbesondere für eine Steuervorrichtung mit einer höheren Komplexität vorteilhaft sein.In one possible embodiment, the status data and the integrity data can be transmitted to the control device by means of the transmission device. The control device can then be responsible for utilizing the status data in an appropriate manner. This can be particularly advantageous for a control device with a higher complexity.

In einer weiteren Ausführungsform können die Integritätsdaten mittels zumindest einer Ausgabeeinheit einer Ausgabeeinrichtung in der Bedienvorrichtung ausgegeben werden. Dies kann für einen Fall eines Ausfalls der zumindest einen Schalteinheit vorteilhaft sein. Die Zustandsdaten können dann in einem Fehlerfall übertragen werden, während die Integritätsdaten in der Bedienvorrichtung verbleiben und mittels zumindest einer Ausgabeeinheit ausgegeben werden können. Auf diese Weise kann die Steuervorrichtung von jeder Verantwortung den Fehler zu behandeln, entbunden werden. Dies kann insbesondere für eine Steuervorrichtung mit einer niedrigen Eigenkomplexität und ohne Notwendigkeit oder Möglichkeit einer Reaktion auf den Fehler angewandt werden. Beispielsweise ist es denkbar, dass die Ausgabeeinheit als ein Display ausgebildet ist, auf welchem die Integritätsdaten in Form einer Fehlermeldung ausgegeben werden können.In a further embodiment, the integrity data can be output in the operating device by means of at least one output unit of an output device. This can be advantageous in the event of a failure of the at least one switching unit. The status data can then be transmitted in the event of an error, while the integrity data remain in the operating device and can be output by means of at least one output unit. In this way, the control device can be released from any responsibility to deal with the error. This can be particularly the case for a control device with a low intrinsic complexity and without need or possibility to react to the error. For example, it is conceivable that the output unit is designed as a display on which the integrity data can be output in the form of an error message.

Die Steuerrichtung kann nach ihrer Statusänderung Statusdaten, welche den Status der Steuervorrichtung nach ihrer Statusänderung beschreiben, und Integritätsdaten, welche eine Güte dieser Statusdaten beschreiben, generieren, wobei diese Statusdaten mittels der Übertragungsvorrichtung übertragen werden, wobei die Statusdaten von der Verarbeitungsvorrichtung verarbeitet werden, wobei der von diesen Statusdaten beschriebene Status mittels zumindest einer Ausgabeeinheit einer Ausgabeeinrichtung der Bedienvorrichtung ausgegeben wird. Somit kann ein Bediener bzw. ein Pilot anhand der Ausgabeeinheit, welche beispielsweise als eine LED ausgebildet sein kann, erkennen, ob die Steuervorrichtung auch tatsächlich gemäß der Eingabe des Schaltzustands ihren Status geändert hat bzw. einen mit dem Schaltzustand verbundenen Steuerbefehl ausgeführt hat.After its status change, the control direction can generate status data which describe the status of the control device after its status change and integrity data which describe a quality of this status data, these status data being transmitted by means of the transmission device, the status data being processed by the processing device, the status described by these status data is output by means of at least one output unit of an output device of the operating device. Thus, an operator or a pilot can use the output unit, which can be in the form of an LED, for example, to determine whether the control device has actually changed its status according to the input of the switching state or has executed a control command associated with the switching state.

Folglich kann der Status zumindest zweifach redundant ausgegeben werden. Beispielsweise können für eine Ausgabe eines Status ein oder zwei LEDs verwendet werden. Somit kann eine Toleranz der Ausgabeeinrichtung gegenüber zumindest einem einfachen Fehler sichergestellt werden.As a result, the status can be output at least twice redundantly. For example, one or two LEDs can be used to output a status. A tolerance of the output device with respect to at least one simple error can thus be ensured.

Weiter kann die Ausgabe überwacht werden. Beispielsweise kann ein Stromfluss durch die Ausgabeeinheit von der Erfassungsvorrichtung überwacht werden. Zusätzlich kann eine Rückmeldung über die erfolgte Ausgabe an die Steuervorrichtung übermittelt werden, wobei die Rückmeldung in gleicher Weise behandelt und übertragen werden kann wie eine Eingabe. In diesem Fall kann eine fehlerhafte Ausgabe in gleicher Weise wie eine fehlerhafte Eingabe erkannt werden.The output can also be monitored. For example, a current flow through the output unit can be monitored by the detection device. In addition, feedback about the output that has taken place can be transmitted to the control device, wherein the feedback can be treated and transmitted in the same way as an input. In this case, an incorrect output can be recognized in the same way as an incorrect input.

Auch kann es vorteilhaft sein, wenn in einem festen Zyklus, vorzugsweise alle 5ms, Statusdaten bzw. Integritätsdaten, welche den Status der Bedienvorrichtung bzw. der Steuervorrichtung bzw. eine Güte dieser Statusdaten beschreiben, generiert und der Übertragungsvorrichtung zugeführt werden, wobei die Übertragungsvorrichtung in einem festen Zyklus, vorzugsweise alle 50ms, die ihr zugeführten Statusdaten bzw. Integritätsdaten bidirektional überträgt, wobei die Übertragungsvorrichtung in einem festen Zyklus, vorzugsweise alle 5ms nach übertragenen Statusdaten bzw. Integritätsdaten abgefragt wird. Demnach können in einem festen, allen Kommunikationspartnern bekannten Zeitschema, Statusdaten übertragen werden. Unter Status der Bedienvorrichtung ist hier der Status aller möglichen Komponenten der Bedienvorrichtung, wie der zumindest einen Schalteinheit oder einer eventuell vorhandenen Ausgabeeinheit einer Ausgabeeinrichtung der Bedienvorrichtung, zu verstehen. Auf diese Weise kann ein Kommunikationspartner die Steuervorrichtung bzw. eine Komponente der Bedienvorrichtung über den Status der jeweils anderen Kommunikationspartner regelmäßig unterrichtet werden.It can also be advantageous if, in a fixed cycle, preferably every 5 ms, status data or integrity data, which describe the status of the operating device or the control device or a quality of these status data, is generated and fed to the transmission device, the transmission device being in one fixed cycle, preferably every 50 ms, which transmits status data or integrity data supplied to it bidirectionally, the transmission device being queried in a fixed cycle, preferably every 5 ms, for transmitted status data or integrity data. Accordingly, status data can be transmitted in a fixed time schedule known to all communication partners. The status of the operating device is to be understood here to mean the status of all possible components of the operating device, such as the at least one switching unit or a possibly existing output unit of an output device of the operating device. In this way, a communication partner, the control device or a component of the operating device can be regularly informed about the status of the other communication partner.

Folglich kann eine Statusänderung der Bedienvorrichtung von der Steuervorrichtung bzw. der Steuervorrichtung von der Bedienvorrichtung erst dann erkannt werden, wenn innerhalb eines bestimmten Zeitfensters, vorzugsweise 50ms, zwei identische Datenpakete mit denselben Statusdaten und Integritätsdaten an die Steuervorrichtung bzw. die Bedienvorrichtung übertragen werden. Durch diese zeitliche Redundanz kann eine Sicherheit der Beschaltung zusätzlich erhöht werden.Consequently, a change in the status of the operating device can only be recognized by the control device or the control device by the operating device if two identical data packets with the same status data and integrity data are transmitted to the control device or the operating device within a certain time window, preferably 50 ms. This redundancy in terms of time can additionally increase the security of the circuitry.

Die zu übertragenden Statusdaten bzw. Integritätsdaten können mit einer Hamming-Distanz codiert werden, welche für eine Kritikalitätsstufe der zu übertragenden Statusdaten bzw. Integritätsdaten angemessen ist, wobei die Übertragungsvorrichtung einen Übertragungsfehler in Abhängigkeit von der Hamming-Distanz erkennt und, sofern möglich, automatisch korrigiert. Angemessen bedeutet hier, dass die Hamming-Distanz umso größer ist, je größer die Kritikalitätsstufe ist.The status data or integrity data to be transmitted can be coded with a Hamming distance, which is appropriate for a criticality level of the status data or integrity data to be transmitted, the transmission device recognizing a transmission error as a function of the Hamming distance and, if possible, automatically correcting it . Adequate here means that the greater the criticality level, the greater the Hamming distance.

Auch kann die Übertragungsvorrichtung einen Übertragungsfehler mittels eines Paritätsbits erkennen. Im Fall eines Übertragungsfehlers können die Statusdaten bzw. Integritätsdaten dann verworfen werden.The transmission device can also recognize a transmission error by means of a parity bit. In the event of a transmission error, the status data or integrity data can then be rejected.

Das erfindungsgemäße Schaltungsmodul zur fehlertoleranten Beschaltung von elektronischen Geräten, insbesondere von avionischen Geräten oder dergleichen, wobei das elektronische Gerät mittels einer Steuervorrichtung des Schaltungsmoduls steuerbar ist, weist eine Bedienvorrichtung mit einer Eingabeeinrichtung mit zumindest einer Schalteinheit zur Eingabe von einem von zumindest zwei möglichen Schaltzuständen auf, wobei mittels einer Übertragungsvorrichtung des Schaltungsmoduls Statusdaten, welchen einen Status der zumindest einen Schalteinheit, insbesondere nach der Eingabe des Schaltzustands, beschreiben, von der Bedienvorrichtung zu der Steuervorrichtung übertragbar sind, wobei ein Status der Steuervorrichtung den Statusdaten entsprechend änderbar ist, wobei die zumindest eine Schalteinheit redundant mit zumindest drei Schaltkanälen ausgebildet ist, wobei mittels einer der Bedienvorrichtung nachgeordneten Erfassungsvorrichtung des Schaltungsmoduls eine Plausibilitätsprüfung der Eingabe durchführbar ist, wobei mittels der Erfassungsvorrichtung bei der Eingabe des Schaltzustands die Statusdaten und Integritätsdaten, welche eine Güte der Statusdaten beschreiben, generierbar sind, wobei mittels einer der Erfassungsvorrichtung nachgeordneten und der Übertragungsvorrichtung vorgeordneten Bearbeitungsvorrichtung des Schaltungsmoduls die Statusdaten und die Integritätsdaten verarbeitbar sind. Zu den vorteilhaften Wirkungen des erfindungsgemäßen Schaltungsmoduls wird auf die Vorteilsbeschreibung des erfindungsgemäßen Verfahrens verwiesen.The circuit module according to the invention for fault-tolerant wiring of electronic devices, in particular of avionic devices or the like, the electronic device being controllable by means of a control device of the circuit module, has an operating device with an input device with at least one switching unit for entering one of at least two possible switching states. whereby by means of a transmission device of the circuit module status data, which describe a status of the at least one switching unit, in particular after the switching state has been entered, can be transmitted from the operating device to the control device, wherein a status of the control device can be changed in accordance with the status data, the at least one switching unit is designed redundantly with at least three switching channels, a plausibility check being carried out by means of a detection device of the circuit module arranged downstream of the operating device g the input can be carried out, the status data and integrity data being entered by means of the detection device when the switching state is input, which describe a quality of the status data can be generated, wherein the status data and the integrity data can be processed by means of a processing device of the circuit module arranged downstream of the detection device and upstream of the transmission device. Regarding the advantageous effects of the circuit module according to the invention, reference is made to the description of the advantages of the method according to the invention.

Die Bedienvorrichtung, die Erfassungsvorrichtung, die Verarbeitungsvorrichtung und die Übertragungsvorrichtung können modular ausgebildet sein. Dadurch kann eine Austauschbarkeit funktionsgleicher Vorrichtungen erreicht werden. Auch können die Bedienvorrichtung, die Erfassungsvorrichtung, die Verarbeitungsvorrichtung und die Übertragungsvorrichtung in einer einzigen Einheit integriert sein, um den Platzverhältnissen in einem Cockpit eines Flugzeugs gerecht zu werden.The operating device, the detection device, the processing device and the transmission device can be modular. Interchangeability of functionally identical devices can thereby be achieved. The operating device, the detection device, the processing device and the transmission device can also be integrated in a single unit in order to do justice to the space conditions in a cockpit of an aircraft.

Als zumindest eine Schalteinheit kann ein Taster, ein Drehknopf, ein Stufenschalter oder eine berührungssensitive Oberfläche vorgesehen sein. Ebenso ist ein Kippschalter, ein Schiebeschalter oder irgend ein anderer Schalter denkbar. Eine derartig ausgebildete Schalteinheit kann platzsparend verbaut und trotzdem gut bedient werden. Die vorstehende Aufzählung ist rein beispielhaft. Grundsätzlich kann die Schalteinheit alles sein, was einem Bediener eine Eingabe eines Schaltzustands ermöglicht.A button, a rotary knob, a step switch or a touch-sensitive surface can be provided as at least one switching unit. A toggle switch, slide switch or any other switch is also conceivable. Such a switching unit can be installed to save space and still be operated well. The above list is only an example. In principle, the switching unit can be anything that enables an operator to enter a switching state.

Ferner kann die Bedienvorrichtung eine Ausgabeeinrichtung mit zumindest einer Ausgabeeinheit aufweisen. Somit können insbesondere von der Steuervorrichtung empfangene Statusdaten oder auch sonstige Anzeigeinformationen ausgegeben bzw. angezeigt werden.Furthermore, the operating device can have an output device with at least one output unit. Status data received from the control device or other display information can thus be output or displayed.

Dabei kann als zumindest eine Ausgabeeinheit ein LED oder ein Display vorgesehen sein. Dadurch kann eine Ausgabe von einem Bediener bzw. einem Piloten in einer einfachen Weise erkannt werden.An LED or a display can be provided as at least one output unit. As a result, an output from an operator or a pilot can be recognized in a simple manner.

Als Übertragungsvorrichtung kann ein elektronisches Bussystem, vorzugsweise ein ARINC-429, vorgesehen sein. Somit können die Statusdaten und die Integritätsdaten bei einer hohen Datenübertragungsrate in einem Datenwort übertragen werden.An electronic bus system, preferably an ARINC-429, can be provided as the transmission device. The status data and the integrity data can thus be transmitted in one data word at a high data transmission rate.

Weiter kann die Übertragungsvorrichtung mit zumindest zwei Übertragungskanälen ausgebildet sein. Mit einer steigenden Redundanz kann eine Wahrscheinlichkeit von Übertragungsfehlern oder Ausfällen der Übertragungsvorrichtung auf nahe Null reduziert werden.Furthermore, the transmission device can be designed with at least two transmission channels. With increasing redundancy, a probability of transmission errors or failures of the transmission device can be reduced to near zero.

Weitere vorteilhafte Ausführungsformen des Schaltungsmoduls ergeben sich aus den Merkmalsbeschreibungen der auf den Verfahrensanspruch 1 rückbezogenen Unteransprüche.Further advantageous embodiments of the circuit module result from the feature descriptions of the subclaims which refer back to method claim 1.

Nachfolgend werden bevorzugte Ausführungsformen der Erfindung unter Bezugnahme auf die beigefügten Zeichnungen näher erläutert.Preferred embodiments of the invention are explained in more detail below with reference to the accompanying drawings.

Es zeigen:

1 Eine Teilansicht eines Schaltungsmoduls;
2 eine Prinzipdarstellung des Schaltungsmoduls;
3 ein Spektrum von Spannungsbereichen für einen Schalter mit zwei möglichen Schaltzuständen.

Show it:

1 A partial view of a circuit module;
2nd a schematic diagram of the circuit module;
3rd a spectrum of voltage ranges for a switch with two possible switching states.

Eine Zusammenschau der 1 und 2 zeigt eine Teilansicht eines Schaltungsmoduls 1 sowie eine Prinzipdarstellung des Schaltungsmoduls 1. Das Schaltungsmodul 1 umfassend eine modular ausgebildete Bedienvorrichtung 2, eine der Bedienvorrichtung nachgeordnete modular ausgebildete Erfassungsvorrichtung 3, eine der Erfassungsvorrichtung nachgeordnete modular ausgebildete Verarbeitungsvorrichtung 4 und eine der Verarbeitungsvorrichtung 4 nachgeordnete modular ausgebildete Übertragungsvorrichtung 5. Modulare Ausbildung bedeutet, dass insbesondere ein Austausch funktionsgleicher Komponenten möglich ist. Die Bedienvorrichtung 2 weist eine Eingabeeinrichtung 6 mit einer Schalteinheit 7 zur Eingabe von einem von zumindest zwei möglichen Schaltzuständen sowie eine Ausgabeeinrichtung 8 mit einer Ausgabeeinheit 9 auf. Die Schalteinheit 7 ist hier redundant mit drei Schaltkanälen 10, 11 und 12 ausgebildet. Die Eingabe des Schaltzustands mittels der Schalteinheit 7 wird durch bestimmte an den drei Schaltkanälen 10, 11 und 12 anliegende Spannungen mit Werten nur aus einer Anzahl von gültigen Spannungsbereichen 17 und 18 (siehe 3) von der Erfassungsvorrichtung 3 erfasst. Die Erfassungsvorrichtung 3 generiert Statusdaten, welche einen Status der Schalteinheit 7, insbesondere nach der Eingabe des Schaltzustands, beschreiben und Integritätsdaten, welche eine Güte der Statusdaten beschreiben. Die Statusdaten und die Integritätsdaten werden anschließend von der Verarbeitungsvorrichtung 4 verarbeitet und je nach Ausführungsform an die Übertragungsvorrichtung 5 weitergeleitet. Mittels der Übertragungsvorrichtung 5 werden die Statusdaten und Integritätsdaten über Übertragungskanäle 13 zu einer Steuervorrichtung 23 übertragen.A synopsis of the 1 and 2nd shows a partial view of a circuit module 1 and a schematic diagram of the circuit module 1 . The circuit module 1 comprising a modular control device 2nd , a modularly designed detection device downstream of the operating device 3rd , a modular processing device arranged downstream of the detection device 4th and one of the processing device 4th downstream modular transmission device 5 . Modular training means that in particular an exchange of components with the same function is possible. The control device 2nd has an input device 6 with a switching unit 7 for entering one of at least two possible switching states and an output device 8th with an output unit 9 on. The switching unit 7 is redundant with three switching channels 10th , 11 and 12th educated. Entering the switching status using the switching unit 7 is determined by the three switching channels 10th , 11 and 12th applied voltages with values only from a number of valid voltage ranges 17th and 18th (please refer 3rd ) from the detection device 3rd detected. The detection device 3rd generates status data, which is a status of the switching unit 7 , in particular after entering the switching state, and describe integrity data which describe a quality of the status data. The status data and the integrity data are then sent from the processing device 4th processed and depending on the embodiment to the transmission device 5 forwarded. By means of the transmission device 5 the status data and integrity data via transmission channels 13 to a control device 23 transfer.

Die 2 zeigt eine Prinzipdarstellung des Schaltungsmoduls 1, wobei die Schalteinheit 7 der Eingabeeinrichtung 6 der Bedienvorrichtung 2 redundant mit drei Schaltkanälen 10, 11 und 12, welche hier schematisch als Schalter 14, 15 und 16 dargestellt sind, ausgebildet. Abhängig davon, ob ein Schalter 14, 15 oder 16 geöffnet bzw. geschlossen ist, liegt an den Schaltkanälen 10, 11 und 12 eine Spannung aus einem in der 3 gezeigten gültigen Spannungsbereich 17 oder 18 an. Dabei bezeichnet V eine Spannung und t eine Zeit. Die beiden gültigen Spannungsbereiche 17 und 18 werden durch einen ungültigen Spannungsbereich 20 voneinander getrennt, wobei ein von den Spannungsbereichen 17 bis 21 gebildetes Spektrum oben und unten von jeweils einem ungültigen Spannungsbereich 19 bzw. 21 begrenzt wird. Damit kann ein Schaltzustand der Schalteinheit 7 durch drei Spannungen mit Werten jeweils aus den gültigen Spannungsbereichen 17 und 18 beschrieben werden. Die in der 2 gezeigte Schalteinheit 7 befindet sich in einem Schaltzustand, bei dem die Schalter 14 und 16 geöffnet sind und der Schalter 15 geschlossen ist. Damit liegt an den Schaltkanälen 10 und 12 jeweils eine Spannung mit einem Wert aus dem gültigen Spannungsbereich 17, und an dem Schalter 15 eine Spannung mit einem Wert aus dem gültigen Spannungsbereich 18 an. Die Schalteinheit 7 kann derart beschaltet werden, dass dieser Schaltzustand dem Status AUS entspricht. Der Status EIN kann z. B. durch einen Schaltzustand realisiert werden, bei dem die Schalter 14 und 16 geschlossen sind und der Schalter 15 geöffnet ist, also an den Schaltkanälen 10 und 12 jeweils eine Spannung mit einem Wert aus dem gültigen Spannungsbereich 17 und an dem Schaltkanal 11 eine Spannung mit einem Wert aus dem gültigen Spannungsbereich 18 anliegt. Diese beiden Schaltzustände werden von der Erfassungsvorrichtung 3, welche in der 2 nicht dargestellt ist, durch jeweils drei Bits codiert. Z. B. kann der Status AUS als {0, 1, 0} und der Status EIN durch {1, 0, 1} codiert werden. Diese Wahl von Schaltzuständen bzw. der Codierung ist deshalb vorteilhaft, da die Zeichenketten 0, 1, 0 und 1, 0, 1 eine Hamming-Distanz von 3 besitzen. Somit kann ein Einfachfehler in der Übertragung mittels der Übertragungsvorrichtung 5 zuverlässig erkannt und korrigiert werden. Beispielsweise ist es denkbar, dass die Schalteinheit 7 für ein Ein- und Ausschalten eines Autopiloten eines Flugzeugs zuständig ist. Gibt nun ein Bediener bzw. ein Pilot den Schaltzustand EIN ein bzw. betätigt er die Schalteinheit 7, so befindet sich die Schalteinheit 7 danach im Status EIN. Die mit der Eingabe des Schaltzustands verbundenen Statusdaten werden von der Übertragungsvorrichtung 5 zu der Steuervorrichtung 23 übertragen, wobei ein Doppelpfeil 22 anzeigt, dass die Übertragung bidirektional erfolgen kann. Die Steuervorrichtung 23 führt den mit den Statusdaten verbundenen Steuerbefehl aus bzw. ändert ihren Status auf Autopilot EIN. Die mit der Statusänderung der Steuervorrichtung 23 verbundenen Statusdaten bzw. Integritätsdaten werden mittels der Übertragungsvorrichtung 5 zu der Verarbeitungsvorrichtung 4, welche in der 2 nicht dargestellt ist, übertragen, dort verarbeitet und anschließend mittels den beiden Ausgabeeinheiten 9 und 24 der Ausgabeeinrichtung 8 der Bedienvorrichtung 2 zweifach redundant ausgegeben. Anhand dieser Rückmeldung kann der Bediener bzw. der Pilot also erkennen, dass die Eingabe des Schaltzustands bzw. der Steuerbefehl auch tatsächlich von der Steuervorrichtung 23 erkannt bzw. ausgeführt wurde. Dabei überwacht die Erfassungsvorrichtung 3 die Ausgabe und übermittelt eine Rückmeldung an die Steuervorrichtung 23, wobei sie die Ausgabe wie eine Eingabe behandelt. Insgesamt werden durch die Erfindung alle erforderlichen Ressourcen in einer integrierten Einheit zusammengeführt, die im Fall von einfachen bzw. mehrfachen internen Fehlern zuverlässige und abgesicherte Eingaben über eine ebenfalls fehlertolerante Übertragungsstrecke an eine Steuervorrichtung übermittelt, über eine fehlertolerante Übertragungsstrecke von der Steuervorrichtung empfangene Informationen zuverlässig anzeigt und eine Rückmeldung hierüber übermittelt, und dabei derart ausgebildet ist, dass ein Austausch funktionsgleicher Komponenten möglich ist.The 2nd shows a schematic diagram of the circuit module 1 , the switching unit 7 the input device 6 the operating device 2nd redundant with three switching channels 10th , 11 and 12th , which here schematically as a switch 14 , 15 and 16 are shown, trained. Depends on whether a switch 14 , 15 or 16 is open or closed, is due to the switching channels 10th , 11 and 12th a tension from one in the 3rd shown valid voltage range 17th or 18th at. V denotes a voltage and t a time. The two valid voltage ranges 17th and 18th are caused by an invalid voltage range 20th separated from each other, one of the voltage ranges 17th to 21 formed spectrum above and below from an invalid voltage range 19th respectively. 21 is limited. This can be a switching state of the switching unit 7 by three voltages with values from the applicable voltage ranges 17th and 18th to be discribed. The in the 2nd shown switching unit 7 is in a switching state in which the switch 14 and 16 are open and the switch 15 closed is. This is due to the switching channels 10th and 12th one voltage each with a value from the valid voltage range 17th , and at the switch 15 a voltage with a value from the valid voltage range 18th at. The switching unit 7 can be wired in such a way that this switching status corresponds to the OFF status. The status ON can e.g. B. realized by a switching state in which the switch 14 and 16 are closed and the switch 15 is open, i.e. on the switching channels 10th and 12th one voltage each with a value from the valid voltage range 17th and on the switching channel 11 a voltage with a value from the valid voltage range 18th is present. These two switching states are determined by the detection device 3rd which in the 2nd is not shown, encoded by three bits each. For example, the status OFF can be encoded as {0, 1, 0} and the status ON as {1, 0, 1}. This selection of switching states or the coding is advantageous because the character strings 0, 1, 0 and 1, 0, 1 have a Hamming distance of 3. Thus, a single error in the transmission by means of the transmission device 5 be reliably recognized and corrected. For example, it is conceivable that the switching unit 7 is responsible for switching an aircraft's autopilot on and off. If an operator or a pilot enters the switching state ON or actuates the switching unit 7 , the switch unit is located 7 then in the ON status. The status data associated with the input of the switching state are transmitted by the transmission device 5 to the control device 23 transferred with a double arrow 22 indicates that the transfer can be bidirectional. The control device 23 executes the control command associated with the status data or changes its status to autopilot ON. The one with the status change of the control device 23 connected status data or integrity data are transmitted by means of the transmission device 5 to the processing device 4th which in the 2nd is not shown, transmitted, processed there and then by means of the two output units 9 and 24th the output device 8th the operating device 2nd issued twice redundant. On the basis of this feedback, the operator or the pilot can thus recognize that the input of the switching state or the control command is actually from the control device 23 was recognized or executed. The detection device monitors 3rd the output and transmits feedback to the control device 23 , treating the output as input. Overall, the invention brings together all the necessary resources in an integrated unit which, in the case of single or multiple internal errors, transmits reliable and secure inputs to a control device via a likewise fault-tolerant transmission path, reliably displays information received from the control device via a fault-tolerant transmission path and a feedback about this is transmitted, and is designed such that an exchange of functionally identical components is possible.

Claims

Method for fault-tolerant wiring of electronic devices, in particular avionic devices or the like, with a circuit module (1), the electronic device being controlled by means of a control device (23) of the circuit module, with an input device (6) using at least one switching unit (7) An operating device (2) of the circuit module is entered into one of at least two possible switching states, whereby by means of a transmission device (5) of the switching module status data, which describe a status of the at least one switching unit, in particular after the switching state has been entered, from the operating device to the control device are transmitted, a status of the control device being changed in accordance with the status data, characterized in that the at least one switching unit is designed redundantly with at least three switching channels (10, 11, 12), one downstream of the operating device Detection device (3) of the circuit module carries out a plausibility check of the input, the detection device generating the status data and integrity data describing a quality of the status data when the switching state is entered, a processing device (4) of the circuit module downstream of the detection device and upstream of the transmission device Status data and the integrity data processed.

Procedure according to Claim 1 , characterized in that the switching state is detected by values applied to the at least three switching channels (10, 11, 12) with values only from a number of valid voltage ranges (17, 18), with at least one invalid voltage range (19 20 21), the number of valid voltage ranges being proportional to a number of possible switching states of the at least one switching unit (7), a spectrum formed by the valid and invalid voltage ranges being bounded by an invalid voltage range at the top and bottom.

Procedure according to Claim 2 , characterized in that the detection device (3) detects an error due to voltages from invalid voltage ranges (19, 20, 21), concluding from one invalid type of voltage a type of error.

Procedure according to one of the Claims 1 to 3rd , characterized in that a failure of the at least one switching unit (7) is connected to a specific switching state of the at least one switching unit known to the detection device (3) and the control device (23).

Procedure according to one of the Claims 1 to 4th , characterized in that the detection device (3) software-based or by means of programmable logic debouncing the at least one switching unit (7).

Procedure according to one of the Claims 1 to 5 , characterized in that the status of the at least one switching unit (7) is output by means of at least one output unit (9, 24) of an output device (8) of the operating device (2).

Procedure according to one of the Claims 1 to 6 , characterized in that the status data are transmitted to the control device (23) only in the case of a sufficiently high quality by means of the transmission device (5).

Procedure according to one of the Claims 1 to 7 , characterized in that the control device (23) changes its status only in the case of a sufficiently high quality of the status data.

Procedure according to one of the Claims 1 to 8th , characterized in that the status data and the integrity data are transmitted to the control device (23) by means of the transmission device (5).

Procedure according to one of the Claims 1 to 9 , characterized in that the integrity data are output by means of at least one output unit (9, 24) of an output device (8) of the operating device (2).

Procedure according to one of the Claims 1 to 10th , characterized in that the control device (23) after its status change, status data which describe the status of the control device after its status change, and integrity data which describe a quality of this status data, said status data being transmitted by means of the transmission device (5), said status data being processed by the processing device (4), the status described by said status data being output by means of at least one output unit (9, 24) of an output device (8) of the operating device (2).

Procedure according to Claim 11 , characterized in that the status is output redundantly at least twice.

Procedure according to Claim 11 or 12th , characterized in that the output is monitored.

Procedure according to one of the Claims 1 to 13 , characterized in that in a fixed cycle, preferably every 5 ms, status data or integrity data, which describe the status of the operating device (2) or the control device (23) or a quality of these status data, is generated and fed to the transmission device (5) the transmission device bidirectionally transmits the status data or integrity data supplied to it in a fixed cycle, preferably every 50 ms, the transmission device being queried in a fixed cycle, preferably every 5 ms, for the transmitted status data or integrity data.

Procedure according to Claim 14 , characterized in that a status change of the operating device (2) by the control device (23) or the control device is only recognized by the operating device when, within a certain time window, preferably 50 ms, two identical data packets with the same status data and integrity data to the control device or the control device are transmitted.

Method according to one of the preceding claims, characterized in that the status data or integrity data to be transmitted are encoded with a Hamming distance which is appropriate for a criticality level of the status data or integrity data to be transmitted, the transmission device (5) depending on a transmission error recognized by the Hamming distance and, if possible, automatically corrected.

Method according to one of the preceding claims, characterized in that the transmission device (5) recognizes a transmission error by means of a parity bit.

Circuit module (1) for fault-tolerant wiring of electronic devices, in particular of avionic devices or the like, the electronic device being controllable by means of a control device (23) of the circuit module, the circuit module being an operating device (2) with an input device (6) with at least one switching unit (7) for inputting one of at least two possible switching states, whereby by means of a transmission device (5) of the switching module status data describing a status of the at least one switching unit, in particular after the switching state has been entered, can be transmitted from the operating device to the control device, wherein a status of the control device can be changed according to the status data , characterized in that the at least one switching unit is designed redundantly with at least three switching channels (10, 11, 12), with a plausibility check of the input du The status data and integrity data, which describe a quality of the status data, can be generated by means of the detection device when the switching state is entered, wherein the status data and the integrity data can be processed by means of a processing device (4) of the circuit module downstream of the detection device and upstream of the transmission device .

Circuit module after Claim 18 , characterized in that the operating device (2), the detection device (3), the processing device (4) and the transmission device (5) are of modular design.

Circuit module after Claim 18 or 19th , characterized in that a button, a rotary knob, a step switch or a touch-sensitive surface is provided as at least one switching unit (7).

Circuit module according to one of the Claims 18 to 20th , characterized in that the operating device (2) has an output device (8) with at least one output unit (9, 24).

Circuit module after Claim 21 , characterized in that an LED or a display is provided as at least one output unit (9, 24).

Circuit module according to one of the Claims 18 to 22 , characterized in that an electronic bus system, preferably an ARINC-429, is provided as the transmission device (5).

Circuit module according to one of the Claims 18 to 23 , characterized in that the transmission device (5) is formed with at least two transmission channels (13).