-
Redundantes Steuer- oder Regelsystem Die vorliegende Erfindung betrifft
Steuer- oder Regelsysteme, insbesondere auf analoger Basis arbeitende elektronische
Steuersysteme, bei denen durch Verwendung einer Mehrzahl redundanter Koaponenten
ein hoher Grad an Zuverlässigkeit erzielt wird.
-
Es ist allgemein bekannt, mehrere Komponenten vorzusehen, die gleichzeitig
und parallel zueinander dieselbe Funktion ausüben, um ein Steuer- oder Regelsystem
gegen unvorhergesehene Fehlfunktionen zu schützen. Die Ausgänge dieser Komponenten
sind an eine Schalteinheit angeschlossen, die "Mehrheitsgatter" ("Voter" bzw. "Restorer")
genannt wird und dazu dient, trotz der Fehlfunktion einer oder mehrerer der einzelnen
Komponenten das gewünschte Ausgang signal zu liefern. Fürsolche Mehrheitsgatterkommt
oine Vielzahl von Ausführungsformenin Frage. Eine solche bekannte Ausführungsform
erhält beispielsweise drei Signale, bestimmt,welche beiden der insgesamt drei zugeführten
Signale einander amnächstenkomen,und bildet dann den Mittelwert dieser beiden einander
am nächsten kommenden Signale als Ausgangssignal, während dzdas dritte Signal zurückweist.
In der Digitaltechnik sind Mohrheitsgatterbekannt, die eine mehrzahl Eingangssignale
erhalten, die jeweils ein EiN-Signaloder ein AUS-Signal sind.und ein Ausgangssignal
entsprechend
der Mehrheit der Eingangssignale bilden. In ähnlicher Weise lassen sich weitere
Mehrheitsgatter (Restorer) ausbilden, die nach weiteren Prinzipien arbeiten.
-
Ein Problem, das in Verbindung mit elektronischen Steuer- oder Regelsystemen
bzw. -subsystemen mit einer Mehrzahl gleichartiger, redundanter Komponenten auftritt,
ist darin zu sehen, daß es sich gewöhnlich nicht als praktikabel erwies, bei Betrieb
des Systems eine Anzeige darüber zu erhalten, in welchem Umfang die ursprünglich
vorgesehene Redundanz und damit ein Schutz gegen Fehlfunktionen des Systems weiterhin
gegeben ist. Zur Veranschaulichung sei angenommen, daß ein System mit drei parallel
zueinander arbeitenden Komponenten die Ausgangssignal^ dieser drei Komponenten an
ein Mehrheitsgatter liefert, das in der vorstehend erläuterten Weise den Mittelwert
der beiden einander am nächsten kommenden Signale bildet, das dritte Signal dagegen
zurückweist. Sobald eine der drei Komponenten ausgefallen ist, geht auch der Schutz
aufgrund der Redundanz verloren, und ein Ausfall einer der bei8en verbleibenden
Komponenten führt dann zu einer Fehlfunktion. Bei höhergradiger Redundanz (bei der
beispielsweise fünf oder sieben Komponenten parallelgeschaltet sind) wird die Zuverlässigkeit
des Systems erheblich gesteigert, aber gleichzeitig nimmt entsprechend auch die
Schwierigkeit zu, dann festzustellen, ob eine oder mehrere der einzelnen Komponenten
ausgefallen sind oder nicht und in welchem Maße dadurch eine Fehlfunktion des Systems
verursacht werden kann. Die Bedeutung dieser Probleme nimmt auch insofern weiter
zu, als das Redundanzprinzip nicht nur auf die Funktion einer einmelonen Komponente,
sondern auf die Funktionen einer großen Zahl solcher Komponenten, den Ausgang von
Subsystemen oder sogar den Ausgang ganzer Systeme Anwendung findet.
-
Äufgabe vorliegender Erfindung ist daher die Schaffung redundanter
Steuer- oder Regelsysteie, die sowohl eine höhere Zuverlässigkeit als bisher als
auch gleichzeltig eine höhere Ubersichtlichkeit besitzen.
-
Zur Lösung dieser Aufgabe ist ein Steuer- oder Regelsystem hoher Zuverlässigkeit,
mit einer Mehrzahl identischer, in parallelen Zweigen auf einen gemeinsamen Eingang
mit gemeinsamer Funktion arbeitender Komponenten, die ausgangsseitig jeweils an
ein Mehrheitsgatter angesclossen sind, das bei einwandfreier Arbeitsweise einer
Komponente ein dem Ausgangssignal/dieser Komponentalentsprechendes Ausgangssignal
abgibt, erfindungsgemffil3 dadurch gekennzeichnet, daß ausgangsseitig mit den Komponenten
ein der Reihe nach die einwandfreie Arbeitsweise der einzelnen Komponenten erfassendes
und die Schadhaftigkeit einer oder mehrerer dieser Komponenten anzeigendes Computergerät
gekoppelt ist.
-
Mit Hilfe dieses Computergerätes können die einzelnen Ausgänge mit
vorgegebenen Werten wrgliehen werden, und es kann dann bestimmt werden, ob diese
Ausgänge im wesentlichen einem vorgegebenen Wert entsprechen oder innerhalb eines
vorgegebenen Bereiches liegen. Falls eins oder mehrere dieser Ausgänge diese Bedingung
nicht erfüllen, kann dieser Zustand angezeigt und/oder ein Steuer-bzw. Regelvorgang
eingeleitet werden, etwa in der Form, daß die schadhafte Komponente von dem System
abgetrennt und statt dessen dne Ersatzkomponente in das System eingeschaltet wird,
so daß das System praktisch einen selbstheilenden Charakter erhält.
-
Die Erfindung wird nachstehend zusammen mit weiteren Merkmalen anhand
eines Ausführungsbeispiels in Verbindung mit der zugehörigen Zeichnung erläutert.
In der Zeichnung zeigen: Fig. 1 schematisch ein Blockschaltblld eines erfindungsgemäß
aufgebauten Regelsystems; und Fig. 2 schematisch ein Schaltbild eines zweiten Ausfthrungsbeispiels
eines Regelsystems nach der Erfindung.
-
Im einzelnen ist mit Fig. 1 eine Anordnung mit Einheiten 2, 4 und
6 gezeigt, die jeweils im wesentlichen identisch aufgebaut und von einer Eingangsquelle
über eine gemeinsame Sammelleitung 10 gespeist sind. Uber Ausgangsleitungen 12,
14 bzw. 16 geben die
Einheiten 2, 4 bzw. 6 ihre Ausgangssignale
an ein Mehrheitsgattet (Restorer), an dessen Ausgang eine Leitung 22 angeschlossen
ist.
-
Der Aufbau dieser Anordnung ist als solcher herkömmlich, Uber Leitungen
24, 26 bzw. 28 ist mit den Leitungen 12, 14 bzw. 16 ein Computergerät 30 verbunden,
das mit verhältnismäßig geringer Häufigkeit und mit vorgegebenen zeitlichen Abständen
die Ausgangssignale der einzelnen Leitungen 12, 14 bzw. 16 überwacht, indem es die
verschiedenen Ausgangssignale mit einem vorgegebenen Wert oder Bereich vergleicht
und, falls der erfaßte Signalwert von dem vorgegebenen Wert oder Bereich abweicht,
dieses Ergebnis anzeigt, beispielsweise in der Form, daß eine Leitung 32, 34 bzw.
-
36 ein Ausgangssignal erhält, das eine zugehörige Signallampe 40,
42 oder 44 aufleuchten Läßt und somit die Störung einer der Elnheiten 2, 4 oder
6 anzeigt.
-
Die vorstehende Beschreibung ist schematisch gehalten, jedoch ist
es für den Fachmann ersichtlich, daß die Einheiten 2, 4 und 6 von Widerständen,
Kondensatoren, Halbleiterelementen, integrierten Schaltkreisen oder anderen Schaltelementen
wie veränderlichen Widerständen oder Mikrominiatur-Blattfederrelais gebildet sein
können.
-
Mit Fig. 2 ist ein weiteres Ausführungsbeispiel der Erfindung veranschaulicht,
mit dem ein "selbstheilendes" elektronisches Steuersystem zur Verfügung gestellt
wird. In einer gesteuerten Zone 50 sind vier Sensoren 52, 54, 56 und 58 angeordnet.
Diese stehen jeweils über Leitungen 60 mit geeigneten Signalwandlern 62, 64, 66
bzw. 68 in Verbindung, die ausgangsseitig Leitungen 72, 74, 76 bzw. 78 mit Schaltern
82, 84, 86 bzw. 88 speisen. Diese letztgenannten Schalter können fernbedient werden,
wie das weiter unten beschrieben wird. Mit den Leitungen 72 - 78 ist ein Mehrheitsgatter
90 (Restorer) verbunden, das - wie weiter oben erwähnt -auf der Basis arbeiten kann,
daß der Mittelwert gebildet und dann ein abweichendes Signal ausgeschieden wird.
Der Ausgang des Mehrheitsgatters 90 steht über eine Leitung 92 mit einem Summierglied
94 in Verbindung, dem Uber eine Leitung 96 ein geeignetes Steuersignalzugeführt
wird,
das den Sollwert eines Parameters wie Temperatur, Druck o. dgl. repräsentiert, der
in der gesteuerten oder geregelten Zone 50 eingehalten werden soll. Das Summierglied
94 gibt dabei huber eine Leitung 98 ein Fehlersignal ab, das über eine Sammelleitung
99 und Zweigleitungen 100 vier Steuereinheiten 102, 104, 106 und 108 speist. Ausgangsseitig
sind die Steuereinheiten 102 - 108 über Leitungen 112, 114,-116, 118 mit ferngesteuerten
Schaltern 122, 124, 126, 128 an ein zweites Mehrheitsgatter (Restorer) angeschlossen,
das wiederum auf der Basis der Mittelwertbildung und anschließenden Ausscheidung
arbeiten kann. Das Mehrheitsgatter 130 gibt ein Signal ab, das huber eine Leitung
132 zu einem den jeweiligen Parameter beeinflussenden Glied 134 gelangt.
-
Dieses Glied, dessen Beschaffenheit von der Art des jeweiligen Parameters
abhffingt, wirkt über eine Verbindung 136 auf die gesteuerte oder geregelte Zone
50 zurück. Handelt es sich bei dem Parameter um die Temperatur, so kann das zur
Beeinflussung des Parameters dienende Glied 134 beispielsweise von einem verstellbaren
Widerstand gebildet sein, der die Aufheizung eines in der geregelten Zone 50 angeordneten
Heizwiderstandes steuert. FUr den Fall der Steuerung eines Kernreaktors kann das
zur Beeinflussung des Parameters vorgesehene Glied 134 von einem Servomechanismus
gebildet sein, der die Lage eines oder mehrerer Kontrollstäbe des Reaktors steuert.
Handelt es sich bei dem Parameter um einen Flüssigkeitsspiegel, so kann das Glied
134 von einem Ventil für die Steuerung für die Strömung der Flüssigkeit in bezug
auf die geregelte Zone 50 sein. Analog kommen eine Reihe anderer Möglichkeiten in
Frage.
-
Die Leitungen 72 - 78 sind über Querleitungen 142, 144, 146 bzw.
-
148 mit einem Computergerät 150 verbunden. Ähnlich stehen die Leitungen
112 - 118 über Leitungen 1521 154, 156 bzw. 158 mit dem Computergerät 150 in Verbindung.
Das Computergerät 150 steht dann operativ, wie mit den Linien 162, 164, 166 bzw.
168 angedeutet, wie mit den Schaltern 82 - 88 sowie/mit den Linien 172 - 178 angedeutet,
mit den Schaltern 122 - 128 in Verbindung.
-
Vorzugsweise wird nur ein kleiner Bruchteil der Betriebszeit des Computergerätes
150 für die Überwachung der Anordnung aufgewandt.
-
Das Computergerät 150 ist so programmiert, daß es zusätzlich zu der
Vielzahl anderer Funktionen, die davon ausgeführt werden können, periodisch und
sukzessiv die Signale prüft, die im über die Querleitungen 142 - 148 und 152 - 158
zugeführt werden, diese dann mit einem vorgegebenen Wert oder Bereich vergleicht
und hierauf derart wirksam wird, daß - falls die entsprecheaden erfaßten Signalwerte
nicht mit der vorgegebenen Bezugsgröße bereinstimmen - die Lage eines entsprechenden
Schalters bzw. entsprechender Schalter 82 - 88 und 122 - 128 geändert wird.
-
Es sei beispielsweise angenommen, daß die Schalter 82, 84 und 86 sich
in der in Fig. 2 gezeigten Lage befinden, so daß die Parametererfassung in der geregelten
Zone mittels der Sensoren 52 - 56 erfolgt. Der Schalter 88 ist geöffnet, so daß
der Parallelzweig mit dem Sensor 58 und der Leitung 78 unwirksam bleibt und als
Reserve dienen kann. Solange die Sensoren 52 - 56 und die Signalwandler 62 - 66
dnwandfrei arbeiten, d.h., keine Werte liefern, die außerhalb des in dem Programm
des Computergerätes 150 vorgegebenen Bereiches liegen, bleibt der Zustand der Schalter
82 - 86 unverändert. Erfahrt jedoch der Sensor 52 eine Störung, so wird dies von
dem Computergerät 150 erfaßt, das dann über die mit den Linien 162 und i68 angedeuteten
Kopplungen für eine Öffnung des Schalters 82 und eine Schließung des Schalters 88
sorgt. Dadurch wird die einwandfreie Arbeitsweise des Ab£ghlsyst2-8 wieder hergestellt,
in der das System durch dreifache Redundanz vorschriftsmäßig geschützt ist. Vorzugsweise
ist das Coaputergerkt 150 ferner so programmiert, daß de Operator durch geeignete
Schauzeichen angezeigt wird, welcher Sensorzweig bzw. welche Sensorzweige im einzelnen
ausgefallen sind, so daß die Reparatur in erheblichem Maß erleichtert wird.
-
Die Wirkungsweise des Coiputergerätes 152 in bezug auf die Ausgänge
ge der Steuereinheiten 102 - 108 ist naturgemäß ähnlich.
-
Die Zuverlässigkeit eines Systems mit einem überwachenden Computergerät
ist größer als bei einem ähnlichen redundanten System bohne Computer, unabhängig
davon, wie groß der Zuverlässigkeitsgrad des Computergerætes an sich ist. Mit anderen
Worten, das redundante System kann ohne Computergerät ziemlich zuserlkssig sein,
wobei das Computergerät dann zu einer mehr oder weniger großen Verbesserung der
Zuverlässigkeit führt, je nach der Zuverlässigkeit des Computergerätes selbst. Dabei
wird von der Voraussetzung ausgegangen, daß das Computergerät selbst störungsfrei
arbeitet, d.h., bei Ausfall zu keiner Gefährdung eines an sich einwandfrei arbeitenden
Systems führt.
-
Eine weitere im Bereich der vorliegenden Erfindung liegende Möglichkeit
besteht darin, eine Anzahl identischer Bauelemente zu verwenden, so daß, während
sich ein Teil dieser Bauelemente in Betrieb befindet, ein anderer Teil dieser Bauelemente
von dem Computergerät auf seine einwandfreie Arbeitsweise hin überprüft und dann,
bei positivem Ergebnis der Prüfung, wieder in das System eingeschaltet werden kann.
-
Das Computergerät kann auf eine weitere Weise arbeiten. In einigen
Fällen werden zunächst alle die identischen Bauelemente oder Komponenten in Betrieb
genommen und das Computergerät wird dann so eingesetzt, daß es der Reihe nach jede
einzelne Komponente prüft und dann schadhafte Komponenten außer Betrieb setzt. Das
Mehrheitsgatter (Restorer) wird so während des Betriebs des Systems zu unterschiedlichen
Zeiten mit einer unterschiedlichen Anzahl von Eingangssignalen gespeist, so daß
es dann beispielsweise einen mittleren oder den niedrigeren der beiden dem mittleren
Wert am nächsten kommenden Werte auswählt. In Verbindung mit einem solchen Mehrheitsgatter
wäre es natürlich wesentlich, daß als schadhaft ermittelte Komponenten aus dem System
herausgenommen werden.
-
In einigen Fällen kann es sich als vorteilhaft erweisen, mit einem
System zu arbeiten, bei dem mehrere Mehrheitsgatter (Restorer) verwendet werden,
die parallel zueinander die gleiche Funktion
ausüben. Mit einem
solchen System ist es auch möglich, ein überwachendes Computergerät zu benutzen,
um die Ausgänge der. einzelnen Mehrheitsgatter zu überwachen und, wenn dies als
vorteilhaft anzusehen ist, die schadhaften Ausgänge abzutrennen. Insbesondere können
auch Computergeräte verwendet werden, um die Ausgangssignale einzelner Subsysteme
zu überprüfen, die jeweils eine oder mehrere Einzelkomponenten enthalten und jeweils
von einem zugeordneten Mehrheitsgatter gespeist werden, wobei der Ausgang des Subsystems
abgetrennt wird, wenn sein Signal wegen einer Störung des zugeordneten Mehrheitsgatters
oder einer Einzelkomponente des Subsystems außerhalb des vorgegebenen Bereiches
liegt. Diese letzÇ genannte Verwendung eines Computergerätes in Verbindung mit mehreren
parallel zueinander arbeitenden Mehrhettsgattern führt in vielen Fällen zu einer
wesentlichen Verbesserung der Zuverlässigkeit des gesamten Systems.
-
Der Ausdruck "Steuer-" bzw. "Regelsystem" ist im vorliegenden Zusammenhang
ganz allgemein zu versehen, so daß auch Kombinationen von elektrischen oder mit
Fluden arbeitenden Systemen darunterfallen, die sowohl zur reinen Anzeige als auch
zu Steuer- oder Regelzwecken dienen.
-
Die vorstehende Erläuterung von Ausführungsbeispielen zeigt lediglich
dasfrinzip der Erfindung, das weder auf die Anzahl der verwendbaren Kanäle - abgesehen
davon, daß für ein kontinuierlich und mit hoher Zuverlässigkeit arbeitendes System
zumindest drei solcher Kanäle vorgesehen sein müssen - noch hinsichtlich des Aufbaus
des Mehrheitsgatters beschränkt ist.
-
Patentansprüche;