DE1952349B2 - Anordnung zur pruefung eines redundanten regelsystems - Google Patents

Description

Pie Erfindung betrifft eine Anordnung zur Prüfung der Glieder eines redundanten Regelsystcms, das mindestens drei parallele Regelketten und einen Monitor aufweist, der zur Überwachung der Regelketten dient und die jeweils fehlerhafte mit Hilfe einer Abschalteinrichtung abschaltet.

In der Regelungstechnik werden oft redundante Regelsysleme verwendet, bei denen mehrere parallele Regelkelten auf eine Regelstrecke wirken. Derartige Reneisysteme werden insbesondere zur Steuerung \o«. Flugzeugen benutzt, bei denen beim Ausfall einer Regelkette aus Sicherheitsgründen keine Störung auftreten darf. Daher werden, um ein hohes Maß an Zuverlässigkeit zu erzielen, die Regelketten dupliziert oder tripi'ziert und durch Motore überwacht.

Das hohe Maß der Zuverlässigkeit läßt sich jedoch nur dann erreichen, wenn die Funktionsfähigkeit aller Glieder eines redundant Regelsystems vor jedem Einsatz überprüft wird. Eine manuelle Überprüfung eines reduntanten Regelsystems ist jedoch wegen der Vielzahl der durchzuführenden Prüiungen. wegen des erforderlichen Zeitaufwandes und wegen der Kompliziertheit der Prüfunge.i praktisch nicht möglich. Darüber hinaus würde eine manuelle Prüfung qualifizierte und sehr zuverlässige Fachmänner erfordern. Daher ist es zweckmäßig, eine derartige Prüfung automatisch durchzuführen, da nur uui dfese Weise eine geringe Prüfzeit und die notwendige Prüfsicherheil erzielbar sind.

Bei der Prüfung dor Funktioiisfähigkeit ist es bekannt, die im betriebszustand vorhandenen Hin gangssignale an den einzelnen Gliedern eines Regelsystem* zu simulieren und die dabei entstehenden Reaktionen mit gespeicherten Sollwerten zu vergleichen. Weichen die Reaktion vor¹ den Sollwerten ab, wobei bestimmte Toleranzen zulässig sind, dann ist ein Glied fehlerhaft. Eine derartige, über das t«.samte redundante Regelsystem durchgeführte Prüfung würde aber eventuell vorhandenene Fehler nicht ermiiteln. da delek ί Regelketten durch den Monitor erkannt und mit Hilfe der Abschalteinrichtung abgeschaltet werden. Zur Vermeidung derartiger lalle mußte jede Regelkette im einzelnen überprüft werden. Das erfordert aber eine Abtrennung der jeweils zu prüfenden Regelkette von dem Regelsystem und damit einen Eingriff in das Regelsystem. Das ist aber bei Flugregelsystemen aus Sicherheitsgründen unerwünscht: darüber hinaus erfordert eine derartige Prüfung einen großen Zeitaufwand und ein teures Vcrgleichsnormal von sehr großer Genauigkeit.

Der Erfindung liegt daher die Aufgabe zugrunde, eine Prüfanordnung vorzusehen, mit deren Hilfe es möglich ist. ein vermehrfachtes und durch einen Monitor überwachtes Regelsystem ohne Auftrennung in seine Einzelglieder in einem Vorgang zu prüfen.

Erfindungsgemäß wird diese Aufgabe dadurch gelöst, daß dem Monitor zur Überprüfung seiner mit Hilfe einer Auswerteinheit feststellbaren Funktionsfähigkeit Prüfsignale von einer Steuereinheit zugeleitet sind und daß anschließend bestimmte, durch eine weitere Steuereinheit beeinflußbare Steuersignale die Regelkettcn, von denen jeweils zwei als Duplcxsystcm das Vergleichsnormal zur Prüfung der dritten bilden, nacheinander derart ansteuern, daß die Funktionsfähigkeit der Regelketten aus dem Verhalten des Monitors mit Hilfe der Auswerteinheit feststellbar ist.

Der Erfindung liegt der Gedanke zugrunde, daß man in einem mehrfach redundanten Regelsystem an Stelle der Prüfung jedes Einzelgliedes das Verhalten

tics Monitors auswertet und nur die Funktionsfähigkeil des Monitors prüft. Die Funktionsfähigkeit des Monilors laßt sich in einfacher Weise dadurch prüfen, daLl jedem seiner Eingänge Prüfsignale zugeführt uerden, die hei einem ersten Prüfschrit; ein Niehiaiisprechen und bei einem /weiten Prüfschrill ein Ansprechen des Monitors zur Folge haben. Das Verhalten des Monitors ist dabei eine Aussage über seine Funktionsfähigkeit und die der Regelketten. Die Prüfsignale können dem Monitor direkt oder über <lie jeweiligen Regelketter. zugeleitet werden. Beim Prüfvorgang werden zwei zu einem Duple.\s\stern zusammengefaßte Regelketten als Vergleichsnormal gegen die dritte Regelkette benutzt, da zwei Regelketten einen höheren Vertrauenswert genießen als die eine, die gerade geprüft wird. Ein weiterer Vorteil der erfindungsgemäßen Anordnung ist die Tatsache, daß sieh die Anordnung vor jedem Prüfvorgang silber !'!vrprüll. Damit ist gleichzeitig gesichert, daß angezeigte Fehler im redundanten Regelsystem wirkliche Fehler sind und nicht durch einen Fehler im Prüfgerät hervorgerufen werden.

Fin Ausführungsbeispiel der Erfindung wird an Hand der Zeichnung näher erläutert. Fs zeigt

Fig.! ein Blockschaltbild für die Moiiitorprüfunii.

F i g. 2 ein Blockschaltbild zur Prüfung der Regelketlen und

F i g. 3 ein Blockschallbild zur Selbstprüfend der Anordnung.

Das in F i g. 1 dargestellte Blockschaltbild enthält cl^rei parallelliegende Regelketten 10, 11 und 12, deren Eingängen 13. 14 und 15 \on nicht näher dargestellten Meßgebern Eingangssignal zugeführt sind. Die Ausgänge i6, 17 und 18 der Regelketten 10, 11 ind 12 sind einerseits mit je einem Eingang 21, 22 md 23 eine., Monitors 20 und andererseits mit je einem Eingang 26, 27 und 28 einer Abschalteinrichti ng 25 verbunden. Der Monitor 20 besitzt einen Schaltausgang 24, der mit einem Schalteingang 29 der Abschalicinrichtung 25 verbunden ist. Die Abschalteinrichtung 25 weist einen Ausgang 30 auf, der zu einem nicht näher dargestellten Stellglied führt. Weiterhin ist an der ALschalteinrichtung 25 ein Schaltausgang 32 vorgesehen, über den die Schaltstellung der /^schalteinrichtung 25 dem Schalteingang 34 einer Auswerteinheit 33 übermittelt wird. Der Auswerteinheit wird darüber hinaus das SoIl-Vi'ertprogramm über einen Eingang 35 zugeführt, während einem Ausgang 36 der Auswerteinheit das Prüfergebnis entnehmbar ist. Der Monitor 20 bekommt die Prüfsignalc über die Regelkctien 10, Il und 12 zugeleitet. Hierzu sind die Eingänge 13, 14 und 15 der Regelketten 10, II und 12 mit je einem Ausgang 41, 42 und 43 einer Steuereinheit 40 verbunden.

Die Prüfung des Monitors 20 erfolgt dadurch, daß die der Steuereinheit 40 entnehmbaren Prüfsignale abwechselnd zwischen zwei Regelketten 10, 11, 12 einen Pegelunterschied „ufweisen. Dieser Pegelunterschied ist bei einem eisten Prüfschritt auf einen Wert eingestellt, der unterhalb der einstellbaren Ansprechwellc des Monitors /0 liegt. Der Monitor 20 darf hierbei nicht ansprechen und die Abschalteinrichtung 25 über seinen Schaltausgang 24 nicht zur Abschaltung der Regelketten 10, 1.1, 1.2 veranlassen. Die Schaltstellung der Abschalteinrichtung 25 wird hierbei über den Schallausgang 31 dem Sehalteingang 34 der Auswerteinheit 33 zugeleitet, die den Istwert mit dem Sollwert vergleicht und bei einem Fehler am Ausgang 36 eine Anzeige macht. Sollte eir. Fehler vorliegen, dann wird mit der Anzeige des Fehlers gleichzeitig der Prüf Vorgang abgebrochen.

Liegt aber kein Fehler vor, dann erfolgt ein zweiter Prüfschritt. Bei diesem Prüfschritt ist der Pegelunlerschied der der Steuereinheit 40 entiuhmbaren ίο Prüfsignale auf einen Wert eingestellt, der oberhalb der Ansprechwelle des Monitors liegt. Hierbei muß der Monitor 20 ansprechen und über seinen Schaltausgang 24 die Abschalteinrichtung 25 zur Abschaltung der Regelkelten 10, II. 12 veranlassen. L her den Schaltausgang 32 wird dabei die Schallsteilung der Ab •cl'alteiiirichluiig 25 dem Eingang 34 dei Auswerteinheil 33 übermittelt, c . den Istwert mil dem Sollwert \ergleicht. Sollte eine Abweichung festgestellt werden, dann eriolgt eine Fehleranzeige und gleichzeitig auch ein Abbruch des Prüt Vorgarnes Bei diesem Prülvorgang werden neben der Prüiung des Monitor 20 auch die Regelketien 10. II, 12 geprüft. Hierbei werden aber nur 1 otalauslälle der einzelnen Regelketten 10, 11 und 12 als Fehler erkannt, u ahrend der Gleichlauf der Regelketten bei einem nächsten Prüfschritt geprüft wird. Sollte bei der Prüfung des Monitors 20 ein Fehler testgesiellt werden, dann kann der Fehler sowohl im Monitor 20 als auch in einer der Regelkelten 10, II und 12 liegen, so daß keine eindeutige Lokalisierung des Fehler·, vorliegt. Diese Tatsache ist aber unbedeutend, da man vornehmlich im Flugzeugbau ganze Baueinheiten gegenüber einzelnen Bauteilen auswechseln wird.

Bei der Prüiung de^ Monitors 20 können die von der Steuereinheit 40 entnommenen Prüfsignale dem Monitor 20 auch direkt zugeführt werden. Dies ist aber bei Flugregeis> steinen mit Schwierigkeiten verbunden, da hierzu der Signalweg von den Ausgängen 16, 17, 18 der Regelketten 10. M und 12 /.u den bingangen 21. 22 und 23 des Monitors 20 unteibrochen werden müßte. Derartige Unterbrechungen bedeuten aber Quellen für weitere Fehler, so daß das Zuführen der Prüfsigrale über die Regelketten günstiger ist.

Fiat die Prutung des Monitors 20 keinen Fehler ergeben, dann erfolgt die Überprüfung der Regelketten 10, 11 und 12 auf Gleichlauf. Fig. 2 zeigt ein Blockschaltbild für diesen Prüfvorgang, bei dem im Unterschied zu dem nach F i g. I die Eingänge 13, 14 und 15 der Regelketten 10, 11 und 12 mit den Ausgängen 53. 54 und 55 je eines Meßgebers 50, 51 und 52 verbunden sind. Die Meßgeber 50, 51 und 52 sind mit einem Auslenkmechanismus 56 verbunden, der durch eine Steuereinheit 57 verstellbar ist. Weiterhin ist vom Ausgang 30 der Abschalteinrichtung 25 die Verbindung 31 zu einem Stellglied 60 vorgesehen, dessen Reaktion von einem mit ihm verbundenen Komparator 61 überwacht wird. Dem Komparator 61 wird über einen Eingang 62 ein Sollwertprogramm zugeleitet, uas er mit dem Istwert des Stellgliedes 60 vergleicht. Über einen Ausgang 63 wird das Ergebnis dem Eingang 66 einer Auswerteinheit 65 zugeleitet, die das Ergebnis des Komparator abfragt und bei einem Fehler eine Anzeige macht.

Die Prüfung erfolgt auf folgende Art und Weise. Die Meßgeber 50, 51 und 52 werden durch den Auslenkmechanismus künstlich ausgelenkt. Die Größe der jeweiligen \uslenkung wird durch die Streueinheit 57 gesteuert. Bei der künstlichen Auslenkung er-

zeueen die Meßgeber 50, 51 und 52 gleich große Si- lerzähler 76 ist sowohl mit der Auswerteinheit 72 als gnale, die den Regelketten 10, 11 und 12 zugeleitet auch mit der Programmeinheit 71 verbunden. WeU sind. An Stelle der Messung der Istwerte der einzcl- terhin besteht von der digitalen Steuereinheit 74 eine nen Regelstreckenausgänge 16, 17 und 18 wird die Verbindung zur Selbsttesteinheit 80. Abschalteinheit 25 von der Auswerteeinheit 33 über- 5 Bei der automatischen Selbstprüfung, die vor jcwacht, um den Gleichlauf der Regelstrecken 10, 11 dem Prüfvorgang durchgeführt wird, werden alle von und 12 über den Monitor 20 zu erfassen. Gleichzeitig der Prüfanordnung zu erkennenden Fehler simuliert wird die Reaktion des Stellgliedes 60 gemessen und und registriert. Gleichzeitig werden alle durchzufühin dem Komparator 61 mit dem Sollwert verglichen. renden Prüfungen durch ein festgelegtes Prüfpro-Die Prüfung erfolgt so, daß das Stellglied einen Mini- io gramm von der Programmeinheit 71 an dem Prüfling malwert überschreiten muß, einen Maximalwert aber 70 vorgenommen. Die Prüfung erfolgt mit einer dernicht erreichen darf (Toleranzabtastung bei definier- art erhöhten Taktfrequenz der Prüfsignale, daß die ten Meßgebersignalen). Bei einer Abweichung des Peripherie (Prüfling) 70 auf das Sollprogramm nicht Istwertes vom Sollwert wird im Komparator 61 ein mehr anspricht und somit der Auswerteinheit 72 Signal erzeugt, das bei der Abfrage der Auswertein- 15 Fehlersignale zuführt. Bei einer elektrisch ausgeführheit 65 diese zu einer Fehleranzeige und zu einer Un- ten Anlage erwies sich eine Frequenzerhöhung um terbrechung des Prüfvorganges veranlaßt. den Faktor 1000 als sinnvoll. Die Auswerteinheit 72

Bei der mechanischen Auslenkung der Meßgeber muß dann bei jedem Prüfschritt einen Fehler im 50, 51 und 52 kann die Zeitfunktion dieses Vorgan- Prüfling feststellen, da der Prüfling auf die wesentges so gewählt werden, daß die frequenzunabhängi- »0 lieh höhere Frequenz nicht ansprechen kann. Die gen und frequenzabhängigen Glieder in den einzel- Umschaltung der Frequenz wird mit Hilfe der Umnen Regelketten 10, 11 und 12 gleiche Anteile für schalteinheit 79 vorgenommen, die den Taktgeber 75 das Ausgangssignal liefern, das dem Stellglied 60 zu- auf die gewüfschte hohe Frequenz einstellt. Alle in geführt wird. Damit kann beim Auftreten eines Feh- der Auswerteinheit 72 ermittelten Fehler werden lers in einem Aufschaltzweig einer Regelkette dieser »5 dem Fehlerzähler 76 zugeführt, der die ermittelten nicht überdeckt werden durch Überbewertung des Si- addiert und die Summe als Istwert dem Komparator gnals eines anderen Aufschaltzweiges, so daß der 77 zuführt. Der Komparator 77 vergleicht den Istwert Fehler durch den Monitor 20 erkannt wird. Der Mo- mit dem Sollwert, der dem Komparator 77 von der nitor 20 spricht an und veranlaßt die Abschaltein- Steuereinheit 78 zugeleitet ist. Bei Übereinstimmung richtung 25 zur Abschaltung der fehlerhaften Regel- 30 des Istwertes mit dem Sollwert arbeitet die Prüfanordkette. Bei dieser Prüfung wird mit der Feststellung nung fehlerfrei. Liegt dagegen keine Übereinstimmung eines Fehlers gleichzeitig auch der Fehlerort eindeu- zwischen Istwert und Sollwert vor, dann liefert der tig festgelegt. Mit der Abschaltung der fehlerhaften Komparator 77 ein Fehlersignal, das der Fehleran-Regelkette wird gleichzeitig die Auswerteinheit 33 zeigeneinheit 73 zugeführt ist, die eine Fehleranzeige angesteuert, die eine Fehleranzeige macht und den 35 macht.

Prüfvorgang abbricht. Diese Art der Selbstprüfung umfaßt nahezu alle

Um Fehleraussagen auszuschließen, die auf Grund Bauelemente der Prüfanordnung und liefert daher eines Defekts in der Prüfanordnung entstehen kön- einen hohen Vertrauenswert. Darüber hinaus erfornen, ist vor jedem Prüfvorgang ein Prüfschritt vorge- dert die Selbstprüfung nur einen sehr geringen zusehen, bei dem sich die Prüfanordnung selbst prüft. 40 sätzlichen Zeitaufwand, da sie einerseits mit einer F i g. 3 zeigt ein Blockschaltbild für die Selbstprü- wesentlich höheren Taktfrequenz durchgeführt wird fung. Hierzu wird auch das zu prüfende Regelsy- und andererseits von den Zeitkonstanten des zu prüstem verwendet, das hierbei kurz als Prüfling 70 be- fenden Systems unabhängig ist. zeichnet ist. Der Prüfling 70 ist mit einer Programm- Der Aufbau der Selbsttesteinheit läßt sich zum

einheit 71 verbunden, die einerseits über einen Aus- 45 größten Teil mit bekannten digitalen Bausteinen ausgang mit einer Auswerteinheit 72 und über einen führen, die auf Grund der heute üblichen Schalzweiten Eingang mit dem Prüfling 70 verbunden ist. tungstechnik für ihren Aufbau nur einen sehr gerin-An die Auswerteinheit 72 ist eine Fehleranzeige 73 gen Raumbedarf benötigen.

angeschlossen, die über einen weiteren Eingang mit Aber auch die weiteren Bausteine, wie z.B. die

einem Komparator 77 der Selbsttesteinheit 80 ver- 5° Komparatoren, di mit Operationsverstärkern bebunden ist. Die Programmeinheit 71 ist mit einer di- stückt werden können, lassen sich mit sehr kleinen gitalen Steuereinheit 74 verbunden, die wiederum an räumlichen Maßen herstellen, so daß die gesamte einen Taktgeber 75 angeschlossen ist. Der Taktgeber Prüfanordnung nur einen sehr geringen Raumbedarf 75 ist mit einer Umschalteinheit 79 verbunden, die erfordert. Deshalb läßt sich die Prüfanordnung sehr Teil der Selbsttesteinheit 30 ist. In der Selbsttestein- 55 gut für Prüfungen im Flugzeugbereich, insbesondere heit 80 sind weiterhin für den Sollwert eine Steuer- als Bordgerät für Flugzeuge verwenden, wo sie sich einheit 78 vorgesehen, die über den Komparator 77 bei einem Fehler durch eine andere leicht auswechmit einem Fehlerzähler 76 verbunden ist. Der Feh- sein läßt.

Hierzu 1 Blatt Zeichnungen

Claims (7)

Patentansprüche:

1. Anordnung zur Prüfung der Glieder eines redundanten Regelsystems, das mindestens drei parallele Regelketten und einen Monitor aufweist, der zur Überwachung der Regt !ketten dient und die jeweils fehlerhafte mit Hilfe einer Abschaltvorrichtung abschaltet, dadurch gekennzeichnet, daß dem Monitor (20) zur Überprüfung seiner mit Hilfe einer Auswerteinheit (33) feststellbaren FunKtionsfähigkeit Prüfsignale von einer Steuereinheit (40) zugeleitet sind und daß anschließend bestimmte, durch eine weitere Steuereinheit (57) beeinflußbare Steuersignale die Regelketten (10, 11, 12). von denen jeweils zwei aU Duplexsystem das Vergleich normal /ur Prüfung der dritten bilden, nacheiiu ;ider derart . nsteuern, daß die Funktionstahigkeit der Regelketten (10, II. 12) aus dem Verhalten des Monitors (20) mil Hilfe der AusW'Mieinheit (33) feststellbar ist.

2. Anordnung nach Anspruch 1 dadurch gekennzeichnet, daß die dem Monitor (20) zugeführten Prüfvignale den Ausgängen (41. 42, 43) einer Steuereinheit (40) entnehmbar sind und daß die Prüfsignale iibwechselrd zwischen zwei Ausgangen einen Pegelunterschied aufweisen, der bei einem ersten Prüfschri'" auf einen unterhalb einer einstellbaren Ansprechschwelle des Monitors (20) liegenden Wert und bei einem zweiten Prüfschritt auf einen oberhalb der An-prcc^schwelle liegenden Wert eingestellt ist.

3. Anordnung nach Anspruch 1 und 2, dadurch gekennzeichnet, daß der Monitor (.iO) abweehse'.nd das Signal eines [eingangs mit einem Yergleichsnormal vergleicht, das aus den Signalen der anderen Eingänge gebildet wird.

4. Anordnung nach einem der Ansprüche 1 bis 3. dadurch gekennzeichnet, daß die den Regelketten (10. II, 12) zugeführten Steuersignale durch eine entsprechende mechanische Verstellung der Meßgeber (50, 51, 52) gebildet werden.

5. Anordnung nach Anspruch 1 zur Selbstprüfung der Funktionsfähigkeit nahezu aller Bauelemente, dadurch gekennzeichnet, daß die Taktfre- 4^ quenz der Prüfsignale soweit erhöht ist, daß infolge Nichtreagierens des Prüflings (70) auf das Sollprogramm der Fehlerz.ähler (76) über die Ausweiteinheit (72) Fehlersignale erhält.

6. Anordnung nach Anspruch 1 oder 5, dadurch gekennzeichnet, daß bei der Selbstprüfung alle von der Anordnung zu erkennenden Fehler simulier- und zu einem der Steuereinheit (78) zuführbaren Sollwert registriert sind, der bei Funktionsfähigkeit der Anordnung mit den beim Regelsystem durch die erhöhte Taktfrequenz festgestellten im Fehlerzähler (76) addierten und im Komparator (77) mit dem Sollwert verglichenen Fehlern übereinstimmen muß.

7. Anordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Prüfvorgang bei der Feststellung eines Fehlets abgebrochen Lind der Fehler angezeigt wird.