DE2241453A1

DE2241453A1 - Test- und ueberwachungssystem fuer redundante ausloesevorrichtungen

Info

Publication number: DE2241453A1
Application number: DE2241453A
Authority: DE
Inventors: Charles Louis Devlin; Markus Adrian Eggenberger
Original assignee: General Electric Co
Current assignee: General Electric Co
Priority date: 1971-09-02
Filing date: 1972-08-23
Publication date: 1973-03-15
Also published as: DE2241453C2; JPS4835336A; US3748540A; CH554034A

Description

1 River Road
SCHENECTADY, N.Y./U.S.A.

■Jest- und Überwachungssystem für redundante Auslösevorrichtungen

Die Erfindung bezieht sich allgemein auf Schutzsysteme für Betriebssysteme und insbesondere auf das überwachen und Testen derartiger Schutzsysteme während der Schutz des Betriebssystemes beibehalten wird.

Eine bestimmte Art von Schutzsystem für ein Betriebssystem könnte eine Anordnung zum Abtasten des Druckes in einer Strömungsmittelleitung sein und. ein Betätigungsglied aufweisen, das elektrische Kontakte schließt, um ein Relais zu erregen, das die Korrekturmaßnahme ergreift, die Im Falle eines fallenden Strömungsmitteldruckes erforderlich ist. Die Korrekturmaßnahme könnte die Schließung eines Ventiles sein, um das arbeitende Strömungsmittelsystem zu schützen.

309811/1©02

iin einfaches Schutzsystem würde zwar nur einen Drucksensor und ein Betätigungslgliecl erfordern. Die Möglichkeit des Versagens eines derartigen Sensors hat jedoch zur Verwendung von Test- oder Prüfeinrichtungen geführt, um den Sensor künstlich mit einem ähnlichen Signal zu prüfen, das den Sensor im Eetrieb betätigen soll. Da das Schutzsystem nun, während es geprüft wird, außer Eetrieb ist, sind bisher normalerweise zwei derartige Sensoren vorgesehen gewesen. Der eine der Sensoren schützt das Betriebssystem, während der andere geprüft wird. Die zwei Sensoren sind mit ihren betätigten Kontakten in Reihe geschaltet, so daß das Testen von einem von ihnen nicht dazu führt, daß das Schutzsystem seine übliche Punktion ausführt. Dies ist gelegentlich als eine logische AND-Anordnung bekannt, da normalerweise beide Sensoren betätigt sein müssen, um den Kreis zu schließen. Es sind auch überwachungsvorrichtungen vorgesehen gewesen, um festzustellen, ob die Kontakte tatsächlich schließen, wenn der Druckschalter betätigt wird.

Die vorstehend beschriebene Überwachung- und Testanordnung für ein Schutzsystem hat einen wichtigen Nachteil. Durch Verbindung der zwei Sensoren in einer logischen AND-Kombinatlon müssen während eines "normalen" Versagens des Betriebssystemes alle Vorrichtungen richtig funktionieren. Wenn deshalb nur einer der Sensoren beim Schließen seiner Kontakte versagt, auch wenn er betätigt ist, funktioniert das Schutzsystem nicht richtig. Somit ist durch den Zusatz des zweiten Sensors die Wahrscheinlichkeit, daß eine Auslösewirkung nicht auftritt, wenn sie auftreten" sollte, vergrößert worden.

Es ist deshalb eine Aufgabe der vorliegenden Erfindung, eine verbesserte Anordnung zum Prüfen und überwachen eines Schutzsystemes zu schaffen, ohne daß die Wahrscheinlichkeit, daß das Schutzsystem funktioniert, wenn es funktionieren soll, verkleinert wird.

309111/1002

Eine weitere Aufgabe der vorliegenden Erfindung besteht in der Schaffung einer verbesserten Prüf- und Überwachungsanordnung von redundanten Vorrichtungen in einem Schutzsystem.

Diese Aufgaben werden, kurz gesagt, durch ein Schutzsystem gelöst, das eine Anzahl "s" von Sensorbetätigungsgliedern, die auf einen Zustand eines Betriebssystemes ansprechen und von denen jedes Betätigungsglied auf einen Satz von "n" betätigten Vorrichtungen wirkt, wobei "n" kleiner ist "s", und eine Matrix von logischen Vorrichtungen oder Verbindungen aufweist,, die so angeordnet sind, daß sie ein Testen der einzelnen Sensoren ohne Auslösung bzw. Abschaltung gestattet, während sie redundante Kanäle liefert, um die Wahrscheinlichkeit der richtigen Punktion des Schutzsystems trotz des isolierten Versagens von Sensoren oder betätigter Vorrichtungen zu vergrößern. Der Zus_Jtand der betätigten Vorrichtungen wird durch eine Anzahl von überwachungsvorrichtungen abgetastet.

Die Erfindung wird nun mit weiteren Merkmalen und Vorteilen anh and der folgenden Beschreibung und der beigefügten Zeichnungen verschiedener Ausführungsbeispiele näher erläutert.

Fig. 1 ist eine vereinfachte schematische Darstellung von einem bekannten Druckabtast-Schutzsystem, das so verbunden ist, daß ein Testen der Druckschalter -ermöglicht ist.

Fig* 2 ist eine Zusammenstellung logischer Symbole., die zur Darstellung der Elemente eines Druckschalters oder einer vergleichbaren Vorrichtung verwendet werden»

Fig. 3 ist ein logisches Diagramm von der bekannten Anordnung gemäß Fig. 1, die unter Verwendung der logischen Symbole gemäß Fig. 2 dargestellt ist.

Fig. ^a Ist eine vereinfachte Darstellung von einem zweipoligen Druckschalter.

309811/1002

Fig. ^b ist ein redundantes überwachungs- und Testsystem der vorliegenden Erfindung in ihrem bevorzugten Ausführungsbeispiel und zeigt die Schaltungsverbindungen der Druckschalter, wie die in Pig. ^a verwendeten.

Figuren 5a, 5b und 5c sind logische Diagramme von in Fig. ^b gezeigten Anordnungen unter drei verschiedenen Betriebsbedingungen.

Fig. 6a ist eine vereinfachte Darstellung von einem dreipoligen Druckschalter.

Fig. 6b ist eine Schaltungsverbindung für ein komplexeres Schutzsystem, die die Kontakte der in Fig. 6a gezeigten Druckschalter verbindet.

Flg. 7 1st ein logisches Diagramm entsprechend Fig. 6b.

Fig. 8 ist ein verallgemeinertes logisches Diagramm und zeigt das Prinzip der Wirkungsweise von Fig, ^b, angewendet auf irgendeine Anzahl von Sensoren.

Fig. 9 ist ein ähnlich verallgemeinertes logisches Diagramm gemäß dem in Fig. 6b gezeigten Schaltbild.

In Fig. 1 v/eist eine Strömungsmittelleitung 1 Druckschalter 2 und 3 auf, die mit der Strömungsmittelleitung verbunden sind. Jeder Druckschalter enthält ein Membranbetätigungsglied 4, das ein Paar elektrische Kontakte 5 schließt, wenn der Druck unter einen gewählten Wert abfällt.Der Druckschalter 3 enthält ein ahn liches Paar Kontakte 6, die mit den Kontakten 5 und der Spule eines eine kleine Impedanz aufweisenden Auslö'serelais oder einer Magnetspule in Reihe geschaltet sind. Eine Spannungsquelle B bewirkt einen Stromfluß durch die Ausli'sespule 7» wenn beide Kontakte 5 und 6 geschlossen sind·

Eine Vorrichtung zum Testen von jedem der einzelnen Druckschalter 2 und 3 wird durch Testmagnetspulenventile 11 bzw. 12 geschaffen.

309811/100?

224H53

Jedes der Testventile ist so angeordnet, daß der Druck der entsprechenden Membranen abgeleitet wird, um so die Kontakte des Druckschalters zu schließen, \iodurch ein Druckabfall simuliert wird»- Da jedoch die Kontakte 5 und 6 in Reihe oder in einer logischen AND-Anordnung verbunden sind, kann ein Testen von eiern der Druckschalter ohne Erregung der Spule 7 vor sich gehen, da die Kontakte auf dem anderen Druckschalter offen bleiben.

Bisher ist die Wirkungsweise von einer konventionellen Überwachungs- und TestanOrdnung für ein Schutzsystem beschrieben worden Auch wenn sie für eine bestimmte Art eines testbaren Schutzsystems beschrieben wurde, ist das Prinzip der Wirkungsweise und der Nachteil eines derartigen Systems auf jede Art eines testbaren Schutzsystems anwendbar. Um deshalb die Beschreibung zu verallgemeinern, werden logische Symbole verwendet, um das Druckabtastesystem gemäß Fig. Γ zu rekonstruieren.

In Fig. 2 ist das Symbol für den ruhenden Zustand eine 0 und das Symbol für den aktiven Zustand eine 1. Das mechanische Betätigungsglied' des Druckschalters ist durch einen Kreis dargestellt. Weiterhin sind die normalen und gesteuerten Zustände und desgleichen die erwartete Fehlerart gezeigt. Dies würde die Betätigung der Druckschaltermembran ohne Abfall des Strömungsmitteldruckes sein , wie es durch eine 0 am Eingang und eine 1 am Ausgang gezeigt ist.

Das Symbol für die elektrischen Kontakte ist ein Rechteck. Die Zeichnung zeigt den normalen, gesteuerten und den Fall des erwarteten Fehlers. Der Fehlerfall tritt auf, wenn eine versuchte Schließung des Kontaktes durchgeführt wurde, aber keine elektrisehe Verbindung über die Kontakte hergestellt wurde, wie es durch eine 1 am Eingang,eine 0 am Ausgang dargestellt ist.

Flg. 2 zeigt, daß die vorgenannten Symbole verbunden werden können, um einen einen einzelnen Kontakt aufweisenden Druckschalter oder einen Dönnelkontakt aufweisenden Druckschalter

309811/1002

224H53

darzustellen und daß Fehler unterschiedlicher Arten zu unterschiedlichen Ergebnissen führen. Beispielsweise führt das mechanische Versagen eines Druckschalters mit einem einzelnen Kontakt zu einem Signal ohne Eingangsbetätigung, während ein elektrischer Kontaktfehler des Druckschalters trotz eines durch die 1 dargestellten Eingangssignales zu einer 0 am Ausgang führt.

In Fig. 3 sind logische Diagramme für die bekannte Anordnung gemäß Fig. 2 für sechs mögliche Zustande gezeigt. Der erste oder normale Zustand tritt auf, wenn das Betriebssystem richtig arbeitet, und eine 0 am Eingang zu einer 0 am Ausgang führt. Wenn ein Fehler in dem Betriebssystem eine 1 am Eingang liefert und beide Sensoren richtig funktionieren, führt eine 1 am Ausgang zu einer normalen Auslösung, um eine Korrekturmaßnahme zu ergreifen.

Ein normaler Test von einem der Sensoren ist durch ein 1-Eingangssignal in einen der Zweige angegeben. Ein richtiges Testen wird durch Vergleich von überwachungsvorrichtungen angezeigt, die später beschrieben werden und durch ein M in einem Kreis dargestellt sind, aber die logische AND-Vorrichtung verhindert eine Auslösung des Betriebssysstemes, wie es durch eine 0 amJAusgang gezeigt 1st.

Ein mechanisches Versagen von einem der Betätigungsglieder ergibt die gleiche Anzeige für das System wie ein normaler Test. Das System wird nicht ausgeschaltet, wie es durch die 0 am Ausgang angegeben ist, aber der Fehler wird durch die Monitoren angezeigt, da es bekannt 1st, daß das System nicht getestet wird.

Das Testen von einem der Sensoren mit einem Fehler der elektrischen Kontakte führt gleichfalls nicht zur Ausschaltung des Sy- · stems. Diese Fehlerart wird durch die überwachungsvorrichtungen K angezeigt, die eine andere Anzeige als in der normalen Testsituation ergeben.

309811/1002

Der Nachteil des vorstehend beschriebenen Systems wird durch das letzte Diagramm in Fig. 3 dargestellt. Ein Fehler des Betriebssystems bewirkt eine 1-Eingangsgröße in beide^Sensoren« Ein Fehler von einem der elektrischen Kontakte verhindert jedoch, wie es in Fig. 3 dargestellt ist, daß das Schutzsystem ausgeschaltet wird, wie es durch die 0 am Ausgang gezeigt ist» Somit ist die Wahrscheinlichkeit, daß das Schutzsystem arbeitet wie es sollte, aufgrund des Vorhandenseins der logischen AND-Schaltung verkleinert worden, wobei die AND-Schaltung in dem System wegen des Wunsches vorhanden ist, für ein Testen ohne Abschaltung des Betriebssystemes zu sorgen»

In den Figuren 4a und 4b ist ein verbessertes System gemäß der vorliegenden Erfindung gezeigt» In Fig. 4a weist ,jeder der Druckschalter, wie sie bei 20 dargestellt sind_s ein Druckmembran-Betätigungsglied 21 auf_ä das so verbunden ist_s daß zwei Paare von Kontakten 22,23, geschlossen'werden^ wenn der Druck abfällt.. Wenn somit jedes Betätigungsglied mitfeinem Buchstaben^ wie z.B. A, bezeichnet wird, sind die entsprechenden Kontakte mit A=I und A-2 bezeichnet.

Die Schaltungsverbindungen sind in Figo 4b gezeigt* Kontakte A-I und B-2 sind zwischen Leitern 24,25 parallel· geschaltet ,> um eine erste Parallelschaltung oder eine logische OR-Anordnung zu bilden, da eine Schließung von einem der beiden Kontakte einen Kreis zwischen den Leitern 24,25 schließt. In ähnlicher Weise sind Kontakte B-I und C-2 parallel geschaltet, um ein zweites logisches OR-Glied zwischen einem Leiter 25 und einem Leiter 26 zu bilden. Kontakte C-I und A-2 sind in einer dritten Parallelschaltung zwischen Leitern 26 und 27 verbunden.

Eine Reihenschaltung von dem mit einer Spannungsquelle verbünde» nen Leiter 24 wird über die drei vorstehend beschriebenen Parallelschaltungen und eine eine kleine Impedanz aufweisende Auslöserelaisspule 7 gebildet. Diese ist etuaer logischen AND-Vorrlehtung äquivalent, da ein Pfad über alle drei Parallelschaltungen

3098

gebildet werden muß, bevor die Relaisspule 7 erregt wird.

überwachungsvorrichtungen, die von eine hohe Impedanz aufweisenden Voltmetern 28,29 und 30 gebildet werden, sind den entsprechenden Kontaktpaaren parallel geschaltet, wie es in Pig. 4b gezeigt ist. In dieser bestimmten Anordnung sind nur drei überwachungsvorrichtungen erforderlich. Beim Testen des Betätigungsgliedes C werden die Kontakte C-I und C-2 geschlossen, wodurch die volle Spannung über dem Voltmeter 28 auftritt. Wenn der Sensor C getestet wird und nur das eine Paar der Kontaktpaare, wie z.B. C-I geschlossen ist, liegt nur die halbe Gesamtspannung über dem Voltmeter 28. Dies zeigt einen elektrischen Kontaktfehler an. Im allgemeineren Fall wird für jeden Kontakt eine Überwachungsvorrichtung verwendet.

Es wird nun der Reihe nach auf die Figuren 5a - 5c eingegangen, in denen gleiche logische Diagramme dargestellt sind, die der Schaltung gemäß Fig. 4b äquivalent sind. Es sind drei logische OR-Vorrichtungen 31, 32,33 gezeigt, die den drei parallel geschalteten Kontaktpaaren in Fig. 4b entsprechen. Weiterhin ist eine logische AND-Vorrichtung 34 gezeigt, die die Reihenverbindung der vorstehend erwähnten Parallelschaltungen darstellt. Jede der ■logischen OR-Vorrichtunfren weist zwei Eingänge von gewählten Paaren betätigter Vorrichtungen von unterschiedlichen Betätigungsgliedern auf. Beispielsweise sind die Eingänge in das logische OR-Clied 31 Ausgänge von den betätigten Vorrichtungen A-I und B-2 von Betätigungsgliedern A bzw. B. Die lo-gische AND-Vorrichtung 3^ besitzt drei Eingänge, und zwar einen von jeder logischen OR-Vorrichtung.

Fig. 5a zeigt die Konfiguration während eines normalen Testes des Betätigungsgliedes A, was durch eine 1 an; Eingang angezeigt ist, während den zwei übrigen Betätigungsgliedern B und C Eingangsgrößen 0 und 0 zugeführt sind. Die OR-Vorrichtungen 31 und 33 empfangen ein 1-Eingnngssignal, während dies bei der OR-Vorrichtung 32 nicht der Fall ist. Deshalb hat die AND-Vorrichtung

309811/1002

34 keine ausreichende Anzahl von 1-Eingangssignalen und demzufolge arbeitet des Schutzsystem nicht unabsichtlich, wie es durch die O-Ausgangsgröße von dem AND-Glied 34 angezeigt wird, aber sie schützt immer noch das System, falls die OR-Schaltungen durch einen tatsächlichen Fehler des"Strömungsmitteldruckes betätigt werden sollten, d.h. durch 1-Eingangsgrößen in die betätigungsglieder B oder C.

Fig. 5b zeigt das gleiche logische Diagramm mit einem Fehler der betätigten Vorrichtung A-I, der zu einer O-Eingangsgröße in das OR-Glied 31 führt. Wiederum wird das System nicht abgeschaltet, aber die überwachungsvorrichtung 35 erkennt den Unterschied zwischen den in den Figuren 5a und 5b existierenden Zuständen, wodurch eine Anzeige für einen elektrischen Kontakt fehler ge^-geben wird. ' .

Fig. 5c stellt die logische Konfiguration im Falle einer -versuchten Abschaltung des Schutzsystemes bei einem Fehler von einem der Elemente dar, eine Situation, für die die vorliegende Erfindung eine Lösung liefert. Hier wird das Schutzsystem betätigt, wie es durch eine !-Eingangsgröße in jedes der drei Betätigungsglieder A,B und C angegeben ist. Es ist ein Fehler von einer betätigten Vorrichtung C-2 gezeigt, der z/u einer O-Eingangsgröße in die OR-Vorrichtung 32 führt. Trotzdem besteht eine !-Ausgangsgröße von der OR-Vorrichtung 32 zur AND-Vorrichtung 34 und das System arbeitet, wie es durch eine 1 am Ausgang von der AND-Vorrichtung 34 angezeigt ist.

Das in den Figuren 4a,4b und 5a,5b und 5c dargestellte System wird als ein "zwei aus drei" redundantes Schutzsystem bezeichnet, da drei Betätigungsglieder vorhanden sind, von denen aber nur zv/ei richtig zu arbeiten brauchen, um die Auslösefunktion auszuführen .

In den Figuren 6a und 6b ist ein "drei aus vier" redundantes Schutzsystem gezeigt, das eine leicht unterschiedliche logische

309811/1002

Matrix verwendet. Pig. 6a zeigt einen dreipoligen Druckschalter 43· Die verwendete Bezeichnung ist die gleiche, wie die vorstehend verwendete in Verbindung mit einem Betätigungsglied A, das Kontaktsätze A-I, A-2, Λ-3 betätigt.

Fig. 6b zeigt die Schaltungsmatrix mit vier Reihenzweigen (oder logischen AND-Verbindungen), die einander parallel geschaltet sind, um so eine OR-Verbindung zu bilden. Ein erster Reihenzweig enthält Kontakte A-I, B-I, C-I. Ein zweiter Reihenzweig weist Kontakte B-2, C-2, D-I auf. Ein dritter Reihenzweig enthält Kontakte C-3, D-2, Λ-2 und ein vierter Reihenzweig enthält Kontakte D-3,A-3 und D-3· Alle vier Reihenzweige sind durch Leiter 36,37 parallel geschaltet, und die Gesamtschaltung ist dann mit einer Spannungsquelle und einer Relaisspule 7 verbunden.

Pig. 7 ist ein logisches Diagramm entsprechend der in Fig. 6b gezeigten Schaltung. Logische AND-Vorrichtungen 38,39,40 und 41 entsprechen den vier Peihenzweigen des Schaltbildes, während die logische OR-Vorrichtung ^;l2 der Parallelverbindung der vier Peihenzweige entspricht. V/ie aus dieser Figur hervorgeht, weist jede der logischen AHD-Vorrichtungen drei Eingänge von einer betätigten Vorrichtung von jeweils drei getrennten Betätigungsgliedern auf. Beispielsweise hat die AND-Vorrichtung 38 einen Eingang von den betätigten Vorrichtungen Λ-3, D-3 und D-3· Die logische OR-Vorrichtung 4 2 hat einen Eingang von jeder der AND-Vorrichtungen. Indem den Zweigen gefolgt wird, wird deutlich, daß ein Betätigungsglied getestet bzw. geprüft werden kann, ohne daß das System ausgeschaltet bzw. ausgelöst wird. Es kann aber eine Unterscheidung zwischen einer normalen Auslösung und einem Fehler von einer betätigten Vorrichtung durch die Monitoren M getroffen v/erden. DacjSystem wird auslösen, wenn es dies trotz Fehler einzelner Elemente für notwendig hält. Beispielsweise ist das System hier während einer versuchten Auslösung bei einem Fehler gezeigt, bei dem die Kontakte B-2 und C-I nicht richtig schließen. Die Auslösung geht in gewünschter Weise vor sich.

30981 1 /1002

Fig. 8 ist eine Verallgemeinerung des logischen Diagrammes der Fig. 5a -5c, indem "s" Betätigungsglieder vorhanden sind, die jeweils einen Satz von "n" betätigten Vorrichtungen aufweisen. Es sei darauf hingewiesen, daß» "n" kleiner ist als "&", um für die Fähigkeit zu sorgen, daß ein-Betätigungsglied ohne Abschaltung bzw. Auslösung des Systems geprüft wird.

Es sind "s" logische OR-Vorrichtungen mit jeweils "n" Eingängen vorgesehen. Jede der OR-Vorrichtungen hat einen Ausgang, die insgesamt "s" Eingangsgrößen an eine logische AND-Vorrichtung liefern, welche einen einzigen Ausgang besitzt, der für einen Schutz des Betriebssystems angeschlossen ist,

Fig. 9 zeigt eine Verallgemeinerung des logischen Diagrammes gemäß Fig. 7 und zeigt die Umkehrung der Lage der logischen AND- und OR-Vorrichtungen, die als funktionell komplementäre Vorrichtungen angesehen werden. Wiederum ist es erforderlich, daß die Zahl "n" In jedem Satz der betätigten Vorrichtungen kleiner ist als die Zahl "s" der Betätigungsglieder.

Es gibt zahlreiche elektrische, mechanische, fluidische, hydraulische oder pneumatische Anordnungen, die zur Ausbildung der logischen OR- und AND-Vorrichtungen verwendet werden können, die zur Darstellung des Prinzips der vorliegenden Erfindung benutzt wurden. Logische Festkörperbauteile, die auf zwei Niveaus einer Eingangsspannung arbeiten, sind kommerziell erhältlich, und die äquivalenten Anordnungen können von dem Fachmann in einem digitalen Computer auch programmiert werden.

Die vorstehend beschriebene Erfindung, die zahlreiche Sensoren aufweisende Betätigungsglieder, die jeweils zahlreiche gesteuerte Vorrichtungen enthalten und die Verbindung der Ausgänge der überwachten betätigten Vorrichtungen zu redundanten Kanälen mittels einer logischen Matrix schafft, sorgt für die folgenden Funktionen:

30981 1/100?

1. Ein einzelner Sensor mit seinen betätigten Vorrichtungen
kann getestet werden, ohne daß das Betriebssystem ausgelöst bzw. abgeschaltet wird.

2. Ein Fehler von einem Betätigungsglied schaltet das Betriebssystem nicht ab.

3. Ein Fehler einzelner betätigter Vorrichtungen schaltet das System nicht ab, und je größer die Komplexität des Systems
ist, desto weniger wahrscheinlich ist es für einen Mehrfachfehler der betätigten Vorrichtungen, daß das Betriebssystem Unabsichtlich ausgeschaltet bzW. ausgelöst wire!.

*ί. Es kann jeder gewünschte Redundanzgrad durch Verwendung einer größeren Komplexität in der logischen Matrix geschaffen werden, indem mehr redundante Kanäle verwendet werden, wodurch die Wahrscheinlichkeit erhöht wird, daß das System
trotz des Versagens von einem oder mehreren Elementen abschaltet bzw. auslost, wenn es soll.

5. Die Wahrscheinlichkeit des Erfolges oder Versagens des
Systems kann vom Fachmann errechnet werden, Indem er die
Wahrscheinlichkeit der verschiedenen Fehlerarten der einzelnen Elemente kennt.

309811/100?

Claims

- 13 -

Patentansprüche

Schutzsystem zur Feststellung einer Änderung in einem abgetasteten Zustand eines Betriebssystems und zur Ergreifung einer l-laßnahme zum Schutz des Betriebssystems, gekennzeichnet durch die Kombination einer Vielzahl "s" von Betätigungsgliedern, die auf den abgetasteten Zustand ansprechen,

einer Vielzahl von betätigten Vorrichtungen, die in Sätzen von "n" Vorrichtungen gruppiert sind, von denen jeder Satz betriebsmäßig mit einem der Betätigungsglieder -verbunden ist, wobei "n" kleiner ist als "s", einer Vielzahl von ersten logischen GLiedern, die jeweils eine Vielzahl von "n" Eingängen von den betätigten Vorrichtungen "aufweisen und

eines zweiten logischen Gliedes eines komplementären Typs_a dem ein Ausgang von ,jedem der ersten logischen Glieder' als Eingang zugeführt ist., wobei der Ausgang des zweiten logischen Gliedes betriebsmäßig mit Mitteln zum Schutz des Betriebssystems verbunden ist.
2. Schutzsystem nach Anspruch 1, dadurch gekennzeichnet , daß die ersten logischen Glieder "s"¹ logische AND-Vorriehtungen mit jeweils "n" Eingängen bilden und das zweite logische Glied eine logische OR-Vorrichtung mit "s" Eingängen ist,
3. Schutzsystem nach Anspruch l,dadurch gekennzeichnet , daß die ersten logischen Glieder "s" logische OR-Vorrichtungen mit jeweils "n" Eingängen bilden und das zweite logische Glied eine logische AND-Vorrichtung mit "s" Eingängen ist.

309811/100?

- l4 -
4. Schutzsystem nach Anspruch 1, dadurch gekennzeichnet , daß die "s" Betätigungsglieder von drei Strömungsmitteldruckmembranen, die betätigten Vorrichtungen

von zwei elektr. .Ischen Kontaktschließern gebildet sind,

die von jeder der Druckmembranen betätigt sind, jedes der ersten logischen Glieder von einer Parallelschaltung von zwei Schließern von unterschiedlichen Betätigungsgliedern gebildet ist und das zweite logische Glied eine Reihenschaltung bildet, die die Parallelschaltungen miteinander verbindet.
5. Schutzsystem nach einem oder mehreren der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß ferner eine Vielzahl von überwachungsvorrichtungen vorgesehen ist, die zur Anzeige der Betriebsfähigkeit der betätigten Vorrichtungen angeordnet sind.

309811/1002