DE2258917A1

DE2258917A1 - Kontrollvorrichtung

Info

Publication number: DE2258917A1
Application number: DE19722258917
Authority: DE
Inventors: Makoto Noumi; Susumu Seki
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1971-12-02
Filing date: 1972-12-01
Publication date: 1973-06-07
Also published as: FR2162093B1; CA982270A; US3829668A; FR2162093A1; DE2258917B2

Description

Patentanwälte
'nn- r\ ?;. -.rs sen«.

Dlpl.-in;;. K. ? , τ.·· .'IC-HT

Dr.-!-ig. Fi, i.i . :z i ,"2 Jr,
β M α η s h s η 22, Sioinsdorfetr, 1t 2258917

81-19-847P - 1. 12. 1972

HITACHI, Ltd.. Tokio (Japan)

Kontrollvorrichtung

Die Erfindung beizieht sich auf eine Einrichtung zur Erfassung von Fehlern, die in einer Kontrollvorrichtung auftreten können, die eine "On-Line-Kontrolle" einer gesteuerten Einrichtung durchführt.

Eine für die automatische Kontrolle des Eisenbahnverkehrs verwendete Kontrollvorrichtung muß eine hohe Zuverlässigkeit aufweisen, da ein durch einen Fehler der Vorrichtung verursachter Eisenbahnunfall verhängnisvolle Folgen für die Fahrgäste hat. Deshalb muß eine Kontrollvorrichtung so ausgelegt sein, daß sie fehlerfrei arbeitet; d. h. es muß unter allen Bedingungen verhindert werden, daß ein Fehler in der Kontrollvorrichtung eine gefährliche Situation schafft.

.81-(POS 29 423)-Ko-r (8)

309823/0837

Um einen solchen fehlerfreien Betrieb zu erreichen, sollte eine Mehrfach-Kontrollvorrichtung aus mehreren parallelen Kontrolleinheiten verwendet werden.

Eine für diesen Anwendungsbereich vorgesehene bekannte Kontrollvorrichtung hat diese Mehrfach-Anordnung. Tatsächlich ist die Mehrfach-Kontrollvorrichtung ausreichend zuverlässig, aber sie hat den*Nachteil, daß sie zu groß und vor allem zu kompliziert ist, mit dem Ergebnis, daß die Kosten höher werden und für den Einbau mehr Platz erforderlich ist. Darüber hinaus wird bei dieser Kontrollvorrichtung die Struktur der Einrichtungen zur Auswahl der Ausgangssignale der Mehrfach-Baueinheiten, die in der gesteuerten Einrichtung vorhanden sind, zu kompliziert, und dieser umfangreiche Aufbau beeinflußt die Zuverlässigkeit der Vorrichtung insgesamt nachteilhaft.

Es ist deshalb erforderlich, eine einfache Kontrollvorrichtung mit nur einer oder einer doppelten Kontrolleinheit zu benutzen, wobei die Kontrollvorrichtung aus zwei Kontrolleinheiten besteht, um die Zuverlässigkeit jeder einzelnen Kontrolleinheit zu verbessern, wodurch die Gesamtzuverlässigkeit verbessert wird. Je kleiner die Anzahl der einzelnen Steuereinheiten ist, desto leichter ist die Erfassung der in diesen Einheiten verursachten Fehler. Daher können die Einrichtungen zur Auswahl des Ausgangssignals aus den Mehrfach-Einheiten vereinfacht werden, so daß die Zuverlässigkeit insgesamt verbessert wird.

Es ist Aufgabe der vorliegenden Erfindung, eine sichere, mit zwei Einheiten ausgestattete Kontrollvorrichtung anzugeben, die Fehler erkennt. Die Vorrichtung soll eine Ein-

309823/0837

richtung zur Überprüfung der Fehler in einem arithmetischen Prozessor mit mehreren Stufen aufweisen. Die Kontrollvorrichtung mit zwei Einheiten soll auch dann ausreichend zuverlässig arbeiten, wenn sie nur mit einer Einheit betrieben wird. Schließlich soll die Kontrollvorrichtung eine hohe Zuverlässigkeit trotz einer einfachen Struktur und trotz niedriger Herstellungskosten aufweisen.

Diese Aufgabe wird erfindungsgemäß gelöst durch mindestens ein Eingangsglied, zwei gleichwertige Anordnungen, die mit dem Eingangsglied verbunden sind, zwei Ausgangsglieder, die mit den Anordnungen verbunden sind, und ein Gatter zur Ermittlung der logischen Summe der Ausgangssignale der Ausgangsglieder, wobei jede der Anordnungen umfaßt: eine Prozessoreinheit, die direkt mit dem Eingangsglied verbunden ist, um ein Signal zur Steuerung der Anordnung in Übereinstimmung mit den Ausgangssignalen des Eingangsgliedes zu erzeugen, wobei die Prozessoreinheit die enthaltene Information mit der anderen Prozessoreinheit in der anderen Anordnung für eine Auswertung austauscht, und, einen Störungsbeseitiger, der den Fehler in der Prozessoreinheit und den Fehler im entsprechenden Ausgangsglied durch Erfassung des Rückkopplungssignales vom entsprechenden Ausgangsglied überprüft, wobei der Störungsbeseitiger ein Signal zur Anzeige eines Fehlers erzeugt, wenn dadurch ein Fehler erfaßt wird.

Nachfolgend wird ein Ausführungsbeispiel der Erfindung anhand der Zeichnung näher erläutert. Es zeigen:

Fig. 1 und 2 Blockschaltungen von erfindungsgemäßen Kontrollvorrichtungen mit zwei Einheiten in ihren Grundformen,

309823/0837

Fig. 3 eine Einzelheit eines Teiles der in der Fig. 1 dargestellten Kontrollvorrichtung in der Form einer Blockschaltung,

Fig. h Signalformen zur Erläuterung der Wirkungsweise der in der Fig. 3 dargestellten Schaltung,

Fig. 5 einen Teil der in der Fig. 3 dargestellten Schaltung in Einzelheiten, wobei eine Koinzidenz-Schaltung gezeigt ist,

Fig. 6 einen Teil der in der Fig. 3 dargestellten Schaltung in Einzelheiten, wobei ein Sicherheits- und Anzeigeschalter gezeigt ist,

Fig. 7 Signalformen zur Erläuterung der Wirkungswelse der in der Fig. 6 dargestellten Schaltung,

Fig. 8 eine erfindungsgemäße Kontrollvorrichtung,

Fig. 9 Signal formen zur Erläuterung der Wirkungsweise der in der Fig. 8 dargestellten Kontrollvorrichtung,

Fig. 10 eine weitere Einzelheit der in der Fig. 8 dargestellten Kontrollvorrichtung,

Fig. 11 Signalformen zur Erläuterung der in der Fig. dargestellten Kontrollvorrichtung,

Fig. 12 eine weitere Einzelheit der in der Fig. 10 dargestellten Kontrollvorrichtung, und

309823/0837 ^BAD ORIGINAL

Fig. 13 einen Teil der in der Fig. 12 dargestellten Vorrichtung in Einzelheiten, wobei die Vorrichtung eine gemeinsam betriebene Einheit bildet.

In der Fig. 1 ist in einem Blockschaltbild die Grundischaltung eines Ausführungs"beispiels der vorliegenden Erfindung dargestellt, d. h. einer Doppel-Kontrollvorrichtung, bei der arithmetische Prozessoreinheiten 11a und 12a, die die Steuereinrichtung abhängig von Eingangssignalen in Störungsbeseitiger 11b und 12b kontrollieren, vorgesehen sind, um jeweils die in den Prozassoreinheiten 11a und 12a auftretenden Fehler zu überprüfen. Die Störungsbeseitiger 11b und 12b prüfen periodisch die Prozessoreinheiten 11a und 12a, und die Störungsbeseitiger 11b und 12b liefern Signale, die die Zähler anzeigen, wenn Zähler in den Prozessoreinheitep 11a und 12a vorhanden sind. Bei dieser Schaltung kann die Information der Prozessoreinheit 11a und der Prozessoreinheit 12a abhängig von Signalen a und b miteinander, vertauscht werden. Von den Prozessoreinheiten werden keine Endergebnisse erhalten, aber die während des Rechenbetriebs erhaltenen Ergebnisse werden mit anderen Ergebnissen dieser Schaltung verglichen. Insbesondere wird ermittelt, ob der Unterschied zwischen zwei während der Rechnung erhaltenen Ergebnissen mit einer vorbestimmten Fehlertoleranz übereinstimmt oder nicht, und ob die beiden Ergebnisse miteinander übereinstimmen. Wenn der Unterschied innerhalb der vorbestimmten Toleranz liegt, dann wird daraus geschlossen, daß mindestens eines der Ergebnisse richtig ist. Danach werden die folgenden Rechenoperationen in den Prozessoreinheiten durchgeführt, indem die Ergebnisse so verwendet werden, wie sie sind. Bei der Kontrolle der Bremswirkung eines sich bewogenden Zuges kann beispielsweise einer von verschiedenen, beispielsweise von zehn vorbestimmten Graden der Bremskraft,

:,^w!.-»η 2 3 / υ ö 3 ν

ausgewählt werden, entsprechend zu den Bedingungen des betrachteten Zuges, die durch Berechnung erhalten werden. Wenn angenommen wird, daß die Ergebnisse "drei" und "zwei" jeweils von den Prozessoreinheiten 11a und 12a bei einer derartigen Verarbeitung erhalten werden, dann vergleicht die Schaltung die beiden Ergebnisse miteinander, um den Unterschied zwischen ihnen zu erhalten. Wenn die Schaltung so ausgelegt ist, daß sie den größeren Wert von zwei Ergebnissen auswählen kann, wenn der Unterschied kleiner ist als "zwei", was zuvor als Toleranz angenommen wurde, dann werden die folgenden Rechenoperationen begonnen, wobei die durch die Prozessoreinheiten erhaltenen Ergebnisse "drei" sind. Diese vergleichenden Operationen werden mehrere Male durchgeführt, bis das Endergebnis erhalten wird. Wenn jedoch nach einem Informationsaustausch ermittelt wird, daß der Unterschied zwischen den beiden Ergebnissen größer ist als die Toleranz, dann wird eine derartige Verarbeitung für eine Auswertung neu berechnet oder eine Programm-Überprüfung durchgeführt, um sicherzustellen, daß die Rechnung richtig ist.

Ausgangsglieder 14 und 15 übertragen die durch die Prozessoreinheiten 11a und 12a verarbeiteten Informations-Ausgangssignale zur gesteuerten Einrichtung und bestehen jeweils aus einem Relais und dessen Steuer- oder Antriebsschaltung.

Wenn die Störungsbeseitiger 11b und 12b ermitteln, daß die Endergebnisse richtig sind, dann erzeugen diese Einheiten für die jeweiligen Relais-Antriebsschaltungen geeignete Signale, so daß die Antriebsschaltungen die Relais betätigen, um zu bewirken, daß die Prozessoreliihei ton lla und 12a die verarbeiteten Ergebnisse liefern. Ein Gat-

bad

(J':) ti ? Ii / Ü 8 3 7

-«- 225891?

ter 16 ermittelt die logische Summe der Ausgangssignale der Ausgangsglieder 14 und 15 und besteht beispielsweise aus den Kontakten der Relais.

Wenn die "Verarbeitungseinrichtungen 11 und 12 mit dem oben beschriebenen Aufbau genau auf der Grundlage ihrer Funktion zur Erkennung oder Überprüfung von Fehlern arbeiten, dann stimmen die Eingangssignale in die Prozessoreinheiten 11a und 12a miteinander in jedem Zeitpunkt überein. Tatsächlich ist jedoch der Takt der Eingangssignale so ausgebildet, daß diese nicht miteinander in Phase sind, da die Prozessoreinheiten unabhängig arbeiten. Es kann daher der Fall eintreten, daß die Signale gestört sind,, bevor sie die Eingänge der Prozessoreinheiten 11a und 12a erreichen. Es ist in diesem Fall möglich, zu ermitteln, welches der Eingangssignale richtig ist, indem die Eingangsinformationen in den Prozessoreinheiten 11a und 12a mit Hilfe der Signale a und b gemischt werden. Wenn das Eingangsglied 1 Jb einfach (simplex) ist, dann kann, wie darauf hingewiesen werden soll, die Ermittlung in manchen Fällen nicht möglich sein, wenn das Eingangssignal in das Glied 13^ falsch oder unterbrochen ist. In einem derartigen Fall können zusätzliche Eingangsglieder 13a und 13c vorgesehen werden, um ein Vielfach-Eingangssystem zu bilden, wie dies in der Fig. 2 dargestellt ist, so daß die Zuverlässigkeit der Eingangsinformation verbessert werden kann. Darüber hinaus kann bei dieser Schaltungsanordnung die Phasendifferenz zwischen den mehreren Eingangssignalen, die oft bei einer Anordnung mit mehreren Einheiten auftritt;, dadurch korrigiert werden, daß eines der mehreren Eingangssignal© durch die Verwendung der oben beschriebenen Einrichtungen zum Austausch der Informationen auf der Grundlage eines gemein-

3 Π '.) 8 ? 3 / 0 8 3 7

samen Bezugssignals für alle Einheiten ausgewählt wird. Dieses Verfahren ist einfacher als das herkömmliche Verfahren, bei dem eine derartige Auswahl in der Ausgangsstufe mit Hilfe der Relais durchgeführt wird. Weiterhin können durch einen Vergleich der Edergebnisse oder der Ergebnisse während der Verarbeitung miteinander mit Hilfe der Verwendung der Einrichtung für den Informationsaustausch Fehler, die in den Prozessoreinheiten auftreten können, durch den wechselseitigen Austausch der Informationen erfaßt werden, so daß eine wiederholte Verarbeitung oder eine ausführliche Erkennung oder Überprüfung der Fehler durchgeführt 1st, oder so daß die Kontrollvorrichtung ein sicheres Signal liefert. Weiterhin kann ein Fehler in den Ausgangsgliedern 1'+ oder 15 dadurch erfaßt werden, indem ermittelt wird, ob das eingegebene Ausgangssignal erhalten wird, wenn die Ausgangssignale der Ausgangeglieder 1*4 und 15 jeweils über Leitungen 110 und 120 (Fig· 1) zu den Prozessoreinheiten 11a und 12a rückgekoppelt sind. Deshalb kann jede nicht normal arbeitende Einheit elektrisch von dem übrigen System getrennt werden.

In Fig. 3 ist ein Blockschaltbild mit der Grundsehaltung des Störungsbeseitigers 11b und in Fig. h ein Zeitdiagramm zur Erläuterung der Wirkungsweise der Teile des Störungsbeseitigers 11b dargestellt. In der Fig. 3 erzeugt ein Taktimpulserzeuger 17 ein Impulssignal a aus einer Folge von Taktimpulsen mit einer konstanten Folgefrequenz. Eine Verzögerungeschaltung 18 verzögert das Impulssignal a um eine konstante Zeit t und erzeugt danach ein Impulssignal b mit einer Impulsbreite At. Die zeitliche Beziehung zwischen diesen Impulssignalen a und b ist in der Fig. k dargestellt. Ein arithmetischer Prozessor 11a führt eine

309 8 23/0837

arithmetische Operation aus, um das gesteuerte System zu kontrollieren. Die Einheit 11a hat eine gemeinsame Betriebseinheit, die zeitlich gemeinsam das,zu kontrollierende System kontrolliert. Die Prozessoreinheit 11a führt eine vorbestimmte Operation durch den gewöhnlichen Betrieb der gemeinsam betriebenen Einheit in der Prozessoreinheit 11a abhängig von der Unterbrechung des Impulssignales a aus. In diesem Fall ist die vorbestimmte arithmetische Operation, die durch die Prozessoreinheit 11a ausgeführt wird, so programmiert, daß bei einem Fehler oder einer vom Normalzustand abweichenden Betriebsbedingung in der Prozessoreinheit 11a der vom Normalzustand abweichende Betriebszustand klar im.verarbeiteten Ergebnis auftritt. Nach einer Folge von Operationen kann demgemäß ermittelt werden, ob das Er-· gebnis mit einem vorbestimmten Wert übereinstimmt. Wenn die Bedingung erfüllt ist, dann wird ein Impulssignal c von der Einheit 11a erzeugt. Wenn in diesem Fall die für die betrachtete Operation erforderliche Zeit t_ so gesteuert ist, daß t₁ < t₂ < t₁ + At gilt, was aus der Fig. k hervorgeht, dann kann ermittelt werden, ob die Prozessoreinheit 11a genau arbeitet, und damit entsprechend, ob der Impuls c innerhalb oder außerhalb der Impulsbreite des Impulses b liegt.

Eine Schaltung 19 dient dazu, um die Übereinstimmung (Koinzidenz) des Impulses b mit dem Impuls c zu erfassen. Wenn eine Übereinstimmung zwischen diesen Impulsen vorliegt, dann erzeugt die Schaltung 19 ein Impulssignal d (Fig. h), um einen Sicherheits- und Anzeigeschalter 20 zu betätigen. Der Schalter 20 zeigt nicht nur den Fehler in der Prozessoreinheit 11a abhängig von dem Signal an, das die Nicht-Koinzidenz von der Koinzidenzschaltung 19 dar-

309823/0837

stellt, sondern liefert auch ein Änderungssignal e, um das Auegangsglied 1^ zu betätigen, so daß die Prozessoreinheit 11a das Sicherheitssignal liefern kann.

Es sind drei Fälle, in denen der Impuls b im Takt nicht mit dem Impuls c übereinstimmt. Bin Fall ist gegeben, wenn ermittelt wird, daß ein Fehler im verarbeiteten Ergebnis vorhanden ist. Bin anderer Fall liegt vor, wenn eine falsche Verarbeitungszeit t„ erhalten wird, da ein falscher Operationsweg, d. h. ein falsches Programm, verfolgt wird. Der letzte Fall liegt vor, wenn eine falsche Verarbeitungszeit t_ erhalten wird, da eine vom Normalzustand abweichende Betriebsbedingung in der Verzögerungsschaltung 18 vorliegt. In jedem Fall kann der vom Normalzustand abweichende Zustand genau erfaßt werden, so daß der Fehler ermittelt werden kann.

Die oben beschriebene Vorrichtung weist sehr einfache Einrichtungen zur Erfassung oder Überprüfung von Fehlern auf. Wegen dieser sehr einfachen Struktur hat die Einrichtung zur Erfassung oder Überprüfung von Fehlern eine hohe Zuverlässigkeit und ist deshalb besonders zu einer Verwendung in einer derartigen Kontrollvorrichtung geeignet, die in einem Zug verwendet wird, und die einen Fehler ohne Ausfall erfassen und ein Sicherheitesignal liefern muß. Jedoch kann dieses System nicht länger die Sicherheit der Prozessoreinheit 11a gewährleisten, wenn eines der folgenden Bauteile außerhalb des Normalzustandes betrieben wirds Taktimpuls erzeuger 17, Verzögerungsschaltung 18, Koinzidenzschaltung 19 und Sicherheits- und Anzeigerechalter 20. Um diesen Nachteil zu beseitigen, besteht die Koinzidenzschaltung 19 aus einem UND-Glied 21 und aus einem Binär-

309823/0837

zähler mit einem Bit, d, h, einem Flip-Flop 22, Wenn das UND-Glied 21 die Koinzidenz zwischen den Impulssignalen b und c erfaßt, dann erzeugt das Glied 21 ein Ausgangssi<gnal, das den Flip-Flop 22 ansteuert, um ein Wechselstromsignal d zu erzeugen, wie dies in der Fig. 5 dargestellt ist. Wenn nun der Taktimpulserzeuger 1? oder die Verzögerungsschaltung 18 oder die Koinzidenzschaltung 19 nicht in normalem Betriebszustand sind, dann tritt kein Wechsel- -stromausgangssignal am Ausgang der Koinzidenzschaltung 19 auf. Deshalb ist der Schalter 2Q so ausgelegt', daß er nur dann arbeitet, wenn das Eingangssignal d ein Wechselstromsignal ist. Dann kann das Sicherheitssignal durch den Schalter 20 erzeugt werden,

In Fig. 6 ist ein Ausführungsbeispiel eines solchen Sicherheits- und. Anzeigeschalters 20 dargestellt, der ein Ausgangssignal e liefert, das einen Pegel "1" nur dann aufweist, wenn der Schalter 20 ein Wechselstromsignal d empfängt. In Fig. 6 sind dargestellt ein Verstärker 23, ein Transformator 24, Gleichrichter 25 und 26, ein Relais 27 und Kontakte 28 des Relais 27·

Fig. 7 erläutert die Veränderung der Amplitude des Ausgangssignales e abhängig von der Anwesenheit oder. Abwesenheit eines Wechselstromausgangssignals d. Die Signalform f ist das Ausgangssignal der Gleichrichter 25 und 26. Wenn das Wechselstromsignal d (Fig. 7) von der Koinzidenzschaltung 19 in den Schalter 20 eingespeist wird, dann wird das Signal e durch die Gleichrichter 25 und 26 gleichgerichtet· Sodann wird das gleichgerichtete Signal in die Ansteuerschaltung 27 des Relais eingespeist, um die Kontakte 28 des Relais zu schließen. Die Kontakte 28 des Relais sind

ORIGINAL

3OB8 2 3/083 7

!'258917

mit einer Relaisansteuer-Spannungsquelle im Ausgangsglied Ik verbunden. Während das Wechselstromsignal d in den Schalter 20 eingespeist wird, schaltet demgemäß das Relais im Ausgangsglied, so daß das verarbeitete Ergebnis der Prozessoreinheit über dem Ausgang des Gliedes 14 erhalten wird.

In Fig. 8 ist ein weiteres Ausführungsbeispiel der vorliegenden Erfindung dargestellt. In dieser Figur ist lediglich eine Hälfte einer erfindungsgemäßen Doppel-Kontrollvorrichtung dargestellt. Gemäß der vorliegenden Erfindung kann diese Hälfte allein verwendet werden. In einem derartigen Fall kann ebenfalls eine zufriedenstellende Zuverlässigkeit erreicht werden. In Fig. 8 sind sich entsprechende Teile mit den gleichen Bezugszeichen versehen wie in Fig. 1, Eine arithmetische Prozessoreinheit ist mit 11a, und ein Störungsbeseitiger ist mit 11b bezeichnet. Ein Taktimpulserzeuger ist mit 29 bezeichnet. Eine Prüfschaltung 30 startet durch einen durch den Erzeuger 29 erzeugten Taktimpuls a, erzeugt ein Signal b und erkennt, ob ein Fehler in der Prozessoreinheit 11a vorliegt. Die Prozessoreinheit 11a arbeitet so, wie dies oben beschrieben wurde, und kontrolliert die nicht dargestellte Kontrollvorrichtung.

In Fig. 9 sind die Signalformen der an den verschiedenen Punkten der in der Fig. 8 dargestellten Anordnung gezeigt. Die Wirkungsweise der Anordnung wird weiter unten näher anhand der Fig. 9 beschrieben. Wenn ein Taktimpuls g durch den Impulserzeuger 29 erzeugt wird, dann startet die Prüfschaltung 30 durch den Taktimpuls β, um ein Signal h zu erzeugen, das den Betrieb der Prozeesoreinheit 11a er-

OHQlHM- INSPECTED 309823/0837

kennt oder überprüft. Das Diagramm ο zeigt den Zustand, des Betriebes der Prozessoreinheit 11a: Der Norjoalbetrieb (durch Schraffur dargestellt) ist während der Überprüfung, unterbrochen, während der Normalbetrieb wieder eingeschaltet wird, wenn das Signal h verschwindet, um anzuzeigen, daß . der Normalzustand wieder hergestellt'ist. Wenn eine'vom Normalzustand abweichende Bedingung erfaßt wird, dann wird diese vom Normalzustand abweichende Bedingung durch das Signal e von der Prüfschaltung 30 geliefert. Die weitere Wirkungsweise dieser in der Fig. S dargestellten Anordnung ist die gleiche wie die Wirkungsweise der anhand der Fig. beschriebenen Anordnung,

In Fig. 10 sind weitere Einzelheiten der in der Fig. gezeigten Anordnung dargestellt, wobei die Prozessoreinheit 11°ä TzrWei Bauteile 31 (beispielsweise eine gemeinsam betriebene Einheit) und 32 (beispielsweise eine speziell betriebene Einheit) umfaßt. Fig. 11 dient zur Erläuterung der in der Fig. 10 dargestellten Anordnung. Wenn ein Taktimpuls vom Impulserzeuger 29 geliefert wird, dann startet die Prüfschaltung 30 zunächst, um ein Signal h zu erzeugen, das die Einheit 31 für einen gemeinsamen Betrieb überprüft. Wenn ermittelt wird, daß die Einheit 31 in Ordnung ist, dann wird ein Signal j erzeugt, um die von der Einheit 31 für den gemeinsamen Betrieb abweichende Einheit 32 für den besonderen Betrieb zu überprüfen. Danach wächst die erfaßte Fläche an, und dieser Überprüfungseffekt wird auf andere ■ Teile als die Einheit 32 ausgedehnt. Wenn eine der Einheiten 31 und 32 nichi) in Ordnung ist, dann erzeugt die Prüfschaltung 30 oder die Einheit 31 für den gemeinsamen Betrieb ein Signal e, um den Fehler anzuzeigen. Das Diagramm ο der Fig. 11 zeigt den Betriebszustand der Prozessoreinheit 11a, wobei aus diesem Diagramm hervorgeht, daß der normale

ORlGiNAL INSPECTED 309823/0837

Betrieb (durch schraffierte Flächen dargestellt) während der Überprüfung unterbrochen wird.

Wie oben bereits beschrieben wurde, wird durch die Verwendung einer Vielstufen-Erkennungsmethode ein Vorteil erhalten, der darin liegt, daß die Struktur der Prüfschaltung 30 vereinfacht und'die zur Erfassung eines Fehlers erforderliche Zeit verkürzt wird.

Fig. 12 zeigt eine weitere Einzelheit der arithmetischen Prozessoreinheit 11a, die bei einer erfindungsgemäßen Doppel-Kontrollvorrichtung benutzt wird. In dieser Figur sind dargestellt ein Taktimpulserzeuger 29» eine Prüfschaltung 30, eine Einheit 31 für einen gemeinsamen Betrieb (ähnlich zu der in Fig. 10 gezeigten Einheit), ein Speicher 3^, ein Adressenregister 33, um die Adressen des Speichers 3^ auszusondern, ein Speicherregister 35, um den Inhalt des Speichers 3^ auszulesen und zu schreiben, und Gatter 36, 37, 38 und 39, die durch die Einheit 31 für den gemeinsamen Betrieb gesteuert werden, um die Information des Adressenregisters 33 und des Speicherregisters 35 auszulesen oder um eine neue Information in die Register 33 und 35 einzuschreiben. Ein Programm und zugeordnete Oaten zur Steuerung der Kontrollvorrichtung sind im Speicher Jk gespeichert, und die Einheit 31 für einen gemeinsamen Betrieb liest den Inhalt des Speichers Jh aus, um entsprechend dem Befehl die Verarbei tung durchzuführen.

Bei dieser Schaltungsanordnung führt die Prüfschaltung 30 ihre eigentliche Funktion zur Überprüfung der Einheit 31 für einen gemeinsamen Betrieb dann aus, wenn ein Taktimpuls durch die Schaltung 30 empfangen wird. Wenn ermittelt wird,

ORIGINAL INSPECTED 309823/0837

daß die Einheit 31 für einen gemeinsamen Betrieb in Ordnung ist, dann wird die Steuerung auf die Einheit 31 für einen gemeinsamen Betrieb übertragen. Danach kann der Inhalt des Speichers 34 in Übereinstimmung mit der Überprüfung in der Einheit 31 ausgelesen werden, und die ermittelten Werte des Speichers 34, des Adressenregisters 33 und des Speicherregisters 35 werden beispielsweise dadurch vervollständigt, daß die Summe der aus dem Speicher 34 ausgelesenen Teilinformationen betrachtet wird.

In Fig. 13 ist ein Ausführungsbeispiel für die Einheit 31 (Fig. 12) für einen gemeinsamen Betrieb dargestellt. In dieser Figur speichert ein Festspeicher 40 ein Programm zur Steuerung der übrigen Bauteile und arbeitet mit einem Decodierer, der einen gegebenen Befehl für eine notwendige Steuerung decodiert, zusammen. Ein Zähler 42 sondert für einen nachfolgenden Zugriff zum Festspeicher 40 die Adressen aus und wird gewöhnlich durch das Ausgangssignal des Speichers 40 über den Decodierer 41 gesteuert« Gatter 51 und 52 haben eine bedeutende Rolle für die Steuerung des Zählers 42. Eine logische Schaltung 43 vollführt ©ine Operation, die durch das Ausgangssignal des FestSpeichers 40 über den Decodierer 41 gesteuert ist. Register kh und 45 speichern zeitweise die schließlich verarbeiteten Ergebnisse oder die Zwischenergebnisse während des Betriebs und führen ebenfalls Operationen durch. Bei diesem Ausführungsbeispiel werden lediglich zwei derartige Register verwendet; aber es ist selbstverständlich, daß auch zusätzliche Register vorgesehen werden können, wenn dies erforderlich ist. Eine Prüfschaltung 30 startet durch ©in Ausgangssignal 47, das abhängig vom Ausgangssignal des Decodierers 41 und abhängig vom Ausgangssignal 46 des FestSpeichers kö

30 9 823/0837

22b8917 - 16 -

erhalten wird, stellt den Zähler 42 abhängig von einem Signal 48 zurück, löst den Ausgang des Festspeichers 4o vom Decodierer 4i , und bewirkt, daß die logische Schaltung 43 und das Register 44 über das Gatter 51 einen Addiervorgang durchführen, so daß das Ergebnis der Addition zusammengefaßt wird. Diese Operation der Zusammenfassung wird durch das Signal 50 ausgelöst, das vom Erkenner 30 über den Decodierer 4i geliefert wird. In diesem Fall erfüllt jedes Operations- oder Funktionsbauteil seine eigene Funktion in Übereinstimmung mit dem Signal 50; und es wird durch Erfassung des Signals 47, das den Wert des Zählers 42 wiedergibt, erfaßt, daß der gesamte Inhalt des Festspeichers ausgelesen wurde. Danach ermittelt die Prüfschaltung 30, ob das Register 44 einen vorbestimmten Wert enthält oder nicht, und zeigt an, ob ein Fehler vorliegt oder nicht. Weiterhin kann durch die Speicherung eines Programmes im Festspeicher 40 zur Prüfung der anderen Bauteile, wie beispielsweise des Speichers 34, des Adressenregisters 33 und des Speicherregisters 35 (Fig. 12), die Überprüfung auf die gesamte Vorrichtung ausgedehnt werden. Da die arithmetische Prozessoreinheit gemäß der vorliegenden Erfindung ebenfalls als Prüfschaltung verwendet werden kann, wird ein weiterer Vorteil dadurch erhalten, daß die gesamte Vorrichtung sehr einfach ist, und daß damit die Zuverlässigkeit der Vorrichtung wesentlich verbessert wird.

Wie oben beschrieben wurde, liegt ein wesentlicher Vorteil der vorliegenden Erfindung darin, daß ein Fehler der Vorrichtung mit Hilfe einer Prüfschaltung mit einer sehr einfachen Struktur ermittelt werden kann, so daß die Zuverlässigkeit der Vorrichtung sehr hoch ist. Ein weiterer Vorteil liegt darin, daß die Überprüfung mit Hilfe der Prüf-

ORIGINAL INSPECTED

3 (l S S ? 3 / U 6 3 7

schaltung weiter ausgedehnt werden kann· Wenn in diesem Fall jedoch ein Fehler in der Einheit 31 für einen gemeinsamen Betrieb in der Stufe verursacht wird, in der die Einheit 31 für den gemeinsamen Betrieb die Einheit 32 für einen besonderen Betrieb überprüft, dann können die im folgenden erhaltenen Ergabnisse nicht sicher fehlerfrei sein. Deshalb wird die Prüfschaltung 30 periodisch mit den Taktimpulsen des Taktimpulserzeugers 29 angesteuert, wobei das Überprüfen immer mit der Prüfschaltung 30 beginnt, so daß der Fehler in der Einheit für den gemeinsamen Betrieb in einem neuen Verfahrensschritt erfaßt werden kann. Deshalb ist eine derartige unterbrechende Einrichtung mit Taktimpulsen sehr nützlich.

Weiterer Vorteile der erfindungsgemäßen Vorrichtung gegenüber bekannten Vorrichtungen werden im folgenden aufgeführt: Da zwei Anordnungen, von denen jede eine Prozessoreinheit umfaßt, die für sich einen Fehler überprüfen oder erkennen kann, zusammengefaßt sind, um eine Doppel-Kontrollvorrichtung zu bilden, kann die gesamte Vorrichtung vereinfacht werden, und die Auswahl der letzten Ausgangssignale der einzelnen Anordnungen wird erleichtert. Da jede Anordnung für sich selbst einen Fehler überprüft, kann

eine zufriedenstellende Zuverlässigkeit selbst dann erreicht werden, wenn nur eine Hälfte der Vorrichtung verwendet wird. Da die Ausgangssignale der Eingangsglieder synchron sind, um ein Bezugssignal durch Austausch der Informationen miteinander und durch Auswahl eines der Ausgangssignale zu bilden, ist die Auswahl wesentlich einfacher als in einer herkömmlichen Vielfach-Kontrollvorrichtung, selbst wenn die addierten Ergebnisse durch mehrere Coden bei der Kontrolle eines Bremsvorganges, wie oben beschrieben, wiedergegeben werden.

π ι.--. ; / ο fi r;

Claims

Patentansprüche

1.) Doppel-Kontrollvorrichtung, gekennzeich η e t~" durch

mindestens ein Eingangsglied (i3b),

zwei gleichwertige Anordnungen, die mit dem Eingangsglied (i3b) verbunden sind,

zwei Ausgangsglieder (1^, 15)» die mit den Anordnungen verbunden sind, und

ein Gatter (i6) zur Ermittlung der logischen Summe der Ausgangssignale der Ausgangsglieder (i4, 15),

wobei jede der Anordnungen umfaßt:

eine Prozessoreinheit (i1a; 12a), die direkt mit dem Eingangsglied (i3b) verbunden ist, um ein Signal zur Steuerung der Anordnung in Übereinstimmung mit den Ausgangssignalen des Eingangsgliedes (i3b) zu erzeugen, wobei die Prozessoreinheit (z. B. 11a) die enthaltene Information mit der anderen Prozessoreinheit (z. B. 12a) in der anderen Anordnung für eine Auswertung austauscht, und

einen Störungsbeseitiger (lib; 12b), der den Fehler in der Prozessoreinheit (i1a; 12a) und den Fehler im entsprechenden Ausgangsglied (1^, 15) durch Erfassung des Rückkopplungssignales vom entsprechenden Ausgangsglied überprüft, wobei der S tb'rungsbesei tiger ein Signal zur Anzeige ein«:« Fehlers erzeugt, wenn dadurch ein Fehler erfaßt wird.

3 (i 9 R :> ) /083 7

2258317

2. Doppel-Kontrollvorrichtung, gekennzeichnet durch

einen Taktimpulserzeuger (17) zur Erzeugung eines Impulssignales mit einer konstanten Periode,.

Verzögerungsschaltungen (i8)-zur Verzögerung des Impulssignales um eine konstante Zeit,

Prozessoreihheiten ("11a, 12a), von denen jede eine Einheit für einen gemeinsamen Betrieb aufweist, die eine gesteuerte Anordnung simultan verarbeitet und steuert, die eine Funktion mit einer erforderlichen Zeitdauer, die der konstanten Zeit entspricht, jedesmal dann durchführt, wenn der Taktimpuls empfangen wird, und die einen Ausgangsimpuls nur dann liefert, wenn das verarbeitete Ergebnis mit. einem vorbestimmten Wert übereinstimmt,

Koinzidenzschaltungen (19) zum Vergleichen der Ausgangsimpulse von den Prozessoreinheiten mit den Ausgangsimpulsen der Verzögerungsschaltungen (18) und zur Erzeugung der Vergleichsergebnisse, und

Sicherheits- und Anzeigeschalter (20)_s von denen jeder einen Fehler in der entsprechenden Prozessoreinheit in Übereinstimmung mit dem Nicht-Koinzidenzausgangssignal der entsprechenden Koinzidenzschaltung anzeigt und ein Signal liefert, das bewirkt, daß das Verarbeitungssignal ein Sicherheitssignal für die gesteuerte Anordnung einspeist.

3· Doppel-Kontrollvorrichtung, gekennzeichnet durch Taktimpulserzeuger (i7), die ein Impulssignal mit einer konstanten Periode erzeugen,

Prüfschaltungen (30), und

3 (J '-i 8 2 3/083 7

Prozessoreinheiten (i1a, 12a), von denen jede aus einer Einheit (3Ό für einen gemeinsamen Betrieb und aus einer Einheit (32) für einen besonderen Betrieb besteht, wobei die Prüfschaltungen (30) starten, um Befehlssignale zu liefern, und ermitteln, ob in der Einheit (31) für den gemeinsamen Betrieb Fehler vorhanden sind oder nicht, wobei die Einheiten für den gemeinsamen Betrieb simultan gesteuert werden, wobei die Überprüfung oder Erkennung der Fehler durchgeführt wird, während die Verarbeitung abhängig von den Befehlssignalen von den Prüfschaltungen unterbrochen wird, und wobei die Überprüfung der Einheiten (32) für den besonderen Betrieb mit der Einheit (31) für den gemeinsamen Betrieb, die als fehlerfrei ermittelt wurde, durchgeführt wird.

3 0 9 8 2 3/0837

Leerseite