DE2525438B2 - Überwachungsanordnung zur Überwachung zentraler Einrichtungen - Google Patents

Description

Die Erfindung betrifft eine Anordnung zur Überwachung zentraler Einrichtungen und der automatischen Umschaltung im Fehlerfall.

In vielen Anlagen, besonders aber in der Vermittlungstechnik, gibt es zentrale Einrichtungen, die möglichst ausfallsicher sein sollen. Dazu werden solche Einrichtungen mehrfach gesetzt, wobei immer nur eine zentrale Einrichtung nach außen wirksam ist und ΐ im Fehlerfall auf eine andere umgeschaltet wird. Dabei liegen die Hauptprobleme nicht so sehr in den zentralen Einrichtungen oder in der Umschalteapparatur, sondern vielmehr bei der Fehlererkennung, aus der dann die Umschaltesignale abgeleitet werden.

i'· Die Überwachungsanordnung (Fehlererkennung mit Umschaltesignal) stellt nun ihrerseits ein ze itrales Gebilde, bezogen auf die zu überwachenden zentralen Einrichtungen dar, so daß von der Zuverlässigkeit dieser Überwachungsanordnung die Funktionssi-

i"i cherheit der gesamten zentralen Einrichtungen direkt abhängt und somit die Gtjksamtzuverlässigkeit höchstens so groß sein kann wie die der Umschaltsteuerung.

Ein Erhöhen der Funktionssicherheit der Umschal-

>o testeuerung ergibt sich, wenn man folgende Punkte beachtet:

1. spezielle Aufbautechniken

2. besonders getestete und ausgewählte Bauelemente

-'"> 3. Redundanzaufwand durch Aufteilung in mehrere gleiche Teile, und geringsten Aufwand in dem für alles gemeinsamen Teil.
4. Durch besonders geringen Aufwand (Vermeidung jeglicher Redundanz).

m Ein gutes Ergebnis wird man erzielen, wenn man die Punkte 1., 2., 3. bzw. 1., 2., 4. beachtet. Meist aber sind die Punkte 1. und 2. durch innerbetriebliche Festlegungen schon abgegrenzt, so daß hier nur beschränkt Einfluß darauf genommen werden kann.

π Übrig bleibt 3. und 4. Sie sind gegensätzlich und fallbezogen zu bewerten.

Wäre z. B. den zu überwachenden zentralen Einrichtungen direkt ein Signal zu entnehmen, das Auskunft über die Funktionsfähigkeit gibt, so könnte man

in sich die Lösung durch 4. als besonders günstig vorstellen, indem lediglich ein geringer Aufwand getrieben wird, um aus den gelieferten Signalen logisch das Umschaltesignal abzuleiten. In den meisten Fällen dürfte es sich aber um den Fall 3. handeln.

π Zur Gewinnung einer Aussage über die Fehlerfreiheit der einzelnen zentralen Einrichtungen gibt es nun folgende Möglichkeit. Man ordnet jeder dezentralen Einrichtung eine eigene Überwachungsschaltung zu, die die Betriebsbereitschaft bzw. Fehlerfreiheit der

vi zentralen Einrichtung feststellt. Der Vorteil der genannten Überwachungsanordnung besteht im wesentlichen darin, daß man mit zwei zentralen Einrichtungen auskommt, um sowohl Fehler zu erkennen und gegebenenfalls auf die fehlerfreie zentrale Einrichtung

.ι umsrhalten zu können. Nachteilig ist allerdings, daß ebenfalls zwei Uberwachungsanordnungen benötigt werden, die darüber hinaus noch recht komplex sein können, so daß sie entweder sehr schwer zu erstellen sind oder einen Umfang annehmen, der der zu über-

wi wachenden zentralen Einrichtung gleichkommt oder diese sogar übertrifft.

Weiterhin stellen die Uberwachungsanordnungen selbst eine Fehlerquelle dar; man wird somit versuchen, mit einer einzigen Überwachungsanordnung

h-, auszukommen.

Unter dem obengenannten Gesichtspunkt und unter der Voraussetzung, daß die zu überwachenden zentralen Einrichtungen niemals gleichzeitig ausfal-

len, kann man durch Vergleich der Ausgangssignale zweier zentraler Einrichtungen, die mit gleichen Eingangssignalen beaufschlag», werden, einen Unterschied im Verhalten dieser Einrichtungen und damit gegebenenfalls den Auüfal! einer solchen Einrichtung feststellen. Dies ist mit einer einzigen relativ einfach aufgebauten Überwachungsanordnung möglich. Allerdings ist noch keine Aussage zu machen, welche davon defekt ist: dazu werden drei zentrale Einrichtungen benötigt. Durch eine Majoritätsaussage kann festgestellt werden, welche der Einrichtungen fehlerhaft arbeitet. Dieses Problem ist beispielsweise in »Rechnergesteuerte Vermittlungssysteme« von Peter R Gerke/Springer-Verlag, Berlin-New York 1972, Seite 160, angesprochen.

Die Erfindung geht daher von einer Überwachungsanordnung zur Überwachung zentraler Einrichtungen aus, bei der drei mit Eingangssignalen parallel betriebene zentrale Einrichtungen vorgesehen sind, von denen aber immer jeweils nur eine über einen Umschalter nach außen wirksam ist, während in einer Auswertelogik die Ausgangssignale aller drei zentralen Einrichtungen miteinander verglichen werden und durch eine Majoritätsentscheidung Her Feiilerort festgelegt wird. Danach wird durch die Auswertelogik über den Schalter die fehlerfreie zentrale Einrichtung eingeschaltet.

Eine derartige Überwachungsanordnung ist beispielhaft in Fig. 1 dargestellt. Fig. 1 zeigt die drei zentralen Einrichtungen ZEl, ZEH, ZElIl, die mit gleichen Eingangssignalen El ... El beaufschlagt werden. Es wird angenommen, daß jede dieser drei zentralen Einrichtungen jeweils nur eine Ausgangsleitung AI, All, AIII besitzt. Die Ausgangssignale auf den Ausgangsleitungen Al und All werden einem Vergleicher Vl zugeführt, der die beiden Signale auf Übereinstimmung überprüft und bei fehlender Übereinstimmung einem Logikkreis LK eine entsprechende Information übermittelt. Gleichzeitig wird noch das Signal an der Ausgangsleitung Al mit einem entsprechenden Signal auf der Ausgangsleitung AIII in dem Vergleicher Vl verglichen. Stellt der Vcrgleicher VX keine Übereinstimmung der ihm zugeführten Signale fest, so kann durch die Bewertung der Eingangssignale des Vergleichers Vl durch Majoritätsentscheidung festgelegt werden, welche der beiden zentralen Einrichtungen ZEl, ZEIl fehlerhaft arbeitet. Stellen sowohl die Vergleicher VX und Vl unterschiedliche Eingangssignale fest, so arbeitet mit großer Wahrscheinlichkeit die zentrale Einrichtung ZEl fehlerhaft, während für den Fall, daß nur der Vergleicher VX unterschiedlich*; Eingangssignale feststellt, mil großer Wahrscheinlichkeit die zentrale Einrichtung ZLII fehlerhaft arbeitet.

Der außer den beiden Vergleichern Vl, VZ ebenfalls zu der Auswertelogik gehörende Logikkreis gibt ein geeignetes Ausgangssignal an einen Schalter .S' ab, der jeweils die korrekt arbeitende zentrale Einrichtung mit einem Ausgang AS verbindet. Außerdem kann der Logikkreis zusätzlich noch an einen Ausgang /14 ein Meldesignal abgeben, das besagt, daß eine zentrale Einrichtung fehlerhaft arbeitet.

Es ist somit durch Koinzidenzvergleich zwischen den zentralen Einrichtungen I-II und I-III und die logische Prüfung der durch diesen Vergleich gegebenen ι Signale in der Auswertelogik möglich, den Fehlerfall zu erkennen und dann auf die orcinungsgemäß arbeitende Einrichtung umzuschalten. Gleichzeitig kann die Information entnommen werden, die einen Ausfall kennzeichnet.

Der Nachteil dieser Lösung besteht darin, daß die in Fig. 1 dargestellte Überwachungsanordnung (Auawertelogik AL mit Schalter S) für jedes einzelne Ausgangssignal einer zentralen Einrichtung vorgesehen sein muß, so daß ein recht großer Aufwand entsteht. Während nämlich z. B. in Fig. 1 von jeder zentralen Einrichtung ZE immer nur eine einzige Ausgangsleitung Al, All, AIII, abgeht, ist es in der Praxis nicht ungewöhnlich, daß von einer zentralen Einrichtung 50 und mehr Ausgangsleitungen abgehen. Das bedeutet aber, daß beispielsweise 50 Überwachungsanordnungen zueinander parallel arbeitend angeordnet werden müßten.

Ein weiterer Nachteil der in Fig. 1 erläuterten Schaltungsanordnung besteht darin, daß die Leiterkarte, auf der die einzelnen Bauelemente für die Überwachungsanordnung je Ausgp.ngssignal aufgebracht sind, sehr viele Steckerpunkte besitzen muß. Es werden für zwei Ausgangssignale einer zentralen Einrichtung mindestens vier Stecker-Punkte benötigt.

Aufgabe der Erfindung ist es, eine Überwachungsanordnung der beschriebenen Art zu schaffen, die unter Anwendung der erläuterten Arbeitsweise in der Lage ist, zentrale Einrichtungen mit einer großen Anzahl von Ausgängen zu überwachen.

Diese Aufgabe wird bei einer Überwachungsanordnung der genannten Art dadurch gelöst, daß diese die verschiedenen zu überprüfenden Ausgänge der drei zentralen Einrichtungen nacheinander zeitmultiplex abtastet und jeweils einander entsprechende Ausgänge der drei zentralen Einrichtungen gleichzeitig abgetastet werden.

Durch die Anwendung des an sich bekannten zeitmultiplexen Prinzipsauf die oben erläuterte Überwachungsanordnung ergibt sich eine ganze Reihe Vorteile. Während bei der genannten Überwachungsanordnung alle in die Überwachung einbezogenen Ausgänge auch dann ständig überwacht werden, wenn relativ selten Signale abgegeben werden, deren Vergleich erst zu einer Fehierfeststellung führen kann, wird bei der erfindungsgemäßen Überwachungsanordnung beispielsweise durch mehrfache Adressierung eines Ausgangs innerhalb eines Abtaslzykkis die Überwachungshäufigkeit an die Häufigkeit Jcr auftretenden Signale anpaßt. Auch die Ve:bindui.gsleitung zwischen den zentralen Einrichtungen und der Überwachungsanordnung wird besonders gut ausgcnutzt. Die erfindungsgemäße Überwachungsanordnung arbeitet daher erheblich flexibler als die weiter oben beschriebene bekannte Überwachungsanordnung.

In der Regel wird man die Abtastfrequenz der zentralen Einrichtungen so legen, daß die Dauer des Abtastzykius kürzer ist, als der kürzeste Zeitraum, der zwischen zwei Signaländerungen an einem Ausgang einer zentralen Einrichtung vergeht. Man kann dann sicher sein, jede mögliche Signaländerung an den Ausgängen der zentralen Einrichtungen zu erfassen.

Hat eine zentrale Einrichtung aber besondere viele Ausgänge, so kann es geschehen, daß man mit der Dauer des Abtastzyklus in den Grenzbereich kommt, in dem zv.ei Änderungen an einem Eingang der zentralen Einrichtung auftreten können. Treten diese Änderungen darüber hinaus noch regelmäßig auf, so stellt man entweder jede Änderung oder gar keine Änderung fest, indem beispielsweise ein kompletter

Impuls zwischen zwei Abtastungen liegt. Eis besteht somit die Gefahr, daß besonders schnelle Vorgänge durch die erfindungsgemäße Überwachungsanordnung unter Umständen überhaupt nicht überwacht werden, obwohl die zu überwachenden Signale relativ lange andauern und für die Beseitigung des möglichen Fehlers an sich eine ausreichende Zeit zur Verfügung steht. Diese Zeit ist nämlich festgelegt durch den Zeitraum, der von der Erkennung des Fehlers bis zur Umschaltung auf die fehlerfrei arbeitende zentrale Einrichtung (beispielsweise durch einen Rechner) vergeht.

Für den Fall, daß die Abtastfrequenz in dem Grenzbereich der Änderungsfrequenz der zu überwachenden Signale oder gar noch darunter liegt und daß eine genügend große Zeit zur Fehlererkennung vorliegt, empfiehlt es sich in Weiterbildung der Erfindung, daß die Abtastung der Ausgänge gegenüber den Ausgangssienalen zufällig ist

Da die Zeit zur Fehlererkennung sehr viel kurzer als die zur Umschaltung von einer Einrichtung auf die andere benötigte Zeit ist und damit kaum ins Gewicht fällt, bietet diese vorteilhafte Weiterbildung erhebliche Vorzüge. Während nämlich bei gegenüber den zu überwachenden Signalen synchroner Abtastung, etwa bei gleichem Takt, für die Überwachungsanordnung und die zentrale Einrichtung, unter Umständen ein Fehler überhaupt nicht erkannt werden kann, ist dies bei der vorteilhaften Weiterbildung der Erfindung mit großer Wahrscheinlichkeit der Fall, wobei die Wahrscheinlichkeit von der Dauer des Auftrittes des Fehlers abhängt.

In Weiterbildung der erläuterten besonderen Ausgestaltung der Erfindung empfehlen sich mehrere Ausführungsformen. Die eine Ausführungsform kann sich beispielsweise darin auszeichnen, daß die Ausgangssignale gegenüber der zyklischen Abtastung der Ausgänge stochastisch auftreten. Dies ist beispielsweise dann der Fall, wenn die zentrale Einrichtung zufällig angereizt wird und die von einem Bitmustergenerator abgegebenen Adressen ein zyklisches Bitmuster bilden. Ist es aber so. daß die kritischen Ausgangssignale nicht zufällig angereizt werden, sondern eine regelmäßige Folge haben, so kann man derari vorgehen, daß die regelmäßig abgegebenen Ausgangssignale mittels einer zufälligen Adressierung der Ausgänge abgetastet werden. Hier wird also die Wahrscheinlichkeit sehr groß, daß innerhalb eines ausreichenden Zeitraumes die Adresse des kritischen Ausgangs kurzfristig aufgerufen wird, so daß sich der mögliche Fehler bemerkbar macht. Die Wirkungsweise der vorgeschriebenen beiden Weiterbildungen läßt sich noch durch eine Ausgestaltung verbessern, die sich dadurch auszeichnet, daß sowohl für die zentralen Einrichtungen als auch für die Steuerung ein gemeinsamer Takt vorgesehen ist und die Abtastung der Ausgänge stochastisch bei der ansteigenden oder abfallenden Flanke der Taktimpulse vorgenommen wird.

Trotz einer zyklischen Adressierung und einer regelmäßigen Taktung der zentralen Einrichtung sind also hier die Abtastzeitpunkte zufälligen Schwankungen unterworfen. Dabei ist es nicht notwendig, daß diese Schwankungen nur bei für die Überwachungsanordnung und die zentrale Einrichtung gemeinsamer Taktangabe angewendet werden. Dies ist auch dann möglich, wenn die Ausgangssignale der zentralen Einrichtung und/oder die Adressierung zufällig ist. Jedenfalls wird somit die an sich schon gegebene unregelmäßige Verteilung noch zusätzlich verbessert.

Das Prinzip, daß die Ausgangssignale und die Abtastadressen gegeneinander zufiillig auftreten, ist aber nicht nur dann vorteilhaft, wenn die Frequenz des Abtastzyklus sich der Frequenz der überwachten Signale nähert oder diese sogar unterschreitet. Es kann sich nämlich vielfach empfehlen, außer den nach außen wirksamen Ausgängen einer zentralen Einrichtung auch innerhalb dieser zentralen Einrichtung liegende nicht nach außen wirkende Verbindungspunkte zu überwachen, wenn diese für die Arbeitsweise tier zentralen Einrichtung besonders markant sind. Diese Verbindungspunkte werden dann als zusätzliche Ausgänge aus der zentralen Einrichtung zur Überwachung herausgeführt.

Die Überwachung dieser zusätzlichen Ausgange empfiehlt sich deshalb, weil sie vielfach gleichzeitig auf mehrere "ach außen wirkssrnc Eingänge cimmiken und daher durch die feststellung eines Fehlers an diesen zusätzlichen Ausgängen J gleichzeitig ein Fehler an mehreren nach außen wirkenden Ausgängen A festgestellt werden kann. Auf diese Weise ist es möglich, die Wahrscheinlichkeit für die Entdeckung eines Fehlers erheblich zu erhöhen, obwohl wegen der notwendigen Abtastung eines zusätzlichen Ausganges die Frequenz des Abtastzyklus an sich herabgesetzt werden rriiß. Dabei muß man allerdings bei der Auswahl der zu überwachenden inneren Verbindungspunkte beachten, daß diese Punkte besonders nussagekräftig für die Arbeitsweise der zentralen Einrichtungsind und die Wahrscheinlichkeit, für einen Fehler auf der Strecke zwischen ihm und den von ihm beeinflußten möglichst vielen nach außen wirkenden Ausgängen möglichst gering ist.

Ein Ausführungsbeispiel der Erfindung wird nachfolgend an Hand der Zeichnung erläutert. Darin zeigt

Fig. 1 eine Überwachungsanordnung, von der die Erfindung ausgeht, und

Fig. 2 eine erfindungsgemäße Ausführungsform der Überwachungsanordnung.

Die erfindungsgemäße Überwachung der zentralen Einrichtungen I, II und III besteht in Prinzip darin, daß jede Einrichtung zeitmultiplex abgetastet wird und diese Multiplexsignale dann in einer Auswertelogik (wie entsprechend in Fig. 1 für eine einzige Ausgangs-Leitung Al bzw. /411 bzw. AlU dargestellt) auf ihre Übereinstimmung untersucht werden. In der Auswertelogik AL kommen dann die Signale für die Anschaltung der zentralen Einrichtungen ZEI und ZEII bzw. zur Umschaltung zwischen I und II. da \.λ-mer nur eine zentrale Einrichtung nach außen aktiv ist. Die zentrale Einrichtung ZEIIl ist nur zur Referenz da, um eine Majoritätsentscheidung herbeizuführen vnd braucht nicht mit ihren Ausgängen nach außen zu wirken. Bei ZEIII ist daher die Anschalteleitung ASlIl auf logisch »0« gelegt, so daß ZElII grundsätzlich nach außen unwirksam ist.

Zeitmultiplex werden grundsätzlich alle Ausgänge All bis AIn, /Il bis JIn usw. abgetastet.

In Fig. 2 werden die allen drei Zentralen Einrichtungen ZEI bis ZEIN gemeinsamen Eingänge £1 bis E/gleichzeitig beaufschlagt. Die Signale auf den Eingangsleitungen werden in den zentralen Einrichtungen ZEI bis ZEIII verarbeitet, wobei in folgendem nur ZEI betrachtet werden soll, da die restlichen beiden zentralen Einrichtungen zu der genannten zentralen Einrichtung parallel laufen und sich gleichartig

verhalten. Die Signale an den Eingangsleitungen El bis El bewirken in den zentralen Einrichtungen ZEl elektrische Vorgänge, die Signale nicht nur an den nach außen wirkenden Ausgangsleitungen All bis AIn₁ sondern auch an den zusätzlichen Ausgangsleitungen /Il bis JIn bewirken, welche mit markanten Verbindungspunkten in der zentralen Einrichtung verbunden sind, aber nicht wie die Ausgänge A nach ,«ißen wirken. Die Ausgänge A können nur dann über die UND-Gatter t/11 bis UIn nach außen wirken, wenn die UND-Gatter Uli bis UIn über die Anschalleleitung ASl von der Überwachungsanordnung Ü beaufschlagt werden. Entsprechendes gilt in der zentralen Einrichtung ZEII für die Ausgänge AIII bis AUn, die UND-Gatter Ulli bis UUn und die Anschalteleitung ASU. Die Anschalteleitungen AS werden von der Überwachungsanordnung alternativ betätigt, d. h. es kann entweder nur die zentrale Einrichtung ZEI oder ZEII nach außen wirken. Die dritte zentrale Einrichtung Z£!!! dient - wie weiter oben an Hand von Fig. 1 schon erläutert wurde - nur zur Herbeiführung einer Majoritätserscheinung und soll nicht nach außen wirken. Ihre Anschalteleitung ASlU wird daher nicht von der Überwachungsanordnung angesteuert, sondern ist auf ein dem logischen Wert »0« entsprechendes Potential gelegt. Daher brauchen die Ausgänge der UlUl... UlU η auch nicht an die anderen Ausgänge der ZEl, ZEII angeschlossen zu werden.

Die nach außen wirksamen Leitungen sind über sogenannte »pull-up-Widerstände auf das log. »0«-Poential vorgespannt. Die Uli ... UIn und Ulli ... UlIn bilden mit ihren pull-up-Widerständen sogenannte wired or-Gatter (verdrahtete Oder-Verknüpfungsglieder). Die zusätzlichen Ausgangsleitungen J dienen nur zur Überwachung und wirken nicht nach außen, wie weiter oben schon erläutert wurde.

Sämtlichen zentralen Einrichtungen wird jeweils ein Multiplexer MI bis Mill zugeordnet, an dessen Eingängen die Ausgangsleitungen A sowie die zusätzlichen Ausgangsleitungen J der jeweiligen zentralen Einrichtungen liegen. Ein zu der Überwachungsanordnung gehöriger Bitmustergenerator BG gibt an seinen Ausgängen über Steuerungsleitungen 5Ll bis 5Z.it aus mehreren Bits bestehende Adressen ab, wobei die zu einer Adresse gehörenden Bits - wie aus Fig. 2 ersichtlich - vorzugsweise parallel abgegeben werden. Diese über die Steuerleitungen 5Ll bis 5LA: laufenden nacheinander abgegebenen Adressen werden den Steuereingängen aller drei Multiplexer MI bis MIII zugeführt. Der Multiplexer schaltet darauf die der gerade anliegenden Adressen zugeordnete Ausgangsleitung auf die dem Multiplexer zugehörige Miltiplexleitung MLI bzw. MLII bzw. MLIII durch. Die Multiplexer wirken also wie adressierbare Wählschalter, die entsprechend der eingegebenen Adressen einen der Ausgänge A bzw. / nach dem anderen zu der zugehörigen Multiplexleitung ML durchschalten. Auf diese Weise können in der Auswertelogik einander zugeordnete Proben von vergleichbaren Ausgangssignalen an den drei zentralen Einrichtungen miteinander verglichen werden. Die Art und Weise, wie die Ausgänge der zentralen Einrichtung miteinander verglichen, ein Fehler festgestellt und die fehler

freie zentrale Einrichtung nach außen wirksam gestaltet werden kann, wurde schon im Zusammenhang mit Fig. 1 erläutert und soll daher nicht nochmals beschrieben werden. Auch ist die Behandlung der einzelnen Abtastproben nicht Gegenstand der vorliegenden Erfindung. Wie weiter oben schon erläutert, kann die Bildung der Adressen in dem Bitmustergenerator Ba auf unterschiedliche Weise geschehen. Zum einen kann während der kleinstmöglichen Zeitdauer zwisehen zwei Änderungen auf den Ausgangsleitungen der zentralen Einrichtungen der Bitmustergenerator zyklisch alle Bitmuster, d. h. Adressen abgeben, die für den Multiplexer nötig sind, um alle Ausgänge abzutasten. In diesem Falle ist es nicht notwendig, auch die zusätzlichen Ausgangsleitungen J abzutasten, da alle möglichen Fehler auf den Ausgängen A sofort feststellbar sind.

Die erfindungsgemäße Überwachungsanordnung verhält sich dann ähnlich wie die im Zusammenhang mit Fiο 1 hfsrhriphpnp. Anordnune. Stellt sich nicht die Forderung nach einer sofortigen Erkennung des Fehlers einer zentralen Einrichtung unmittelbar nach dem Auftreten des Fehlers, sondern reicht eine Fehlererkennung innerhalb einer größeren Zeit, so gibt es nach einer vorteilhaften Weiterbildung der Erfindung die Möglichkeit der zufälligen Abtastung der Ausgänge A und gegebenenfalls auch der zusätzlichen Ausgänge J, wie weiter oben schon erläutert wurde. Die für dieses stochastische Abtastprinzip notwendige reine statistische Abtastung ist schon dann sichergestellt, wenn die zentralen Einrichtungen durch unsynchrone Schnittstellen mit anderen Teilen der Anlage verbunden sind, oder in anderer Weise zufällig angereizt werden. Es ist in diesem Falle zu einer statistisehen Abtastung nicht notwendig, die Abtastadressen in zufälliger Reihenfolge zu bilden, und es reicht für den Bitmustergenerator schon ein einfacher Zähler, der ständig umläuft und mit dem Taktsystem der zentralen Einheit synchronisiert ist.

Stehen aber die zentralen Einrichtungen zyklisch im Betrieb und werden sie also nicht rein zufällig angereizt, so kann die zufällige Abtastung, wie solion angedeutet, durch einen Bitmustergenerator erreicht werden, der ein zufälliges Muster abgibt, so daß die Abtastadressen in statistischer Reihenfolge abgegeben werden. Selbstverständlich können auch mehrere dieser Prinzipien miteinander kombiniert werden, um die statistische Verteilung zu verbessern.

Weiterhin ist es möglich, daß sowohl die Überwachungsanordnung als auch die zentralen Einrichtungen mit demselben Takt versorgt werden. Es erfolgt dann zu einer bestimmten Taktflanke oder zu einem bestimmten Zeitpunkt im Zeitschema die zeitmultiplexe Abfrage innerhalb eines Taktzyklus, so daß dabei nur dieser Moment durch Abtastung erfaßt wird und ein fehlerhaftes Verhalten nach diesem Zeitpunkt nicht mehr erfaßt werden kann. Um dies zu vermeiden, kann die den Abtastzeitpunkt-Zyklus festlegende Abfrageflanke durch ständiges periodisches oder zufälliges Umschalten verändert werden, indem man beispielsweise einmal eine abfallende und einmal eine ansteigende Flanke als Abtastzeitpunkt wählt. Selbstverständlich kann dieses Prinzip auch mit den weiter oben beschriebenen Prinzipien kombiniert werden.

Claims (6)

Patentansprüche:

1. Überwachungsanordnung zur Überwachung zentraler Einrichtungen, bei der drei mit Eingangssignalen parallel betriebene zentrale Einrichtungen vorgesehen sind, von denen aber immer jeweils nur eine über einen Umschalter nach außen wirksam ist, während in einer Auswertelogik die Ausgangssignale einer zweiten zentralen Einrichtung mit den Ausgangssignalen der ersten auf Fehler vergleichbar sind und durch die Ausgangssignale der dritten zentralen Einrichtung beim Feststellen eines Fehlers mittels einer Majoritätsentscheidung der Fehlerort festlegbar ist und danach durch die Auswertelogik über den Schalter die fehlerfreie zentrale Einrichtung einschaltbar ist, dadurch gekennzeichnet, daß die Überwachungsanordnung (Ü) die verschiedenen zu überprüfenden Ausgänge (All bis AIn bzw. AUl bis AlIn bzw. .4IHl bis Allln) nacheinander zeitmultiplex abtastet und jeweils einander entsprechende Ausgänge (All, AUl, Allll b2W. A12, ΑΊ12, /4III2 ...) der drei zentralen Einrichtungen abgetastet werden.

2. Überwachungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Abtastung der Ausgänge (All bis AIn bzw. A III bis AlIn bzw. Allll bis Allln) gegenüber den Ausgangssignalen zufällig ist.

3. Überwachungsanordnung nach Anspruch 2, dadurch gekennzeichnet, daß die Ausgangssignaie gegenüber der zyklischen Abtastung der Ausgänge (All tr, AIn bzw. AlM bis AlIn bzw. AlUl bis Allln) stochastisch auftreten.

4. Überwachungsanordnung nach Anspruch 2, dadurch gekennzeichnet, d&ß die zyklisch abgegebenen Ausgangssignale mittels einer zufälligen Adressierung (SLl bis SLk) der Ausgänge All bis AIn bzw. AIII bis AUn bzw. AUIl bis AlUn abgetastet werden.

5. Überwachungsanordnung nach Anspruch 4, dadurch gekennzeichnet, daß sowohl für die zentralen Einrichtungen (ZEl bis ZElU) als auch für die Steuerung der Abtastung (BG) der Ausgänge (All bis AIn bzw. AUl bis AUn bzw. /illll bis A UIn) ein gemeinsamer Takt vorgesehen ist, und die Abtastung der Ausgänge stochastisch bei der ansteigenden oder abfallenden Flanke der Taktimpulse vorgenommen wird.

6. Überwachungsanordnung nach einein der Ansprüche 1 bis 5, dadurch gekennzeichnet, da.ß die zentralen Einrichtungen (ZE\ bis ZElU) mit nicht nach außen wirkenden, zu markanten Verbindungspunkten innerhalb der Einrichtung führenden zusätzlichen Ausgängen (J) versehen sind, welche zur Überwachung ebenfalls zeitmultiplex abgetastet werden.