DE2525438C3

DE2525438C3 - Überwachungsanordnung zur Überwachung zentraler Einrichtungen

Info

Publication number: DE2525438C3
Application number: DE19752525438
Authority: DE
Inventors: Klaus Ing.(Grad.) 6350 Bad Nauheim Maier
Original assignee: Telefonbau und Normalzeit GmbH
Current assignee: Telenorma GmbH
Priority date: 1975-06-07
Filing date: 1975-06-07
Publication date: 1980-08-07
Also published as: DE2525438B2; DE2525438A1

Description

60

Die Erfindung betrifft eine Anordnung zur Überwachung zentraler Einrichtungen und der automalischen Umschaltung im Fehlerfall.

In vielen Anlagen, besonders aber in der Vermitt

lungstechnik, gibt es zentrale Einrichtungen, die möglichst ausfallsicher sein sollen. Dazu werden solche Einrichtungen mehrfach gesetzt, wobei immer nur eine zentrale Einrichtung nach außen wirksam ist und im Fehlerfall auf eine andere umgeschaltet wird. Dabei liegen die Hauptprobleme nicht so sehr in den zentralen Einrichtungen oder in der Umschalteapparatur, sondern vielmehr bei der Fehlererkennung, aus der dann die Umschaltesignale abgeleitet werden.

Die Überwachungsanordnung (Fehlererkennung mit Umschaltesignal) stellt nun ihrerseits ein zentrales Gebilde, bezogen auf die zu überwachenden zentralen Einrichtungen dar, so daß von der Zuverlässigkeit dieser Überwachungsanordnung die Funktionssicfserheit der gesamten zentralen Einrichtungen direkt abhängt und somit die Geksamtzuverlässigkeit höchstens so groß sein kann wie die der Umschaltsteuerung.

Ein Erhöhen der Funktionssicherheit der Umschaltesteuerung ergibt sich, wenn man folgende Punkte beachtet:

1. spezielle Aufbautechniken

2. besonders getestete und ausgewählte Bauelemente

3. Redundanzaufwand durch Aufteilung in mehrere gleiche Teile, und geringsten Aufwand in dem für alles gemeinsamen Teil.

4. Durch besonders geringen Aufwand (Vermeidung jeglicher Redundanz).

Ein gutes Ergebnis wird man erzielen, wenn man die Punkte 1., 2., 5. bzw. 1., 2., 4. beachtet. Meist aber sind die Punkte 1. und 2. durch innerbetriebliche Festlegungen schon abgegrenzt, so daß hier nur beschränkt Einfluß darauf genommer· werden kann. Übrig bleibt 3. und 4. Sie sind gegensätzlich und fallbezogen zu bewerten.

Wäre z. B. den zu überwachenden zentralen Einrichtungen direkt ein Signal zu entnehmen, das Auskunft über die Funktionsfähigkeil gibt, so könnte man sich die Lösung durch 4. als besonders günstig vorstellen, indem lediglich ein geringer Aufwand getrieben wird, um aus den gelieferten Signalen logisch das Umschaltesignal abzuleiten. In den meisten Fällen dürfte es sich aber um den Fall 3. handeln.

Zur Gewinnung einer Aussage über die Fehlerfreiheit der einzelnen zentralen Einrichtungen gibt es nun folgende Möglichkeit. Man ordnet jeder dezentralen Einrichtung eine eigene Überwachungsschaltung zu, die die Betriebsbereitschaft bzw. Fehlerfreiheit der zentralen Einrichtung feststellt. Der Vorteil der genannten Überwachungsanordnung besteht im wesentlichen darin, daß man mit zwei zentralen Einrichtungen auskommt, um sowohl Fehler zu erkennen und gegebenenfalls auf die fehlerfreie zentrale Einrichtung umschalten zu können. Nachteilig ist allerdings, daß ebenfalls zwei Überwachungsanordnungen benötigt werden, die darüber hinaus noch recht komplex sein können, so daß sie entweder sehr schwer zu erstellen sind oder einen Umfang annehmen, der der zu überwachenden zentralen Einrichtung gleichkommt oder diese sogar übertrifft.

Weiterhin stellen die Überwachungsanordnungen selbst eine Fehlerquelle dar; man wird somit versuchen, mit einer einzigen Überwachungsanordnung auszukommen.

Unter dem obengenannten Gesichtspunkt und unter der Voraussetzung, daß die zu überwachenden zentralen Einrichtungen niemals gleichzeitig ausfal-

len, kann man durch Vergleich 4er Ausgangssignale zweier zentraler Einrichtungen, die mit gleichen Eingangssignalen beaufschlagt werden, einen Unterschied im Verbalten dieser Einrichtungen und damit gegebenenfalls den Ausfall einer solchen Einrichtung feststellen. Dies ist mit einer einzigen relativ einfach aufgebauten Überwachungsanordnung möglich. Allerdings ist noch keine Aussage zu machen, welche davon defekt ist: dazu werden drei zentrale Einrichtungen benötigt. Durch eine Majoritätsaussage kann to festgestellt werden, weiche der Einrichtungen fehlerhaft arbeitet. Dieses Problem ist beispielsweise in »Rechnergesteuerte Vermittlungssysterae« von Peter R. Gerke/SpringerWerlag, Berlin-New York 1972, Seite 160, angesprochen.

Die Erfindung geht daher von einer Überwachungsanordnung zur Überwachung zentraler Einrichtungen aus, bei der drei mit Eingangssignalen parallel betriebene zentrale Einrichtungen vorgesehen sind, von denen aber immer jeweils nur eine über einen Umschalter nach außen wirksam ist, während in einer Auswertelogik die Ausgangssignale a'Ier drei zentralen Einrichtungen miteinander verglichen werden und durch eine Majoritätsentscheidung der Fehlerort festgelegt wird. Danach wird durch die Auswertelogik über den Schalter die fehlerfreie zentrale Einrichtung eingeschaltet

Eine derartige Überwachungsanordnung ist beispielhaft in Fig. 1 dargestellt. Fig. 1 zeigt die drei zentralen. Einrichtungen ZEl, ZElI, ZEIlI, die mit gleichen Eingangssignalen El ... El beaufschlagt werden. Es wird angenommen, daß jede dieser drei zentralen Einrichtungen jeweils nur eine Ausgangsleitung Al, All, AIII besitzt. Die Ausgangssignale auf den Ausgangsleitungen Al und All werden einem Vergleicher Vl zugeführt, der die beiden Signale auf Übereinstimmung überprüft und bei fehlender Übereinstimmung einem Logikkreis LK eine entsprechende Information übermittelt. Gleichzeitig wird noch das Signal an der Ausgangsleitung AI mit einem entsprechenden Signal auf der Ausgangsleitung AIII in dem Vergleicher Vl verglichen. Stellt der Vergleicher Vl keine Übereinstimmung der ihm zugeführten Signale fest, so kann durch die Bewertung der Eingangssignale des Vergleichers Vl durch Majoritätsentscheidung festgelegt werden, welche der beiden zentralen Einrichtungen ZEl, Z£II fehlerhaft arbeitet. Steilen sowohl die Vergleicher Vl und Vl unterschiedliche Eingangssignale fest, so arbeitet mit großer Wahrscheinlichkeit die zentrale Einrichtung Z£l fehlerhaft, während für den Fall, daß nur der Vergleicher Vl unterschiedliche Eingangssignale feststellt, mit großer Wahrscheinlichkeit die zentrale Einrichtung ZEII fehlerhaft arbeitet.

Der außer den beiden Vergleichern Vl, Klebenfalls zu der Auswertelogik gehörende Logikkreis gib! ein geeignetes Ausgangssignal an einen Schalter S ab, der jeweils die korrekt arbeitende zentrale Einrichtung mit einem Ausgang AS verbindet. Außerdem kann der Logikkreis zusätzlich noch an einen Ausgang A4 ein Meldesignal abgeben, das besagt, daß eine zentrale Einrichtung fehlerhaft arbeitet.

Es ist somit durch Koinzidenzvergleich zwischen den zentralen Einrichtungen I—II und 1—III und die logische Prüfung der durch diesen Vergleich gegebenen Signale in der Auswertelogik möglich, den Fehlerfall zu erkennen und dann auf die ordnungsgemäß arbeitende Einrichtung umzuschalten. Gleichzeitig kann die Information entnommen werden, die einen Ausfall kennzeichnet.

Der Nachteil dieser Lösung besteht darin, daß die in Fig, 1 dargestellte Überwachungsanordnung (Auswertelogik AL mit Schalter S) für jedes einzelne Ausgangssignal einer zentralen Einrichtung vorgesehen sein muß, so daß ein recht großer Aufwand entsteht. Während nämlich z. B. in Fig. 1 von jeder zentralen Einrichtung ZE immer nur eine einzige Ausgangsleitung Al, AU, AUl, abgeht, ist es in der Praxis nicht ungewöhnlich, daß von einer zentralen Einrichtung SO und mehr Ausgangsleitungen abgehen. Das bedeutet aber, daß beispielsweise 50 Überwachungsanordnungen zueinander parallel arbeitend angeordnet werden müßten.

Ein weiterer Nachteil der in Fig. 1 erläuterten Schaltungsanordnung besteht darin, daß die Leiterkarte, auf der die einzelnen Bauelemente für die Überwachungsanordnung je Ausgangssigna] aufgebracht sind, sehr viele Steckerpunkte besitzen muß. Es werden für zwei Ausgangssignak einer zentralen Einrichtung mindestens vier SteckerpunJrte benötigt.

Aufgabe der Erfindung ist es, eine Überwachungsanordnung der beschriebenen Art zu schaffen, die unter Anwendung der erläuterten Arbeitsweise in der Lage ist, zentrale Einrichtungen mit einer großen Anzahl von Ausgängen zu überwachen.

Diese Aufgabe wird bei einer Überwachungsanordnung der genannten Art dadurch gelöst, daß diese die verschiedenen zu überprüfenden Ausgänge der drei zentralen Einrichtungen nacheinander zeitmultiplex abtastet und jeweils einander entsprechende Ausgänge der drei zentralen Einrichtungen gleichzeitig abgetastet werden.

Durch die Anwendung des an sich bekannten zeitmultiplexen Prinzips auf die oben erläuterte Überwachungsanordnung ergibt sich eine ganze Reihe Vorteile. Während bei der genannten Überwachungsanordnung alle in die Überwachung einbezo&snen Ausgänge auch dann ständig überwacht werden, wenn relativ selten Signale abgegeben werden, deren Vergleich erst zu einer Fehlerfeststellung führen kann, wird bei der erfindungsgemäßen Überwachungsanordnung beispielsweise durch mehrfache Adressierung eines Ausgangs innerhalb eines Abtastzyklus die Überwachungshäufigkeit an die Häufigkeit der auftretenden Signale anpaßt. Auch die Verbindungsleitung zwischen den zentralen Einrichtungen und der Überwachungsanordnung wird besonders gut ausgenutzt. Die erfindungsgemäße Überwachungsanordnung arbeitet daher erheblich flexibler als die weiter oben beschriebene bekannte Überwachungsanordnung.

In d'ir Regel wird man die Abtastfrequenz der zentralen Einrichtungen so legen, daß die Dauer des Abtastzyklus kürzer ist, als der kürzeste Zeitraum, der zwischen zwei Signaländerungen an einem Ausgang einer zentralen Einrichtung vergeht. Man kann dann sicher sein, jede mögliche Signaländerung an den Ausgängen der zentralen Einrichtungen zu erfassen.

Hat eine zentrale Einrichtung aber besonders viele Ausgänge, so kann es geschehen, daß man mit der Dauer des Abtastzyklus in den Grenzbertich kommt, in dem zwei Änderungen an einem Eingang der zentralen Einrichtung auftreten können. Treten diese Änderungen darüber hinaus noch regelmäßig auf, so stellt man entweder jede Änderung oder gar keine Änderung fest, indem beispielsweise ein kompletter

Impuls zwischen zwei Abtastungen liegt. Es besteht somit die Gefahr, daß besonders schnelle Vorgänge durch die erfindungsgemäße Überwachungsanordnung unter Umständen überhaupt nicht überwacht werden, obwohl die zu überwachenden Signale relativ lange andauern und für die Beseitigung des möglichen Fehlers an sich eine ausreichende Zeit zur Verfügung steht. Diese Zeit ist nämlich festgelegt durch den Zeitraum, der von der Erkennung des Fehlers bis zur Umschaltung auf die fehlerfrei arbeitende zentrale Einrichtung (beispielsweise durch einen Rechner) vergeht.

Für den Fall, daß die Abtastfrequenz in dem Grenzbereich der Änderungsfrequenz der zu überwachenden Signale oder gar noch darunter liegt und daß eine genügend große Zeit zur Fehlererkennung vorliegt, empfiehlt es sich in Weiterbildung der Erfindenfalls wird somit die an sich schon gegebene unregelmäßige Verteilung noch zusätzlich verbessert.

Das Prinzip, daß die Ausgangssignale und die Ab tastadressen gegeneinander zufällig auftreten, ist abei '. nicht nur dann vorteilhaft, wenn die Frequenz des Ab tastzyklus sich der Frequenz der überwachten Signale nähert oder diese sogar unterschreitet. Es kann siel· nämlich vielfach empfehlen, außer den nach außer wirksamen Ausgängen einer zentralen Einrichtung

ίο auch innerhalb dieser zentralen Einrichtung liegende nicht nach außen wirkende Verbindungspunkte zi überwachen, wenn diese für die Arbeitsweise der zentralen Einrichtung besonders markant sind. Diese Verbindungspunkte werden dann als zusätzliche Aus-

i"' gänge aus der zentralen Einrichtung zur Überwachung herausgeführt.

Die Überwachung dieser zusätzlichen Ausgänge

uuiij.uauuiv, nucaaiuilJULI /-lusgailgc gcgci IUUCI UCII

Ausgangssignalen zufällig ist.

Da die Zeit zur Fehlererkennung sehr viel kürzer als die zur Umschaltung von einer Einrichtung auf die andere benötigte Zeit ist und damit kaum ins Gewicht fällt, bietet diese vorteilhafte Weiterbildung erhebliche Vorzüge. Während nämlich bei gegenüber den zu überwachenden Signalen synchroner Abtastung, etwa bei gleichem Takt, für die Überwachungsanordnung und die zentrale Einrichtung, unter Umständen ein Fehler überhaupt nicht erkannt werden kann, ist dies bei der vorteilhaften Weiterbildung der Erfindung mit großer Wahrscheinlichkeit der Fall, wobei die Wahrscheinlichkeit von der Dauer des Auftrittes des Fehlers abhängt.

In Weiterbildung der erläuterten besonderen Ausgestaltung der Erfindung empfehlen sich mehrere Ausführungsformen. Die eine Ausführungsform kann sich beispielsweise darin auszeichnen, daß die Ausgangssignale gegenüber der zyklischen Abtastung der Ausgänge stochastisch auftreten. Dies ist beispielsweise dann der Fall, wenn die zentrale Einrichtung zufällig angereizt wird und die von einem Bitmustergenerator abgegebenen Adressen ein zyklisches Bitmuster bilden. Ist es aber so. daß die kritischen Ausgangssignale nicht zufällig angereizt werden, sondern eine regelmäßige Folge haben, so kann man derart vorgehen, daß die regelmäßig abgegebenen Ausgangssignale mittels einer zufälligen Adressierung der Ausgänge abgetastet werden. Hier wird also die Wahrscheinlichkeit sehr groß, daß innerhalb eines ausreichenden Zeitraumes die Adresse des kritischen Ausgangs kurzfristig aufgerufen wird, so daß sich der mögliche Fehler bemerkbar macht. Die Wirkungsweise der vorgeschriebenen beiden Weiterbildungen läßt sich noch durch eine Ausgestaltung verbessern, die sich dadurch auszeichnet, daß sowohl für die zentralen Einrichtungen als auch für die Steuerung ein gemeinsamer Takt vorgesehen ist und die Abtastung der Ausgänge stochastisch bei der ansteigenden oder abfallenden Flanke der Taktimpulse vorgenommen wird.

Trotz einer zyklischen Adressierung und einer regelmäßigen Taktung der zentralen Einrichtung sind also hier die Abtastzeitpunkte zufälligen Schwankungen unterworfen. Dabei ist es nicht notwendig, daß diese Schwankungen nur bei für die Überwachungsanordnung un.i die zentrale Einrichtung gemeinsamer Taktangabe angewendet werden. Dies ist auch dann möglich, wenn die Ausgangssignale der zentralen Einrichtung und/oder die Adressierung zufällig ist. Je-

CIIIU1ICIIII Ml.Il UCSUiIIU, WCII 5IC VICIIiH-Il gg

auf mehrere nach außen wirksame Eingänge einwirken und daher durch die Feststellung eines Fehlen an diesen zusätzlichen Ausgängen J gleichzeitig ein Fehler an mehreren nach außen wirkenden Ausgängen A festgestellt werden kann. Auf diese Weise isi es möglich, die Wahrscheinlichkeit für die Entdeckung eines Fehlers erheblich zu erhöhen, obwohl wegen dei notwendigen Abtastung eines zusätzlichen Ausganges die Frequenz des Abtastzyklus an sich herabgesetzt werden muß. Dabei muß man allerdings bei der Auswahl der zu überwachenden inneren Verbindungspunkte beachten, daß diese Punkte besonders aussagekräftig für die Arbeitsweise dar zentralen Einrichtung sind und die Wahrscheinlichkeit, für einen Fehler auf der Strecke zwischen ihm und den von ihm beeinflußten möglichst vielen nach außen wirkenden Ausgängen möglichst gering ist.

Ein Ausführungsbeispiel der Erfindung wird nachfolgend an Hand der Zeichnung erläutert. Darin zeig)

Fig. 1 eine Überwachungsanordnung, von der die Erfindung ausgeht, und

Fig. 2 eine erfindungsgemäße Ausführungsform der Überwachungsanordnung.

Die erfindungsgemäße Überwachung der zentralen Einrichtungen I, II und III besteht im Prinzip darin, daß jede Einrichtung zeitmultiplex abgetastet wird und diese Multiplexsignale dann in einer Auswertelogik (wie entsprechend in Fig. 1 für eine einzige Ausgangs-Leitung Al bzw. /Ill bzw. AlW dargestellt) auf ihre Übereinstimmung untersucht werden. In der Auswertelogik AL kommen dann die Signale für die Anschaltung der zentralen Einrichtungen ZE', und ZEII bzw. zur Umschaltung zwischen I und II, da immer nur eine zentrale Einrichtung nach außen aktiv ist. Die zentrale Einrichtung ZEIlI ist nur zur Referenz da, um eine Majoritätsentscheidung herbeizuführen und braucht nicht mit ihren Ausgängen nach außen zu wirken. Bei ZEiVV ist daher die Anschalteleitung ASUl auf logisch >0« gelegt, so daß ZEIII grundsätzlich nach außen unwirksam ist.

Zeitmultiplex werden grundsätzlich alle Ausgänge All bis AIn, JIl bis JIn usw. abgetastet.

In Fig. 2 werden die allen drei Zentralen Einrichtungen ZEI bis ΖΕΠΙ gemeinsamen Eingänge El bis El gleichzeitig beaufschlagt. Die Signale auf den Eingangsleitungen werden in den zentralen Einrichtungen ZEI bis ZEIII verarbeitet, wobei in folgenden] nur ZEI betrachtet werden soll, da die restlichen beiden zentralen Einrichtungen zu der genannten zentralen Einrichtung parallel laufen und sich gleichartig

verhalten. Die Signale an den Eingangsleitungen £1 bis El bewirken in den zentralen Einrichtungen ZE\ elektrische Vorgänge, die Signale nicht nur an den nach außen wirkenden Ausgangsleitungen AW bis AIn, sondern auch an den zusätzlichen Ausgangslei- > tungen 711 bis JIn bewirken, welche mit markanten Vüibindungspunkten in der zentralen Einrichtung verbunden sind, aber nicht wie die Ausgänge A nach außen wirken. Die Ausgänge A können nur dann über die UND-Gatter t/11 bis UIn nacn außen wirken, ι» wenn die UND-Gatter i/11 bis UIn über die Anschalteleitung ASl von der Überwachungsanordnung U beaufschlagt werden. Entsprechendes gilt in der zentralen Einrichtung Z£II für die Ausgänge A\\\ bis AUn, die UND-Gatter Ulli bis UUn und die An- r. schalteleitung ASU. Die Anschalteleitungen AS werden von der Überwachungsanordnung alternativ betätigt, d. h. es kann entweder nur die zeniiuie Einrichtung Z£I oder Z£II nach außen wirken. Die dritte zentrale Einrichtung Z£II1 dient - wie weiter .'" oben an Hand von Fig. 1 schon erläutert wurde - nur zur Herbeiführung einer Majoritätserscheinung und soll nicht nach außen wirken. Ihre Anschalteleitung ASUl wird daher nicht von der Überwachungsanordnung angesteuert, sondern ist auf ein dem logischen :> Wert »0« entsprechendes Potential gelegt. Daher brauchen die Ausgänge der UUIi ... UUIn auch nicht an die anderen Ausgänge der Z£I, Z£II angeschlossen zu werden.

Die nach außen wirksamen Leitungen sind über so- in genannte »pull-up-Widerstände auf das log. »0«-Potential vorgespannt. Die Uli ... UIn und Ulli ... UUn bilden mit ihren pull-up-Widerständen sogenannte wired or-Gatter (verdrahtete Oder-Verknüpfungsglieder). Die zusätzlichen Ausgangsleitungen J Ji dienen nur zur Überwachung und wirken nicht nach außen, wie weiter oben schon erläutert wurde.

Sämtlichen zentralen Einrichtungen wird jeweils ein Multiplexer AfI bis /VfIII zugeordnet, an dessen Eingängen die Ausgangsleitungen A sowie die zucät^lirhpn Aiicoanocleitiinoen / Her iewpiliopn 7entra-

len Einrichtungen liegen. Ein zu der Überwachungsanordnung gehöriger Bitmustergenerator BG gibt an seinen Ausgängen über Steuerungsleitungen 5Ll bis SLk aus mehreren Bits bestehende Adressen ab, wobei die zu einer Adresse gehörenden Bits - wie aus Fig. 2 ersichtlich - vorzugsweise parallel abgegeben werden. Diese über die Steuerleitungen 5Ll bis SLk laufenden nacheinander abgegebenen Adressen werden den Steuereingängen aller drei Multiplexer Ml 5n bis AfIII zugeführt. Der Multiplexer schaltet darauf die der gerade anliegenden Adressen zugeordnete Ausgangsleitung auf die dem Multiplexer zugehörige Miltiplexleitung MLl bzw. AiLII bzw. AiLIII durch. Die Multiplexer wirken also wie adressierbare Wählschalter, die entsprechend der eingegebenen Adressen einen der Ausgänge A bzw. / nach dem anderen zu der zugehörigen Multiplexleitung ML durchschalten. Auf diese Weise können in der Auswertelogik einander zugeordnete Proben von vergleichbaren Ausgangssignalen an den drei zentralen Einrichtungen miteinander verglichen werden. Die Art und Weise, wie die Ausgänge der zentralen Einrichtung miteinander verglichen, ein Fehler festgestellt und die fehlerfreie zentrale Einrichtung nach außen wirksam gestaltet werden kann, wurde schon im Zusammenhang mit Fig. 1 erläutert und soll daher nicht nochmals beschrieben werden. Auch ist die Behandlung der einzelnen Abtastproben nicht Gegenstand der vorliegenden Erfindung. Wie weiter oben schon erläutert, kann die Bildung der Adressen in dem Bitmustergenerator Bä auf unterschiedliche Weise geschehen. Zum einen kann während der kleinstmöglichen Zeitdauer zwischen zwei Änderungen auf den Ausgangsleitungen der zentralen Einrichtungen der Bitmustergenerator zyklisch alle Bitmuster, d. h. Adressen abgeben, die für den Multiplexer nötig sind, um alle Ausgänge abzutasten. In diesem Falle ist es nicht notwendig, auch die zusätzlichen Ausgangsleitungen J abzutasten, da alle möglichen Fehler auf den Ausgängen A sofort feststellbar sind.

verhält sich dann ähnlich wie die im Zusammenhang mit Fig. 1 beschriebene Anordnung. Stellt sich nicht die Forderung nach einer sofortigen Erkennung des Fehlers einer zentralen Einrichtung unmittelbar nach dem Auftreten des Fehlers, sondern reicht eine Fehlererkennung innerhalb einer größeren Zeit, so gibt es nach einer vorteilhaften Weiterbildung der Erfindung die Möglichkeit der zufälligen Abtastung der Ausgänge A und gegebenenfalls auch der zusätzlichen Ausgänge J, wie weiter oben schon erläutert wurde. Die für dieses stochastische Abtastprinzip notwendige reine statistische Abtastung ist schon dann sichergestellt, wenn die zentralen Einrichtungen durch unsynchrone Schnittstellen mit anderen Teilen der Anlage verbunden sind, oder in anderer Weise zufällig angereizt werden. Es ist in diesem Falle zu einer statistischen Abtastung nicht notwendig, die Abtastadressen in zufälliger Reihenfolge zu bilden, und es reicht für den Bitmustergenerator schon ein einfacher Zähler, der ständig umläuft und mit dem Taktsystem der zentralen Einheit synchronisiert ist.

Stehen aber die zentralen Einrichtungen zyklisch im Retrieh iinH werden sie aUr» nicht rein 7iifälliß angereizt, so kann die zufällige Abtastung, wie schon angedeutet, durch einen Bitmustergenerator erreicht werden, der ein zufälliges Muster abgibt, so daß die Abtastadressen in statistischer Reihenfolge abgegeben werden. Selbstverständlich können auch mehrere dieser Prinzipien miteinander kombiniert werden, um die statistische Verteilung zu verbessern.

Weiterhin ist es möglich, daß sowohl die Überwachungsanordnung als auch die zentralen Einrichtungen mit demselben Takt versorgt werden. Es erfolgt dann zu einer bestimmten Taktflanke oder zu einem bestimmten Zeitpunkt im Zeitschema die zeitmultiplexe Abfrage innerhalb eines Taktzyklus, so daß dabei nur dieser Moment durch Abtastung erfaßt wird und ein fehlerhaftes Verhalten nach diesem Zeitpunkt nicht mehr erfaßt werden kann. Um dies zu vermeiden, kann die den Abtastzeitpunkt-Zyklus festlegende Abfrageflanke durch ständiges periodisches oder zufälliges Umschalten verändert werden, indem man beispielsweise einmal eine abfallende und einmal eine ansteigende Flanke als Abtastzeitpunkt wählt. Selbstverständlich kann dieses Prinzip auch mit den weiter oben beschriebenen Prinzipien kombiniert werden.

Hierzu 2 Blatt Zeichnungen

Claims

Patentansprüche:

1. Überwachungsanordnung zur Überwachung zentraler Einrichtungen, bei der drei mit Eingangssignalen parallel betriebene zentrale Einrichtungen vorgesehen sind, von denen aber immer jeweils nur eine über einen Umschalter nach außen wirksam ist, während in einer Auswertelogik die Ausgangssignale einer zweiten zentralen Einrichtung mit den Ausgangssignalen der ersten auf Fehler vergleichbar sind und durch die Ausgangssignale der dritten zentralen Einrichtung beim Feststellen eines Fehlers mittels einer Majoritätsentscheidung der Fehlerort festlegbar ist und danach durch die Auswertelogik über den Schalter die fehlerfreie zentrale Einrichtung einschaltbar ist, dadurch gekennzeichnet, daß die Überwachungsanordnung (O) die verschiedenen zu überprüfendiia Ausgänge (All bis AIn bzw. AUl bis AUn hat. AWW bis AUIn) nacheinander zeitmultiplex abtastet und jeweils einander entsprechende Ausgänge (/411, AIII, Allll bzw. .412, AU2, AUH ...) der drei zentralen Einrichtungen abgetastet werden.

2. Überwachungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß vHe Abtastung der Ausgänge (All bis AIn bzw. AIII bis AUn bzw. AlUl bis AlUn) gegenüber den Ausgangssignalen zufällig ist.

3. Überwachungsanordnung nach Anspruch 2, dadurch gekennzeichnet, daß die Ausgangssignale gegenüber der zyklischen Abtastung der Ausgänge {All bis AIn brv. AUl bis AlIn bzw. /41111 bis AlUn) stochastisch uftreten.

4. Überwachungsanordnung nach Anspruch 2, dadurch gekennzeichnet, daß die zyklisch abgegebenen Ausgangssignale mittels einer zufälligen Adressierung (5Ll bis SLk) der Ausgänge All bis AIn bzw. AUl bis AUn bzw. ΛΙΙΙ1 bis AlUn abgetastet werden.

5. Überwachungsanordnung nach Anspruch 4, dadurch gekennzeichnet, daß sowohl für die zentralen Einrichtungen (ZEl bis ZElU) als auch für die Steuerung der Abtastung (BG) der Ausgänge (All bis AIn bzw. AIII bis AUn bzw. AlUl bis AlUn) ein gemeinsamer Takt vorgesehen ist, und die Abtastung der Ausgänge stochastisch bei der ansteigenden oder abfallenden Flanke der Taktimpulse vorgenommen wird.

6. Überwachungsanordnung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß die zentralen Einrichtungen (ZEl bis ZElU) mit nicht nach außen wirkenden, zu markanten Verbindungspunkten innerhalb der Einrichtung füh- renden zusätzlichen Ausgängen (J) versehen sind, weiche zur überwachung ebenfalls zeitmultiplex abgetastet werden.