DE2549467A1

DE2549467A1 - Verfahren zur bestimmung einer fehlfunktion eines elektrischen geraetes

Info

Publication number: DE2549467A1
Application number: DE19752549467
Authority: DE
Inventors: Jun Charles W Einolf; James A Neuner
Original assignee: Westinghouse Electric Corp
Current assignee: CBS Corp
Priority date: 1974-11-08
Filing date: 1975-11-05
Publication date: 1976-05-13
Also published as: DE2549467C2; JPS5169966A; CA1038040A; JPS546470B2; FR2290668B1; FR2290668A1; GB1522810A; US3919533A; IT1048663B; BR7507300A; SE7512523L; ES442432A1; BE835338A

Description

DlPL.-lNG. KLAUS NEUBECKER

4 Düsseldorf 1 - Schadowplatz 9

Dr.-lng. Ernst Stratmann t

.Düsseldorf, 4. Nov. 1975

Westinghouse Electric Corporation
Pittsburgh, Pa.y V. Sf. A.

Verfahren zur Bestimmung einer Fehlfunktion eines elektrischen Gerätes

Die Erfindung betrifft eine elektrische Fehleranzeige, insbesondere handelt es sich dabei um elektrische Überwachungssysteme (speziell Fehleranzeigesysteme), die auf das Ausbleiben eines überwachungssignals reagieren.

Bei der Benutzung von elektrischen oder mechanischen Geräten werden häufig elektrische überwachungssysteme verwendet, um die Betriebsweise des Gerätes fortlaufend zu überwachen und Fehlfunktionen mitzuteilen, die, wenn nicht unmittelbar korrigierend eingegriffen wird, die Arbeit negativ beeinflußt, bei der das Gerät verwendet wird, überwachungsverfahren sind besonders wichtig bei vielen industriellen Anwendungen, bei denen Kleincomputer eingeführt wurden, um Daten zu sammeln, zu verarbeiten und Steuerungen und Datenausgänge zu liefern. Es ist möglich und sogar wahrscheinlich, daß Fehler innerhalb der Zentraleinheit, dem Speicher oder den Anschlußsystemen auftreten. Viele dieser Fehler werden wahrscheinlich nicht er-

Telefon (O211) 32 08 38 Telegramme Custopat

609820/071«

kannt, abhängig von der Systemanordnung, wenn nicht eine geeignete Anzeige vorhanden ist. Derartige Fehler könnten durchaus zu unrichtigen Handlungen und damit zu kostspieligen Konsequenzen führen.

Es sind zwar zahlreiche überwachungs- und Anzeigesysteme bekannt, die Mehrzahl dieser Systeme hängt jedoch von einem durch die Fehlfunktion erzeugten positiven Ausgang ab, damit eine Anzeigeeinrichtung ausgelöst und das Bedienungspersonal zur Beseitigung des Fehlers aufmerksam gemacht werden kann. Im allgemeinen bleiben derartige Fehleranzeige-Schaltkreise während des fehlerfreien Betriebs des überwachten Gerätes inaktiv. Infolgedessen wird ein Fehler in den Überwachungs-Schaltkreisen selbst normalerweise nicht erkannt und damit der Zweck des Systems verfehlt.

Diese Probleme werden noch akuter bei digitalen Übertragungssystemen, bei denen nicht nur die Verarbeitungselektronik überwacht werden muß, sondern bei der auch einige Sicherheit gegeben sein muß, daß die Daten-Übertragungsleitungen mit der erforderlichen Anpassungsfähigkeit arbeiten.

Aufgabe der Erfindung ist es, ein verbessertes Fehleranzeigeverfahren zu schaffen, um Fehler aufzufinden, die sowohl Fehlfunktionen innerhalb eines Gerätes als auch innerhalb der überwachungsInstrumentierung verursachen, und zwar selbst dann, wenn der Teil, der die Fehlfunktion verursacht, nicht in Betrieb ist.

§0 3820/0788

- 3 - 2 D 4 9 4 b 7

Erfindungsgemäß wird die Aufgabe durch die im Hauptanspruch genannten Merkmale gelöst.

Die Erfindung besteht danach aus einem Verfahren zur Bestimmung einer Fehlfunktion eines elektrischen Gerätes, das eine Anzahl von unterschiedlichen Operationen ausführt, wobei ein vorbestimmtes codiertes Ausgangssignal periodisch erzeugt wird, wenn eine gegebene Anzahl von unterschiedlichen Operationen in richtiger Weise auftreten. Das codierte Ausgangssignal wird einem Decodierer zugeleitet, das codierte Ausgangssignal decodiert und dadurch ein decodierter Ausgang geschaffen, der anzeigt, daß das codierte Ausgangssignal von dem Decodierer aufgenommen wurde. Das Verfahren ist insbesondere dadurch gekennzeichnet, daß ein elektrisches Signal für ein bestimmtes Zeitintervall zugeführt wird, wobei dieses Signal für das vorbestimmte Zeitintervall bei Auftreten des decodierten Ausganges ausgelöst wird. Es wird ein Fehlerausgang geliefert als eine Anzeige für eine Fehlfunktion des überwachten Gerätes, der Fehleraüsgang jedoch daran gehindert, eine Fehlfunktion anzuzeigen, so lange das elektrische Signal zugeführt wird.

Gemäß einer vorzugsweisen Ausführungsform wird der codierte Ausgang periodisch einem Decodiernetzwerk in einem zyklischen Intervall"zugeführt, das eine Periode aufweist, die kürzer ist als das vorbestimmte Zeitintervall des Zeitsteuernetzwerkes, so daß der Fehlerausgang fortlaufend unterdrückt wird, solange der "codierte Ausgang fortlaufend mit einer gewünschten Periodizität zugeführt wird.

£ G 9 8 2 F / 0 7-$ 8

Das erfindungsgemäß Fehleranzeigesystem ist besonders nützlich bei der Anwendung für digitale Verarbeitungs- und Übertragungssysteme, bei denen es so ausgeführt werden kann, daß alle seine Möglichkeiten der Datensteuerung und der Adressierung von Übertragungsleitungen ausgeschöpft werden. Vorzugsweise wird bei dieser Art der Anwendung der codierte Ausgang so ausgewählt, daß er eine vorbestimmte Folge von Komplementäradressen und Datenworten umfaßt, die sicherstellen, daß nicht nur das digitale Rechensystem, sondern zusätzlich auch das gesamte Kommunikationssystem korrekt arbeitet.

Weitere Einzelheiten, Vorteile und Anwendungsmöglichkeiten der Erfindung ergeben sich aus der beiliegenden Darstellung von Ausführungsbeispxelen sowie aus der folgenden Beschreibung.

Es zeigt:

Fig. 1 eine schematische Darstellung der Anwendung der Erfindung bei einem grundlegenden Kommunikationssystem;

Fig. 2 eine schematische Darstellung der Anwendung der Erfindung bei einem Digitalrechner, einschließlich einem Blockdiagramm des erfindungsgemäßen grundlegenden Fehleranzeigesystems;

Fig. 3 ein Schaltschema der elektrischen Grundkomponenten des erfindungsgemäßen Fehleranzeigesystems;

609820/0788

Fig. 4 ein Flußdiagrairim zur Darstellung der grundlegenden Diagnoseroutine, die bei dem in Fig. 2 dargestellen Rechner angewendet werden kann, um die erfindungsgemäßen Fehlerausgänge zu liefern;

Fig. 5, 6, 7, 8, 9, 10 und 11

verschiedene Schritte, die in der Überblicksdarstellung der Fig. 4 gezeigt wurden; und

Fig. 12 ein Flußdiagramm eines beispielhaften Programms, das bei einem Rechner verwendbar ist und den erfindungsgemäßen Fehlerausgang liefert.

Fig. 1 zeigt eine übertragungsSammelleitung 10, die im allgemeinen eine Anzahl von Adressenleitungen, Steuerleitungen und Datenwortleitungen umfaßt, um codierte Informationen in elektrisch digitaler Form zwischen verschiedenen Orten zu übertragen. Die Sammelleitungssteuerung, auch als "Master" bezeichnet, steuert die Abgabe und Aufnahme von Informationen zu und von entfernten Stellen 14 über die Sammelleitung 10, wobei die entfernten Stellen 14 auch als "Slaves" bezeichnet werden. Jede der entfernten Stellen 14 identifiziert die für sie bestimmte Digitalinformation, indem die entsprechende zugeteilte Adresse de- codiert wird. Die tatsächlich übertragene Information ist in der Form von Digitaldatenworten codiert. Entsprechend umfaßt die Sammelleitung 10 im allgemeinen getrennte Adressen-, Steuer- und Datenwortleitungen. Erfindungsgemäß wird der Sammelleitungssteuerung 12 die zusätzliche Aufgabe

003820/0788

der periodischen Aktivierung eines Totmann-Auslösers 16 zugeteilt, der in der Weise arbeitet, daß er einen gegebenen Satz von Adressen-und Datenworten an einen asynchronen Fehlerdetektor-Schaltkreis 18 abgibt, der im folgenden noch näher erläutert werden wird. Somit aktiviert die Sammelleitungssteuerung periodisch den Totmann-Auslöser 16, der wiederum eine vorgewählte Anordnung von codierten Digitalausgängen erzeugt, die über die Sammelleitung 10 zu dem asynchronen Fehlerdetektor-Schaltkreis 18 transportiert werden.

Es ist günstig, wenn die von dem Totmann-Auslöser übertragenen Ausgänge eine Folge von Komplementäradressen umfassen, die die zugeteilten Adressenleitungen vollständig einnehmen, sowie eine entsprechende Folge von Komplementär-Datenworten, die die zugeteilte Datenleitung der Sammelleitung vollständig beanspruchen.

Ein Aktivierungssignal von der Sammelleitungssteuerung 12 löst innerhalb des Totmann-Auslösers 16 den Taktgeber 20 aus, der wiederum einen entsprechenden Ausgang liefert, um den Zähler 22 durch eine vorgegebene Zahl von Zuständen hindurchzuführen, die repräsentativ sind für die gewünschten vorgewählten Adressen- und Datenworte. Der Zähler liefert einen zyklischen Ausgang, der verwendet wird, um vorbestimmte Adressen- und Datenworte auszuwählen, die in einem Festwertspeicher 24 gespeichert sind. Die Informationen werden gespeichert, bis die Sammelleitungssteuerung 12 mittels eines entsprechenden Ausgangsbefehls den Festwertspeicher 24 veranlaßt, die

.6 0.9540/07 8 8

gewünschte Ausgangsfolge des Asynchron-Totmanns 18 über die Leitung 10 zu übermitteln. Der Festwertspeicher reagiert in diesem Ausführungsbeispiel auf den Befehl der Sammelleitungssteuerung, um Komplementäradressen und entsprechende Komplementär-Datenworte gemäß der vorgewählten Folge zu verteilen.

Die Aufnahme der geeignet codierten Information in der gewünschten Folge wird durch ein Decodiernetzwerk innerhalb des Fehlerdetektor-Schaltkreises 18 identifiziert. Der Ausgang des Decodieirtietzwerkes löst ein Zeitsteuerintervall erneut aus, das einen entsprechenden elektrischen Ausgang mit einer Dauer besitzt, die gleich ist der Dauer des Zeitsteuerintervalls. Der Ausgang des Zeitsteuergebers wird verwendet, um einen aktiven Fehlerausgang daran zu hindern, zu entsprechenden Fehleranzeigern weitergeleitet zu werden, die so angeordnet sein können, daß sie korrigierend die gewünschte Handlung ausführen. Vorzugsweise wird der Ausgang des Festwertspeichers mit einer Periodizität übertragen, die ausreicht, um den Zeitsteuerausgang ununterbrochen laufen zu lassen, so daß eine Fehlfunktion nur unter solchen Umständen angezeigt wird, bei denen die Sammelleitungssteuerung nicht die gewünschte Operation durchläuft. Alternativ kann die Periode des Festwertspeicherausganges etwas größer gemacht werden, als das Zeitsteuerintervall innerhalb des asynchronen Fehlerdetektors 18 beträgt, um die Anzeigeeinrichtungen für eine kurze Dauer zu aktivieren und damit ihre Betriebsfähigkeit zu kontrollieren. Der Festwertspeicher 24 ist ein Element, das in bekannter Weise drei Ausgangszustände aufweist, wobei zwei den komplementären Zuständen

ß0982O/O7«8

der Adressen- und Datenworte entsprechen. Der dritte Zustand ist ein schwebender Ausgang, der während des normalen Betriebes der Sammelleitungssteuerung 12 benutzt wird, um die Übertragung und Aufnahme der Information zu ermöglichen, die normalerweise zwischen der Sammelleitungssteuerung und den entfernten Stationen 14 durchgeführt wird. Auch der Taktgeber 20 und der Zähler 22 sind bekannt und im Handel erhältlich.

Bei vielen industriellen Systemen wurden Kleincomputer eingesetzt, um Daten zu sammeln, zu verarbeiten und auch um Steuerungen sowie Datenausgänge zu liefern. Es ist möglich und sogar wahrscheinlich, daß innerhalb des Rechners, seinem Speicher oder seinen Interface-Systemen Fehler auftreten. Viele dieser Fehler werden nicht erkannt werden, abhängig von dem Aufbau des Systems. Derartige Fehler könnten zu falschen Handlungen führen, die kostspielige Konsequenzen haben können. Entsprechend kann der erfindungsgemäße Fehleranzeiger mit besonderem Vorteil bei Kleincomputer-Anwendungen benutzt werden und wird im folgenden beispielhaft im Zusammenhang mit einem derartigen System zur Identifizierung von Fehlfunktionen in der Eingangs-/Sammelleitung wie auch in dem Rechner selbst beschrieben werden.

Fig. 2 illustriert ein Ausführungsbeispiel, wobei die Erfindung mit einem Kleinrechnersystem zusammenarbeitet, der aus einer Zentraleinheit 26, einer Eingangs-ZAusgangs-Sammelleitung 10 und Eingangs-/Ausgabeeinheiten 28 besteht. Die Ähnlichkeiten zwischen den in Fig. 2 und 1 dargestellten Systemen wird ohne weiteres deutlich, da die Zentraleinheit 26, wie

609820/0788

-9- 2b494b7

vom Fachmann leicht zu erkennen ist, die Verantwortung sowohl für die Sammelleitungssteuerung 12 als auch für den Totmann-Auslöser 16 übernimmt. Die Eingabe-yAusgabe-Sammelleitung 10 der Fig. 2 ist im wesentlichen identisch mit der in Fig. 1 dargestellten Übertragungs-Sammelleitung, während die Eingabe-/Ausgabeeinheiten 28 den entfernten Stationen 14 entsprechen. Der asynchrone Fehlerdetektor 18 ist in Fig. 2 in größeren Einzelheiten dargestellt und umfaßt den Folgedetektor 30, der dem Decodiernetzwerk der Fig. 1 entspricht. Der Ausgang des Folgedetektors 30 wird dem IntervalWaktgeber 32 zugeführt, der daraufhin das vorbestimmte Zeitintervall (erneut) auslöst. Der Intervall-Taktgeber-Ausgang wird dem Alarmrelais 34 übermittelt, um den Alarmausgang 36 so lange zu deaktivieren, solange das TaktgeberintervalI nicht abgelaufen ist.

Wie aus der folgenden, mehr ins einzelne gehenden Beschreibung des Rechners hervorgeht, übermittelt der Rechner während seiner normalen Operationsfolge, in der er mit den Eingabe-/Ausgabeeinheiten in Verbindung steht, periodisch einen vorbestimmten codierten Ausgang an den asynchronen Fehlerdetektor 18. Der Folgedetektor überprüft die Gültigkeit und Aufeinanderfolge der empfangenen Signale. Wenn der codierte Ausgang in der richtigen Folge und Form, wie von dem Folgedetektor 30 ermittelt, aufgenommen wurde, wird dem Intervall-Zeitgeber 32 ein Wiederauslosesignal zugeführt, wodurch der Alarmausgang 36 daran gehindert wird, das Auftreten einer Fehlfunktion anzuzeigen. Solange der Rechner den codierten Ausgang dem asynchronen Fehlerdetektor gemäß seiner Operationsfolge in richtiger

fi09820/0788

-ίο- 2S49467

Aufeinanderfolge und periodisch den codierten Ausgang liefert, wird der Fehlerausgang keine Fehlfunktion anzeigen. Wenn jedoch der Rechner nicht mehr durch seine normale Folge hindurchläuft, wird ein codierter Ausgang in der richtigen Zeitfolge nicht geliefert und ein Alarmausgang erzeugt.

Zusätzlich ist der asynchrone Fehlerdetektor an einem entfernten Ende der Eingangs-ZAusgangs-Sammelleitung angeordnet, um sowohl auf Kurzschlüsse wie auch auf Schaltkreisunterbrechungen innerhalb der Übertragungsleitung zu reagieren und einen entsprechenden Fehlerausgang zu liefern. Eine derartige Fehlfunktion innerhalb der Leitung unterbricht die richtige Übertragung des codierten Ausganges an den asynchronen Fehlerdetektor, was wiederum dazu führt, daß das Zeitgeberintervall abläuft und den Alarmausgang 36 auslöst.

Zusätzlich wird der Rechner durch ein diagnostisches Programm in die Lage versetzt, ein Selbstprüfprogramm zu durchlaufen und periodisch einen codierten Ausgang zu liefern, der anzeigt, daß ein gültiger Test stattgefunden hat. Wie aus der folgenden Erläuterung noch hervorgeht, wird der codierte Ausgang dem asynchronen Fehlerdetektor während des Testverlaufs in Intervallen geliefert, die ausreichen, um den Zeitgeberausgang ununterbrochen einzuschalten und somit die Anzeige einer Fehlfunktion zu verhindern.

Fig. 3 gibt in größeren Einzelheiten eine schematische Schaltungsdarstellung des asynchronen Fehlerdetektors, der bisher

£09820/0788

mit der Bezugszahl 18 versehen wurde, wieder. Der Fehlerdetektor decodiert zwei Adressen, die auf den Eingangs-yAusgangs-Sainmeladressenleitungen DSO bis DS5 übermittelt wurden. Diese Adressen lauten hier als Beispiel 25g und 52_g, um dem jeweils benutzten Kleincomputer, der in der im folgenden dargestellten beispielhaften Anwendung benutzt wird, zu genügen. Die Adressen komplementieren günstigerweise einander, so daß jede Adressenleitung in beiden Zuständen ausgeübt wird. Der Vergleicher 38 decodiert die Adressen 52g und der Vergleicher 40 decodiert die Adresse 25g. Zusätzlich zur Decodierung der komplementären Adressen muß der Fehlerdetektor ein spezifisches Datenwort bei jeder Adresse aufnehmen. Die Adresse 25_β muß das Datenwort 052525g und die Adresse 52_g das Datenwort 125252_ß aufnehmen. Diese Datenworte sind octal komplementär, so daß beide Zustände jeder Datenleitung (DATAO bis DATA15) auftreten werden. Die Vergleicher 42 und 44 liefern für beide Worte eine Decodierung. Die Steuerleitungen können in ähnlicher Weise erregt werden, indem komplementäre Steuersignale in dem codierten Ausgang für den Fehlerdetektor aufgenommen werden. Die Schaltkreisanordnung 46 liefert lediglich die notwendige Signalanpassung für den Übergang der Daten und Adressensignale zu der Fehlerdetektorelektronik .

Zusätzlich zu den vorgewählten Bit-Kombinationen, die in dem codierten Ausgang enthalten sind, müssen die Bit-Kombinationen in einer bestimmten Folge übertragen werden. Der in Fig. 3 dargestellte Schaltkreis erfordert, daß auf zwei Adressen des Fehlerdetektors zugegriffen wird. Die Verknüpfungsglieder

609820/0788

48, 50,52 und 54 bilden einen Flipflop, der diese Funktion der Aufeinanderfolge steuert. Das Signal DATAOUTA vom Kreis DATOA auf der Eingang-VAusgangs-Sammelschiene ist ein Steuerimpuls, der anzeigt, daß die Adresse und die Daten gültig sind. Der Ausgang des Flipflop wird verwendet, um zwei monostabile Schaltungen 56 und 58 auszulösen. Zwei redundante monostabile Schaltungen werden bevorzugt verwendet, um die Zugänglichkeit zu verbessern. Jede monostabile Schaltung ist in dem dargestellten Beispiel auf eine Verzögerungszeit von 150 ms eingestellt. Natürlich wird die Verzögerungszeit so gewählt, daß die besonderen Bedingungen für die Periodizität der Daten und Adressen erfüllt werden, die von dem Rechner über die Eingangs-ZAusgangs-Sammelschiene aufgenommen werden. Die Ausgänge der monostabilen Schaltungen werden mit einem NAND-Verknüpfungsglied 60 verbunden, um ein Relais 62 zu erregen und das Alarmsignal für die Dauer des Zeitsteuersignals der monostabilen Schaltungen zu deaktivieren. Entsprechend wird das Relais so lange aktiviert, wie die monostabilen Schaltungen ununterbrochen aufs neue ausgelöst werden. Wird eine erneute Auslösung der monostabilen Schaltungen innerhalb des Zeitsteuersignals nicht durchgeführt, schließt das Relais und aktiviert den Fehlerausgang, der über die Anschlüsse 64 läuft. Somit ist ein Fehlerausgang vorhanden, wenn nicht das System fortlaufend den vorgeschriebenen codierten Ausgang in der gewünschten Folge liefert.

Ein volles Verständnis der Erfindung, soweit bisher beschrieben, kann am besten in Verbindung mit der Darstellung einer

609820/0788

tatsächlichen Anwendung erhalten werden, beispielsweise in der Anwendung als Durchfluß-überwachungssystem für Kernreaktoren. Ein solches System ist allgemein in der US-Patentanmeldung 379 159 (Verfahren zur automatischen Steuerung der Leistungsverteilung eines Kernreaktors, der bewegliche, im Kern angeordnete Detektoren verwendet), angemeldet am 7. Juli 1973 von J. J. Loving Jr. Der Zweck dieses Systems liegt darin, den Atomreaktorkern periodisch abzufragen, wobei ein bereits vorhandenes bewegliches im Kern angeordnetes Durchfluß-Darstellungssystem verwendet wird. Der Neutronendurchfluß durch die axiale Höhe des Kerns wird aufgezeichnet, normiert und dann nach ungewöhnlichen Spitzen gesucht, die die annehmbaren Grenzen überschreiten. Ungewöhnliche Spitzen in der axialen Verschiebung können auf abnormal lokalisierte Erhitzung im Kern zurückgeführt werden. Die lokalisierte Leistungserhöhung muß innerhalb annehmbarer Grenzen gehalten werden, um die Wirksamkeit der Notkühlsysterne für den Kern im Falle von unwahrscheinlichen ernsten Betriebsstörungen sicherzustellen.

Das Überwachungssystem für die axiale Leistungsverteilung benutzt analoge Schaltkreise, um die axialen Durchflußdaten zu normieren, indem ein Verhältnis Spitze zu Durchschnitt berechnet wird. Das System erzeugt dann einen Alarm, wenn das berechnete Verhältnis einen festen annehmbaren Schwellwert überschreitet. Neue Spezifikationen machen es notwendig, einen Alarmschwellwert festzulegen, der eine Funktion der axialen Stellung innerhalb des Kerns ist. Höhere Spitzen können am Boden des Reaktorkerns eher toleriert werden, als am oberen

609820/0788

- 14 - 2 b 4 9 4 b 7

Ende des Kerns. Der Alarmschwellwert nimmt daher gleichförmig mit ansteigender Kernhöhe ab. um diese Funktion in richtiger Weise durchzuführen, müssen die Rohdaten abgetastet und während der gesamten Abtastung gespeichert werden, da der wahre Durchschnitt nur am Ende eines jeden Abtastzyklusses berechnet werden kann. Eine normierte Kurve muß erzeugt und mit dem veränderlichen Alarmschwellwert verglichen werden. Eine analoge Ausführung dieser Funktion wäre sehr aufwendig und kompliziert, verglichen mit einer digitalen Lösung, wenn eine große Anzahl von Abtastungen vorhanden ist. Entsprechend sollte ein Digitalrechnersystem verwendet werden, das einen Kleincomputer benutzt, wie beispielsweise den Kleincomputer Data General Nova 1220, der von der Data General Corporation in Southboro, Mass., hergestellt wird.

Um die Gültigkeit der gesammelten Daten und der aus diesen Daten errechneten Ergebnisse sicherzustellen, wird das erfindungsgemäße Fehleranzeigesystem angewendet, um das Kraftwerkspersonal unmittelbar auf fehlerhafte Betriebsbedingungen aufmerksam zu machen. Im wesentlichen ist das System in Fig. 2 schematisch dargestellt, wo der Computer so programmiert ist, daß er periodisch eine ausgebildete Folge von codierten Ausgängen einem asynchronen Fehlerdetektor während des Verlaufs des normalen Rechenprogramms vorlegt. Wiederum wird die Periode, mit der die codierten Ausgänge geliefert werden, durch das Intervall des Intervalltaktgebers 32 festgelegt. Zusätzlich wird aus der folgenden Beschreibung deutlich werden, daß der Kleincomputer so programmiert ist, daß er ununterbrochen

80382Ö/0788

Diagnoseroutinen zwischen den Axial-Abtastperioden des Durchflußmonitors durchführt, um fortlaufend dexi Betrieb des Rechners und der zugehörigen Ausrüstung zu überprüfen. Während des Verlaufs einer derartigen Diagnoseroutine werden von dem Diagnoseprogramm der vorgewählte codierte Ausgang des asynchronen Fehlerdetektor geliefert, um das Taktgeberintervall neu auszulösen. Wird während des Diagnoseverfahrens eine Fehlfunktion ermittelt, wird der Kleincomputer nicht durch die nächst folgende Anordnung von Befehlen laufen und die Ausgabe von vorgewählten codierten Signalen, die zur Wiederauslösung des Intervalltaktgebers erforderlich sind, nicht liefern. Somit wird ein Ausgang erzeugt, der eine Fehlfunktion anzeigt, die auf den Betrieb des Rechners zurückgeführt werden kann.

Um die Verfahrensschritte der Erfindung in Kombination mit den Selbstprüffähigkeiten, die in einer Anzahl von elektrischen Geräten vorgesehen werden können, sollte auf die in den Fig. 4 bis 11 dargestellten Flußdiagramme, die ein Beispiel für eine Diagnoseroutine darstellen, sowie auf die als Beispiele gegebenen Programmbefehle des Anhangs A Bezug genommen werden.

Fig. 4 zeigt ein verallgemeinertes Flußdiagramm, das einen vereinfachten Überblick über das diagnostische Selbstprüfverfahren geben soll. Die in der Figur dargestellten Symbole haben eine dem Fachmann bekannte besondere Bedeutung. Ein Oval deutet beispielsweise den Beginn oder das Ende einer besonderen Routine an, während ein Rechteck irgendeinen

609820/0788

Operationsschritt bedeutet, mit der Ausnahme einer Entscheidung, die wiederum von einer Raute angedeutet wird. Die Linien, die einen Entscheidungsblock verlassen, sind mit dem Entscheidungsergebnis bezeichnet, das zu einem Folgen dieser Linie führt.

Bei Beendigung einer jeden Abtastung wird bei der dargestellten Anwendung die "DIAGNOSTIK"-Routine 66 aufgrufen, um den Computer zu veranlassen, aus einer zufallsbasierten Zahl von Realwortvariablen eine Auswahl zu treffen, wie durch den rechteckigen Kasten 67 angedeutet ist. Der Computer läuft dann durch eine Anzahl verschiedener Teste, wie durch die übrigen rechteckigen Blocks in Fig. 4 dargestellt ist. Z. B. prüft der Computer den Sprungbefehl "JUMP" über einen "HALT"-Befehl, wie auch den Adressenbefehl "JUMP SAVE RETURN" (JSR), der einen Sprung mit anschließender Rückkehr beinhaltet, sowie den Befehl "INDIRECT ADDRESSING TWO DEEP", siehe Block 68, der andeutet, daß die indirekte Adressierung zu tief ist. Während der Ausführung des durch den Block 68 repräsentierten Befehls sind zahlreiche Entscheidungen erforderlich, wie durch den Rautenblock 70 angedeutet wird. Wenn ein Test ungültig ist, wie durch die Entscheidung "no" angedeutet wird, wird ein Befehl "HALT" ausgelöst, der die Maschine anhält. Das Ergebnis eines Haltbefehls verhindert, daß der vorgewählte codierte Ausgang zum asynchronen Fehlerdetektor weitergeleitet wird, was zu einer Anzeige eines Alarmausganges führt. Wenn der Test gültig war, führt das Programm den Computer zum Block weiter, gemäß dem ein Abtastunterprogramm (SCAN) ausgeführt

603820/0788

wird, das den Fehleranzeiger zurückstellt, indem die richtige Folge von Codes ausgegeben wird, und anzeigt, ob eine neue Abtastung im Überwachungssystem für die axiale Leistungsflußverteilung begonnen wurde. Wenn eine Abtastung begonnen wurde, veranlaßt das Unterprogramm den Computer, zum Verarbeitungsprogramm zurückzukehren, so daß neue Daten, die während des Verlaufs der Abtastung angesammelt wurden, vom Hauptprogramm verarbeitet werden können. Wenn eine neue Abtastung nicht ausgelöst wurde, veranlaßt das Unterprogramm "SCAN" den Computer, die "DIAGNOSTIK"-Routine fortzusetzen, wodurch die Folge von Verfahrensschritten zur Prüfung von verschiedenen Funktionen des Computers fortgesetzt wird. Der Block 74 setzt die nächste Folge von Verfahrensschritten fort, die eine Überprüfung der arithmetischen und logischen Operationen erfordern, einschließlich des Akkumulators und des Überlaufs. Wiederum wird im Verlauf oder am Ende dieser besonderen Prüfung der Computer eine Entscheidung darüber machen, ob die Teste gültig waren und entweder den Betrieb der Maschine anhalten, wenn ein ungültiger Test aufgetreten ist, oder zum Unterprogramm "SCAN" zurückkehren, um festzustellen, ob eine neue Überwachungsabtastung des axialen Flusses durchgeführt wurde. In ähnlicher Weise überprüft die nächste vom Block 76 gegebene Anweisung den Drucker, ohne daß tatsächlich ein Ausdruck erforderlich wäre. Wie schon vorher wird im Verlauf oder am Ende des Testes eine Entscheidung darüber gefällt, ob der Test gültig war. Die letzten Teste überprüfen den Speicher, wie durch den Block angedeutet ist, und wenn die Teste gültig sind und keine neuen

609820/Q788

_ ₁₈ _ 2b494b?

Abtastungen aufgetreten sind, kehrt das Programm zum ersten Testsatz zurück, wie durch den rechteckigen Block 68 angedeutet wird. Somit ist zu erkennen, daß zwischen dem normalen Betrieb des Systems ein im wesentlichen vollständiger Test der Ausrüstung und der zugehörigen Hardware ununterbrochen durchgeführt wird, um den richtigen Betrieb des Gerätes und die Zuverlässigkeit der erhaltenen Ergebnisse sicherzustellen. Während des Verlaufs eines jeden Testes oder bei seiner Beendigung wie auch während des normalen Betriebs des Abtastsystems wird der vorgewählte Code dem asynchronen Fehlerdetektor zugeführt, um die Anzeige einer Fehlfunktion zu unterdrücken. Im Falle eines "HALT"-Befehls nach einem ungültigen Test wird der vorgewählte Code jedoch nicht innerhalb des erforderlichen Zeitintervalls erscheinen, was den Alarmausgang aktiviert und den Fehler bekanntmacht.

Um die einzelnen vom Überblick der Fig. 4 gelieferten Anweisungen besser zu verstehen, sei auf die verbleibenden Figuren hingewiesen, die in größeren Einzelheiten die Flußdiagramme für die jeweiligen diagnostischen Operationen wiedergeben. Zusätzlich kann auf die entsprechenden Programmanweisungen im Anhang Bezug genommen werden, mittels denen der Computer veranlaßt wird, die erforderlichen Ereignisse zur Ausführung der verschiedenen Teste durchzuführen. Während des Verlaufs der Folge von Verfahrens schritten des Programms wird eine Anzahl von Variablen aufgerufen, die sich auf vorher festgelegte Werte beziehen, die in dem Computer bei Beginn des Programmierzyklus gespeichert werden. Diese Konstanten wie auch die aufgerufenen

609820/0788

_ ₁₉ . 2äA9A67

Unterprogramme werden im allgemeinen rechts von den Programmanweisungen erläutert. Entsprechend kann ein genaueres Verstehen durch gleichzeitige Betrachtung der einzelnen Flußdiagramme sowie der entsprechenden Anweisungen erreicht werden, wie sie in dem Programm erläutert sind.

Ein genaueres Verstehen des "SCAN"-Unterprogramms wird durch das in Fig. 5 dargestellte Flußdiagramm ermöglicht. Jedesmal, wenn das "SCAN"-Unterprogramm von dem Diagnoseprogramm aufgerufen wird, springt der Computer zu der Anweisung Nr. 1337 und läuft bis zur Anweisung 1351 einschließlich. Die Anweisung 1337, die die Bezeichnung "SAVE THE RETURN ADDRESS" besitzt, ist ein Befehl an den Computer, den Verzweigungspunkt in der "DIAGNOSTIK"-Routine zu speichern, so daß der Computer zu diesem Ausgangspunkt am Ende der "SCAN"-Routine zurückkehren und damit fortfahren kann, die verbleibenden Befehle der diagnostischen Anweisungen auszuführen. Der erste aktive Befehl in der "SCAN"-Routine ist die Anweisung 79, den Totmann zurückzustellen: "RESET DEADMAN". Dies ist eine getrennte Routine, die in den Anweisungen 1564 bis 1570 erläutert ist. In dem "DEADMAN"-Unterprogramm wird der Computer angewiesen, die vorgewählten codierten Adressen und Daten dem asynchronen Fehlerdetektor zuzuführen und so das Zeitsteuerintervall erneut auszulösen, um damit die Anzeige eines Alarms zumindest für die Dauer eines anderen gegebenen ZeitsteuerIntervalls zu verhindern. Nachdem die Ausgänge übertragen wurden, weist das Unterprogramm den Computer an, zur "SCAN"-Routine zurück-

609820/0788

zukehren, wo der Computer angewiesen wird, eine Anzahl von Entscheidungen zu verarbeiten, um festzustellen, ob eine neue Abtastung ausgelöst wurde. Im allgemeinen werden während des Betriebs der Durchflußüberwachungsanlage gemäß der Erfindung zwei Sensoren verwendet und der Computer führt eine Entscheidung hinsichtlich jedes dieser Sensoren, 80 und 82, durch, um festzustellen, ob eine neue Abtastung begonnen wurde. Wenn eine neue Abtastung im Fortschreiten begriffen ist, wird der Computer angewiesen, ein neues Abtastoperationsprogramm zu beginnen, das benutzt wird, um die von den Sensoren angesammelten Daten zu verarbeiten. Wenn die Entscheidung nicht feststellt, daß eine Abtastung stattfindet, wird eine Anweisung gegeben, um die "DIAGNOSTIK"-Routine fortzusetzen. Entsprechend wird bei jedem Aufruf des "SCAN"-Unterprogramms die vorgenannte Folge von Verfahrensschritten ausgeführt, wobei die erforderlichen codierten Signale dem Asynchron-Fehlerdetektor zugeführt und die abtastenden Sensoren überwacht werden, um so einen Verlust von neuen Daten zu vermeiden, die dem Hauptprogramm, identifiziert durch die Bezeichnung "BEGIN SCAN" zugeführt werden.

Der erste Computertest, der im Befehlsblock 68 identifiziert ist, ist genauer im Flußdiagramm der Fig. 6 dargestellt.

Der erste Verarbeitungsschritt und die erste Entscheidung, die von den rechteckigen Blöcken 84 und 88 und durch die Raute dargestellt werden, wird in den Programmanweisungen 424 bis 430 einschließlich ausgeführt. Gemäß diesen Anweisungen wird der Computer veranlaßt, den "JUMP"-Befehl zu testen, indem

609820/0788

_₂₁_ 254946?

ein Sprung über einen "HALT"-Befehl durchgeführt wird. Wenn der Sprung unwirksam ist, wird das Programm zum "HALT"-Befehl fortschreiten und die gesamte Maschine anhalten. Entsprechend wird gemäß dem Entscheidungsblock 86 gefragt, ob der Sprung in richtiger Weise durchgeführt wurde, und wenn nicht, hält der Programmzähler an. Wenn der Sprung richtig ausgeführt wurde, wie durch den Weg "yes" angedeutet wird, schreitet die "DIAGNOSTIK"-Routine zum nächsten Test fort. Der verbleibende Test, der in der in Fig. 6 dargestellten Testfolge ausgeführt wird, prüft die Adresse "JUMP SAVE RETURN" (JSR), die normalerweise verwendet wird, um zu einem anderen bestimmten Punkt im Programm zu springen und den Ausgangspunkt des Programms zu behalten, so daß der Computer später zu diesem Ausgangspunkt in dem Programm bei einem bestimmten Punkt in der Folge der ausgeführten Operationen zurückkehren kann. Die "JSR"-Adresse unterscheidet sich von den Anweisung "JUMP", die den Computer nicht auffordert, den Punkt sich zu merken, an dem der Sprung auftritt. Die Programmanweisungen 431 bis 445 leiten die einzelnen Operationen, die in den Flußdiagrammblöcken 90, 92 und 94 ausgeführt werden. Der rechteckige Block 90 testet die "JUMP SAVE RETURN"-Adresse und die "INDIRECT ADDRESSING". Der Entscheidungsblock 92 fragt, ob der vorhergehende Test richtig ausgeführt wurde, und wenn die Entscheidung "no¹¹ war, schreitet das Programm in Richtung "STOP THE PROGRAM COUNTER" fort. Die Richtung "HALT", die von dem Block 88 geliefert wird, unterscheidet sich von der Richtung "STOP", die von dem Block 94 geliefert wird, darin, daß der "HALT"-Befehl

S0982Ö/0783

254946?

die Maschine völlig anhält, während der "STOP"-Befehl lediglich die Ausführung des Programms anhält, während die Maschine weiter läuft. Wenn der "JSR"-Test gültig ist, veranlaßt das Programm den Computer, mit der Testoperation fortzuführen, wie in dem Block 74 (Fig. 4) dargestellt ist. Die arithmetische und logische Testung wird in einer Weise vorgenommen, die ähnlich ist, wie sie in Verbindung mit den Programmanweisungen 446 bis 524 einschließlich beschrieben wurden. Die Antwort des Computers auf die jeweiligen aufgezählten Anweisungen werden dem Fachmann für Programmierung offensichtlich sein. Wiederum ist zu erkennen mit Bezug zu der Anweisung 445 in dem Programm, daß das Abtastunterprogramm periodisch aufgerufen wird, um die erforderlichen codierten Daten dem asynchronen Fehlerdetektor zuzuführen und zu prüfen, ob irgendwelche neuen Abtastungen ausgelöst worden sind.

Der nächste in der "DIAGNOSTIK"-Routine ausgeführte Test, der in Fig. 7 dargestellt ist,ist eine Prüfung des Druckers, ohne daß ein tatsächliches Ausdrucken erforderlich wäre. Die entsprechenden Programmanweisungen werden durch die Befehle 525 bis 537 wiedergegeben. Wie wiederum zu erkennen ist, wird die "SCAN"-Routine durch die Anweisung 525 aufgerufen, um eine Wiederaufrufung des Intervalltaktgebers innerhalb des AsynchronFehler detektor s zu bewirken und die Auslösung von neuen Abtastungen zu überprüfen. Die entsprechende Flußdiagramm-Instruktion wird in dem Anweisungsblock 96 wiedergegeben. Nachdem die richtig dekodierten Ausgänge und eine Anzeige

009820/0788

— Z ο —

geliefert wurden, daß keine neuen Abtast-ungen aufgetreten sind, setzt das Programm.die Folge des Druckertestes fort. Grundsätzlich wählt, wie durch den Befehlsblock 98 angedeutet, der Computer einen Befehl "NO OP CHARACTER" aus, was bedeutet, daß ein nicht in Tätigkeit tretendes Zeichen aufgerufen wird, das von dem Drucker nicht ausgedruckt wird, wohl aber eine Prüfung des Druckerinterface ermöglicht. Die nächste Entscheidungsschleife 100 ermöglicht dem Drucker zyklisch zu arbeiten, während das Programm um die "no"-Entscheidungsschleife herumkreist, bis diese spezielle Operation vollständig ist. Wenn die Operation vollständig ist, liefert der Befehlsblock den Ausgang "NO OP CHARACTER" an den Drucker, um zu prüfen, ob die Übertragungsleitungen intakt sind. Die Entscheidungsschleife 104 gibt dem Drucker ausreichend Zeit, die Daten anzunehmen. Da ein nicht wirksam werdendes Zeichen ausgewählt wurde, wird der Drucker nicht tatsächlich drucken, aber die Integrität der Verbindungsleitungen wird getestet. Wenn aus irgendeinem Grunde diese spezielle Operation nicht beendet werden kann aufgrund von fehlerhaftem Betrieb des Druckers, wird der Computer in einer der Entscheidungsschleifen 100, 102 oder 104 anhalten und nicht die "SCAN"-Routine in ausreichender Zeit aufrufen, um die vorgewählten codierten Daten dem asnychronen Fehlerdetektor zuzuführen, um das Zeitsteuerintervall auszulösen, bevor der Alarm ausgelöst wird. Wenn der Druckertest erfolgreich ist, wird das Programm zum Computerspeichertest fortschreiten, wie durch den Block 78 in dem in Fig. 4 dargestellten Überblick angewiesen wird.

809820/0788

Die Fig. 8, 9, 10 und 11 liefern die Flußdiagramme für acht getrennte Speicherteste, die als die letzten Ereignisfolgen in der "DIAGNOSTIK"-Routine durchgeführt werden, bevor die diagnostische Folge wiederholt wird.

Die Speicherteste 0 bis 4 werden durch das Flußdiagraitiin in Fig. 8 dargestellt und sind in allgemeiner Form bezüglich der entsprechenden Programmanweisungen 540 bis 623 bereits beschrieben. Es ist zu erkennen, daß eine der ersten aufgegebenen Anweisungen die Rückstellung des Totmanns ist, was einen Befehl darstellt, die "DEADMAN"-Routine aufzurufen, die bereits identifiziert wurde, um die vorgeschriebenen codierten Adressen und Datenworte dem Asynchron-Fehlerdetektor zuzuführen. Im wesentlichen lädt der Test 0 die Adressen für jede Speicherstelle in die entsprechende Stelle, während die Teste 1 bis 4 jeden Zustand der entsprechenden Bits überprüfen, wobei verschiedene Bit-Muster verwendet werden. Fig. 9 ist eine Fortsetzung des Flußdiagramms der Fig. 8 und wird an den Punkten mit den ovalen Markierungen "MEMORY TEST 0, 1, 2, 3, 4, CONTINUE" übertragen.

Die Speicherteste 5 und 6 sind ähnlich aufgebaut, wie durch das Flußdiagramm Fig. 10 und die entsprechenden Programmanweisungen 624.bis 673 angegeben ist. Im wesentlichen lädt der Test 5 "1" in alle Speicherstellen und erhöht dann jede Speicherstelle vor der Prüfung, ob das Ergebnis 0 ist. Der Speichertest 6 lädt eine octale "1" in jede Stelle und ver-

809820/0788

mindert jede Stelle (d. h. subtrahiert 1 in octalem Sinne) und prüft, daß das Ergebnis O ist, wodurch angezeigt wird, daß der Test gültig war.

In ähnlicher Weise erläutert Fig. 11 das Flußdiagramm für den Speichertest 7, entsprechend den Programmanweisungen bis 762, wie im Anhang wiedergegeben. Im wesentlichen ruft der Speichertest 7 eine zufallsbasierte Zahl auf, die von dem Block 67 (siehe Fig. 4) erzeugt wird und ergänzt sie durch die entsprechenden Programmanweisungen 377 bis 423. Indem diese Zahl als eine Basis verwendet wird, bildet der Test 7 mehrere neue Zufallszahlen, die entsprechend in jede Stelle in der unteren Hälfte des Speichers geladen werden. Zusätzlich lädt der Test das Komplement der Zweien, das repräsentativ ist für den entsprechenden negativen Gegenpart für die Mehrzahl der Zufallszahlen in der oberen Hälfte des Speicherkerns und addiert dann jede Nummer zu ihrem Komplement, um zu prüfen, ob das Ergebnis 0 ist. Wie schon zuvor wird der Totmannausgang geliefert, nachdem ein richtiges Testergebnis erhalten wurde. Wenn der Test beendet wurde, wird der Computer angewiesen, zu dem "CHECK JüMP"-Test zurückzukehren, angedeutet durch Block 68 in der Übersicht (Fig. 4).

Fig. 12 illustriert einen Überblick über einen Teil des grundlegenden Computerprogramms, das im Verlauf einer jeden Abtastung beim Durchflußüberwachungssystem verwendet wird. Es wird verwendet, um Daten, die von den Sensoren während ihrer Bewegung

809820/0788

durch den Kern erzeugt werden, einzugeben. Die Figur wurde geschaffen, um zu zeigen, daß im normalen Verlauf des Betriebs des Durchflußüberwachungssystems die vorgewählten codierten Ausgänge dem asynchronen Fehlerdetektor übermittelt werden, wie es von dem Block "RESET DEADMAN" angewiesen wird.

Wie erkennbar wird, kann die Erfindung so aufgebaut werden, daß eine Selbstdiagnose des überwachten Gerätes stattfindet, wobei eine Fehleranzeige dann erfolgt, wenn ein aktives, periodisches, codiertes Ausgangssignals die oben beschriebene Fehleranzeigeeinrichtung nicht erreicht.

Obwohl die vorliegende Erfindung in einer besonderen Ausführungsform zur Anwendung bei einem Digital-Kommunikationssystem beschrieben wurde, wo sie besondere Vorteile gegenüber herkömmlichen Überwachungssystemen aufweist, sowie auch in Verbindung mit Digitalverarbeitungs- und Übertragungssystemen, wo ebenfalls besondere Vorteile gegeben sind, sollte doch deutlich geworden sein, daß die Erfindung auch zur überwachung von Fehlern beim Betrieb von verschiedenen anderen Geräten verwendet werden kann, die notwendigerweise die übertragung von Informationen beinhalten.

Es sei noch darauf hingewiesen, daß der die verschiedenen Anweisungen aufführende Anhang sowohl die Befehlsabkürzungen als auch die Befehlserläuterungen in englischer Sprache gibt, da für derartige Programmanweisungen die englische Sprache sich in der Fachwelt eingebürgert hat.

809820/0788

zur Erläuterung der Flußdiagramme sowie auch der übrigen Figuren dienen ebenfalls die bei diesen Diagrammen üblichen englischsprachigen Bezeichnungen. Zum besseren Verständnis sind für die wichtigsten Bezeichnungen auf einer beigefügten Bezugszeichenliste Übersetzungen angegeben.

Patentansprüche;

609*20/0788

Claims

Patentansprüche ;

Verfahren zur Bestimmung der Fehlfunktion in einem elektrischen Gerät, das eine Anzahl von verschiedenen Operationen ausführt, bei denen ein vorbestimmtes codiertes Ausgangssignal periodisch bei richtigem Auftreten einer gegebenen Anzahl der unterschiedlichen Operationen erzeugt wird, wobei das codierte Ausgangssignals zu einem Decoder weitergeleitet wird, wo das codierte Ausgangssignal decodiert und dadurch ein decodierter Ausgang geliefert wird, der den Empfang des codierten Ausgangssignals durch den Codierer anzeigt, dadurch gekennzeichnet, daß ein elektrisches Signal für ein vorbestimmtes Zeitintervall geliefert wird, das für das vorbestimmte Zeitintervall bei Auftreten des dekodierten Ausganges erneut ausgelöst wird, daß ein Ausgang als eine Anzeige einer Fehlfunktion in dem überwachten Gerät geliefert wird und daß der Fehlerausgang daran gehindert wird, eine Fehlfunktion anzuzeigen, während das elektrische Signal geliefert wird.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß das Intervall der Zeitperiode zwischen der Erzeugung von zwei codierten Ausgängen kleiner ist, als das vorbestimmte Zeitintervall, wenn das überwachte Gerät ordnungsgemäß arbeitet.

S09820/0788
3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die unterschiedlichen Operationen des Gerätes in einer bestimmten Aufeinanderfolge auftreten und daß der codierte Ausgang während vorgewählter unterschiedlicher Operationen erzeugt wird.
4. Verfahren nach einem der vorhergehenden Ansprüche 1,

2 oder 3, dadurch gekennzeichnet, daß der Verfahrensschritt des Testens ausgelöst wird, während das Gerät in der gewünschten Anwendung angeschlossen ist, das Gerät jedoch nicht in dieser Anwendung arbeitet.