DE2608566A1

DE2608566A1 - Logische betriebssicherheits- ueberwachungssysteme

Info

Publication number: DE2608566A1
Application number: DE19762608566
Authority: DE
Inventors: Michael H Rock
Original assignee: Bendix Corp
Current assignee: Bendix Corp
Priority date: 1975-03-17
Filing date: 1976-03-02
Publication date: 1976-09-30
Also published as: FR2304964A1; US3983329A; FR2304964B1; JPS51116641A; GB1500845A

Description

BROSE^DKB BROSE

^{κ Α}BROSE^DKB BROSES=-

D-8023 München-Pullach, Wiener Str. 2; "ft I (Of 9) 7 93 30 71; Telex f?12¹47 b'os n_: Cables: «Patentibus» München

Ihr Zeichen: Tag: 25. Februar 1976

Yourref.: Date: Vl/Pz - 5332-A

THE BENDIX CORPORATION, Executive Offices, Bendix Center, Southfield, Michigan 48075, USA

Logisehe Betriebssicherheits-überwachungssysteme

Die Erfindung betrifft allgemein logische Betriebssicherheits-Monitore und speziell einen Monitor für die überwachung eines aus vielen Bits zusammengesetzten logischen Wortes in einer ausfallsicheren Weise.

Automatische Plugsteuersysteme für Plugzeuge können zweifach überwachte analoge Signalketten enthalten, die durch eine einzelne Modallogik gesteuert werden. Die Modallogik kann einen Fehler verhindern, der mehrere Fehler in dem analogen Rechensystem zur Folge haben könnte. Das Ergebnis dieser Fehler ist seiner Natur nach nicht vorhersagbar. Aus diesem Grund ist es erforderlich geworden, eine Einrichtung zu schaffen, um die Gültigkeit des vollständigen logischen Wortes zu bestimmen.

609840/0698

26085G6

Die vorliegende Erfindung schafft ein Gerät mit einem logischen Monitor, der die Fähigkeit besitzt, ein digitales Vielbit-Wort mit einem festen Bezugswort zu vergleichen. Ein Paar von Multiplexeinrichtungen überwachen das digitale Vlelbitwort und ein anderes Paar von Multiplexeinrichtungen überwachen das Bezugswort. Die Ausgangsgrößen der Multiplexer werden durch eine Betriebssicherheits-Vergleichsstufe verglichen. Die Ausgangsgröße der Vergleichsstufe wird frequenzmäßig geteilt und die geteilte Ausgangsgröße dient als Taktsignal für binäre Zähler, welche die Multiplexer-Adressen .setzen. Die Ausgangsgröße der Vergleichsstufe enthält eine Rechteckwelle, solange die Ausgangsgröße von beiden Paaren der Multiplexeinrichtungen im wesentlichen übereinstimmen. Wenn bei irgendeiner Adresse diese Ausgangsgrößen nicht übereinstimmen, so empfängt die Vergleichsstufe Eingangsgrößen mit unterschiedlichen logischen Werten und zeigt einen Fehler durch den Ausfall der Rechteckwelle am Ausgang an und kehrt dann in einen "hardover"-Zustand,um, wobei eine Ausgangsgröße mit konstantem Wert vorgesehen wird. Die Taktgrössen werden daraufhin angehalten und es wird ein Sperrzustand in dem fehlerhaften Schritt bewirkt, was zu.einer Systemabtrennung über die Fehlerlogik führt.

Der Monitor ist ausfallsicher, da irgendein interner Fehler bewirkt, daß die Zähler aus der Synchronisation gelangen, was zu einer Fehlanpassunp; der Ausgänge der Multiplexer führt und ebenso zu einem Ausfall der Rechteckwelle am Ausgang. Die Multiplexer, welche das Bezugswort überwachen, werden vorgetestet, um dadurch latente Vielfachfehler daran zu hindern, die Betriebssicherheits-Eigenschaften der Vorrichtung zu verhindern. Dies wird dadurch erreicht, indem man einen Speichervorgang durchführt, wenn ,leder der zwei Pezugsmultiplexer während des Vortests geschaltet hat. Beide Multiplexe müssen ihren Zustand ändern, bevor ein Fehler zur Fehlerlogik übertragen bzw. gesendet werden kann. Diese Speicherung wird mit Hilfe einer Torsteueranordnung erreicht, woraufhin,wenn beide Multiplexer während der Testfolge nicht aus-

609840/0698

260Π566

fallen, in der automatischen Testschaltung des Systems ein "no go" registriert wird und das System daran gehindert wird, in den überwachten Zustand überzutreten.

Es ist Aufgabe der vorliegenden Erfindung, einen Betriebssichepheits-Monitor für die überwachung eines logischen Vielbit-Wortes zu schaffen.

Im Zuge dieser Aufgabe soll durch die Erfindung die überwachung dadurch erreicht werden, indem das logische Wort nach dem Multiplexverfahren verarbeitet wird und indem eine einzige Vergleichsstufe verwendet wird, um das nach dem Multiplexverfahren verarbeitete logische Wort mit einem ebenfalls nach dem Multiplexverfahren verarbeitetes "hard wire" Bezugswort zu vergleichen.

Auch soll durch die Erfindung ein Monitor des erwähnten Typs geschaffen werden, der ausfallsicher ist, da irgendeine Fehlanpassung der mehrfach ausgenutzten Ausgangsgrößen den Monitor in einen "hard over"-Zustand bringt.

Schließlich soll durch die Erfindung auch ein Monitor des erläuterten Typs geschaffen werden, der sich in geeigneter Weise vortesten laßt, um dadurch latente Vielfachfehler anzuzeigen, die sonst die Betriebssicherheits-Eigenschaften des Monitors unterbinden würden.

Die genannte Aufgabe wird durch dLe im Anspruch 1 angegebenen Merkmale gelöst. j

Weitere Vorteile und Einzelheiten der Erfindung ergeben sich ausführlicher aus der folgenden Betrachtung und Beschreibung eines Ausführungsbeispiels unter Hinweis auf die Zeichnungen. Es sei jedoch insbesondere darauf hingewiesen, daß die Zeichnungen und die Beschreibung des Ausführungsbeispiels nur der Erläuterung des Gegenstandes der Erfindung dienen sollen und daß dadurch

609840/0698

die vorliegende Erfindung nicht eingeschränkt ist.

Die einzige Figur zeigt ein kombiniertes Blockschaltbild und Stromlaufplan des logischen Betriebssicherheits-Monitors mit den Merkmalen nach der Erfindung.

Ein logisches Wort, welches beispielsweise den Landevorgang eines Plugzeugs betreffen könnte, kann 16 Bits enthalten, die durch die Ziffern 2-32 bezeichnet sind. Die Bits 2-16 gelangen zu einem Multiplexer 34 und die Bits 18 bis 32 gelangen zu einem Multiplexer 36, wobei beide Multiplexer in herkömmlicher Weise aufgebaut sind, wie dies dem Fachmann bekannt ist.

Ein "hard wired"-Bezugswort enthält 16 Bits, die durch die Ziffern,; 40 bis 68 bezeichnet sind. Die Bits 40 bis 52 gelangen zu einem Multiplexer 68^f und die Bits 54 bis 68 gelangen zu einem Multiplexer 70. Der Eingangsanschluß des Bits 66 ist mit Masse verbunden, während derjenige des Bits 68 beispielsweise mit einer +5 Volt-Gleichstromquelle verbunden ist. Die Multiplexer68' und .-70 sind ebenfalls in herkömmlicher Weise ähnlich wie die Multiplexer 34 und 36 aufgebaut.

Die Ausgangsgrößen der Multiplexer 34 und 36 gelangen über Torsteuermittel 74 mit den Gattern 138-142 zu einer Vergleichsstufe, die allgemein mit 76 bezeichnet ist und die Ausgangsgrößen der \ Multiplexer 68 * und 70 gelangen über Torsteuermittel 78 mit den | Gattern I2O-136 zur Vergleichsstufe 76. j

Die Ausgangsgröße des Gatters 142 der Torsteuermittel 74 gelangt ! zur Vergleichsstufe 76 und zwar über einen Widerstand 80, der mit j einen invertierenden Eingangsanschluß (-) eines Vergleichs-Ver- ϊ stärkers 82 verbunden ist. Die Ausgangsgröße des Gatters 136 der Torsteuermittel 78 ist über einen Widerstand 84 mit dem nicht !invertierenden Eingangsanschluß (+) des Vergleichs-Verstärkers '82 verbunden. Ein Widerstand 86 ist an einem Ende mit dem inver-

609840/0698

tierenden Eingangsanschluß (-) des Vergleichs-Verstärkers 82 ver-j bunden und das andere Ende des Widerstandes ist mit einer Rechteckwellen-Signalquelle (a) verbunden. Das eine Ende eines Wider- ' stands 88 ist mit dem nicht invertierenden Eingangsanschluß (-) verbunden, während das andere Ende dieses Widerstands mit einer +15 Volt-Gleichspannungsquelle verbunden ist. Der Widerstand 90 ist zwischen den nicht invertierenden Eingangsanschluß (+) des Vergleichsverstärkers 82 und Masse geschaltet und ein Widerstand 92 ist zwischen den nicht invertierenden Eingangsanschluß (+) und einer +15 Volt-Gleichspannungsquelle eingeschaltet.

Die Ausgangsgröße der Vergleichsstufe 76 am Ausgangsanschluß des Vergleichsverstärkers 82 ist über einen Widerstand 94 mit einem Flip-Flop 96 und über einen Widerstand 98 mit einem Flip-Flop 100 verbunden. Eine spannungsbegrenzende Zenerdiode 102 ist zwischen den Verbindungspunkt des Widerstands 9** und des Flip-Flops 96 und Masse geschaltet und weiter ist eine spannungsbegrenzte Zenerdiode 104 zwischen den Verbindungspunkt des Widerstands 98 ^; und des Flip-Flops 100 und Masse oder Erde eingeschaltet.

Der Flip-Flop 96 ist mit einem Binärzähler 106 verbunden, während der Flip-Flop 100 mit einem Binärzähler 108 verbunden ist. Der Flip-Flop 96 und der Zähler 106 werden durch eine Rückstell-Signalquelle 110 zurückgestellt und der Flip-Flop 100 und der Binärzähler 108 werden durch eine Rückstell-Signalquelle 112 zurückgestellt.

j Der Zähler 106 ist an den Ausgangsanschlüssen Q₀, Q₁ und Q₂ mit !

Eingangsanschlüssen der Multiplexer 3¹I und 36 verbunden und mit i einem Ausgangsanschluß Q, mit einem Freigabeanschluß (E) des j Multiplexers ~$k verbunden. Der Ausgangsanschluß Q, ist über ein Gatter 114 mit einem FreigäbeanSchluß (E) des Multiplexers 36 verbunden. i

Der Zähler 108 ist an den Ausgangsanschlüssen Q₀, Q₁ und Q₂ mit

609840/0698

2600565

den Eingangsanschlüssen der Multiplexer 86' und 70 verbunden und ist an seinem Ausgangsanschluß Q, mit einem Freigabeanschluß (E) des Multiplexers 68· verbunden. Der Aus gangs ans chluß Q-. ist über ein Gatter 116 mit einem Freigabeanschluß (E) des Multiplexers 70 verbunden.

Die Ausgangsgröße der Multiplexer 3^ und 36, die über die Torsteuereinrichtung JH gesteuert ist und die Ausgangsgröße der Multiplexer 68* und 70, die über die Torsteuereinrichtung 78 gesteuert ist, werden in der Betriebssicherheits-Vergleichsstufe 76 verglichen. Die Ausgangsgröße der Vergleichsstufe wird frequenzmäßig durch die Flip-Flops 96 und 100 geteilt. Die Ausgangsgröße der Flip-Flops 96 und 100 stellen die Takteingangsgrößen für die Binärzähler IO6 und 1OR dar, welche die Adressen der Multiplexer J>k und 36 und 68 ^f und 70 jeweils setzen. Die Ausgangsgröße der Vergleichsstufe 76 am Ausgangsanschluß des Verstärkers 82 besteht aus einer Rechteckwelle, solange die verglichenen Multiplexer-Ausgangsgrößen übereinstimmen. Wenn bei irgendeiner Multiplexer-Adresse die Ausgangsgrößen nicht übereinstimmen, so stellt die Vergleichsstufe 76 unterschiedliche logische Werte fest und zeigt einen Fehler durch den Verlust bzw. das Aufhören der Rechteckwelle am Ausgang an, wodurch sie dann in einen "hard over"-Zustand zurückkehrt. Dies bewirkt, daß die Zähler 106 und IO8 angehalten werden und daß dadurch eine Sperrbedingung entsteht, die zu einer Systemabtrennung über die Fehlerlogik führt, die an einem Systemausgangsanschluß II8 angeschaltet ist. In diesem Zusammenhang sei darauf hingewiesen, daß der Monitor ausfallsicher ist, da irgendein interner Fehler dazu führt, daß die Adressenzähler aus der Synchronisation herausgelangen, was zu einer Fehlanpassung der Multiplexer-Ausgänge und dem beschriebenen Fehlerzustand führt.

Ein wesentliches Merkmal der vorliegenden Erfindung besteht darin^ daß die Bezugsmultlplexer 68' und 70 vorgetestet werden können, um latente Vielfachfehler daran zu hindern, die Betriebssicher-

609840/0698

heitscharakteristlka der Vorrichtung zu unterbinden. Dies wird durch Speicher der Tatsachen erreicht, daß jeder der zwei Multiplexer 68 * und 70 geschaltet hat oder während der Testfolge seinen Zustand geändert hat. Im Endeffekt müssen beide Multiplexer ihren Zustand ändern, bevor ein Fehler über den Ausgangsanschluß 118 zur Fehlerlogik übertragen werden kann. Diese Spei- , cherung wird über die Gatter 120, 122,und 124, die mit dem Multiplexer 68' verbunden sind, und über die Gatter 128, 130 und 132, die mit dem Multiplexer 70 verbunden sind, und über ein gemeinsames Gatter 126 erreicht, wobei die Gatter 120-132 in der Torsteuereinrichtung 78 enthalten sind. Um mit Erläuterung des Vortestmerkmals nach der Erfindung weiterzufahren, so ist eine Testleitung, die mit 133 bezeichnet ist, mit der Torsteuereinrichtung 78 bei den Eingängen zu den Gattern 124 und 126 verbunden und ist ebenso mit einem Eingang des Gatters 140 in der Torsteuereinrichtung 74 verbunden. Unter normalen Bedingungen, d. h«, wenn kein Testsignal zügeführt wird, befindet sich der Eingang an einem Testanschluß 135, der mit der Leitung 133 verbunden ist, auf einem "hohen" Wert. Die Gatter 122, 128 und 134 in der Torsteuer-; einrichtung 78 werden außer Bereitschaft gesetzt und das Gatter , 136 in der genannten Torsteuereinrichtung wird in Bereitschaft gesetzt." Die Ausgangsgröße des Multiplexers 68' gelangt über die ; Gatter 120, 124 und 136 zur Vergleichsstufe 76 und die Ausgangsgröße des Multiplexers 70 gelangt über die Gatter 130, 132 und 136 zur Vergleichsstufe 76.

Unter Testbedingungen, d. h. wenn ein Testsignal am Testanschluß ' I35 auftritt, wobei sich dieses Testsignal auf einem "niedrigen" ί V7ert befindet, so blockiert die Torsteuereinrichtung 74 effektiv ! die Ausgänge von den Multiplexers 34 und 36. Die Gatter 124 und > 132 in der Torsteuereinrichtung 78 werden außer Bereitschaft ge- ^: setzt. .Die Gatter 120 und 122 bilden einen ersten Flip-Flop und die Gatter 128 und 130 bilden einen zweiten Flip-Flop, wobei der erste und der zweite Flip-Flop jeweils durch die Multiplexer 68' und 70 gesetzt werden.

603840/0698

Sämtliche in der Beschreibung erkennbaren und in der Zeichnung dargestellten technischen Einzelheiten sind für die Erfindung von Bedeutung.

Die Erfindung schafft somit einen logischen Betriebssicherheits-Monitor, bei welchem ein logisches, aus vielen Bits bestehendes Wort nach dem Multiplexverfahren verarbeitet wird
und in einer Vergleichsstufe mit einem nach dem Multiplexverfahren verarbeiteten "hard wired" Bezugswort verglichen wird. Die Vergleichsstufe erzeugt eine Ausgangsgröße, die in Einklang mit herkömmlicher Wechselstrom-Betriebssicherheit-Fehlerlogik steht. Einige Merkmale der Erfindung umfassen die Selbstüberwachung irgendeines einzelnen internen Fehlers, um einen Fehler anzuzeigen, während sich der Monitor im On-line-Betrieb befindet und umfassen die Möglichkeit eines automatischen Tests und die Vereinbarkeit mit existierender Fehlerlogik.

609840/0698

Claims

PATENTANSPRÜCHE

Betriebssicherheits-Überwachungssystem für die überwachung eines logischen Vielbitwortes, dadurch gekennzeichnet, daß es folgende Merkmale und Einrichtungen enthält: eine erste Multiplexeinrichtung (3¹*, 36) für die Mehrfachausnutzung des logischen Vielbitwortes; eine zweite Multiplexeinrichtung (68; 70) für die Vielfachausnutzung eines Bezugsvielbitwortes; eine erste Torsteuereinrichtung (74), die mit der ersten Multiplexeinrichtung (3^» 36) verbunden ist, um die Ausgangsgröße derselben tormäßig zu steuern; eine zweite Torsteuereinrichtung (7B), die mit der zweiten Multiplexeinrichtung (68», 70) verbunden ist, um die Ausgangsgröße derselben tormäßig zu steuern; eine Vergleichsstufe (76), die mit der ersten und der zweiten Torsteuereinrichtung (7^> 78) verbunden ist und auf die gesteuerten Ausgangsgrössen dieser Gattereinrichtungen anspricht, um eine wechselnde Ausgangsgröße vorzusehen, wenn die gesteuerten Ausgangsgrößen im wesentlichen übereinstimmen, jedoch im anderen Fall eine Ausgangsgröße mit konstantem Wert vorzusehen; eine erste Adresseneinrichtung (96, 106), die mit der Vergleichsstufe (76) und der ersten Multiplexeinrichtung (3¹J, 36) verbunden 1st und auf die wechselnde Ausgangsgröße der Vergleichsstufe anspricht, um eine Adresse für die erste Multiplexeinrichtung (3^; 36) vorzusehen; und eine zweite Adresseneinrichtung (100, 108), die mit der Vergleichsstufe (76) und der zweiten Multiplexeinrichtung (68·, 70) verbunden ist und auf die wechselnde Ausgangsgröße der Vergleichsstufe anspricht, um eine Adresse für die zweite Multiplexeinrichtung (68', 70) vorzusehen.

2· System nach Anspruch 1, dadurch gekennzeichnet, daß jede der ersten und zweiten Adresseneinrichtung (96, 106; 100, 108) folgende Einrichtungen enthält: an die Vergleichsstufe (76) angeschlossene Mittel (96; 100), um die Frequenz der wechselnden Aus-' gangsgröße der Vergleichsstufe herabzuteilen; und Zählermittel

609840/0698

(106, 108), die mit den Frequenzteilermitteln (96; 100) und einer entsprechenden Multlplexeinrichtung (34, 36; 68^f, 70) verbunden sind und auf die herabgeteilte Ausgangsgröße der Vergleichsstufe ansprechen, um eine Adresse für die genannte entsprechende Multiplexeinrichtung (34, 36; 68·, 70) vorzusehen.

3. System nach Anspruch 2, dadurch gekennzeichnet, daß die Zählermittel (106, 108) auf die Ausgangsgröße mit konstantem Wert der Vergleichsstufe (76) ansprechen, um den Zählvorgang anzuhalten und um dadurch das System in einen Sperrzustand zu bringen, der einen Fehler In dem logischen Vielbitwort anzeigt.

4. System nach Anspruch 2, dadurch gekennzeichnet, daß jede der ersten und zweiten Adresseneinrichtung (96, I06; 100, 108) Mittel (110; 112) für die Rückstellung der entsprechenden Frequenzteilermittel (96; 100) und der Zählermittel (106; 108) enthält.

5. System nach Anspruch 1, dadurch gekennzeichnet, daß eine Einrichtung zum Testen der zweiten Multiplexeinrichtung (68·, 70) vorgesehen ist und daß diese Testmittel folgende Einrichtungen aufweisen!Mittel (133, 135), um der ersten und der zweiten Torsteuereinrichtung (74, 78) ein Testsignal mit einem vorbestimmten logischen Wert zuzuführen; wobei die ersten Torsteuermittel (7¹O auf das Testsignal ansprechen und die Ausgangsgröße der ersten Multiplexeinrichtung (3^, 36) blockieren; und daß die zweite Torsteuereinrichtung (78) Mittel (120-132) enthält, die auf das Testsignal zum Setzen durch die Ausgangsgröße der zweiten Multiplexeinrichtung (68·, 70) ansprechen, so daß dadurch die zweite Multiplexeinrichtung (68·, 70) getestet wird.

6. System nach Anspruch 2, dadurch gekennzeichnet, daß die Zählermittel (106, 108) in der ersten und der zweiten Adresseneinrichtung (96, 106; 100, 108) normalerweise synchronisiert sind; und daß ein interner Systemfehler diese Zählermittel (106, 108) aus der Synchronisation heraustreibt, woraufhin die tormäßig ge-

609840/0698

steuerten Ausgangsgrößen der ersten und zweiten Multiplexeinrichtungen (3^i 36; 68', 70) im wesentlichen nicht übereinstimmen und die Vergleichsstufe (76) die Ausgangsgröße mit konstantem Wert erzeugt.

7. System nach Anspruch 1, dadurch gekennzeichnet, daß die Frequenzteilermittel (96; 100) in jeder der ersten und zweiten Adresseneinrichtung (96, 106; 100, 108) folgende Einrichtungen enthalten: einen Flip-Flop (96; 100), der mit der Vergleichsstufe (76) verbunden ist; und eine spannungsbegrenzende Vorrichtung (102; 10*1), die zwischen die Vergleichsstufe (76) und den Flip-Flop (96; 100) geschaltet ist.

8. System nach Anspruch 1, dadurch gekennzeichnet, daß jede der ersten und zweiten Multiplexeinrichtungen (3¹*, 36; 68', 70) folgende Mittel enthält: einen ersten Multiplexer (34; 68'), um einen Teil der Bits des Wortes, welches durch die Multiplexeinrlchtung (3¹J* 36; 68', 70) nach dem Multiplexverfahren verarbeitet wurde, mehrfach auszunutzen; und einen zweiten Multiplexer (36, 70), um die verbleibenden Bits des genannten Wortes mehrfach auszunutzen.

609840/0698

Al

Leerseite