DE2710466A1

DE2710466A1 - CONTROL SYSTEM FOR ERROR MONITORING

Info

Publication number: DE2710466A1
Application number: DE19772710466
Authority: DE
Inventors: James Frederick Meredith; Brian Williams
Original assignee: Smiths Group PLC
Current assignee: Smiths Group PLC
Priority date: 1976-03-10
Filing date: 1977-03-10
Publication date: 1977-09-15
Also published as: FR2344074A1; GB1560554A

Description

Patentanwalt
Augsburg 31 ■ Postfach 242Patent attorney
Augsburg 31 ■ P.O. Box 242

Rehli ngcnst ralle 8 Telefon: 0821/36015 Postscheckkonto: München Nr 1547 89-801Rehli ngcnst ralle 8 Telephone: 0821/36015 Postal checking account: Munich No. 1547 89-801

7308/70/Ch/Fr7308/70 / Ch / Fr

Augsburg, March 9, 1977

SMITHS INDUSTRIES LIMITED Cricklewood Works GB-London NW2 60N, EnglandSMITHS INDUSTRIES LIMITED Cricklewood Works GB-London NW2 60N, England

Control system for fault monitoring

Die Erfindung betrifft ein Steuersystem zur Fehlerüberwachung mit mindestens zwei Steuerkanälen zur digitalen Datenverarbeitung, deren nominell-äquivalente Ausgänge zur Bestimmung des Vorhandenseins eines Fehlers miteinander verglichen werden. Derartige Steuersysteme finden in erster Linie als Flugsteuersysteme Anwendung.The invention relates to a control system for error monitoring with at least two control channels for digital data processing, their nominally equivalent outputs for determining the presence of an error with each other be compared. Such control systems are primarily used as flight control systems.

In einem derartigen System sind zwei oder mehrere Steuerkanäle vorgesehen, wobei der Ausgang jedeft Kanals als Steuerausgang zu dienen vermag. Die Kanäle arbeiten zusammen und ergeben somit einen hohen Grad von Redundanz, wodurch sichergestellt ist, daß auch bei Auftreten von Fehlern im System eine korrekte Arbeitsweise bzw. Steuerung gewährleistet ist.In such a system two or more control channels are provided, with the output of each channel as Able to serve control output. The channels work together and thus result in a high degree of redundancy, This ensures that correct operation and control are carried out even if errors occur in the system is guaranteed.

709837/0966709837/0966

7308/70/Ch/Fr - / - 9. März 19777308/70 / Ch / Fr - / - March 9 , 1977

Wie schon eingangs erwähnt, werden derartige Systeme für Flugzeugsteuerungen verwendet. Die zu verarbeitenden digitalen Daten werden in jedem von drei oder mehr Kanälen verarbeitet und die einzelnen Ausgänge der Kanäle werden miteinander verglichen, wodurch festgestellt werden kann, ob ein Fehler in einem der Kanäle vorhanden ist. Derartige Systeme weisen somit einen hohen Grad an Sicherheit gegenüber dem Ausfall von Bauteilen auf, da die Wahrscheinlichkeit, daß Fehler zur gleichen Zeit in verschiedenen Kanälen auftreten, relativ gering ist.As already mentioned at the beginning, such systems are used for aircraft controls. The digital to be processed Data is processed in each of three or more channels and the individual outputs of the channels are compared with each other, whereby it can be determined whether there is an error in one of the channels. Such Systems therefore have a high degree of security against component failure, since the probability that errors occur in different channels at the same time is relatively small.

Die Einführung digitaler Rechentechniken bei derartigen Mehrkanalsystemen führt jedoch zu Problemen bezüglich der Erfassung von Fehlern. Eine digitale Rechenverarbeitung erfordert die Verwendung komplizierter logischer Schaltkreise, wie beispielsweise NAND-Gatter, NOR-Gatter und Schieberegistern. Bei der Auslegung derartiger logischer Schaltkreise und der Verbindungen dieser Schaltkreise miteinander besteht die Gefahr, daß zusätzliche unbeabsichtigte logische Funktionen erzeugt werden. Beispielsweise besteht die Möglichkeit, daß bestimmte digitale Datendarstellungen in Kombination mit bestimmten Befehlen im Programm zur Steuerung der Arbeitsweise des Verfahrens in einer unerwarteten Weise miteinander zusammenwirken und sich gegenseitig beeinflussen. Als Folge davon entsteht die Gefahr einer Fehlfunktion, die nicht das Ergebnis eines fehlerhaften Bauteils ist, sondern das Resultat eines latenten Auslegungsfehlers allein oder in Kombination mit der Wirkung irgendwelcher Bauteiletoleranzen. Weisen alle Steuerkanäle die gleiche Auslegung auf und arbeiten diese Kanäle nach dem gleichen Programm, dann wurden sie alle die gleiche Fehlfunktion haben, wasHowever, the introduction of digital computing techniques in such multi-channel systems leads to problems with respect to the Detection of errors. Digital arithmetic processing requires the use of complicated logic circuits, such as NAND gates, NOR gates, and shift registers. When interpreting such a logical Circuits and the connections of these circuits with each other there is a risk of additional unintentional logical functions are generated. For example, there is the possibility that certain digital Data representations in combination with certain commands in the program to control the operation of the process interacting and influencing each other in an unexpected way. As a result of this arises the risk of a malfunction that is not the result of a defective component, but the result a latent design error alone or in combination with the effect of any component tolerances. If all control channels have the same design and these channels work according to the same program, then they would all have the same malfunction thing

709 837/0986709 837/0986

7308/70/Ch/Fr "/" 9. März 19777308/70 / Ch / Fr "/" March 9 , 1977

frfr

wiederum bedeutet, daß ein Vergleich der Ausgänge der Kanäle nicht zur Auffindung dieser Fehlfunktionen führt. Eine Fehlfunktion, die alle Kanäle betrifft, wird als gemeinsame Fehlfunktion bezeichnet.again means that a comparison of the outputs of the channels does not lead to the discovery of these malfunctions. A malfunction that affects all channels is called common Denotes malfunction.

Ein Analogsystem kann zur Eliminierung unerwarteter Resultate dadurch getestet werden, indem die Arbeitsweise für verschiedene Werte Jedes Eingangssignals von einem Extremzum anderen Extremwert geprüft wird und sodann aufgrund dieser Prüfung die Linearität des Systems überprüft wird, wobei die Zwischenwerte dann jeweils dieser Linearität zu folgen haben. Bei digital verarbeitenden Systemen jedoch begrenzt die diskontinuierliche Natur der digitalen Signale einen solchen Vergleich. Die gegenseitige Beeinflussung irgendeiner Kombination digitaler Daten und des Programms ist unterschiedlich zu der gegenseitigen Beeinflussung bei Vorliegen einer anderen Kombination. Der einzige Weg, eine richtige Arbeitsweise zu überprüfen, damit das System auch eine sichere Arbeitsweise aufweist, besteht darin, alle möglichen Kombinationen digitaler Daten und Programmbefehle zu prüfen. Hierbei können jedoch mehrere Millionen Kombinationen auftreten, so daß derartige Testprogramme sehr zeitraubend sind.An analog system can be tested to eliminate unexpected results by changing the procedure for different values of each input signal from one extreme to the other other extreme value is checked and then the linearity of the system is checked on the basis of this check, the intermediate values then each have to follow this linearity. With digital processing systems, however the discontinuous nature of the digital signals limits such a comparison. The mutual influence any combination of digital data and the program is different from the interaction if there is another combination. The only way to check a correct way of working so that that System also has a safe mode of operation, consists in all possible combinations of digital data and Check program commands. However, several million combinations can occur here, so that such test programs are very time consuming.

Es besteht daher die Aufgabe, das Steuersystem so auszubilden, daß Fehlfunktionen der vorgenannten Art leicht aufgefunden werden können, ohne daß die Notwendigkeit besteht, sehr lange Testprogramme mit dem System durchzuführen. It is therefore an object to design the control system so that malfunctions of the aforementioned type are easy can be found without the need to run very long test programs with the system.

Gelöst wird diese Aufgabe mit den Merkmalen des Anspruches 1. Vorteilhafte Ausgestaltungen sind den Unteransprüchen entnehmbar.This object is achieved with the features of claim 1. Advantageous refinements are set out in the subclaims removable.

709837/096 6709837/096 6

7308/70/Ch/Fr - / - 9. März 19777308/70 / Ch / Fr - / - March 9, 1977

Bei einem derartigen Steuersystem entsteht der Vorteil, daß selbst wenn eine der digitalen Datendarstellungen in einem der Kanäle fehlerhaft verarbeitet wird, der andere Kanal nicht die gleiche Fehlfunktion aufweist. Dies wird dadurch erreicht, weil der andere Steuerkanal nicht die gleiche Darstellung dieser Datenwerte enthält, so daß einer der Gründe für eine Fehlfunktion in diesem anderen Steuerkanal nicht vorhanden ist. Folglich tritt in beiden Steuerkanälen nicht gleichzeitig die gleiche Fehlfunktion auf.Such a control system has the advantage that even if one of the digital data representations in one of the channels is incorrectly processed, the other channel does not have the same malfunction. this will achieved because the other control channel does not contain the same representation of these data values, so that one the reasons for a malfunction does not exist in this other control channel. Consequently occurs in both Control channels do not show the same malfunction at the same time.

Die gleichen Datenwerte können in den beiden Kanälen dargestellt werden durch digitale Darstellungen, die sich in ihrem Sinn voneinander unterscheiden. Die Unterscheidung dem Sinne nach, welche die einzige Unterscheidung sein kann, kann erreicht werden durch einfaches Umdrehen der Leitungsverbindungen, die von einem Transducer oder einer anderen Signalquelle Signale zu den Kanälen führen. Alternativ oder zusätzlich können sich die digitalen Darstellungen der gleichen Daten in den beiden Kanälen in einem konstanten Verhältnis voneinander unterscheiden, beispielsweise im Verhältnis 1 : 2.The same data values can be represented in the two channels by means of digital representations, which are located in differentiate their meaning from each other. The distinction in terms of what is the only distinction can be achieved by simply reversing the line connections provided by a transducer or a other signal source lead signals to the channels. Alternatively or additionally, the digital representations of the same data in the two channels differ in a constant ratio from each other, for example in a ratio of 1: 2.

Die digitale Datenverarbeitung in einem oder mehreren weiteren Kanälen oder in einem Monitorkanal kann bei den gleichen Eingangs- bzw. Rückkopplungsdaten durchgeführt werden mit einer digitalen Datendarstellung, die sich sowohl von derjenigen des ersten als auch von derjenigen des zweiten Kanals unterscheidet.The digital data processing in one or more additional channels or in a monitor channel can be carried out with the same Input or feedback data are carried out with a digital data representation that is different from both that of the first as well as that of the second channel.

709837/0966709837/0966

- / - 9. März 1977- / - March 9, 1977

Zwei Ausführungsbeispiele der Erfindung in Anwendung auf ein Flugsteuersystem werden nachfolgend anhand der Zeichnungen erläutert. Es zeigen:Two embodiments of the invention in use a flight control system are explained below with reference to the drawings. Show it:

Die Fig. 1 zusammengefügt ein Blockschaltbild eines ersten Flugsteuersystems undFig. 1 put together a block diagram of a first flight control system and

Fig. 3 ein Blockschaltbild eines weiteren Flugsteuersystems. 3 is a block diagram of another flight control system.

Das erste beschriebene System ist Teil eines Doppelgegenflugsteuersystems, welches die konventionellen mechanischen Verbindungen zwischen dem Piloten und den beweglichen Rudern des Flugzeugs ersetzt. Die Steuerbewegungen des Piloten werden mittels elektrischer Transducer abgetastet, welche elektrische Signale erzeugen, welche repräsentativ für diese Bewegungen sind. Die Stellungen der Ruder und die Bewegungen des Flugzeugs werden in ähnlicher Weise abgetastet, wodurch zwei weitere Signalgruppen erzeugt werden. Diese drei Signalgruppen werden einem Rechner zugeführt, der die elektrischen Steuersignale zur Betätigung der Ruder in Übereinstimmung mit den Steuerbefehlen des Piloten errechnet. Die Steuerbefehle des Piloten und die Ruder sind somit lediglich durch elektrische Schaltkreise miteinander verbunden. Die Steuerung des Flugzeuges und damit auch seine Sicherheit hängt wesentlich von der Zuverlässigkeit dieser Schaltkreise ab.The first system described is part of a double counter-flight control system, which are the conventional mechanical connections between the pilot and the movable ones Replaced the rudder of the aircraft. The pilot's control movements are scanned by means of electrical transducers, which generate electrical signals which are representative of these movements. The positions of the rudders and the movements of the aircraft are sampled in a similar way, whereby two more signal groups are generated. These three signal groups are fed to a computer, which receives the electrical control signals for actuation the rudder is calculated in accordance with the pilot's commands. The pilot's control commands and the So rudders are only connected to one another by electrical circuits. Control of the aircraft and thus also its safety depends essentially on the reliability of these circuits.

In den Fig. 1 und 2 werden die Höhenruder 10 des Flugzeuges betätigt durch zwei Hydraulikzylinder 11 und 12, die miteinander und mit den Höhenrudern 10 durch ein gemeinsames Gelenk 13 verbunden sind. Die Hydraulikflüssig-In Figs. 1 and 2, the elevators 10 of the aircraft are operated by two hydraulic cylinders 11 and 12, which are connected to one another and to the elevators 10 by a common joint 13. The hydraulic fluid

709837/096 6709837/096 6

2710A662710A66

- Jf - 9. März 1977- Jf - March 9, 1977

keit wird den Zylindern 11 und 12 über Ventile 14 und 15 zugeführt, die miteinander über ein Gelenk 16 mechanisch verbunden sind. Die Stellung der Ventile 15 und 16 wird bestimmt durch zwei Sätze von jeweils drei Servoventilbetätigungsgliedern 17 bis 19 und 20 bis 22. Ein Satz von jeweils drei Betätigungsgliedern zum Antrieb jedes der Ventile 14 und 15 ist vorgesehen, damit, falls eines der drei Betätigungsglieder oder die zugehörige Steuerschaltung ausfällt, eine Unterbrechung dieses Betätigungsgliedes nicht erforderlich ist, da die beiden verbleibenden Betätigungsglieder des Satzes zusammen mit den drei Betätigungsgliedern des anderen Satzes ausreichend Kraft erzeugen, die Wirkung des fehlerhaften Betätigungsgliedes zu überwinden.The speed is controlled by cylinders 11 and 12 via valves 14 and 15 which are mechanically connected to one another via a joint 16. The position of the valves 15 and 16 is determined by two sets of three each servovalve actuators 17-19 and 20-22. One set of three actuators for driving each of the valves 14 and 15 is provided so that if one of the three actuators or the associated control circuit fails, an interruption of this actuator is not required as the two remaining actuators of the set go together with the three actuators of the other set produce sufficient force, the action of the faulty actuator to overcome.

Die Stellung der Gelenkverbindung 13 wird abgetastet durch vier Meßwertumwandler 23 bis 26, von denen jeder ein Analogsignal in Übereinstimmung der Stellung erzeugt, wobei dieses Analogsignal jeweils einem der vier Flugsteuerrechner 27 bis 30 zu'geführt wird. Die Flugsteuerrechner 27 bis 30 erhalten weiterhin nominell-identische analoge Signale in Übereinstimmung der Steuerknüppelbefehle, welche von den vier Meßwertwandlern 31 bis 34 abgegeben werden. Diese vier Meßwertwandler 31 bis 34 sind mit dem Steuerknüppel verbunden. Weitere nominell"identische Analogsignale, im vorliegenden Fall in Übereinstimmung mit der Flugbewegung des Flugzeugs, insbesondere die Höhenänderungsgeschwindigkeit, werden den Computern 27 bis 30 von vier Gebern 35 bis 38 zugeführt.The position of the articulated connection 13 is sensed by four transducers 23 to 26, each of which is an analog signal generated in accordance with the position, this analog signal each to one of the four flight control computers 27 to 30 is supplied. The flight control computers 27 to 30 continue to receive nominally identical analog signals in accordance with the joystick commands issued by the four transducers 31-34. These four transducers 31 to 34 are connected to the control stick. Further nominally "identical analog signals, im present case in accordance with the flight movement of the aircraft, in particular the rate of change in altitude, are fed to the computers 27 to 30 by four encoders 35 to 38.

709837/0966709837/0966

- 7 - 9. März 1977- March 7 - 9, 1977

/IO/ IO

Die vier Steuerrechner 27 bis 30 erzeugen in Abhängigkeit der Eingangs- und Rückkopplungssignale, welche analoge Signale sind, Steuersignale zur Betätigung der Betätigungsglieder 17, 18, 21 und 22 zur Betätigung der Höhenruder 10 in Übereinstimmung mit dem Steuerbefehl des Piloten. Jeder der Rechner 27 bis 30 weist einen Analog-Digitalumsetzer 100 auf, dem die Eingangssignale zugeführt werden, wobei diese Signale dem Umsetzer über einen Multiplexer 101 in zyklischer Folge zugeführt werden. Der Umsetzer 100 führt entsprechende Digitaldarstellungen einer Prozeßeinheit 102 des Rechners zu. Die Einheit 102 jedes Rechners erhält nicht nur Digitaldarstellungen der Eingangs- und Rückkopplungsdaten vom Umsetzer 100 des gleichen Rechners, sondern erhält auch die nominell—identisehen digitalen Darstellungen der gleichen Daten von den Umsetzern 100 der anderen drei Rechner. Jede Einheit 102 arbeitet in Übereinstimmung mit einem gespeicherten Programm zur Errechnung eines Digitalbefehls, abhängig von den Eingangs- und Rückkopplungsdaten. Zum Zwecke der Berechnung wird der Wert jedes verarbeiteten Datums abgeleitet in Übereinstimmung mit einem Vermischungsprozeß eines Satzes von vier nominal-identischen Darstellungen des gleichen Datums. Jede Einheit 102 ist also so programmiert, daß für jeden Satz von vier digitalen Darstellungen bestimmt wird, ob einer der Werte außerhalb der Grenzen liegt, die von den zulässigen Toleranzen dieses Werts bestimmt werden. Ist dies nicht der Fall, dann wird zur Erzeugung eines digitalen Befehls eine Digitaldarstellung herangezogen, die zwischen den Extremwerten der vier Signalwerte liegt. Liegt einer der Signalwerte außerhalb der vorgenannten Grenzen, dann wird dieser Signalwert ausgeschieden und nicht berücksichtigt bei der Ableitung der Zwischenwertdarstellung.The four control computers 27 to 30 generate as a function of the input and feedback signals, which are analog signals, control signals for operating the actuators 17, 18, 21 and 22 for actuating the elevators 10 in accordance with the pilot's command. Each of the computers 27 to 30 has an analog-digital converter 100, to which the input signals are fed, these signals being sent to the converter via a multiplexer 101 are supplied in cyclical order. The converter 100 carries out corresponding digital representations of a Process unit 102 of the computer. The unit 102 of each computer not only receives digital representations of the input and feedback data from the converter 100 of the same computer, but also receives the nominally-identical digital representations of the same data from the converters 100 of the other three computers. Each unit 102 works in accordance with a stored program for calculating a digital command, depending on the input and feedback data. For the purpose of calculation, the value of each processed date is derived in accordance with a blending process of a set of four nominally identical representations the same date. Thus, each unit 102 is programmed so that for each set of four digital representations it is determined whether one of the values lies outside the limits of the permissible tolerances of this Value can be determined. If this is not the case, a digital representation is used to generate a digital command used, which lies between the extreme values of the four signal values. If one of the signal values is outside the aforementioned limits, then this signal value is eliminated and not taken into account in the derivation the intermediate value display.

709837/0966709837/0966

- jf - 9. März 1977 - jf - March 9, 1977

AAAA

Ein Signal in Übereinstimmung mit dem digitalen Steuerbefehl, der von der Einheit 102 jedes Steuerrechners 27 bis 30 errechnet wurde, wird über einen Digital-Analogumsetzer 103 einem Sample-and -Hold-Schaltkreis 104· und direkt zwei digitalen Datenübermittlungsschaltkreisen 105 und 106 zugeführt. Der Ausgang des Schaltkreises 104· wird in einem Verstärker 107 verglichen mit einer Darstellung der Stellung der beiden Ventile 14 und 15. Zu diesem Zwecke sind vier Meßwertumwandler 39 bis hl mit dem Gelenk 16 verbunden, die den Verstärkern 107 der vier Rechner 27 bis 30 Analogsignale zuführen, welche repräsentativ sind für die Stellung der Ventile lh und 15 und damit für die Bewegung der Zylinder 11 und 12. Die Ausgangssignale der Verstärker 107 der vier Rechner 27 bis 30 geben damit den Lagefehler der Ventile lh und 15 an. Diese Fehlersignale werden den Betätigungsgliedern 17, 18, 20 und 21 zugeführt und zwar in einem solchen Sinne, daß dieser Fehler korrigiert wird, was bewirkt, daß die Zylinder 11 und 12 betätigt werden und die Höhenruder 10 über das Gelenk 13 so angetrieben werden, daß die Veränderungsgeschwindigkeit dem Steuerbefehl des Piloten entspricht.A signal in accordance with the digital control command calculated by the unit 102 of each control computer 27 to 30 is fed via a digital-to-analog converter 103 to a sample-and-hold circuit 104 and directly to two digital data transmission circuits 105 and 106. The output of the circuit 104 is compared in an amplifier 107 with a representation of the position of the two valves 14 and 15. For this purpose, four transducers 39 to hl are connected to the joint 16, which send analog signals to the amplifiers 107 of the four computers 27 to 30 which are representative of the position of the valves lh and 15 and thus for the movement of the cylinders 11 and 12. The output signals of the amplifiers 107 of the four computers 27 to 30 thus indicate the position error of the valves lh and 15. These error signals are fed to the actuators 17, 18, 20 and 21 in such a way that this error is corrected, which causes the cylinders 11 and 12 to be actuated and the elevators 10 to be driven via the joint 13 so that the rate of change corresponds to the pilot's command.

Die Ausgangssignale der digitalen Datenübermittlungsschaltkreise 105 der Steuerrechner 27 bis 30 werden einzelnen digitalen Datenempfängern 110 bis 113 eines digitalen Monitorrechners h3 zugeführt. Die Ausgangssignale der Übermittlungsschaltkreise 106 der vier Steuerrechner 27 bis 30 werden entsprechenden digitalen Datenempfängern 110 bis 113 eines digitalen Monitorrechners hh zugeführt. Die von den Empfängern 110 bis 113 empfangenen digitalen Signale jedes Rechners h3 und hh werden miteinander verglichen, um festzustellen, ob eines dieser Signale be-The output signals of the digital data transmission circuits 105 of the control computers 27 to 30 are fed to individual digital data receivers 110 to 113 of a digital monitor computer h3 . The output signals of the transmission circuits 106 of the four control computers 27 to 30 are fed to corresponding digital data receivers 110 to 113 of a digital monitor computer hh . The digital signals received by the receivers 110 to 113 from each computer h3 and hh are compared with one another to determine whether one of these signals is

709837/0966709837/0966

9. März 1977March 9, 1977

trächtlich unvereinbar ist mit den anderen. Zu diesem Zweck weist jeder Rechner 43 und 44 eine digitale Prozeßeinheit 114 auf, welche gemäß einem gespeicherten Programm die vier Signale miteinander vergleicht und von ihnen ein repräsentatives Signal ableitet. Dieses repräsentative Signal hat einen Wert in Übereinstimmung mit einer Vermischung der vier Signale. Liegt eines der Signale außerhalb des Bereichs der drei anderen Signale, dann wird dieses Signal bei der Mittelwertbildung nicht berücksichtigt. Dieses repräsentative Signal wird über einen Digitalanalogumsetzer 115 einem Sample-and-Hold-Schaltkreis 116 zugeführt und in einem Verstärker 117 verglichen mit einer Darstellung der Stellung der beiden Ventile 14 und 15. Zu diesem Zweck sind zwei Meßwertumwandler 45 und 46 entsprechend den Meßwertwandlern 39 bis 42 mit dem Gelenk 16 verbunden. Diese Meßwertumwandler 45 und 46 führen den Verstärkern 117 der beiden Rechner 43 und &4 Analogsignale entsprechend der Stellung der Ventile 14 und 15 zu. Das resultierende Fehlersignal wird den Betätigungsgi iedem 19 und 22 zugeführt, entsprechend den Fehlersignalen der Verstärker 107 in Bezug auf die Betätigungsglieder 17, 18, 20 und 21.is seriously incompatible with the others. For this purpose, each computer 43 and 44 has a digital processing unit 114, which compares the four signals with one another according to a stored program and from derives a representative signal from them. This representative signal has a value in accordance with a Mixing of the four signals. If one of the signals is outside the range of the other three signals, then will this signal is not taken into account in the averaging. This representative signal is sent via a digital to analog converter 115 a sample and hold circuit 116 supplied and in an amplifier 117 compared with a representation of the position of the two valves 14 and 15. For this purpose, two transducers 45 and 46 corresponding to the transducers 39 to 42 are with the joint 16 connected. These transducers 45 and 46 lead the amplifiers 117 of the two computers 43 and & 4 analog signals according to the position of the valves 14 and 15. The resulting error signal is the actuator 19 and 22, corresponding to the error signals of the amplifiers 107 with respect to the actuators 17, 18, 20 and 21.

Tritt ein Bauteilefehler in einem der vier Steuerrechner 27 bis 30 auf, der bewirkt, daß dieser Rechner ein Steuersignal erzeugt, welches nicht in Übereinstimmung steht mit den Steuersignalen, die die anderen drei Rechner erzeugen, dann wird, wie bereits oben erwähnt wurde, dieses Steuersignal von der Prozeßeinheit 114 erfaßt und von der durchzuführenden Rechnung ausgeschlossen. Deshalb befinden sich die Steuersignale, die den Betätigungsgliedern 19 und 22 zugeführt werden, im wesentlichen in Übereinstimmung mitIf a component fault occurs in one of the four control computers 27 to 30, which causes this computer to generate a control signal which is not in accordance with the control signals that the other three computers generate, then, as already mentioned above, this control signal detected by the process unit 114 and excluded from the calculation to be performed. Therefore are the control signals supplied to the actuators 19 and 22 substantially in accordance with FIG

709837/0966709837/0966

- ίο -- ίο -

- 9. März 1977 - March 9 , 1977

/3/ 3

den Steuersignalen, die drei der vier Betätigungsglieder 17, 1Θ, 20 und 21 zugeführt werden. Die Stellungssteuerung des Ventils Ik oder 15 vom fehlerhaften Steuerrechner wird damit unterdrückt durch den anderen Steuerrechner und den Monitorrechner, die in Übereinstimmung miteinander wirken zur Steuerung des gleichen Ventils und ihre diesbezügliche Arbeitsweise wird erleichtert durch die beiden Steuerrechner und den Monitorrechner, die das andere Ventil steuern.the control signals which three of the four actuators 17, 1Θ, 20 and 21 are fed. The position control of the valve Ik or 15 from the faulty control computer is thus suppressed by the other control computer and the monitor computer, which work in concert to control the same valve and their operation in this regard is facilitated by the two control computers and the monitor computer, which control the other valve .

Die Wahrscheinlichkeit, daß mehr als einem der Rechner bis 30 der gleiche Bauteilefehler gleichzeitig auftritt, ist sehr gering, diese Wahrscheinlichkeit liegt in jedem Fall in den normal akzeptablen Grenzen des Fehlerbestands. Es verbleibt jedoch die Möglichkeit, daß einige spezielle Werte des Eingangssignals eine Digitaldarstellung bei den Steuerrechnern 27 bis 30 ergeben, die in Verbindung mit der.programmierten Arbeitsfolge innerhalb der digitalen Prozeßeinheit 102 eine Fehlfunktion bewirken. Eine solche Fehlfunktion kann beispielsweise auftreten, wenn bei der Aufstellung des Rechenprogramms für die Steuerrechner 27 bis 30 sich ein Fehler eingeschlichen hat, der zu einer nicht kategorlerten und falschen Wechselbeziehung zwischen dem Programm und den von den Eingangssignalen abgeleiteten Daten führt.The probability that more than one of the computers up to 30 will have the same component failure at the same time, is very low, this probability is in any case within the normally acceptable limits of the defect level. However, there remains the possibility that some specific values of the input signal may have a digital representation at the Control computers 27 to 30 result in connection with the programmed work sequence within the digital Process unit 102 cause a malfunction. Such Malfunction can occur, for example, if, when the computer program is set up for the control computer 27 until an error has crept in, leading to an uncategorized and incorrect correlation between the program and the data derived from the input signals.

Die Steuerrechner 27 bis 30 weisen üblicherweise etliche tausend elektrische Schaltkreise auf und das bei den Rechnern verwendete Rechenprogramm besteht üblicherweise aus einigen tausend Rechenschritten. Falls irgendeiner der Schaltkreise während irgendeiner Rechnung nicht richtig arbeitet, dann wird das Ergebnis der Gesamtrechnung fehlerhaft. Die Praxis hat gezeigt, daß die Möglichkeit ei-The control computers 27 to 30 usually have several thousand electrical circuits and that in the case of the computers The computer program used usually consists of a few thousand calculation steps. If any of the Circuit does not work properly during any calculation, then the result of the total calculation will be erroneous. Practice has shown that the possibility of

709837/0966709837/0966

- ]Λ - 9. März 1977- ] Λ - March 9, 1977

ner fehlerhaften Rechnerarbeitsweise in jedem Fall gegeben ist, selbst wenn der Rechner in allen anderen Bezügen korrekt ausgelegt ist und ihm Signale zugeführt werden, die für eine korrekte Arbeitsweise geeignet sind. Dies kann auftreten beispielsweise bei Umständen, wo eine Vielzahl komplizierter Schaltkreisverbindungen innerhalb des Rechners zu einer bei der Auslegung nicht beabsichtigten gegenseitigen Beeinflussung mit Schaltkreisen führt, die jedoch nur dann auftritt, wenn eine bestimmte Kombination von Binärdatensignalen erzeugt wird aufgrund eines bestimmten .Programmbefehls, wenn die Rechnerschaltkreise sich in einer bestimmten Kombination ihrer elektrischen Zustände befinden. Die Möglichkeit, daß dies auftritt, beträgt 1 : vielen Millionen und es ist praktisch unmöglich, die Auslegung der Rechner und das Programm von auf derartige gegenseitige Beeinflussungen zu testen.ner faulty computer operation in any case is, even if the computer is designed correctly in all other respects and signals are fed to it that are suitable for correct operation. This can occur, for example, in circumstances where a large number of Complicated circuit connections within the computer to a mutual not intended in the design Influencing with circuits leads, however, only occurs when a certain combination of binary data signals is generated due to a certain .Programmbefehls when the computer circuits are in a certain combination of their electrical states. The chance that this will occur is 1: many millions and it is practically impossible to design the computer and the program based on such to test mutual influences.

Bei dem System gemäß den Fig. 1 und 2 sind alle vier Steuerrechner 27 bis 30 gleich ausgelegt und arbeiten nach dem gleichen Programm, so daß alle vier Steuerrechner 27 bis 30 die gleichen Fehlfunktionen ausführen würden, die somit nicht von den beiden Monitorrechnern ^3 und 4Ί· erfaßt werden wurden.In the system according to FIGS. 1 and 2, all four are control computers 27 to 30 designed the same and work according to the same program, so that all four control computers 27 to 30 would perform the same malfunctions, which are therefore not detected by the two monitor computers ^ 3 and 4Ί · became.

Es sind somit Vorkehrungen zu treffen, welche derartige Fehl funktionen vermeiden. Zu diesem Zweck werden die Eingangssignale zu den Steuerrechnern 29 und 30 in umgekehrter Richtung zugeführt in Bezug auf die Eingangssignale, die den Steuerrechnern 27 und 28 zugeführt werden. Um dies zu erreichen, werden die Verbindungen von den Meßwertumwandlern 25, 26, 33 und 3k und von den Sensoren 37 und 38 zu den Steuerrechnern 29 und 30 umgekehrt im Vergleich zuPrecautions must therefore be taken to avoid such malfunctions. For this purpose, the input signals to the control computers 29 and 30 are fed in the opposite direction to the input signals that are fed to the control computers 27 and 28. In order to achieve this, the connections from the transducers 25, 26, 33 and 3k and from the sensors 37 and 38 to the control computers 29 and 30 are reversed compared to FIG

709837/0966 ,-. .709837/0966, -. .

9. März 1977March 9, 1977

Α$Α $

den Verbindungen zwischen den Meßwertumwandlern 23, 24-, 31 und 32 und den Sensoren 35 und 36 zu den Rechnern und 28. In den Zeichnungen ist die Umkehrung durch die Kreuze R und die Direktruführung durch die nicht gekreuzten Linien D dargestellt. Dies stellt sicher, daß die Binärzahlen zur Darstellung der gleichen Größe in zwei Rech· nerpaaren 27 und 28 bzw. 29 und 30 unterschiedlich ist. Die Weise, in welcher diese Differenz entsteht, kann demonstriert werden bei der Erläuterung des "Twos-Complement" Achtdigitbinärzahlensystems in Tabellethe connections between the transducers 23, 24-, 31 and 32 and sensors 35 and 36 to computers and 28. In the drawings, the reverse is indicated by the Crosses R and direct call guidance through the uncrossed ones Lines D shown. This ensures that the binary numbers to represent the same size in two arithmetic nerpaaren 27 and 28 or 29 and 30 is different. The way in which this difference arises can be demonstrated are used in the explanation of the "two's complement" eight-digit binary number system in the table

Die Tabelle I verdeutlicht die Umdrehung des Vorzeichens ohne Änderung der Größe, was zur Änderung mindestens eines der binären Digits der Darstellung führt. Bei der Binärdarstellung von + 6b und -6k unterscheiden sich die Werte an den ersten Stellen.Table I illustrates the rotation of the sign without changing the size, which leads to a change in at least one of the binary digits in the representation. In the binary representation of + 6b and -6k , the values differ in the first places.

Table I.

01111111 = +12701111111 = +127

01111110 = +12601111110 = +126

01111101 = +12501111101 = +125

01000001 = +6501000001 = +65

01000000 = +6401000000 = +64

00111111 = +6300111111 = +63

00000001 = +100000001 = +1

00000000 = 000000000 = 0

11111111 = -111111111 = -1

11000001 = -6311000001 = -63

11000000 = -6k 11000000 = -6k

10111111 = -6510111111 = -65

10000001 = -12710000001 = -127

10000000 = -12810000000 = -128

709837/0966709837/0966

- 13 -- 13 -

9. März 1977March 9, 1977

Obwohl die Steuerrechner 27 bis 30 alle die gleichen nominell identischen Eingangs- und Rückkopplungsdaten erhalten und diese verarbeiten, so arbeiten doch die Steuerrechner 29 und 30 mit Kombinationen von Binärdigits, die sich unterscheiden von denjenigen der Steuerrechner 27 und 28. Die Differenz von nur einem Digit infolge der Umdrehung des Vorzeichens ist ausreichend, daß Fehlfunktionen der gleichen Art in den vier Rechnern 27 bis 30 gleichzeitig auftreten.Although the control computers 27 through 30 all receive the same nominally identical input and feedback data and process these, the control computers 29 and 30 work with combinations of binary digits, which differ from those of the control computers 27 and 28. The difference of only one digit as a result of the A turn of the sign is sufficient to prevent malfunctions of the same kind in the four computers 27 to 30 occur simultaneously.

Die Zeichenumkehr bei den Steuerrechnern 29 und 30 bedingt eine Zeichenumkehr bei der analogen Signalverbindung von den Meßumformern 41 und 42 zu den Verstärkern 107 der Rechner 29 und 30. Weiterhin wird eine Zeichenumkehr bewirkt in der Verbindungsleitung zwischen den Verstärkern 107 und den Betätigungsgliedern 20 und 21. Bei.den Signalen von den Meßwertumwandlern 39 und 40 und zu den Betätigungsgliedern 17 und 18 in Bezug auf die Verstärker 107 der Rechner 27 und 28 findet eine solche Zeichenumkehr nicht statt. Die von den Einheiten 102 der Steuerrechner 27 bis 30 ausgeführten Mittelwertbildungen und die Mittelwertbildungen in den Einheiten 114 der Monitorrechner 43 und 44 kompensieren automatisch die Zeichenumkehr, die zwischen einem Paar und dem anderen der zu vergleichenden digitalen Darstellungen besteht. Bei der Vermischung werden die jeweiligen Vorzeichen dazu verwendet, die Differenz der digitalen Darstellungen zu erhalten, wie zwischen verschiedenen Paaren von Rechnern 27 bis 30.The character reversal in the control computers 29 and 30 causes a character reversal in the analog signal connection from the transducers 41 and 42 to the amplifiers 107 of computers 29 and 30. Furthermore, a character reversal is effected in the connection line between the Amplifiers 107 and the actuators 20 and 21. In the case of the signals from the transducers 39 and 40 and to the actuators 17 and 18 with respect to the amplifiers 107 of the computers 27 and 28 there is such a character reversal does not take place. The mean value formations carried out by the units 102 of the control computers 27 to 30 and the averaging in the units 114 of the monitor computers 43 and 44 automatically compensate for the character reversal, that exists between one pair and the other of the digital representations to be compared. at After mixing, the respective signs are used to determine the difference between the digital representations obtained as between different pairs of calculators 27 to 30.

709837/0966709837/0966

9. März 1977March 9, 1977

Eine Fehlfunktion in jedem der Rechner 27 bis 30 äußert sich im wesentlichen auf zwei Arten: entweder in einer abrupten Änderung im Programmzyklus des Computers, beispielsweise indem dieser in einen Kreis von Befehlen verfällt, oder in einem offensichtlich falschen Ausgangsbefehl, der beispielsweise darin bestehen kann, daß das Höhenruder plötzlich in eine Extremstellung bewegt werden soll.Expresses a malfunction in each of the computers 27 to 30 essentially in two ways: either in an abrupt change in the computer's program cycle, for example by lapsing into a circle of commands or an obviously wrong exit command, which can consist, for example, in the elevator suddenly being moved to an extreme position target.

Die digitalen Prozeßeinheiten 102 der Steuerrechner 27 bis 30 vollenden jeweils einen Rechenzyklus und erzeugen jeweils einen Ausgangsbefehl in Abständen zwischen 10 bis 20 Millisekunden. 3ede digitale Prozeßeinheit 114 der Monitorrechner 43 und 44 führen ihr diesbezügliches Programm des Vergleichs und der Prüfung der Ausgangsbefehle der Steuerrechner 27 bis 30 und der Erzeugung des eigenen Ausgangssignals im gleichen Zeitintervall aus. Auf diese Weise resultiert eine plötzliche Änderung in der Programmausführung infolge einer Fehlfunktion in irgendeinem der Steuerrechner 27 bis 30 in einem Synchronisierfehler in den Monitorrechnern 43 und 44. Die Monitorrechner 43 und 44 prüfen kontinuierlich, ob diese beiden Rechner und die einzelnen Steuerrechner 27 bis 30 synchron arbeiten. Weichen zwei der Steuerrechner 27 und 28 bzw. 29 und 30 gleichzeitig von dieser synchronen Arbeitsweise ab, ist dies gleichbedeutend mit einer Fehlfunktion in diesen zwei Rechnern. Die Monitorrechner 43 und 44 erfassen auch die Veränderungsgeschwindigkeit der von den Steuerrechnern 27 bis 30 erzeugten Steuerbefehle und wird hierbei festgestellt, daß ein Paar dieser Befehle eine extreme Veränderungsgeschwindigkeit aufweist, dann ist dies ebenfalls gleichbedeutend mit einer Fehlfunktion in einem derThe digital process units 102 of the control computers 27 to 30 each complete a computing cycle and each generate an output command every 10 to 20 milliseconds. Each digital processing unit 114 of the monitor computer 43 and 44 carry out their respective program of comparing and checking the output commands the control computer 27 to 30 and the generation of its own output signal in the same time interval. To this Manner, a sudden change in program execution results as a result of a malfunction in any of the Control computer 27 to 30 in a synchronization error in the monitor computer 43 and 44. The monitor computer 43 and 44 continuously check whether these two computers and the individual control computers 27 to 30 are working synchronously. Switches two of the control computers 27 and 28 or 29 and 30 at the same time depend on this synchronous mode of operation this equates to a malfunction in these two computers. The monitor computers 43 and 44 also record the rate of change of the control commands generated by the control computers 27 to 30 and is hereby found that a pair of these instructions are extremely fast-changing, then it is too equivalent to a malfunction in any of the

709837/0966 _ ₁₅ 709837/0966 _ ₁₅

λΛ ⁹· März 1977 λΛ ⁹ March 1977

ΑίΑί

Rechnerpaare. Die Ausgangssignale der fehlerhaft arbeitenden Rechner 27 und 28 bzw. 29 und 30 werden entsprechend dem Monitorrechnerprogramm bei der Erzeugung der Steuersignale für die Betätigungsglieder 19 und 22 nicht berücksichtigt. Die von den fehlangesteuerten Betätigungsgliedern 17 und 18 bzw. 20 und 21 ausgeführten Steuerbewegungen werden unterdrückt bzw. überspielt durch die jeweils anderen vier Betätigungsglieder.Computer pairs. The output signals of the malfunctioning computers 27 and 28 or 29 and 30 are correspondingly the monitor computer program when generating the control signals for the actuators 19 and 22 is not taken into account. The control movements carried out by the incorrectly actuated actuators 17 and 18 or 20 and 21 are suppressed or overwritten by the other four actuators.

Es ist durchaus möglich, daß bei einer Fehlfunktion ein falsches Ausgangskommando erzeugt wird, welches keiner übermäßigen Veränderungsgeschwindigkeit entspricht und deshalb von den Monitorrechnern 43 und 44 nicht erfaßt wird. Im allgemeinen jedoch ist dann die resultierende Differenz zwischen den Steuersignalen, die von zwei Steuerrechnerpaaren erzeugt werden, nicht groß und führt daher nicht zu ernsten Folgen. Außerdem ist hierbei zu berücksichtigen, daß solche Fehler nur vorübergehender Natur sind und spätestens nach einigen Sekunden verschwinden. It is quite possible that in the event of a malfunction, an incorrect output command is generated, which none corresponds to an excessive rate of change and is therefore not recorded by the monitor computers 43 and 44 will. In general, however, the resulting difference between the control signals is then that of two control computer pairs are not large and therefore do not lead to serious consequences. In addition, it must be taken into account here, that such errors are only of a temporary nature and disappear after a few seconds at the latest.

Die Rechner 27 bis 30 und 43 und 44 werden dazu verwendet, die Quer- bzw. Seitenruder und die Höhenruder bei einem Flugzeug zu steuern. Zwischen den meisten Teilen dieser Computer und den drei Steuerfunktionen besteht eine Zeitbeziehung. Lediglich die sample-and-hold Schaltkreise 104 und die Verstärker 107 der Rechner 27 bis 30 und die entsprechenden sample-and-hold Schaltkreise 116 und die Verstärker 117 der Rechner 43 und 44 sind in diese Zeitbezogenheit nicht einbezogen.The computers 27 to 30 and 43 and 44 are used to control the ailerons or rudder and the elevator in a Control airplane. Between most of the parts of these computers and the three control functions there is one Time relationship. Only the sample-and-hold circuits 104 and the amplifiers 107 of the computers 27 to 30 and the corresponding sample-and-hold circuits 116 and the amplifiers 117 of the computers 43 and 44 are related to time not included.

709837/0966709837/0966

- 16 -- 16 -

y& 9. März 1977 y & March 9, 1977

Die Erfindung ist auch anwendbar auf andere Systeme als auf das im Zusammenhang mit Fig. 1 und 2 beschriebene Doppelgegenflugsteuersystem. Als Beispiel für ein weiteres System wird anhand der Fig. 3 ein zweikanaliges Rückkopplungssystem beschrieben.The invention is also applicable to systems other than the double counter-flight control system described in connection with FIGS. As an example of a further system, FIG. 3 shows a two-channel feedback system described.

Die Höhenruder 200 eines Flugzeugs werden in diesem Fall gesteuert von zwei Digitalrechnern 201 und 202. Die Rechner 201 und 202 erhalten nominell-identische Eingangssignale von den Meßwertwandlern 203 und 20A-. Diese Meßwertwandler übermitteln die Steuerbefehle des Piloten. Außerdem werden diesen Rechnern Signale von den Sensoren 205 und 206 zugeführt, die irgendeinen Flugzustand des Flugzeugs erfassen. Die Signale, die dem Rechner 202 zugeführt werden, werden bezüglich ihres Vorzeichens umgedreht gegenüber denjenigen Signalen, die zum Rechner 201 gelangen. The elevators 200 of an aircraft are in this case controlled by two digital computers 201 and 202. The computers 201 and 202 receive nominally identical input signals from transducers 203 and 20A-. These transducers transmit the pilot's control commands. aside from that signals from sensors 205 and 206 are fed to these computers which indicate some flight condition of the aircraft capture. The signals which are fed to the computer 202 are reversed with regard to their sign with respect to those signals that reach the computer 201.

Die Ausgangssteuersignale der Rechner 201 und 202 werden Betätigungsgliedern 207 und 20Θ zugeführt, die die Höhenruder 200 betätigen. Außerdem werden diese Ausgangssteuersignale einem gemeinsamen Monitorrechner 209 zugeführt. Der Rechner 209 erhält Eingangssignale von einem Meßwertwandler 210 und einem Sensor 211 entsprechend den Meßwertumwandlern 203 und 204 und den Sensoren 205 und 206. Diese Signale jedoch werden dem Monitorrechner 209 jeweils über Teilerschaltkreise 212 und 213 mit einem Teilungsverhältnis von zwei zugeführt.The output control signals from computers 201 and 202 are fed to actuators 207 and 20Θ, which control the elevators Press 200. In addition, these output control signals are fed to a common monitor computer 209. The computer 209 receives input signals from a transducer 210 and a sensor 211 corresponding to the transducers 203 and 204 and the sensors 205 and 206. These signals, however, are sent to the monitor computer 209, respectively fed through divider circuits 212 and 213 with a division ratio of two.

Die Eingabe der Stellung der Höhenruder von den Meßwertumwandlern 21fr und 215 in die Rechner 201 und 202 erfolgt ebenfalls mit einer Zeichenumkehr bezüglich des RechnersThe input of the elevator position from the transducers 21fr and 215 in the computers 201 and 202 also takes place with a character reversal with respect to the computer

709837/0966 _₁₇_709837/0966 _ ₁₇ _

7308/70/Ch/Fr _ yt - 9. März 1977 7308/70 / Ch / Fr _ yt - March 9, 1977

202. Die Eingabe der Iststellung der Ruder 200 über den Heßwertumwandler 216 in den Rechner 209 erfolgt wiederum über eine Teilerschaltung 217 mit einem Teilungsverhältnis von zwei.202. The input of the actual position of the rudder 200 via the Heßwert converter 216 in the computer 209 takes place again through a divider circuit 217 with a division ratio of two.

Der Monitorrechner 209 führt die gleichen digitalen Rechenprogramme aus, wie sie ausgeführt werden in den Rechnern 201 und 202. Die Eingangs- und Rückkopplungssignalgrößen sind jedoch nur halb so groß wie bei den RechnernThe monitor computer 209 runs the same digital calculation programs as executed in calculators 201 and 202. The input and feedback signal magnitudes however, they are only half the size of the computers

201 und 202 und zudem gegenüber denjenigen des Rechners201 and 202 and also compared to those of the computer

202 im Vorzeichen umgekehrt. Auf diese Weise wird erreicht, daß alle drei Rechner bei gleichen Eingangsdaten unterschiedliche Rechenoperationen infolge der unterschiedlich zu verarbeitenden Daten ausführen. Die Möglichkeit einer gleichzeitigen Fehlfunktion in zwei oder drei der Rechner 201, 202 und 209 ist somit praktisch nicht gegeben.202 reversed in sign. In this way it is achieved that all three computers have the same input data perform different arithmetic operations as a result of the different data to be processed. The possibility a simultaneous malfunction in two or three of the computers 201, 202 and 209 is thus practical not given.

Der Monitorrechner 209 prüft, ob die Ausgangsbefehle der Steuerrechner 201 und 202 mit dem eigenen Ausgang übereinstimmen. Falls eine beträchtliche Abweichung festgestellt wird, wird der entsprechende Rechner 201 oder abgeschaltet bzw. bezüglich seiner Daten außer acht gelassen. The monitor computer 209 checks whether the output commands of the Control computers 201 and 202 match their own output. If a significant discrepancy is found is, the corresponding computer 201 or is switched off or disregarded with regard to its data.

- 18 709837/096S Ansprüche- 18 709837 / 096S claims

Claims

7308/70 / Ch / Fr ⁹ ^{March 1977}

Expectations

Control system for error monitoring with at least two control channels for digital data processing, whose nominally equivalent outputs are compared with one another to determine the presence of an error, characterized in that in the two channels for processing the same data various digital representations can be used.

2. Control system according to claim 1, characterized in that the same data values that to the digital representations in the two channels lead to each other in relation to the direction (sign) differentiate.

3. Control system according to claim 2, characterized in that at least two transducer sets or sets of sensors are provided, each set supplying input signals to one of the channels and that the signal line connections from one of the sets to the associated channel is reversed with respect to the Connection of the other set to the channel belonging to this set.

4. Control system according to one of claims 1 to 3, characterized characterized in that a plurality of control channel pairs are provided and that the digital representations are different between each pair.

709837/0966 originally inspected

- 19 -

7308/70 / Ch / Fr -> * - March 9, 1977

5. Control system according to one of claims 1 to 4, characterized characterized in that the digital representations correspond to data in at least one of the channels, which are in a constant ratio to the data that are digitally represented in the other channels where all data are derived from the same output data.

6. Control system according to one of claims 1 to 5, characterized in that a control command is a first computer and an inverse signal is fed to a second computer, in the computers the Signals are processed digitally and an analog target value is generated from a digital target value, the respective analog setpoint is compared with an analog actual value to generate a servo system applied actuating command, whereby the dem second computer supplied actual value compared to that for the. first computer and that of the second computer The control command supplied to the associated servo system is inverse to that of the first computer is.

7. Control system according to claim 6, characterized in that the digital setpoints with one another be compared.

8. Control system according to claim 7, characterized in that the digital setpoints for generation an average setpoint value can be used in a third computer and this average setpoint value is compared with an actual value for generation an actuating command applied to a servo system.

709 837/0966

- 20 -

7308/70 / Ch / Fri - 20 - March 9 , 1977

9. Control system according to claim 6, characterized in that the first and the second computer each consist of pairs of computers.

10. Control system according to claim 8 and 9, characterized in that the third computer consists of consists of a pair of computers.

11. Control system according to one of claims 6 to 10, characterized marked that the a calculator or computer pair supplied control commands and analog Setpoints in terms of their amplitude in a constant ratio to the amplitudes of the others Control commands and setpoints supplied to computers are available.

709837/0966