DE3209718C2

DE3209718C2 -

Info

Publication number: DE3209718C2
Application number: DE3209718A
Authority: DE
Inventors: Alfred Dipl.-Ing. Schmidt; Georg Dipl.-Ing. Goetz; Wolfram Dipl.-Ing. Poettig; Hans Dipl.-Ing. Oerley; Gunther Dipl.-Ing. 8000 Muenchen De Dreher
Original assignee: MAN Technologie AG
Current assignee: MT Aerospace AG
Priority date: 1982-03-17
Filing date: 1982-03-17
Publication date: 1988-06-01
Also published as: IT8347905A0; DE3209718A1; IT1170331B

Description

Die Erfindung betrifft eine funktionssichere zwei-von-drei-Steuer einheit, wie sie durch die GB-PS 12 72 834 bekannt ist.

Bei dieser bekannten Steuereinheit sind, um eine funktionssichere Steuerung oder Regelung zu erreichen, drei gleichartig aufgebau te Kanäle parallel geschaltet, die jeweils eine Sensorik und ein Stellglied aufweisen und denen jeweils ein gleichartiger Steuer- bzw. Regelalgorithmus zugrunde liegt.

Wenn alle drei Kanäle einwandfrei funktionieren, dann liefern die se Stellglieder die gleichen Ausgangswerte. Weicht nun der Ausgangs wert eines der Kanäle von jenen der beiden anderen Kanäle ab, dann wird durch die Überwachungseinheit eine Mehrheitsentscheidung ge troffen und auf einen der als einwandfrei funktionierend angesehe nen Kanäle umgeschaltet.

Außerdem ist ein Computer bzw. Digitalrechner vorhanden, der die Ausgänge der drei Kanäle turnusmäßig überprüft und Fehler anzeigt.

Das alle drei Kanäle identisch aufgebaut sind und die gleiche Wirkungs weise aufweisen, reagieren sie auf einen systematischen oder betrieb lichen Fehler gleichartig, d. h. alle drei Kanäle weisen in diesem Falle jeweils den gleichen fehlerhaften Ausgang auf, so daß die Mehrheitsentscheidung zur Auffindung eines solchen Fehlers ungeeig net ist.

Außerdem ist durch die dreifache Anordnung der infolge der Stell glieder sehr aufwendigen Kanäle ein außerordentlich hoher Bauauf wand getrieben.

Ausgehend von diesem Stand der Tecnik liegt der Erfindung die Auf gabe zugrunde, eine funktionssichere zwei-von-drei-Steuerung der gattungsgemäßen Art zu schaffen,die hinsichtlich systematischer Fehler (Schaltung, Programmierung usw.) eine erhöhte Sicherheit bietet und auch im Aufbau weniger Komponenten benötigt.

Diese Aufgabe wird durch die Merkmale des Anspruchs 1 gelöst.

Erfindungsgemäß wird der Digitalrechner, der zweckmäßig als Mikro computer ausgebildet ist, so ausgebildet bzw. programmiert, daß er eine Einheit zur Nachbildung des Steueralgorithmus sowie eine Simu lation für die Stellglieder der Kanäle aufweist, an die Sensorik des dritten Kanales angeschlossen ist und somit einen wesentlichen Bestandteil dieses Kanals bildet.

Es weisen daher bloß noch der erste und zweite Kanal das besonders aufwendige, einen analogen Ausgang aufweisende Stellglied auf, während die Wirkung des dritten Kanales durch den vorhandenen Di gitalrechner nicht auf analoge, sondern auf digitale Weise simu liert wird.

Durch diese Anordnung wird nicht nur der bisher erforderliche Bau aufwand für den dritten Kanal durch Wegfallen eines Stellgliedes erheblich verringert, sondern es wird außerdem ein die Wirkungsweise des ersten und zweiten Kanales simulierender, aber grundsätzlich anders wirkender Kanal geschaffen. Der erste und zweite Kanal, die, wie auch beim Stand der Technik, baugleich sind, weisen das gleiche Ansprechverhalten und dieselbe Störung sowie die gleiche Anfälligkeit gegenüber ein und demselben systematischen Fehler auf. Im Gegensatz hierzu verhält sich der weitgehend vom Digi talrechner gebildete, den ersten und zweiten Kanal simulierende dritte Kanal grundsätzlich gegenüber der genannten Störung bzw. dem ge nannten Fehler anders, so daß die erfindungsgemäße Steuereinheit trotz ihres gegenüber der bekannten Steuereinheit verringerten bau lichen Aufwandes im Stande ist, auch Schaltfehler, Programmierfeh ler oder dgl. aufzuzeigen und durch eine Mehrheitsentscheidung zu eliminieren.

Gemäß einer bevorzugten Ausgestaltung der Erfindung wird auch die Mehrheitsentscheidung mindestens teilweise im Digitalrechner durch geführt, wobei die Signalwege zu den einzelnen Kanälen hin nicht nur, wie bei der bekannten Steuereinheit, zu vorgegebenem Zeitpunkt stationär überprüft, sondern auch dynamisch getestet werden.

Ferner weist der verwendete Digitalrechner bevorzugt ein Selbsttest programm auf.

Die Betriebssicherheit wird gemäß einer weiteren Ausgestaltung der Erfindung noch dadurch verbessert, daß der simulierte Kanal zusammen mit einem der analogen Kanäle einerseits und der verbleibende analoge Kanal andererseits jeweils an eine eigene Stromversorgung ange schlossen sind, so daß auch bei Ausfall einer Stromversorgung der Be trieb der Steuereinheit weiterläuft und gleichzeitig ein Alarm abge geben wird.

In der Zeichnung ist ein Ausführungsbeispiel gemäß der Erfindung schematisch dargestellt.

Eine als Regelsystem ausgebildete Steuereinheit 10 be steht aus zwei Funktionskanälen 11 und 12, die eine Regelstrecke bzw. einen Prozeß 13 regeln, und aus einem dritten Kanal 14, der als Simulator ausgebildet ist. Die Funktionskanäle 11 und 12 enthalten als Sensorik jeweils einen Sensor 15 bzw. 16, die den Prozeßstand durch Signale S ₁ bzw. S ₃ messen und an jeweils einen Regler 17 bzw. 18 weitergeben, der den empfangenen Istwert mit einem Soll wert vergleicht und entsprechende Steuersignale jeweils an ein Stellglied 19 bzw. 20 weitergibt.

Der dritte Kanal 14 enthält ebenfalls einen Sensor 21, der über Signale S ₂ den gleichen Prozeßzustand mißt und als analoge oder digitale Eingabe für einen Mikrorechner (Digitalrechner) 22 abgibt, der eine Einheit 23 zur Nachbildung des Regel- Algorithmus und eine Simulation 24 für das Stellglied 19 bzw. 20 enthält. Die einzelnen Abschnitte der Wirkungs kette der Funktionskanäle 11 und 12, d. h. deren dynamischen und statischen Eigenschaften werden von dem Mikroprozessor 22 zur Bildung des dritten Kanales 14 nachgebildet. Von allen Komponenten der jeweiligen Funktionskanäle 11 und 12 gehen über Meldewege (Signalwege) 27 bzw. 28 Signale an eine Überwachungsein heit 29. Die Überwachungseinheit 29 empfängt außerdem diesen Signalen entsprechende Signale, die vom Mikrorechner 22 berechnet und über einen Meldeweg (Signalweg) 30 der Überwachungs einheit 29 geliefert werden.

Die Überwachungseinheit 29 vergleicht die Meldungen aus den drei Kanälen 11, 12, 14 und erkennt bei einem Unterschied von ent sprechenden Signalen einen Fehler in einem der drei Kanäle 11, 12, 14. Durch den Vergleich von drei Signalen erkennt die Über wachungseinheit 29 außerdem durch das von zwei gleichen Signalen abweichende Signal den Ort des Fehlers, d. h. in welchem der drei Kanäle 11, 12 bzw. 14 der Schaden aufgetreten ist. Dementsprechend wird eine akustische oder optische Alarmeinheit 32 bzw. 33 angesteuert. Über eine Anzeige 31 wird außerdem die Art und der Ort des aufgetretenen Fehlers angezeigt. Die Überwachungseinheit 29 kann so programmiert werden, daß sie die Fehler selektiert und nur bei Auftreten bestimmter Fehler oder Fehlerkombinationen ein Schaltsignal 35 bzw. 36 an das Stellglied 19 bzw. 20 des defekten Kanales 11 bzw. 12 abgibt, wobei es das fehlerhafte Stellwert signal unterdrückt und ein fehlerfreies Stellwertsignal an die Regelstrecke 13 anschließt. Dabei läuft der Regel prozeß zumindest für eine gewisse Zeit ungestört weiter, während der defekte Kanal 11 bzw. 12 repariert werden kann.

Die Steuereinheit 10 wird über drei Stromversorgungen 37, 38 und 39 von zwei Spannungsquellen U ₁ und U ₂ versorgt, wobei die Stromversorgung 37 des einen Funktionskanales 11 von der Spannungsquelle U ₁ gespeist wird, während die Stromversorgung 38 des dritten Kanales und die Stromversorgung 39 des zweiten Funktionskanales 12 an die zweite Spannungsquelle U ₂ angeschlossen werden. Durch eine spezielle Ausführung einer Ankopplung 40 der Überwachungseinheit 29 an die Alarmein richtung 32 wird sichergestellt, daß der Ausfall der Spannungsquelle U ₂ durch die Alarmeinrichtung 32 zwangsläufig ge meldet wird.

Anstelle einer dreifachen Sensorik 15, 16, 21 kann eine zweifache durch Plausibilität überprüfbare Sensorik V ₁ bzw. V ₂ verwendet werden.

Gemäß dem oben beschriebenen Ausführungsbeispiel stellen die beiden Funktionskanäle 11 und 12 jeweils ein Regel system dar. Die funktionssichere Steuereinheit 10 kann aber auch ebenso für Steuersysteme verwendet werden. In diesem Fall sind die Signale S ₁ bis S ₃ nicht als Ist werte des Prozesses 13, sondern als unabhängige Steuer größen anzusehen. Ferner treten anstelle der Regler 17 und 18 entsprechende Steuerelemente ein. Im übrigen bleibt die Steuereinheit 10 bis auf die entsprechende Soft ware-Anpassung unverändert.

Die Überwachungseinheit 29 kann zumindest teilweise im Mikrorechner 22 eingeschlossen sein, wie es mit den ge strichelten Linien angedeutet ist.

Claims

1. Funktionssichere zwei-von-drei-Steuereinheit (10) mit einer deren drei - jeweils eine Sensorik (15, 16, 21) aufweisenden - Kanäle (11, 12, 14) vergleichenden und umschaltenden Überwachungseinheit (29) und einem fehlerselektierenden Digitalrechner (22), der mit den Kanälen (11, 12, 14) durch Signalwege (27, 28, 30) verbun den ist, dadurch gekennzeichnet,

- daß der Digitalrechner (22) einen wesentlichen Bestandteil des drittenKanals (14) bildet,
- daß der Digitalrechner (22) eine Einheit (23) zur Nachbil dung des Steueralgorithmus und eine Simulation (24) für die in den beiden anderen Kanälen (11, 12) enthaltenen Stellglie der (19 bzw. 20) aufweist, und
- daß dem Digitalrechner (22) über dessen Sensorik (21) der glei che Prozeßzustand wie den beiden anderen Kanälen (11, 12) zu geführt ist.

2. Steuereinheit nach Anspruch 1, dadurch gekennzeichnet, daß die Überwachungseinheit (29) mindestens teilweise im Digitalrechner (22) enthalten ist.

3. Steuereinheit nach einem der Ansprüche 1 oder 2, dadurch gekenn zeichnet, daß die Überwachungseinheit (29) die Signalwege (27, 28, 30) dynamisch zu vorgegebenen Zeitpunkten testet.

4. Steuereinheit nach einem der Ansprüche 2 oder 3, dadurch gekenn zeichnet, daß die Funktionsfähigkeit des Digitalrechners (22) durch ein Selbsttestprogramm überprüfbar ist und ein Ausfall fehlersicher angezeigt wird.

5. Steuereinheit nach einem der Ansprüche 1 bis 4, dadurch gekenn zeichnet, daß die Stromversorgung (38) des dritten Kanals (14) und die Stromversorgung (37, 39) eines der beiden anderen Ka näle (11, 12) aus einer Spannungsquelle (U ₂) gespeist werden, wäh rend die Stromversorgung (37) des verbleibenden Kanals (11) aus einer anderen Spannungsquelle (U ₁) gespeist wird, und daß die Überwachungseinheit (29) die Spannungsquellen (U ₁, U ₂) überwacht.