DE3432165C2 - - Google Patents

Description

Die Erfindung betrifft eine Einrichtung zur automati­ schen, im Falle eines Defektes in einem Gerät erforderlichen Rekonfi­ guration einer intakten Gerätekombination aus den Geräten zweier Gerätegruppen, gemäß dem Oberbegriff des Patentanspruchs 1.

Redundant ausgelegte Systeme von Gerätegruppen werden beispielsweise in der Raumfahrt verwendet, wo es darauf ankommt, die Systeme möglichst ausfallsicher zu gestalten. Bei einfacher Redundanz ist somit jedes Gerät zweifach vorhanden. Bei diesen Geräten kann es sich beispielsweise um Meßgeräte für die Drehzahl von Drall­ rädern, Erdsensoren bzw. deren Auswerteschaltungen oder auch Kontrollgeräte für den Einsatz von Lageregelungs­ düsen handeln. Fällt eines der Geräte aus, so muß dafür gesorgt werden, daß so schnell wie möglich das redun­ dante Gerät in Betrieb genommen wird. Problematisch ist dies, sobald etwa ein Satellit auf seiner Umlaufbahn nur während gewisser begrenzter Zeitabschnitte mit einer Bodenstation in Funkkontakt treten kann. Dann soll auf jeden Fall sichergestellt sein, daß der Satellit in den dazwischen liegenden Zeitabschnitten, wo ein Funkkontakt unmöglich ist, in seiner Funktion wenigstens so weit stabilisiert wird, daß die Mission nicht gefährdet wird. In diesem Zusammenhang ist insbesondere eine ausreichende Lageregelung von Bedeutung. Der Satellit soll nach Möglichkeit die gewünschte Lage nicht vollständig ver­ lieren. Er soll nicht in unkontrollierbare Torkel­ bewegungen geraten, und es darf auch nicht vorkommen, daß er selbst aufgrund von Störmomenten in zu schnelle Drehung versetzt wird, verbunden mit einer Gefährdung der ausgefahrenen Solarpanels aufgrund zu hoher Flieh­ kräfte, oder daß die Drehzahlen von Schwungrädern die Grenze des zulässigen Bereichs zu weit nach oben hin überschreiten. Derartige Folgeerscheinungen auftreten­ der Defekte könnten die gesamte Mission eines Satelliten gefährden.

Es muß daher dafür Sorge getragen werden, daß bei Ausfall eines Gerätes einer gerade aktiven Gerätekombination sofort auf eine andere, noch intakte Gerätekombination umge­ schaltet werden kann. Normalerweise werden zumindest die jeweils eingeschalteten Geräte laufend auf ihre Funktions­ tüchtigkeit überprüft, und zwar durch Überwachung charakteristischer Funktionsparameter. Diese Überprüfung braucht sich jedoch aus Gründen eines zu hohen Aufwan­ des nicht auf sämtliche Geräte zu erstrecken, sondern es reicht aus, gewisse besonders kritische Funktions­ parameter zu überwachen. Hieraus ergibt sich allerdings die Schwierigkeit, daß das Auswandern eines Funktions­ parameters aus einem vorgegebenen zulässigen Bereich nicht immer bedeuten muß, daß das diesen Funktions­ parameter liefernde Gerät selbst defekt ist. Vielmehr kann der Defekt in einem anderen, nicht überwachten Gerät liegen, was erst durch eine gründlichere und zeit­ aufwendige Fehlersuche festgestellt werden kann, die nur unter Einschaltung der Bodenstation möglich ist. Es genügt also nicht, daß einfach das den Fehler meldende Gerät abge­ schaltet und durch seinen redundanten Partner ersetzt wird, da ja dieses Gerät selbst gar nicht defekt zu sein braucht. Gewünscht ist, daß bei Meldung eines Defektes eine auf jeden Fall intakte Gerätekombination eingeschaltet wird, so daß bis zum nächsten Funkkontakt mit der Bodenstation der Satellit eine stabilisierte Lage beibehält, so daß dann die eigentliche Fehlerquelle gesucht und das fehlerhafte Gerät markiert werden kann.

Aus der DE-OS 23 21 260 ist eine Mehrprogramm-Daten­ verarbeitungsanlage mit dynamischer Neuzuweisung von Einheiten-Funktionen bekannt. Hierbei handelt es sich um eine komplexe Datenverarbeitungsanlage, welche mehrere gleichartige sog. Verarbeitungsgruppen enthält, die wiederum jeweils gleichartige Geräte, beispiels­ weise Prozessoren, Eingabe-Ausgabe-Einheiten, Speicher­ module usw. aufweisen können. Jeder Verarbeitungsgruppe ist eine Neuzuweisungseinheit zugeordnet, welche je­ weils einen Notstandsdetektor enthält. Dieser tastet Störungen oder Notstandsbedingungen in einer der Ein­ heiten der jeweiligen Verarbeitungsgruppe ab. Weiterhin ist jeder Verarbeitungsgruppe ein Neuzuweisungsspeicher zugeordnet, welcher beispielsweise 15 Umorganisations- Steuerwörter enthält. Diese geben in unterschiedlicher Weise an, wie die Einheiten einer Verarbeitungsgruppe umzuorganisieren sind. Jeder Neuzuweisungsspeicher ist pauschal mit der Neuzuweisungseinheit der ent­ sprechenden Verarbeitungsgruppe verbunden. Die Neuzu­ weisungsspeicher dienen dazu, den Einheiten einer Ver­ arbeitungsgruppe neue Funktionen zuzuweisen, falls die als Fehlerdetektor fungierende Neuzuweisungseinheit der­ selben Verarbeitungsgruppe Störungen in einer Einheit detektiert. Die Neuzuweisung von Funktionen spielt sich dabei innerhalb der Einheiten ein und derselben Ver­ arbeitungsgruppe ab.

Diese bekannte Einrichtung ist aufgrund ihrer kompli­ zierten Struktur sowie der erforderlichen Verwendung komplexer Bauelemente zur Lösung der obenerwähnten Problematik nicht geeignet.

Der Erfindung liegt demnach die Aufgabe zugrunde, eine Einrichtung der eingangs genannten Art bereitzustellen, die möglichst einfach strukturiert ist und mit mög­ lichst einfachen Bauelementen auskommt, mit der jedoch gleichwohl sichergestellt ist, daß bei Ausfall eines Gerätes einer gerade aktiven Gerätekombination sofort auf eine andere, noch intakte Gerätekombination umge­ schaltet wird.

Diese Aufgabe wird gemäß der Erfindung durch die im kennzeichnenden Teil des Patentanspruchs 1 genannten Merkmale gelöst.

Gemäß der Erfindung soll demnach jede der beiden Speicherschaltungen eine der Anzahl der Gerätepaare entsprechende Anzahl nicht flüchtiger Speicher enthalten, welche jeweils lediglich zwei Speicherzustände einnehmen können. Den Speichern nachgeordnete Logikschaltungen sorgen dafür, daß bei Aktivierung der zugehörigen Speicherschaltung je nach dem Speicherzustand des der einzelnen Logikschaltung vorgeschalteten Speichers das eine oder das andere Gerät des zugeordneten Gerätepaares eingeschaltet wird. Die Speicher sind zuvor so gesetzt worden, daß auf jeden Fall ein intaktes Gerät zugeschaltet wird. Meldet der Fehlerdetektor einen Defekt in der von der jeweils gerade aktiven Speicherschaltung eingeschalteten Geräte­ kombination, so wird diese Speicherschaltung desakti­ viert und die bisher inaktive andere Speicherschaltung aktiviert, welche nun je nach deren Speicherzuständen eine andere, intakte Gerätekombination einschaltet.

Der Wert der Erfindung liegt vor allem darin, daß mit außerordentlich einfachen Mitteln, insbesondere ohne großen Rechneraufwand, eine enorme Zuverlässigkeits­ steigerung bei Satellitenmissionen erzielt wird, die den Einsatz von weniger Bodenstationen ermöglicht und die Ausfallzeiten verringert. Die Erfindung ist jedoch nicht nur in der Raumfahrt anwendbar, sondern vielmehr überall dort, wo einfach redundante Gerätesysteme vor­ liegen, die zwar hinsichtlich besonders kritischer Funktionsparameter dauernd überwacht werden, jedoch nur in gewissen Zeitabständen einer gründlichen Fehlersuche unterzogen werden können.

Weitere Ausbildungen der Erfindung sind den Unteran­ sprüchen zu entnehmen.

Im folgenden wird ein Ausführungsbeispiel der Erfindung anhand der Abbildungen näher erläutert. Es zeigt in schematischer Weise

Fig. 1 ein Blockschaltbild einer Einrichtung gemäß der Erfindung mit drei Gerätepaaren,

Fig. 2 die beiden Speicherschaltungen der Ein­ richtung gemäß der Fig. 1,

Fig. 3 die den Leseleitungen zugeordneten Ausgangs­ teile der Speicherschaltungen,

Fig. 4 ein einem Gerätepaar zugeordnetes Paar von Logikschaltungen.

In Fig. 1 sind zwei Gerätegruppen 1, 2 dargestellt, die jeweils aus drei Geräten G 11, G 12, G 13 bzw. G 21, G 22, G 23 bestehen, wobei jeweils Gerätepaare G 11, G 21 gleichartiger Geräte vorhanden sind. Den beiden Geräte­ gruppen 1 und 2 sind zwei Speicherschaltungen 10 bzw. 20 zugeordnet. Diese bestehen im wesentlichen aus jeweils drei nicht flüchtigen, binären Speichern S 11, S 12, S 13 bzw. S 21, S 22, S 23. Den einzelnen Speichern nachge­ schaltet sind über Leseleitungen 3, 4, 5 bzw. 6, 7, 8 Logikschaltungen 14, 15, 16 bzw. 17, 18, 19. Sowohl die Speicherschaltungen 10, 20 als auch die diesen zugeord­ neten Logikschaltungen werden von einem Fehlerdetektor 9 her aktiviert, der über sechs, jeweils den einzelnen Geräten G 11, G 23 zugeordnete Ausgänge 51 bis 56 verfügt. Der Fehlerdetektor überwacht kritische Para­ meter der jeweils eingeschalteten Geräte und gibt bei Auftreten eines Defektes ein Signal an den jeweils zuge­ ordneten Ausgang. Dieses Signal gelangt zu einem ODER- Glied 49, worauf das an dessen Ausgang erscheinende Ausgangssignal bewirkt, daß von der gerade aktiven Speicherschaltung auf die gerade inaktive umgeschaltet wird. Dies ist durch einen Schalter 50 symbolisiert. Zusammen mit der neu aktivierten Speicherschaltung werden auch die dieser zugeordneten Logikschaltungen aktiviert.

Den einzelnen Speichern S 11 bis S 23 sind jeweils Setz­ leitungen 24 bis 34 zugeordnet, die jeweils nur zu diesen Speichern führen. Weiterhin sind Setzleitungen 25 bis 35 vorhanden, die zu den beiden einem Gerätepaar zugeordneten, aber unterschiedlichen Speicherschaltun­ gen angehörigen Speichern, beispielsweise S 11 und S 21, führen. Die zuerst genannten Setzleitungen 24 bis 34 sind noch mit den Ausgängen 51 bis 56 des Fehlerdetek­ tors 9 verbunden. Weiterhin sind Rücksetzleitungen 36 und 37 vorgesehen, die jeweils den Speichern S 11 bis S 13 bzw. S 21 bis S 23 einer Speicherschaltung gemeinsam zugeordnet sind, aber nur die Speicher dieser jeweils einen zugeordneten Speicherschaltung zurücksetzen können. Über zusätzliche Rücksetzleitungen 38, 39 wird der gemeinsame Zugriff zu sämtlichen Speichern beider Speicherschaltungen 10 und 20 möglich.

Im Falle eines Satellitten sind sämtliche Setz- und Rücksetzleitungen mit den vorhandenen Telekommandoein­ richtungen verbunden, so daß die Speicher durch Kommando von der Bodenstation aus sowohl gesetzt als auch zurück­ gesetzt werden können. Wie später noch deutlich wird, und zwar anhand von Fig. 3, ist es auch möglich, den Speicherzustand von der Bodenstation aus zu lesen.

In Fig. 2 sind die Eingangsseiten der beiden Speicher­ schaltungen 10 und 20 dargestellt. Die Setzleitungen 24 bis 34 sowie 25 bis 35 entsprechen ebenso wie die Rück­ setzleitungen 36, 37 bzw. 38, 39 den in Fig. 1 bereits dargestellten und erläuterten. Die Setz- bzw. Rücksetz­ kommandos werden durch Treiber bzw. Verstärker, von denen einer in Fig. 2 mit 57 bezeichnet ist, in Stromimpulse ausreichender Höhe umgesetzt, um die als Relais ausgebildeten Speicher S 11 bis S 13 bzw. S 21 bis S 23 umschalten zu können. Diese Relais verfügen je über zwei Spulen, und je nachdem welche von diesen einen Stromimpuls erhält, wird ausgangsseitig ein Schalt­ kontakt geöffnet oder geschlossen (siehe auch Fig. 3). Diese beiden Schaltstellungen entsprechen den beiden möglichen Speicherzuständen. Die beiden Spulen eines jeden Relais empfangen von den Treiben her positive Stromimpulse und sind an ihren anderen Enden mit Null- Potential verbunden. Dioden, beispielsweise 58, 59, 60, sorgen dafür, daß die ankommenden Setz- bzw. Rücksetz­ kommandos über die richtigen Leitungen weitergeführt werden. So kann ein über die Rücksetzleitung 36 an­ kommendes Rücksetzkommando zwar die Diode 60 passieren und somit an alle drei Speicher S 11 bis S 13 gelangen und diese zurücksetzen, er wird jedoch durch die Diode 59 daran gehindert, in die Speicherschaltung 20 über­ zugreifen. Ebenso kann ein über die Setzleitung 24 ankommendes Setzkommando wegen der Dioden 62 und 63 lediglich die Diode 61 passieren und den Speicher S 11 setzen. Ein über die Setzleitung 25 eintreffendes Setzkommando hingegen ist wegen der Polung der Dioden 64, 62 sowie 65 in der Lage, nicht nur den Speicher S 11 der Speicherschaltung 10, sondern auch den Speicher S 21 der anderen Speicherschaltung 20 zu setzen.

In Fig. 3 sind die Ausgangsteile der Speicherschaltungen 10 und 20 dargestellt. Ausgangsseitig verfügen die die entsprechenden Speicher S 11 bis S 32 bildenden Relais jeweils über zwei Schaltkontakte, die jedoch gemeinsam in der gleichen Weise umgeschaltet werden und jeweils denselben Schaltzustand einnehmen. Prinzipiell ist es jedoch auch möglich, mit jeweils nur einem ausgangs­ seitigen Schaltkontakt auszukommen. Bei aktivierter Speicherschaltung ist auch die jeweilige Spannungs­ versorgung aktiviert, so daß beispielsweise im Falle der Speicherschaltung 10 die Leseleitung 3 bei geöff­ netem Schaltkontakt an positivem und bei geschlossenem Schaltkontakt an Nullpotential liegt. Diese beiden Potentialwerte entsprechen der logischen 1 und 0, die von der mit der Leseleitung 3 verbundenen Logik­ schaltung 14 verarbeitet werden (siehe auch Fig. 4). Entsprechendes gilt für die übrigen in Fig. 3 darge­ stellten Speicher bzw. Relais und deren ausgangsseitige Schaltkontakte sowie Leseleitungen. Von diesen Lese­ leitungen 3 bis 8 zweigen noch weitere Leitungen ab, beispielsweise die mit 66 bezeichnete, und führen zu der Telemetrie-Sendeeinrichtung, mit deren Hilfe die Speicherzustände von der Bodenstation aus gelesen werden können. Es kann erforderlich sein, die Speicherzustände der einen Speicherschaltung 10 auch von der anderen Speicherschaltung 20 her lesbar zu machen. Dafür sind die mit weiteren Leseleitungen 43, 44, 45 verbundenen Schaltkontakte der Speicher S 11 bis S 13 vorgesehen - so wie im umgekehrten Falle die weiteren Leseleitungen 40, 41, 42 - wobei diese Leseleitungen ebenfalls mit der Telemetrie-Sendeeinrichtung verbunden sind. Ist die Spannungsversorgung beispielsweise der Speicherschaltung 10 aktiviert, so ist es demnach möglich, von der Boden­ station aus nicht nur deren Speicherzustände, sondern auch die Speicherzustände der anderen Speicherschaltung 20 zu lesen, obwohl deren Spannungsversorgung nicht aktiviert ist. Dies ist dadurch möglich, daß auch die den Leseleitungen 40 bis 42 zugeordneten Schaltkontakte der Speicher S 21 bis S 35 an die Spannungsversorgung der Speicherschaltung 10 angeschlossen sind, und zwar durch Leitungen 67, 68 und 69. So liegt am Verbindungspunkt 70 der Leseleitung 40 mit der Leitung 67 ein der Spannungs­ versorgung entsprechendes positives Potential, wenn der zugeordnete Schaltkontakt geöffnet ist, und ein wesent­ lich niedrigeres positives Potential, sobald der Schalt­ kontakt geschlossen ist.

Die Aktivierung einer der Speicherschaltungen 10 oder 20 bedeutet, daß dieses sowohl eingangsseitig, siehe die Treiber, beispielsweise 57, in Fig. 2, als auch ausgangs­ seitig, siehe Fig. 3, an die Spannungsversorgung ange­ schlossen wird, wobei die jeweils andere Speicher­ schaltung von dieser Spannungsversorgung getrennt wird. Diese Spannungsversorgung ist in Fig. 1 mit 80 gekenn­ zeichnet.

In Fig. 4 ist dargestellt, wie die als repräsentativ herausgegriffenen Logikschaltungen 14 und 17, die zum Gerätepaar G 11 und G 21 gehören, schaltungstechnisch realisiert werden können. Die Logikschaltungen sind wie dargestellt aus UND-Gliedern 71 bis 74 sowie NICHT- Gliedern 75, 76 aufgebaut. Über Spannungsversorgungs­ leitungen 77, 78 kann wahlweise entweder die Logik­ schaltung 14 oder die Logikschaltung 17 aktiviert werden. Dann liegt an den entsprechenden Eingängen der UND-Glieder die logische 1 an. Ist nun beispielsweise die Logikschaltung 14 in dieser Weise aktiviert und ist der mit der Leseleitung 3 verbundene ausgangsseitige Schaltkontakt des Speichers S 11 geöffnet, so liegt am anderen Eingang des UND-Gliedes 73 ebenfalls die logi­ sche 1 an, so daß das Gerät G 11 eingeschaltet wird. Am anderen Eingang des UND-Gliedes 74 liegt dann wegen des vorgeschalteten NICHT-Gliedes die logische 0, so daß am Ausgang dieses UND-Gliedes kein Ausgangssignal ent­ steht und das zugehörige Gerät G 21 ausgeschaltet bleibt. Dem durch den geöffneten Schaltkontakt repräsentierten Speicherzustand des Speichers S 11 entspricht somit die Forderung, daß das Gerät G 11 eingeschaltet werden soll.

Umgekehrt bedeutet der durch den geschlossenen Schalt­ kontakt gegebene Speicherzustand des Speichers S 11, daß das Gerät G 21 eingeschaltet werden soll, wie leicht aus Fig. 4 folgt. Ist nun anstelle der Logikschaltung 14 die Logikschaltung 17 aktiviert, so daß über deren Spannungs­ versorgungsleitung 78 an den einen Eingängen der UND- Glieder 71 und 72 die logische 1 ansteht, so ergibt sich analog bei geöffnetem ausgangsseitigen Schaltkontakt des Speichers S 21, daß über die Leseleitung 6 eine logische 1 an den anderen Eingang des UND-Gliedes 71 und eine logische 0 an den anderen Eingang des UND- Gliedes 72 gelangt. Damit wird auch hier im Falle des geöffneten Schaltkontaktes das Gerät G 11 eingeschaltet und im Falle des geschlossenen Schaltkontaktes, wie eine analoge Betrachtung ergibt, das Gerät G 21. Die Zuordnung von Schaltkontaktstellung bzw. Speicherzustand und ein­ zuschaltendem Gerät des jeweiligen Gerätepaares ist also in beiden Fällen dieselbe.

Mit der oben geschilderten Einrichtung sind nun folgende Funktionsmöglichkeiten realisierbar:

Zunächst kann von der Bodenstation aus eine automatische Einschaltsequenz für eine gewünschte Gerätekombination vorgegeben werden. Wird z. B. gewünscht, daß zu Beginn die Geräte G 11, G 12 und G 13 einzuschalten sind, so müssen die Speicher S 11 bis S 13 in einen entsprechenden Speicherzustand gebracht werden, d. h. in diesem Falle (siehe Fig. 4) müsen die ausgangsseitigen Schaltkontakte der entsprechenden Relais geöffnet sein. Diese geöffnete Schaltkontaktstellung kann mit einem Rücksetzkommando über die Rücksetzleitung 36 erzielt werden. Vorher werden jedoch auf die Setzleitungen 25, 27 sowie 29 Setz­ kommandos gegeben, durch welche sowohl die Speicher S 11 bis S 13 der Speicherschaltung 10 als auch die Speicher S 21 bis S 23 der Speicherschaltung 20 bzw. die entsprechenden Relais ausgangsseitig in den geschlosse­ nen Zustand gebracht werden. Der Grund hierfür wird später deutlich. Nach dem anschließenden Rücksetz­ kommando über Rücksetzleitung 36 werden die den Speichern S 11 bis S 13 zugeordneten Relais ausgangs­ seitig wieder geöffnet, so daß durch die Speicher­ schaltung 10 die Geräte G 11 bis G 13 eingeschaltet werden. Tritt nun in dieser Gerätekombination ein Defekt auf, so wird der Fehlerdetektor 9 über das ODER-Glied 49 die Speicherschaltung 20 aktivieren. In dieser sind die den Speichern S 21 bis S 23 zugeordneten Relais ausgangs­ seitig aufgrund der obenerwähnten Setzkommandos im geschlossenen Zustand. Dies entspricht - siehe Fig. 4 - der Forderung, daß nunmehr die Geräte G 21, G 22 sowie G 23 einzuschalten sind.

Gleichzeitig mit dem Umschaltkommando, das durch ein Ausgangssignal an einem der drei Ausgänge 51 bis 53 des Fehlerdetektors 9 abgegeben wird, gelangt vom selben Ausgang her ein Setzkommando an die entsprechende der drei Setzleitungen 24, 26 bzw. 28. Hierdurch wird nun­ mehr der zugeordnete Speicher bzw. das diesen bildende Relais ausgangsseitig in den anderen, d. h. geschlosse­ nen Zustand gebracht. Hiermit ist markiert, daß der Fehlerdetektor 9, die Fehlermeldung von dem diesem Speicher zugeordneten Gerät bekommen hat. Bei dem nächsten Kontakt mit der Bodenstation kann die ent­ sprechende Information gelesen werden. Dies kann hilf­ reich bei der anschließenden Fehlersuche sein.

Hat die Bodenstation das fehlerhafte Gerät ermittelt, und zwar mit Methoden üblicher Art, auf die hier nicht näher eingegangen werden soll, so muß die entsprechende Information in den Speicherschaltungen niedergelegt werden. Ist beispielsweise das Gerät G 12 als fehlerhaft erkannt, so darf dieses in keinem Falle wieder einge­ schaltet werden, sondern von diesem Gerätepaar darf le­ diglich noch das Gerät G 22 zum Einschalten freigegeben werden. Die Speicher S 12 und S 22 müssen also gesetzt, d. h. die ausgangsseitigen Schaltkontakte geschlossen werden.

Da nunmehr die Speicherschaltung 20 aktiviert ist, kön­ nen die entsprechenden Telekommandosignale nur von dieser empfangen werden. Der Zustand der eingeschalteten Gerä­ tekombination wird davon nicht berührt. Zunächst wird über Rücksetzleitung 39 ein Rücksetzkommando zugeführt, welches sämtliche Speicher S 11 bis S 23 zurücksetzt, d. h. die Relais ausgangsseitig öffnet. Anschließend wird ein Setzkommando auf Setzleitung 33 gegeben, so daß die Speicher S 12 und S 22 gesetzt, d. h. die Relais ausgangsseitig geschlossen werden. Danach wird durch ein Rücksetzkommando auf Rücksetzleitung 37 der Spei­ cher S 22 wieder zurückgesetzt, während der Speicher S 12 als einziger gesetzt bleibt. Die Speicherschaltung 20 ist nunmehr für eine Fehlermeldung vorbereitet, welche vom Fehlerdetektor 9 her über eine der drei Setzlei­ tungen 30, 32 oder 34 erfolgt. Dann wird erneut die Speicherschaltung 10 aktiviert, durch welche nun auf­ grund des zuvor gesetzten Speichers S 12 sowie der noch zurückgesetzten Speicher S 11 und S 13 die intakten Ge­ räte G 11, G 22 und G 13 eingeschaltet werden.

Ist der Fehler in der zuvor eingeschalteten Gerätekom­ bination G 21, G 22 und G 32 gefunden, so muß dieser ein­ gespeichert werden. Im Falle eines fehlerhaften Gerätes G 21 müssen die Speicher S 11 und S 21 zurückgesetzt wer­ den, damit nur Gerät G 11 eingeschaltet werden kann. Da­ zu erfolgt ein Rücksetzkommando über Rücksetzleitung 38, welches alle Speicher S 11 bis S 23 zurücksetzt, ge­ folgt von Setzkommandos auf den Setzleitungen 27 und 29 sowie einem Rücksetzkommando auf der Rücksetzleitung 36. Damit sind alle Speicher der Speicherschaltung 10 zurückgesetzt und diese ist für eine neue Fehlermeldung vorbereitet. Andererseits werden bei Aktivierung der Speicherschaltung 20 von dieser die intakten Geräte G 22 und G 23 sowie G 11 in Betrieb genommen. Nunmehr ist le­ diglich noch ein Gerätepaar intakt, nämlich G 13 und G 23.

Der Fehlerdetektor kann ebenfalls redundant ausgelegt sein. Wird von ihm ein Fehler gemeldet, so wird auch hier der jeweils inaktive redundante aktiviert.

Unter dem Begriff Redundanz wird oben immer Kaltredun­ danz verstanden. In der nach Auftreten eines Defektes anzustrebenden stabilisierten Lage ist bei einem Satel­ liten auch erforderlich, daß die Solarpanels weiterhin auf die Sonne und Richtantennen weiterhin auf die Erde ausgerichtet bleiben.

Claims (4)

1. Einrichtung zur automatischen, im Falle eines Defektes in einem Gerät erforderlichen Rekonfiguration einer intakten Gerätekombination aus den Geräten zweier Gerätegruppen, wobei jedem Gerät einer Gerätegruppe ein gleiches Gerät der anderen Gerätegruppe zugeordnet ist und diese einander zugeordneten Geräte jeweils ein Gerätepaar bilden, und wobei jeder der beiden Geräte­ gruppen eine Speicherschaltung für die Rekonfiguration betreffende Informationen zugeordnet sowie mindestens ein die jeweils eingeschaltete Gerätekombination über­ wachenden Fehlerdetektor vorhanden ist, dadurch gekennzeichnet,
daß jede der beiden Speicherschaltungen (10, 20) für jedes der Gerätepaare (G 11, G 21) einen nicht flüchti­ gen Speicher (S 11, S 21) enthält, der zwei unter­ schiedliche Speicherzustände einnehmen kann,
daß jedem der Speicher (S 11, S 21) eine Leseleitung (3, 6) sowie ein Paar von Setzleitungen 24, 25; 30, 31) zugeordnet sind, wobei eine der Setzleitungen (24, 30) jeweils nur mit einem der Speicher (S 11, S 21) und die andere der Setzleitungen (25, 31) zusätzlich mit dem demselben Gerätepaar (G 11, G 21) zugeordneten der Speicher (S 21, S 11) der anderen Speicherschaltung (20, 10) verbunden ist,
daß jede Leseleitung (3, 6) mit einer eigenen Logik­ schaltung (14, 17) verbunden ist, welche je nach Speicherzustand Einschaltkommandos für das eine oder das andere Gerät (G 11, G 21) des dem jeweiligen Speicher zugeordneten Gerätepaares liefert,
daß jeder Speicherschaltung (10, 20) mindestens eine Rücksetzleitung (36, 37) nur für die eigenen Speicher und mindestens eine weitere Rücksetzleitung (38, 39) für die eigenen Speicher und die der anderen Speicher­ schaltung zugeordnet sind,
und daß durch den Fehlerdetektor (9) bei Auftreten eines Defektes in einem Gerät die jeweils inaktive Speicherschaltung sowie die dieser zugeordneten Logik­ schaltungen durch Anlegen einer Spannungsversorgung (80) aktivierbar sind.

2. Einrichtung nach Anspruch 1, dadurch ge­ kennzeichnet, daß die Speicher Relais sind.

3. Einrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß jedem Speicher einer Speicherschaltung (10, 20) eine weitere, mit der anderen Speicherschaltung verbundene Leseleitung (40, 43, . . .) zugeordnet ist.

4. Einrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Fehlerdetektor (9) zu den Setzleitungen (24, 30) der Speicher (S 11, S 21) führende Ausgangs­ leitungen aufweist.