DE3855192T2

DE3855192T2 - Steuersystem mit Diagnosefunktion

Info

Publication number: DE3855192T2
Application number: DE3855192T
Authority: DE
Inventors: Setsuo Arita; Tetsuo Ito; Atomi Noguchi; Satoshi Suzuki
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1987-09-11
Filing date: 1988-09-08
Publication date: 1996-12-19
Anticipated expiration: 2008-09-09
Also published as: DE3855192D1; EP0307191B1; US5095418A; EP0307191A2; US4989129A; JPH0731537B2; EP0307191A3; JPS6470802A

Description

Die Erfindung betrifft allgemein ein Steuersystem, und spezieller betrifft sie ein mit Diagnosefunktion versehenes Steuersystem.
Im allgemeinen ist ein Steuersystem, dem große Bedeutung auferlegt ist, dadurch mit Redundanz versehen, daß die Steuerung gemultiplext wird, mit der Wirkung einer Verbesserung der zuverlässigkeit des Steuersystems als Ganzes. Als typisches Beispiel derartiger Steuersysteme kann ein Schutzsystem für einen Kemreaktor in einem Kernkraftwerk genannt werden, bei dem Steuerkanäle vierfach vorhanden sind, um extrem hohe Zuverlässigkeit zu gewährleisten. In diesem Zusammenhang kann z. B. auf die Dokumente US-A-4, 517,154 und EP- A-180 085 Bezug genommen werden, die beide einen derartigen Typ von Kernreaktor-Schutzsystem, wie oben genannt, betreffen. Genauer gesagt, sind bei dem in diesen Literaturstellen offenbarten Kernreaktor-Schutzsystem Steuersysteme oder -kanäle vierfach vorhanden, wobei von diesen vier Steuerkanälen ausgegebene Steuersignale in eine Mehrheitsentscheidungsschaltung eingegeben werden, die in Form einer 2-aus-4- Logikabstimmschaltung aufgebaut ist, so daß eine der Steuerung unterliegende vorrichtung wie z. B. ein Ventil auf Grundlage des Steuersignals betätigt wird, das durch die Mehrheitsentscheidungsschaltung ausgewählt wird. Im Fall des im oben genannten Dokument US-A-4,517,154 offenbarten Kernreaktor-Schutzsystem ist eine Diagnoseeinheit zum Diagnostizieren der Funktion aller vierfach vorliegenden Steuerkanäle vorhanden. Eine einzelne Diagnoseeinheit erzeugt sequentiell Testsignale für die vierfach vorhandenen Steuerkanäle, um eine Entscheidung hinsichtlich des Vorliegens oder Fehlens oder einer Anomalität betreffend eine Fehlfunktion in jedem der Steuerkanäle vorzunehmen.
Bei einem Kernreaktor-Schutzsystem mit dem oben angegebenen Aufbau kann das Auftreten einer Anomalität (Fehlfunktion) in der Diagnoseeinheit selbst zur unerwünschten Situation führen, gemäß der alle vierfach vorliegenden Steuerkanäle gleichzeitig fehlerhafte Testsignale ausgeben, so daß die der Steuerung unterliegende Vorrichtung unbeabsichtigt oder fehlerhaft betätigt wird. Ferner wird darauf hingewiesen, daß bei diesem bekannten Kernreaktor-Schutzsystem für die Mehrheitsentscheidungsschaltung, d.h. die Signalauswählschaltung selbst, keine Anomalitätsentscheidung ausgeführt wird.
Das Dokument EP-A-0 109 602 offenbart ein gemultiplextes Steuersystem zum Steuern einer Vorrichtung mit drei Steuergeräten zum Erzeugen von Steuersignalen. Die Steuersignale jedes Steuergeräts werden an einen Umschalter geliefert. Bei einer Stellung des Schalters werden die Signale an eine Signalauswähleinrichtung (Mehrheitssteuerschaltung) gegeben, die die Mehrheit unter den Steuersignalen auswählt und so ein Mehrheitstestsignal zum Steuern der Vorrichtung bestimmt. Die Umschaltvorrichtung empfängt auch Signale, die anzeigen, ob das entsprechende Steuergerät sein Steuersignal normal erzeugt. Wenn eines anomal ist, wird sein Steuersignal nicht an die Signalauswähleinrichtung weitergegeben, sondern stattdessen wird ein Einstellsignal übertragen.
Das Dokument GB-A-l 419 673 offenbart ein Steuersystem, bei dem zwei Mehrheitssteuerschaltungen vorliegen, die jeweils mit drei Reglern verbunden sind. Um die Majoritätssteuerschaltungen zu testen, werden anstelle der normalen Ausgangssignale der drei Regler und der angegebenen Ausgangssignale Codes an diese angelegt. Diese Codes werden gemeinsam an die Majoritätssteuerschaltungen angelegt.
Gemäß einer ersten Erscheinungsform der Erfindung ist ein Steuersystem zum Steuern einer Vorrichtung geschaffen, wie es in Anspruch 1 definiert ist.
Gemäß einer zweiten Erscheinungsform der Erfindung ist ein Steuersystem zum Steuern von n Vorrichtungen geschaffen, wie es in Anspruch 2 definiert ist.
Demgemäß kann die Erfindung ein verbessertes Steuersystem schaffen, bei dem selbst dann, wenn eine Anomalität in mindestens einer der Testsignal-Erzeugungseinrichtungen und einem Mechanismus zum Anlegen des Testsignals für die Anomalitätsdiagnose, wie von der Testsignal-Erzeugungseinrichtung ausgegeben, an die Signalauswähleinrichtung, auftreten sollte, die Möglichkeit, daß eine zu steuernde Vorrichtung durch eine solche Anomalität beeinflußt werden könnte, auf das mögliche Minimum verringert werden kann, während es ermöglicht ist, die Signalauswähleinrichtung (Majoritätsentscheidungs schaltung) hinsichtlich des Vorliegens einer Anomalität zu diagnostizieren.
Da die Testsignale für die Anomalitätsdiagnose, wie von allen Signalerzeugungseinrichtungen ausgegeben, die in eineindeutiger Beziehung zu den mehreren Steuergeräten vorhanden sind, in die Signalauswähleinrichtung eingegeben werden, die so konzipiert ist, daß sie das korrekte Eingangssignal aus einer Anzahl von Eingangssignalen auswählt, die zu steuernde Vorrichtung (z. B. ein zu überwachendes Ventil) gegen den Einfluß eines anomalen Testsignals geschützt werden kann. Dies gilt sogar selbst dann, wenn ein derartiges anomales Testsignal wegen des Auftretens einer Anomalität in mindestens einer der Testsignal-Erzeugungseinrichtungen und einem Mechanismus zum Anlegen des ausgegebenen Anomalitätsdiagnose-Testsignals an die Signalauswähleinrichtung an diese Signalauswähleinrichtung angelegt werden sollte. Auch kann die Anomalitätsdiagnose der Signalauswähleinrichtung früh ausgeführt werden, da jede der Diagnoseeinheiten, die entsprechend den mehreren Steuergeräten vorhanden sind, die Diagnose einer Anomalität der Signalauswähleinrichtung mittels aller in die Signalauswähleinrichtung eingegebener Signale und der Ausgangssignale der einzelnen logischen Elemente der Signalauswähleinrichtung ausführen kann.
Ausführungsformen der Erfindung werden nun beispielhaft im einzelnen unter Bezugnahme auf die beigefügten Zeichnungen beschrieben.
Fig. 1 ist ein schematisches Diagramm, das eine Anordnung eines dreifachen Steuersystems gemäß einem ersten Ausführungsbeispiel der Erfindung zeigt;
Fig. 2 ist ein Schaltbild, das den Aufbau einer beim in in Fig. 1 dargestellten Steuersystem verwendeten Mehrheitsentscheidungsschaltung zeigt;
Fig. 3 ist ein Schaltbild, das den Aufbau einer im in Fig. 1 dargestellten Steuersystem verwendeten Diagnoseeinheit zeigt;
Fig.4 veranschaulicht in einem Flußdiagramm einen von der Diagnoseeinheit ausgeführten Verarbeitungsablauf;
Fig. 5 ist eine Ansicht zum Veranschaulichen von Signalmustern, wie sie im ROM der in Fig. 3 dargestellten Diagnoseeinheit abgespeichert sind, und sie zeigt den normalen Zustand der Majoritätsentscheidungsschaltung;
Fig. 6 zeigt ein zeitbezogenes Diagramm für die Signalverläufe von Testsignalen, wie sie von in Fig. 1 dargestellten Umschaltern ausgegeben werden;
Fig. 7 ist ein schematisches Schaltbild, das eine andere Konfiguration der Mehrheitsentscheidungsschaltung zeigt;
Fig. 8 ist eine Ansicht zum Veranschaulichen der funktiona-len Anordnung der in Fig. 3 dargestellten Diagnoseeinheit;
Fig. 9 ist ein schematisches Diagramm, das die allgemeine Anordnung eines dreifachen Steuersystems gemäß einem anderen Ausführungsbeispiel der Erfindung zeigt;
Fig. 10 ist ein schematisches Schaltbild, das den Aufbau einer im in Fig. 9 dargestellten System verwendeten Zwischenspeichereinrichtung zeigt;
Fig. 11 ist ein schematisches Schaltbild&sub1; das den Aufbau einer im in Fig. 9 dargestellten System verwendeten Diagnoseeinheit zeigt;
Fig. 12 und 13 sind Flußdiagramme zum Veranschaulichen von Verarbeitungsabläufen, wie sie durch die Diagnoseeinheit im in Fig. 11 dargestellten System ausgeführt werden;
Fig. 14 ist eine Ansicht, die die funktionale Anordnung der im in Fig. 11 dargestellten System verwendeten Diagnoseeinheit veranschaulicht;
Fig. 15 ist ein schematisches Schaltbild, das den Aufbau einer Zwischenspeichereinrichtung gemäß einem anderen Ausführungsbeispiel zeigt;
Fig. 16 ist ein schematisches Diagramm, das allgemein die Anordnung eines dreifachen Steuersystems gemäß noch einem anderen Ausführungsbeispiel der Erfindung zeigt;
Fig. 17 ist ein Schaltbild, das den Aufbau eines im in Fig. 16 dargestellten System verwendeten Steuergeräts zeigt;
Fig. 18 ist ein Schaltbild, das den Aufbau einer im in Fig. 16 dargestellten System verwendeten Diagnoseeinheit zeigt;
Fig. 19 ist ein Flußdiagramm, das einen Verarbeitungsablauf veranschaulicht, wie er vom in Fig. 17 dargestellten Steuergerät ausgeführt wird;
Fig. 20 ist ein Flußdiagramm, das einen von der in Fig. 18 dargestellten Diagnoseeinheit ausgeführten Verarbeitungsablauf veranschaulicht;
Fig. 21 ist eine Ansicht, die eine funktionale Anordnung der in Fig. 18 dargestellten Diagnoseeinheit zeigt;
Fig. 22 ist ein schematisches Diagramm, das allgemein die Anordnung eines dreifachen Steuersystems gemäß einem weiteren Ausführungsbeispiel der Erfindung zeigt;
Fig. 23 ist ein schematisches Diagramm, das allgemein die Anordnung eines vierfachen Steuersystems gemäß noch einem weiteren Ausführungsbeispiel der Erfindung zeigt;
Fig. 24 ist ein Schaltbild, das den Aufbau einer im System von Fig. 23 verwendeten Mehrheitsentscheidungsschaltung zeigt;
Fig. 25 ist ein Schaltbild einer im System von Fig. 23 verwendeten Diagnoseeinheit;
Fig. 26 ist eine Ansicht, die einen von der im in Fig. 25 dargestellten System dargestellten Diagnoseeinheit ausgeführten Verarbeitungsablauf veranschaulicht;
Fig. 27 ist ein zeitbezogenes Steuerdiagramm, das Signalverläufe der Testsignale veranschaulicht, wie sie von im System von Fig. 23 verwendeten Umschaltern ausgegeben werden;
Fig. 28 ist eine Ansicht, die, in einer Tabelle aufgelistet, diejenigen Relais zeigt, die durch die in Fig. 24 dargestellten Signaldetektoren überwacht werden können;
Fig. 29 ist eine Ansicht, die Signalmuster zeigt, wie sie den normalen Zustand der Mehrheitsentscheidungsschaltungen in im System von Fig. 23 anzeigen;
Fig. 30 ist eine Ansicht zum Veranschaulichen der funktionalen Anordnung der im System von Fig. 23 verwendeten Diagnoseeinheit;
Fig. 31 ist ein Schaltbild, das einen anderen beispielhaften Aufbau einer Mehrheitsentscheidungsschaltung zeigt, die im in Fig. 23 dargestellten System verwendet werden kann.
Nun wird die Erfindung im einzelnen in Verbindung mit einem bevorzugten und beispielhaften, gemultiplexten Steuersystem, das mit Diagnosefunktion versehen ist, unter Bezugnahme auf Fig. 1 beschrieben. Das in dieser Figur dargestellte gemultiplexte Steuersystem ist beispielhaft in Form eines dreifachen Steuersystems realisiert.
Das in Fig. 1 dargestellte dreifache Steuersystem enthält drei Steuergeräte (Regler) 1A, 1B und 1C und eine Mehrheitsentscheidungsschaltung 10A, 10A und 10C, die parallel zueinander angeordnet sind. Im Fall des vorliegenden Ausführungsbeispiels ist das Steuergerät lA der Mehrheitsentscheidungsschaltung 10A so zugeordnet, daß ein Paar gebildet ist. Auf ähnliche Weise ist das Steuergerät 1B mit der Mehrheitsentscheidungsschaltung 10B gepaart, während das Steuergerät 1C mit der Mehrheitsentscheidungsschaltung 10C gepaart ist. Außerdem ist das Steuergerät 1A in gepaarter Form mit einer Diagnoseeinheit 2A versehen. Auf ähnliche Weise ist das Steuergerät 1B mit einer Diagnoseeinheit 2B gepaart, während das Steuergerät 1C mit einer Diagnoseeinheit 2C versehen ist. Anders gesagt, sind die Diagnoseeinheiten mit einer Anzahl vorhanden, die der Redundanz entspricht, mit der das Steuersystem realisiert ist.
Das Steuergerät 1A ist mit einem stationären Kontakt 4A eines Umschalters SWA verbunden, der andere stationäre Kontakte 4B und 4C und einen beweglichen Kontakt 4D aufweist, dessen eines Ende mit dem stationären Kontakt 4C verbunden ist. Das andere Ende des beweglichen Kontakts 4B ist so ausgebildet, daß es wechselbar mit einem der stationären Kontakte 4A oder 4B verbindbar ist. Umschalter SWB und SBC, die mit den Steuergeräten 1B bzw. 1C verbunden sind, sind mit demselben Aufbau wie der Umschalter SWA realisiert. Ein mit dem stationären Kontakt 4C des Umschalters SWA verbundener Verdrahtungsleiter 19A ist mit der Mehrheitsentscheidungsschaltung 10A verbunden. Auf ähnliche Weise führen mit den Umschaltern SWB und SWC verbundene Verdrahtungsleiter 19B bzw. 19C jeweils zu den Mehrheitsentscheidungsschaltungen 10A bis 10C.
Fig. 2A zeigt einen beispielhaften Schaltungsaufbau für die Mehrheitsentscheidungsschaltung 10A. Wie es aus dieser Figur erkennbar ist, besteht die Mehrheitsentscheidungsschaltung 10A aus Logiksummenelementen oder ODER-Gattern 5A bis 5C, die parallel geschaltet sind, und einem Logikproduktelement oder UND-Gatter 6A, dessen Eingänge jeweils mit den Ausgängen der ODER-Gatter 5A bis 5C verbunden sind. Anders gesagt, ist die Mehrheitsentscheidungsschaltung 10A in Form einer 2-Aus-3-Abstimmlogikschaltung realisiert. Die Eingangsanschlüsse des ODER-Gatters 5A sind mit den Verdrahtungsleitern 19A bzw. 19B verbunden. Auf ähnliche Weise sind die Eingangsanschlüsse des ODER-Gatters 5B mit den Verdrahtungsleitern 198 bzw. 19C verbunden, während diejenigen des ODER- Gatters 5C mit den Verdrahtungsleitern 19C bzw. 19A verbunden sind. Es sei darauf hingewiesen, daß die Mehrheitsentscheidungsschaltungen 10A und 10C mit derselben Konfiguration wie die Mehrheitsentscheidungsschaltung 10A realisiert sind. Wie zuvor beschrieben, realisiert jede der Mehrheitsentscheidungsschaltungen 10A, 10A und 10C eine 2-Aus-3-Abstimmlogik. Der Ausgangsanschluß des UND-Gatters 6A, der den Ausgangsanschluß der Mehrheitsentscheidungsschaltung 10A bildet, ist über einen Verdrahtungsleiter 20A mit einem zu steuernden Ventil 13A verbunden. Auf ähnliche Weise ist ein zu steuerndes Ventil 13 mit dem Ausgangsanschluß der Mehrheitsentscheidungsschaltung 10A über einen Verdrahtungsleiter 20B verbunden, während ein der Steuerung unterliegendes Ventil 13C über einen Verdrahtungsleiter 20C mit der Mehrheitsentscheidungsschaltung 10C verbunden ist.
Gemäß Fig. 1 ist ein Signaldetektor 7A in Zuordnung zum Verdrahtungsleiter 19A verbunden, der zum Eingang der Mehrheitsentscheidungsschaltung 10A führt. Ferner ist ein Signaldetektor 8A für den Verdrahtungsleiter 19B vorhanden, während ein Signaldetektor 9A in Zuordnung zum Verdrahtungsleiter 19C vorhanden ist. Auf ähnliche Weise sind Signaldetektoren 7B, 8B in Zuordnung jeweils zu den Verdrahtungsleitern 19A, 19B und 19C an der Eingangsseite der Mehrheitsentscheidungsschaltung 10A vorhanden, während Signaldetektoren 7C, 8C und 9C jeweils für die Leiter 19A, 19B bzw. 19C an der Eingangsseite der Mehrheitsentscheidungsschaltung 10C vorhanden sind, wie es in Fig. 1 dargestellt ist. Es sei auch darauf hingewiesen, daß Signaldetektoren 11A, 11B und 11C in Zuordnung mit Verdrahtungsleitern 20A, 20B und 20C vorhanden sind, die mit den Ausgangsanschlüssen der Mehrheitsentscheidungsschaltungen 10A, 10B bzw. 10C verbunden sind. Außerdem sind Signaldetektoren 12A, 12B und 12C an den Ausgangsseiten der ODER-Gatter 5A, 5B bzw. 5C in der Mehrheitsentscheidungsschaltung 10A vorhanden, wie in Fig. 2 dargestellt. Es ist zu beachten, daß diese Arten von Signaldetektoren 12A, 12B und 12C auch in den Mehrheitsentscheidungsschaltungen 10B bzw. 10C mit derselben Anordnung wie im Fall der Mehrheitsentscheidungsschaltung 10A vorhanden sind. Jeder der vorstehend genannten Signaldetektoren kann durch ein Bauteil gebildet sein, das so konzipiert ist, daß es direkt das Potential am zugehörigen Schaltungspunkt mißt, um ein Signal zu erfassen, oder es kann alternativ ein Bauteil sein, das so konzipiert ist, daß es den durch den zugeordneten Schaltungspunkt fließenden Strom auf kontaktfreie Weise mißt. Es ist jedoch bevorzugt, daß ein stromfreier Stromtransformator gemäß typischerweise der letztgenannten Form als Signaldetektor verwendet wird, da ein Signaldetektor vom Stromtransformatortyp einen Strom unabhängig davon messen kann, ob der zu messende Strom ein Wechsel- oder ein Gleichstrom ist. Außerdem übt wegen der kontaktfreien Messung jeder Fehler im Signaldetektor selbst zu keinem nachteiligen Einfluß auf den zugeordneten Steuerkanal. Anders gesagt, muß das dreifache Steuersystem selbst dann nicht in einem gemeinsamen Modus betrieben werden, wenn ein Fehler in einem der Signaldetektoren auftritt, was von Vorteil ist. Bevorzugter kann der kontaktfreie Signaldetektor durch einen CT-Stromsensor gebildet sein, wie er z. B. in der japanischen Literaturstelle mit dem Titel "Sensor-Schnittstellenbildung", Nr. 3, 5. 111 - 116 (veröffentlicht am 2. Februar 1987) offenbart ist. Insbesondere sei darauf hingewiesen, daß der in der obigen Literaturstelle offenbarte CT-Stromsensor keine Spannungsversorgungsquelle enthält, was für ein dreifaches Steuersystem sehr günstig ist, bei dem ein gemeinsamer Modus bis zur Grenze des Möglichen vermieden werden sollte.
Die Signaldetektoren 12A, 12B und 12C dienen als Einrichtung zum Erfassen der Ausgangssignale der Logikelemente (d.h. der ODER-Gatter 5A, 5B und 5C) der Mehrheitsentscheidungsschal tung 10A, um dadurch Erfassungssignale auszugeben, wie sie gemeinsam mit 17A bezeichnet sind. Andererseits dient der Signaldetektor lla als Einrichtung zum Erfassen des Ausgangssignals des Logikelements (UND-Gatter 6A), das einen anderen Teil der Mehrheitsentscheidungsschaltung 10A bildet, um dadurch ein Erfassungssignal auszugeben, das in Fig. 1 durch das Symbol 18A gekennzeichnet ist. Die Signaldetektoren 7A, 8A und 9A dienen zum Erfassen dreier Signale (d.h. von Signalen a, b und c), die über die Verdrahtungsleiter 19A bis 19C jeweils in die Mehrheitsentscheidungsschaltung 10A eingegeben werden, um dadurch Signale auszugeben, die gemeinsam durch das Symbol 16A gekennzeichnet sind. Die Erfassungssignale 16A, 17A und 18A werden an die Diagnoseeinheit 2A geliefert. Auf ähnliche Weise werden die Erfassungssignale 16B, 17B und 18B, wie sie jeweils von den Signalde tektoren 7B bis 9B, den in der Mehrheitsentscheidungsschaltung 10B enthaltenen Signaldetektoren 12A bis 12C und dem Signaldetektor lib ausgegeben werden, an die Diagnoseeinheit 2B geliefert. Andererseits werden die Erfassungssignale 16C, 17C und 18C, wie sie jeweils von den Signaldetektoren 7C bis 9C, den in der Mehrheitsentscheidungsschaltung 10C enthaltenen Signaldetektoren 12A bis 12C und den Signaldetektor 11C erzeugt werden, an die Diagnoseeinheit 2C geliefert.
Gemäß Fig. 3 besteht die Diagnoseeinheit 2A aus einem Mikroprozessor (Mikrocomputer), und sie enthält einen Festwertspeicher oder ROM 24, eine zentrale Verarbeitungseinheit (CPU) 25, einen Direktzugriffsspeicher (RAM) 26, eine Ausgangsschaltung 27 und eine Eingangsschaltung 28, wobei diese Komponenten über einen Adressenbus 29 und einen Datenbus 30 miteinander verbunden sind. Die oben angegebenen Erfassungssignale 16A, 17A und 18A werden an die Eingangsschaltung 28 geliefert. Der ROM 24 dient dazu, einen durch Fig. 4 veranschaulichten Verarbeitungsablauf sowie die Zustände einzelner Erfassungssignale (in Fig. 5), wie sie bei normalem Betrieb auftreten müssen, einzuspeichern. Die CPU 25 führt Arithmetikoperationen entsprechend dem in Fig. 4 veranschaulichten Verarbeitungsablauf aus. Der RAM 26 dient zum zeitweiligen Einspeichern der über die Eingangsschaltung oder die Schnittstelle 28 eingegebenen Daten, wie auch der Ergebnisse der von der CPU 25 ausgeführten Arithmetikoperationen. Die verdrahtungsleiter 3A, 21A und 22B sind mit der Ausgangsschaltung oder der Schnittstelle 27 verbunden. Genauer gesagt, ist der Verdrahtungsleiter 3A mit einer Anzeigeeinheit 23 verbunden, um Information betreffend die Ergebnisse der von der Diagnoseeinheit 10A ausgeführten Anomalitätsentscheidung an eine Anzeigeeinheit 23 zu übertragen. Der Verdrahtungsleiter 21A ist mit den stationären Kontakt 48 des Mischschalters SWA verbunden, und er führt ein Testsignal S. Der verdrahtungsleiter 22B ist mit dem Umschalter SWA verbunden, und er führt ein Testbefehlssignal CH.
Die anderen Diagnoseeinheiten 28 und 2C sind mit demselben Aufbau realisiert wie die Diagnoseeinheit 2A, und sie dienen denselben Funktionen wie die Diagnoseeinheit 2A, die später detaillierter beschrieben werden. Die Verdrahtungsleiter 3B, 21B und 22B sind mit der Ausgangsschnittstelle 27 der Diagnoseeinheit 2B verbunden. Das andere Ende des Verdrahtungsleiters 3B ist mit der Anzeigeeinheit 23 verbunden, während dasjenige des Verdrahtungsleiters 21B mit dem stationären Kontakt 4B des Umschalters SWB verbunden ist. Ferner ist der Verdrahtungsleiter 22B auch mit dem Umschalter SWB verbunden, wie es in Fig. 1 dargestellt ist. Der mit der Anzeigeeinheit 23 verbundene Verdrahtungsleiter 3C, der mit dem stationären Kontakt 4B des Umschalters SWC verbundene Verdrahtungsleiter 21C und der ebenfalls mit dem Umschalter SWC verbundene Verdrahtungsleiter 22C verfügen über andere Enden, die jeweils mit der Ausgangsschaltung 28 der Diagnoseeinheit 2C verbunden sind. Die von den verdrahtungsleitern 3B und 3C geführten Signale entsprechen jeweils dem über den Verdrahtungsleiter 3A geführten Signal. Ferner stimmen die über die Verdrahtungsleiter 21B und 21C übertragenen Signale jeweils mit dem über den Verdrahtungsleiter 21A übertragenen Signal überein, während die Signale auf den Verdrahtungsleitern 22B und 22C mit dem Signal übereinstimmen, das vom Verdrahtungsleiter 22A geführt wird.
Nachfolgend wird die Beschreibung auf die Funktion des dreifachen Steuersystems gemäß dem vorliegenden Ausführungsbeispiel der Erfindung gerichtet. Die Funktionen oder Vorgänge der Steuergeräte oder Regler, der Diagnoseeinheiten, der Umschalter und der Mehrheitsentscheidungsschaltungen 10, die jeweils dreifach vorhanden sind, sind für die drei Steuerkanäle identisch. Demgemäß erfolgt die folgende Beschreibung betreffend den Betrieb des Steuersystems unter Bezugnahme auf den Kanal mit dem Steuergerät 1A, der Diagnoseeinheit 2A und der Mehrheitsentscheidungsschaltung 10, wobei zu beachten ist, daß dasselbe für die entsprechenden Komponenten der anderen Kanäle gilt.
Das Steuergerät oder der Regler 1A wird mit einem Eingangssignal versehen, das Meßsignalen entspricht, wie sie von (nicht dargestellten) Sensoren erzeugt werden, die in der Anlage angebracht sind, um dadurch ein Signal a zum Einstellen des öffnungsgrads der Ventile 13A, 13B bzw. 13C auszugeben. Der Umschalter SWA wird im Zustand gehalten, in dem der bewegliche Kontakt 4D so lange mit dem stationären Kontakt 4A verbunden ist, wie das von der Diagnoseeinheit 2A ausgegebene Testbefehlssignal CH fehlt. Demgemäß wird das vom Steuergerät 1A ausgegebene Signal a über den Umschalter SWA und den verdrahtungsleiter 19A an den Eingang der Mehrheitsentscheidungsschaltung 10A geliefert. Gleichzeitig wird das vom Steuergerät 1B ausgegebene Signal b an den Eingang der Mehrheitsentscheidungsschaltung 10A geliefert. Außerdem wird das vom Steuergerät 1c ausgegebene Signal c ebenfalls an die Mehrheitsentscheidungsschaltung 10A geliefert. Es sei darauf hingewiesen, daß die Signale a, b und c gleichzeitig auch an die Mehrheitsentscheidungsschaltungen 10B und 10C geliefert werden. Die Signale a, b und c sind digitale Signale, die jeweils die logischen Pegel "0" und "1" umfassen.
Die Mehrheitsentscheidungsschaltung 10A bildet eine Art Signalauswähleinrichtung, die so ausgebildet ist, daß sie entscheidet, ob die drei Eingangssignale miteinander übereinstimmen, um dadurch als korrektes Steuersignal dasjenige auszugeben, das mindestens zwei übereinstimmenden Eingangssignalen entspricht. (Dasselbe gilt für die Mehrheitsentscheidungsschaltungen 10B und 10C.) Genauer gesagt, wählt die Mehrheitsentscheidungsschaltung 10A dann, wenn mindestens zwei der drei Eingangssignale a, b und c den logischen Werte "1" haben, ein Signal mit dem logischen Wert "1" als Steuersignal für das Ventil 13A aus. Andererseits wählt die Mehrheitsentscheidungsschaltung 10A dann, wenn mindestens zwei der drei Eingangssignale a, b und c den logischen Wert "0" haben, ein Signal vom logischen Wert "0" als Steuersig nal aus, das an das Ventil 13A zu liefern ist. Wenn das von der Mehrheitsentscheidungsschaltung 10A ausgegebene Signal den logischen Wert "1" hat, wird das Ventil 13A geöffnet, während es geschlossen wird, wenn das von der Mehrheitsentscheidungsschaltung 10A ausgegebene Signal den logischen Wert "0" hat.
Der vorstehend beschriebene Betrieb repräsentiert einen normalen Steuervorgang durch das dreifache Steuersystem gemäß dem vorliegenden Ausführungsbeispiel der Erfindung. Die folgende Beschreibung wendet sich der Diagnosefunktion für die Mehrheitsentscheidungsschaltungen (10) des dreifachen Steuersystems zum Entscheiden des Vorliegens oder Fehlens von Anomalität in diesen Mehrheitsentscheidungsschaltungen zu. Die Diagnose zum Ermitteln des Vorliegens oder Fehlens von Anomalität wird jeweils durch die Diagnoseeinheiten 2A, 2B und 20 ausgeführt. Fig. 4 zeigt einen Verarbeitungsablauf, wie er von der Diagnoseeinheit 2A zu diesem Zweck ausgeführt werden kann. Selbstverständlich gilt der in Fig. 4 dargestellte Verarbeitungsablauf auch für die Diagnoseeinheit 2B, wenn diem Fig. 4 auftretenden "Signale 16A bis 18A" jeweils als "Signal 16B bis 18B" gelesen werden. Auf ähnliche Weise entspricht der von der Diagnoseeinheit 20 ausgeführte verarbeitungsablauf dem in Fig. 4 dargestellten Ablauf, wenn die "signale 16A bis 18A" jeweils durch das "Signal 16C bis 18C" ersetzt werden.
In der Diagnoseeinheit 2A wird der Verarbeitungsablauf auf Grundlage des in Fig. 4 veranschaulichten Ablaufs, wie im ROM 21 abgespeichert, durch die CPU 25 ausgeführt. Als erstes gibt die CPU 25 das Testsignal 5 mit dem logischen Wert "0" auf den Verdrahtungsleiter 21A aus, um das dreifache Steuersystem (genauer gesagt, die Mehrheitsentscheidungseinheit und die Diagnoseeinheit) hinsichtlich des Vorliegens einer Anomalität zu diagnostizieren, während sie das Testbefehlssignal CH auf dem Verdrahtungsleiter 22A ausgibt (Schritt 31 in Fig. 4). Die Ausgabe des Testsignals S vom logischen Wert "0" entspricht einem Zustand, in dem ein impulsförmiges Testsignal S für die Anomalitätsdiagnose, wie nachfolgend beschrieben, nicht ausgegeben wird. Das Testsig nal S vom logischen Wert "0" wird an den stationären Kontakt 48 des Umschalters SWA gegeben. In diesem Zustand wird der bewegliche Kontakt 4D des Umschalters SWA auf das Testbefehlssignal CH hin mit dem stationären Kontakt 48 verbunden. Nach der Unterbrechung der Ausgabe des Testbefehlssignals CH wird der bewegliche Kontakt 4D des Umschalters SWA mit dem stationären Kontakt 4A verbunden. Das Zeitintervall oder die Periode, in der der bewegliche Kontakt 4D im mit dem stationären Kontakt 48 verbundenen Zustand verbleibt, entspricht einer Impulsbreite oder -dauer T&sub0; des nachfolgend beschnebenen impulsförmigen Testsignals S. Dank dieses Merkmals wird selbst dann, wenn Testsignale vom logischen Wert "0", wie in den Signalen a, b und c enthalten, einander überlappen sollten, vermieden, daß das auf die durch die Steuergeräte 1A und 1B ausgegebenen Steuersignale (vom logischen Wert "1") hin geöffnete Ventil 13A geschlossen wird. Der Umschalter SWA reagiert dadurch auf die Eingabe des Testbefehlssignals CH, daß er das Testsignal S vom logischen Wert "0" als Signal a anstelle des Ausgangssignals des Steuergeräts 1A ausgibt. Dieses Signal a wird ebenfalls an die Mehrheitsentscheidungsschaltungen 10B und 10C geliefert. In einem Schritt 32 erfaßt die Diagnoseeinheit 2A die folgenden Datensignale. Anders gesagt, werden die von den Signaldetektoren 7A, 8A und 9A erzeugten Erfassungssignale 16A, die von den in der Mehrheitsentscheidungsschaltung 10A enthaltenen Signaldetektoren 12A, 12B und 12C ausgegebenen Erfassungssignale 17A und das vom Signaldetektor 11a ausgegebene Signal 18A einmal über die Eingangsschaltung 28 und den Datenbus 30 in den RAM 26 geladen. Die CPU 25 vergleicht die Eingangssignale 16A bis 18A mit den Ausgangsmustern (Muster, die in Fig. 5 mit Nr. 1 bis 8 markiert sind) dieser Signale im normalen Zustand der Mehrheitsentscheidungsschaltung 10A (Schritt 33). Anschließend erfolgt eine Entscheidung hinsichtlich des Vorliegens oder Fehlens von Anomalität in der Mehrheitsentscheidungsschaltung 10A (Schritt 34). In diesem Zusammenhang wird beispielsweise angenommen, daß die Erfassungssignale der Signaldetektoren 7A bis 9A (die Eingangssignale der Mehrheitsentscheidungsschaltung 10A) alle den logischen Wert "0" haben, wie im Fall des in Fig. 5 dargestellten Musters Nr. 1. Dann wird entschieden, daß die Mehrheitsentscheidungsschaltung 10A normal arbeitet, ohne daß sie unter irgendeiner Anomalität leidet, wenn die Erfassungssignale der Signaldetektoren 12A bis 12C und 18A (Ausgangssignal der einzelnen Logikelemente, die die Mehrheitsentscheidungsschaltung 10A bilden) alle den logischen Wert "0" haben. Wenn dagegen das Erfassungssignal des Signaldetektors 12B den logischen Wert "1" hat, bedeutet dies, daß eine Abweichung vom in Fig. 5 dargestellten Muster Nr. 1 vorliegt. In diesem Fall wird in einem Schritt 34 entschieden, daß das ODER-Gatter 5B der Mehrheitsentscheidungsschal tung 10A unter Anomalität leidet. Als nächstes sei als anderes Beispiel angenommen, daß das Ausgangssignal 18A des Signaldetektors 11A den logischen Wert "1" aufweist, was bedeutet, daß eine Abweichung vom mit Nr. 1 bezeichneten Muster (Fig. 5) vorliegt. Demgemäß kann eine Entscheidung dahingehend getroffen werden, daß im UND-Gatter 6A der Mehrheitsentscheidungsschaltung 10A Anomalität vorliegt. Wenn im Schritt 34 entschieden ist, daß Anomalität vorliegt, wird die Komponente der Mehrheitsentscheidungsschaltung 10A, die unter Anomalität leidet, über die Ausgangsschaltung 27 und dem verdrahtungsleiter 3A an die Anzeigeeinheit 23 mitgeteilt (Schritt 36). Die Anzeigeeinheit 23 reagiert darauf dadurch, daß sie die anomal arbeitende Komponente der Mehrheitsentscheidungsschaltung 10A anzeigt. In einem Schritt 36 kann auch ein Alarm erzeugt werden.
Wenndie im Schritt 34 getroffene Entscheidung das Fehlen von Anomalität angibt, geht der Verarbeitungsablauf zu einem Schritt 35 weiter. In diesem Schritt 35 wird das impulsförmige Testsignal S, das eine Reihe der logischen Pegel "0", "1" und "0" in dieser Folge aufweist, von der Ausgangsschaltung 27 der Diagnoseeinheit 2A ausgegeben, um über den Verdrahtungsleiter 21A zusammen mit dem Testbefehlssignal CH an den Umschalter SWA gegeben zu werden, woraufhin dieser Umschalter SWA das impulsförmige Testsignal S als Signal a an jede der Mehrheitsentscheidungsschaltungen überträgt. In einem Schritt 32A werden die durch die jeweiligen Signaldetektoren erfaßten Erfassungssignale 16A bis 18A gleichzeitig in die Diagnoseeinheit 2A eingegeben (d.h., es werden die zum selben Zeitpunkt erfaßten Signale eingegeben), um im RAM 26 eingespeichert zu werden wie im Fall des oben angegebenen Schritts 32. Gleichzeitig wird in einem Schritt 32A die Anzahl von Malen gezählt, gemäß denen die Erfassungssignale 16A bis 18A aufeinanderfolgen auf die Ausgabe des impulsförmigen Testsignals S hin eingegeben werden, woraufhin die ge zählte Anzahl in den RAM 26 eingespeichert wird. In einem folgenden Schritt 37 wird jedes der von den Signaldetektoren 7A bis 9A ausgegebenen Signale 16A dahingehend überprüft, ob dieses Signal 16A irgendeine Änderung im Vergleich mit dem Zustand desselben Signais erfahren hat, das zum letzten (vorangehenden) Zeitpunkt eingegeben wurde. Ein Signal 16A, das eine Änderung erfahren hat, wird in den RAM 26 eingespeichert. Es sei jedoch darauf hingewiesen, daß ein Signal 16A, das keine Änderung erfahren hat, alternativ in den RAM 26 eingespeichert werden kann. In Schritten 33A und 34A werden Verarbeitungen ausgeführt, die ähnlich denjenigen sind, die oben in Verbindung mit den Schritten 34 und 35 beschrieben wurden. Die Verarbeitung im Schritt 37 kann folgend auf den Schritt 34A ausgeführt werden.
In einem Schritt 38 wird die Anzahl von Malen, gemäß denen die Erfassungssignale 16A bis 18A eingegeben wurden, um im RAM 26 eingespeichert zu werden, mit einer vorgegebenen Anzahl von Malen verglichen, wodurch eine Entscheidung dahingehend erfolgt, ob die Anzahl von Malen, gemäß denen die Signale eingegeben wurden, die vorbestimmte Anzahl erreicht hat. Bevor nicht die Anzahl von Malen, gemäß der die Erfassungssignale eingegeben wurden, die vorbestimmte Anzahl erreicht hat, werden die Verarbeitungsschritte 32A, 37, 33A, 34A und 38 wiederholt ausgeführt. Wenn im Schritt 38 entschieden wird, daß die Anzahl von Malen, gemäß der die Signale eingegeben wurden, die vorbestimmte Anzahl erreicht hat, wird ein Schritt 39 ausgeführt. In diesem Schritt 39 wird entschieden, ob zwischen den drei Signalen 16A, wie sie im RAM 26 in den Schritten 37 erfaßt und abgespeichert wur den, irgendein Signal keine Änderung durchlaufen hat. Diese Entscheidung entspricht im wesentlichen einer Entscheidung betreffend das Vorliegen oder Fehlen durch die Anomalitätsdiagnoseeinheit, die konstant das Testsignal 5 erzeugt, ohne Änderung hinsichtlich der Diagnoseeinheiten 2A, 2B und 2C, die die jeweiligen impulsförmigen Testsignale 5 ausgeben, wobei der Grund hierfür später detaillierter erläutert wird. Wenn in allen drei Signalen 16A eine Änderung aufgetreten ist, ist die Anzahl von Malen, gemäß der die Signale eingegeben wurden, die vorbestimmte Anzahl oder den Zählwert erreicht hat, bedeutet dies, daß alle Diagnoseeinheiten 2A, 2B und 2C normal funktionieren. In diesem Fall wird die Verarbeitung im Schritt 31 wiederaufgenommen, woraufhin die folgenden Schritte sequentiell ausgeführt werden. Wenn im Schritt 39 dagegen entschieden wird, daß ein Signal 16A vorliegt, das keine Änderung erfahren hat, wird auf der Anzeigeeinheit 23 die Anomalität der Diagnoseeinheit angezeigt (Schritt 40), die das Testsignal S auf den Verdrahtungsleiter (mindestens einen der Verdrahtungsleiter 19A, 19B und 19C) ausgibt, der dem Signaldetektor (mindestens einem der Signaldetektoren 7A, 8A und 9A) zugeordnet ist, der das Signal 16A erfaßt hat, das keine Änderung erfahren hat.
Der in Fig. 4 veranschaulichte Verarbeitungsablauf wird auch durch die Diagnoseeinheiten 2B und 2C ausgeführt. Auf das Anlegen der impulsförmigen Testsignale von den Diagnoseeinheiten 2A, 2B und 2C hin, werden die Signale a, b und c, die jeweils das impulsförmige Testsignal enthalten, wie in Fig. 6 veranschaulicht, von den Umschaltern SWA, SWB bzw. SWC ausgegeben. In Verbindung mit Fig. 6 wird darauf hingewiesen, daß die Steuersignale vom logischen Wert "1", wie sie von den Steuergeräten 1A, 1B und 1C ausgegeben werden, wenn die zugeordneten beweglichen Kontakte 4D mit den stationären Kontakten 4A der zugeordneten Umschalter SWA, SWB und SWC verbunden sind, aus der Darstellung weggelassen sind. Die Diagnoseeinheiten 2A, 2B und 2C arbeiten asynchron zueinander, um die Testsignale S und die Testbefehlssignale CH auszugeben. Demgemäß enthalten die von den zugehörigen Umschaltern ausgegebenen Signale a, b und c die impulsförmigen Testsignale verschiedener Perioden (d.h., daß die impulsförmigen Testsignale verschiedene Perioden T&sub1;, T&sub2; und T&sub3; aufweisen), wie sie von den Diagnoseeinheiten 2A, 2B bzw. 2C ausgegeben werden. Jedes der impulsförmigen Testsignale 5 ist ein Impulssignal mit einer solchen Dauer T&sub0; (nicht länger als 100 ms im Fall des vorliegenden Ausführungsbeispiels), in der zu steuernden Vorrichtungen (d.h. die Ventile 13A bis 13C im Fall des vorliegenden Ausführungsbeispiels) selbst inaktiv verbleiben können, wenn die Signale a, b und c einander überlappen, wie zum Zeitpunkt T3 gezeigt. Die in Fig. 6 dargestellten einzelnen Signale repräsentieren den Zustand, in dem die von den zugehörigen Diagnoseeinheiten ausgegebenen impulsförmigen Testsignale durch entsprechende Handhabung der Umschalter angelegt werden, wobei das Steuersignal vom logischen Wert "1", wie es vom Steuergerät übertragen wird, wenn der bewegliche Kontakt 4D des zugehörigen Umschalters mit dem stationären Kontakt 4A verbunden ist, mit dem das oben angegebene Steuergerät verbunden ist (d.h., der Zustand zwischen zwei aufeinanderfolgenden impulsförmigen Testsignalen) aus der Veranschaulichung weggelassen ist. Zusätzlich kennzeichnen die in Fig. 6 dargestellten einzelnen Signale den Zustand, in dem das Steuersignal vom logischen Wert "1" zwischen zwei aufeinanderfolgenden impulsförmigen Testsignalen 5 nicht vom Steuergerät ausgegeben wird (d.h. den Zustand, in dem nur das Steuersignal vom logischen Wert "0" ausgegeben wird). Ferner sei erwähnt, daß das Testsignal vom logischen Wert "0", wie es im im Schritt 31 ausgegeben wird, vor dem in Fig. 6 dargestellten impulsförmigen Testsignal erzeugt wird.
Wie es aus Fig. 6 erkennbar ist, hat das impulsförmige Testsignal c die kürzeste Periode T&sub3; unter den Signalen a, b und c. Das Zeitintervall (Periode T&sub3;) zwischen zwei aufeinanderfolgenden impulsförmigen Testsignalen S im Signal c ist so ausgewählt, daß eine Reihe von Schritten zwischen dem aktuell ausgeführten Schritt 35 und demselben Schritt 35, wie er im in Fig. 4 dargestellten Ablauf im nächsten Zyklus auszuführen ist, innerhalb dieser Periode T&sub3; ausgeführt werden kann. Das Testsignal S und das Testbefehlssignal CH, wie sie in den Schrittblöcken 31 und 35 in Fig. 4 dargestellt sind, werden durch einen Oszillator (der aus der Veranschaulichung der in Fig. 3 dargestellten Diagnoseeinheit weggelassen ist, jedoch in der Fig. 8, auf die später Bezug genommen wird, dargestellt ist) erzeugt und von der Diagnoseeinheit mit einem Zeitintervall ausgegeben, das einer vorbestimmten Anzahl von Impulsen entspricht, wie durch einen Zähler (in Fig. 3 nicht dargestellt, jedoch nachfolgend in Verbindung mit einem anderen in Fig. 8 dargestellten Ausführungsbeispiel beschrieben) erfaßt. Die Eingabe der Signale 16A bis 18A in den Schritten 32 und 32A wird ebenfalls mit einem Zeitintervall ausgeführt, das einer vorbestimmten Anzahl von Impulsen entspricht, wie sie durch einen anderen Zähler (ebenfalls in Fig. 3 nicht dargestellt) erfaßt werden. Die Ausgangssignale der vorstehend angegebenen Zähler werden über den Datenbus 30 an die CPU 25 geliefert.
Nachfolgend wird die Funktion der Diagnoseeinheit zum Treffen einer Entscheidung hinsichtlich des Vorliegens oder Fehlens von Anomalität in gerade dieser Diagnoseeinheit beschrieben. Das Signal a, das das von der Diagnoseeinheit 2A periodisch mit dem Zeitintervall T&sub1; ausgegebene impulsförmige Testsignal 5 enthält, wird von den Signaldetektoren 7B und 7C erfaßt, um anschließend in die Diagnoseeinheiten 2B bzw. 2C eingegeben zu werden. So kann die Diagnoseeinheit 2B wie auch die Diagnoseeinheit 2C eine Entscheidung hinsichtlich des Vorliegens oder Fehlens von Anomalität in der Diagnoseeinheit 2A dadurch treffen, daß erfaßt wird, ob das Eingangssignal a seinen Zustand vom logischen Wert "0" auf den logischen Wert "1", oder umgekehrt geändert hat, bis die Anzahl von Malen, gemäß der die Signale 16A bis 18A eingegeben wurden, die vorbestimmte Anzahl oder den vorbestimmten Zählwert erreicht hat, wie im Schritt 32A ermittelt. Hinsichtlich einer Anomalität der Diagnoseeinheit kann eine Anomalität oder Fehlfunktion des ROM 24, der CPU 25, der Ausgangsschaltung 27 und des - Datenbus 30 genannt werden. Selbstverständlich kann eine derartige Anomalität der Diagnoseeinheit 2A auch durch die Diagnoseeinheit 2A selbst ermittelt werden. Die im Schritt 38 getroffene Entscheidung, daß die Anzahl von Malen, gemäß der das Signal eingegeben wurde, einen vorbestimmten Wert erreicht hat, bedeutet ihrerseits, daß eine vorbestimmte Zeit nach der Ausgabe des impulsförmigen Testsignals S verstrichen ist. Wenn von der Diagnoseeinheit 2A kein Testsignal ausgegeben wird, erfaßt der Signaldetektor 7A das Ausgangssignal des Steuergeräts 1A, um dadurch dieses Signal in die Diagnoseeinheit 2A einzugeben, die jedoch nicht entscheiden kann, ob das vom Signaldetektor 7A eintreffende Signal das Testsignal oder das Steuersignal ist. In diesem Zusammenhang sei allgemein darauf hingewiesen, daß das Steuergerät 1A im Stationärzustand, mit Ausnahme eines übergangszustands weiterhin das Signal vom logischen Wert "0" oder alternativ vom logischen Wert "1" ausgibt. Demgemäß kann eine Anomalität der Diagnoseeinheit erkannt werden, wenn sich das vom Steuergerät 1A ausgegebene Steuersignal im Stationärzustand befindet. Das vorstehend Genannte gilt für die Steuergeräte 1B und 1C sowie die Diagnoseeinheiten 2B und 2C.
Jede der Diagnoseeinheiten gemäß dem vorliegenden Ausführungsbeispiel kann das Vorliegen oder Fehlen von Anomalität wie auch eine Komponente mit Fehlfunktion in den Mehrheitsentscheidungsschaltungen 10A bis 10C auf Grundlage der in Fig. 5 veranschaulichten Muster mit Hilfe der Eingangssignale 16A bis 18A nicht nur in den Zustand erfassen, in dem nur das Testsignal 5 ausgegeben wird, sondern auch im Zustand, in dem nur die Steuersignale von den Steuergeräten 1A bis 1C ausgegeben werden, wie auch im Zustand, in dem die Steuersignale vermischt mit dem Testsignal ausgegeben werden.
Die Diagnoseeinheiten 2A bis 2C gemäß dem vorliegenden Ausführungsbeispiel der Erfindung sind so ausgebildet, daß sie das Testsignal anstelle der entsprechenden Steuergeräte 1A bis 1C ausgeben. Mit Hilfe des ausgegebenen Testsignals können in die Diagnoseeinheiten 2A, 2B und 2C die Erfassungssignale 16A bis 18A eingegeben werden, die alle in Fig. 5 veranschaulichten Muster mit den Nr. 1 bis 8 bilden, wodurch eine Entscheidung hinsichtlich des Vorliegens oder Fehlens von Anomalität in den Mehrheitsentscheidungsschaltungen 10A bis 10C für alle Modi der Eingangssignale in diese, und demgemäß hinsichtlich des Vorliegens oder Fehlens von Anomalität in den einzelnen, die Mehrheitsentscheidungsschaltungen 10A bis 10C bildenden logischen Elemente getroffen werden kann. Gemäß dem vorliegenden Ausführungsbeispiel der Erfindung kann die Entscheidung hinsichtlich des Vorliegens oder Fehlens von Anomalität auch unter Verwendung der Ausgangssignale der Steuergeräte 1A bis 1C erfolgen. In diesem Fall kann jedoch die Anomalitätsentscheidung nicht für alle oben angegebenen Muster ausgeführt werden, da die Formen der Ausgangssignale der Steuergeräte 1A bis 1C von Natur aus begrenzt sind.
Ferner kann gemäß dem vorliegenden Ausführungsbeispiel der Erfindung das dreifache Steuersystem hinsichtlich des Aufbaus vereinfacht werden, da es nicht erforderlich ist, irgendeinen Umschalter zwischen jeder Mehrheitsentscheidungsschaltung und jeder zu steuernden Vorrichtung (d.h., dem Ventil in diesem Fall) anzubringen, um das Ausgangssignal der Mehrheitsentscheidungsschaltung beim Auftreten von Anomalität an die zugehörige Diagnoseinheit statt an das Ventil zu übertragen.
Außerdem können dank einer solchen Anordnung, daß drei Diagnoseeinheiten jeweils in Zuordnung zu den Steuergeräten unabhängig voneinander vorhanden sind, die Wahrscheinlichkeit, daß die Vorrichtungen einander beeinflussen und die Wahrscheinlichkeit, daß die zu steuernde Vorrichtung (z. B. ein Ventil) beeinflußt wird, deutlich verringert werden, und zwar selbst dann, wenn ein anomales Testsignal in die Mehrheitsentscheidungseinheit eingegeben wird, wenn Anomalität in einer der Diagnoseeinheiten auftritt (Ausfall oder Fehlfunktion in mindestens der CPU 25, dem Bus 30, der Ausgangsschaltung 27 und den oben angegebenen Zählern, obwohl nicht dargestellt, im Fall des betrachteten Systems oder bei Ausfall in mindestens einer Testsignal-Erzeugungseinrichtung Jl, einer Testbefehlssignal-Erzeugungseinrichtung J2, einem Zähler J3 und Ausgangsschaltungen J9, J10 und anderen Schaltungen, wie sie nachfolgend in Verbindung mit Fig. 8 beschrieben werden). Dieses vorteilhafte Merkmal ist der Anordnung des Steuersystems gemäß dem vorliegenden Ausführungsbeispiel zuschreibbar, daß verhindert ist, daß die Diagnoseeinheiten in einem gemeinsamen Modus für alle Steuergeräte 1A bis 1C arbeiten, wodurch immer eine der Mehrheitsentscheidungsschaltungen mit zwei normalen Signalen versorgt wird (d.h., dem von der Testsignal-Erzeugungseinrichtung der Diagnoseeinheit ausgegebenen Testsignal und zweien der Steuersignale, wie sie von den zwei Steuergeräten ausgegeben werden, die mit den zwei entsprechenden Umschaltern verbunden sind, an die die Ausgangssignale der zwei nicht unter Anomalität leidenden Diagnoseeinheiten im Fall des vorliegenden Ausführungsbeispiels ausgegeben werden). Der Bus 30, die Ausgangsschaltung 27 und die Zähler arbeiten so zusammen&sub1; daß sie eine Einrichtung oder einen Mechanismus zum Anlegen des Testsignals für Anomalitätsdiagnose an die Mehrheitsentscheidungsschaltung bilden, die als Signalauswahlschaltung dient.
Gemäß dem vorliegenden Ausführungsbeispiel der Erfindung ist die zeitliche Breite oder die Dauer T&sub0; des impulsförmigen Testsignals S so ausgewählt, daß die zu steuernde Vorrichtung nicht aktiviert werden kann. Demgemäß kann irgendein Ausfall einer der Diagnoseeinheiten niemals zu einer Betätigung der gesteuerten Vorrichtung führen.
Ferner sind beim vörliegenden Ausführungsbeispiel die Perioden oder Zeitintervalle, mit denen die impulsförmigen Testsignale von den Diagnoseeinheiten 2A, 2B bzw. 2C ausgegeben werden, vorab so errichtet, daß sie voneinander verschieden sind. Demgemäß können verschiedene Kombinationen der impulsförmigen Testsignale S, wie in Fig. 6 veranschaulicht, erhalten werden, wodurch die Diagnose durch die in Fig. 5 dargestellten verschiedenen Muster entsprechend vereinfacht werden kann.
Dieanomalitätsentscheidung für die Mehrheitsentscheidungsschaltungen und die Diagnoseeinheiten, wie vorstehend beschrieben, kann unabhängig davon ausgeführt werden, ob sich das dreifache Steuersystem in einem Zustand befindet, in dem es einen Steuervorgang ausführen kann, oder in einem Zustand, in dem Wartung Und/oder Inspektion ausgeführt werden.
Da die einzelnen Diagnoseeinheiten wie auch die Steuergeräte asynchron zueinander arbeiten, kann sicher das Auftreten eines gemeinsamen Modus auf Grund von Synchronisation verhindert werden, wodurch die Zuverlässigkeit verbessert ist.
Ferner kann gemäß dem vorliegenden Ausführungsbeispiel der Erfindung die Errichtung verschiedener Typen gemeinsamer Modi verhindert werden, was bedeutet, daß die Zuverlässigkeit des dreifachen Steuersystems deutlich verbessert werden kann.
In der vorstehenden Beschreibung des vorliegenden Ausführungsbeispiels ist angenommen, daß die Ventile 13A, 13B und 13C auf ein Signal vom logischen Wert "1" hin geöffnet werden, während sie durch ein Signal vom logischen Wert "0" geschlossen werden. Es ist jedoch zu beachten, daß die Ventile auf ein Signal vom logischen Wert "0" hin in den offenen Zustand eingestellt werden können, während sie durch ein Signal vom logischen Wert "1" geschlossen werden.
Die in Fig. 2 dargestellte Mehrheitsentscheidungsschaltung kann durch die in Fig. 7 dargestellte Mehrheitsentschei dungsschaltung 10A&sub1; ersetzt werden. Dasselbe gilt für die anderen Mehrheitsentscheidungsschaltungen 10B und 10C. Gemäß Fig. 7 besteht die Mehrheitsentscheidungsschaltung 10A&sub1; aus drei UND-Gattern 6B, 6C und 6C und einem ODER-Gatter 5D, das so ausgebildet ist, daß es an seinen Eingängen die Ausgangssignale der UND-Gatter 6B, 6C und 6D empfängt. Die Signaldetektoren 12A, 12B und 12C erfassen jeweils die Ausgangssignale der UND-Gatter 6B, 6C bzw. 6D. Der Ausgangsanschluß des ODER-Gatters 5D ist mit dem Verdrahtungsleiter 20A verbunden. Andererseits sind die Verdrahtungsleiter 19A, 19B und 19C auf die in Fig. 7 dargestellte Weise mit den Eingangsanschlüssen der UND-Gatter 6B bis 6C verbunden.
Wenn die Ausgänge der drei ODER-Gatter der Mehrheitsentscheidungsschaltung 10A (Fig. 2) so verdrahtet werden, daß die Funktion eines UND-Gatters gebildet wird (d.h. eines UND-Gatters auf Grund einer verdrahteten Logik), um dadurch das UND-Gatter 6A zu ersetzen, wird eine Ariomalitätsdiagnose für das UND-Gatter überflüssig, das in Form der verdrahteten Logik realisiert ist. Demgemäß kann der Signaldetektor 11A eingespart werden.
Fig. 8 veranschaulicht ein Funktionsdiagramm für die Funktionen der Diagnoseeinheit 2A des in Fig. 1 dargestellten Steuersystems. Die folgende, unter Bezugnahme auf Fig. 8 vorgenommene Beschreibung gilt auch für die Diagnoseeinheiten 2B und 2C. In einer Diagnoseeinheit 2A', die funktionsmäßig die Diagnoseeinheit 2A repräsentiert, werden von einer Impulserzeugungseinrichtung J4 ausgegebene Impulse durch eine Zählereinrichtung J3 gezählt. Wenn die Anzahl der gezählten Impulse einen ersten vorbestimmten Wert erreicht hat, erzeugt die Zählereinrichtung J3 ein Signal sowohl für die Testsignal-Erzeugungseinrichtung J1 als auch die Testbefehlssignal-Ausgabeeinrichtung J2. Die Testsignal-Erzeugungseinrichtung J1 und die Testbefehlssignal-Ausgabeeinrichtung J2 reagieren auf die Eingabe des oben genannten Signals dadurch, daß sie das Testsignal S und das Testbefehlssignal CH über die Ausgabeeinrichtungen J9 bzw. J10 an die Verdrahtungsleiter 21A bzw. 22A ausgeben. Die Eingangseinrichtung J8 wird mit den Erfassungssignalen 16A bis 18A auf das Signal hin versorgt, wie es erzeugt wird, wenn die von der Zähleinrichtung J3 gezählte Anzahl von Impulsen einen zweiten, vorbestimmten Zählwert erreicht hat. Die so eingegebenen Erfassungssignale 16A, 17A und 18A werden einmal in die Speichereinrichtung J7 eingespeichert. Die durch die Erfassungssignale 16A bis 18A transportierten und in die Speichereinrichtung J7 eingespeicherten Daten werden durch die Anomalitätsentscheidungseinrichtung J5 für die Mehrheitsentscheidungsschaltung mit den in Fig. 5 veranschaulichten Mustern verglichen, wodurch eine Entscheidung hinsichtlich des Vorliegens oder Fehlens von Anomalität in der Mehrheitsentscheidungsschaltung 10 getroffen wird. Ferner erfaßt die Anomalitätsentscheidungseinrichtung J6 für die Diagnoseeinheit, ob ein Signal 16A existiert, das unter den drei innerhalb einer vorbestimmten Periode eingegebenen Sig nalen 16A keine Änderung erfahren hat. Wenn ein Signal 16A vorliegt, das während der vorbestimmten Periode unverändert blieb, erfolgt die Entscheidung, daß die betroffene Diagnoseeinheit unter Anomalität leidet, wie oben beschrieben. Die Ergebnisse der von den Anomalitätsentscheidungseinrichtungen J5 und J6 getroffenen Anomalitätsentscheidungen werden über die Ausgangseinrichtung J11 an die Anzeigeeinheit 23 ausgegeben. Die Diagnoseeinheiten 2B und 2C arbeiten entsprechend dem vorstehen beschriebenen Betrieb der Diagnoseeinheit 2A'.
Beim in Fig. 4 veranschaulichten Verarbeitungsablauf, wie er von der CPU 25 der Diagnoseeinheit 2A ausgeführt wird, entspricht die Funktion "Ausgabe des Testsignals" in den Schritten 31 und 35 derjenigen der Testsignal-Erzeugungseinrichtung J1, die Funktion "Ausgabe des Testbefehlssignals" in den Schritten 31 und 35 entspricht derjenigen der Testbefehlssignal-Erzeugungseinrichtung, die Funktionen in den Schritten 33, 34, 36, 33A und 34A entsprechen denjenigen der Anomalitätsentscheidungseinrichtung J5, und die Funktion "Zählen der Eingangsimpulszahl" in den Schritten 37, 38, 39, 40 und 32A entspricht der Funktion der Anomalitätsentscheidungseinrichtung J6. Anders gesagt, ist die CPU 25 mit den Funktionen der vorstehend genannten verschiedenen Einrichtungen versehen. Es ist ferner ersichtlich, daß der RAM 26 der Diagnoseeinheit 2A der Speichereinrichtung J7 ent spricht, die Eingangsschaltung 28 der Eingangseinrichtung J8 entspricht und die Ausgangsschaltung 27 den jeweiligen Ausgangseinrichtungen J9 bis J11 entspricht. Es ist auch ein nicht dargestellter Speicher vorhanden, der dem ROM entspricht (um z. B. die in Fig. 5 dargestellten Muster einzu speichern). Da die Diagnoseeinheit 2A' sowohl die Funktion der Testsignal-Erzeugungseinrichtung als auch diejenige der Testbefehlssignal-Erzeugungseinrichtung enthält, kann eine Synchronisierung zwischen diesen Einrichtungen leicht erzielt werden.
Es sei zusätzlich angemerkt, daß die oben angegebenen, verschiedenen Einrichtungen der Diagnoseeinheit 2A' durch Hardwarekonstruktionen realisiert sein können. Selbstverständlich kann die Verwendung einer Diagnoseinheit 2A' in Form einer Hardwarekonstruktion anstelle der in Fig. 1 dargestellten Diagnoseeinheiten 2A, 2B und 2C im wesentlichen zu denselben vorteilhaften Wirkungen führen, wie sie mit dem in Fig. 1 dargestellten Ausführungsbeispiel eines Steuersystems erzielbar sind.
Fig. 9 zeigt eine andere beispielhafte Ausführungsform eines dreifachen Steuersystems gemäß der Erfindung. Dieses Ausführungsbeispiel unterscheidet sich von dem in Fig. 1 dargestellten hauptsächlich dadurch, daß Zwischenspeichereinrichtungen 41A, 41B und 41C vorhanden sind. Die folgende Beschreibung ist daher auf diese Unterschiede gerichtet.
Die Zwischenspeicherungseinrichtungen 41A, 41B und 41C sind mit jeweils dem identischen Aufbau realisiert. Demgemäß wird der Aufbau der Zwischenspeichereinrichtung 41A unter Bezugnahme auf Fig. 10 im einzelnen beschrieben, wobei zu beachten ist, daß die Beschreibung auch für die anderen Zwischenspeichereinrichtungen 41B und 41C gilt. Die Zwischenspeichereinrichtung 41 besteht aus Zwischenspeicherschaltungen 42A bis 42H und einem UND-Gatter 43. Jede der Zwischenspeicherschaltungen 42A bis 42H kann in Form eines Flipflops realisiert sein. Die Zwischenspeicherschaltung 42A ist mit dem Signaldetektor 7A verbunden. Die Zwischenspeicherschaltung 42B ist mit dem Signaldetektor 8A verbunden. Der Zwischenspeicher 42C ist mit dem Signaldetektor 9A verbunden. Der
Zwischenspeicher 42D ist mit dem Signaldetektor 12A verbunden. Der Zwischenspeicher 42E ist mit dem Signaldetektor 12B verbunden. Der Zwischenspeicher 42F ist mit dem Signaldetektor 120 verbunden. Schließlich ist die Zwischenspeicherschaltung 42H mit dem Signaldetektor 11a verbunden. Außerdem sind die Signaldetektoren 12A bis 120 mit den Eingangsanschlüssen des UND-Gatters 43 verbunden, dessen Ausgangsanschluß mit der Zwischenspeicherschaltung 43G verbunden ist. Die Zwischenspeicherschaltungen 42A bis 42C der Zwischenspeichereinrichtung 41B sind mit den Signaldetektoren 7B, 8B bzw. 98 verbunden, während die Zwischenspeicherschaltung 42H mit dem Signaldetektor 11b verbunden ist. Andererseits sind die Zwischenspeicherschaltungen 42A bis 42C der Zwischenspeichereinrichtung 41C mit den Signaldetektoren 7C, 8C bzw. 90 verbunden, während die zugehörige Zwischenspeicherschaltung 42H mit dem Signaldetektor 110 verbunden ist. Die Zwischenspeicherschaltungen 42E bis 42G der Zwischenspeichereinrichtungen 42E und 410 sind mit den Signaldetektoren 12A bis 120 auf ähnliche Weise verbunden, wie dies für die Zwischenspeichereinrichtung 41A gilt.
Die beim vorliegenden Ausführungsbeispiel jeweils durch einen Mikroprozessor gebildeten Diagnoseeinheiten 2A&sub1;, 2B&sub1; und 2C&sub1; sind im wesentlichen mit den Diagnoseeinheiten 2A, 2B und 20 des vorigen Ausführungsbeispiels identisch. Wenn die in Fig. 11 dargestellten Diagnoseeinheit 2A&sub1; betrachtet wird, unterscheidet sich diese Einheit 2A&sub1; von der Diagnoseeinheit 2A dahingehend, daß ein Bus 30A vorhanden ist und daß eine Ausgangseinrichtung 27A vorhanden ist, mit der Ver drahtungsleiter 3A, 21A, 22A, 44A und 45A verbunden sind. Die zusätzlich vorhandenen Verdrahtungsleiter 44A und 45A sind jeweils mit den Zwischenspeicherschaltungen 42A bis 42H der Zwischenspeichereinrichtung 41A verbunden. Auf ähnliche Weise sind mit der Ausgangsschaltung 27A der Diagnoseeinheit 28&sub1; verbundene Verdrahtungsleiter 44B und 45B mit den Zwischenspeicherschaltungen 42A bis 42H der Zwischenspeichereinrichtung 41B verbunden. Ferner sind mit der Ausgangsschaltung 27A der Diagnoseeinheit 20j verbunden Verdrahtungsleiter 44C und 45C mit den Zwischenspeicherschaltungen 42A bis 42H der Zwischenspeichereinrichtung 410 verbunden. Die Ausgangsanschlüsse der Zwischenspeicherschaltungen 42A bis 42H der Zwischenspeichereinrichtungen 41A, 41B und 41C sind jeweils mit den Eingangsschaltungen 28 der Diagnoseeinheiten 2A&sub1;, 2B&sub1; bzw. 2C&sub1; verbunden.
Die Funktionen der Zwischenspeichereinrichtungen 41A, 41B und 41C werden nun unter Verwendung der Zwischenspeichereinrichtung 41A als Beispiel beschrieben. Die Zwischenspeicherschaltung 42A der Zwischenspeichereinrichtung 41A wird mit dem Erfassungssignal 16A vom mit ihr verbundenen Signaldetektor 7A versorgt. Wenn das eingegebene Erfassungssignal eine Änderung erfährt, wird eine Flanke oder ein übergang der Änderung (z. B. von logisch "0" auflogisch "1") dazu genutzt, den Zustand des Erfassungssignals nach dem Übergang aufrechtzuerhalten. Die Zwischenspeicherschaltung 42A speichert den Zustand des Erfassungssignals ein, wie er auf die Eingabe eines nachfolgend beschriebenen Ladesignals L&sub0; erfaßt wird. Ferner setzt die Zwischenspeicherschaltung 42A das in ihr abgespeicherte Signal auf "0" zurück, wenn ein Rücksetzsignal R&sub1; eingegeben wird, wie es über den Verdrahtungsleiter 44A von der Diagnoseeinheit 2A&sub1; geliefert wird. Derartige Funktionen der Zwischenspeicherschaltung 42A sind auf ähnliche Weise jeder der Zwischenspeicherschaltungen 42B bis 42H verliehen. Die Zwischenspeicherschaltungen 42B und 42C erhalten als Eingangssignale die Erfassungssignale 16A, wie sie von den Signaldetektoren 8A bzw. 9A erzeugt werden. Die Zwischenspeicherschaltungen 42D und 42F und das UND-Gatter 43 werden mit den Erfassungssignalen 12A jeweils vom entsprechenden der Signaldetektoren 12A bis 12C versorgt. Schließlich wird die Zwischenspeicherschaltung 42H mit dem Erfassungssignal 18A versorgt, das vom Signaldetektor 12A erzeugt wird. Das Ausgangssignal des UND-Gatters 43 wird in die Zwischenspeicherschaltung 42G eingegeben. Die in den Zwischenspeicherschaltungen 42A bis 42C eingespeicherten Erfassungssignale 16A, die in den Zwischenspeicherschaltungen 42D bis 42G eingespeicherten Erfassungssignale 17A, das vom UND-Gatter 43 ausgegebene und in der Zwischenspeicherschaltung 42 abgespeicherte Signal sowie das in der Zwischenspeicherschaltung 42H abgespeicherte Erfassungssignal 18A werden an die Eingangsschaltung 28 der Diagnoseeinheit 2A&sub1; geliefert.
Der normale Steuervorgang des Steuersystems gemäß dem vorliegenden Ausführungsbeispiel ist identisch mit dem des in Fig. 1 dargestellten Steuersystems. Auf Grund der Vorgänge oder Wirkungen der Diagnoseeinheiten 2A&sub1; bis 2C&sub1; werden die Signale a, b und c, die die impuisförmigen Testsignale S enthalten, wie in Fig. 6 veranschaulicht, von den Umschaltern SWA, SWB bzw. SWC ausgegeben, wie im Fall des in Fig. 1 dargestellten Ausführungsbeispiels Die Diagnoseeinheiten 2A&sub1;, 2B&sub1; und 2C&sub1; arbeiten asynchron zueinander.
Die Diagnoseverarbeitung, wie sie von jeder Diagnoseeinheit ausgeführt wird, wird nun beschrieben, wobei der Betrieb der Diagnoseeinheit 2A&sub1; als Beispiel verwendet wird, wobei zu beachten ist, daß die Diagnoseeinheiten 2B&sub1; und 2C&sub1; auf dieselbe Weise arbeiten wie die Diagnoseeinheiten 2A&sub1;. Die einen Hauptteil der Diagnoseeinheit 2A&sub1; bildende CPU 25 führt die Verarbeitung gemäß dem in den Fig. 12 und 13 veranschaulichten Verarbeitungsabläufen aus, wie sie im ROM 24 abgespeichert sind. In diesem Zusammenhang sei darauf hingewiesen, daß durch Lesen der in den Fig. 12 und 13 dargestellten Signale 16A bis 18A als Signale 16B bis 18B der in diesen Figuren dargestellte Verarbeitungsablauf auch für die Diagnoseeinheit 2B&sub1; gilt. Auf ähnliche Weise gilt der in den Fig. 12 und 13 dargestellte Verarbeitungsablauf für die Diagnoseeinheit 2C&sub1;, wenn die Signale 16A bis 18A als Signale 16C bis 18C gelesen werden.
Die-CPU 25 führt als erstes einen Schritt 31 aus, wodurch das Testsignal 5 vom logischen Wert "0" über den Umschalter SWA an den Verdrahtungsleiter 19A ausgegeben wird. Dieses Testsignal 5 vom logischen Wert "0" wird über den Verdrahtungsleiter 19A an die Mehrheitsentscheidungsschaltungen 10A bis 100 übertragen. Die Signale b und c (von denen jedes das Testsignal oder das vom zugehörigen Steuergerät ausgegebene Steuersignal enthält) werden über die Umschalter SWB und SWC ausgegeben, um jeweils an die Mehrheitsentscheidungseinheiten 10A, 10B und 10C geliefert zu werden.
Die- Erfassungssignale 16A, 17A und 18A werden in die zugehörigen Zwischenspeicherschaltungen 42A bis 42F sowie 42H und in das UND-Gatter 43 in der Zwischenspeichereinrichtung 41A eingegeben. Wenn in den an die Zwischenspeicherschaltungen 42A, 42D, 42F, 42G und 42H eingegebenen Signalen auf das Auftreten des Testsignals 5 vom logischen Wert- "0" auf den Verdrahtungsleiter 19A hin eine Änderung oder ein Übergang auftritt, speichern die oben angegebenen, zugeordneten Zwischenspeicherschaltungen den aktualisierten (neuen) Zustand der Signale ein, die die Änderung oder den übergang erfuhren. Die in den jeweiligen Zwischenspeicherschaltungen abgespeicherten, aktualisierten Signale werden dann an die Eingangsschaltung 28 der Diagnoseeinheit 2A&sub1; geliefert. Andererseits liefern die anderen Zwischenspeicherschaltungen 42B, 42C und 42E die eingespeicherten Signale unverändert an die Eingangsschaltung 28, solange das über die-- Verdrahtungsleiter 19B oder 19C übertragene Signal keine Änderung erfährt.
Im Schritt 32 werden die Signale 16A, 17A und 18A über den Datenbus 30 in die CPU 25 eingegeben, um in den RAM 26 eingespeichert zu werden. Anschließend stellt die CpU 25 klar (sie erfaßt), daß die Signale 16A bis 18A eingegeben wurden und dann gibt sie das Rücksetzsignal R&sub1; aus (Schritt 46). Dieses Rücksetzsignal R&sub1; wird über den Verdrahtungsleiter 44A an die Zwischenspeicherschaltungen 42A bis 42H der Zwischenspeichereinrichtung 41A gegeben, um die in diesen Zwischenspeicherschaltungen 42A bis 42H abgespeicherten Signale auf den logischen Wert "0" zu löschen.
Ähnlich wie im Fall des in Fig. 1 dargestellten Ausführungsbeispiels werden die Eingangssignale 16A bis 18A mit den Ausgangsmustern (Fig. 5) verglichen, wie sie von der Mehrheitsentscheidungsschaltung 10A ausgegeben werden, was im normalen Zustand derselben im Schritt 33 erfolgt, gefolgt von einem Schritt 34, in dem eine Entscheidung hinsichtlich des Vorliegens oder Fehlens von Anomalität in den einzelnen, die Mehrheitsentscheidungsschaltung 10A bildenden Komponenten getroffen wird. Wenn die Entscheidung im Schritt 34 auf das Vorliegen von Anomalität lautet, wird Information zur Anomalität (z. B., daß eine Komponente unter einem Ausfall leidet) an die Anzeigeeinheit 23 geliefert (Schritt 36).
Die Diagnoseeinheit 2A&sub1; empfängt an ihrem Eingang die Ausgangssignale der Zwischenspeicherschaltungen 42D, 42E und 42F sowie das Ausgangssignal der Zwischenspeicherschaltung 42G als Signal 17. Der Grund, weswegen die Zwischenspeicherschaltung 42G zum Einspeichern des Ausgangssignals des UND- Gatters 43 vorhanden ist, kann wie folgt erläutert werden. Die Mehrheitsentscheidungsschaltung 10A, die logisch mit 2- Aus-3-Abstimmkonf iguration realisiert ist, kann ein Signal vom logischen Wert "1" nur dann ausgeben, wenn die Ausgangssignale aller ODER-Gatter 5A bis 5C den logischen Wert "1" einnehmen. Demgemäß kann die Mehrheitsentscheidungsschaltung 10A zu den in Fig. 6 dargestellten Zeitpunkten t&sub1;, t&sub2; und t&sub4; nie ein Signal vom logischen Wert "1" ausgeben. Es sei jedoch darauf hingewiesen&sub1; daß alle Zwischenspeicherschaltungen 42B bis 42F zum Zeitpunkt t&sub4; Signale vom logischen Wert "1" einspeichern. Dies kann auf Grund der Tatsache erläutert werden, daß die Umschalter SWA, SWB und SWC die jeweiligen Testsignale 5 ausgeben, die zeitweilig auf Grund der Verarbeitung voneinander abweichen, wie sie von den einzelnen Diagnoseeinheiten im Schritt 31 innerhalb einer extrem kurzen Periode T&sub4; ausgeführt wird, wie in Fig. 6 veranschaulicht. Die Zwischenspeicherschaltungen 42D bis 42F geben zumindest zum Zeitpunkt t&sub4; ein Signal vom logischen Wert "1" aus. Andererseits speichert die Zwischenspeicherschaltung 42H zum Zeitpunkt t&sub4; ein Signal vom logischen Wert "0" ein. Dies, da das UND-Gatter 6A der Mehrheitsentscheidungsschaltung 10A während der Periode T4 ein Signal vom logischen Wert "0" ausgibt. Infolgedessen entscheidet die Diagnoseeinheit 2A&sub1;, die als Eingangssignale nur die Ausgangssignale der Zwischenspeicherschaltungen 42A bis 42F und 42H erhält, zum Zeitpunkt t&sub4; fehlerhaft, daß das normal arbeitende UND- Gatter 6A unter Anomalität leidet. Um eine derartige fehlerhafte Entscheidung auszuschließen, sind das UND-Gatter 43 und die Zwischenspeicherschaltung 42G in der Zwischenspeichereinrichtung 41 vorhanden. Das UND-Gatter 43 gibt den logischen Wert "1" nur dann aus, wenn die Ausgangssignale der ODER-Gatter 5A, 5B und 5C gleichzeitig den logischen Wert "1" führen. Demgemäß gibt die Zwischenspeicherschaltung 42G ein Signal vom logischen Wert "1" an die Diagnoseeinheit 2A&sub1; aus, wenn die ODER-Gatter 5A, 5B und 5C gleichzeitig ein Signal vom logischen Wert "1" ausgeben. Wenn alle Zwischenspeicherschaltungen 42D, 42E und 42F ein Signal vom logischen Wert "1" ausgeben, trifft die Diagnoseeinheit 2A&sub1; die Entscheidung, daß in der Mehrheitsentscheidungsschaltung 10A eine Anomalität vorliegt&sub1; vorausgesetzt, daß das Ausgangssignal der Zwischenspeicherschaltung 42G den logischen Wert "1" hat, während sie eine Entscheidung hinsichtlich des Fehlens von Anomalität trifft, wenn das Ausgangssignal der Zwischenspeicherschaltung 42G den logischen Wert "0" hat.
Wenn im Schritt 34 entschieden wird, daß die Mehrheitsentscheidungsschaltung 10A normal arbeitet, geht der Ablauf zu einem Verarbeitungsschritt 47 weiter. In diesem Schritt 47 erfolgt eine Entscheidung dahingehend, ob alle Ausgangssignale der Zwischenspeicherschaltungen 42A, 42B und 42C (d.h. die Signale 16A im Schritt 37) den logischen Wert "0" haben. Wenn die Entscheidung im Schritt 47 zu "NEIN" (verneinend) führt, geht der Ablauf zur Verarbeitung in einem Schritt 35 weiter. Anschließend werden die Verarbeitungsvorgänge in den Schritten 32A, 46B, 37, 33A, 34A, 38 und 39 sequentiell ausgeführt. Die Verarbeitung im Schritt 468 ist dieselbe wie die im Schritt 46. Wenn im Schritt 39 entschieden wird, daß ein Signal 16A vorliegt, das keine Änderung erfahren hat, geht der Ablauf zum Schritt 40 weiter. Andernfalls geht der Ablauf zum Schritt 31 weiter.
Wenn im Schritt 47 erkannt wird, daß alle drei Signale 16A den logischen Wert "0" haben, gibt die CPU 25 ein Ladesignal L&sub0; aus (Schritt 48). Dieses Ladesignal L&sub0; wird über den Verdrahtungsleiter 45A an die einzelnen Zwischenspeicherschaltungen der Zwischenspeichereinrichtung 41A geliefert. Alle die Zwischenspeichereinrichtung 41A bildenden Zwischenspeicherschaltungen nehmen auf das eingegebene Ladesignal L&sub0; hin einen Zugrif£ vor, um die zugehörigen Erfassungssignale 16A, 17A und 18A einzuspeichern. Die Zwischenspeicherschaltung 42G erfaßt das Ausgangssignal des UND-Gatters 43. Anschließend wird der Schritt 32 ausgeführt. Der Grund, weswegen die Signale auf das Ladesignal L&sub0; hin zwangsweise durch die Zwischenspeicherschaltungen erfaßt werden, kann wie folgt erläutert werden. Um zu entscheiden, ob die einzelnen logischen Komponenten der Mehrheitsentscheidungsschaltung 41A normal arbeiten oder nicht, und zwar selbst dann, wenn alle drei Signale a, b und c den logischen Wert "0" haben, erfaßt die Diagnoseeinheit 2A&sub1; auf das Ladesignal L&sub0; hin die Ausgangssignale der Zwischenspeicherschaltungen 42A bis 42H. Anders gesagt, erfahren, da die Zwischenspeicherschaltungen 42A bis 42H durch das Rücksetzsignal R&sub1; auf den Zustand logisch "0" gelöscht werden, die in den Zwischenspeicherschaltungen abgespeicherten Zustände keine Änderung, solange die Erfassungssignale 16A auflogisch "0" verbleiben. Demgemäß besteht die Möglichheit, daß der Zustand, bei dem die Ausgangssignale aller Zwischenspeicherschaltungen der Zwischenspeichereinrichtung 41A den Wert logisch "0" haben, unter dem Einfluß des Rücksetzsignals R&sub1; statt unter dem der Erfassungssignale 16A vom logischen Wert "0" existiert. Unter diesen Umständen kann mittels der zwangsweisen Signalerfassung durch die Zwischenspeicherschaltungen 42A bis 42H auf das Ladesignal L&sub0; hin eine Entscheidung hinsichtlich des Vorliegens oder Fehlens von Anomalität in der Mehrheitsentscheidungsschaltung 10A auf Grundlage der Ausgangssignale der einzelnen Zwischenspeicherschaltungen, die auf das Rücksetzsignal hin gelöscht wurden, vermieden werden, während die Ausführung einer Entscheidung durch die Mehrheitsentscheidungsschaltung 10A nur dann zugelassen ist, wenn alle drei Signale 16A den logischen Wert "0" haben.
Nach der Ausführung des Schritts 32B werden die Schritte 46A, 33B und 34B ausgeführt, in denen dieselben Verarbeitungen wie in den Schritten 46, 33 und 34 ausgeführt werden. Die Verarbeitung im Schritt 47A wird auf dieselbe Weise wie im Schritt 47 ausgeführt. Wenn das Ergebnis im ausgeführten Schritt 47A "JA" ist, wird die ab dem Schritt 48, ein schließlich desselben, beginnende Verarbeitung wiederholt. Andererseits wird, wenn das Ergebnis der im Schritt 47A getroffenen Entscheidung "NEIN" ist, der auf den Schritt 32A, einschließlich desselben, folgende Ablauf ausgeführt.
Beim vorliegenden Ausführungsbeispiel der Erfindung können ähnlich vorteilhafte Wirkungen wie beim in Fig. 1 dargestellten Ausführungsbeispiel erzielt werden. Außerdem können durch das Anbringen der Zwischenspeichereinrichtung, die die Ausgangssignale der einzelnen Signaldetektoren zwischenspeichern kann, die asynchron durch die asynchron arbeitenden Diagnoseeinheiten ausgegebenen Testsignale S gleichzeitig abgerufen werden. Anders gesagt, kann, obwohl die einzelnen Diagnoseeinheiten asynchron arbeiten, die Anomalitätsentscheidung für eine vorgegebene der Mehrheitsentscheidungsschaltungen mit hoher zuverlässigkeit auf Grundlage der gleichzeitig erzeugten Testsignale durch Zusammenwirken mit den anderen Diagnoseeinheiten getroffen werden.
Wenn eine vorbestimmte Zeit, wie sie erforderlich ist, daß der Einfluß des Löschvorgangs durch das Rücksetzsignal R&sub1; zu null wird (d.h., die Zeit, die dazu erforderlich ist, daß das Signal vom logischen Wert "0" oder vom logischen Wert "1" nach dem Löschvorgang in die Zwischenspeicherschaltung eingegeben wird) auf die Verarbeitung im Schritt 46 hin ver strichen ist, kann der Schritt 35 ausgeführt werden. In diesem Fall wird die Reihe von oben beschriebenen Abläufen in den Schritten 47 bis 47A überflüssig, wodurch der Verarbeitungsablauf entsprechend vereinfacht werden kann.
Der Signaldetektor 11a und die Zwischenspeicherschaltung 42H können dadurch weggelassen werden, daß das UND-Gatter 6A durch ein UND-Gatter in Form verdrahteter Logik ersetzt wird, wie im Fall des in Fig. 1 veranschaulichten Ausführungsbeispiels.
Fig. 14 veranschaulicht die Funktion der Diagnoseeinheit 2A&sub1; des in Fig. 9 dargestellten Ausführungsbeispiels Diese Diagnoseeinheit 2A&sub1;', die funktional die Diagnoseeinheit 2A&sub1; repräsentiert, unterscheidet sich von der in Fig. 8 darge-35 stellten Diagnoseeinheit 2A' dahingehend, daß die Rücksetz signal-Ausgabeeinrichtung J&sub1;&sub2;, die Signal(16A) identifiziereinrichtung J13 zum Ausgeben des Ladesignals L&sub0; und die Ausgangseinrichtung J14 zur in Fig. 8 veranschaulichten Diagnoseeinheit 2A' hinzugefügt sind. Die Diagnoseeinheiten 2B&sub1; und 2C&sub1; entsprechen hinsichtlich der Funktion der Diagnoseeinheit 2A&sub1;'.
Wenn jede der Mehrheitsentscheidungsschaltungen 10A, 10B und 10C des in Fig. 9 dargestellten Ausführungsbeispiels durch die in Fig. 7 dargestellte Mehrheitsentscheidungsschaltung loaj ersetzt wird, ist es erforderlich, jeder der Zwischenspeichereinrichtungen 41A, 41B und 41C mit dem Aufbau der in Fig. 15 dargestellten Zwischenspeichereinrichtung 49 zu versehen. Diese Zwischenspeichereinrichtung 49 enthält Zwischenspeicherschaltungen 421 bis 42K sowie UND-Gatter 50A, 50B und 50C anstelle der Zwischenspeicherschaltung 42G und des UND-Gatters 43 in der Zwischenspeichereinrichtung 41A. Der Betrieb oder die Funktion der Zwischenspeichervorrichtung wird dahingehend erläutert, daß beispielhaft angenommen wird, daß die Zwischenspeichereinrichtung 49 für die Zwischenspeichereinrichtung 41A verwendet ist. Das UND-Gatter 50A empfängt an seinen Eingängen die Ausgangssignale der Signaldetektoren 7A und 8A. Das UND-Gatter 50B empfängt die Ausgangssignale der Signaldetektoren 8A und 9A. Das UND-Gatter 50C empfängt die Ausgangssignale der Signaldetektoren 7A und 9A. Das Ausgangssignal des UND-Gatters 50A wird in die Zwischenspeicherschaltung 42I eingegeben. Das Ausgangssignal des UND-Gatters 50B wird in die Zwischenspeicherschaltung 42J eingegeben. Das Ausgangssignal des UND-Gatters 50C wird in die Zwischenspeicherschaltung 42K eingegeben. Andererseits werden die Ausgangssignale der Zwischenspeicherschaltungen 42I bis 42K in die Diagnoseeinheit 2A&sub1; eingegeben. Ferner erhalten die Zwischenspeicherschaltungen 42I bis 42K als andere Eingangssignale das Rücksetzsignal R&sub1; und das Ladesignal L&sub0; über die Verdrahtungsleiter 44A und 45A. Die Zwischenspeicherschaltungen 42D, 42E, 42F erhalten als Eingangssignale die Ausgangssignale der Signaldetektoren 12A, 12B bzw. 12C, wie in Fig. 7 dargestellt. Zum in Fig. 6 dargestellten Zeitpunkt t&sub4; hat das Signal a den logischen Wert "1", während die Signale b und c den logischen Wert "0" haben. Jedoch enthalten alle Zwischenspeicherschaltungen 42A, 42B und 42C zu diesem Zeitpunkt t&sub4; den logischen Wert "1". Die Zwischenspeicherschaltungen 42A bis 42C geben zum Zeitpunkt t&sub4; jeweilige Signale vom logischen Wert "1" an die Diagnoseeinheit 2A&sub1; aus. Demgemäß entscheidet die Diagnoseeinheit 2A&sub1;, daß die UND-Gatter 6B bis 6C der Mehrheitsentscheidungsschaltung 10A&sub1; unter Anomalität leiden. Um eine derartige fehlerhafte Entscheidung zu verhindern, sind die Zwischenspeicherschaltungen 42I, 42H und 42K wie auch die UND-Gatter 50A, 50B und 50C vorhanden, ähnlich der Zwischenspeicherschaltung 42G und dem UND-Gatter 43, wie sie oben angegeben sind. Die Diagnoseeinheit 2A&sub1; führt eine Anomahtätsentscheidung für die Mehrheitsentscheidungsschaltung 10A&sub1; auf Grundlage der Annahme aus, daß die Ausgangssignale vom logischen Wert "0" von den Zwischenspeicherschaltungen 42A und 428 dann gelten, wenn das Ausgangssignal der Zwischenspeicherschaltung 42I den logischen Wert "1" hat, daß die Ausgangssignale vom logischen Wert "1" von den Zwischenspeicherschaltungen 42B und 42C gelten, wenn das Ausgangssignal der Zwischenspeicherschaltung 42J den logischen Wert "1" hat und daß die Ausgangssignale vom logischen Wert "1" der Zwischenspeicherschaltungen 42A und 42C gelten, wenn das Ausgangssignal der Zwischenspeicherschaltung 42K den logischen Wert "1" hat.
Nun wird unter Bezugnahme auf die Fig. 16, 17 und 18 ein anderes Ausführungsbeispiel eines dreifachen Steuersystems gemäß der Erfindung beschrieben. Fig. 16 zeigt ein Steuergerät 1A&sub2;, das als Ausgangssignal das Signal a in Zuordnung zu einer Mehrheitsentscheidungsschaltung 10A und einer Diagnoseeinheit 2A&sub3; erzeugt. Es ist jedoch leicht ersichtlich, daß auf dieselbe Weise, wie es in Fig. 16 dargestellt ist, Steuergeräte in Zuordnung zu den zugehörigen Mehrheitsentscheidungsschaltungen und Diagnoseeinheiten vorhanden sind, die jeweils die Signale b bzw. c ausgeben. Im Fall des vorliegenden Ausführungsbeispiels werden die Ausgangssignale S&sub1; bis Sn einzelner Sensoren direkt in das Steuergerät 1A&sub2; eingegeben.
Fig. 17 zeigt einen Hardwareaufbau für das Steuergerät 1A&sub2;. Wie es aus dieser Figur erkennbar ist, enthält das Steuergerät 1A&sub2; eine CPU 55B, einen RAM 55C, einen ROM 55D, Eingangsschaltungen 55A und 55F, Ausgangsschaltungen 55E und 55G sowie einen Bus 55H zum Verbinden dieser Komponenten. Die Steuergeräte 1B&sub2; und 1C&sub2; sind mit demselben Aufbau realisiert. Die in Fig. 18 dargestellte Diagnoseeinheit 2A&sub3; ist im wesentlichen mit der oben in Verbindung mit Fig. 3 beschriebenen Diagnoseeinheit 2A identisch. Die Diagnoseeinheit 2A&sub3; unterscheidet sich von der letzteren 2A dahingehend, daß externe Verdrahtungsleiter 3A und 75 im Fall der Diagnoseeinheit 2A&sub3; mit der Ausgangsschaltung 27 verbunden sind.
Die CPU 25 der Diagnoseeinheit 2A&sub3; führt die Verarbeitung gemäß dem in Fig. 20 veranschaulichten Ablauf aus, während die CPU 55B des Steuergeräts 1A&sub2; den in Fig. 19 veranschaulichten Verarbeitungsablauf ausführt. Der Verarbeitungsablauf von Fig. 20 wird auch von den anderen Diagnoseeinheiten ausgeführt. Auf ähnliche Weise wird der in Fig. 19 darge stellte Verarbeitungsablauf auch von den anderen Steuergeräten ausgeführt.
Die CPU 25 der Diagnoseeinheit 2A&sub3; gibt in einem Schritt 35A ein Testbefehlssignal CH aus. Dieses Testbefehlssignal CH wird über den Verdrahtungsleiter 75 in den RAM 55C des Steuergeräts 1A&sub2; eingegeben.
Die CPU 55B des Steuergeräts 1A&sub2; führt die Verarbeitung eines Schritts 59 aus. Genauer gesagt, entscheidet die CPU 55B, ob das Testbefehlssignal CH eingegeben wurde oder nicht. Nach der Eingabe des Testbefehlssignals CH führt die Entscheidung im Schritt zu "JA" (bejahend), wodurch die Ausführung eines Schritts 76 folgt. Anders gesagt, wird das impulsförmige Testsignal einschließlich einer Wechselfolge von "0", "1" und "0" als Signal a ausgegeben. Die zeitliche Breite oder die Dauer des impulsförmigen Testsignals ist wie im Fall des in Fig. 1 dargestellten Ausführungsbeispiels durch T&sub0; repräsentiert. Folgend auf die Ausgabe dieses Testsignals wird das im RAM 55C abgespeicherte Testbefehlssignal CH gelöscht (Schritt 67), um zu verhindern, daß das impulsförmige Testsignal unter Anweisung durch das im RAM 550 abgespeicherte Testbefehlssignal CH häufig ausgegeben wird. Wenn die Sensorausgangssignale S&sub1; bis Sn in das Steuergerät 1A&sub2; eingegeben werden, führt die CPU 55B die Verarbeitungsschritte 60, 61A, 62A, 63 und 64 aus.
Nach der Ausführung des Schritts 35A führt die CPU 25 der Diagnoseeinheit 2A&sub3; die zuvor beschriebenen Verarbeitungsschritte 32A, 37, 33A, 34A, 38 und 39 aus. Zusätzlich kann, falls es die Anwendung erfordert, deü oben angegebene Schritt 36 oder der Schritt 40 ausgeführt werden.
Gemäß dem vorliegenden Ausführungsbeispiel der Erfindung können ähnliche Wirkungen wie durch das in Fig. 1 dargestellte Ausführungsbeispiel erzielt werden. Insbesondere muß darauf hingewiesen werden, daß die Wahrscheinlichkeit des Einflusses eines Fehlers in mindestens der CPU 558 des Steuergeräts 1A&sub2; (d.h., die Funktion der in Fig. 21 dargestellten Testsignal-Erzeugungseinrichtung K2), der CPU 25 der Diagnoseeinheit 2A&sub3;, dem Bus 30 und der Ausgangsschaltung 27 (d.h., die Funktionen der Testbefehlssignal-Ausgabeeinrichtung J2, des Zählers J3 und der Ausgangseinrichtung J10) auf die zu steuernde Vorrichtung verringert ist. Die Diagnoseanomalität-Entscheidungsschaltung J4 entscheidet abhängig davon, ob das Testsignal innerhalb einer vorbestimmten Zeitdauer eine Änderung erfährt oder nicht, auf Anomalität in der Testsignal-Erzeugungsschaltung K2, der Testbefehlssignal-Ausgabeschaltung J2, dem Zähler J3 und der Ausgangsschaltung J10. Fig. 21 zeigt ein Steuergerät 1A&sub2;' und eine Diagnoseeinheit 2A&sub3;', die funktional das Steuergerät 1A&sub2; bzw. die Diagnoseeinheit 2A&sub3; repräsentierten. Die anderen Steuergeräte und Diagnoseeinheiten führen jeweilige Funktionen auf ähnliche Weise aus. Die Diagnoseeinheit 2A&sub3;' unterscheidet sich von der in Fig. 8 dargestellten Diagnoseeinheit 2A' dahingehend, daß die Testsignal-Erzeugungseinrichtung J1 und die Ausgangseinrichtung J9 der letzteren weggelassen sind und daß die Regleranomalitäts-Entscheidungseinrichtung J15 wie im Fall der Diagnoseeinheit 2A&sub1; vorhanden ist. Die Steuereinrichtung 1A&sub2;' enthält eine Steuersignal- Erzeugungseinrichtung K1 (entsprechend den Schritten 60, 61A, 62A, 63 und 64), eine Testsignal-Erzeugungseinrichtung K2 (entsprechend einem Schritt 76) und eine Umschalteinrichtung K3 (entsprechend einem Schritt 59). Die Testsignal-Erzeugungseinrichtung K2 empfängt als Eingangssignal das Testbefehlssignal CH, und sie gibt das Testsignal aus. Die Umschalteinrichtung K3 führt auf das Testbefehlssignal CH einen Umschaltvorgang aus. Das Steuergerät oder der Regler, wie bei jedem der bisher beschriebenen Ausführungsbeispiele vorhanden, enthält eine Steuersignal-Erzeugungseinrichtung Kl. Jedoch sind die Testsignal-Erzeugungseinrichtung K2 und die Umschalteinrichtung K3 nicht vorhanden.
Fig. 22 zeigt noch ein anderes Ausführungsbeispiel eines dreifachen Steuersystems gemäß der Erfindung. Das dreifache Steuersystem gemäß dem vorliegenden Ausführungsbeispiel entspricht dem in Fig. 1 dargestellten System, bei dem nur eine, nämlich 10A, der drei Mehrheitsentscheidungsschaltungen 10A, 10B und 10C verwendet ist. Die der Steuerung unterliegende Vorrichtung ist nur ein Ventil 13. Die Steuergeräte (Regler) 1A, 1B und 1C sind in eineindeutiger Entsprechung zu den Diagnoseeinheiten 2A, 2B bzw. 2C vorhanden. Die Erfassungssignale 16A der an der Eingangsseite der Mehrheitsentscheidungsschaltung 10A vorhandenen Signaldetektoren 7A, 8A und 9A, die Erfassungssignale der in der Mehrheitsentscheidungsschaltung 10A vorhandenen Signaldetektoren 12A, 12B und 12C sowie das Erfassungssignal 18A des an der Ausgangsseite der Mehrheitsentscheidungsschaltung 10A vorhandenen Signaldetektors 11A sind verzweigt und werden jeweils an die Diagnoseeinheiten 2A, 2B und 2C gegeben.
Jede der Diagnoseeinheiten 2A bis 2C führt dieselbe Verarbeitung aus, wie sie in Fig. 4 dargestellt ist. Das vorliegende Ausführungsbeispiel kann auf entsprechende Weise die vorteilhaften Wirkungen erzielen, wie sie im Fall des in Fig. 1 dargestellten Ausführungsbeispiels erhalten werden.
Auf diese Weise können die Lehren der vorliegenden Erfindung in entsprechender Weise auf einen Fall angewandt werden, in dem nur eine Vorrichtung einem Steuerungsvorgang unterworfen wird. Nebenbei gesagt, sei darauf hingewiesen, daß im in Fig. 19 dargestellten Ausführungsbeispiel die Zwischenspeichereinrichtungen 41A, 41B und 41C auf ähnliche Weise wie beim in Fig. 9 dargestellten Ausführungsbeispiel vorhanden sein können.
Nachfolgend wird unter Bezugnahme auf die Fig. 23, 24 und 25 ein vierfaches Steuersystem gemäß einem weiteren Ausführungsbeispiel der Erfindung beschrieben. Dieses vierfache Steuersystem ist auf ein Kernreaktor-Schutz-Oder-Sicherungssystem in einem Kernkraftwerk angewandt. Die Anordnung dieses Steuersystems ist im wesentlichen identisch mit der des in Fig. 1 dargestellten Steuersystems, mit der Ausnahme, daß wegen der vierfachen Ausgestaltung zusätzlich ein Steuergerät (Regler) 1D, ein Umschalter SWD, eine Mehrheitsentscheidungsschaltung 10D&sub3;, eine Diagnoseeinheit 2D&sub7;, Signaldetektoren 7D, 8D, 9D sowie 83A bis 83D und Verdrahtungsleiter 19D und 22 zusätzlich vorhanden sind. Die Bezugszeichen 84A bis 84D kennzeichnen Erregerspulen zum Aktivieren jeweiliger Ventile 13A bis 13D. Obwohl die Erregerspulen 84A bis 84D in den Fig. 23 und 24 gesondert von den zugehörigen Ventilen 13A bis 13D dargestellt sind, ist leicht ersichtlich, daß sie tatsächlich zusammengebaut sind. Das Steuergerät 1D hat denselben Aufbau wie das Gerät 1A, 1B oder 1C, und es dient denselben Funktionen wie die letzteren. Der Umschalter SWD dient denselben Funktionen wie die Umschalter SWA, SWB oder SWC. Der mit dem stationären Kontakt 40 des Umschalters SWD verbundene Verdrahtungsleiter ist jeweils mit den Mehrheitsentscheidungsschaltungen 10A&sub3; bis 10D&sub3; verbunden. Die Signaldetektoren 83A, 83B, 83C und 83D erfassen das vom Verdrahtungsleiter 19D geführte Signal an den Eingangsseiten der jeweils zugehörigen Mehrheitsentscheidungsschaltung. Die Signaldetektoren 7D, 8D und 9D erfassen das Signal, wie es über den entsprechenden Verdrahtungsleiter 19A bis 19C auf der Eingangsseite der Mehrheitsentscheidungsschaltung 10D&sub3; übertragen wird, ähnlich wie die Signaldetektoren 7A, 8A und 9A arbeiten.
Mit den stationären Kontakten der Umschalter SWA bis SWD sind Verdrahtungsleiter 82A bis 82D verbunden, die mit Masse verbunden sind, wie es in Fig. 23 dargestellt ist. Diese Verdrahtungsleiter 82A bis 82D arbeiten als Testsignal-Erzeugungseinrichtung zum Liefern der Testsignale S vom logischen Wert "0" an die jeweils zugehörige Mehrheitsentscheidungsschaltung immer dann, wenn die zugehörigen Umschalter den Zustand einnehmen, in dem die stationären Kontakte 4B und 4C miteinander verbunden sind.
Fig. 24 zeigt einen Aufbau für die Mehrheitsentscheidungsschaltungen 10A&sub3; bis 10D&sub3;, wie sie in Form einer 2-Aus-4- Abstimmlogikkonfiguration realisiert sind. Die Mehrheitsentscheidungsschaltung 10A&sub3; enthält Relais (oder Kontakteinrichtungen) 85A bis 85H, die die Umschalteinrichtung bilden, Signaldetektoren 86A bis 86F, ein durch verdrahtete Logik realisiertes UND-Gatter 89 sowie Verdrahtungsleiter 87A bis 87D. Die Relais 85A, 85B sowie 85C und 85D sind in Reihe geschaltet und über den Verdrahtungsleiter 87A miteinander verbunden. Die Relais 85E, 85F, 85G und 85H sind ebenfalls in Reihe geschaltet und über den Verdrahtungsleiter 87B miteinander verbunden. Der Verdrahtungsleiter 87C verbindet den Abschnitt des Verdrahtungsleiters 87A, der zwischen den Relais 85A und 85B liegt, mit dem Abschnitt des Verdrahtungsleiters 87B, der zwischen den Relais 85E und 85F liegt. Andererseits verbindet der Verdrahtungsleiter 87D den Abschnitt des Verdrahtungsleiters 87A, der zwischen den Relais 85B und 85C liegt, mit dem Abschnitt des Verdrahtungsleiters 87B, der zwischen den Relais 85F und 85G liegt. Die Verdrahtungsleiter 87A und 87B sind miteinander verbunden, und sie sind mit einer Spannungsversorgungsquelle 88 verbunden. Das andere Ende des Verdrahtungsleiters 87A ist mit dem anderen Ende des Verdrahtungsleiters 87B verbunden, um dadurch das UND-Gatter 89 in Form einer verdrahteten Logik aufzubauen. Das UND-Gatter 89 ist seinerseits mit dem Verdrahtungsleiter 20A verbunden. Im Fall des vorliegenden Ausführungsbeispiels ist ein UND-Gatter 89 mit verdrahteter Logik in jeder der Mehrheitsentscheidungsschaltungen 10A&sub3; bis 10D&sub3; vorhanden, wodurch das Erfordernis zum Bereitstellen der Signaldetektoren 11a bis 11C in den jeweiligen Verdrahtungsleitern 20A bis 20D, wie im Fall des in Fig. 1 dargestellten Ausführungsbeispiels, vermieden ist.
Nun richtet sich die Beschreibung auf die Anordnung der Signaldetektoren 86A bis 86F innerhalb der Mehrheitsentscheidungsschaltung 10A&sub3;. Die Signaldetektoren 86A bis 86F sind kontaktfreie Sensoren, wie im Fall der Signaldetektoren 7A bis 9A. Der Signaldetektor 86A ist für den Verdrahtungsleiter 87A am Ort zwischen der Verbindung der Verdrahtungsleiter 87C und 87A und dem Relais 85A vorhanden. Der Signaldetektor 86B ist für den Verdrahtungsleiter 87A am Ort zwischen der Verbindung der Verdrahtungsleiter 87D und 87A und dem Relais 858 vorhanden. Der Signaldetektor 86C ist in Zuordnung zum Verdrahtungsleiter 87A zwischen dem Relais 85D und dem UND-Gatter 89 vorhanden. Der Signaldetektor 86D ist in Zuordnung zum Verdrahtungsleiter 87B am Ort zwischen der Verbindung der Verdrahtungsleiter 87C und 87B und dem Relais 85E vorhanden. Der Signaldetektor 86E ist für den Verdrahtungsleiter 87B am Ort zwischen der Verbindung der Verdrahtungsleiter 87D und 87B und dem Relais 85F vorhanden. Der Signaldetektor 86F ist für den Verdrahtungsleiter 87A am Ort zwischen dem Relais 85H und dem UND-Gatter 89 vorhanden.
Das Signal a wird über den Verdrahtungsleiter 19A an die Relais 85A und 85C gegeben. Das Signal b wird über den Verdrahtungsleiter 19B an die Relais 85B und 85G gegeben. Das Signal c wird über den Verdrahtungsleiter 190 an die Relais 85E und 85D gegeben. Das Signal d wird über den Leiter 19D an die Relais 85F und 85H gegeben. Jedes der Relais 85A bis 85H ist offen, wenn das zugehörige der Signale a bis d den logischen Wert "0" hat, während es geschlossen ist, wenn das zugehörige Signal den logischen Wert "1" aufweist. Wenn zwei oder mehr der Signale a bis d den logischen Pegel "0" einnehmen, wird die Verbindung der Erregerspule 84A mit der Spannungsversorgungsquelle 88 dadurch unterbrochen, daß der Kontakt zugehörigen Relais geöffnet wird, was dazu führt, daß die Erregerspule 84A in den inaktiven Zustand überführt wird, wodurch das Ventil 13A öffnet. Wenn drei oder mehr der Signale a bis d den logischen Pegel "1" einnehmen, wird zwischen der Erregerspule 84A und der Spannungsversorgungsguelle 88 dadurch, daß der zugehörige Relaiskontakt geschlossen ist, eine Verbindung hergestellt, wodurch die Erregerspule 84A elektrisch mit Energie versorgt wird, um das Ventil 13A zu schließen.
Eine 2-Aus-4-Logikschaltung, die dem Aufbau der Mehrheitsentscheidungsschaltung 10A&sub3; entspricht, bei dem die Signaldetektoren 86A bis 86F weggelassen sind, ist in einer japanischen Veröffentlichung mit dem Titel "Handbuch der Nukklearingenieurtechnik", veröffentlicht von Ohm Sha Ltd. (30. November 1986), 5. 264, Tabelle 9.6 offenbart. Die Logik der 2-Aus-4-Logikschaltung dieser Mehrheitsentscheidungsschaltung ist durch den folgenden Ausdruck gegeben:
Z - abc + bcd + cda + dab (1),
wobei Z das Ausgangssignal des UND-Gatters 86 repräsentiert und a bis d die Werte der entsprechenden Signale a bis d repräsentieren.
Jede der Mehrheitsentscheidungsschaltungen 10A&sub3; bis 10D&sub3; ist eine Art Signalauswählvorrichtung zum Auswählen eines solchen Signals aus mehreren Eingangssignalen, das die der Steuerung unterliegende Vorrichtung betätigen soll, um dadurch ein Betätigungssignal für diese auszugeben, ähnlich wie dies die in Fig. 1 dargestellten Mehrheitsentscheidungsschaltungen 10A bis 10C tun. Jedoch unterscheiden sich die Mehrheitsentscheidungsschaltungen 10A&sub3; bis 10D&sub3; von den in Fig. 1 dargestellten Mehrheitsentscheidungsschaltungen 10A bis 10C dahingehend, daß das aus den vier Eingangssignalen (Signale a bis d) ausgewählte Signal nicht im Takt, wie das Betätigungssignal, ausgegeben wird. Anders gesagt, wählen, im Fall der Mehrheitsentscheidungsschaltungen gemäß dem vorliegenden Ausführungsbeispiel der Erfindung, die Relais 85A bis 85H das Signal zum Betreiben der der Steuerung unterliegenden Vorrichtung (z. B. eines Ventils) aus, wodurch als Betätigungssignal für die gesteuerte Vorrichtung ein Signal ausgegeben wird, das sich vom ausgewählten Eingangssignal a, ..., oder d (z. B. der Strom von der Spannungsversorgungsquelle 88) unterscheidet.
Die von den Signaldetektoren 86A bis 86F erfaßten Signale werden über gesonderte Verdrahtungsleiter an die Eingangsschaltung 28 (Fig. 25) der Diagnoseeinheit 2A&sub7; geliefert. Diese Eingangsschaltung 28 wird auch mit den Erfassungssignalen der Signaldetektoren 7A bis 9A und 83A versorgt. In den Fig. 23 und 24 sind die letztgenannten Erfassungssignale gemeinsam mit 16A&sub2; gekennzeichnet, während die erstgenannten Erfassungssignale gemeinsam mit 17A&sub2; gekennzeichnet sind. Ferner kennzeichnen Bezugszeichen 168&sub2; bis 16D&sub2; die Erfassungssignale, wie sie von den Signaldetektoren 7B bis 9B, 83D, 7C bis 9C, 83C, 7D bis 9D und 83D ausgegeben werden. Die Bezugszeichen 17B&sub2; bis 17D&sub2; kennzeichnen die Erfassungssignale der Signaldetektoren 89A bis 86F in den Mehrheitsentscheidungsschaltungen 10B&sub2; bis 10D&sub2;.
Jede der Diagnoseeinheiten 2A&sub7; bis 2D&sub7; ist mit dem in Fig. 25 dargestellten Aufbau realisiert, im wesentlichen identisch mit der in Fig. 3 dargestellten Diagnoseeinheit 2A.
Nachfolgend wird die Anomalitätsdiagnosefunktion des vorliegenden Ausführungsbeispiels beschrieben. Die Diagnoseeinheiten 2A&sub7; bis 2D&sub7; sind jeweils so konzipiert, daß sie dieselbe Funktion ausführen. Demgemäß wird im folgenden der Inhalt der durch die Diagnoseeinheit 2A&sub7; ausgeführten Verarbeitung beispielhaft erläutert. Die CPU 25 der Diagnoseeinheit 2A&sub7; liest den in Fig. 26 veranschaulichten Verarbeitungsablauf aus dem ROM 42 aus. Als erstes wird in einem Schritt 35A das Testbefehlssignal CH ausgegeben. Auf dieses Testbefehlssignal CH schaltet der Umschalter SWA vom Zustand, in dem das Steuergerät lA mit dem Verdrahtungsleiter 19A verbunden ist, in den Zustand um, in dem der als Signalerzeugungseinrichtung dienende Verdrahtungsleiter 82A mit dem Leiter 19A verbunden ist. Infolgedessen wird das Testsignal S vom logischen Wert "1" vom Leiter 82A an den Verdrahtungsleiter 19A übertragen. Das mit dem Sensorsignal versorgte Steuersignal 1A gibt im normalen Zustand ein Signal vom logischen Wert "1" aus, durch das das Ventil 13A in geschlossenem Zustand gehalten wird. Dieses Signal vom logischen Wert "1" wird über den Schalter SWA so lange an den Verdrahtungsleiter 19A übertragen, wie kein Testbefehlssignal CH ausgegeben wird. Wenn das Ventil 13A zu schließen ist, gibt das Steuergerät lA ein Signal vom logischen Wert "0" aus. Da die Diagnoseeinheiten 2A&sub7; bis 2D&sub7; asynchron zueinander arbeiten, weisen die von den Verdrahtungsleitern 82A bis 82D an die jeweiligen Verdrahtungleiter 19A bis 19D auf das Testbefehlssignal OH hin ausgegebenen Testsignale 5 jeweils solche Perioden T&sub1; bis T&sub4; auf, wie sie in Fig. 27 veranschaulicht sind. Diese Perioden T&sub1; bis T&sub4; können durch die zuvor angegebenen Zähler eingestellt werden, die in den Diagnoseeinheiten 2A&sub7; bis 2D&sub7; enthalten sind. Beim Unterbrechen der Ausgabe des Testbefehlssignals CH von der Diagnoseeinheit 2A&sub7; wird das Signal vom logischen Wert "1", wie es vom Steuergerät lA ausgegeben wird, ähnlich wie im ursprünglichen Zustand an den Verdrahtungsleiter 19 übertragen. Die Impulsbreite T&sub0;, während der das Signal vom logischen Wert "0" ausgegeben wird, ist so bestimmt, daß verhindert ist, daß das Ventil 13A betätigt wird, wie im Fall der Dauer T&sub0; des impulsförmigen Testsignals, wie es in Fig. 6 für das in Fig. 1 dargestellte Steuersystem veranschaulicht ist.
Nach dem Schritt 35A werden die Signale 16A&sub2; und 17A&sub2; in die CPU 25 eingegeben, wobei die Anzahl dieser Eingangssignale gezählt wird (Schritt 32B). In einem Schritt 37C wird eine Änderung in den vier Eingangssignalen 16A&sub2; erfaßt, wobei ein Signal 16A&sub2;, das eine Änderung erfahren hat, in den RAM 26 eingespeichert wird. In einem Schritt 33H werden die Eingangssignale 16A&sub2; und 17A&sub2; mit den in Fig. 29 dargestellten normalen Signalmustern verglichen. Anschließend erfolgt eine Entscheidunq hinsichtlich des Vorliegens oder Fehlens von Anomalität in der Mehrheitsentscheidungsschaltung 10A&sub3;. Fig. 28 zeigt, in einer Tabellenauflistung, die Relais, die durch die Signaldetektoren 86A bis 86F einzeln erfaßt werden können. Die Signaldetektoren 86A bis 86F sind so kqnzipiert, daß sie den Strom erfassen. Wenn z. B. das Relais 85A geschlossen ist, fließt Strom durch den Signaldetektor 86A. Wenn dagegen das Relais 85A offen ist, fließt kein Strom durch den Signaldetektor 86A. Jeder Signaldetektor erzeugt ein Ausgangssignal vom logischen Wert "1", wenn Strom durch das zugehörige Relais fließt, während er ein Ausgangssignal vom logischen Wert "0" erzeugt, wenn kein Strom durch das zugehörige Relais fließt. Wenn die Muster der Eingangssignale 16A&sub2; und 17A&sub2; von den in Fig. 29 dargestellten normalen Signalmustern abweichen, wird entschieden, daß die Mehrheitsentscheidungsschaltung 10A&sub3; unter Anomalität oder Fehlfunktion leidet, woraufhin die Verarbeitung im Schritt 36 ausgeführt wird. Eine sich aus dem Mustervergleich ergebende Musterabweichung zeigt, daß Anomalität in den zugehörigen Relais vorliegt, wie sie in der ganz rechten in der Fig. 9 dargestellten Tabelle aufgelistet sind. Selbstverständlich sind die Relais logische Elemente, die Teile der Mehrheitsentscheidungsschaltung 10A&sub3; bilden.
Wenn die Entscheidung im Schritt 34A zum Fehlen von Anomalität führt&sub1; erfolgt in einem Schritt 90 eine Entscheidung dahingehend, ob in der Erregerspule 84A eine Leitungsunterbrechung vorliegt. Wenn die Ausgangssignale aller Signaldetektoren 86A bis 86F im Zustand, in dem alle Ausgangssignale der Signaldetektoren 7A bis 9A sowie 83A den logischen Wert "1" haben, den logischen Wert "0" aufweisen, wird entschieden, daß in der Erregerspule 84A eine Leitungsunterbrechung vorliegt, woraufhin die Ausführung der Verarbeitung im Schritt 36 folgt. Wenn die Entscheidung im Schritt 90 zu "NEIN" führt, wird ein Schritt 38 ausgeführt, woraufhin die auf den Schritt 35A folgende Verarbeitung wiederholt wird. Andererseits geht, wenn das Ergebnis der im Schritt 38 getroffenen Entscheidung "JA" ist, der Ablauf zur Verarbeitung des Schritts 398 weiter, in dem auf ähnliche Weise wie im Schritt 39 (Fig. 4) eine Entscheidung hinsichtlich Anomalität einer anderen Diagnoseinheit getroffen wird.
Im Fall des vorliegenden Ausführungsbeispiels können die zuvor in Verbindung mit den Fig. 9 und 10 beschriebenen Zwischenspeichervorrichtungen verwendet werden.
Das vierfache Steuersystem gemäß dem vorliegenden Ausführungsbeispiel kann dieselben vorteilhaften Auswirkungen zeitigen, wie das in Fig. 1 dargestellte System. Im Vergleich mit dem in Fig. 1 dargestellten System, bei dem dem die Diagnoseeinheit 2A bildenden Mikrocomputer oder dem System mit dem Steuergerät mit Anschluß auf die in Fig. 16 dargestellte Weise die Funktion der Signalerzeugungseinrichtung versehen ist, erfordert das vierfache Steuersystem jedoch, daß die Signalerzeugungseinrichtung gesondert und unabhängig von der Diagnoseinheit und dem Steuergerät vorhanden ist, was einen Aufbau erfordert, der mehr oder weniger gegenüber der Gesamtheit des dreifachen Steuersystems verkompliziert ist.
Fig. 30 ist eine Ansicht, die funktionsmäßig das vierfache Steuersystem gemäß dem vorliegenden Ausführungsbeispiel veranschaulicht. Beispielhaft kann die Diagnoseeinheit 2A funktionsmäßig so realisiert sein&sub1; wie es durch einen Block 2A&sub7;' gekennzeichnet ist. Diese Diagnoseeinheit 2A&sub7;¹ ist mit der in Fig. 21 dargestellten Diagnoseeinheit 2A&sub3;' hinsichtlich der Funktion im wesentlichen identisch. Die erstere unterscheidet sich von der letzteren nur dadurch, daß die Testsignal-Erzeugungseinrichtung (der in Fig. 23 dargestellte geerdete Verdrahtungsleiter 82A) G und der Umschalter (Umschaltung) SWA außerhalb des Steuergeräts 1A&sub2; vorhanden sind, wobei der von der Testbefehlssignal-Ausgabeeinrichtung J2 äusgegebene Testbefehl in den Umschalter SWA statt in die Testsignal-Erzeugungseinrichtung G eingegeben wird. In diesem Zusammenhang ist zu beachten, daß diese Funktionen der Testsignal-Erzeugungseinrichtung G und des Umschalters SWA der Diagnoseeinheit 2A'&sub7; auch beim dreifachen Steuersystem verwendet werden können, das zuvor in Verbindung mit Fig. 1 beschrieben wurde, wie auch in anderen Fällen.
Es ist ein Doppelspulen-Kernreaktor-Schutzsystem mit verbesserter Zuverlässigkeit bekannt. Bei diesem System ist ein einzelnes Ventil 13A mit einem Paar Erregerspulen 84A und 84A' versehen&sub1; wobei das Ventil 13A nur dann geöffnet wird, wenn beide Erregerspulen nicht mit Energie versorgt werden, wie es in Fig. 31 dargestellt ist. Die erfindungsgemäße Lehre kann in gleicher Weise auf die Anomalitätsentscheidung für eine Mehrheitsentscheidungsschaltung 10A&sub4; angewandt werden, die in Zuordnung zu einem Doppelspulenventil vorhanden ist, wobei diese Schaltung 10A&sub4; dann aus der Mehrheitsentscheidungsschaltung 10A&sub3;' bestehen kann, die denselben Aufbau wie die Schaltung 10A&sub3; aufweist.
Ferner kann die erfindungsgemäße Lehre auch auf ein Doppel- Steuersystem angewandt werden. Außerdem kann die Erfindung nicht nur auf ein gemultiplextes Steuersystem angewandt werden, das so konzipiert ist, daß es analoge Steuersignale ausgibt, sondern auch auf ein gemultiplextes Steuersystem, das mit einer Zwischenwert-Auswählschaltung versehen ist, die als Signalauswähleinrichtung verwendet wird (entsprechend den Mehrheitsentscheidungsschaltungen bei den zuvor beschriebenen verschiedenen Systemen), an die das oben genannte Steuersignal gegeben wird. In diesem Fall ist es jedoch erforderlich, die Zwischenspeicherschaltung (z. B. Fig. 10; 41A bis 41H) in eine Abtast-Halte-Schaltung umzuwandeln, die die Eingangssignale empfängt, um jegliche Anomalität der Zwischenwert-Auswählschaltung durch Vergleichen der Signalstärken zu bestimmen.

Claims

1. Steuersystem zum Steuern einer Vorrichtung (13) mit

- n Steuergeräten (1A, 1B, 1C), von denen jedes ein entsprechendes von n Steuersignalen, n ≥ 3, erzeugt;

- n Testsignal-Erzeugungseinrichtungen (J1, J2, J3, 82A, 82B, 82C, 82D), die jeweils für jedes der n Steuergeräte (1A, 1B, 1C) vorhanden sind und die parallel zueinander installiert sind, um Anomalitäten zu diagnostizieren, wobei diese Testsignal-Erzeugungseinrichtungen (J1, J2, J3, 82A, 82B, 82C, 82D) so ausgebildet sind, daß sie periodisch ein entsprechendes der n Prüfsignale und ein entsprechendes von n Impulstest-Befehlssignalen erzeugen, wobei die Perioden, für die die Testsignal-Erzeugungseinrichtungen (J1, J2, J3, 82A, 82B, 82C, 82D) die Testsignale und die Impulstest- Befehlssignale erzeugen, für jede der Testsignal-Erzeugungseinrichtungen (J1, J2, J3, 82A, 82B, 82C, 82D) voneinander verschieden sind und die Impulstest-Befehlssignale eine Dauer aufweisen, in der die zu steuernde Vorrichtung (13) inaktiv bleiben kann, und wobei die Testsignal-Erzeugungseinrichtungen so ausgebildet sind, daß sie asynchron zueinander arbeiten;

- n Umschaltern, von denen jeder auf ein entsprechendes der n Impulstest-Befehlssignale hin so arbeitet, daß er entweder das entsprechende der n Steuersignale vom entsprechenden der n Steuergeräte (1A, 1B, 1C) oder das entsprechende der n Testsignale von der entsprechenden der n Testsignal-Erzeugungseinrichtungen (J1, J2, J3, 82A, 82B, 82C, 82D) ausgibt;

- einer Signalauswahleinrichtung (10A), die die n Ausgangssignale von den n Umschaltern erhält und so ausgebildet ist, daß sie ein Majoritätssignal zum Betreiben der gesteuerten Vorrichtung (13) aufweist, wobei dieses Majoritatssignal (18A) die Majoritätswahl unter den n Ausgangssignalen der n Umschalter repräsentiert; und

- n Diagnoseeinheiten (2A, 2B, 2C) zum Entscheiden auf das Vorliegen oder Fehlen einer Anomalität in der Signalauswahl- Einrichtung (10A) auf Grundlage der n Ausgangssignale der n Umschalter sowie des Majoritätssignals (18A)

2. Steuersystem zum Steuern von n Vorrichtungen (13A, 13B, 13C), n ≥ 3, mit:

- n Steuergeräten (1A, 1B, 1C), von denen jedes ein entsprechendes von n Steuersignalen für eine entsprechende der n Vorrichtungen (13A, 13B, 13C) erzeugt;

- n Testsignal-Erzeugungseinrichtungen (J1, J2, J3, 82A, 82B, 82C, 82D), die jeweils für jedes der n Steuergeräte (1A, 1B, 1C) vorhanden sind und die parallel zueinander installiert sind, um Anomalitäten zu diagnostizieren, wobei diese Testsignal-Erzeugungseinrichtungen (J1, J2, J3, 82A, 82B, 82C, 82D) so ausgebildet sind, daß sie periodisch ein entsprechendes der n Prüfsignale und ein entsprechendes von n Impulstest-Befehlssignalen erzeugen, wobei die Perioden, für die die Testsignal-Erzeugungseinrichtungen (Jl, J2, J3, 82A, 82B, 82C, 82D) die Testsignale und die Impulstest- Befehlssignale erzeugen, für jede der Testsignal-Erzeugungseinrichtungen (J1, J2, J3, 82A, 82B, 82C, 82D) voneinander verschieden sind und die Impulstest-Befehlssignale eine Dauer aufweisen, in der die zu steuernde Vorrichtung (13) inaktiv bleiben kann, und wobei die Testsignal-Erzeugungseinrichtungen so ausgebildet sind, daß sie asynchron zueinander arbeiten;

- n Signalauswahleinrichtungen (10A, 10B, 10C), von denen jede die n Ausgangssignale der n Umschalter erhält und so ausgebildet ist, daß sie ein entsprechendes von n Majoritätssignalen (18A, 20A) zum Betreiben einer entsprechenden der n gesteuerten Vorrichtungen (13) erzeugt, wobei jedes der Majoritätssignale (18A, 20A) die Majoritätswahl unter den n Ausgangssignalen der Umschalter repräsentiert; und

- n Diagnoseeinheiten (2A, 2B, 2C), von denen jede dazu -dient, auf das Vorliegen oder Fehlen einer Anomalität in einer entsprechenden der n Signalauswahleinrichtungen (10A, 10B, 10C) auf Grundlage der n Ausgangssignale der n Umschalter und des Majoritätssignals (18A, 20A) von der entsprechenden der n Signalauswahleinrichtungen (10A, 10B, 10C) zu entscheiden.

3. Steuersystem nach Anspruch 1 und Anspruch 2, bei dem jede der n Signalauswahlauswahleinrichtungen (10) so ausgebildet ist, daß sie ein Betätigungssignal zum Betreiben der gesteuerten Vorrichtung (13) ausgibt, wenn eine vorgegebene Anzahl von Signalen, wie sie von den mehreren Steuergeräten (1) ausgegeben werden, anzeigt, daß die gesteuerte(n) Vorrichtung(en) (13) zu betreiben ist (sind).

4. Steuersystem nach einem der vorstehenden Ansprüche, bei dem jedes der n Steuergeräte (1A, 1B, 1C) eine Steuersignal-Erzeugungseinrichtung (K1) zum Ausgeben des entsprechenden Steuersignals auf Grundlage eines Ausgangssignals eines Sensors aufweist, und sie die entsprechende der n Testsignal-Erzeugungseinrichtungen (K2) aufweist.

5. Steuersystem nach einem der Ansprüche 1, 2 oder 3, bei dem jede der n Diagnoseeinheiten (2) die entsprechende der n Testsignal-Erzeugungseinrichtungen (J1, J2) enthält.

6. Steuersystem nach einem der vorstehenden Ansprüche, bei dem jede der n Diagnoseeinheiten (2A, 2B, 2C) eine erste Anomalitätsentscheidungseinrichtung zum Entscheiden auf das Vorliegen oder Fehlen von Anomalität in der Signalauswahleinrichtung auf Grundlage der n Ausgangssignale der n Umschalter und des Majoritätssignals, und eine zweite Anomahtätsentscheidungseinrichtung zum Entscheiden auf das Vorliegen oder Fehlen von Anomalität der anderen Diagnoseeinheiten durch Überwachen der n Ausgangssignale der n Umschalter aufweist.

7. Steuersystem nach einem der vorstehenden Ansprüche, ferner mit n Zwischenspeicher-Einrichtungen (41) mit einer Speichereinrichtung zum Abspeichern der Ausgangssignale der n Umschalter, wie sie in die entsprechende Signalauswahleinrichtung (10) eingegeben werden, und derjenigen der entsprechenden Majoritätssignale, wie sie von der entsprechenden Signalauswahleinrichtung ausgegeben werden, die eine Änderung erfahren hat.

8. Steuersystem nach Anspruch 6, bei dem jede der Diagnoseeinrichtungen (2A) eine Einrichtung zum Ausgeben eines Rücksetzsignals an die Speichereinrichtung der entsprechenden Zwischenspeicher-Einrichtung (41) bei Empfang der Ausgangssignale von den n Umschaltern und dem entsprechenden Majoritätssignal aufweist.

9. Steuersystem nach Anspruch 4, bei dem mindestens eine Signalauswahleinrichtung n Logikelemente (5, 85) enthält, um die Ausgangssignale der n Umschalter zu empfangen, um das Majoritätssignal zum Betreiben der Vorrichtung(en) (13) zu erzeugen, und das System ferner folgendes aufweist:

- n x n erste Signalerfassungseinrichtungen (7, 8, 9) zum Erfassen jedes der n Ausgangssignale der n Umschalter für jede der n Diagnoseeinheiten; und

- n zweite Signalerfassungseinrichtungen (11, 12) zum individuellen Erfassen des entsprechenden der n Majoritätssignale, wie es von der entsprechenden der n Signalauswahleinrichtungen erzeugt wird.