DE3917984A1 - Anordnung zur selbstpruefung einer funktionellen redundanzprueflogik - Google Patents

Description

Die Erfindung bezieht sich auf ein Datenverarbeitungssystem mit Mitteln zum fortlaufenden Überprüfen der Fehlerprüflogik nach Fehlern oder Fehleroperationen.

In der US-PS 41 76 258 ist die Fehlerfeststellung durch ein Redundanzverfahren beschrieben, das als funktionelle Redun­ danzprüfung (FRC) bekannt ist. Bei diesem Verfahren wird eine integrierte Schaltungskomponente dupliziert, und Ausgangssi­ gnale aus den beiden identischen Komponenten werden in einer FRC-Logik verglichen. Eine Fehlerbedingung wird dann ange­ zeigt, wenn die Ausgangssignale nicht miteinander übereinstim­ men.

Ein älterer Vorschlag der Anmelderin gemäß US-Patentanmeldung 06/8 98 522 behandelt die Wiederaufnahme des Betriebs, wenn eine der Komponenten von der FRC-Logik als fehlerbehaftet ermittelt wurde. Dies geschieht durch Abtrennen der Komponen­ ten derart, daß die fehlerhafte Komponente aus dem System ausgeschaltet und die betriebsfähige Komponente eingeschaltet bleibt, jedoch ohne die FRC-Prüffähigkeit.

Allen diesen Schaltungen haftet der Nachteil an, daß Fehlerbe­ dingungen jedenfalls dann unerkannt und/oder ungemeldet blei­ ben, wenn die FRC-Logik selbst nicht ordnungsgemäß arbeitet. Da sich das System auf die ordnungsgemäße Identifizierung von Fehlern über die FRC-Logik verlassen muß, ist es wichtig, daß die FRC-Logik selbst während der normalen Betriebsbedingungen des Systems getestet wird.

Der Erfindung liegt daher die Aufgabe zugrunde, ein redundan­ tes Modul-Prüfsystem zur Verfügung zu stellen, in dem die Fehlerprüflogik kontinuierlich einen Selbsttest durchführt, um sicherzustellen, daß sie selbst ordnungsgemäß funktionsfähig ist.

Diese Aufgabe wird erfindungsgemäß durch einen integrierten Schaltungsmodul gelöst, bei dem eine Fehlerermittlungsschal­ tung intern auf dem Modul erzeugte Daten mit extern von ande­ ren, im wesentlichen identisch aufgebauten Modulen mit erzeug­ ten Daten vergleicht. Ein Fehlererkennungsausgangssignal wird unter der Bedingung entwickelt, daß intern auf dem Modul er­ zeugte Daten und extern vom Modul erzeugte Daten nicht über­ einstimmen. Eine Schaltung ändert dann die intern erzeugten Daten Injektion von fehlerhaften in die intern erzeugten Da­ ten, um dadurch geänderte Daten zu erzeugen. Eine Fehlervor­ griffssteuerlogik erzeugt eine Testbedingung, welche der durch die geänderten Daten erwarteten Fehlerbedingung entspricht. Eine Vergleichsschaltung vergleicht das aktuelle Fehlerbestim­ mungsausgangssignal mit dem erwarteten Fehlerbestimmungsaus­ gangssignal. Ein Fehlerausgangssignal wird entwickelt, wenn das tatsächliche Fehlerbestimmungsausgangssignal und das er­ wartete Fehlerbestimmungsausgangssignal nicht übereinstimmt.

Der wesentliche Vorteil der Erfindung liegt darin, daß eine Fehlfunktion in der Fehlerbestimmungsschaltung während des Normalbetriebs der Komponenten festgestellt werden kann. Wei­ terbildungen der Erfindung sind in den Unteransprüchen gekenn­ zeichnet.

Einzelheiten und zusätzliche Vorteile der Erfindung ergeben sich aus der folgenden Beschreibung eines bevorzugten Ausfüh­ rungsbeispiels der Erfindung, das in der Zeichnung gezeigt ist. In der Zeichnung zeigen:

Fig. 1 ein Schaltbild von zwei Modulen, die zum Zwecke der funktionellen Redundanzprüfung miteinander verbunden sind;

Fig. 2 ein Schaltbild der Steuerlogik in jedem Modul der Fig. 1;

Fig. 3 ein Schaltbild der Prüflogik auf jedem Modul der Fig. 1; und

Fig. 4 eine Wahrheitstabelle für die Prüflogik der Fig. 3.

Zunächst wird auf Fig. 1 Bezug genommen. Die Fehlerermittlung auf den Adress/Daten (AD)-Bus 23 geschieht durch eine funktio­ nelle Redundanzprüf(FRC)-Logik, die in den beiden identischen Modulen 100, 200 in Fig. 1 vorhanden ist. Die Ausgänge der Module 100 und 200 sind zusammengeschlossen, und zwar entweder durch Verwendung von Drei-Zustands-Treibern oder als ODER-Ver­ knüpfung. Alle Komponenten der Selbstprüflogik und der FRC-Lo­ gik sind auf jedem Modul integriert, so daß nur eine Baugruppe herzustellen ist. Dies bedeutet, daß jedes Modul sich selbst unabhängig von einem anderen Modul prüfen kann. Eines des Modulpaares, beispielsweise Modul 100, übernimmt die Rolle des Hauptmoduls während das andere Modul 200 die Rolle des Prüfmo­ duls übernimmt. Beide Module bilden ein einziges logisches Modul, der als FRC-geprüft gilt. Die beiden Module laufen im Verriegelungsschritt, und bei jedem Schritt vergleicht das Prüfmodul die von ihm ausgegebenen Daten mit den entsprechen­ den Daten aus dem Hauptmodul, um sicherzustellen, daß sie beide die gleichen Ergebnisse berechnet haben. Wird eine Ab­ weichung festgestellt, wird ein Fehler an den Busfehler-Melde­ leitungs(BERL)-Ausgang 244 des Prüfmoduls 200 gemeldet.

Die Logik innerhalb der gestrichelt umgrenzten Blöcke 118, 120; 218, 220 in Fig. 1 stellt die duplizierte Selbstprüflogik und die FRC-Logik für ein Bit dar - der Einfachheit halber und zur Erleichterung des Verständnisses. Eine Signalleitung 104; 204 von der Logik 102; 202 ist mit dem duplizierten Logikbaum 118, 120; 218, 220 verbunden. Dies macht es möglich, daß ein Logikbaum einen Fehler hat und eine Selbstprüfung durchführt, während der andere Baum fehlerfrei ist und den normalen FRC -Test durchführen kann. Für den Fachmann ist klar, daß die Schaltung vervielfacht sein kann, um mehr als eine Signallei­ tung von der Chiplogik zu testen. Die folgenden Chipstifte dienen den FRC-Funktionen:

Busfehler: BERL

Die Busfehler-Meldeleitungs(BERL)-Ausgänge dienen der Fehler­ meldung während des Eigentests der FRC-Logik und sind mit dem Ausgang der Fehlerlogik gemäß Fig. 3 verbunden. Die BERL-Aus­ gänge dienen auch zum Melden von Kipplogikfehlern an das Be­ nutzersystem. Dieser Fehlermeldemechanismus ist nicht Bestand­ teil der vorliegenden Erfindung, sondern ist in der eingangs genannten älteren Anmeldung beschrieben.

Systemtaktsignal: CLK

Das CLK-Signal 12 bildet das Grundtaktsignal für beide Module 100 und 200.

Initialisierungssignal: INIT

Das INIT-Signal 10 zwingt alle Komponenten (beispielsweise Flipflops) zum Rückssetzen und Synchronisieren. Ein Buszyklus beginnt in der ersten Systemtaktperiode (CLK) nach dem Anste­ hen von INIT. Alle Komponenten erfassen dieses Signal und bleiben danach in Synchronisation.

Adress/Daten-Leitungen: AD

Die AD-Leitungen 108, 208 führen Adress- und Dateninformatio­ nen zwischen dem Chip und dem AD-Bus 23.

Busausgangssteuerung: BOUT

Wenn BOUT 14 ansteht ist das Chip derart aktiviert, daß es den AD-Bus 23 treibt.

Im folgenden wird auf Fig. 1 Bezug genommen. Auf dem dort gezeigten Modul 100 ist eine Chip-A-Logik 102 aufgebaut. Das Ausgangssignal der Chip-A-Logik umfaßt einige Bits, von denen eines durch die Einzelleitung 104 dargestellt ist. Der Ausgang 104 ist mit Exklusiv-NOR′s und mit dem Eingang eines Drei-Zu­ stands-Treibers 106 verbunden. Nur ein Drei-Zustands-Treiber ist gezeigt, wobei zu beachten ist, daß so viele Treiber wie Ausgänge aus der Chiplogik vorhanden sind. Jeder Drei-Zu­ stands-Treiber hat einen Aktivierungseingang 112, der mit der Steuerlogik 110 verbunden ist. Die Ausgänge der Exklusiv-NOR′s 129, 131 und der Treiber 106 sind mit Exklusiv-NOR′s 134, 136 verbunden. Wenn der Aktivierungstreibereingang 112 zu den Drei-Zustands-Treibern angeregt ist, sind die Drei-Zustands -Treiber 106 für jeden Ausgang der Chip-A-Logik entaktiviert, so daß keine Datenübertragung stattfindet.

Die Ausgangssignale einer Verschiebekette 122, 124 treiben Exklusiv-NOR′s 129, 131, deren Ausgänge 130, 132 die Eingänge von Exklusiv-NOR′s 134, 136 treiben. Der Test-Bit-1-Ausgang 114 und der Test-Bit-2-Ausgang liefern ein Testmuster von Einsen und Nullen entsprechen der von der Verschiebekette 122, 124 erzwungenen erwarteten Fehlerbedingung.

Die Verschiebekette wird vom Ausgang 103 eines Frequenzteilers 101 angesteuert. Der Teiler liefert eine geeignete Wiederho­ lungsfrequenz F derart, daß das CLK-Signal 12 durch vier ge­ teilt wird. Die Verschiebekette 122, 124 verschiebt ein Bit von einer Stufe der Verschiebekette zur nächsten, so daß ein Fehler sukzessiv in die FRC-Logik injiziert wird. Ein Test kann danach durchgeführt werden, indem man die Fehlerbestim­ mungsausgangssignale mit der von einer Testschaltung (Fig. 2) gelieferten erzwungenen erwarteten Fehlerbedingung innerhalb der Steuerlogik 110 vergleicht. Das bedeutet, daß in die Bit-1-FRC-Logik injizierte fehlerhafte Bit sollte eine Fehler­ bedingung hervorrufen, die auf der Fehlerbestimmungs-Bit-1 -Leitung zu dem Zeitpunkt entwickelt werden sollte, an dem die erwartete Fehlerbedingung auf der Test-Bit-1-Leitung ansteht.

Das Modul 200 ist identisch zu dem Modul 100 aufgebaut, und seine Funktionsweise ist die gleiche wie oben unter Bezugnahme auf das Modul 100 erläutert wurde.

Das Modul 200 hat eine Chip-B-Logik 202, die auf ihm inte­ griert ist. Das Ausgangssignal der Chip-B-Logik enthält einige Bits, von denen eines durch die Einzelleitung 204 dargestellt ist. Der Ausgang 204 ist mit Exklusiv-NOR′s 229, 231 und mit dem Eingang eines Drei-Zustands-Treibers 206 gekoppelt. Nur ein Drei-Zustands-Treiber ist gezeigt, wobei klar ist, daß ebenso viele Treiber wie Ausgänge von der Chip-Logik vorhanden sind. Jeder Drei-Zustands-Treiber hat einen Aktivierungsein­ gang 212 der mit der Steuerlogik 210 gekoppelt ist. Die Aus­ gänge der Exklusiv-NOR′s 229, 231 und der Treiber sind mit Exklusiv-NOR′s 234, 236 verbunden. Wenn der Aktivierungstrei­ bereingang 212 zu Drei-Zustands-Treibern 206 angeregt ist, sind die Drei-Zustands-Treiber 206 für jeden Ausgang der Chip -B-Logik entaktiviert, so daß keine Datenübertragung stattfin­ det.

Die Ausgangssignale der Verschiebekette 222, 224 treiben Exklusiv-NOR′s 229, 231 und deren Ausgänge 230, 232 treiben die Eingänge von Exklusiv-NOR′s 234, 236. Der Test-Bit-1-Aus­ gang 214 und der Test-Bit-2-Ausgang 216 bilden ein Testmuster aus Einsen und Nullen entsprechend der von der Verschiebekette 222, 224 erzwungenen erwarteten Fehlerbedingungen.

Die Verschiebekette wird vom Ausgang 203 eines Frequenzteilers 201 angesteuert. Der Teiler liefert eine solche Wiederholungs­ frequenz F, daß das CLK-Signal 12 durch vier geteilt wird. Die Verschiebekette 222, 224 verschiebt ein Bit von einer Stufe der Verschiebekette zur nächsten, so daß ein Fehler sukzessiv in die FRC-Logik injiziert wird. Ein Test kann dann durch Prüfen der Fehlerbestimmungsausgänge mit der erwarteten er­ zwungenen Fehlerbedingung, geliefert durch eine Testschaltung (Fig. 2) innerhalb der Steuerlogik 210 durchgeführt werden. Dies bedeutet, daß ein in die Bit-1-FRC-Logik injiziertes Fehlerbit eine Fehlerbedingung an die Fehlerbestimmungs-Bit-1 -Leitung gleichzeitig damit anlegen sollte, daß die erwartete Fehlerbedingung auf der Test-Bit-1-Leitung ansteht.

Die Verschiebekette auf jedem Modul wirkt auf den Wert eines Bits zur Zeit, um einen Fehler zum Testen der FRC-Logik in dieses Bit einzuführen. Da dieses Bit intern verfälscht wird, sollte ein FRC-Fehler auf der entsprechenden FRC-Fehler-Be­ stimmungsleitung (Fehlerbestimmungsbit 1 oder Fehlerbestim­ mungsbit 2) angezeigt werden, wenn die FRC-Logik richtig ar­ beitet. Die Prüflogik, die in Fig. 3 gezeigt ist, implemen­ tiert die in Fig. 4 gezeigte Wahrheitstabelle, um festzustel­ len, ob eine Fehlerbedingung vorliegt. Wenn zum Zeitpunkt einer erzwungenen Fehlerbedingung alles normal funktioniert, so zeigt die Fehlerausgangsleitung 86 ein OK an. Alle anderen Bedingungen zeigen einen Fehler in der FRC-Logik selbst oder eine fehlende Übereinstimmung zwischen den Ausgängen des Hauptmoduls 100 und des Prüfmoduls 200.

Im folgenden wird auf Fig. 3 Bezug genommen, in der die Test -Bit-1-Leitung und die Fehlerbestimmungsbit-1-Leitung in einem Exklusiv-NOR 80 kombiniert sind das einen Arm einer ODER-Ver­ knüpfung 84 ansteuert. Die Test-Bit-2-Leitung und die Fehler­ bestimmungsbit-2-Leitung sind in einem Exklusiv-NOR 82 kombi­ niert, das den anderen Arm der ODER-Verknüpfung 84 ansteuert. Wenn die erwartete Fehlerbedingung auf der Test-Bit-Leitung mit der tatsächlichen Fehlerbedingung auf der Fehlerbestim­ mungsleitung übereinstimmt, bleibt der Ausgang der ODER-Ver­ knüpfung negativ, was anzeigt, daß kein Fehler bei der Selbst­ prüfung aufgetreten war. Eine fehlende Übereinstimmung ergibt ein Signal am Fehlerausgang 86.

Die Testdetektion arbeitet wie folgt. Modul 100 und Modul 200 sind im wesentlichen identische Module mit identischen Chiplo­ giken 102; 202 und sind mit einem gemeinsamen Adress/Daten -(AD-)Bus verbunden. Das Modul 100 wurde als Hauptmodul und das Modul 200 als Prüfmodul bezeichnet. Demgemäß wird der Treiber 106 auf dem Hauptmodul 100 aktiviert und der Treiber 206 auf dem Prüfmodul 200 wird nicht aktiviert. Dies macht es für die Komparatoren 234, 236 auf dem Prüfmodul 200 möglich, einen Eigentest und eine Vergleichsprüfung der Ausgänge 104, 204 der Chip-A- und Chip-B-Logiken durchzuführen, während Komparatoren 134, 136 auf dem Hauptmodul 100 nur mit einer Selbstprüffunktion befaßt sind.

Da der Treiber 106 auf Chip A aktiviert ist, durchläuft das Ausgangssignal 104 der Chip-A-Logik 102 den Treiber 106 bis zu den Eingängen der NOR-Verknüpfungen 234, 236 und von dort zur Prüflogik 242 auf dem Prüfermodul 200, während das Ausgangssi­ gnal 204 der Chip-B-Logik 202 an einem Durchtritt durch den Treiber 206 zu den Eingängen der NOR-Verknüpfungen 134, 136 und von dort zur Prüflogik 142 auf dem Hauptmodul 100 gehin­ dert ist.

Die Ausgangssignale 104, 204 der Chip-Logiken auf jedem Modul werden mit Hilfe der FRC-Logik auf dem Prüfmodul 200 getestet, indem die Ausgangssignale der Chip-A-Logik mit den Ausgangssi­ gnalen der Chip-B-Logik an den Exklusiv-ODER-Verknüpfungen 234, 236 verglichen werden. Eine Nicht-Übereinstimmungsbedin­ gung bewirkt, daß die Fehlerbestimmungsbit-1- und/oder die Fehlerbestimmungsbit-2-Leitung beaufschlagt wird oder werden.

Die Exklusiv-ODER-Verknüpfungen 129, 131 auf dem Modul 100, die mit der Verschiebekette 122, 124 verbunden sind, legen das von der Verschiebekette 122, 124 injizierte Fehlerbit an die Eingänge 130, 132 der FRC-Logik-Komparatoren 134, 136 an. In ähnlicher Weise legen die Exklusiv-ODER-Verknüpfungen 229, 231 auf dem Modul 200, die mit der Verschiebekette 214, 216 ver­ bunden sind, das von der Verschiebekette erzeugte injizierte Fehlerbit an die Eingänge 230, 231 der FRC-Logik-Komparatoren 234, 236 an. Ein Fehler in der Funktionsweise der FRC-Logik wird durch die Prüflogik (Fig. 3) festgestellt, die mit der Steuerlogik und den FRC-Logik-Komparatoren auf dem Modul ver­ bunden ist. Die Logikschaltung 80, 82, 84 der Fig. 3 erzeugt ein Fehlersignal 86 nach den Bedingungen der Wahrheitstabelle in Fig. 4.

Die Selbstprüfschaltung erweitert die Basis-FRC-Prüffunktion gemäß US-PS 41 76 258 dadurch, daß Selbstprüfschaltungen auf jedem Chip dupliziert werden, welche Fehlerdaten in die FRC -Prüflogik injizieren, um zu beweisen, daß die FRC-Fehlerlogik den injizierten Fehler feststellen kann. Das Schieberegister 122, 124 wirkt als Fehlerdatengenerator. Die Exklusiv-NOR-Ver­ knüpfungen 129, 131 wirken als Fehlerdateninjektor in die FRC-Logik 134, 136. Die Logik der Fig. 3 wirkt als Komparator, der einen erwarteten Fehler mit einem tatsächlichen Fehlerwert vergleicht.

Der Vorteil dieser Logik gegenüber der früheren FRC-Logik besteht darin, daß irgendein Fehler in der FRC-Logik selbst automatisch festgestellt und gemeldet wird. Wenn die Selbst­ prüflogik auf zwei Module verteilt wäre, so müßte eine externe Logik mit zusätzlichen Schnittstellen und ihren eigenen Selbstprüfschaltungen vorgesehen sein.

Das Schieberegister 122, 124 dient zum Injizieren eines einzi­ gen Fehlerbits in die FRC-Schaltung. Es gibt nur ein einziges Bit, das zu einem Zeitpunkt jeweils an das Schieberegister angelegt wird. Dieses einzige Fehlerbit wird von der Steuerlo­ gik 110 unter Verwendung des Flipflops 56 in Fig. 2 vorgege­ ben.

Im folgenden wird auf Fig. 2 Bezug genommen, in der der F-Si­ gnal-Ausgang von dem Frequenzteiler mit BOUT 14 in einer UND -Verknüpfung 54 kombiniert wird. Wenn BOUT 14 ansteht, wird die Schaltung aktiviert. Das Flipflop 56 wird vom Ausgangssi­ gnal 55 der UND-Verknüpfung 54 angesteuert, so daß es mit der Verschiebekette synchronisiert ist, welche das Fehlerbit inji­ ziert.

Der Fehler wird dadurch injiziert, daß durch Exklusiv-NOR-Ver­ knüpfungen 129, 131 ein lokales Fehlereingabesignal 126, 128 angeregt wird. Gleichzeitig erwartet der Ausgang des Flipflops 56, daß ein lokales Fehlerbit injiziert wird, und der Test -Bit-Ausgang des Flipflops wird zur Verifikation dieses Zu­ standes verwendet. Zu der Zeit, in der das lokale Fehlereinga­ besignal 126 anliegt, wird auch das Signal 114, welches den Fehler wegen der Eigenprüfung erwartet, angelegt. Die Prüflo­ gik 134 erwartet dann das Auftreten eines Fehlers auf einer Fehlerleitung 138 und erwartet außerdem, daß die andere Feh­ lerleitung 140 keinen Fehler zeigt. Jede andere Kombination sollte einen FRC-Selbstprüffehler melden.

Bei einer Schaltung, in der mehr als ein Bit dem FRC-Test unterworfen wird, hat das Schieberegister ein Muster von logi­ schen "Nullen" mit einer einzigen logischen "Eins". Das Bit mit der logischen "Eins" ist das Bit mit dem injizierten Feh­ ler.

Ein relativ häufiges Signal F muß zur Steuerung der Verschie­ bung des Fehlerbits verwendet werden, das von den Verschiebe­ ketten auf jedem Modul injiziert wird. Ein häufig auftretendes Signal könnte zu diesem Zweck verwendet werden, also bei­ spielsweise das Taktsignal (CLK) nach Teilung durch vier, welches die Schiebekette zum Verschieben bei jedem vierten Taktzyklus veranlaßt.

Die Haupt- und Prüfmodulen injizieren beide Fehler in ihre eigenen FRC-Logik-Schaltungen, und zwar unabhängig voneinan­ der. Es besteht zwar die Möglichkeit, jedoch keine Notwendig­ keit dafür, daß die Module in gegenseitiger Beziehung stehende Fehler injizieren, so beispielsweise daß das Prüfmodul den entgegengesetzten Fehler wie das Hauptmodul injiziert. Die BERL-Leitung 24 ist nur dann beaufschlagt, wenn entweder das Hauptmodul oder das Prüfmodul tatsächlich einen Fehler fest­ stellt, der an eine äußere Schaltung zu melden ist.

Claims (3)

1. Integriertes Schaltungsmodul (200) mit einer Fehlerbe­ stimmungsschaltung (234), die intern auf dem Modul (200) er­ zeugte Daten (204) mit extern von einem anderen, im wesentli­ chen identisch aufgebauten Modul (100) erzeugten Daten (108) vergleicht, um ein Fehlerbestimmungsausgangssignal (238) bei der Bedingung zu entwickeln, daß die intern auf dem Modul (200) erzeugten Daten (204) und die extern von dem anderen Modul (100) erzeugten Daten (108) nicht übereinstimmen, gekennzeichnet durch :
Mittel (222) zur Änderung der intern erzeugten Daten (204) durch Injizieren von Fehlerdaten in die intern erzeugten Daten (204), wobei geänderte Daten (230) entwickelt werden,
Fehlervorgriffsmittel (210) zur Erzeugung einer Testbedin­ gung (214) die einer erwarteten Fehlerbedingung aufgrund der geänderten Daten (230) am Fehlerbestimmungsausgang (238) der Fehlerbestimmungsschaltung (234) entspricht, und
Komparatormittel (242) zum Vergleichen des tatsächlichen Fehlerbestimmungsausgangssignals (238) mit dem erwarteten Fehlerbestimmungsausgangssginal (214).

2. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Mittel (222) zur Änderung der intern erzeugten Daten (204) eine von einer Frequenzquelle (201) getriebene Verschiebekette aufweist, daß eine Exklusiv-ODER-Verknüpfung (129) zum Ver­ knüpfen des Ausgangssignals (126) der Verschiebekette und der Daten (204) vorgesehen ist und daß die Fehlervorgriffsmittel (210) als Flipflop ausgebildet sind, das von der Frequenzquel­ le getaktet ist.

3. Anordnung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Komparatormittel (242) Mittel (80, 84) zur Erzeugung eines Fehlerausgangssignals (86) aufweisen, die das Fehleraus­ gangssignal unter der Bedingung erzeugen, daß das tatsächliche Fehlerbestimmungsausgangssignal (238) und das erwartete Feh­ lerbestimmungsausgangssignal (214) nicht übereinstimmend sind.