DE69213028T2

DE69213028T2 - Ausfallsicheres system mit neuronalem netzwerk

Info

Publication number: DE69213028T2
Application number: DE69213028T
Authority: DE
Inventors: Rolf Spiker
Original assignee: GTI Industrial Automation BV
Current assignee: GTI Industrial Automation BV
Priority date: 1991-09-09
Filing date: 1992-09-09
Publication date: 1996-12-19
Anticipated expiration: 2012-09-10
Also published as: NO940766D0; EP0623228A1; GR3021310T3; EP0623228B1; JP2735948B2; DK0623228T3; AU2646692A; US5586220A; DE69213028D1; JPH06510386A; NO940766L; ES2090690T3; WO1993005453A1; NO307116B1; NL9101518A; ATE141698T1

Description

Beschreibung:

Die Erfindung bezieht sich auf eine elektronische Steuerschaltung der "ausfallsicheren Notabschaltungsbauart" ("Fail-Safe Emergency Shut-Down"), die eine Eingangsschaltung, eine erste Signalverarbeitungsschaltung, in der eine Information vorher gespeichert wird, die sich auf Eingangssignale extremer Werte bezieht, die erreicht werden dürfen, und eine Ausgangsschaltung aufweist.
Der Ausdruck "ausfallsicher" ("Fail-Safe") bedeutet bei einem Notabschaltungssystem in der Praxis, daß die Wahrscheinlichkeit eines Systemfehlers, in dessen Folge ein nicht definierter Endzustand auftritt, so klein als möglich ist. Die Größenordnung dieser Gefahr P ist gleich 10&supmin;&sup6; oder kleiner. Ein Systemfehler kann als Folge aller möglichen Fehler der Einzelkomponenten oder durch eine Kombination hiervon auftreten.
Ein ausfallsicheres System ("Safety Related System") (SRS) dieser Art wird benutzt, um jedmögliches gefährliches Überschreiten von einem vorbestimmten Sicherheitsgrenzwert oder mehreren vorbestimmten Sicherheitsgrenzwerten in einem Prozeß zu bestimmen, der außerhalb des Bereichs verläuft, der durch das Prozeßsteuersystem gesteuert und geregelt wird, wobei nach der Feststellung des Überschreitens des Grenzwertes das Verfahren auf einen völlig sicheren Zustand automatisch zurückgeführt wird, ohne daß eine Bedienungsperson eingreift und ohne daß eine Bedienungsperson über den Fall informiert wurde.
Die größtmögliche Betriebssicherheit in Kombination mit einer Einfachheit wird durch eine Steuerschaltung der beschriebenen Bauart erhalten, die die Besonderheit aufweist, daß der erste Signalverarbeitungskreis wenigstens ein neurales Netzwerk umfaßt, welches aus einer sehr großen Zahl von Neuronen zusammengesetzt ist, die als Integratoren in Echtzeit arbeiten und parallel zueinander wirken und in großem Maßstab gegenseitig verbunden sind, wobei die Netzwerke in Hardware realisiert sind und wobei die Extremwerte über die Neuronen verteilt sind und im Falle des Überschreitens eines Extremwertes die Ausgangsschaltung ein Abschaltsignal erzeugt, wodurch eine hiervon gesteuerte Komponente in einen sicheren Zustand zurückgesetzt wird.
Gemäß einem weiteren Ausführungsbeispiel ist die Steuerschaltung gemäß der Erfindung durch einen zweiten Signalverarbeitungskreis charakterisiert, der aus wenigstens einem Neuronennetz besteht, welches aus einer sehr großen Zahl von Neuronen zusammengesetzt ist, die als Integratoren in Echtzeit parallel zueinander arbeiten und gegenseitig in einem großen Maßstab vernetzt sind, wobei die Netze in Hardware realisiert sind, wobei eine Information des zweiten Signalverarbeitungskreises gespeichert wird, die sich auf Extremwerte der Änderungen in der Zeit bezieht, die für die Ausgangssignale zulässig sind, wobei im Falle des Überschreitens eines Grenzwertes die Ausgangsschaltung ein Alarmsignal erzeugt, das eine Alarmanzeigevorrichtung steuern kann.
Diese letztgenannte Schaltung ist in der Lage, irgendeinen potentiellen Gefahrentrend aufzudecken. Nach Feststellung einer potentiellen Gefahr wird ein Alarmsignal einer Monitorstation übermittelt. Auf der Basis dieses Alarmsignals kann eine Bedienungsperson in das System eingreifen. Wenn dieses Eingreifen nicht stattfindet, dann wird die erste Signalverarbeitungsschaltung bei Fortdauer des Trends nach einer bestimmten Zeitperiode feststellen, daß einer oder mehrere der vorbestimmten Grenzwerte überschritten wurde(n), wodurch ein automatisches Abschalten des Prozesses durchgeführt wird, ohne daß eine Bedienungsperson eingegriffen hätte.
Aus der GB-A-2 150 373 ist eine ausfallsichere abschaltbare Leistungsquelle bekannt. Das ausfallsichere Prinzip wird mittels eines Transistorschalters in Kombination mit einer hiermit in Reihe geschalteten Sicherung und zwei Relaiskontakte verwirklicht, die parallel zueinander geschaltet sind und die Sicherung durchschlagen können, wenn die Transistorschaltung ausfällt. Dieses Prinzip ist als "deenergize to blow principle" bekannt.
Außerdem ist eine zweite Sicherung in Reihe mit der Leistungszuführungsschaltung der beiden parallelen Relais angeordnet. Diese Sicherung brennt bei jedem ausfallsicheren Notabschaltbefehl durch, um ein automatisches Wiederstarten zu verhindern, und die Sicherung muß jeweils nach dem Abschalten ersetzt werden.
Wenn eine regelmäßige Überprüfung der beiden parallelen Relais nicht möglich ist, dann wird ein Inverter benutzt, um die ausfallsichere Leistung zu erzeugen.
Aus der Literaturstelle Proceedings Tencon 87: 1987 IEE Region 10 Conference, part 3, 25. August 1987, 5. 893-898, "Intelligent control of variably configured systems using neural networks", ist eine schnell wirkende assoziative Memorytechnik bekannt, die für eine wirksame Klassifizierung einer großen Zahl komplexer gespeicherter Steuermuster benutzt wird. Anstelle eines konventionellen Expertensystems mit Kettentechnik, die zu langsam arbeitet, wird eine spezielle Datenbanktechnik in Kombination mit einem Memory angewandt, wobei Neuronennetze benutzt werden. Diese Literaturstelle bezieht sich jedoch nicht auf eine elektronische Schaltung der Gattung gemäß vorliegender Erfindung.
Die Schaltungen gemäß der Erfindung können bei allen Notabschaltanwendungen in SRS benutzt werden, wie dies beispielsweise in dem Entwurfsdokument IEC 65A.9.1 beschrieben ist (functional safety of electrical/electronic/programmable electronic systems, part 1: general requirements) und in dem Entwurf ISA Dokument SP 84 (Programmable Electronic Systems (PES) for use in Safety Applications). Die Schaltungen sind weiter geeignet beispielsweise für "Ausblas"-Anwendungen, wie beispielsweise beim Abziehen von Erdgas und bei der Verarbeitung desselben.
Die Sicherheitsfunktion, die sich auf die Arbeitsweise der ersten Signalverarbeitungsschaltung bezieht, besteht in einem vollständigen Abschalten des Prozesses, beispielsweise eines petrochemischen Prozesses, wenn einer oder mehrere Prozeßgrenzwerte überschritten werden. Das Überschreiten einer solchen Grenze wird als "Prozeßbedarf" bezeichnet.
Die erste Signalverarbeitungsschaltung arbeitet passiv, d. h. das ESD-System überwacht das Verfahren in passiver Weise, und wenn ein gesetzter Grenzwert überschritten wird, wird unbedingt eine Abschaltwirkung eingeleitet. Diese Abschaltwirkung wird bis zur Vollendung durchgeführt. Eine Unterscheidung findet nicht-statt. Der passive Charakter basiert auf der Überwachung der möglichen Überschreitung eines Prozeßparameters. Sqlange kein Überschreiten auftritt, findet keine Wirkung statt, und wenn ein Überschreiten auftritt, dann wird eine völlige Abschaltung durchgeführt.
Bei dieser Schaltung wird das Abschalten aufgrund des Prinzips der "Entregung zur Auslösung" ("de-energize to trip") durchgeführt. Dies bedeutet, daß im Falle von Systemfehlern Komponenten des ESD-Systems selbst auf den Logisch-Null-Zustand zurückschalten, und die gekoppelten ausfallsicheren Ausgangsverstärker können dann keine elektrische Energie mehr erzeugen. Diese Verstärker sind elektrisch mit den elektrischen "final elements" (Prozeßverarbeitungsglieder, beispielsweise Ventile und Magnetschalter) verbunden. Ein Schließen dieser Ventile verursacht ein Abschalten des Prozesses, was als Sicherheitsstatus definiert wird. Die elektronische Steuerschaltung mit der ersten Signalverarbeitungsschaltung kann als unabhängige Einheit arbeiten.
Die Sicherheitsfunktionen, die in der zweiten Signalverarbeitungsschaltung realisiert sind, bestehen aus der dauernden Auswertung sowohl der analogen als auch der digitalen Prozeßeingangssignale, und es wird daraus das Prozeßverhalten abgeleitet. Auf der Basis dieses Verhaltens kann der Trend des Prozesses bestimmt werden. Wenn der normale Betriebs-"Sicherheitstrend" dazu neigt, in einen "unsicheren Trend" überzugehen, so bedeutet dies, daß bei Fortdauer des "unsicheren Trends" der Prozeß die definierte "Abschalt"-Grenze nach einer bestimmten Zeit in Abhängigkeit von der Änderungsgeschwindigkeit erreicht. Im Moment der Feststellung des "unsicheren Trends" erzeugt die zweite Signalverarbeitungsschaltung, der "smarte" Teil, das oben erwähnte Alarmsignal, wodurch eine Bedienungsperson gewarnt werden kann. Die Warnung kann außerdem an ein Prozeßsteuersystem übertragen werden. Die von der Bedienungsperson oder dem Steuersystem durchgeführten Aktionen müssen gewährleisten, daß der "unsichere Trend" in den "sicheren Trend" zurückgestellt wird, d. h. in die normale Sicherheitsbetriebssituation. Wenn dieser korngierende Befehl nicht durch eine Einstellung des "unsicheren Trends" in einen "sicheren Trend" durchgeführt wird, so wird eine unbedingte Abschaltwirkung durch die erste Signalverarbeitungsschaltung innerhalb einer gegebenen Sicherheitsperiode eingeleitet. Die zweite Signalverarbeitungsschaltung kann daher als Zusatzfunktion der ersten Signalverarbeitungsschaltung betrachtet werden.
Die erste Signalverarbeitungsschaltung und die zweite Signalverarbeitungsschaltung arbeiten völlig unabhängig voneinander und können sich gegenseitig in keiner Weise beeinflussen.
Das "Smart"-Verhalten des gesamten ESD-Sicherheitssystems basiert auf der Tatsache, daß dem Steuersystem und/oder der Bedienungsperson die Möglichkeit gegeben wird, zu einem frühestmöglichen Zeitpunkt zu intervenieren, bevor die Sicherheitsabschaltwirkung erreicht ist. Wenn das Steuersystem und/oder die Bedienungsperson nicht in der Lage sind, den Prozeßtrend zu korrigieren, dann wird ein Abschalten des Prozesses automatisch durchgeführt, wenn die Prozeßgrenze überschritten wird, die durch die erste Signalverarbeitungsschaltung festgestellt wird. Hierdurch werden unnötige und kostspielige Abschaltungen vermieden und außerdem ein potentielles unsicheres Anlaufen.
Der "unsichere Trend" wird aus dem fortgesetzten Verhalten sämtlicher relevanter analoger und/oder digitaler Eingangssignale abgeleitet, die der Eingangsschaltung zugeführt werden. Dieses Verhalten kann durch die zweite Signalverarbeitungsschaltung gegenüber dem dynatlischen Prozeßsicherheitsmodell in der zweiten Signalverarbeitungsstufe ausgewertet werden. Dies ergibt eine sichere "Sicherheitsmuster"-Erkennung.
Nachstehend wird die Erfindung in Verbindung mit der Zeichnung beschrieben. In der Zeichnung zeigen:
Fig. 1 ein Blockschaltbild einer Steuerschaltung gemäß der Erfindung,
Fig. 2 eine schematische Ansicht des Aufbaus einer grundsätzlichen neuronalen Schaltung,
Fig. 3 ein Diagramm, welches der Fig. 2 entspricht und bei welchem von einer galvanischen Trennung Gebrauch gemacht wird,
Fig. 4 eine weitgehend schematisierte Ansicht eines typischen neuronalen Netzwerkes,
Fig. 5 ein Blockschaltbild entsprechend Fig. 1, worin eine Möglichkeit angegeben ist, mit der die Schaltung lernen kann.
Fig. 1 zeigt ein Notabschaltsystem gemäß der Erfindung. Die hier dargestellte Sicherheitsschaltung umfaßt eine Eingangsschaltung 1, eine erste Signalverarbeitungsschaltung 2, eine zweite Signalverarbeitungsschaltung 3 und Ausgangsschaltungen 4, 5 bzw. 6.
Die Eingangsschaltung umfaßt digitale Eingangssignale 7 und analoge Eingangssignale 8 und 9. Die Eingangssignale werden jeweils Filtern 10, 11, 12 zugeführt. Der Ausgang des Filters 10 wird einem D/D-Wandler 13 zugeführt, der die digitalen Signale einer gewünschten digitalen Signalverarbeitung zuführt. Der Ausgang des Wandlers 13 ist mit den Eingängen der Signalverarbeitungsschaltungen 2 und 3 verbunden.
Die Ausgänge der Filter 11 und 12 sind jeweils mit dynamischen Online-Sensorgültigkeitseinheiten 14, 15 verbunden. Der Ausgang der Einheit 14 ist mit einem Auslöseverstärker 16 mit einstellbarem Schwellwert verbunden. Die Einstelleinheit ist mit 17 bezeichnet. Der Ausgang des Auslöseverstärkers 16 ist mit dem Eingang der ersten Signalverarbeitungsschaltung 2 verbunden.
Der Ausgang der Einheit 15 ist mit einem Analog/Digital- Wandler 18 verbunden. Der Ausgang des A/D-Wandlers 18 ist an einen Eingang der zweiten Signalverarbeitungsschaltung 3 angeschlossen. Falls erforderlich, kann die Signalverarbeitungsschaltung 3 auch in analoger Weise realisiert werden, und in diesem Fall wird der Ausgang der Einheit 15 direkt an die Schaltung 3 angeschlossen. Dies ist durch die strichlierte Verbindungslinie angedeutet.
Die dynamischen Online-Sensorgültigkeitsstufen 14, 15 bestehen aus neuralen Netzwerken. Diese sind schematisch dargestellt und mit den Bezugszeichen 19, 20 versehen.
Die Ausgangsschaltung 4 ist ausfallsicher ausgebildet und liefert ein binäres Ausgangssignal und dient zur Steuerung der abschließenden Elemente, beispielsweise von Ventilen und dergleichen, die bei dem Verfahren Anwendung finden. Die Ausgangsschaltung 5 kann sowohl binäre als auch digitale Signale erzeugen und dient zur Steuerung von Signallampen, Alarmlampen, Statusindikatoren und Ereignisindikatoren. Die Ausgangsschaltung 6 kann binäre und digitale Signale erzeugen, und bei dem dargestellten Ausführungsbeispiel sind zwei Ausgänge vorhanden, der eine zur zuführung eines Alarmsignals nach der Tafel einer Bedienungsperson, um diese zu warnen und die Ursache der Warnung anzuzeigen, während der andere Ausgang ein Alarmsignal dem Steuersystem liefert, um Korrekturwirkungen durchzuführen.
Die Eingangsfilter 10, 11, 12 sind galvanisch getrennt. Der Auslöseverstärker 16 erzeugt ein binäres "0"-Signal, wenn der Grenzwert, der durch Mittel 17 eingestellt werden kann, durchlaufen wird. Dies ist das Abschalt-Auslöse-Prinzip. Die Einstellung des Grenzwertes kann an Ort und Stelle oder über eine Fernsteuerung vorgenommen werden. Analoge Eingangssignale können erforderlichenfalls mathematisch verarbeitet werden, bevor sie die Auslösefunktion durchführen. Das Ausgangssignal des Auslöseverstärkers 16 entspricht einem gegebenen Prozeßgrenzwert und wird daher nur der ersten Signalverarbeitungsschaltung 2 zugeführt.
Die Einheiten 14 und 15 überprüfen auf kontinuierlicher Basis die Qualität der analogen Eingangssignale, die von einem analogen Prozeßsender geliefert werden. Ein abweichendes Verhalten (infolge eines schnell oder langsam erscheinenden Fehlers) in bezug auf das historische Verhalten über den permanenten Vergleich mit einer individuell konfigurierten historischen Datenbank oder ein abweichendes Verhalten relativ zu dem Eingangssignal eines redundanten Senders erzeugen ein Alarmsignal.
Es ist allgemein festzustellen, daß sämtliche Hilfsverbindungen (d. h. nicht sicherheitskritische Verbindungen) ausfallsicher und galvanisch getrennt in dem ESD-System so angeordnet sind, daß diese Verbindungen den Sicherheitspegel des ESD-Systems in keiner Weise stören können.
Die Auslöseeinstellung 17 kann, wie bereits erwähnt, an Ort und Stelle oder über eine Fernsteuerung vorgenommen werden, aber die maximale Auslösegrenze wird in fest verdrahteter Form fixiert.
Die Grundeinheit eines neuronalen Netzwerkes ist ein Verarbeitungselement, das auch mit PE bezeichnet wird, eine Zelle oder Verbindung (vgl. Fig. 2). Die Funktion ist analog jener eines biologischen Neurons. Es kombiniert (totalisiert) die Eingangssignale und erzeugt ein Ausgangssignal gemäß einer Übertragungsfunktion (im typischen Fall einer Schwellwertfunktion). Ein neuronales Netzwerk umfaßt zahlreiche Verarbeitungselemente, die in verschiedenen Schichten kombiniert sind. Der Ausgangspfad eines Verarbeitungselementes ist mit dem Eingangspfad eines weiteren Verarbeitungselementes verbunden. Diese Verbindungen werden durch Wichtigkeitsfaktoren ausgewogen. Diese letzteren bilden die Speicherelemente des Netzwerkes. Da jede der sehr zahlreichen Verbindungen einen entsprechenden Wichtungsfaktor besitzt, kann die Summierung, die durch jedes Verarbeitungselement herbeigeführt wird, als gewichtete Summe betrachtet werden. Um gemeinsam verursachte Fehler in der ersten Verarbeitungsschaltung 2 gemäß Fig. 1 zu vermeiden, wird eine galvanische Trennung 21 zwischen allen neuronalen Netzwerken vorgenommen, von denen zwei dargestellt und mit den Bezugszeichen 22 und 23 versehen sind.
Die neuronalen Netzwerke empfangen ihre Leistung von einem Massenparallelismus von Neuronen, die eine große Zahl von Neuronen erfordern, die in Schichten gruppiert sind, und zwar zusätzlich zu einer sehr großen Zahl gegenseitiger Verbindungen zwischen den Neuronen. Ein Neuron selbst wirkt im Prinzip als Integrator und ist nicht in spezieller Weise intelligent. Eine sehr wichtige Charakteristik der neuronalen Netzwerke besteht in ihrer Fähigkeit zu lernen. Anders als in digitalen Mikroprozessorsystemen, die auf Algorithmen beruhen und bei denen die Kenntnis allein in Form von Regeln (Software) existiert, erzeugen neuronale Netzwerke ihre eigenen Regeln, indem sie von Beispielen lernen. Das Lernen, d. h. das Trainieren, findet statt mittels eines adaptiven Prozesses. Wenn ein Eingangssignal wiederholt an den Eingang eines neuronalen Netzwerkes gelegt wird und ein entsprechendes gewünschtes Ausgangssignal wiederholt vom Ausgang abgenommen wird, dann lehrt sich das neuronale Netzwerk selbst und adaptiert sich selbst graduell im Hinblick auf die erwünschte Übertragung. Eine weitere sehr wichtige Eigenschaft von neuronalen Netzwerken besteht in der Art und Weise, in der die Information gespeichert und verarbeitet wird. Der Speicher eines neuronalen Netzwerkes ist sowohl verteilt als auch assoziativ, und die Behandlungsfunktion wird verteilt. Eine Einheit, die weiß, was beispielsweise durch ein bestimmtes Eingangsmuster relativ zu dem gewünschten Ausgangsmuster repräsentiert wird, ist ebenfalls über sämtliche Speicherverarbeitungseinheiten im Netzwerk verteilt, und diese Einheiten wirken mit anderen Kenntniseinheiten zusammen, die im Netzwerk gespeichert sind. Kein spezielles Neuron im Netzwerk spielt eine wichtige Rolle. Alle Neuronen überlappen einander funktionell ein wenig weniger als um 100 %, beispielsweise um 99 %. Diese eigene Verteilungseigenschaft und Unempfindlichkeit gegenüber Fehlern einzelner Neuronen sind extrem wichtig für den Sicherheitsintegrationspegel und den Verfügbarkeitspegel des ESD-Systems in der Signalverarbeitungsschaltung 2. Der Sicherheitsintegrationspegel wird definiert als Chance des Systems, nicht abgeschaltet zu werden, wenn dies tatsächlich geschehen sollte. Der Verfügbarkeitspegel wird definiert als Chance des Systems, abgeschaltet zu werden, wenn dies nicht geschehen sollte. Der assoziative Charakter der Neuronenspeicher bedeutet, daß dann, wenn das Netzwerk einen speziellen Eingang empfängt, das Netzwerk die dichteste Anpassung aus seinem Speicher auswählt und ein Ausgangssignal erzeugt, welches einem kompletten Eingang entspricht. Insbesondere diese letzte Charakteristik ist wichtig für die "Unsicherheitstrend"-Erkennung in der zweiten Signalverarbeitungsschaltung 3 und den Sensorvalidationseinheiten 14 und 15. Das Neuron 24 gemäß Fig. 2 ist über synaptische Wichtungsfaktoren 25, 26, 27, 28 mit Eingängen 29, 30, 31, 32 verbunden. Eine gewichtete Summe wird nach einem Axon oder Ausgang 33 übertragen und ist an Parallelausgänge 34, 35, 36, 37 angeschlossen. Die Neuronen 38, 39 sind schematisch dargestellt. Hierbei muß berücksichtigt werden, daß das sehr vereinfachte Diagramm gemäß Fig. 2 sich nur auf ein einfaches Beispiel bezieht und daß andere Zahlen von Eingängen und Ausgängen ebenfalls möglich sind.
Fig. 3 zeigt eine Abwandlung, bei der eine galvanische Trennung 34 in dem Axon 33 angeordnet ist. Hierdurch werden gemeinsam verursachte Fehler verhindert. Diese galvanische Trennung 34 ist auch zwischen den Neuronen 38, 39 vorgesehen.
Fig. 4 zeigt einen typischen Aufbau eines neuronalen Netzwerkes in sehr vereinfachter schematischer Form. Das Netzwerk 41 umfaßt eine Eingangsinformation von einer Eingangseinheit 42, die die Information nach einer Eingangsschicht 43 überführt. Eine Ausgangsschicht 44 führt die Ausgangsinformation einer Ausgangseinheit 45 zu. Zwischen der Eingangsschicht 43 und der Ausgangsschicht 44 befindet sich eine große Zahl "verborgener" Schichten, die kollektiv mit 46 bezeichnet sind. Die Zahl der Neuronen pro Schicht und die Zahl der Schichten hängen von der Anwendung ab.
Die neuronalen Netzwerke können simulierte Netzwerkschaltungen sein, und sie können auf der Basis der "Neural Bit Slice"-Technik (NBS) ausgebildet sein. Dies bezieht sich auf multiple Halbleiterdigitalkristallscheiben (VLSI), die zur Realisierung von neuronalen Echtzeit-Netzwerksystemen ausgebildet sind und parallel zueinander arbeiten.
Fig. 5 zeigt schematisch die Art und Weise, in der die Schaltung gemäß Fig. 1 trainiert werden kann. Es wird ein Mikroprozessor 47 benutzt, der die Eingangssignale den Eingängen 7, 8 und 9 während der erforderlichen Zeitperiode zuführt und der pro Gruppe von Eingangssignalen die erwünschten entsprechenden Ausgangssignale an den Ausgängen der Signalverarbeitungsschaltungen 2, 3 anlegt. Zu diesem Zweck werden ein Eingangssimulator 49 und ein Ausgangssimulator 50 benutzt, die beide gemeinsam durch den Mikroprozessor 47 gesteuert werden. Dem Mikroprozessor 47 werden ein Terminal 51 und ein Monitor 52 beigegeben. Dabei wird von einem "Cause & Effect diagram" Gebrauch gemacht. Ein "Cause and Effect diagram" umfaßt eine komplette Gruppe von Eingangssignalen und eine komplette Gruppe zugeordneter Ausgangssignale. Es wird ein funktionelles Logikdiagramm über den gesamten Bereich der Cause-and-Effect-Diagramme erhalten.
Der Lernprozeß der dynamischen Online-Sensorvalidationseinheiten 14, 15 kann auf zweierlei Weise stattfinden: (a) mittels eines autodidaktischen Prozesses für eine vorgewählte Zeitdauer während der normalen Einpflanzoperation; (b) durch ein vorher definiertes Programm, das unter Benutzung des Computersystems 47, 49, 50, 51, 52 an den Eingängen und Ausgängen des Systems erfindungsgemäß angebracht wird.
System-Software und Anwendungs-Software sind in dem ESDSystem nicht vorhanden.
Es ist festzustellen, daß neuronale Netzwerke für diese Anwendung unterschieden werden können durch drei im Grundsatz unterschiedliche Strukturen, nämlich: eine Zuführung nach vorn, eine Rückführung und eine seitliche Rückführung. Andere Strukturen oder Kombinationen dieser Basisstrukturen sind ebenfalls möglich.

Claims

1. Elektronische Steuerschaltung der "ausfallsicheren Notabschaltungs"-Bauart mit einer Eingangsschaltung (1), mit einer ersten Signalverarbeitungsschaltung (2), in der vorher eine Information gespeichert wird, die sich auf extreme Eingangssignalwerte bezieht, die durchlaufen dürfen, und mit einer Ausgangsschaltung (4, 5, 6), die bei Überschreiten der Extremwerte ein Abschaltsignal liefert, wodurch eine dadurch gesteuerte Komponente in einen Sicherheitszustand überführt wird,

dadurch gekennzeichnet, daß die erste Signalverarbeitungsstufe (2) wenigstens ein neuronales Netzwerk (41) aufweist, das aus einer sehr großen Zahl von miteinander verbundenen Neuronen besteht, die in Echtzeit in einem großen Maßstab parallel zueinander als Integratoren arbeiten, wobei die Netzwerke in der Hardware realisiert sind, und wobei die Extremwerte über die Neuronen verteilt sind und die Neuronen galvanisch voneinander getrennt sind, um gemeinsam verursachte Fehler auszuschalten.

2. Elektronische Steuerschaltung nach Anspruch 1, gekennzeichnet durch eine zweite Signalverarbeitungsschaltung (3), in der die Information, die sich auf die Extremwerte von zulässigen zeitlichen Änderungen der Ausgangssignale bezieht, gespeichert wird, wobei bei Überschreiten eines der Extremwerte die Ausgangsschaltung ein Alarmsignal erzeugt, das eine Alarmsignalisierungsvorrichtung steuern kann.

3. Elektronische Steuerschaltung nach Anspruch 2, dadurch gekennzeichnet, daß die zweite Signalverarbeitungsschaltung (3) wenigstens ein neuronales Netzwerk enthält, das aus einer sehr großen Zahl gegenseitig verbundener Neuronen besteht, die in Echtzeit parallel zueinander als Integratoren wirken, wobei die Netzwerke in der Hardware realisiert sind, und wobei die Extremwerte über die Neuronen verteilt sind.

4. Elektronische Steuerschaltung nach Anspruch 3, weiter dadurch gekennzeichnet, daß die Eingangsschaltung (1) ein digitales Signaleingangsfilter (10) enthält, dessen Ausgang an einen Digital/Digital-Wandler (13) angeschlossen ist, daß der Ausgang des Wandlers mit der ersten und der zweiten Signalverarbeitungsstufe (2, 3) verbunden ist, und daß ein erstes Analogsignaleingangsfilter (11) vorgesehen ist, dessen Ausgang an eine erste dynamische Online-Sensorvalidationseinheit (14) angeschlossen ist, deren Ausgang an einen Auslöseverstärker (16) angeschaltet ist, dessen Ausgang an die erste Signalverarbeitungseinheit angeschlossen ist.

5. Elektronische Steuerschaltung nach Anspruch 4, dadurch gekennzeichnet, daß wenigstens eines der digitalen Signalfilter (10) oder das erste Analogfilter (11) von der Bauart mit galvanischer Trennung ist.

6. Elektronische Steuerschaltung nach den Ansprüchen 4 oder 5, dadurch gekennzeichnet, daß die Eingangsschaltung (1) ein zweites analoges Eingangsfilter (12) aufweist, dessen Ausgang an eine zweite dynamische Online-Sensorvalidationseinheit (15) angeschlossen ist, wobei der Ausgang der zweiten Validationseinheit an einen Analog/Digital-Wandler (18) angeschlossen ist, dessen Ausgang an eine zweite Signalverarbeitungseinheit (3) angeschlossen ist.

7. Elektronische Steuerschaltung nach Anspruch 6, dadurch gekennzeichnet, daß das zweite analoge Filter (12) von der Bauart mit galvanischer Trennung ist.

8. Elektronische Steuerschaltung nach Anspruch 4 oder 5, dadurch gekennzeichnet, daß die erste Sensorvalidationseinheit (14) ein neuronales Netzwerk umfaßt.

9. Elektronische Steuerschaltung nach einem der Ansprüche 6 bis 8, dadurch gekennzeichnet, daß die zweite Sensorvalidationseinheit (15) ein neuronales Netzwerk aufweist.

10. Elektronische Steuerschaltung nach einem der Ansprüche 4 bis 9, dadurch gekennzeichnet, daß der Auslöseverstärker (16) einen einstellbaren Schwellwert aufweist.