NL8403403A - Modulaire uitgangsaandrijvingsinrichting voor vitale processorstelsels. - Google Patents

Description

♦ ‘ - i - ‘¥

Modulaire uitgangsaandrijvingsinrichting voor vitale processorstelsels.

De uitvinding heeft betrekking op de uitrusting van veiligheid-verzekerende logica (Safety Assurance Logic), voor het verifiëren van de vitaliteitseigenschap van de uitgang van een onafhankelijk werkende processor.

5 Testwoorden of testbits zijn reeds gedurende betrekkelijk geruime tijd gebruikt bij het testen van de werkingen van digitale processors, men zie bijvoorbeeld de Amerikaanse octrooischriften 4,368.532 en 4.107.253 op naam van Imazeki resn. Borg. Terwijl het eerste octrooi-10 schrift gericht is op het afleiden en opslaan van testbits (bijv. kwaliteitsbits) gebruikt Borg testwoorden. Hij onderzoekt de testwoorden door hen te vergelijken met een opgeslagen patroon. Deze techniek is onderhëvig aan een aantal punten van kritiek waarvan niet het geringste is 15 dat een enkele puls gebruikt wordt om het doorstaan van het onderzoek te verifiëren. De enkelvoudige impuls kan (als storing! worden opgewekt ten gevolge van een groot aantal van faalmogelijkheden. Nog andere variaties zijn aangegeven door Sery (4.358.849), Johnstone (4.120.030), 20 Pertl (4.128.874) en Dodt (4,251.885). Deze octrooischriften tonen een variëteit van technieken voor het testen van de werking van een processor, maar falen in het algemeen bij het verschaffen van een beveiliging tegen fouten in de uitgang van de testprocedure zelf.

25 Veiligheid-verzekerende logica is een aanduiding van aanvraagster van deze aanvrage voor technieken en bijbehorende apparatuur voor het waarborgen dat een niet vitale inrichting, zoals een conventionele computer, een microprocessor of dergelijke, op de juiste wijze werkt.

30 Dit wordt van belang geacht, zodat de uitgang die verkregen wordt van de processor vitaal kan worden geacht, m dit opzicht, men zie Safety Assurance Logic - Using - Microprocessors Vitally, aangeboden op de Annual Meeting of the Association of American Railroads, op 5 oktober 35 1981, en Safety Assurance Logic - Microprocessors in Vital

Systems, aangeboden op de Amerikaanse Public Transit 8403403

V

y-v o-· ‘ - 2 -

Associated Annual Rapid Transit Conference, Cleveland,

Ohio, 16. juni 1982, evenals het oudere Amerikaanse octrooi-schrift 4.181.849 van de uitvinder van deze aanvrage en van dezelfde uitvinder de samenhangende Amerikaanse aan-5 vrage serial Nr. 273.299 ingediend op 15 juni 1981 en serial Nr. 313.926 ingediend op 22 oktober 1981, welke aanvragen en welk patent zijn overgedragen op de aanvraagster van de onderhavige aanvrage.

In het bovengenoemde octrooischrift is een vitale 10 relaisaandrijving (met inbegrip van een digitale processor} geopenbaard met een bestuurde reactietijd. De vitale relaisaandrijvingsinrichting kan een uitgangssignaal van vaste en gespecificeerde frequentie opwekken, bijvoorbeeld om een relais bekrachtigd te houden, maar kan eveneens 15 dat uitgangssignaal manipuleren om een beheerste afvaltijd van het relais te verkrijgen. Dienovereenkomstig bepaalt de vitale aandrijfinrichting, die in dat octrooischrift beschreven is, niet alleen of het relais wel of niet bekrachtigd moet zijn, maar indien het relais in onbe-20 krachtigde toestand moet worden gebracht kan de afvaltijd van het relais selectief van tevoren worden bepaald.

De bovengenoemde Amerikaanse aanvrage 273;299 beschrijft' een vitaal communicatiestelsel voor het overdragen van meervoudige boodschappen. Een vitale aandrijvingsinrichting 25 is daarbij aanwezig voor het geldig maken van de werkingen van een onafhankelijk werkende processor,, die zelf een decoderings-taak vervult. In dit en andere stelsels (zoals dat van de Amerikaanse octrooiaanvrage 313.926} voert een processor (de primaire processor), een primaire taak uit 30 op zijn ingangen voor het opwekken van ëën of meer uitgangen. Voor het opwekken van deze uitgangen volvoert de primaire processor een opeenvolging van stappen, die opgelegd worden door een primair programma. Voor zover de gebruikte processors op kenmerkende wijze conventionele 35 microprocessors zijn, zijn zij niet op zichzelf genomen vitaal, Eerder zijn de processors verbonden met een vitale - - aandrijfinrichting, waarvan de funktie het testen of checken is van de juiste werking van de primaire processor bij het uitvoeren van zijn primaire taak. Teneinde deze 40 testbewerkingen uit te voeren, volvoert de vitale aandrijf- 8403403 . * % - 3 - inrichting, zelf een verdere conventionele microprocessor van niet vitale aard, een opeenvolging van stappen uit. De primaire processor vormt, buiten het uitvoeren van zijn primaire taak via de opeenvolging van stappen, op bepaalde 5 tijdstippen in de opeenvolging êên of meer testwoorden.

De bedoeling van de testwoorden is dat door hun waarde (mogelijk ook door hun aantal) de correcte werking van de primaire processor door hen wordt aangegeven. Aangezien de primaire taak, die door een dergelijke primaire proces-10 sor wordt uitgevoerd ruim in ingewikkeldheid kan variëren, zullen de vaklieden in deze techniek begrijpen, dat de tijd, die de primaire processor nodig heeft om zijn opeenvolging van stappen af te lopen, eveneens betrekkelijk ruim zal variëren. De tijd die nodig is voor de primaire 15 processor om door zijn opeenvolging van stappen te gaan voor het uitvoeren van de primaire taak, evenals voor het vormen van de bijbehorende checkwoorden zal een basiscyclus genoemd worden. Bij het einde van elke basiscyclus doen resultaten zich in twee vormen voor: uitgangsaan-20 duidingen, die een aanduiding vormen van waarden die door de primaire processor aan zijn verschillende uitgangen zijn toegevoegd, evenals een groep testwoorden. De waarden, die door de primaire processor aan de uitgangen zijn toegevoegd zijn uiteindelijk bestemd voor de buitenwereld, 25 dat wil zeggen om op een of andere fysieke inrichting in te werken, zoals een relais, wissel, sein of dergelijke.

De testwoorden zijn anderzijds bestemd voor de vitale aandrijfinrichting. De werking van de vitale aandrijf-inrichting is het inwerken op de testwoorden en het 30 verschaffen van een toelatingsuitgang in het geval dat voor zover de vitale aandrijfinrichting dat kan bepalen, de testwoorden aangeven dat de basiscyclus zodanig is afgewikkeld, dat aangegeven wordt dat de uitgangen passend zijn, De uitgangen van de primaire processors worden 35 gepoort naar de buitenwereld door de vitale aandrijf inrichting. Bij het ontbreken van de toelatings-uitgang wordt verhinderd dat de werkelijke uitgang van de primaire processor werkzaam wordt en in plaats daarvan worden de signalen voor de buitenwereld op hun meest 40 beperkende toestand gesteld, bijvoorbeeld dat alle seinen 8403403 v f ,. ·' - 4 - op stoppen worden gezet. Op die wijze is het slechts bij aanwezigheid van een toelatingsuitgang, die door de vitale aandrijfinrichting geleverd wordt,, dat ëën of meer toe te stane uitgangen van de primaire processor voor de 5 buitenwereld beschikbaar zijn.De primaire processor kan, in de loop van zijn primaire funktie, niet alleen de . stappen volvoeren die nodig zijn om de vereiste uitgangen te vormen, evenals het opwekken van de testwoorden voor de vitale aandrijfinrichting, maar bevat eveneens onder-10 zoeken van zijn uitgangsaanwijzingen om te verifiëren of de uitgangsaanwijzingen in feite de waarden weergeven, die aan hen zijn toegevoegd door de primaire processor.

Deze test van de uitgangsaanwijzingen is een faktor, die gebruikt wordt bij de vorming van de testwoorden. Op deze 15 wijze test de vitale aandrijfinrichting, wanneer die inwerkt op de testwoorden, niet alleen de juiste funktio-nering van de stappen, die zijn uitgevoerd voor het volvoeren van de primaire taak, maar is zij eveneens verantwoordelijk voor het verifiëren dat de uitgang van de 20 primaire processor in werkelijkheid de waarden weergeeft, die beoogd werden toegevoegd te worden aan de desbetreffende uitgangen door de primaire processor.

Een probleem bij het realiseren van deze testen wordt duidelijk indien de tijd, die de primaire processor 25 nodig heeft voor het uitvoeren van de basiscyclus veel langer is dan de tijd, waarin de uitgang van de primaire processor zou kunnen falen.

Wanneer men bijvoorbeeld een basiscyclus beschouwt die voor zijn uitvoering één seconde nodig heeft, kan 30 de werking van de basiscyclus niet vaker dan eenmaal per seconde onderzocht worden. Anderzijds kan het geval beschouwd worden dat de tijd waarbinnen de uitgang van de primaire processor onderzocht moet worden ten minste eenmaal in elke 30Q milliseconden is om te waarborgen dat 35 hij op de juiste wijze de waarde weergeeft, die aan die uitgang door de primaire processor is toegevoegd. Het is dan direkt duidelijk dat er een vraag kèn zijn naar frequenter testen, ten minste voor zover het de uitgang van de primaire processor betreft, dan mogelijk is indien 40 het testen slechts eenmaal in elke basiscyclus wordt uit- 8403403 r * % - 5 - gevoerd.

Omdat verder de veiligheid waarborgende logica moet worden toegepast op een mime variëteit van basiscycli, in het bijzonder degene die het gamma bestrijken van 5 betrekkelijk eenvoudige tot aanmerkelijk complexe logica, zal het eveneens duidelijk zijn, dat het aantal testwoorden, dat nodig is om de vlekkeloosheid van de uitvoering van basiscyclus naar voren te brengen, eveneens zeer ruim kan variëren. Het ligt bijvoorbeeld geheel niet buiten de 10 reële mogelijkheden ervan uit te gaan dat sommige basiscycli 50 testwoorden zullen vormen, terwijl andere er tot 1000 of meer zullen vormen. Bovendien moet de uitgang van de vitale aandrijfinrichting onderscheidend zijn en van zodanige aard, dat zij slechts kan worden opgewekt ten 15 gevolge van een reeks van betrekkelijk onwaarschijnlijke gebeurtenissen, tenzij zowel de primaire processor als de vitale aandrijfinrichting beide hun programma's zonder fout hebben uitgevoerd. In het geval van de vitale aandrijf inrichting, die beschreven is in Amerikaans octrooi-20 schrift 4,181.849 was de uitgang van de vitale aandrijf-inrichting (de toelatlngsuitgangl een signaal op een gespecificeerde frequentie, die wordt vastgesteld door de uitgang van een bepaald bit met een overeenkomende snelheid te wijzigen. Daarbij is het van belang dat geen afgestemde 25 keten in de apparatuur is opgenomen, die in staat is de gespecificeerde frequentie op te wekken. Het opwekken van een vaste frequentieuitgang, die is gevormd uit een reeks van toestanden van een bepaald bit, wanneer de gegevens die nodig zijn voor het vormen van die uitgang va-30 riëren van 50 tot 1000 of meer testwoorden, vormt evenwel een verder probleem. Een gedeelte van het probleem is het feit, dat processors op kenmerkende wijze niet in de reële tijd werken en in dit geval toch de vereiste uitgang tijdgevoelig is. Een ander deel van het probleem 35 is de wens de toelatingsuitgang van de vitale aandrijf-inrichting uniform te laten zijn. Bijgevolg wordt het probleem verband met hoe een bepaalde tijdgevoelige toelatingsuitgang opgewekt kan worden ten gevolge van de herhaalde ontvangst van een groep van testwoorden, Waarbij 40 evenwel het aantal woorden in de groep binnen betrekkelijk 8403403 v * s - 6 - ruime grenzen variabel moet zijn.

De uitvinding lost deze en daarmede verband houdende problemen op op een wijze, die in het volgende duidelijk zal worden. Meer in het bijzonder verschaft de 5 uitvinding opeenvolgingen van stappen voor de vitale aandrijf inrichting, die modulair van aard zijn. Verschillende opeenvolgingen worden opgeroepen door verschillende test-woorden. Daartoe wordt volgens de uitvinding in een opeenvolging van stappen voorzien voor het vanuit een stel 10 van testwoorden vormen van een van tevoren bepaald gedeelte van de gewenste uitgang, gemeten in de tijd. Andere opeenvolgingen vormen een deel van de gewenste uitgang, dat afhankelijk is van de waarde van een testwoord (of woordpaar} . Nog andere opeenvolgingen van stappen zijn aange-15 bracht, die weinig tijd in beslag nemen (gemeten op de schaal van het uitgangssignaal} maar toch nodig zijn om andere opeenvolgingen te verbinden tot een werkzaam programma. De opeenvolgingen van stappen, die betrekkelijk weinig tot de uitgang bijdragen, zijn evenwel toch nodig 20 voor de werking van deze opeenvolgingen die zodanig worden aangebracht dat checkwoorden in overmaat van degene die werkelijk nodig zijn voor het vormen van het uitgangssignaal op adequate wijze getest kunnen worden. Bijgevolg kan door het oproepen van geschikte van de opeenvolgingen 25 in een geschikte orde een bepaalde uitgang worden opgewekt, ondanks een ruime variatie in het aantal testwoorden.

De primaire processor en de vitale aandrijf-inrichting zijn niet gesynchroniseerd. Bijgevolg kan, zelfs wanneer foutloze werking van de beide processors wordt 30 verondersteld, het punt in de werkopeenvolging van de vitale aandrijving, waarbij de basiscyclus beëindigd wordt, variëren. Tenzij deze potentiële slip op een of andere wijze wordt bestuurd, kunnen de processors zover uit de pas komen dat een foute aanduiding wordt gegeven wanneer 35 geen werkelijke fout is opgetreden. Dienovereenkomstig is het een verder doel van de uitvinding de vitale aandrijf inrichting te onderwerpen aan de basiscyclus van de primaire processor om te waarborgen dat een voldoende rigide synchronisatie gehandhaafd wordt. Daartoe wordt 40 ten minste één opeenvolging gegeven voor het uitsluitend 84 0 3 4 0 3 ^ Η - 7 - markeren van de tijd tot aanvullende testwoorden beschikbaar zijn.

Verder, voor het overwinnen van het probleem dat ontstaat door de noodzaak de uitgang van de primaire 5 processor te testen met een herhalingssnelheid die hoger is dan de uit te voeren basiscyclus, bepaalt de vitale aandrijfinrichting een aanhoudingstijd, die gebaseerd is op de ontvangst van een correct stel van hoofdtestwoorden.

Het hoofdstel van testwoorden, dat eens per basiscyclus 10 wordt opgewekt en de aanhoudingstijd zijn ten minste zo lang als nodig is voor de uitvoering van de basiscyclus.

Terwijl de vitale aandrijvingsinrichting een aanhoudingstijd bepaalt is dit niet een voldoende voorwaarde om te voorzien in een toelatingsuitgang voor de periode van de 15 aanhoudingstijd. Daarentegen zal de toelatingsuitgang slechts worden opgewekt voor de duur van de aanhoudingstijd, indien met frequentere intervallen, aanvullende stellen hertest-testwoorden eveneens worden geleverd.

De hertest-testwoorden worden met de noodzakelijke snelheid 20 geleverd voor het testen van de uitgang van de primaire processor. Dienovereenkomstig, hoewel de aanwezigheid van hoofdtestwoorden voorwaardelijk de toelatingsuitgang beschikbaar maakt voor de totale duur van de aanhoudingstijd, wijkt desalniettemin, indien de hertest-testwoorden 25 niet met een hogere frequentiesnelheid (en met de juiste inhoudl geleverd worden dan nodig is voor het testen van de uitgang van de primaire processor, de uitgang van de vitale aandrijfinrichting af van het formaat van de toelatingsuitgang * In een uitvoeringsvoorbeeld bedroeg 30 de hoofdcyclus ëën seconde, en was de hertestfrequentie één hertest in elke 50 milliseconden.

Volgens nog andere aspecten van de uitvinding heeft de vitale aandrlj finrichtifrg /een klein aantal vitale aanhoudingstijdsegmenten, terwijl toch alle vitale 35 segmenten in elk programma nodig zijn ongeacht het aantal testwoorden of de duur van de toelatingsuitgang.

Uit het bovenstaande zal men inzien dat vele testwoorden gevormd kunnen worden en aan de vitale aandrijf inrichting geleverd gedurende een basiscyclus.

40 Teneinde te waarborgen dat de toelatingsuitgang niet op 8403403 ψ \ % - 8 - foute vrij ze wordt opgewekt door het hergebruiken van testwoorden, moet de 'vitale aandrijfinrichting elk test-woord vernietigen wanneer er toe is doorgedrongen. Het falen in het vernietigen van zelfs een enkel testwoord verhindert 5 de juiste beëindiging van de werkopeenvolging van de vitale aandrijfinrichting.

Verder, teneinde te waarborgen dat de testwoorden werkelijk in de geschikte opeenvolging worden gevormd, is elk testwoord, zoals dit aan de vitale aandrijfinrich-10 ting wordt overgedragen, in feite verschillend door een verplaatsing ten opzichte van wat de vitale aandrijfinrichting voor eigen werking vergt. Verder verandert de verplaatsingswaarde continu en dientengevolge moeten de testwoorden in hun juiste opeenvolging toegevoerd 15 worden of de vitale aandrijfinrichting zal niet de juiste opeenvolging van stappen uitvoeren, die nodig is voor het vormen van de toelatingsuitgang.

Volgens nog verdere aspecten van de uitvinding heeft de vitale aandrijfinrichting een bijbehorende tijds-20 bepaler. Elk identificeerbaar segment (bijv. de hertest-tijdl van de toelatingsuitgang, wordt onderzocht ten opzichte van een standaard, die door een uitwendige tijds-bepaler wordt geleverd.

Volgens een ander aspect van de uitvinding bevat 25 de vitale aandrijfinrichting een teller, waarbij telklok-toestanden van de processor zijn opgenomen in de vitale aandrijfinrichting. Andere identificeerbare segmenten van de toelatingsuitgang (een modulatiecyclus} worden getest tegen de toestand van de teller.

30 Verder is het programma van de vitale aandrijf- inrichting zodanig ingericht dat indien men tracht pro-grammaopeenvolgingen uit te voerenbuiten de geschikte orde, de vitale aandrijfinrichting in een halttoestand wordt gezet. De halttoestand heeft twee effekten: belang-35 rijk is dat het de opwekking van de toelatingsuitgang beëindigd. Bovendien wordt de vitale aandrijvingsinrichting in een terugsteltoestand gebracht, waarin hij weer wordt gestart. Het programma van de vitale aandrijfinrichting bevat evenwel een betrekkelijk lange vertraging, bijvoor-40 beeld van éên of meer seconden (hoewel kiesbaar) voordat 8403403 »- i - 9 - de uitvoering en de opwekking van de toelatingsuitgang weer beschikbaar is. Dit waarborgt dat het falen van de vitale aandrijfinrichting gemakkelijk herkenbaar is en niet gewijzigd kan worden met toestandsveranderingen van 5 de toelatingsuitgang, die zouden kunnen worden uitgelegd als bewijs van een goede werking.

Volgens nog een ander aspect van de uitvinding is de toelatingsuitgang een amplitude-gemoduleerd signaal met een uitgekozen draaggolf-en modulatiefrequentie.

10 Dit betrekkelijk complexe signaal kan gemakkelijk van andere signalen onderscheiden worden in een tweevoudig afgestemde keten. De uitgang van de tweevoudig afgestemde keten levert een toelatingssignaal dat de uitgangen van de primaire processor toestaat in feite overgedragen te 15 worden naar de buitenwereld. De dubbel-afgestemde keten kan gemakkelijk detecteren dat zowel de draaggolf als de modulatiefrequentie de juiste en coherent zijn. Op significante wijze bevindt zich geen oscillator in de inrichting die in staat is een toelatingsuitgang op te 20 wekken.

Dienovereenkomstig verschaft de uitvinding een processorapparaat voor het opwekken van een bepaald signaal met tijdgevoelige parameters die bepaald worden uit gegevens die aan de processor zijn geleverd op basis 25 van een hoeveelheid tegelijk waarin het genoemde bepaalde signaal kan worden opgewekt door gegevens van ruim uiteenlopende grootheden waaronder: programmamiddelen die een aantal programmasegmenten bevatten, met inbegrip van eerste programmasegmenten 30 die, wanneer door de genoemde processor uitgevoerd, segmenten vormen van het genoemde bepaalde signaal, en tweede programmasegmenten die, wanneer zij door de genoemde processor worden uitgevoerd, een vast deel van dat signaal opwekken; 35 middelen die reageren op de genoemde gegevens voor het oproepen van overeenkomende programmasegmenten om uitgevoerd te worden; waardoor gegevens, die van tevoren bepaalde karakteristieken hebben en beschikbaar zijn gemaakt voor 40 de processor op basis van een hoeveelheid ineens en op

840340J

- 10 - s , geschikte tijdstippen leiden tot de uitvoering van een opeenvolging van de genoemde programmasegmenten teneinde het genoemde bepaalde signaal met de genoemde tijdgevoelige parameters op te wekken.

5 Volgens een ander aspect verschaft de uitvinding apparatuur die reageert op een opeenvolging van groepen van hoofd- en hertestwoorden die bevat: middelen die reageren op een groep van hoofdtest-woorden om een onderhoudingstijd te bepalen gedurende 10 welke een gespecificeerde uitgang kan worden opgewekt; middelen die reageren op een groep van hertestwoorden voor het opwekken van een bepaalde uitgang voor de hertesttijd, die bepaald wordt door de genoemde hertestwoorden, maar slechts indien de genoemde hertest-15 tijd, gesommeerd met alle voorafgaande hertesttijden, gevormd na het genoemde begin van de laatste aanhoudings-tijd, korter is dan de genoemde aanhoudingstijd, waardoor een tijdopeenvolging van de genoemde bepaalde uitgangen, bestaande uit een amplitude-gemoduleerde draaggolf waarvan 20 de draaggolffrequentie en de modulatiefrequentie gespecificeerd zijn, de genoemde gespecificeerde uitgang vormt.

De onderhavige uitvinding zal thans in verdere bijzonderheden beschreven worden om de vakman in staat te stellen deze te vervaardigen en te gebruiken, aan de 25 hand van de bijgaande tekeningen, waarin dezelfde referent., ties identieke apparatuur aanduiden en waarin: fig. 1 een blokschema is van de vitale aandrijf-inrichting 15 en zijn samenwerking met een hoofdprocessor 10; fig. 2A-2C het formaat en de duur van de toela-30 tingsuitgang op verschillende tijdschalen toelichten; fig. 3 een totaal afwikkelingsdiagram toont van het programma van de vitale aandrijfinrichting; fig, 4A en 4B een afwikkelingsdiagram tonen van programmasegmenten MNWRDS resp«. ïNUMAIN; 35 fig. 5A een afwikkelingsschema is van het program- masegment EXECHK? fig. 5R een afwikke 1 in gsschemais van het program-masegment TXMCHK; fig. 5C een afwikkelingsschema is van: het program-40 masegment GETCHK; 8403403 « 5 - 11 - fig. 5D een afwikkelingsschema is van het program-masegment NÜTIME? fig. 5E een afwikkelingsschema is van het program-masegment HICYCL; 5 fig. 5F een afwikkelingsschema is van het program- masegment NOCYCL; fig. 5G een afwikkelingsschema is van het program-masegment LOCYCL; en fig. 6A en 6B een programmasegment toelichten dat 10 is aangeduid als SIGANL.

Fig. 1 is een blokschema van de vitale aandrijf-inrichting 15 en zijn samenwerking met een onafhankelijk werkende primaire processor 10 en enige van de ingangs-uitgangsketens van de onafhankelijk werkende processor 10.

15 Meer in het bijzonder heeft, zoals in fig. 1 is weergegeven, een primaire processor 10 een representatieve aan/uit-aansluiting 11 en is voorzien van een adfesverzamelgeleider MA. en een gegevensverzamelgeleider MD. De primaire processor 10 voert, gebaseerd op ingangen die er beschikbaar voor 20 zijn via de aan/uit-aansluiting 11, de primaire funktie uit door het uitvoeren van zijn basiscyclus op een herhalings-basis. Ten gevolge van het uitvoeren van de primaire funktie bepaalt hij de toestand van de representatieve relaisspoel 12, die, zoals is weergegeven, bekrachtigd 25 kan worden via een weg vanaf plus via het frontcontact 42 van een relais RR naar de aan/uit-aansluiting 11. Onder de in fig. 1 weergegeven omstandigheden kan het frontcontact 13 van de spoel 12 sluiten, waardoor spanning aan een uitgang wordt toegevoerd om het resultaat manifest te 30 maken, dat op de aan/uit-aansluiting 11 is geleverd, wanneer de bijzondere bitplaats, waarmede de relaisspoel 12 is verbonden, een lage spanning beschikbaar maakt (teneinde de stroom door de spoel te verlagen!, Er wordt op gewezen dat het relais 12 (representatief voor alle andere uit-35 gangen van de processor IQ, die in staat zijn de buitenwereld te Besturen) niet in staat is bekrachtigd te worden, tenzij het relais RR bekrachtigd is voor het sluiten van zijn frontcontact 42 voor het toevoeren van energie voor het op laten komen van relais'12 via de geleider 34. Het 40 relais RR zelf wordt via de afgestemde vitale aandrijf- 8403403 5 * - 12 - inrichting 33 bekrachtigd, wanneer de golfvormingang van de afgestemde vitale aandrijfinrichting 33 in overeenstemming is met de karakteristieken, die geëist worden door de afgestemde vitale aandrijfinrichting. Die golfvorm 5 (de toelatingsuitgang} wordt toegevoerd door de R/S-flipflop 32, die op zijn beurt wordt aangedreven vanuit de uitgangsaansluiting 29 via de geleider 39. Indien dit gewenst is zal een paar aansluitingen 29 en 29' de R/S-flipflop 32 kunnen aandrijven via geleiders 39 en 39', 10 aangezien de toestand van de aansluitingen 29 en 29' complementair is. De uitgangsaansluiting 29 wordt bestuurd door de centrale rekeneenheid 20, die een hoofdbestanddeel van de vitale aandrijfinrichting 15 van fig. 1 uitmaakt.

De vitale aandrijfinrichting 15 bevindt zich in het 15 met stippellijnen aangegeven blok in fig. 1. Voor een uitvoeriger beschrijving van een primaire processor 10 wordt verwezen naar de samenhangende Amerikaanse octrooiaanvrage, ingediend op naam van Rutherford op dezelfde datum als de prioriteitsaanvrage van de onderhavige 20 aanvrage en overgedragen op de aanvraagster van de onderhavige aanvrage. De inhoud van deze aanvrage wordt hier door haar te vermelden, opgenomen geacht. Hoewel fig. 1 en de beschrijving gericht zijn op een uitvoeringsvorm, waarin de primaire processor 10 en de centrale rekeneenheid 25 20 zijn uitgevoerd als aparte inrichtingen, zal het duidelijk zijn dat dit uitsluitend gemakkelijk is om microprocessors als de processor 10 en de centrale rekeneenheid 20 gebruikt worden. Huidige microprocessors • zijn niet in staat om met een enkele inrichting de 30 funkties te laten vervullen van zowel een kenmerkende primaire processor als een vitale aandrijfinrichting.

Er. is evenwel geen reden, waarom de beide funkties niet vervuld kunnen worden door een enkele inrichting, zolang de inrichting voldoende snel is en of de funktie van de 35 primaire processor 10 voldoende eenvoudig is.

In een voorkeursuitvoering van de uitvinding kan de centrale rekeneenheid 20 een Intel 8085 bevatten en de golfvorm waarop de vitale aandrijfinrichting 33 is afgestemd komt overeen met een amplitude-gemoduleerde 40 draaggolf, met bijvoorbeeld een frequentie van 10 KHz, 8403403 - 13 - en amplitude-gemoduleerd tussen aan- en uittoestanden met een frequentie van 500 Hz en een 50 %*s belastingscyclus. De vakman zal begrijpen, dat de uitvinding met andere processors dan de Intel 8085 kan worden uitgevoerd en met 5 afgestemde vitale aandrijfinrichtingen, die niet de bijzondere in het bovenstaande beschreven golfvorm vergen, hetgeen betekent, dat de draaggolf en het modulatietype en de snelheid daarvan, gevarieerd kunnen worden. Verder is, hoewel een gemoduleerde draaggolf de voorkeur verdient, 10 het gebruik van een dergelijke gemoduleerde golfvorm niet wezenlijk voor de uitvinding.

Fig. 1 toont eveneens, dat de vitale aandrijf-inrichting 15 een adresdecodeur 21, een programmageheugen of ROM 22, en een gegevensgeheugen 27 of RAM bevat. Het 15 gegevensgeheugen 27 is, aangezien het reageert op hetzij de primaire processor 10,; hetzij de centrale rekeneenheid 20, via kiesorganen 26 en 28 gekoppeld met de adres-verzamelleider van de centrale rekeneenheid 20 evenals met de verzamelgeleider MA, de gegevensverzamelgeleider 20 van de centrale rekeneenheid 20 en de verzamelgeleider MD, Eveneens in de vitale aandrijfinrichting 15, die in fig. 1 is weergegeven, is een verzameling OF-poorten 23 opgenomen, waarvan de ingang wordt afgeleid van de uitgang van de adresdecodeur 21, en die een ingang levert 25 voor een stopzet-door-een-foutketen 24, die is ingericht de bewerkingen van de centrale rekeneenheid 20 stop te zetten na de weergave op de QF-poorten 23 van gespecificeerde ingangsadressen (in het bijzonder enig adres uit het * bereik van ROM 22 of RAM 271, waarvan het doel in het 30 volgende beschreven zal worden. Een terugstelketen 31 is met een andere uitgang van de aansluiting 29 verbonden en op zijn beurt gekoppeld met een terugstelingang van de centrale rekeneenheid 20, voor het terugstellen van de centrale rekeneenheid 20 bij het ontbreken van een trekker-35 signaal, dat ontvangen wordt met een"periodieke herhalings-snelheid op de ingangsklem van de terugstelketen 31.

Een gegevensvlag voor de centrale rekeneenheid 20 is via de geleider 37 met een ingangsaansluiting 30 gekoppeld, waarvan de ingang ontvangen wordt vanuit de 40 primaire processor 10 en aangeeft dat testwoorden vanuit 8403403 - 14 - de primaire processor 10 gereed zijn voor gebruik door de centrale rekeneenheid 20 (dat wil zeggen in het gegevensgeheugen 27). De uitgangsaansluiting 29 levert een verdere uitgang via de geleider 38 die een testwoord-5 aanvraag aangeeft aan de hoofdprocessor 10. De omstandigheden waaronder signalen, die overeenstemmen met een test-woord een testwoord-gereedvlag vergen, worden gegenereerd, zullen in het volgende beschreven worden. Een polynoom-deler 45, die gebruikt kan worden voor het uitvoeren van 10 CRC testen, die in het volgende beschreven worden, is eveneens weergegeven. Deze hardware is facultatief en kan vervangen worden door software-funkties.

Ten slotte toont fig. 1 een onafhankelijke klok 41, die een deler 40 aandrijft, die een ingang levert aan 15 een teller/tijdsbepalingseenheid 25, die een andere ingang vanuit een uitklokklem van de centrale rekeneenheid 20 ontvangt (de klok van de centrale rekeneenheid 20 is niet expliciet weergegevenl. De teller/tijdsbepalingseenheid 25 bevat een teller die in reactie op het klokuit-signaal 20 vanuit de centrale rekeneenheid 20 telt. Dienovereenkomstig telt de teller in de teller/tijdbepalingseenheid 25 kloktoestanden van de centrale rekeneenheid 20. De teller is via de centrale rekeneenheid 20 bestuurbaar, zodat hij van tevoren kan worden ingesteld. Verder kan 25 de centrale rekeneenheid 20 op elk ogenblik de toestand van de teller aflezen. De teller wordt gebruikt om te verifiëren, dat elke modulatiecyclus van de toelatings-uitgang overeenstemt met een van . tevoren bepaalde toestands-telling, zoals in het volgends zal worden beschreven.

30 De teller/tijdbepalingseenheid 25 bevat eveneens een tijdbepalingseenheid, die reageert op de uitgang van de deler 40 die zelf wordt aangedreven door de onafhankelijke klok 41. Het tijdbepalingsdeel van de teller/tijdbepalingseenheid 25 wordt eveneens door de centrale rekeneen-35 heid 20 bestuurt, zodat de tijdbepalingseenheid, wanneer dit gewenst is, kan worden teruggesteld. Verder kan de centrale rekeneenheid 20 op elk ogenblik de toestand af lezen van de tijdbepalingseenheid op een in het volgende ' te beschrijven wijze. De toestand van de tijdbepalings-40 eenheid wordt gebruikt om te verifiëren, dat een willekeu- 8403403 - 15 - ‘ rige bepaalde hertesttijd in feite de daartoe geëigende tijd gebruikte (in een voorbeeld 50 milliseconden). Hoewel de aanduidingen "teller" en "tijdbepalingseenheid" gebruikt zijn, zal het duidelijk zijn dat zij beide kunnen zijn 5 uitgevoerd als tellers, waarbij de "teller" de kloktoe-standen van de centrale rekeneenheid 20 telt, terwijl de "tijdbepalingseenheid" de toestanden telt van de gedeelde uitgang van klok 41.

Alvorens meer in bijzonderheden de werking van 10 de componenten die in fig. 1 zijn weergegeven, te beschrijven, wordt verwezen naar fig. 2A - 2C om een tijdhierarchie toe te lichten en de wijze waarop de toelatingsuitgang wordt verschaft door de uitgangsaansluiting 29 en gebruikt via de afgestemde vitale aandrijfinlichting 33 voor het 15 aanhouden van het relais RR. Meer in het bijzonder is de basistijdeenheid in de vitale aandrijfinrichting een klok-toestand van de processor, bijvoorbeeld in een uitvoeringsvorm 0,4 microseconden. De vitale aandrijfinrichting 15 wekt bij het uitvoeren van zijn programma een draaggolf-20 periode op van bijvoorbeeld 100 microseconden in 250 kloktoestanden. Een opeenvolging van modulatie aan en modulatie uit, 1 milliseconde voor elk, wekt een modulatie-. cyclus met een duur van 2 milliseconden op, die overeenstemt met een modulatiefrequentie van 500 Hz. Zoals nog 25 beschreven zal worden kan een paar testwoorden van 16 bits (of een andere geschikte bitlengte) een programma-segment uitkiezen voor het opwekken van een modulatie-cyclus (2 msl, of éën of meer draaggolfcycli (hetzij draaggolf aan, hetzij draaggolf uit, van een duur van 30 100 jisec x N, waarin N een geheel getal is van 1 tot 10).

Een tabel of groep van hertestwoorden wekt een uitgekozen aantal modulatiecycli op voor het vormen van een gewenste hertesttijd. De hertesttijd wordt gedeeltelijk bepaald door het aantal hertest-testwoorden in de groep of tabel.

35 Een hertesttijd is een geheel aantal modulatiecycli (bijv. 25).

Fig. 2B toont een hertesttijd RT als zich uitbreidend tussen de ontvangst van een eerste groep van hertestwoorden op het tijdstip tot op een tijdstip T2 40 waarop een tweede groep of tabel van hertestwoorden wordt 8403403 * lir - 16 - ontvangen. Op gewenste wijze is de ïiertesttijd samengesteld uit een vast (maar kiesbaar) aantal modulatiecycli, waarbij elke modulatiecyclus kan overeenstemmen met 2 milliseconden. Aangezien de hertestwoorden, die op T zijn « *· 5 ontvangen, een vast aantal modulatiecycli van de toelatings- uitgang toestaan, moet de tweede groep van hertestwoorden binnen deze tijd ontvangen worden of de toelatingsuitgang wordt beëindigd. Men zal bijgevolg inzien, dat de tijdschalen van fig. 2A en 2B op beduidende wijze verschillen.

10 Ten slotte toont fig. 2C dat een aanhoudingstijd is samengesteld uit een opeenvolging van hertesttijden RT, waarbij het aantal hertesttijden, dat zich in een aanhoudingstijd bevindt, gedeeltelijk bepaald wordt door het aantal hoofdtestwoorden, dat in feite bij /bijvoorbeeld Tg 15 wordt ontvangen. Dienovereenkomstig wordt op het tijdstip Tg een groep van hoofdtestwoorden ontvangen. Dit vormt op voorwaardelijke wijze de aanhoudingstijd, waarbij evenwel elke hertesttijd de ontvangst vergt van een nieuwe groep van hertestwoorden. Dienovereenkomstig kan de 20 aanhoudingstijd worden uitgekozen als de tijd die nodig is voor de primaire processor 10 voor het uitvoeren van een basiscyclus, dat wil zeggen de tijd die nodig is om de primaire processor 10 te laten reageren op zijn ingangen en bijgewerkte waarden te bepalen die aan zijn uitgangen 25 moeten worden toegevoegd. Zolang de groep hertestwoorden ontvangen wordt met de geëigende snelheid, en in het geëigende aantal, daarbij de geëigende waarden heeft, zal het geëigende aantal hertesttijden worden gegenereerd. Gedurënde de loop van elke hertesttijd maakt de uitgangs-30 aansluiting 29 via de geleider 39 de golfvorm beschikbaar, die in fig. 2A is weergegeven (de toelatingsuitgang van de vitale aandrijfinrichting) hetgeen de geëigende uit-gangsspanning (toelatingssignaal) opwekt vanuit de afgestemde vitale aandrijfinrichting 33 om het relais RR 35 bekrachtigd te houden. Op gewenste wijze wordt de hertesttijd gekozen als de tijd" waarbinnen de uitgangen van de primaire processor 10 geverifieerd moeten worden (om bijv. een falende uitgangsketen te detecteren). Zoals in het bovenstaande vermeld staat dit vermogen vrij de aanhoudings-40 tijd en de hertesttijd te kiezen toe de uitgangsketens 8403403 - 17 - van de primaire processor 10 te testen met een frequentere tussenpoos dan de tijd die nodig is om de primaire processor 10 zijn basiscyclus te laten uitvoeren.

Dienovereenkomstig, onder herverwijzing naar fig. 1 5 laat het programma (inhet ROM 22), wanneer een groep hoofd-testwoorden beschikbaar is voor de centrale rekeneenheid 20 (ondergebracht in het gegevensgeheugen 27) de microprocessor 20 de hoofdtestwoorden op juistheid onderzoeken en bepaalt uit het aantal testwoorden een (voorwaardelijke) 10 aanhoudingstijd. Bovendien wordt een enkele hertesttijd toegestaan door de eerste groep of tabel van hoofdtestwoorden, aangezien een tabel van hoofdtestwoorden tegelijkertijd wordt gevonden. Dienovereenkomstig zijn, gedurende de duur van deze hertesttijd, de hoofd- en de hertest-15 testwoorden getest en vernietigd. Wanneer men aanneemt dat de woorden geëigend waren, wordt de toelatingsuitgang die in fig, 2A is weergegeven gedurende een vaste tijd gegenereerd, de hertesttijd gedurende het testen en vernietigen van de hertest-testwoorden. Dankzij de flexibiliteit van de 20 uitvinding kan de hertesttijd worden opgewekt uit een stel woorden van een ruim verschillend aantal. Vervolgens, bij het beëindigen van de eerste hertesttijd en in de veronderstelling dat aanvullende hertestwoorden beschikbaar zijn, worden deze getest en vernietigd, hetgeen zoveel 25 tijd gebruikt als leidt tot het opwekken van het uitgangssignaal gedurende een aanvullende hertesttijd. Zolang voortgaande groepen hertestwoorden beschikbaar zijn, wordt het proces voortgezet gedurende de duur van de aanvankelijk * toegestane aanhoudingstijd. Bij het beëindigen van de 30 aanvankelijk toegestane aanhoudingstijd moet een aanvullende groep hoofdtestwoorden beschikbaar zijn omdat anders de opwekking van de toelatingsuitgang en het toelatings-signaal beëindigd wordt.

Volgens de uitvinding kan de basiscyclus, die 35 in de primaire processor 10 wordt uitgevoerd, een aantal testwoorden binnen ruime grenzen genereren, bijvoorbeeld van 25 tot zoveel als 1000 of meer. Door de principes van de uitvinding te gebruiken kunnen de hertest- en aan-houdingstijden worden opgevat als onafhankelijke variabe-40 len, zolang het aantal hoofdtestwoorden het, noodzakelijke 8403403 ” b· - 18 - aantal hertesttijden toestaat. Bovendien heeft de vitale aandrijfinrichting geen a priori kennis van hetzij de aanhoudings- hetzij de hertesttijd en bijgevolg kan de primaire processor elk van deze parameters veranderen 5 door geschikte wijziging in het aantal en/of de inhoud van de testwoorden.

Zoals is aangegeven is de tijd in een hiërarchie ingedeeld, die is weergegeven in fig. 2A - 2C. Significante perioden zijn de modulatiecyclus (een geheel aantal B 10 draaggolfcyclil en de hertesttijd (een geheel aantal A modulatiecycliï. De gehele getallen A en B zijn volledig onafhankelijk. Bovendien is het aantal testwoorden, dat nodig is voor het opwekken van de modulatiecyclus eveneens een onafhankelijke variabele. Het testen gebeurt op een 15 aantal niveaus. Eerst moet uiteraard elk testwoord de verwachte waarde hebben of het is onwerkzaam, dat wil zeggen zal geen resultaat veroorzaken dat door dat testwoord moest worden veroorzaakt. Bovendien verbreekt, aangezien het gehele programma is samengesteld uit opeen-20 volgende programmasegmenten, het verlies van een enkel testwoord de keten en zal met grote waarschijnlijkheid · leiden tot het stopzetten van de vitale aandrijfinrichting 15. Op een tweede niveau wordt de duur van elke modulatiecyclus getest tegen de toestand van de teller, die een 25 verwachte waarde moet vertonen. In de derde plaats wordt elke hertesttijd eveneens getest tegen een onafhankelijke tijdsbepalingsinrichting en weer moet het verband het verwachte zijn. Wanneer de vitale aandrijfinrichting 15 het eerst bekrachtigd wordt of is teruggesteld, wordt de 30 vitale vertraging gegenereerd, die een periode is gedurende welke ér geen uitgang beschikbaar is. Deze vertragings-tijd kan worden gespecificeerd als eèn willekeurig aantal seconden, bijv. 1 seconde. Bij de beëindiging van de vertraging wordt een vlag naar de primaire processor 35 gezonden, bijv. een vraag om een testwoord. Het doel van de vertraging is te waarborgen dat alle signaalinrich-tingen, bijv. een relais 12, die met de uitgangen van de primaire processor IQ verbonden zijn, de tijd hebben af te vallen voordat het stelsel zijn werking herneemt nadat 40 het om enigerlei reden is stopgezet.

8403403 Μ * - 19 -

Zoals in het volgende beschreven zal worden, wordt de vitale vertraging uitgevoerd door een vitale tijdbepa-lingsroutine, die analoog is aan degene die beschreven is in het oudere Amerikaanse octrooischrift 4.181.849 5 van deze uitvinder. De uitgang is een tak van een adres, berekend uit de toestanden van vitale telregisters op het tijdstip van de uitgang.

Zoals beschreven werken de primaire processor 10 en de centrale rekeneenheid 20 van de vitale aandrijf-10 inrichting 15 onafhankelijk. Anderzijds moet de vitale aandrijfinrichting 15 groepen hertestwoorden op het geschikte tijdstip ontvangen teneinde de toelatingsuitgang te handhaven. De primaire processor 10 slaat de eerste tabel (hoofd en hertesti-testwoorden in het gegevensgeheu-15 gen 27 op zodra hij deze heeft gegenereerd. Daaropvolgende tabellen van hertest-testwoorden worden in het geheugen 27 gebracht met regelmatige tussenpozen, die bepaald worden door de hertesttijden van de primaire processor 10.

De vitale aandrijfinrichting 15 voert een programmasegment 20 GETCHK uit, wanneer nieuwe testwoorden verwacht worden.

Er wordt een klein aantal modulatiecycli door dit programmasegment gegenereerd, op kenmerkende wijze vier draaggolf-cycli, uitgekozen door de primaire processor door geschikte waarden toe te wijzen aan twee parameters, die zijn door-25 gegeven gezamenlijk met de hoofdtestwoorden. Het gegevens-geheugen 27 wordt gedurende de uitvoering van GETCHK niet gebruikt, en is bijgevolg beschikbaar voor de primaire processor 10 om tabellen testwoorden in te voeren. Wanneer de testwoorden zijn ingevoerd, wordt de uitvoering van 30 dit programmasegment beëindigd, wanneer de volgende modu-latiecyclus beëindigd is. mdien het verschil in frequentie tussen de primaire processor 10 en de vitale aandrijf-inrichtingklok er de oorzaak van is dat de twee processors met 2 milliseconden uit de pas zijn, stelt de vitale 35 aandrijfinrichting 15 zijn fase in over dit bedrag door één modulatiecyclus toe te voegen of weg te laten. Indien de vitale aandrijfinrichting 15 en de primaire processor 10 volledig hun synchronisatie verliezen, houdt de vitale aandrijfinrichting 15 op met het opwekken van de toela-40 tingsuitgang. wanneer de processor 20 terugstelt initieert 8403403 * * - 20 - de vitale aandrijfinrichting 15 het vitale startrelais, hetgeen waarborgt dat de uitgangen van de hoofdprocessor 10, bijv. relais 12, opgeheven worden of afvallen.

De software (of firmaware} die de stappen be-5 eindigt, die door de vitale aandrijfinrichting 15 worden uitgevoerd (en in het bijzonder de centrale rekeneenheid 20 daarvan} zijn meer in bijzonderheden in fig. 3, 4A-4B, 5A-5J, en 6A en 6B weergegeven.

Eerst wordt naar fig. 3 verwezen waarin een 10 overzicht van de verwerking is weergegeven. Zoals in fig.

3 is aangegeven worden drie segmenten, vertraging 100 (om de vitale startvertraging te leveren] MNWRDS/NUMAIN 300 (om in te werken op hoofdtestwoorden) en EXECHK 200 (voor het uitvoeren van een test van een hertest-15 woord) gevolgd door een sprong naar éën uit. vier specifieke segmenten of naar een tussengelegen plaats. De sprong naar enige van de vier specifieke elementen (TIMCHK, HICYCL, NOCYCL or LOCYCL} wordt bepaald door het testwoord, dat wordt gevormd door uitvoering van EXECHK. Indien het 20 testwoord waar op deze wijze toegang toe is verkregen, niet overeenstemt met éën van de specifieke segmenten, wordt een halttoestand ingevoerd, die na een vaste tijdsperiode leidt tot een terugstelling, zoals in fig. 3 is weergegeven. Een wachtlus (funktie 400} wordt geleverd om de 25 tijd te markeren (met geen significante uitgang} totdat de primaire processor aangeeft dat een tabel van hoofdtestwoorden gereed is, De MNWRDS/NUMAIN verwerking test onmiddellijk de tabel van hoofdtestwoorden, door hen te lezen en te vernietigen. Zoals in het onderstaande is 30 beschreven vergt het leesproces, dat in de juiste opeenvolging toegang wordt verkregen tot de hoofdtestwoorden, en dat zij het juiste verband hebben met eerder gebruikte testwoorden. Het leesproces bouwt een tekentabel op die gebruikt zal worden voor het toelaten van elke hertest-35 tijd en wel ëên teken per hertesttijd.

Na NUMAIN neemt EXECHK over en leest het eerste hertestwoord, weer op zodanige wijze dat het vernietigd wordt. De lezing van het hertestwoord is zodanig ingericht, dat in ':de juiste ' opeenvolging toegang wordt verkregen 40 tot de hertestwoorden. Een hertestwoord (indien geschikt) 4 8403403 - 21 - kan de verwerking richten naar één van NOCYCL, HICYCL, of LOCYCL. Elk segment gebruikt een tweede hertestwoord en in het proces een tijdshoeveelheid. HICYCL en NOCYCL zijn complementair,, doordat elk van hen een hoeveelheid 5 tijd gebruikt, die gelijk is aan de helft van een draag- golfperiode, waarbij HYCYCL een aanuitgang (draaggolf aan),en NOCYCL een uituitgang (draaggolf uit) opwekken. EXECHK is ingericht een periode gelijk aan een halve draaggolf-periode te gebruiken zodat de combinatie van EXECHK en 10 hetzij HICYCL of NOCYCL een volledige draaggolfperiode gebruikt. LOCYCL gebruikt een tijd die bepaald wordt door de waarde van het hertestwoord. Elk hertestwoord (indien correct) brengt de verwerking terug naar EXECHK. TIMCHK wordt opgeroepen door EXECHK bij het einde van elke modu-15 latiecyclus voor het testen van het aantal toestands-tellingen. Weer wordt de tijd die gebruikt wordt door TIMCHK (en EXECHK) ingericht van tevoren bepaald te zijn zodat het patroon van de uitgang vastligt. Dit gaat zo voort tot het einde van een hertesttijd waarin EXECHK, 20 GETCHK oproept. GETCHK is ingericht een korte tijdsperiode te markeren (onder het opwekken van een vitale uitgang) totdat de volgende tabel van hertestwoorden beschikbaar is. De combinatie van EXECHK en GETCHK wordt ingericht een gelijk aantal perioden draaggolf aan en draaggolf uit 25 te gebruiken. Aan het einde van een onderhoudingstijd worden nieuwe hertesttabellen ingevoerd en wordt het proces herhaald. Het testen wordt uitgevoerd door de resultaten die geleverd worden door de testwoorden, hetgeen betekent dat het opwekken van een uitgang met een gespeci-30 ficeerd tijdgevoelig patroon slechts kan gebeuren indien de verwachte testwoorden ontvangen worden. De verkeerde testwoorden zullen er de oorzaak van zijn dat het uitgangs-patroon afwijkt van het beoogde patroon, hetgeen gedetecteerd zal worden door de dubbelafgestemde keten. Deze 35 werking is vele malen veiliger dan alleen vergelijken van testwoorden met een opgeslagen tabel van "goede" antwoorden, zoals duidelijk zal zijn.

Zoals in fig, 3 is weergegeven, wordt, na de startvertraging, zie funktie 100, de testwoordgereedvlag 40 getest (zie fig. 3) in de funktie 400. Wanneer de testwoorden 8403403

* A

- 22 - ingevoerd worden in het gegevens geheugen 27 door de primaire processor, wordt de test doorstaan en de funktie 300 uitgevoerd. Dit is in bijzonderheden in fig. 4A beschreven.

Alvorens naar fig. 4A te verwijzen zal evenwel 5 de inhoud van de hoofd- en hertestwoordtabellen worden beschreven. De hoofdtesttabel wordt ingevoerd in RAM 27 door de primaire processor 10 bij het einde van elke basiscyclus. De hoofdtestwoordtabel heeft een label, die een hoofdtestwoordtabel identificeert en twee verdere delen, 10 waarvan een eerste een variabele lengte heeft en een variabel aantal hoofdtestwoordparen bevat *> Het aantal hoofdtest-wóorden of hoofdtestwoordparen bepaalt het aantal hertest-tijden, dat voorwaardelijk toegestaan wordt door de hoofdtestwoordtabel, waarbij een hoofdtestwoordpaar nodig is 15 voor elke hertesttijd die op de eerste volgt.

Het lezen en testen van testwoorden (hetzij hoofd hetzij hertest) gaat zodanig verder dat geverifieerd wordt, dat de woorden zijn toegelaten in de juiste opeenvolging. Bij het starten (of na terugstellen) worden be-20 paalde initialiseringsgegevens (nog te beschrijven) gebruikt,· en wel ëên stel voor hoofdtestwoorden en een ander stel voor hertest-testwoorden. Deze initialiseringsgegevens omvatten de parameters INCREMENT en Δ INCREMENT, DISPLACEMENT en Δ DISPLACEMENT. Deze parameters worden 25 gebruikt op een wijze, die thans zal worden toegelicht, om te waarborgen dat de testwoorden, waartoe het vitale aandrijfinrichtingsprogramma toegang verkreeg, daaraan in de juiste opeenvolging worden onderworpen. De testwoorden (zowel de hoofd- als de hertest^testwoorden) die in 30 RAM 27 zijn ingevoerd door de primaire processor 10 zijn niet de testwoorden, die de juiste werking van de vitale aandrijfinrichting 15 zullen bewerkstellingen, omdat de vitale aandrijfinrichting 15 de testwoorden moet wijzigen, = * voor zij geëigend zullen zijn. Aangezien, zoals nog be-35 schreven zal worden, de wijziging niet constant is, moet toegang tot de testwoorden verkregen worden in de juiste opeenvolging voor het oproepen van het verwachte resultaat.

De wijziging bestaat uit het toevoegen van een waarde OFFSET aan elk testwoord. De waarde OFFSET verandert elke 40 keer dat hij wordt gebruikt en de mate waarin hij verandert « _____ 8403403 t ψ - 23 - is de waarde INCREMENT. De vitale aandrijfinrichting 15 heeft geen a priori kennis van OFFSET of INCREMENT. Deze worden daarentegen op een nog te beschrijven wijze opgebouwd.

5 Bij het starten van het stelsel of bij terug stelling wordt een waarde OFFSET afgeleid door het sommeren van INCREMENT en DISPLACEMENT. Het resultaat is OFFSET.

Aangezien OFFSET voortdurend verandert zal een bijzondere waarde van deze grootheid als OFFSET (X,Yj worden ge-10 identificeerd, waarin X de hertesttijd identificeert, waarin de grootheid wordt gebruikt (bijv. X is 1 in de eerste hertesttijd, 2 in de tweede enz.] en Y het desbetreffende testwoord aangeeft in de opeenvolging van optredende testwoorden, met welke waarde het gebruikt 15 wordt. Dienovereenkomstig heeft de vitale aandrijfinrichting direkt na het afleiden van OFFSET in feite OFFSET

(1.1] afgeleid. De vitale aandrijfinrichting wijzigt dan het eerste testwoord door dit te sommeren met OFFSET

(1.1] het plaatsen van de som, die nu het gewijzigde test-20 woord is, in een interne register in de centrale rekeneenheid 20, en het herschrijven van het testwoord met de parameter INCREMENT. Dit vernietigt duidelijk het testwoord 1.

Voor toegang tot hét volgende testwoord wordt 25 verkregen, wordt de waarde OFFSET (1,11 gesommeerd met INCREMENT. INCREMENT is afgeleid van de plaats van testwoord 1 om te bewijzen dat het voorafgaande testwoord inderdaad vernietigd is. Deze som, OFFSET (1,2} wordt dan gesommeerd met testwoord 2 en het resultaat is het 30 volgende gewijzigde testwoord, dat in de vitale aandrijf-inrichting 15 gebruikt zal worden. De grootheid INCREMENT wordt nu overgeschreven op de plaats van het gegevens-geheugen 27 waarop het ongewijzigde testwoord 2 oorspronkelijk was opgeslagen, hetgeen dit testwoord ver-35 nietigt. Na volledige afwerking van de hoofdtestwoord- tabel heeft de tabel elke van zijn testwoorden vervangen door de waarden INCREMENT.

Zoals in de samenhangende octrooiaanvrage van de uitvinder Rutherford is beschreven, is de primaire 40 processor 10 ingericht de testwoorden op een complementaire 8403403 ’ - 24 - wijze op te wekken. Dat wil zeggen dat in elke basiscyclus de testwoorden, die opgewekt worden in feite constant zijn (hetgeen wil zeggen dat zij niet van cyclus tot cyclus veranderen tenzij er een fout is). De primaire processor 5 wijzigt evenwel elk checkwoord onder gebruikmaking van een wijzigende P-OFFSET hetgeen onafhankelijk wordt afgeleid door de primaire processor. Op deze wijze moet het onafhankelijke proces van het opwekken van OFFSET (in de vitale aandrijfinrichting) en P-OFFSET (in de primaire processor) 10 gelijk oplopend gebeuren en moeten de testwoorden die toegelaten worden in de vitale aandrijfinrichting in de correcte opeenvolging zijn om voort te gaan met de verwachte verwerking.

Er zijn vele rekenkundige technieken, die 15 gebruikt zouden kunnen worden. Zo kan bijvoorbeeld de primaire processor 10 P-OFFSET aftrekken van elk testwoord. De vitale aandrijfinrichting zou dan OFFSET bij elk testwoord kunnen optellen. Indien P-OFFSET gelijk is aan OFFSET dan zal het oorspronkelijke testwoord het resultaat 20 zijn. In een uitvoeringsvorm die in feite geconstrueerd is, tellen de béide machines modulo 2 bit bij bit (waarbij de optelling voldoet aan de regel 1+1=0; 1+0=1 en 0+1=1).

De hoofdtestwoordtabel bevat eveneens twee aanvullende parameters CYCNBR en CYCTOT. Deze worden in het 25 segment GETCHK gebruikt, dat in het volgende beschreven wordt, om een venster te bepalen. Het venster is de tijdsduur na beëindiging van de eerste aanhoudingstijd, gedurende welke een toelatingsuitgang wordt opgewekt bij het ontbreken van verdere testwoorden. Bij het einde van het 30 venster eindigt de toelatingsuitgang bij het ontbreken van verdere testwoorden. Het zelfde type van venster wordt bij het einde van de hertesttijd voor hetzelfde doel gebruikt.

De primaire processor 10 voert een eerste tabel 35 van hertest-testwoorden in tegelijkertijd met de invoering van de hoofdtestwoorden. De hertest-testwoorden worden op dezelfde wijze gewijzigd, hoewel een ander stel parameters wordt gebruikt. Wanneer de volgende groep van her-test-testwoorden ontvangen is, is het de tweede groep 40 van hertestwoorden die de tweede hertesttijd toestaat.

8403403 - 25 -

De vitale aandrijfinrichting 15 vergt OFFSET (2,1). Dit wordt tot stand gebracht door INCREMENT op te tellen bij Δ.INCREMENT en de som als INCREMENT op te slaan, DISPLACEMENT en Δ DISPLACEMENT op te tellen en het resultaat als 5 DISPLACEMENT op te slaan. INCREMENT en DISPLACEMENT worden gesommèerd voor het vormen van OFFSET (2,1). Met de waarde van OFFSET (2,1) kan het eerste hertestwoord nu worden verkregen, gewijzigd en gebruikt. De verwerking gaat voort door voortdurend OFFSET (2 ,Y) te laten toenemen wanneer 10 de verwerking door de hertesttabel heengaat. Elke nieuwe HERTESTWOORDTABEL wordt verwerkt door INCREMENT en DISPLACEMENT te vergroten met Δ INCREMENT en Δ DISPLACEMENT waarbij de som gebruikt wordt voor het vormen van OFFSET (X,l). De wijze waarop de testwoorden worden opgewekt 15 door de primaire processor 10 is beschreven in de samenhangende octrooiaanvrage van Rutherford (GR 523), bij deze ingediend en overgedragen aan de aanvraagster van de onderhavige aanvrage.

In fig. 4A is de verwerking MNWRDS toegelicht.

20 Funktie 302 test de hoofdtestwoordtabellabel. De hoofd-testwoordtabel en de label worden ingelezen door de primaire processor 10. Eenmaal uitgelezen vertakt de funktie 303 in afhankelijkheid van het resultaat van de test. Indien de test faalde gaat de verwerking terug naar 25 de funktie 400. Een faling in dit punt geeft in het algemeen aan, dat de hoofdtestwoordtabel nog niet is ingelezen en bijgevolg is wachten op de stap 400 aangewezen.

Anderzijds leest, indien de tabel in orde is, de funktie 304 het eerste testwoord van een testwoordpaar 30 en slaat het testwoord of een waarde die van het testwoord is afgeleid op als TOKEN OFFSET. Hoewel niet weergegeven in fig. 4A wordt het lezen van een testwoord (funktie 304) uitgevoerd met de in het bovenstaande toegelichte stappen.

Deze stappen zijn in het bijzonder in schema gebracht 35 en besproken in verband met EXECHK (zie fig. 5A) in het onderstaande.

De funktie 305 "leest" het tweede testwoord van het eerste testwoordpaar (in dezelfde funktie) en voert het in. op een plaats TOKEN. Funktie 306 telt TOKEN OFFSET 40 (van de funktie 304) bij de TOKEN en het resultaat wordt 8403403 ' · * - 26 - opgeslagen in TOKEN TABEL. Dienovereenkomstig vormen de funkties 304-306 uit de hoofdtestwoordtabel een TOKEN TABEL en wel een "TOKEN" voor een paar testwoorden. Hoewel niet in fig. 4A weergegeven kan de verwerking sprongen in het 5 programma omvatten, die gebaseerd zijn op het gebruik van trefwoorden of hun afgeleiden als adressen, zodat de verwerking niet voort zal gaan tenzij het verwachte test-woord gevonden is of gevormd is bij het "lezen". Elk TOKEN in de TOKEN TABEL zal een enkele hertesttijd toestaan. 10 Funktie 307 onderzoekt om te zien of het volgende test-woordpaar het laatste testwoordpaar is en indien dit niet het geval is worden de funkties 304-306 herhaald voor elk ander woordpaar. Wanneer al de woordparen verwerkt zijn, onderzoekt de funktie 308 het TOKEN TABEL adres 15 tegen het hoofdtestwoordtabeladres. Aangezien de TOKENS worden opgeteld in de TOKEN TABEL als een funktie van de hoofdtestwoorden in de hoofdtestwoordtabel, moet er een van tevoren bepaald verband bestaan tussen de omvang van de hoofdtestwoordtabel en de TOKEN TABEL. Funktie 309 20 vertakt op basis van dit verband, indien incorrect heeft de aftakking plaats naar een incorrecte plaats hetgeen (direkt of indirektl zal leiden tot een HALT toestand.

Indien het verband correct is springt de verwerking over op NUMAIN.

25 NUMAIN is in fig. 4B weergegeven. Funktie 310 voert een vertraging in de verwerking in voor het normaliseren van de programmauitvoeringstijd. NUMAIN die een onderhoudingstijd initieert, voert een funktie uit die analoog is aan GETCHK bij het begin van een hertesttijd.

30 De vertraging 310 wordt empirisch zodanig uitgekozen dat GETCHK en MNWRDS/NUMAIN verwerking ruw gesproken gelijke tijden vergen. Exacte gelijkheid wordt verkregen zelfs hoewel GETCHK een marge heeft van ongeveer één modulatie-cyclus (2 msi door de mogelijkheid compenserende wijzi-35 gingen in de parameters aan te brengen. Een funktie 311 begint een onderzoek van de duur van de laatste hertesttijd, Aangezien NUMAIN wordt verwerkt is de. laatste hertesttijd van de onmiddellijk voorafgaande onderhoudingstijd net afgelopen. Daarom kan de toestand van de tijd-40 bepalingsinrichting onderzocht worden om de lengte van de 8403403 - 27 - laatste hertesttijd te bepalen. Funktie 311 leest de waarde van de tijdsbepalingsinrichting af. Funktie 312 voegt een grootheid REFRNC toe en telt diö bij de waarde van de tijdbepalingsuitlezing bij 311. Funktie 313 voegt een con-5 stante toe en behoudt de som. Funktie 314 initialiseert met de tijdbepalingseenheid verband houdende grootheden PRESET en REFRNC (waarden die in de daarop volgende verwerkingen gebruikt zullen worden, zoals nog beschreven zal worden). Funktie 315 voert aan de toestandsteller en 10 tijdbepalingsinrichting (beide aanwezig in de teller/ tijdbepalingsinrichting 25} de gexnitialiseerde constanten toe en staat hen toe verder te werken. Funktie 316 initialiseert DISPLACEMENT en INCREMENT (in het bovenstaande beschreven) voor hét verwerken van hertest-testwoorden.

15 Ten slotte vertakt de funktie 317 naar een adres dat gedefinieerd wordt door SOM (gespaard bij funktie 313}. Aangezien deze SUM afhangt van de met de tijd verband houdende duuraflezing uit de tijdbepalingsinrichting in funktie 311 wordt de aftakking naar EXECHK slechts 20 uitgevoerd indien de tijdbepalingsinrichtingsaflezing de gewenste waarde heeft, dat wil zeggen dat de hertest-tijdsduur een geschikte was. Elk ander resultaat zal (direkt of indirekt} naar een HALT leiden.

De EXECHK verwerking is weergegeven in fig. 5A.

25 Aangezien MNWRDS de hoofdtestwoorden vernietigd heeft, wordt deze verwerking uitgevoerd op het eerste stel her-testwoorden, dat de hoofdtestwoorden vergezelde. In daarop volgende hertesttijden worden slechts hertestwoorden ontvangen. De funktie 501 ontvangt de grootheid INCREMENT 30 vanuit de testwoordtabel (die werd geïnitialiseerd in de funktie 316}. Funktie 502 telt INCREMENT op bij OFFSET (dat wil zeggen de OFFSET die over is na verwerking van de voorafgaande hertesttabell en funktie 503 houdt de bijgewerkte OFFSET vast. Funktie 504 leest het volgende 35 testwoord (dit maal het eerste hertestwoord} en vervangt het volgende testwoord door het nieuw gexnitialiseerde INCREMENT; dit vernietigt het testwoord in de testwoordtabel. Het testwoord, dat aan de tabel ontleend wordt bij funktie 504 wordt opgeteld bij OFFSET in de funktie 505; dit is 40 een gewijzigd testwoord, dat bij verdere verwerking gebruikt 8403403 - 28 - zal worden. Daarna springt de verwerking over op funktie 500.

Onder terugverwijzing naar fig. 3 wordt opgemerkt, dat funktie 500 een sprong is, die gebaseerd is op het 5 testwoord (zoals gewijzigd bij funktie 505}. Het desbetreffende segment waar naar toe gesprongen wordt zal NOCYCL, HICYCL, LOCYCL, or TIMCHK zijn, gebaseerd op de volgende criteria. Onder korte terugverwijzing naar fig. 2B zien we, dat elke hertesttijd een aantal modulatiecycli 10 bevat en dat elke modulatiecyclus een periode bevat .waarin de draaggolf nominaal aan is (gedurende dewelke het uitgangsbit afwisselend aan is gedurende 5 microseconden of 125 kloktoestanden en dan uit is gedurende een gelijke periode)en een 1 milliseconde durende duur, waarin de 15 draaggolf uit is- Onder deze omstandigheden kan het eerste testwoord ons naar NOCYCL brengen aan gezien zoals in het volgende beschreven zal worden, de lopende NOCYCL het uitgangsbit niet waar maakt,(overeenstemmend met de draaggolf aan). Normaal wordt de duur van elke modulatiecyclus 20 bij het einde getest. De uitzondering vormt de eerste hertesttijd, waar uitsluitend enige parameters geïnitialiseerd worden, onder gebruikmaking van de NOCYCL ingang voor TIMCHK. De eerste modulatiecyclus start met TIMCHK, waarbij de periode die overeenstemt met een halve draaggolfcyclus 25 gebruikt wordt door de voorafgaande uitvoering van EXECHK vastgezet op de laatste modulatiecyclus.

TIMCHK is ontworpen om een vaste tijd te gebruiken, die overeenstemt met een vast aantal draaggolf cycli, bijv.

3 tot 6 (of 6 tot 12 halve cycli). De eerste funktie, 30 320, test de toestandstelling. De toestandstelling wordt weergegeven in de toestand van de teller in de teller/ tijdbepalingsinrichting 25 (zie fig. 1). Om te waarborgen, dat een vaste fouttoestand niet kan leiden tot het doorlaten van de toestandstellingstest worden twee grootheden 35 in samenwerking gebruikt: REFERENCE en PRESET. In het algemeen wordt de toestandsteller teruggesteld met een of andere grootheid (PRESET) en telt hij kloktoestanden van de processor 20 tot hij wordt afgelezen. De kloktelling wordt opgeteld bij een verdere grootheid: REFERENCE. De 40 som wordt als een aftakkingsadres gebruikt. Om te waarborgen 84 03 4 0 3 - 29 - ‘ '

dat een toestandsteller die bij een bepaalde telling is blijven steken of ketens, die een statische grootheid opwekken voor elke keer dat de toestandsteller wordt afgelezen (ongeacht de eigenlijke telling) de test niet kunnen 5 passeren, worden de grootheden PRESET en REFERENCE zodanig gemanipuleerd, dat hoewel de feitelijke verandering van de toestandstelling constant is, de begin (en daardoor de eind)-waarden verschillend zijn. In de voorbeelden die in fig. 5B zijn getoond, wordt PRESET elke keer verkleind 10 dat de routine wordt uitgevoerd. De grootheid REFERENCE

wordt vergroot. Onder deze omstandigheden wordt de toestandsteller, nadat die van tevoren is ingesteld, teruggeteld vanaf een begin (of voorinstelling) tot een eindwaarde.

Deze eindwaarde wordt opgeteld bij de vergrote grootheid 15 reference en elke keer zal de som constant zijn, wanneer de toestandsteller met een vast aantal toestanden veranderde.

De vakman zal gemakkelijk begrijpen, dat andere combinaties voor het manipuleren van PRESET en REFERENCE en tellen of aftellen gebruikt kunnen worden om hetzelfde resultaat 20 te verkrijgen. De funktie 321 vertakt op de som indien deze de verwachte waarde heeft, waarna de verwerking opgepikt wordt bij de funktie 323. Elke andere gebeurtenis veroorzaakt een HALT, hetzij onmiddellijk hetzij na enige onbepaalde verwerking.

25 Funktie 323 beëindigt de toestandstellings- verwerking door de grootheid PRESET te verkleinen en de toestandsteller te vullen. (Dit is eveneens het initiële ingangspunt NOCHEK).

Funktie 324 onttrekt dan het volgende testwoord .

30 en voert er een aftakking op uit. Funktie 324 bevat in feite de funkties 501-505 (zie fig. 5AI nl. dat het testwoord uit deze tabel gewijzigd wordt, bewaard en het oorspronkelijke testwoord vernietigd.

Het volgende testwoord (zoals in funktie 324 35 gewijzigd) kan éën uit de vier aftakkingen veroorzaken, afhankelijk van de waarde van het woord. Testwoord ADD0Q zal bijvoorbeeld de verwerking terugsturen naar EXECHK.

Anderzijds en voortgaande met het beschreven voorbeeld, waarin 20 halve draaggolfcycli nodig waren op gelijk te 40 zijn aan een halve modulatiecyclus, wordt verondersteld 8403403 - 30 - dat TIMCHK 6-12 halve cycli van de draaggolf heeft gevormd, en wenst men het draaggolf-ontbrekende deel van de modu-latiecyclus te beëindigen door toevoeging van meer cycli met de draaggolf ontbrekend,Dit kan tot stand worden 5 gebracht door meer testwoorden en NOCYCL te gebruiken.

Nadat de helft van de modulatiecyclus met de draaggolf uit is afgelopen, dient een afwisselende draaggolf aan en uit met halve cycli verkregen te worden. Dit wordt verkregen door afwisselend EXECHK en HICYCL uit te voeren (halve 10 draaggolfcyclus voor elk). Dit zal gevolgd worden door TIMCHK en het weer testen van de duur van de modulatiecyclus o

Whnneer het einde van de hertesttijd genaderd wordt zal het laatste hertestwoord CHKWRDS zijn. Indien 15 het testwoord dat in de funktie 324 gelezen wordt, overeenstemt met CHKWDS (aanduiding dat de hertesttijd beëindigd is] dan springt de verwerking over op funktie 326. Funktie 326 geeft toegang tot het volgende testwoordteken. Dit zal specificeren of er een beëindigde hertesttijd was of 20 een onderhoudstijd. In beide gevallen wordt funktie 327 uitgevoerd om de grootheden CYCNBR en CYCTOT te ontdekken, hetgeen een tijdmaat aangeeft voor een ontvangen venster. Daarna wordt GETCHK uitgevoerd, Zoals in het volgende zal blijken levert GETCHK twee funkties. Het levert de 25 toelatingsuitgang voor en van tevoren bepaalde tijdsperiode, bepaald door de parameters CYCNBR en CYCTOT. Indien op enig tijdstip gedurende dit ontvangende venster de primaire processor 10 aangeeft dat de checkwoorden zijn toegevoerd, is de modulatiecyclus, die gaande is,beëindigd en wordt 30 het ontvangende venster op dit punt kortgesloten en wordt een nieuwe hertest of onderhoudingstijd begonnen. Het ontvangende venster verschaft enige elasticiteit voor het absorberen van kleine hoeveelheden slip in de tijd tussen de vitale aandrijfinrichting 15 en de primaire processor 35 10. Indien het ontvangende venster afloopt zonder ontvangst van testwoorden, wordt de toelatingsuitgang beëindigd en gaat de vitale aandrijfinrichting 15 naar een wachtlus, voor het afwachten van de testwoorden. GETCHK zal in bijzonderheden in verband met fig. 5C beschreven worden.

40 Teneinde de modulaire aard van deze verwerking 8403403 « fc * - 31 -

aan te tonen wordt thans eerst verwezen naar de basiselementen HICYCL en de complementaire NOCYCL. HICYCL is in fig. 5E weergegeven. De eerste funktie, funktie 381 zet het uitgangsbit aan. Funkties 382-385 zijn analoog aan 5 de EXECHK funkties 501-505. Ten slotte heeft, indien het testwoord gewijzigd is in funktie 385 en de verwachte waarde geeft, de sprong plaats naar EXECHK via funktie 386, die het uitgangsbit uitzet. Uitvoeringen van HICYCL en EXECHK gebruiken elk een periode van een halve draag-10 golfcyclus. Door aaneenschakeling van HICYCL en EXECHK

de een na de ander wordt het effekt verkregen van een enkele draaggolfcyclus (draaggolf aan). Thans wordt verwezen naar fig. 5F - NOCYCL. De funkties 371-374 zijn identiek aan de funkties 382-385 (fig. 5E) en 501-505 15 (fig. 5A) en gebruiken bijgevolg een equivalente hoeveelheid verwerkingstijd. Aangezien er geen funktie in NOCYCL aanwezig is die overeenstemt met de funkties 381 en 386, blijft het uitgangsbit uit wanneer NOCYCL wordt verwerkt. Dienovereenkomstig door aaneenschakeling van NOCYCL en 20 EXECHK wordt een periode van één draaggolfcyclus gebruikt. (draaggolf uit). Aangezien de sprong van EXECHK naar hetzij HICYCL of NOCYCL evenals de sprongen van HICYCL of NOCYCL terug naar EXECHK alle afhangen van de waarde van het testwoord (zoals dat gewijzigd is) zullen deze segmenten 25 worden uitgevoerd en verbonden slechts indien de oorspronkelijke testwoorden de verwachte waarde hebben en indien zij in de juiste opeenvolging worden toegevoerd.

Indien het programma van de vitale aandrijfinrichting geen andere basisuitgangsbitmanipulatieroutine zou hebben 30 dan EXECHK, NOCYCL' en HICYCL, zou de toelatingsuitgang slechts kunnen worden opgewekt door een rigoreus evenredig aantal testwoorden en het is uiteraard een doel van de onderhavige uitvinding de toelatingsuitgang op te wekken met een variabel aantal testwoorden. Dit vermogen wordt 35 door LOCYCL verschaft.

Thans wordt verwezen naar fig. 5G.

Zoals in fig. 5G is weergegeven, heeft LOCYCL twee ingangspunten, het ingangspunt bij funktie 361 direkt van EXECHK (zoals beschreven zal worden), en het ingangs-40 punt vanuit funktie 325 (fig. 5B) dat zich bij funktie 366 8403403 - 32 - bevindt. Funktie 366 wekt de draaggolf aan en uit cycli op die afgeleid worden van het testwoord, dat ontleend is aan de hertestwoordtabel. Van funktie 366 gaat de verwerking terug naar EXECHK bij funktie 506. Funkties 5 361-365 zijn analoog aan de funkties die besproken zijn naar aanleiding van HICYCL, NOCYCL en EXECHK. De aanwezigheid van funkties 366 en 369 geeft evenwel de mogelijkheid een variabel aantal cycli met de draaggolf aan (funktie 366) en een variabel aantal cycli met de draag-10 golf uit (funktie 369) op te wekken uit de waarden van het testwoord. Funktie 366 vult een register met het gewenste aantal cycli met de draaggolf aan, stelt het uitgangsbit in en geeft de tijdmeting van een halve draaggolf cyclus, verandert het uitgangsbit van aan in uit, 15 meet dan een verdere halve draaggolfcyclus, verlaagt het register, en, ingeval van de waarde niet-nul worden deze stappen herhaald tot het register volledig is teruggeteld. Funktie 369 is analoog met dit verschil dat het uitgangsbit uit wordt gehouden gedurende de gehele werking. Deze 20 funkties geven de mogelijkheid een variabel aantal draaggolfcycli te verkrijgen uit een vast aantal test-woorden. Er wordt op gewezen, dat NOCYCL in de funktie 366 kan worden ingebracht vanuit TIMCHK zodat het geen aanvullend testwoord gebruikt, hetgeen wel het geval zou 25 zijn indien de funkties 362-365 werden uitgevoerd. De invloed van funkties 367, 368 en de aftakking naar SIGANL zullen in het volgende besproken worden.

Ten slotte wordt weer naar fig. 5G verwezen en in herinnering geroepen dat de funkties 367, 368 en SIGANL 30 nog niet besproken zijn.

Wanneer LOCYCL wordt ingevoerd vanuit TIMCHK stelt de laatste funktie in TIMCHK (funktie 325J een vlag in.

Na het opwekken van het geschikte aantal cycli met de draaggolf aan (funktie 366J test de funktie 367 om na te gaan 35 of deze vlag is ingesteld. Dienovereenkomstig zal de vlag, wanneer LOCYCL wordt ingevoerd vanuit TIMCHK worden ingesteld en bijgevolg is de aftakking bij funktie 368 naar SIGANL in plaats van naar funktie 369. De verwerking van SIGANL is weergegeven in fig. 6A en 6B. De funktie 40 van SIGANL is het testen van het programmageheugen als 8403403 - 33 - beveiliging tegen enigerlei fouten in ROM. Funktie 603 initialiseert de bronwijzer naar de bovenzijde van het programmageheugen en een overeenkomende tabelwijzer naar een eerste normalisatieconstante (eveneens in ROM).

5 Funktie 602 verhoogt de wijzer, funktie 603 leest het byte uit in het adres en zendt het naar een polynome funktie of CRC test. In een uitvoeringsvorm van de uitvinding die vervaardigd is werd deze polynome deling uitgevoerd met daartoe geschikte hardware, zie fig. 1, 10 en de polynoomdeler 45, Het ligt evenwel binnen het kader van de uitvinding deze polynoomdeling of CRC tekenanalyse uit te voeren in software. In elk geval ontleent funktie 603 een uitgekozen byte aan ROM en zendt het naar de polynoomdeelfunktie. Funktie 604 bepaalt of een van 15 tevoren bepaald deel van het geheugen beëindigd is en zolang als dit niet het geval is wordt teruggekeerd naar funktie 602 en een resultaat opgebouwd in de polynoomdeler. Wanneer eenmaal een van tevoren bepaald aantal bytes is uitgelezen, wordt de funktie 604 uitgevoerd 20 om te bepalen of het gehele geheugen onderzocht is of niet. In sommige gevallen kan het gehele geheugen getest worden bij één doorvoering door SIGftNL in andere gevallen, waarin het programmageheugen te lang is, kan het in delen getest worden, waarbij softwareregisters bijhouden 25 welke delen van het geheugen reeds getest zijn. Wanneer het gehele geheugen getest is, stelt de funktie 606 de wijzers terug. Afhankelijk of dit juist bevonden is of niet leest de funktie 607 (zie fig, 6B] daarna de rest in de polynoomdeler of de resultaten van de polynoom-30 deelfunktie. Funktie 608 telt een normaliseringsconstante (uit de tabel) bij en de funktie 609 wordt uitgevoerd. Terwijl funktie 609 een vergelijking blijkt te zijn is het in feite een aftakking op de rest. Indien de aftakking juist is dan wordt afgetakt in het hoofd-35 programma bij funktie 610 om de verwerking voort te zetten. Indien de rest onjuist is dan wordt hetzij beëindigd bij een halt of aftakking naar enig tussengelegen punt dat zal leiden naar een HALT toestand. Het gedeelte van het geheugen dat getest is bij elke doorvoering van 40 SIGANL is ontworpen om een hoeveelheid tijd te gebruiken, 8403403 · - 34 - die gebruikt zou zijn bij het uitvoeren van funktie 369 wanneer de bij funktie 367 onderzochte vlag niet zou zijn ingesteld. Dienovereenkomstig worden, wanneer SIGANL verwerkt wordt, twee resultaten verkregen, ten eerste 5 uiteraard dat ROM wordt getest op falen en in de tweede plaats wordt tijd gemarkeerd equivalent aan een van tevoren bepaald aantal cycli met de draaggolf uit. In het algemeen wekt LOCYCL een aantal halve cycli met de draaggolf aan en een aantal halve cycli met de draaggolf uit op, die ge-10 specificeerd worden door de inhoud van het testwoord, wekt HICYCL een enkele halve cyclus met de draaggolf aan op en NOCYCL markeert de tijd voor wat overeenstemt met een halve cyclus met de draaggolf uit. HICYCL en NOCYCL bepalen uitgangspunten, vanuit het volgende testwoord, en 15 vergen bijgevolg een testwoordpaar voor hun uitvoering (invoering tijdmarkering en uitvoering!, LOCYCL wordt ingevoerd als bepaald door een eerste testwoord, wanneer het wordt toegevoerd vanuit EXECHK leest het het volgende testwoord om het aantal cycli met de draaggolf aan en met 20 de draaggolf uit te bepalen, wanneer LOCYCL wordt ingevoerd vanuit TIMCHK f is het tweede woord reeds toegevoerd door TIMCHK indien dat woord A7CION is geweest dan gaat TIMCHK 070A voorbij naar LOCYCL, overeenstemmend met het noodzakelijke 'aantal cyclustellingsgegevens.

25 Aan het einde van. elke modulatiecyclus, die getest moet worden roept het bij EXECHK gelezen testwoord TIMCHK op. Op deze wijze kan de duur van elke modulatiecyclus getest worden. Dit vergt natuurlijk het juiste testwoord. Indien TIMCHK niet op het juiste tijdstip wordt opgeroepen, dus 30 wanneer TIMCHK later wordt opgeroepen zal de telling incorrect zijnf hetgeen de verwerking via een HALT zal stoppen.

Aan het einde van een hertesttijd (die eveneens het einde kan zijn van de onderhoudingstijd! heeft de ui.tgang vanuit TIMCHK plaats via CHKWDS en direkt via 35 funktie '327.

Onder verwijzing naar fig, 5C wordt thans GETCHK toegelicht.

Zoals in verband met fig. 5B beschreven is, wordt GETCHK ingevoerd met een grootheid die het aantal 40 modulatiecycli, dat gegenereert moet worden(CYCNBRJ iden- 8403403 - 35 - tificeert evenals het totaal aantal draaggolfcycli (CYCTOT), dat opgenomen is binnen dat aantal modulatiecycli. Het aantal modulatiecycli dat wordt toegelaten CYCNBR wordt toegevoerd aan een eerste teller en het aantal draaggolf-5 cycli dat wordt toegelaten CYCTOT wordt toegevoerd aan '.een andere teller (funktie 340ï, Funktie 341 verhoogt de gevraagde testwoordvlag voor de primaire processor 10.

Funktie 342 genereert een enkele modulatiecyclus en verlaagt CYCNBR (het aantal overblijvende toegelaten 10 modulatiecycli). Men zie bijvoorbeeld de beschrijving van funktie 366 en 369 in verband met fig, 5G. Funktie 343 verlaagt CYCTOT (in feite wordt funktie 343 uitgevoerd na elke afzonderlijke draaggolfcyclus voor het verlagen van CYCTOT). Funktie 344 test óm te zien of de testwoord-15 gereedvlag ontvangen is. Aannemende dat dit niet het geval is, wordt de funktie 345 uitgevoerd om te bepalen of aanvullende modulatiecycli toegestaan zijn (dit wordt bepaald door het testen van CYCNBR). Indien aanvullende cycli toegestaan zijn dan laadt de funktie 346 de cyclus 20 vanuit CYCTOT. De lus van funktie 342-246 kan continu worden uitgevoerd zolang als aanvullende modulatiecycli toegestaan worden (d.w.z. dat CYCNBR nog niet verlaagd is tot null en de testwoordgereedvlag niet is gedetecteerd. Indien het aantal toegestane cycli afloopt zonder dat 25 de testwoordgereedvlag gedetecteerd is, dan is de lus van funkties 344-345 continu uitgevoerd tot de testwoordgereedvlag is gedetecteerd. Bovendien,wanneer de grotere lus niet langer wordt uitgevoerd (omdat aanvullende modulatiecycli niet toegestaan worden),eindigt de toela-30 tingsuitgang. Deze techniek verschaft verdere beschermingsniveaus, Aangezien het aantal draaggolfcycli (CYCTOT) verband houdt met het aantal modulatiecycli (CYCNBR -bijv. moet CYCTOT aan het einde van enige modulatiecyclus en even geheel veelvoud van CYCNBR zijn) kan onderzocht 35 worden of dit verband aanwezig is en indien dit verband geschonden is kan een HALT geforceerd worden, hetgeen eveneens tot gevolg heeft dat de toelatingsuitgang beëindigd wordt.

In belde gevallen stapt de verwerking over op 40 NÜTIME (zie fig, 5D) wanneer de testwoordgereedvlag 8403403 - 36 - gedetecteerd wordt.

Zoals in fig. 5D is aangegeven wordt de funktie 350 uitgevoerd voor het testen van de hertesttijd. De hertesttijd wordt met dezelfde techniek getest, die gebruikt 5 werd voor het testen van de modulatiecyclus, waarbij bijvoorbeeld aanvullende grootheden REFERENCE en PRESET gemanipuleerd worden en éën van hen gesommeerd wordt met de tijdsgrootheid, die vanaf de tijdbepalingseenheid wordt uitgelezen. In feite wordt deze verder opgeteld 10 (zie funktie 351) met het volgende TOKEN. Dit bepaalt of een hertesttijd of een onderhoudingstijd wordt vastgesteld. Funktie 352 takt af op het adres. Hier zijn er drie mogelijkheden. In hét geval dat er een hertesttijd (maar geen onderhoudingstijdj bepaald is wordt de funktie 353 uitge-15 voerd. In het geval dat de onderhoudingstijd eveneens beëindigd wordt springt de verwerking over op MNWRDS.

Elke andere mogelijkheid leidt tot een halt.

Aannemende dat een hertesttijd afgelopen is, beëindigd funktie 353 de manipulatie van de grootheden 20 PRESET en REFERENCE en vult de hertesttijdsbepalingsinrich-ting. Funktie 354 werkt de grootheden DISPLACEMENT en INCREMENT bij met hun deltas. Daarna richt de funktie 354 de verwerking op EXECHK.

Deze ontvangt het volgende hertesttestwoord, 25 waarna de cyclus weer herhaald wordt.

Uit het bovenstaande zal een aantal eigenschappen van de uitvinding duidelijk zijn. In de eerste plaats heeft de vitale aandrijfinrichting 15 geen a priori kennis van de gevergde vorm van de toelatingsuitgang, zij reageert 30 met andere woorden eenvoudig op de testwoorden, die vanuit de primaire processor 10 worden ontvangen. Indien de testwoorden vanuit de primaire processor 10 een zodanige vorm hebben, dat zij de toestand van het uitgangsbit op bepaalde tijdstippen wijzigen, wordt een uitgang opge-35 wekt, die de karakteristieken heeft die nodig zijn voor het opwekken van het toelatingssignaal. Dezelfde uitgang kan evenwel worden opgewekt op een nagenoeg oneindig aantal wijzen, waardoor een grotè variatie in het op te nemen aantal testwoorden mogelijk is. Meer in het bijzonder 40 is de werkopeenvolging van de vitale aandrij finrichting 8403403 9 - 37 - opgebouwd uit een aantal moduli. Sommige van deze moduli (HICYCL en NOCYCL) wekken bijvoorbeeld een halve cyclus op met het draaggolfsignaal aan of een halve cyclus met het draaggolfsignaal uit. Een opeenvolging van HICYCL 5 en NOCYCL zal een modulatiecyclus opwekken. Dit volgt uit het feit, dat de verschillende stappen van deze moduli bepaald zijn om een geschikte hoeveelheid tijd te verbruiken, en door het uitgangsbit bij het begin en het einde te manipuleren, wordt het uitgangsbit in de 10 geschikte toestand gehouden om het optreden tot stand te brengen van een cyclus met de draaggolf aan en een cyclus met de draaggolf uit. Uiteraard is een verdere beperking, dat elke moduul een testwoord vergt. Langere perioden van de toelatingsuitgang kunnen verkregen worden 15 uit een enkel paar testwoorden, dat LOCYCL gebruikt, door het aantal draaggolven aan en draaggolven uit cycli te specificeren. Een verdere moduul (TIMCHK) verschaft de mogelijkheid nog meer van de toelatingsuitgang te genereren, terwijl tegelijkertijd de duur van de 20 modulatiecyclus getest wordt. Hoewel TIMCHK, HICYCL, NOCYCL en LOCYCL kunnen worden ingevoerd vanuit EXECHK, en direkt terugwerken naar EXECHK, zijn andere routines nodig voor het aaneenkoppelen van langere duren van de toelatingsuitgang, bijvoorbeeld GETCHK en NUTIME. Hoewel 25 deze moduli geen significante hoeveelheden toelatingsuitgang opwekken, zijn zij essentieel en moeten bijgevolg worden uitgevoerd. Ten slotte zijn andere moduli voor het verbinden van het aantal hertesttijden in een onderhoudingstijd (MNWRDS en NUMAINI eveneens nodig.

30 Tenslotte wordt het starten van het vitale relais veroorzaakt door DELAY. Het verkregen pakket is modulair van aard maar elk element van de moduul moet ten minste éénmaal worden uitgevoerd, waarbij andere ten minste éénmaal per onderhoudingstijd moeten worden uitgevoerd 35 en nog andere ten minste éénmaal per hertesttijd en ten slotte op het laagste niveau er een aantal moduli zijn, die een variabel aantal malen kan worden uitgevoerd teneinde de vereiste toelatingsuitgang op te bouwen.

Het zal uit het bovenstaaride duidelijk zijn, 40 dat de uitvinding een werkwijze en inrichting verschaft 8403403 4 + fc - 38 - voor het opwekken vanuit testwoorden, die op basis van een hoeveelheid zijn ontvangen - een tijdgevoelig signaal op te wekken (de toelatingsuitgang) waarvan de parameters (draaggolffrequentie, modulatietype en 5 frequentie en belastingspercentage} door het aantal en de inhoud van de door de vitale aandrijfinrichting bepaalde testwoorden worden bepaald. Twee voorwaarden zijn noodzakelijk om een toelatingsuitgang van de gewenste vorm op te wekken, waarvan de eerste is dat de testwoorden, 10 door hun aantal en inhoud, zodanig zijn dat zij uit het programma de toelatingsuitgang opwekken en de tweede voorwaarde is dat de vitale aandrijfinrichting zijn programma zonder fout uitvoert. Bovendien is, hoewel de bovenstaande twee voorwaarden voldoende zijn, de software 15 van de vitale aandrijfinrichting voldoende flexibel dat er niet meer dan één stel testwoorden is, dat een identieke toelatingsuitgang zal geven. Meer in het bijzonder kunnen, door de modulaire aard van de programmasegmenten in de software van de vitale aandrijfinrichting, segmenten 20 van de toelatingsuitgang (bijvoorbeeld een gehele modula-tiecyclusj. worden opgewekt door één of vele paren testwoorden, waardoor een beduidende flexibiliteit voor de vitale aandrijfinrichting wordt verkregen om de testbe-werking van de primaire processor mogelijk te maken met 25 op beduidende wijze verschillende primaire funkties.

- conclusies - 8403403

Claims (24)

1. Processorinrichting, voor het opwekken van een bepaald signaal met tijdgevoelige parameters, die bepaald worden uit gegevens, die aan de processor op basis van een hoeveelheid worden toegevoegd, waarin het bepaalde 5 signaal kan worden opgewekt door ruim verschillende gegevens, voorzien van: programmamiddelen, die een aantal programmasegmenten bevatten, waaronder eerste programmasegmenten die, wanneer zij door de processor worden uitgevoerd, segmenten op-10 wekken van het genoemde bepaalde signaal, en tweede programmasegmenten, die, wanneer zij door de processor worden uitgevoerd, een vast deel van het genoemde signaal opwekken; middelen die reageren op gegevens om overeenkomende 15 programmasegmenten op te roepen om uitgevoerd te worden; waardoor gegevens, die van tevoren bepaalde karakteristieken hebben en voor de processor op een hoe-veelheidsbasis beschikbaar zijn gemaakt op geschikte tijdstippen leiden tot het uitvoeren van een opeenvolging 20 van programmasegmenten teneinde het genoemde signaal met de genoemde tijdgevoelige parameters op te wekken.

2. Inrichting volgens conclusie l,met het kenmerk, dat de programmamiddelen in de genoemde eerste programmasegmenten bevatten:

25 LOCYCL middelen voor het opwekken van een segment van het genoemde bepaalde signaal van een duur, die bepaald wordt door de gegevens, die aan de genoemde LOCYCL middelen zijn doorgegeven.

3. Inrichting volgens conclusie l,met het 30 kenmerk, dat de programmamiddelen in de genoemde tweede programmasegmenten bevatten: middelen voor het opwekken van een segment van een bepaald signaal van vaste duur en van tevoren bepaalde amplitude, 35 4$4 0 volgens conclusie 1, m e t het y > * - 40 - kenmerk, dat de genoemde programmamiddelen in de tweede programmasegmenten bevatten: eerste en tweede middelen voor het opwekken van een bepaald segment van het genoemde bepaalde signaal 5 van respectievelijk verschillende amplituden.

5. Inrichting volgens conclusie 1, m e t het kenmerk, dat bepaalde signaal een amplitude-gemoduleerde draaggolf is, waarin de draaggolffrequentie en de modulatiefrequentie de genoemde tijdgevoelige 10 parameters zijn.

6. Inrichting volgens conclusie 1, m e t het kenmerk, dat de genoemde gegevens meervoudige testwoorden bevatten en dat de genoemde programmasegmenten, wanneer zij door de processor worden uitgevoerd, een 15 testwoord slechts eenmaal gebruiken, waarbij de programmasegmenten middelen bevatten voor het vernietigen van elk dergelijk testwoord.

7. Inrichting volgens conclusie 6,met het kenmerk, dat de programmasegmenten middelen bevatten 20 voor het wijzigen van elk testwoord op een wijze die verschilt van de wijziging in enig ander testwoord.

8. Inrichting volgens conclusie 1, m e t het kenmerk, dat de processorinrichting een onafhankelijke tijdbepalingsinrichting bepaalt en dat.de programma- 25 middelen tijdtestmiddelen bevatten voor het periodiek vergelijken van een periode van het genoemde bepaalde signaal met een periode, die door de tijdbepalingsinrichting wordt gemeten.

9. Inrichting volgens conclusie 1, ra e t het 30 kenmerk, dat de processorinrichting een toestands-teller bevat, die de kloktoestanden van de microprocessor telt en dat de genoemde programmamiddelen toestands-testmiddelen bevatten voor het periodiek vergelijken van een huidige toestandstelling met een voorafgaand aantal. 8403403 ♦ - 41 - *

10. Inrichting volgens conclusie 1, m e t het kenmerk, dat de programmamiddelen in de genoemde programmasegmenten GETCHK middelen bevatten voor het voorwaardelijk opwekken van een vast segment van het 5 genoemde bepaalde signaal bij het ontbreken van de ontvangst van nieuwe gegevens en om over te springen op andere programmasegmenten alvorens het genoemde vaste segment beëindigd is bij ontvangst van nieuwe gegevens,

11. Inrichting volgens conclusie 1, m e t het 10 kenmerk, dat de genoemde middelen die op de gegevens reageren bevatten: wijzigingsmiddelen voor het wijzigen van een ontvangen testwoord voor het opwekken van een gewijzigd testwoord, en 15 aftakmiddelen om een adres af te takken, dat is afgeleid van het genoemde gewijzigde testwoord, waardoor, indien het gewijzigde testwoord niet een verwachte waarde heeft, de genoemde aftakking op een onjuiste plaats is,

12. Inrichting volgens conclusie 11, m e t het kenmerk, dat zowel de eerste als de tweede programmasegmenten bevatten: wijzigingsmiddelen voor het wijzigen van een ontvangen testwoord voor het opwekken van een gewijzigd 25 testwoord, ai aftakmiddelen voor het aftakken van een adres, dat is afgeleid van het gewijzigde testwoord, waardoor indien het gewijzigde testwoord niet een verwachte waarde heeft de genoemde tak op een onjuiste 30 plaats is.

13. Inrichting volgens conclusie 5,met het kenmerk, dat geen enkel programmasegment een deel kan opwekken van het genoemde tijdsgevoelige signaal dat equivalent is aan een cyclus van een modulatiefrequentie.

14. Inrichting volgens conclusie l,met het kenme r k, dat ten minste ëën van de programmasegmenten 8405403 - 42 - bevat ï middelen voor het testen van de inhoud van programmageheugens voor het vormen van een resultaat, en middelen die reageren op het resultaat voor 5 aftakken naar een programma-adres dat met dit resultaat verband houdt, waardoor een onverwacht resultaat uitvoering van het programma verhindert.

15. Inrichting volgens conclusie l,met het 10 kenmerk, dat de programmamiddelen bevatten: een initialiseringsopeenvolging die, wanneer zij wordt uitgevoerd, een vitale startvertraging geeft.

16. Inrichting volgens conclusie 1, g e k e n-merktdoors 15 aandrijfmiddelen die reageren op het genoemde signaal voor het opwekken van een toelatingssignaal in reactie op het genoemde gegevenssignaal en geen toelatingssignaal indien parameters van het genoemde gegevenssignaal buiten van tevoren bepaalde waarden vallen, waarbij de 20 aandrijfinrichting vitale eigenschappen heeft.

17. Inrichting die reageeert op een opeenvolging van groepen van hoofd- en hertestwoorden voor het opwekken van een gespecificeerde uitgang indien en slechts indien de genoemde groep van hoofd- en hertestwoorden uit een 25 aanvaardbaar stel bevat: middelen die reageren op een groep van hoofdtest-woorden voor het bepalen van een onderhoudingstijd gedurende welke de specifieke uitgang kan worden opgewekt? middelen die reageren op een groep van hertest-30 woorden voor het opwekken van een gespecificeerde uitgang voor het hertesttijd, bepaald door de genoemde hertestwoorden, maar slechts indien de genoemde hertesttijd, gesommeerd met alle voorafgaande hertesttijden, die zijn opgewekt na de inleiding van de laatste onderhoudingstijd, 35 korter is dan de onderhoudingstijd, waardoor de genoemde tijdsopeenvolging van de genoemde desbetreffende uitgangen, die bestaan uit een 8403403 * .-, - 43 - amplitude-gemoduleerde draaggolf waarin de draaggolf-frequentie en de modulatiefrequentie gespecificeerd zijn, de genoemde gespecificeerde uitgang vormt.

18. Inrichting volgens conclusie 17,met het 5 kenmerk, dat de middelen die reageren op een groep hoofdtestwoorden bevatten: middelen voor het wijzigen van elk testwoord op een wijze die verschilt van de wijzigingen van enig ander testwoord.

19. Inrichting volgens conclusie 17,met het kenmerk, dat de middelen die reageren op een groep hoofdtestwoorden bevatten: middelen voor het vernietigen van elk testwoord.

20. Inrichting volgens conclusie 17, met het 15 kenmerk, dat de genoemde middelen die reageren op een groep hertestwoorden bevatten: middelen voor het wijzigen van elk hertestwoord op een wijze die verschilt van de wijziging van enig ander hertestwoord.

21. Inrichting volgens conclusie 17, met het kenmerk, dat de middelen die reageren op een groep van hertestwoorden bevatten: middelen voor het vernietigen van elk hertestwoord.

22. Inrichting volgens conclusie 17, met het 25 kenmerk, dat de middelen die reageren op een groep van hertestwoorden een aantal programmasegmenten bevatten, waarvan elke een deel van een gespecificeerde uitgang opwekt gedurende de uitvoering van het genoemde programmasegment, waarbij elk van de programmasegmenten middelen bevat 30 die reageren op een hertestwoord voor het oproepen van een ander programmasegment.

23. Inrichting volgens conclusie 22,met het kenmerk, dat elk van de programmasegmenten middelen bevat voor het wijzigen van een hertestwoord en voor het 8403403 * - 44 - aftakken naar een programma-adres , dat van het genoemde testwoord is afgeleid.

24. Inrichting volgens conclusie 23, m e t het kenmerk, dat elk van de programmasegmenten middelen 5 bevat voor het vernietigen van een hertestwoord wanneer een hertestwoord gewijzigd wordt. 8403403