DE69213609T2 - Kompakte und fehlertolerante Schnittstelle und deren Verwendung in einer Mehrheitsentscheidungsvorrichtung - Google Patents

Description

• Die Erfindung betrifft eine kompakte Sicherheitsschaltung. Eine solche Schaltung dient dazu, in einem System mit hoher Fehlersicherheit eingesetzt zu werden.
• Bestimmte Sicherheitssysteme arbeiten mit Verfahren der dynamischen Sicherheitslogik. Ein frequenzkodiertes System mit hoher Fehlersicherheit, das eine erhebliche Reduzierung der Abmessungen solcher Systeme ermöglicht, ist im europäischen Patent EP-385.885 beschrieben. Diese Art von System weist jedoch den Nachteil auf, daß es eine große Anzahl von Bauteilen benötigt und zwangsläufig eine periodische Offline-Prüfung durchgeführt werden muß, um die geforderte hohe Fehlersicherheit ("strongly fail safe") zu gewährleisten.
• Der Erfindung liegt die Aufgabe zugrunde, eine Sicherheitsschaltung mit im Vergleich zu Systemen, die mit Verfahren der dynamischen Logik arbeiten, wesentlich geringeren Abmessungen zu schaffen. Diese Schaltung muß darüber hinaus einen niedrigen Stromverbrauch aufweisen, eine geringe Anzahl von Bauteilen umfassen und vorzugsweise ohne periodisch durchgeführte Offline-Prüfung auskommen, um die Funktion der hohen Fehlersicherheit zu gewährleisten.
• Diese Aufgabe wird dadurch erfüllt, daß die Schaltung eine ungerade Zahl von in Reihe geschalteten Pegelinvertern umfaßt, die jeweils einen Eingang sowie einen Ausgang aufweisen, wobei der Ausgang des letzten Pegelinverters mit dem Eingang des ersten Pegelinverters verbunden ist, jeder Pegelinverter erste und zweite Versorgungseingänge aufweist, die die Eingänge der Sicherheitsschaltung bilden und mit logischen, binären Eingangssignalen der Sicherheitsschaltung beaufschlagt werden, derart daß am Ausgang des letzten Pegelinverters ein Schwingungssignal bereitgestellt wird, wenn sämtliche ersten Versorgungseingänge der Pegelinverter mit einem Signal mit bestimmtem Logikpegel und sämtliche zweiten Versorgungseingänge der Pegelinverter mit einem Signal mit in bezug zum ersten Pegel komplementärem Logikpegel beaufschlagt werden, und im entgegengesetzten Fall ein Gleichspannungssignal ausgegeben wird.
• Auf diese Weise erhält man einen Oszillator vom Typ eines astabilen Ring-Multivibrators, dessen Vers orgungseingänge die Funktionseingänge der Sicherheitsschaltung darstellen. Sobald einer der Eingänge kein ordnungsgemäßes Versorgungssignal erhält, ist das Ausgangssignal des Oszillators ein Gleichspannungssignal. Des weiteren bleibt bei einem internen Fehler der Sicherheitsschaltung das Ausgangssignal unverändert oder nimmt einen als sicher angesehenen Signalzustand an, der einem Nicht-Schwingen des Oszillators entspricht.
• Das Ausgangssignal des Oszillators wird vorzugsweise in einer Ausgangsschaltung geformt, die einen Trafo mit einer an den Ausgang des letzten Pegelinverters angeschlossenen Primärwicklung sowie einer über eine Gleichrichterschaltung an den Ausgang der Sicherheitsschaltung angeschlossenen Sekundärwicklung umfaßt.
• Durch den Online- und Offline-Anschluß einer Prüfeinrichtung an die Sicherheitsschaltung kann die Verfügbarkeit eines mit einer solchen Sicherheitsschaltung bestückten Systems erhöht werden.
• Eine solche Sicherheitsschaltung ist insbesondere zur Bildung von Mehrheitsentscheidungsmodulen geeignet, die dazu dienen, die Sicherheit und Verfügbarkeit einer Installation zu erhöhen.
• Nach einer Weiterbildung der Erfindung umfaßt ein, mindestens an zwei voneinander unabhängige Befehlsgeber angeschlossenes Mehrheitsentscheidungsmodul mindestens eine erfindungsgemäße Sicherheitsschaltung, wobei die Versorgungseingänge mindestens eines Pegelinverters der Sicherheitsschaltung mit einem Datensignal von einem der Befehlsgeber und einem komplementären Datensignal von einem anderen Befehisgeber beaufschlagt werden.
• Da jeder Befehlsgeber ein binäres Statussignal sowie dessen Komplementärsignal liefert und dieses Statussignal bei ordnungsgemäßem Betrieb des Befehlsgebers den genannten festgelegten logischen Pegel und bei Erfassung eines Fehlers im Befehlsgeber den komplementären logischen Pegel führt, werden das Statussignal eines Befehlsgebers sowie das zugehörige Komplementärsignal einem ersten bzw. zweiten Versorgungseingang eines anderen Pegelinverters der Sicherheitsschaltung zugeführt. Auf diese Weise ist es möglich, die von einer Sicherheitsschaltung übertragenen Datensignale nur bei störungsfreiem Betrieb des entsprechenden Befehlsgebers bzw. der Befehlsgeber freizugeben, und so ein rekonfigurierbares Mehrheitsentscheidungsmodul zu erzielen.
• Nach einer anderen Weiterbildung der Erfindung umfaßt das Mehrheitsentscheidungsmodul mindestens eine komplementäre Sicberheitsschaltung mit mindestens einem Pegelinverter, dessen Versorgungseingänge mit komplementären Datensignalen eines ersten Befehlsgebers beaufschlagt werden, einem Pegelinverter, dessen erste und zweite Versorgungseingänge mit dem vom ersten Befehlsgeber ausgegebenen Status signal bzw. dessen Komplementärsignal beaufschlagt werden, und einem Pegelinverter, dessen zweite und erste Versorgungseingänge mit dem von einem zweiten Befehlsgeber ausgegebenen Statussignal bzw. dessen Komplementärsignal beaufschlagt werden, so daß die Datensignale nur dann freigegeben werden, wenn der erste Befehlsgeber fehlerfrei arbeitet und der zweite Befehlsgeber einen Fehler aufweist.
• Ein Ausführungsbeispiel der Erfindung ist in den beigefügten Zeichnungen dargestellt und in der nachfolgenden Beschreibung unter Angabe weiterer Vorteile und Merkmale näher erläutert. Dabei zeigen:
• - Figur 1 ein Blockschaltbild einer erfindungsgemäßen Sicherheitsschaltung;
• - Figur 2 eine besondere Ausführungsvariante eines Pegelinverters der Sicherheitsschaltung aus Figur 1;
• - Figur 3 den Anschluß einer Prüfeinrichtung an eine erfindungsgemäße Sicherheitsschaltung gemäß Figur 1;
• - Figur 4 eine Sicherheitsschaltung, die einem Datenbit zugeordnet ist, das von zwei unabhängigen, komplementäre Datenbits liefernden Befehisgebern ausgegeben wird;
• - Figur 5 eine schematische Darstellung eines, aus erfindungsgemäßen Sicherheitsschaltungen bestehenden, rekonfigurierbaren 2/3-Mehrheitsentscheidungsmoduls.
• Die kompakte Sicherheitsschaltung gemäß Figur 1 umfaßt einen Oszillator vom Typ astabiler Ring-Multivibrator, der eine ungerade Anzahl von Pegelinvertern 2 umfaßt, die in der Zeichnung mit den Bezugszeichen 2a bis 2n gekennzeichnet sind. Diese Pegelinverter sind in Reihe geschaltet, wobei der Ausgang des letzten Pegelinverters 2n an den Eingang des ersten Pegelinverters 2a angeschlossen ist. Ein solcher Oszillator weist eine sehr hohe Frequenz auf. Diese Schwingfrequenz kann mit Hilfe eines RC-Glieds auf einen bestimmten Wert herabgesetzt werden. Bei der in Figur 1 dargestellten Ausführungsvariante ist ein Widerstand R1 in Reihe mit einem Kondensator C1 zwischen den Ausgang und den Eingang des Pegelinverters 2n geschaltet, wobei der gemeinsame Anschlußpunkt des Widerstands R1 und des Kondensators C1 mit dem Eingang des Pegelinverters 2a verbunden ist. Das gleiche Ergebnis kann auch mit Hilfe eines RC- Glieds erzielt werden, das an die Klemmen einer beliebigen ungeraden Zahl von Pegelinvertern der Sicherheitsschaltung angeschlossen ist.
• Jeder Pegelinverter 2 weist zwei Versorgungseingange 3 und 4 auf. Jeder Pegelinverter 2 wird an seinen Versorgungseingängen mit logischen Eingangssignalen der Sicherheitsschaltung, d.h. an den Versorgungseingangen 3 der Pegelinverter 2a bis 2n mit den Signalen a3 bis n3 und an den entsprechenden Versorgungseingängen 4 mit den Signalen a4 bis n4 beaufschlagt.
• Bei den Eingangssignalen der Sicherheitsschaltung handelt es sich um logische Binärsignale. Damit eine Schwingung erzeugt werden kann, ist es notwendig, daß sämtliche, die Versorgungseingange 3 beaufschlagenden Signale a3 bis n3 den gleichen logischen Pegel, beispielsweise 1, und sämtliche die Versorgungseingänge 4 beaufschlagenden Signale a4 bis n4 den gleichen, komplementären logischen Pegel, im vorliegenden Fall also 0, führen. Sobald eines der Eingangssignale dieser Bedingung nicht entspricht, sperrt der entsprechende Pegelinverter und es ist keine Schwingung mehr vorhanden.
• Die in Figur 2 gezeigte besondere Ausführungsvariante eines Pegelinverters 2 umfaßt einen, z.B. als MOSFET ausgeführten Transistor T1 und einen ohmschen Widerstand R2, die zwischen die Versorgungseingänge 3 und 4 in Reihe geschaltet sind. Ihr gemeinsamer Anschlußpunkt ist mit dem Ausgang des Pegelinverters verbunden, während der Eingang des Pegelinverters an die Gate-Elektrode des Transistors angeschlossen ist. Zum ordnungsgemäßen Betrieb wird der Pegelinverter 2 an seinem Eingang 3 mit einem logischen Signal 1 und an seinem Eingang 4 mit dem komplementären logischen Signal 0 beaufschlagt. Liegt ein logisches Signal 1 am Eingang des Pegelinverters an, ist der Transistor T1 leitend, und der Ausgang wird auf den Pegel 0 gesetzt. Wird im umgekehrten Fall der Eingang des Pegelinverters mit einem logischen Signal 0 beaufschlagt, sperrt der Transistor T1, und der Ausgang nimmt den Pegel 1 an.
• Die Sicherheitsschaltung (Figur 1) weist am Ausgang des Oszillators einen Ausgangskreis auf, der dazu dient, das Ausgangssignal des Oszillators zu formen. Bei Verwendung von Pegelinvertern gemäß Figur 2 empfiehlt es sich, das Ausgangssignal des Oszillators zu verstärken, und der Ausgangskreis umfaßt in diesem Fall eine Formungsschaltung 11, deren Ausgang an den Eingang eines Verstärkers 12 angeschlossen ist, sowie einen Impulstrafo TR, dessen Primärwicklung über einen zur Entmagnetisierung des Trafos dienenden Kondensator C2 mit dem Ausgang des Verstärkers 12 verbunden ist. Die Formungsschaltung 11 und der Verstärker 12 (in Figur 3 und 4 nicht dargestellt) werden mit einer geeigneten Versorgungsspannung von beispielsweise 5 V gespeist. Das an den Klemmen der Sekundärwicklung des Trafos abgegriffene Signal wird gleichgerichtet, um ein Ausgangssignal S der Sicherheitsschaltung zu erhalten. Bei der Ausführung gemäß Figur 1 erfolgt die Gleichrichtung über eine mit der Sekundärwicklung in Reihe geschaltete Diode D1 sowie einen, parallel zum Ausgang der Sicherheitsschaltung liegenden Kondensator C3.
• Liegt kein interner Fehler der Sicherheitsschaltung vor und führen die logischen Eingangssignale an den Eingängen 3 der Pegelinverter den logischen Pegel 1 und an den Eingängen 4 den Pegel 0, arbeitet der Oszillator und die Klemmen der Primärwicklung des Trafos werden mit einem Schwingungssignal beaufschlagt. Dieses Signal wird auf der Sekundärseite des Trafos gleichgerichtet, und das Ausgangssignal S der Sicherheitsschaltung weist einen hohen Gleichspannungspegel (logischer Pegel 1) von beispielsweise 5 V auf.
• Tritt jedoch ein Fehler im Oszillator auf, so liegt ein Gleichspannungssignal an seinem Ausgang an, und dieses Signal wird durch den Trafo in ein Gleichspannungssignal mit niedrigem Pegel (logischer Pegel 0), d.h. mit 0 V umgewandelt.
• Nimmt man willkürlich den Pegel 0 entsprechend dem niedrigen Gleichspannungspegel des Ausgangssignals S der Sicherheitsschaltung als sicheren Schaltzustand und den Pegel 1 entsprechend dem hohen Gleichspannungssignal als unsicheren Schaltzustand an, so läßt sich zeigen, daß die beschriebene Sicherheitsschaltung aufgrund ihrer Auslegung die Bedingung einer hohen Fehlersicherheit eines Systems ("strongly fail safe"), d.h. eines Systems, das selbst bei Auftreten von Mehrfachfehlern sicher bleibt, erfüllt. Anders ausgedrückt führt ein einfacher interner Fehler (Kurzschluß, unterbrochener Stromkreis) der Sicherheitsschaltung unabhängig vom Zustand der die Schaltung beaufschlagenden Eingangssignale (a3 bis n3, a4 bis n4) dazu, daß das Ausgangssignal S
• - entweder den sicheren Schaltzustand, d.h. Signalpegel 0,
• - oder den Schaltzustand des Eingangssignals annimmt, d.h. Signalpegel 1 aufweist, wenn die Eingangssignale a3 bis n3 den Pegel 1 und die Signale a4 bis n4 den Pegel 0 führen, bzw. Signalpegel 0 aufweist, wenn mindestens eines der Signale a3 bis n3 den Pegel 0 und mindestens eines der Signale a4 bis n4 den Pegel 1 führen.
• Dies gilt auch, wenn in der Sicherheitsschaltung ein zweiter interner Fehler oder ein Mehrfachfehler auftreten.
• Die Sicherheitsschaltung kann mit einer Prüfeinrichtung 5 (siehe Figur 3) verbunden werden, die dazu dient, einen internen Fehler der Sicherheitsschaltung zu erfassen. Zu diesem Zweck überprüft die an die Eingänge 3 und 4 der Pegelinverter der Sicherheitsschaltung sowie an den Ausgang S der Sicherheitsschaltung angeschlossene Prüfeinrichtung die Kohärenz zwischen den Eingangssignalwerten und dem Ausgangssignalwert der Sicherheitsschaltung. Da ein Fehler in der Sicherheitsschaltung entweder deren Funktionsweise nicht ändert oder zu einem sicheren Schaitzustand entsprechend dem niedrigen Pegel des Signals S in der oben beschriebenen Auslegung führt, erfaßt die Prüfeinrichtung diejenigen Fehler, die zum sicheren Schaltzustand führen, wenn der Ausgang entsprechend einem Signalpegel 1 an den Eingängen a3 bis n3 bzw. einem Signalpegel 0 an den Eingängen a4 bis n4 eigentlich den Pegel 1 führen müßte. Diese Prüfung wird online durchgeführt, d.h. sie beeinträchtigt nicht das Betriebsverhalten der Sicherheitsschaltung, und die Erfassung eines internen Fehlers in der Sicherheitsschaltung wird durch die Prüfeinrichtung über ein geeignetes Überwachungsorgan angezeigt. Ein Fehler dieser Art gefährdet dabei nicht die Sicherheit des Systems, führt aber dazu, daß die durch die Sicherheitsschaltung zu übertragenden Daten nicht zur Verfügung stehen. Durch Zweifachauslegung der Sicherheitsschaltungen mit getrennter Zuordnung je einer Prüfeinrichtung kann nicht nur eine Erhöhung der Sicherheit sondern auch der Verfügbarkeit des Systems gewährleistet werden.
• Um die Erfassung eines Fehlers in der Sicherheitsschaltung auch dann zu ermöglichen, wenn über einen ausreichend langen Zeitraum die Eingänge a3 bis n3 den Pegel 0 und die Eingänge a4 bis n4 den Pegel 1 führen, ist die Prüfeinrichtung so ausgelegt, daß sie in regelmäßigen Abständen eine Offline-Überprüfung vornimmt. Zu diesem Zweck beaufschlagt sie über einen bestimmten Zeitraum, der wesentlich kürzer ist als die Wirkdauer eines binären Eingangssignals, gleichzeitig die Eingänge 3 mit einem Signalpegel 1 und die Eingänge 4 mit einem Signalpegel 0. Wenn das Ausgangssignal S auf 0 liegt, nimmt es dann den Pegel 1 an, wenn kein interner Fehler der Sicherheitsschaltung vorliegt. Die Dauer der Offline-Prüfung ist im Vergleich zur normalen Wirkdauer eines Bits ausreichend kurz, um jede Veränderung des Ausgangssignals S als Störung durch ein der Sicherheitsschaltung nachgeschaltetes System zu interpretieren. Der Übergang des Ausgangssignals auf den Pegel 1 wird hingegen von der Prüfeinrichtung erfaßt, die den Fehler bei Ausbleiben des Übergangs anzeigt.
• Die Daten, mit denen die Sicherheitsschaltung beaufschlagt wird, können Ausgangsdaten einer Steuerung, eines Rechners oder eines Befehlsgebers sein. Wenn diese Daten als doppelt kodierte Binärdaten vorliegen, d.h. als Daten, bei denen jedes Bit seinem Komplementärbit zugeordnet ist, wird jedem Datenbit eine Sicherheitsschaltung zugeordnet. In der Mindestkonfiguration enthält diese Sicherheitsschaltung nur einen Pegelinverter, dessen Ausgang an seinen Eingang angeschlossen ist, wobei sein Versorgungseingang 3 mit dem betreffenen Bit und sein Versorgungseingang 4 mit dem Komplementärbit beaufschlagt werden. In der Praxis umfaßt ein solcher Befehlsgeber eine Selbstüberwachungseinrichtung, die dazu dient, jeden Fehler im Funktionsteil des Befehlsgebers zu erfassen. Die Selbstüberwachungseinrichtung liefert ein Statusbit C und das zugehörige Komplementärbit . Das Statusbit und sein Komplementärbit beaufschlagen dann die Eingänge 3 und 4 eines zweiten Pegelinverters der Sicherheitsschaltung, so daß dann die vom Befehlsgeber gelieferten Daten freigegeben werden oder nicht. Da die Sicherheitsschaltung eine ungerade Zahl von Pegelinvertern aufweisen muß, können die Eingänge 3 und 4 des dritten Pegelinverters auf 1 bzw. 0 gelegt werden.
• Die doppelt kodierte binäre Daten liefernden Steuerungen, Rechner oder Befehlsgeber sind komplex aufgebaut und teuer. Bei der in Figur 4 gezeigten Ausführungsvariante kann das gleiche Ergebnis mit Hilfe von zwei herkömmlichen Befehlsgebern erzielt werden. Die Figur zeigt zwei Befehlsgeber mit den Bezugszeichen A bzw. B. Der Befehlsgeber A liefert binäre Daten A1,...Ak,...Am sowie ein Statusbit CA mit dem zugehörigen Komplementärbit , die den ordnungsgemäßen Betrieb der Befehlsgeber abbilden. Diese Daten werden als Spannungssignale von beispielsweise 5V für den logischen Pegel 1 und 0 V für den logischen Pegel 0 kodiert. Der Befehisgeber B liefert zu den Daten des Befehlsgebers A komplementäre (Bk = ) binäre Daten B1,...Bk,...Bm sowie ein Statusbit CB mit dem zugehörigen Komplementärbit .
• Jedem Datenbit des Befehlsgebers A ist eine Sicherheitsschaltung mit drei Pegelinvertern 2a, 2b und 2c zugeordnet. In Figur 4 ist lediglich die dem Bit Ak zugeordnete Sicherheitsschaltung dargestellt. Das Bit Ak wird auf den Eingang 3 des ersten Pegelinverters 2a und das Komplementärbit Bk auf den entsprechenden Eingang 4 gelegt. Mit den Bits CA und CA werden jeweils die Eingänge 3 und 4 des zweiten Pegelinverters 2b und mit den Bits CB und CB die Eingänge 3 und 4 des dritten Pegelinverters 2c beaufschlagt. Auf diese Weise bildet die Sicherheitsschaltung ein 2/2-Mehrheitsentscheidungsmodul. Das Ausgangssignal Sk (AB) der Sicherheitsschaltung führt nur dann Pegel 1, wenn kein interner Fehler in der Sicherheitsschaltung den Ausgang zwangsweise auf 0 setzt und wenn Ak=1, Bk=0, CA=CB=1, CA= CB=0, d.h., die von den Befehisgebern A und B gelieferten Daten k-ter Ordnung kohärent sind (212-Entscheidung) und wenn die Selbstüberwachungseinrichtungen nicht defekt sind und keinen den Funktionsteil der Befehlsgeber betreffenden Fehler erfaßt haben. In allen übrigen Fällen, d.h.
• - sobald die Selbstüberwachungseinrichtung einer der beiden Befehlsgeber einen Fehler des betreffenden Gebers anzeigt (CA oder CB=0),
• - wenn in einer der Selbstüberwachungseinrichtungen ein Fehler auftritt CA=CA oder CB=CB),
• - wenn die von den beiden Befehlsgebern gelieferten Daten nicht kohärent sind (Ak=Bk),
• - wenn Ak=Bk=0 und
• - wenn die Sicherheitsschaltung einen internen Fehler aufweist, der sie unabhängig von den an den Eingängen anliegenden Signalen in den sicheren Schaltzustand überführt,
• nimmt der Ausgang Sk (AB) den Pegel 0, d.h. den sicheren Pegel an.
• Figur 5 zeigt ein 2/3-Mehrheitsentscheidungsmodul, das aus mehreren erfindungsgemäßen kompakten Sicherheits schaltungen besteht. Das Modul ist an drei identische und voneinander unabhängige Befehlsgeber 6 mit den Bezugszeichen D, E und F angeschlossen. Jeder Befehlsgeber liefert binäre, kodierte Spannungsdaten D1...Dk...Dm, E1...Ek...Em bzw. F1...Fm, deren Komplementärdaten, ein Statusbit CD, CE bzw. CF sowie die Komplementärbits , und (doppelte Kodierung).
• Das 2/3-Mehrheitsentscheidungsmodul umfaßt drei Sicherheitsschaltungen 7 mit je drei Pegelinvertern der in Figur 4 gezeigten Bauart. Um die Zeichnung nicht unnötig zu überfrachten, ist jede Sicherheitsschaltung entsprechend der Anzahl der Pegelinverter durch je zwei Eingänge (3 und 4) aufweisende und wie die zugeordneten Inverter mit 2a, 2b und 2c bezeichnete Blöcke sowie durch einen, den Ausgangskreis repräsentierenden Block 8 dargestellt. Der Pegelinverter 2a der ersten Sicherheitsschaltung 7 wird an seinem Eingang 3 mit dem Signal Dk und an seinem Eingang 4 mit dem Signal beaufschlagt. Der Pegelinverter 2b wird an seinen Eingängen 3 und 4 mit den Signalen CD bzw. und der Pegelinverter 2c an seinen Eingängen 3 und 4 mit den Signalen CE bzw. beaufschlagt. Diese Sicherheitsschaltung nimmt also eine 2/2-Entscheidung zwischen den Bits Dk und Ek vor, wobei diese Daten durch die Statusbits des zugehörigen Befehlsgebers D und E freigegeben werden. Das Ausgangssignal dieser Sicherheitsschaltung trägt das Bezugszeichen Sk (DE). Analog hierzu erzeugt die zweite Sicherheitsschaltung 7 ein Ausgangssignal Sk (EF) entsprechend einer 212-Entscheidung zwischen den die Eingänge 3 bzw. 4 ihres ersten Pegelinverters 2a beaufschlagenden Bits Ek und . Diese Daten werden durch die Befehlsgeber E und F freigegeben, deren Bits CE und die Eingänge 3 bzw. 4 des Pegelinverters 2b und deren Bits CF und die Eingänge 3 bzw. 4 des Pegelinverters 2c beaufschlagen. Entsprechend erzeugt die dritte Sicherheitsschaltung 7 ein Atisgangssignal Sk (FD) aus den die Eingänge 3 bzw. 4 des Pegelinverters 2a beaufschlagenden Bits Fk und , den die Eingange 3 bzw. 4 des Pegelinverters 2b beaufschlagenden Bits CF und sowie den die Eingänge 3 bzw. 4 des Pegelinverters 2c beaufschlagenden Bits CD und . Mit den Signalen der Ausgänge Sk (DE), Sk (EF) und Sk (FD) der drei Sicherheitsschaltungen werden Eingänge einer logischen ODER-Schaltung 9 beaufschlagt, die an ihrem Ausgang ein vom Datenbit k-ter Ordnung abhängiges Ausgangssignal Sk des Mehrheitsentscheidungsmoduls bereitstellt. Die Anordnung aus den drei Sicherheitsschaltungen und der, fest verdrahteten und beispielsweise als einfaches Dioden-ODER-Gatter ausgeführten ODER-Schaltung bildet in bezug auf die von den Befehlsgebern D, E, F gelieferte Information k-ter Ordnung ein 2/3-Mehrheitsentscheidungsmodul.
• Bei Auftreten eines, von der jeweiligen Selbstüberwachungseinrichtung nicht erfaßten Fehlers in einem der drei Befehlsgeber liefert das Modul ein Signal Sk, das den Wert des von den beiden fehlerfrei arbeitenden Befehlsgebern gelieferten Bits k-ter Ordnung repräsentiert. Wenn beispielsweise gilt Dk=Ek=1, = =0, jedoch Fk=0 und =1, bei CD=CE=CF=1 und = = =0 (durch die Selbstüberwachungseinrichtung nicht erfaßter Fehler in Befehlsgeber F), liefern die Sicherheitsschaltungen 7 die Signale Sk (DE)=1, Sk (EF)=0 bzw. Sk(FD)=0, und das Ausgangssignal Sk entspricht Sk(DE)=1. Umgekehrt führt Dk=Ek=0, = =1, Fk=2 und =0 zu Sk(DE)=Sk(EF) =Sk(FD)=0.
• Dieses Mehrheitsentscheidungsmodul rekonfiguriert sich automatisch zu einem 2/2-Mehrheitsentscheidungsmodul, wenn in einem der Befehlsgeber ein Fehler auftritt, der von der betreffenden Selbstüberwachungseinrichtung erfaßt wird. Wenn nämlich die Selbstüberwachungseinrichtung des Befehlsgebers D einen Fehler dieses Befehlsgebers feststellt, kippt das Bit CD auf 0 und das Bit auf 1, wodurch die Ausgänge Sk(DE) und Sk(FD) der ersten und dritten Sicherheitsschaltung zwangsweise auf 0 gesetzt werden, da die betreffenden Pegelinverter 2b bzw. 2c, die diese Signale erhalten, nicht mehr ordnungsgemäß versorgt werden. Lediglich die zweite Sicherheitsschaltung arbeitet normal und liefert das einer 2/2-Entscheidung zwischen den beiden übrigen Befehlsgebern entsprechende Signal Sk(EF).
• Es ist leicht erkennbar, daß bei einem Fehler, der nur im Befehlsgeber E auftritt, lediglich die das Signal Sk(FD) erzeugende Sicherheitsschaltung, und bei einem Fehler, der nur im Befehlsgeber F auftritt, lediglich die das Signal Sk(DE) erzeugende Sicherheitsschaltung normal arbeitet und eine 2/2-Entscheidung gewährleistet.
• Das in Figur 5 gezeigte Mehrheitsentscheidungsmodul umfaßt drei zusätzliche kompakte Sicherheitsschaltungen 10 mit je 5 Stufen. Jede Sicherheitsschaltung stimmt in ihrer Bauart mit der in Figur 1 dargestellten Schaltung überein und ist wie oben durch einen Ausgangsblock 8 sowie entsprechend den 5 enthaltenen Pegelinvertern durch mit den gleichen Bezugszeichen 2a, 2b, 2c, 2d, 2e wie die zugeordneten Pegelinverter selbst bezeichnete Blöcke mit zwei Versorgungseingängen (3 und 4) dargestellt.
• Jede der Sicherheitsschaltungen 10 berücksichtigt ausschließlich die von einem Befehisgeber zugeführten Daten. Die Bits Dk und beaufschlagen die Eingänge 3 bzw. 4 des Pegelinverters 2a der ersten Sicherheitsschaltung 10, die ein Ausgangssignal Sk(D) liefert. Entsprechend beaufschlagen die Bits Ek und die Eingänge 3 bzw. 4 des Pegelinverters 2a der zweiten Sicherheitsschaltung 10, welche ein Ausgangssignal Sk(E) liefert, und die Bits Fk und die Eingänge 3 bzw. 4 des Pegelinverters 2a der dritten Sicherheitsschaltung 10, die ein Signal Sk(F) liefert. Die erste Sicherheits schaltung 10 wird nur dann freigegeben, wenn der Befehlsgeber D normal arbeitet, wobei die Bits CD und die Eingange 3 bzw. 4 eines Pegelinverters 2c beaufschlagen, während in deü Befehlsgebern E und F ein Fehler durch die Selbstüberwachungseinrichtungen erfaßt wurde. und CE beaufschlagen nämlich die Eingänge 3 bzw. 4 eines Pegelinverters 2d und sowie CF die Eingänge 3 bzw. 4 eines Pegelinverters 2e. Analog hierzu wird die zweite Sicherheitsschaltung 10 mit dem Ausgangssignal Sk(E) nur dann freigegeben, wenn der Befehlsgeber E normal arbeitet (CE und liegen an den Eingängen 3 bzw. 4 von 2c) und in den Befehlsgebern D ( und CD liegen an den Eingängen 3 bzw. 4 von 2d) und F ( und CF liegen an den Eingängen 3 bzw. 4 von 2e) ein Fehler durch die Selbstüberwachungseinrichtungen festgestellt wurde. Die dritte Sicherheitsschaltung 10 mit dem Ausgangssignal Sk(F) wird nur freigegeben, wenn der Befehlsgeber F normal arbeitet (CF und liegen an den Eingängen 3 bzw. 4 von 2c) und in den Befehlsgebern D ( und CD liegen an den Eingängen 3 bzw. 4 von 2d) und E ( und CE liegen an den Eingängen 3 bzw. 4 von 2e) ein Fehler erfaßt wurde. Jede der Sicherheitsschaltungen 10 enthält einen Pegeunverter 2b, dessen Eingänge 3 und 4 auf 5 V bzw. Massepotential liegen, so daß insgesamt eine ungerade Zahl von Pegelinvertern vorhanden ist.
• Aufgrund der zusätzlichen Sicherheits schaltungen 10 berücksichtigt das 2/3-Mehrheitsentscheidungsmodul aus Figur 5, das sich bei Auftreten eines Fehlers in einem der Befehlsgeber automatisch zu einem 2/2-Mehrheitsentscheidungsmodul rekonfiguriert, nur noch die Daten der verbleibenden Befehlsgeber, wenn ein Befehlsgeber fehlerbehaftet ist. Der letztgenannte Fall wirkt sich zwar betriebshemmend auf das System aus, die Verfügbarkeit läßt sich dadurch jedoch erhöhen.
• Es kann wünschenswert sein, einer vorgeschalteten Überwachungseinrichtung zu signalisieren, daß das Modul in 2/2- oder 1/1-Entscheidung arbeitet. Dies kann durch jedes geeignete Mittel unter Verwendung der Statusbits der drei Befehisgeber erfolgen.
• Die in Figur 4 und 5 dargestellten Mehrheitsentscheidungsmodule berücksichtigen keine gegebenenfalls auftretenden internen Fehler in einer oder mehreren der in ihnen enthaltenen Sicherheitsschaltungen. Soll die Verfügbarkeit der Anordnung weiter erhöht werden, können diese Module mit Prüfeinrichtungen entsprechend dem mit Bezug auf Figur 3 beschrieben Typ bestückt werden. Diese Prüfeinrichtung kann den Fehler einer Sicherheitsschaltung erfassen, und es kann der Austausch der fehlerbehafteten Sicherheitsschaltung durch eine zusätzliche Sicherheitsschaltung vorgesehen werden. Zu diesem Zweck kann beispielsweise eine zusätzliche Sicherheitsschaltung mit einem Pegelinverter vorgesehen werden, der entweder direkt oder mit Hilfe eines von der Prüfeinrichtung erzeugten Fehlersignals über einen der Befehlsgeber in Betrieb genommen werden kann. Die erfindungsgemäße kompakte Sicherheitsschaltung kann auf geeignete Weise ergänzt werden, um die an einen ihrer Pegelinverter angelegten Datensignale in Abhängigkeit von bestimmten Parametern freizugeben.
• Die ungerade Zahl der Pegelinverter einer Sicherheitsschaltung liegt vorzugsweise zwischen 3, um die Abfrage einer Dateninformation und ihre Freigabe zu gewährleisten, und etwa einhundert bei den komplexesten Systemen.
• Die Anordnung der Pegelinverter kann auf einfache Weise integriert ausgeführt werden.

Claims (10)

1. Kompakte Sicherheitsschaltung, dadurch gekennzeichnet, daß sie eine ungerade Zahl (n) von in Reihe geschalteten Pegelinvertern (2a,...,2n) umfaßt, die jeweils einen Eingang sowie einen Ausgang aufweisen, wobei der Ausgang des letzten Pegelinverters (2n) mit dem Eingang des ersten Pegelinverters (2a) verbunden ist, jeder Pegelinverter erste (3) und zweite (4) Versorgungseingänge aufweist, die die Eingänge der Sicherheitsschaltung bilden und mit logischen, binären Eingangssignalen der Sicherheitsschaltung (a3 bis n3, a4 bis n4) beaufschlagt werden, derart daß am Ausgang des letzten Pegelinverters ein Schwingungssignal bereitgestellt wird, wenn sämtliche ersten Versorgungseingänge (3) der Pegelinverter mit einem Signal mit bestimmtem Logikpegel (1) und sämtliche zweiten Versorgungseingänge (4) der Pegelinverter mit einem Signal mit in bezug zum ersten Pegel komplementärem Logikpegel (0) beaufschlagt werden, und im entgegengesetzten Fall ein Gleichspannungssignal ausgegeben wird.

2. Sicherheitsschaltung nach Anspruch 1, dadurch gekennzeichnet, daß sie eine Ausgangsschaltung mit einem Trafo (TR) aufweist, der eine an den Ausgang des letzten Pegelinverters (2n) angeschlossene Primärwicklung sowie eine über eine Gleichrichterschaltung (D1) an den Ausgang (S) der Sicherheitsschaltung angeschlossene Sekundärwicklung umfaßt.

3. Sicherheitsschaltung nach Anspruch 2, dadurch gekennzeichnet, daß sie einen Kondensator (C2) aufweist, der in Reihe mit der Primärwicklung des Trafos (TR) an den Ausgang des letzten Pegelinverters (2n) angeschlossen ist.

4. Sicherheitsschaltung nach irgendeinem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß sie ein RC-Glied (R1, C1) aufweist, welches parallel zwischen den Eingang und den Ausgang einer ungeraden Zahl von in Reihe geschalteten Pegelinvertern geschaltet ist.

5. Sicherheitsschaltung nach irgendeinem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß sie eine an die Eingänge (3, 4) und an die Ausgänge (S) der Sicherheitsschaltung angeschlossene Prüfeinrichtung (5) aufweist, um die Kohärenz zwischen den Eingangssignalen und den Ausgangssignalen der Sicherheitsschaltung zu überprüfen und bei fehlender Kohärenz zwischen diesen beiden Signalen ein die Fehlerhaftigkeit der Sicherheits schaltung anzeigendes Signal auszugeben.

6. Sicherheitsschaltung nach Anspruch 5, dadurch gekennzeichnet, daß die Prüfeinrichtung die Eingänge der Sicherheitsschaltung in regelmäßigen Abständen mit Prüfsignalen einer bestimmten, wesentlich unter der Wirkdauer eines binären Eingangssignals liegenden Dauer beaufschlagt.

7. Mehrheitsentscheidungsmodul, das an mindestens zwei voneinander unabhängige Befehlsgeber (A,B;D,E,F) angeschlossen ist, dadurch gekennzeichnet, daß es mindestens eine Sicherheitsschaltung (7) gemäß einem der vorhergehenden Ansprüche enthält, wobei die Versorgungseingange (3, 4) mindestens eines der Pegelinverter (2a) der Sicherheitsschaltäng mit einem Datensignal (Ak;Dk,Ek,Fk) eines der Befehlsgeber bzw. mit einem komplementären Datensignal (Bk; , , k) eines anderen Befehlsgebers beaufschlagt werden.

8. Mehrheitsentscheidungsmodul nach Anspruch 7, dadurch gekennzeichnet, daß jeder Befehlsgeber ein binäres Statussignal (CA,CB; CD,CE,CF) und das zugehörige Komplementärsignal ausgibt, wobei dieses Statussignal bei ordnungsgemäßem Betrieb des Befehlsgebers den genannten bestimmten logischen Pegel (1) und bei erfaßtem fehlerhaften Betrieb des Befehlsgebers den komplementären Pegel (0) führt und das Statussignal eines Befehlsgebers sowie das zugehörige Komplementärsignal die ersten (3) bzw. zweiten (4) Versorgungseingänge eines anderen Pegelinverters der Sicherheitsschaltung beaufschlagen.

9. Mehrheitsentscheidungsmodul nach Anspruch 8, dadurch gekennzeichnet, daß es mindestens eine zusätzliche Sicherheitsschaltung (10) aufweist, die mindestens einen Pegelinverter (2a) umfaßt, dessen Versorgungseingänge (3, 4) mit von einem ersten Befehlsgeber (D;E;F) ausgegebenen komplementären Datensignalen (Dk, ; Ek, ; Fk, ) beaufschlagt werden, wobei ein Pegelinverter (2c) an seinen ersten (3) und zweiten (4) Versorgungseingängen mit dem vom ersten Befehlsgeber ausgegebenen Statussignal bzw. dem zugehörigen Komplementärsignal beaufschlagt wird und ein Pegelinverter (2d,2e) an seinen zweiten (4) und ersten (3) Versorgungseingangen mit dem von einem zweiten Befehlsgeber ausgegebenen Statussignal bzw. dem zugehörigen Komplementärsignal beaufschlagt wird, derart daß die Datensignale nur dann freigegeben werden, wenn der erste Befehlsgeber ordnungsgemäß arbeitet und der zweite Befehlsgeber einen Fehler aufweist.

10. Mehrheitsentscheidungsmodul nach irgendeinem der Ansprüche 7 bis 9, dadurch gekennzeichnet, daß die ersten (3) und zweiten (4) Versorgungseingänge eines nicht an die Ausgänge eines Befehlsgebers angeschlossenen Pegelinverters den genannten bestimmten logischen Pegel (1) bzw. den zugehörigen komplementären Pegel (0) annehmen.