DE3124082A1

DE3124082A1 - Aktivitaetsueberwachtes fuehlersystem

Info

Publication number: DE3124082A1
Application number: DE19813124082
Authority: DE
Inventors: Douglas Harold Trumbull Conn. Clelford; Richard Dennis 06611 Trumbull Conn. Murphy
Original assignee: United Technologies Corp
Current assignee: Raytheon Technologies Corp
Priority date: 1980-06-26
Filing date: 1981-06-19
Publication date: 1982-03-25
Also published as: DE3124082C2; JPH0551924B2; GB2079466A; AU7215481A; IT8122597A0; IT1137944B; US4337516A; ES503363A0; GB2079466B; FR2488397A1; AU542308B2; ES8204168A1; JPS5741711A; FR2488397B1; CA1164067A

Description

Aktivitätsüberwachtes Fühlersystem

Die Erfindung bezieht sich auf das Erkennen von Fehlern in Fühlern, wie beispielsweise Kreiseln, und betrifft insbesondere eine Fühlerfehlererkennung, bei der die Verwendung von redundanten Fühlern nicht erforderlich ist. ■-.·.-

Viele Regelanlagen arbeiten unter Zuhilfenahme von Fühlern verschiedener Typen. Beispielsweise spricht eine automatische Flugregelanlage für einen Hubschrauber auf Fluglage- und Kurskreisel sowie auf Höhenmesser, Fluglagewendekreisel und Beschleunigungsmesser an, um das Manövrieren des Flugzeuges zu regeln. Die Regelung des Flugzeuges, wenn eine automatische E'lugregelanlage benutzt wird, ist deshalb von den Signalen abhängig, die der Flugregelanlage durch die verschiedenen Fühler (Kreisel, Wendekreisel, Beschleunigungsmesser, usw.) geliefert werden. Wenn ein Fühler ausfällt, kann der Flug des Flugzeuges in unerwünschter Weise gestört werden. In einigen

Fällen kann die Störung abrupt oder heftig sein, und in anderen Fällen kann die Störung allmählich erfolgen. Wenn beispielsweise ein Kurskreisel bei einer bestimmten Einstellung ausfallen würde, während das Flugzeug auf Kurshalten eingestellt ist, würde die Auswirkung erst bemerkt werden, wenn eine beträchtliche Störung (wie beispielsweise eine Windbö) auftritt, die das Flugzeug von seinem Kurs abdrängt, oder erst dann, wenn der Pilot wünscht, den Kurs zu ändern; anderenfalls würde das einzige beobachtbare Ergebnis in einem langsamen Wegdriften des Flugzeuges von seinem gewünschten Kurs bestehen. Andererseits, wenn der Kurskreisel durch Lieferung eines maximalen Ausgangssignals ausfiele, würde das Flugzeug sofort beginnen, in entgegengesetzter Richtung zu manövrieren, da die automatische Flugregelung versuchen würde, den scheinbaren Kursfehler zu korrigieren.

Irgendein Fühlerausfall in der automatischen Flugregelanlage eines Flugzeuges erfordert, daß der Pilot auf die Änderung in der Flugzeugmanövrierung reagiert und jedwede einen Fehler anzeigenden Alarmvorrichtungen überwacht, um das fehlerhafte System abzuschalten. In vielei Fällen kann das bloße Abschalten des fehlerhaften Systems eine umgekehrte Manövrierauswirkung zur Folge haben (da ein großer Fehler in einer Richtung sofort in einen Nullfehler umgewandelt wird od.dgl.). Ebenso, wenn der Pilot auf die Störung reagiert, indem er über die ihm zur Verfügung stehenden Steuervorrichtungen einen Gegenbefehl eingibt, wird das Abschalten des fehlerhaften Systems einen unerwünschten Pilotenbefehl unkondensiert lassen, was eine weitere Störung verursacht.

Zu bestimmten Zeiten, wie beispielsweise im Schwebeflug einige Meter über dem Ozean, können solche Ausfälle in einer Flugzeugregelanlage katastrophal sein. Beispielsweise könnte der Ausfall eines Radarhöhenmessers in einem solchen Fall bewir-

ken, daß das Flugzeug tatsächlich die Wasseroberfläche berührt.

Zur Überwindung von Schwierigkeiten mit solchen Fühlern ist es bekannt, ein Paar Fühler identischen Typs (redundante Fühler) zu verwenden, deren Ausgangssignale miteinander verglichen werden, wobei ein Ausfall oder ein Fehler in dem Fall angezeigt wird, in welchem die Ausgangssignale der beiden Fühler nicht mehr innerhalb einer gegenseitigen Toleranzgrenze liegen. Das erfordert jedoch nicht nur zusätzliche Fühler, sondern auch zusätzliche Signalverarbeitungskanäle für jeden der Fühler. Weiter gibt es Bedingungen, unter denen zwei Fühler desselben Typs vermutlich gleichzeitig ausfallen, wodurch dasselbe fehlerhafte Ausgangssignal geliefert wird, so daß sie innerhalb der vorgeschriebenen gegenseitigen Toleranz liegen und deshalb der Vergleich keine Angabe über den Ausfall eines der Fühler liefert. Ein solcher Fall kann vorliegen, wenn die Staurohr-Schutzhüllen nicht vor dem Beginn des Fluges von den beiden Staurohren eines Flugzeuges entfernt werden: beide Flug- oder Luftgeschwindigkeitsfühler würden dieselbe Flug- oder Luftgeschwindigkeit (von null) anzeigen, und es würde kein Fehler angezeigt werden.

Bei dem Versuch, die Hardware zu verringern, die durch den redundanten Vergleich erforderlich wird, und einige der Nachteile von redundanten Vergleichen zu beseitigen, ist bereits eine Art von Fühleraktivitätsüberwachung benutzt worden. Diese bekannte Aktivitätsüberwachung benutzt die Ableitung oder den Differentialquotienten eines Fühlerausgangssignals und überprüft es, um festzustellen, ob es ein gewisses Ausmaß an Änderung aufweist. In dem Fall, in welchem die zeitliche Änderung oder die Änderungsgeschwindigkeit über der Zeit des Fühlerausgangssignals in bezug auf das zulässige Flugzeugmanöver in der Achse, die der Fühler überwacht, übermäßig groß wird,

kann ein Fehler angezeigt werden. Es wird jedoch jedwedes unerwünschte oder störende Rauschen in dem Fühlerausgangssignal aufgrund der Differenzierung des Fühlerausgangssignals verstärkt, was zu verwirrenden Fehleranzeigen aufgrund des Rauschens führt (d.h. Anzeigen einer übergroßen Änderungsgeschwindigkeit, wenn in Wirklichkeit keine vorhanden ist). Aus diesem Grund muß die Toleranz oder Empfindlichkeit eines solchen Fehlerdetektors beträchtlich verringert werden, sogar bis zu dem Punkt, wo richtige Fehler geringerer Größe überhaupt nicht mehr erkennbar sind. Da viele Fühler bei normalen zulässigen Manövern (wie beispielsweise dem Horizontalflug bei konstantem Kurs und konstanter Geschwindigkeit an einem ruhigen Tag) betreibbar sind, können solche Detektoren nicht überwacht werden _r um das Fehlen eines Minimums an Aktivität als eine Fehleranzeige festzustellen, da eine Nullanzeige über relativ lange Zeitspannen zulässig ist.

Aufgabe der Erfindung ist es, die üblichen Ausfallarten von Fühlern zu erkennen, die Fühlerausfallerkennung ohne die Verwendung von redundanten Fühlern durchzuführen und auch Fühlerausfälle zu erkennen, die zu einer zu geringen Änderung in ihren AusgangsSignalen führen.

Gemäß der Erfindung wird das richtige Arbeiten von Fühlern festgestellt, indem die Änderungsgeschwindigkeit oder die zeitliche Änderung in dem Fühlerausgangssignal überwacht wird, und zwar iiowohl hinsichtlich Uberänderungsgeschwindigkeiten als auch hinsichtlich unzulänglicher Änderungsgeschwindigkeiten, wenn anderweitig festgestellt wird, daß sich das Fühlerausgangssignal ändern sollte. Weiter wird gemäß der Erfindung ein Fühlergrundoder -rohausgangssignal mit einem änderungsgeschwindigkeitsbegrenzten, d.h. in der zeitlichen Änderung begrenzten Fühlerausgangssignal verglichen, und, wenn beide nicht innerhalb einer gemeinsamen Toleranzgrenze sind, wird eine Überfehler-

änderungsgeschwindigkeit angezeigt. Weiter wird gemäß der Erfindung die Aktivität eines bezogenen Fühlers als eine Anzeige darüber benutzt, daß der überwachte Fühler ein sich änderndes Ausgangssignal haben sollte, und, wenn das Ausgangssignal des überwachten Fühlers nicht wenigstens eine minimale Änderungsgeschwindigkeit hat, wird ein Nullfehler angezeigt.

Die Erfindung wird sowohl als Analog- als auch als Digitälausführungsform beschrieben, wobei die Digitalausführungsform vollständig implementiert worden ist und bevorzugt wird.

Die Erfindung kann ohne weiteres entweder in Analog- oder in Digitalsystemen implementiert werden, indem Einrichtungen und Verfahren, die im Rahmen fachmännischen Könnens liegen, unter Berücksichtigung der folgenden Beschreibung benutzt werden.

Mehrere Ausführungsbeispiele der Erfindung werden im folgenden unter Bezugnahme auf die beigefügten Zeichnungen näher beschrieben. Es zeigt

Fig. 1 ein vereinfachtes Blockschaltbild einer

Analogausführungsform der Erfindung,

Fig. 2 ein vereinfachtes logisches Flußdiagramm

einer Digitalausführungsform des Nullfehlererkennungsteils der Erfindung, und

Fig. 3 ein vereinfachtes logisches Flußdiagramm

einer Digitalausführungsform des Überänderungsgeschwindigkeit sfehlererkennungsteils der Erfindung.

Gemäß Fig. 1 wird die Aktivität eines Fühlers 10 zur Fehlererkennung durch einen Nullfehlererkennungstexl 11 (in der

oberen Hälfte von Fig. 1) und durch einen Überänderungsgeschwindigkeitsfehlererkennungsteil 12 (in der unteren Hälfte von Fig. 1) überwacht, wobei jede von ihnen eine bistabile Fehleranzeigevorrichtung 13 über eine ODER-Schaltung 14 setzen kann. Das Ausgangssignal der bistabilen Vorrichtung 13 ist ein Fehlersignal auf einer Leitung 15.

Der Betrieb des Aktivitätsüberwachungssystems von Fig. 1 kann durch ein Signal auf einer Leitung 16 rückgesetzt oder initialisiert werden, das durch eine ODER-Schaltung 17 erzeugt wird, und zwar entweder auf ein manuell aktiviertes Pilotenrücksetzsignal auf einer Leitung 18 hin oder auf ein Initialisierungssignal der automatischen Flugregelanlage auf einer Leitung 19 hin, das typischerweise erscheinen wird, wenn eine automatische Flugregelanlage zuerst eingeschaltet wird. Die Verwendung des Rücksetz-/Initialisierungssignals auf der Leitung 16 ist im folgenden beschrieben.

Der Nullfehlererkennungsteil 11 besteht hauptsächlich aus einem Zeitgeber 20, der ein Nullfehlersignal auf einer Leitung 22 erzeugen wird, wenn ihm gestattet wird, seine Zeitsperre zu erreichen, bevor er durch einen Fühleraktivitätsdetektor 24 rückgesetzt wird, was im folgenden noch näher beschrieben ist. Dem Zeitgeber 20 wird jedoch zu starten nur auf ein Signal 26 aus einer bistabilen Vorrichtung 27 hin gestattet, die durch ein Aktivitätssignal eines bezogenen Fühlers auf einer Leitung 28 aus einem Fenstervergleicher 29 gesetzt wird, der durch eine Leitung 30 mit einem bezogenen Fühler 31 verbunden ist. Mit "bezogener Fühler" ist gemeint, daß der Fühler eine Beziehung zu dem Parameter hat, der durch den E'ühler 10 abgetastet wird, den die hier beschriebene Schaltungsanordnung überwacht. Beispielsweise kann der Fühler 10 ein Flugzeugkurskreisel und der bezogene Fühler 31 ein Gierwende- oder Giergeschwindigkeitskreisel sein; der Füh-

ler 10 kann ein Flug- oder Luftgeschwindigkeitsfühler und der bezogene Fühler 31 der Nickwendekreisel eines Hubschraubers sein; der Fühler 10 kann ein Höhenmesser sein, in welchem Fall der bezogene Fühler 31 entweder ein Vertikalbeschleuni-gungsmesser oder ein Steiggeschwindigkeitsanzeiger sein kann; oder der Fühler 10 kann entweder ein Nick- oder Rollagekreisel und der bezogene Fühler 31 entsprechend entweder ein Nick- oder ein Rollwendekreisel sein. Ebenso können in Fällen, in denen es sich nicht um die Regelung von Hubschraubern oder anderen Flugzeugen handelt, andere Kombinationen von Fühlern die Aktivitätsüberwachung nach der Erfindung benutzen. Ein Beispiel könnte sein, daß der Fühler 10 ein Ofenbrennstoffzufuhranzeiger ist. Es sei angemerkt, daß der besondere Fühler und der bezogene Fühler für die Erfindung nicht wesentlich sind, mit Ausnahme des Ausmaßes, in dem die verschiedenen Grenzen und Einzelheiten solcher Fühler gemäß fachmännischen Könnenes und unter Berücksichtigung der hier beschriebenen Erfindung benutzt werden sollten.

Wenn der bezogene Fühler 31 ein Ausgangssignal auf der Leitung 30 liefert, von dem der Fenstervergleicher 29 feststellt, daß es über einer gewissen Mindestgröße entweder in positiver oder negativer Richtung ist, was durch die positive und die negative Bezugsspannung festgelegt wird, die in dem Fenstervergleicher 29 benutzt wird, wird das Signal auf der Leitung 28 die bistabile Vorrichtung 27 setzen, so daß das Signal auf der Leitung 26 den Zeitgeber freigibt, um mit der Zeitsteuerung zu beginnen. Wenn nicht der Zeitgeber 20 vor seiner Zeitsperre rückgesetzt wird, wird der Zeitgeber ein Zeitsperresignal, das hier als Nullfehlersignal bezeichnet wird, an die Leitung 22 abgeben, das bewirken wird, daß die ODER-Schaltung 14 die bistabile Vorrichtung 13 setzt und das Fehlersignal über die Leitung 15 abgibt. Die bistabile Vorrichtung 13 wird am Anfang durch das Rücksetz-/

Initialisierungssignal auf der Leitung 16 in den rückgesetzten Zustand gebracht. Der Zeitgeber 20 wird durch ein Reinitialisierungssignal auf einer Leitung 32 rückgesetzt,' das durch eine ODER-Schaltung 34 auf das Rücksetz-/initialisierungssignal auf der Leitung 16 hin oder auf ein Signal auf einer Leitung 36 hin, welches angibt, daß das Flugzeug am Boden ist, oder auf ein Aktivitätssignal auf einer Leitung 38 hin erzeugt wird, das durch den Aktivitätsdetektor 24 erzeugt wird. Das Reinitialisierungssignal auf der Leitung 32 wird benutzt, um einen Schalter 40 zu offenen (beispielsweise um das Leiten eines Feldeffekttransistors zu blockieren), der benutzt wird, um das Fühlerausgangssignal über eine Leitung 42 an eine Folge-/Speicherschaltung 44 anzulegen. Anschliessend wird die Folge-/Speicherschaltung 44 weiter über ihre Ausgangsleitung 46 ein Signal abgeben, das die Größe des Fühlerausgangssignals auf der Leitung 42 in dem Augenblick anzeigt, in welchem das Reinitialisierungssignal auf der Leitung 32 erschien. Das Signal auf der Leitung 46 wird mit dem augenblicklichen Fühlerausgangssignäl auf der Leitung 42 in einem Summierpunkt 48 verglichen, welcher ein Signal über die Differenz zwischen diesen beiden Signalen über eine Leitung 50 an einen Fenstervergleicher 52 abgibt. Der Fenstervergleicher 52 vergleicht die durch das Signal auf der Leitung 50 angezeigte Differenz mit Plus- und Minusbezugssignalen, um festzustellen, ob die Differenz eine gewisse vorgewählte Schwellenwertgröße übersteigt; wenn das der Fall ist_r gibt der Fenstervergleicher 52 das Aktivitätssignal auf der Leitung 38 ab, das durch die ODER-Schaltung 34 hindurchgeht und das Reinitialisierungssignal auf der Leitung 32 zum Rücksetzen des Zeitgebers erzeugt. Wenn deshalb das augenblickliche Ausgangssignal des Fühlers um eine gewisse vorbestimmte Schwellenwertgröße von dem Ausgangssignal abweicht, das dieser hatte, als der Zeitgeber beim nächst vorangehendenmal rückgesetzt wurde, bevor dem Zeitgeber gestattet wird, die Zeit-

.".V- '· ' -' -: 3Τ2Λ082

sperre zu erreichen, wird es kein Nullfehlersignal auf der Leitung 22 geben. Wenn aber der Fenstervergleicher, 52 keine Schwellenwertgröße der Änderung in dem Fühlerausgangssignal erkennt, nachdem der Zeitgeber rückgesetzt worden ist, und bevor der Zeitgeber die Zeitsperre erreicht, dann wird ein Nullfehlersignal auf der Leitung 22 erzeugt.

Ein wesentlicher Aspekt dieses Teils der Erfindung besteht darin, daß der Fühler TO auf ein gewisses Mindestausmaß an Aktivität hin getestet werden kann, obgleich er im normalen Betrieb kein nennenswertes Ausgangssignal über lange Zeitspannen zu haben braucht, und zwar aufgrund der Tatsache, daß die Aktivität des bezogenen Fühlers 31 überwacht wird, um festzustellen, wann der Fühler 10 ein gewisses meßbares Ausgangssignal haben sollte. Somit ermöglicht die Verwendung eines bezogenen, aber nicht redundanten Fühlers zum Feststellen, wann ein besonderer Fühler eine Aktivität haben sollte, die wert ist, überwacht zu werden, die Aktivitätsüberwachung eines Fühlers, um festzustellen, daß er in einem Nullausgängssignalzustand oder in einem Zustand keines Ausgangssignals (wie beispielsweise dem Ausfall einer Stromversorgung eines Kreisels) ausgefallen sein kann.

Das Ausgangssignal des Fühlers 10 auf der Leitung 42 wird außerdem auf eine Änderung mit einer übergroßen Geschwindigkeit hin überwacht, die beispielsweise bei irgendwelchen Endausschlagsausfallen auftreten kann. Wenn beispielsweise der Fühler 10 aus einem Positionsmeßpotentiometer besteht, das zwischen divergente Potentiale geschaltet ist und einen Schleifer hat, der auf das überwachte Element hin positioniert wird, wird der Ausfall eines dieser Potentiale bewirken, daß der Schleifer schnell im wesentlichen das andere Potential annimmt. Das würde dieselbe Auswirkung haben, wie wenn der Schleifer augenblicklich aus seiner gegenwärtigen

Position in eine der Endstellungen des Potentiometers gebracht werden würde. Der Überänderungsgeschwindigkeitsfehlerdetektorteil nach der Erfindung wird jedoch außerdem Änderungsgeschwindigkeiten testen, die einfach über denjenigen liegen, welche zulässig sind, selbst dann, wenn diese Überänderungsgeschwindigkeiten nicht die Folge eines Endausschlagsausfalls sind.

Das Fühlerausgangssignal auf der Leitung 42 wird an einen Differenzierer 56 (bezeichnet mit dem Laplace-Operator "s") angelegt, damit dieser ein Signal auf einer Leitung 58 liefert, das eine Funktion der Änderungsgeschwindigkeit des Fühlerausgangssignals auf der Leitung 42 ist. Dieses Signal wird an einen Begrenzer 60 angelegt, bei dem es sich einfach um einen Verstärker handeln kann, der sowohl eine positive als auch eine negative Klemmschaltung an seinem Ausgang hat, um ein änderungsgeschwindigkeitsbegrenztes Signal auf einer Leitung 62 zu liefern, das an einen Integrierer 64 angelegt wird. Bei dem Integrierer 64 ist es möglich, einen Anfangswert auf das Signal auf der Leitung 62 hin mit Hilfe des Rücksetz-/Initialisierungssignals auf der Leitung 16 zu setzen, der einem Initialisierungsschalter 66 innerhalb des Integrierers 64 zugeführt wird. Wenn beispielsweise der Integrierer 64 ein Verstärker mit hoher Verstärkung ist, der eine kapazitive Rückkopplung hat, so kann er dadurch initialisiert werden, daß auch eine Widerstandsrückkopplung vorgesehen wird, wobei eine elektronische Umschaltung (beispielsweise durch ein Paar komplementäre Transistoren) bewirkt, daß der Rückkopplungswiderstand mit dem Eingang verbunden wird, wenn das Rücksetz-/Initialisierungssignal auf der Leitung 16 vorhanden ist, oder stattdessen bewirkt, daß die kapazitive Rückkopplung mit dem Eingang verbunden wird, wenn das Rücksetz-/Initialisierungssignal nicht auf der Leitung 16 vorhanden ist. Immer dann, wenn der Betrieb mit Hilfe des Rücksetz-/Initialisierungssignals auf der Leitung 16

wiederhergestellt wird, wird daher bewirkt, daß der Anfangsausgangswert des Integrierer 64 auf den Wert des Signals auf der Leitung 62 ist. Wenn aber das Rücksetz-Vlnitialisierungssignal verschwindet, beginnt der Integrierer zu integrieren, und zwar so, wie es durch die Größe und die Polarität des Signals auf der Leitung 62 festgelegt ist. Das Ausgangssignal des Integrierers 64 auf einer Leitung 70 ist eine änderungsgeschwindigkeitsbegrenzte Darstellung des augenblicklichen Fühlerausgangssignals auf der Leitung 42. Da das Signal in dem Differenzierer 56 zuerst differenziert und dann durch den Integrierer 64 integriert wird, wird es vollständig wiederhergestellt, ausgenommen in dem Ausmaß, in welchem die Änderungsgeschwindigkeit des Signals die durch den Begrenzer 60 festgelegten Grenzen überschritten hat. Wenn daher das Signal auf der Leitung 70 von dem Signal auf der Leitung 42 abweicht, so wird das der Fall sein, weil das Signal auf der Leitung 42 sich mit einer Geschwindigkeit ändert, die die vorbestimmte Änderungsgeschwindigkeit übersteigt, die durch den Begrenzer 60 für die zu erfüllende besondere Funktion festgelegt worden ist. Wenn beispielsweise der Fühler 10 ein Flugzeugkurskreisel ist, könnte sich der Kurs des Flugzeuges mit einer Geschwindigkeit in der Größenordnung von 90° pro Sekunde ändern. Wenn sie sich schneller ändert als mit z.B.einer solchen vorbestimmten zulässigen Geschwindigkeit, so würde das Signal auf der Leitung 58 eine solche Größe haben, daß es durch den Begrenzer 60 begrenzt würde, und deshalb würde das Ausgangssignal des Integrierers 64 augenblicklich von der Größe des Signals auf der Leitung 42 abweichen. Diese Differenz wird durch einen Summierpunkt 72 erkannt, der ein Signal liefert, das die Differenz auf einer Leitung 74 einem Fenstervergleicher 76 zuführt, der die Größe dieses Signals mit positiven und negativen Bezugsspannungen vergleicht, die eine vorbestimmte Schwellenwertdifferenz angeben, welche so festgelegt worden ist, daß sie einen überänderungsgeschwin-

digkeitsfehler angibt. Wenn die Änderungsgeschwindigkeit des Fühlerausgangssignals auf der Leitung 42 zu groß ist, wird das Signal auf der Leitung 74 eine Differenz anzeigen, die bewirkt, daß der Fenstervergleicher ein Uberänderungsgeschwindigkeitsfehlersignal auf einer Leitung 78 liefert, das durch die ODER-Schaltung 14 hindurchgeht, um die bistabile Vorrichtung 13 zu setzen und das Fehlersignal auf der Leitung 15 zu erzeugen.

Bei Bedarf kann das änderungsgeschwindigkeitsbegrenzte Ausgangssignal auf der Leitung 70 vorzugsweise als ein Ausgangssignal des Fühlers 10 zum Steuern der Funktion einer Flugregelanlage benutzt werden. Das ergibt den weiteren Vorteil, daß, wenn bei dem Fühler 10 ein Endausschlagsausfall auftritt, so daß es eine abrupte Änderung in der Größe des Signals auf der Leitung 42 gibt, das Signal auf der Leitung 70 nicht ebenso abrupt sein wird, sondern sich nur mit der Änderungsgeschwindigkeit ändern wird, die durch die Größe der Grenze in dem Begrenzer 60 festgelegt ist. Während der Zeitspanne, die benötigt wird, um den Endausschlagsfehler abzuführen und auf diesen zu reagieren, wird deshalb die Funktion, die durch den Fühler gesteuert wird, nicht annähernd so unterbrochen, wie wenn das änderungsgeschwindigkeitsbegrenzte Ausgangssignal auf der Leitung 70 zum Steuern dieser Funktion benutzt würde. Das ist der Verwendung von Signalen gleichwertig, die in einigen Fällen anstiegsgeschwindigkeitsbegrenzt werden, um sicherzustellen, daß sie zulässige Werte nicht überschreiten.

Die Art der Implementierung der in Fig. 1 dargestellten Schaltungsanordnung kann bei Verwendung verschiedener bekannter Techniken und Einrichtungen sich beträchtlich ändern. Beispielsweise kann die Funktion des Zeitgeber 20 mit Hilfe eines Integrators implementiert werden, der auf eine konstante Eingangsspannung anspricht, wenn das Spannungseingangssignal

an ihm anliegt, wobei diese Spannung nur auf das Schließen eines Schalters hin angelegt wird, wenn das Aktivitätssignal des bezogenen Fühlers auf der Leitung 28 vorhanden ist. Die Zeitsperre des Zeitgebers wird in einem solchen Fall durch dxe Tatsache festgelegt, daß das Integratorausgangssignal eine über der Zeit linear ansteigende Spannung ist. Wenn der Integrator einen Ausgangswert von einem Volt pro Sekunde für ein Eingangssignal von einem Volt .hat, dann könnte ein Signal von zehn Volt davon subtrahiert werden und das Ergebnis könnte getestet werden, um festzustellen, ob es negativ ist, indem es einfach durch einen einseitigen oder unilateralen Verstärker hindurchgeleitet wird. Wenn es negativ wäre, würde das bedeuten, daß der Zeitgeber die Zeitsperre erreicht hat. Die Vergleiche, die durch die Fenstervergleicher 29, 52, 76 ausgeführt werden, könnten stattdessen dadurch ausgeführt werden, daß der Absolutwert des zu testenden Signals genommen wird, ein Bezugswert von ihm abgezogen wird und das Ergebnis durch eine Schaltung hindurchgeleitet wird, um die Polarität des Ergebnisses zu bestimmen. Die Absolutwertschaltung kann einfach ein Paar komplementäre Verstärker enthalten, von denen jeder einen einseitigen Ausgang hat, so daß der eine oder der andere Verstärker ein Ausgangssignal mit singularer Polarität in Abhängigkeit von der Polarität des Eingangssignals liefern wird» Der Begrenzer 60 kann einfach einen Verstärker enthalten, dessen Ausgang sowohl in der negativen als auch in der positiven Richtung geklemmt ist. Der Integrator 56 kann einfach die Form eines RC-Integriergliedes oder die irgendeiner bekannten aktiven Differenzierschaltung annehmen.

Die vorstehende Beschreibung bezieht sich auf eine als Beispiel gewählte Analogausführungsform der Erfindung. Diß Funktionen, die in der Schaltungsanordnung von Fig. 1 ausgeführt werden, können stattdessen durch Einrichtungen ausge-

führt werden, die einen Digitalcomputer enthalten. Ein geeigneter Computer ist in einer weiteren Patentanmeldung der Anmelderin beschrieben, für die die Priorität der US-Patentanmeldung, Serial No. 928 583, vom 31. August 1978 in Anspruch genommen worden ist. Gemäß dieser Anmeldung arbeiten zwei gleiche Computer zusammen, und jeder ist in der Lage festzustellen, wann zwischen ihnen keine Übereinstimmung besteht, und, wenn der andere Computer keinen Fehler zugibt, kann ein Computer beide sperren. Die Computer sind in der Lage, redundante Fühler zu vergleichen, und, wenn sie nicht übereinstimmen, ein drittes Eingangssignal zu liefern, das aus einem anderen Fühler gewonnen wird, um festzustellen, welcher Fühler ausgefallen ist. Dieser Vorgang wird jedoch auf gewisse Fühler allein beschränkt die Nick- und Rollwendekreisel werden mit Nick- bzw. Rollgeschwindigkeiten verglichen, welche aus dem Vertikalkreisel gewonnen werden). Die hier beschriebene Erfindung kann jedoch in diesen Einrichtungen benutzt werden, insbesondere in Verbindung mit Fühlern, für die sich eine Alternative nicht ohne weiteres mathematisch gewinnen läßt.

Fig. 2 zeigt ein vereinfachtes exemplarisches logisches Flußdiagramm, das den Nullfehlererkennungsteil ähnlich dem Teil 11 in Fig. 1 entspricht. Die Routine wird über einen NuIlfehlereingangspunkt 80 erreicht und in einem ersten Test werden ein Funktionsausfall-Flag sowie ein Pilotübersteuerungssignal (die weiter unten ausführlicher beschrieben sind) geprüft, um festzustellen, ob die besondere Funktion, die durch den Fühler gesteuert wird, welcher aktivitätsüberwacht wird, früher bereits als ausgefallen ermittelt worden ist (entweder infolge dieses Fühlers oder infolge eines sich auf die Funktion beziehenden anderen Fühlers) und ob der Pilot entschieden hat oder nicht, sie zu übersteuern, um zu sehen, ob die Funktion wiederhergestellt werden kann. Dadurch wird

einfach vermieden, daß die Routine ausgeführt wird, wenn die RouLine aufgrund der Abschaltung der besonderen Funktion, auf die sich der Fühler bezieht, unnötig ist. Wenn die Funktion nicht ausgefallen war oder wenn der Pilot den Ausfall der Funktion übersteuert, wird ein negatives Ergebnis des Tests 82 zu einem Test 83 führen, in welchem ermittelt wird, ob sich das Flugzeug am Boden befindet. Dns cf]eicht dom Flugzeug-am-Boden-Signal auf der Leitung 36 von Fig. 1. Wenn das Flugzeug am Boden ist, dann wird die Aktivitätsüberwachung rückgesetzt oder in im folgenden beschriebener Weise wieder eingeleitet. Wenn aber das Flugzeug nicht am Boden ist, wird ein negatives Ergebnis aus dem Test 83 zu einem Test 81 führen, in welchem festgestellt wird, ob der Aktivitätstest des bezogenen Fühlers früher bereits zum Erfolg geführt hat. Wenn dem so ist, dann wird der Test 88 (im folgenden näher beschrieben) ausgeführt. Wenn nicht, wird das negative Ergebnis des Tests 81 zu einem Test 84 führen, in welchem die Größe des Ausgangssignals eines bezogenen Fühlers mit einer Bezugsgröße verglichen wird, und zwar auf dieselbe Weise, auf die der Fenstervergleicher 29 in Fig. 1 feststellt, ob der bezogene Fühler 31 ein Ausgangssignal auf einer Leitung 30 hat, das größer als ein vorbestimmter Schwellenwert ist. Wenn der bezogene Fühler ein Ausgangssignal ausreichender Größe liefert, wird ein bejahendes Ergebnis des Tests 84 zu einem Schritt 85 führen, in welchem ein Zähler für die Aktivität des bezogenen Fühlers von einem voreingestellten Bezugswert aus dekrementiert wird. Der Zähler ist ein "Durchlauf zähler" üblicher Art. Wenn beispielsweise dieser Zähler am Anfang auf fünf eingestellt wird, wird jedesmal dann, wenn der Test 84 ein bejahendes Ergebnis liefert, der Zähler dekrementiert, bis er null erreicht. Dann wird in einem Test der Zähler geprüft, um festzustellen, ob sein Zählerstand gleich null ist; wenn das der Fall ist, dann wird die Aktivitätsüberwachung des bewußten Fühlers (wie des Fühlers 10

— lö-

in Fig. D ^auf Nullfehler hin durchgeführt. Wenn dem aber nicht so ist, dann wird der übrige Teil der Nullabfühlung vorläufig umgarrSfgii-i-LBas gewährleistet, daß der bezogene Fühler eine" gewisse Aktivität über fünf Betriebszyklen (oder jede andere Anzahl von Betriebszyklen ₍ die als Bezugsgröße benutzt a4xd) angezeigfeJiSfei B§§ gibt eine gewisse Gewähr dafür, daß der ~sieh-4in^Te^st beiindliehe Fühler (wie der Fühler 10) eine gewisse Aktivl±lF~Rärb~iiÄd^deshalb auf einen Nullfehler hin getesLet werden kannv Daher wird ein bejahendes Ergebnis des Tests 86 den Fühlertest in anschließenden Durchläufen über den Schritt 81 (SHJxSr'= 0) freigeben.

Wenn die Tests und die Schritte 81-86 anzeigen, daß die Aktivität des Fühlers 10 überwacht werden kann, dann wird in einem Test 88 festgestellt, ob der gegenwärtige Wert des Fühlerausgangssignals (FÜHLER N) innerhalb einer vorgeschriebenen Toleranz des vorangehenden Wertes des Fühlerausgangssignals (FÜHLER M) liegt. Wenn dem so ist, wird ein bejahendes Ergebnis des Tests 88 bewirken, daß in einem Schritt 89 ein Fühlernullzähler inkrementiert wird. Bei diesem handelt es sich ebenfalls um einen Durchlaufzähler üblicher Art, der gewährleistet, daß ein Fehler mehrere Zyklen nacheinander abgefühlt worden ist, bevor der Fehler erkannt wird. Dadurch werden lästige Fehleranzeigen infelfe. von Fehlzuständen, die schnell vorübergehen, vermieden. Dann wird die Einstellung des Nullzählers in einem Schritt 90 getestet, um festzustellen, ob er auf einen Zählerstand erhöht worden ist, der höher ist als eine voreingestellte Durchlaufzahl (wie beispielsweise in der Größenordnung von drei oder fünf Zyklen). Wenn mehrmals null nacheinander festgestellt worden ist, so daß die Einstellung des Fühlernullzählers die vorbestimmte Durchlaufzahl übersteigt, wird ein bejahendes Ergebnis des Tests 90 zu Schritten 91-94 führen, in welchen: eine Nullfehlercodegruppe gesetzt wird; die Nullfehlercodagruppe in einem nicht-

_ 312^082

flüchtigen Teil eines Speichers gespeichert wir^iwenn ein System, des Typs benutzt wird, wie es in der oben erwähnten weiteren Patentanmeldung offenbart ist) ,-die Tatesaöhe, daß die-' bezogene Punktion ausgefallen ist, registriert wird, jLnde|it? ein Funktionsausfall-Flag gesetzt wirdT'Ünd die Ta^taefie des Funktionsausfalls dem Piloten angezjg^^v^rdif^idit "Funktionsäusfall" ist,■ bei spiel swexj3eT7~dlur Kurshalte funktion der Flugregelanläge gemeint, die benutzt wird, wenn das !Flugzeug auf Autopilot geschaTfcei^lgt. Diese Funktion geht verloren, wenn an dem Kurskreisel festgestellt wird, daß er einen Nullfehler hat. Der Pilot ist interessiert daran, ob er die Funktion zur Verfügung hat oder nicht, statt daran interessiert zu sein, welches besondere Bauteil ausgefallen ist. Das Wartungspersonal ist jedoch daran interessiert, welches besondere Bauteil ausgefallen ist, und deshalb wird die Nullfehiercodegruppe für den besonderen Fühler gesetzt und in dem nichtflüchtigen Speicher gespeichert, um sicherzustellen, daß dieser Faktor dem Wartungspersonal bekannt wird„ wenn das Flugzeug zu Reparaturzwecken zurückkehrt. Das Funktionsausfall-Flag, das in dem Schritt 93 gesetzt wird, ist das Flag, das in dem Test 82 getestet wird, wie oben beschrieben. Das Funktionsausfall-Flag, das sich auf einen besonderen Fühler bezieht, kann tatsächlich als Ergebnis eines Fehlers in einem bezogenen oder anderen Teil des Systems gesetzt worden sein. So könnte die Kurshaltefunktion wegen des Ausfalls einer Stromversorgung verlorengehen, die in dem Kurshalteteil der Flugregelanlage benutzt wird. Das würde ebenfalls als das gleiche Funktionsausfall-Flag wie das, das in dem Schritt gesetzt und in dem Test 82 getestet werden kann,gesetzt werden.

In dem Schritt 95 wird der Fühlernullzähler (inkrementiert in dem Schritt 89 und getestet in dem Test 90) rückgesetzt, so daß im Anschluß an diesen Ausfall er keinen Zählerstand während der gesamten Anzahl an Durchlaufzyklen haben wird, bevor

°124082

der Fehler angezeigt wird, und in dem Schritt 96 wird der Zähler für die Aktivität des bezogenen Fühlers auf seinen Bezugswert rückgesetzt/ so daß er ab dem vollen Bezugswert (beispielsweise fünf Zyklen) zu dekrementieren beginnen wird, nachdem der Betrieb im Anschluß an den gegenwärtigen Fehler wiederhergestellt ist. Daran anschließend wird diese Routine die Rückkehr zu anderen Teilen eines Computerprogramms über einen Rückkehrpunkt 97 bewirken.

Zu Zeiten, während denen keine Aktivität in der bezogenen Fluglage des Flugzeuges (oder einer anderen bezogenen Funktion in Implementierungen der Erfindung, die nicht in einem Flugzeug vorgesehen sind) gibt, wie wenn beispielsweise das Flugzeug am Boden ist, was im Test 83 angezeigt wird, oder wenn ein bezogener Fühler ein unsignifikantes Ausgangssignal liefert, das in dem Test 84 ermittelt wird, wird der Zähler für die Aktivität des bezogenen Fühlers in einem Schritt 98 auf den Bezugswert eingestellt. Selbst dann, wenn es eine gewisse Aktivität aus dem bezogenen Fühler gibt, so daß der Zähler einmal oder zweimal gezählt haben kann, wird daher in jedem Zyklus, in welchem die Aktivität unter die verlangte Größe abfällt, bevor die Bezugsanzahlen von Zyklen durchlaufen sind,der Aktivitätszähler auf den Bezugswert rückgesetzt, so daß die Zählung anschließend erneut beginnen muß. Außerdem wird in einem solchen Fall der übrige Teil des Programms von dem Schritt 85 bis zum Schritt 96 der Routine von Fig. 2 umgangen. Der Fühlernullzähler wird aber in einem Schritt 99 rückgesetzt, und der Fühlerausgangswert wird in einem Schritt 100 auf den neuesten Stand gebracht.

In Fällen, in denen der Zähler für die Aktivität des bezogenen Fühlers anzeigt, daß der bezogene Fühler (31, Fig. 1) eine signifikante Aktivität über einer geforderten Anzahl von Zyklen hatte, so daß der Fühler (10, Fig. 1) aktivitätsüber-

312AQ82

wacht werden kann, um ihn auf einen Nullfehler hin zu testen, wird, wenn der Test 88 negativ ausgeht (weil zum Beispiel der Fühler ausreichend aktiv ist) , aufgrund der Tatsache, daß der neue Wert des Fühlerausgangssignals von dem alten Wert des Fühlerausgangssignals um mehr als die vorgeschriebene Toleranz verschieden ist, der übrige Teil des Nullfehlerprogramms (Schritte 89-96) umgangen, der Zähler für die Aktivität des bezogenen Fühlers wird auf den Bezugswert in dem Schritt 98 rückgesetzt, der Fühlernullzähler wird in dem Schritt 99 rückgesetzt und der Fühlerausgangswert wird in dem Schritt 100 auf den neuesten Stand gebracht, wie oben beschrieben. In jedem Fall wird jedoch, wenn eine Null in dem Schritt 88 festgestellt wird, weil der neue Wert des Fühlerausgangssignals innerhalb der Toleranz des alten Wertes des Fühlersausgangssignals liegt, der Fühlernullzähler in dem Schritt 89 inkrementiert und in dem Schritt 90 getestet. Während der ersten Ausfälle wird der Test 90 negativ sein, weil mehrere Nullen nacheinander abgefühlt werden müssen, bevor sie als ein Fehler erkannt werden, wie oben beschrieben. In einem solchen Fall erfolgt kein Auf-den-neuesten-Stand-Bringen, und die Routine wird an dem Rückkehrpunkt 97 verlassen.

Wenn die Nullfehlererkennung auf digitale Weise, wie sie in Fig. 2 angegeben ist, mit der Analoghardware verglichen wird, die in Fig. 1 gezeigt ist, so ist der Test 83 der Rücksetzaktivität des Flugzeug-am-Boden-Signals auf der Leitung 36 (Fig. 1) äquivalent. Der Test 84 ist dem Fenstervergleicher 29 (Fig. 1) äquivalent. Der Test 88 ist dem Fenstervergleicher 52 (Fig. 1)äquivalent, und der Schritt 89 sowie der Test 90 sind der Zeitsperre des Zeitgebers 20 (Fig. 1) äquivalent. Das Reinitialisierungssignal auf der Leitung 32 von Fig. 1 findet sein Gegenstück in den Schritten 98 und 99 (sowie in den Schritten 95 und 96) von Fig. 2.

Gemäß Fig. 3 kann der überänderungsgeschwindigkeitsfehlererkennungsteil der Erfindung auf digitale Weise durch ein Unterprogramm ausgeführt werden, daß über einen Uberänderungsgeschwindigkeitsfehler-Eintrittspunkt 101 erreicht wird. In dem ersten Test 102 wird einfach ermittelt, ob das Unterprogramm ausgeführt werden sollte oder nicht, und zwar in derselben Weise wie in dem Test 82 in Fig. 2. Wenn der Test negativ ist, wird in einem Test 103 festgestellt, ob die Initialisierung der Integrationsfunktion ausgeführt worden ist oder ausgeführt werden sollte. Das ist dem Anlegen des Rücksetz-/Initialisierungssignals an die Leitung 16 zum Initialisieren der Einstellung des Integrators 64 in Fig. 1 äquivalent. Wenn eine Initialisierung nicht vorher bereits stattgefunden hat, wird in einem Schritt 104 der Wert des Fühlerausgangssignals des letzten Zyklus auf den neuesten Stand, d.h. auf den gegenwärtigen Wert des Fühlerausgangssignals gebracht, in einem Schritt 105 wird ein Anfarigswert in dem Integrator (ein Register oder ein Speicherplatz, der eine Zahl trägt, die auf im folgenden beschriebene Weise integriert wird) auf den gegenwärtigen Wert des Fühlerausgangssignals gebracht, und in einem Schritt 106 wird das Uberänderungsgeschwindigkeitsinitialisierungs-Flag gesetzt, welches angibt, daß die Initialisierung stattgefunden hat, und welches in dem anschließenden Durchlauf durch das Unterprogramm durch den Test 103 abgefragt wird, um zu veranlassen, daß die Schritte 104-106 umgangen werden.

In Fig. 3 wird in einem Schritt 107 die Differenz zwischen dem gegenwärtigen Wert des Fühlerausgangssignals und dem vorangehenden Wert des Fühlerausgangssignals ermittelt, um die Differenz zwischen ihnen festzustellen. Der Schritt 107 ist dem Differenzierer 56 in Fig. 1 äquivalent. Dann wird in zwei Tests 108, 109 festgestellt, ob diese Differenz innerhalb der Grenzen liegt, und, wenn dem nicht so ist, wird sie auf einen geeigneten positiven oder negativen Grenzwert in

·"-" ;3T240"82

entsprechenden Schritten 110, 111 eingestellt, die dem Begrenzer 60 in Fig. 1 äquivalent sind. In einem Schritt 112 wird die Integration ausgeführt, indem zu dem Integralwert, der bei der Intialisierung in dem Schritt 105 gebildet wird, die Differenz D addiert wird, die in dem Schritt 107 gefunden wird. Wenn die Differenz D kleiner als beide Grenzwerte war, so daß beide Tests 108 und 109 negativ waren, und wenn dieser Wert nicht, entweder auf den positiven Grenzwert oder auf den negativen Grenzwert geklemmt wurde, sollte der zu dem Integralwert addierte Wert D gleich dem gegenwärtigen Wert des Fühlerausgangssignals sein. Wenn dem nicht so ist, wird die Differenz dazwischen (X), die in einem Schritt 113 gefunden wird, größer als ein Bezugswert sein (der in Abhängigkeit von der besonderen Funktion voreingestellt wird), welcher in einem Test 114 bestimmt wird. Das heißt, wenn die Differenz in dem gegenwärtigen und laufenden Wert einen Grenzwert übersteigt so bedeutet das, daß das Fühlerausgangssignal sich mit einer zu hohen Geschwindigkeit ändert. Da die Änderungsgeschwindigkeit zu hoch ist, wird die Differenz (D) begrenzt, so daß sie, wenn sie zu dem Integralwert addiert wird, nicht gleich dem gegenwärtigen Wert ist. Es kann jedoch sein, daß sie eine Bezügsdifferenz, die in dem Test 114 benutzt wird, nicht ausreichend übersteigt, um einen Fehler anzuzeigen, Bei anschließenden Durchläufen wird aber, da der Integralwert bereits zurückgefallen ist, wenn diese hohe Änderungsgeschwindigkeit anhält, der Integralwert noch weiter zurückfallen, wenn unzureichende Werte von D zu ihm addiert werden. So wird schließlich die Differenz in dem gegenwärtigen Fühlerwert gegenüber dem Integralwert ein bejahendes Ergebnis des Tests 114 ergeben. Wenn das der Fall ist, wird ein Überschußzähler in einem Schritt 115 inkrementiert (das ist dieselbe Form eines DurchlaufZählers, der mehrere Fehler nacheinander erfordert, bevor sie erkannt werden), und der Überschußzähler wird in einem Test 116 getestet, um festzustellen, ob er die

vorgewählte Durchlaufzahl überschreitet. Wenn dem so ist, dann wird der Fehler erkannt und in den Schritten 117-122 werden Buchhaltungsoperationen ausgeführt. In dem Schritt wird die überänderungsgeschwindigkeitsfehlercodegruppe für den besonderen Fühler, der überwacht wird, gesetzt, und diese Codegruppe kann in einem nichtflüchtigen Speicher durch den Schritt 118 gesetzt werden (in einem System des Typs, wie es in der oben erwähnten weiteren latentanmeldung offenbart ist). In dem Schritt 119 wird das Funktionsausfall-Flag gesetzt (das ist das gleiche Funktionsausfall-Flag, das in dem Schritt 93 in Fig. 2 gesetzt werden kann). Und die Tatsache, daß die Funktion ausgefallen ist, kann dem Piloten in dem Schritt angezeigt werden (der dem Schritt 94 in Fig. 2 entspricht). Dann wird der Uberschußzähler in dem Schritt 121 rückgesetzt, und das Uberänderungsgeschwindigkeitsinitialisierungs-Flag wird in dem Schritt 122 rückgesetzt, so daß bei folgenden Durchläufen durch dieses Unterprogramm (nachdem das Funktionsausf all-Flag nicht mehr gesetzt ist, oder in dem Fall, in welchem der Pilot eine Übersteuerungstaste drückt, so daß der Test 102 negativ ist), das Unterprogramm wieder eingeleitet wird, und zwar auf dieselbe Weise, auf die das Rücksetz-/ Initialisierungssignal auf der Leitung 16 wieder die Überänderungsgeschwindigkeitsfehlererkennung in Fig. 1 einleitet.

Falls in dem Test 114 festgestellt wird, daß die Differenz zwischen dem gegenwärtigen Wert und dem integrierten Wert nicht den Bezugswert übersteigt, wird ein negatives Ergebnis des Tests 114 bewirken, daß der Uberschußzähler in einem Schritt 123 rückgesetzt wird und daß der Wert des letzten Zyklus des Fühlerausgangssignals in einem Schritt 124 auf den neuesten Stand gebracht wird. Es sei aber beachtet, daß, nachdem Ausfälle erkannt worden sind, so daß der Durchlaufzähler mehrmals inkrementiert wird, der Wert des letzten Zyklus des Fühlerausgangssignals nicht auf den neuesten Stand gebracht wird, weil der Schritt 124 umgangen wird. Das ist notwendig,

wenn hohe Änderungsgeschwindigkeiten erkannt werden, weil, wenn der Fühler in einem Endausschlagszustand ausgefallen ist und dieser Endausschlagszustand auf den neuesten Stand, d.h. auf den alten Wert gebracht würde, dann in allen nachfolgenden Zyklen der neue Wert und der alte Wert des Ausgangssignals im wesentlichen gleich sein würden, so daß der Durchlaufzähler nicht inkrementiert würde. Der Fehler kann also nur für mehrere Zyklen überwacht werden, wenn der alte Wert beibehalten wird, so daß mehrere Zyklen eines neuen Endausschlagswertes mit ihm verglichen werden und den notwendigen Überschuß gegenüber dem Bezugswert in dem Test 114 liefern. Entweder der Schritt 124 (bei NichtVorhandensein irgendeines Ausfalls), Test 116 (nachdem wenigstens ein Fehler abgefühlt worden ist), oder der Schritt 122 (nachdem eine Durchlaufzahl von Fehlern abgefühlt worden ist) wird über einen Rückkehrpunkt 126 zu anderen Teilen des Programms führen.

Die Digitalausführungsform der Erfindung, die unter Bezugnahme auf die Fig. 2 und 3 beschrieben worden ist, kann, wie erwähnt, mit Einrichtungen des in der oben erwähnten weiteren Patentanmeldung angegebenen Typs ausgeführt werden. Beispielsweise kann die Erfindung ausgeführt werden, indem Fühlerwerte mit Hilfe von Direktspeicherzugriffsdatenbewegungen eingelesen werden, wie es in den Tabellen darin angegeben ist; und die hier angegebenen besonderen Unterprogramme können in einer der Unterbrechungsroutinen RT 1 - RT 4 ausgeführt werden. Beispielsweise kann ein Flug- oder Luftgeschwindigkeitsfehlererkennungstest in dem Unterprogramm 906 (dort in Fig. 9) ausgeführt werden, oder ein Kursfehlererkennungstest kann in dem Unterprogramm 1304 (dort in Fig. 13) ausgeführt werden.

Bei jeder Art von Verwendung der Erfindung, bei der ein änderungsgeschwindigkeitsbegrenztes Signal (wie beispielsweise das

Signal auf der Leitung 70 in Fig. 1) bereits als Sicherheitsmaßnahme geliefert wird, brauchen die Einrichtungen 56, 60 und 66 nicht verwendet zu werden, sondern dieses bereits anderungsgeschwindigkeitsbegrenzte Signal kann direkt an den Summierpunkt 72 angelegt und als eine Quelle von Daten, die in Fig. 3 angegeben ist als der Integratorwert addiert mit der Differenz in dem Schritt 112 benutzt werden, wobei dieses Signal zur Subtraktion in dem Schritt 113 direkt angelegt wird.

Die Erfindung ist in Verbindung mit Flugregelanlagen eines Hubschraubers oder anderen Flugzeuges beschrieben und dargestellt worden. Die hier beschriebenen Prinzipien gelten jedoch auch für andere Anlagen, und zwar in Fällen, in welchen die Inaktivität oder die Uberaktivität eines Fühlers gemäß der Erfindung überwacht werden kann, um Fehler in dem Fühler festzustellen, und insbesondere, wenn es einen bezogenen Fühler gibt, der gestattet, Perioden zu identifizieren, in denen Nullen vorhanden sein sollten, und der dadurch eine Nullfehlererkennung sowie eine überänderungsgeschwindigkeitsfehlererkennung gemäß der Erfindung gestattet. Selbstverständlich wird die Analog- oder die Digitalausfuhrungsform in Abhängigkeit davon gewählt, ob die Digitalverarbeitungsmöglichkeit ansonsten in irgendeiner Anlage zur Verfügung steht, in der die Erfindung benutzt werden soll. Der Typ der Digitalanlage, die zur Verfügung steht, ist irrelevant, da die auszuführenden Funktionen bei der Implementierung der Erfindung einfach und unkompliziert sind und sogar durch die kleinsten Mikrocomputer erfüllt werden können. Deshalb ist die Digitalausführungsform, wie sie mit Bezug auf die Fig. 2 und 3 oben beschrieben worden ist, implernentierbar, indem gewöhnliche Programmiertechniken angewandt werden, die praktisch für jeden Typ von Digitalverarbeitungsanlage geeignet sind. Bei den beschriebenen Ausführungsformen werden auf die Signalgröße ansprechende Techni-

ken benutzt, die Erfindung kann aber auch dort angewandt werden, wo ein bestimmter Parameter in einem Signal durch eine Frequenz, eine impulsbreite oder andere Variable gekennzeichnet ist.

Leerseite

Claims

United Technologies Corporation Hartford, Connecticut 06101, V.St.A.

Patentansprüche:

1 ./Aktivitätsüberwachtes Fühlersystem mit:

einem ersten Fühler (TO), der ein erstes Ausgangssignal liefert, das einen bestimmten physikalischen Parameter anzeigt; und

einem zweiten Fühler (31), der ein zweites Ausgangssignal liefert, das einen zweiten Parameter anzeigt, der auf den bestimmten physikalischen Parameter bezogen ist, so daß das zweite Ausgangssignal außerdem anzeigt, ob das erste Ausgangssignal sich in Abhängigkeit von der Zeit ändern sollte oder nicht,
gekennzeichnet durch:

eine Signalverarbeitungseinrichtung (11, 12), die auf das zweite Ausgangssignal anspricht, um ein Signal zu liefern, welches anzeigt, daß der zweite Parameter größer als ein erster vorbestimmter Schwellenwert ist, und um daraufhin ein Signal zu liefern, welches einen Nullfehler auf das erste Ausgangssignal hin anzeigt, was weniger als einen zweiten vorbestimmten Schwellenwert an Änderung in dem bestimmten Parameter innerhalb eines vorbestimmten Intervalls anzeigt, um auf

das erste Ausgangssignal hin ein änderungsgeschwindigkeitsbegrenztes Signal zu liefern, das den bestimmten physikalischen Parameter begrenzt hinsichtlich der Änderungsgeschwindigkeit desselben über der Zeit anzeigt, um das änderungsgeschwindigkeitsbegrenzte Signal mit dem ersten Ausgangssignal zu vergleichen und um ein Signal zu liefern, welches einen überänderungsgeschwindigkeitsfehler in dem Fall anzeigt, in welchem das änderungsgeschwindigkeitsbegrenzte Ausgangssignal· sich von dem ersten Ausgangssignal· um mehr ais einen dritten vorbestimmten SchWe^enWert unterscheidet.
2. Fühlersystem nach Anspruch 1, dadurch gekennzeichnet, daß der erste Fühler (10) das erste Ausgangssignal auf die Größe des bestimmten physikalischen Parameters hin liefert und das der zweite Fühler (31) das zweite Ausgangssignal auf die zeitliche Änderungsgeschwindigkeit der Größe des bestimmten physikalischen Parameters hin liefert, wobei der zweite physikalische Parameter die zeitiiche Änderungsgeschwindigkeit des bestimmten physikaiischen Parameters ist.