DE4022954A1 - Fehlerdetektor bei redundant vorgesehenen signalgebern - Google Patents

Description

Die Erfindung betrifft einen Fehlerdetektor zur Feststellung signifikanter Differenzen der Ausgänge von redundant vorgesehenen Signalgebern, der von Differenzen der Ausgangssignale der Signalgeber beaufschlagt ist und eine Fehlermeldung liefert, wenn die Ausgänge der Signalgeber einem vorgegebenen, eine signifikante Differenz durch einen Schwellwert charakterisierenden Kriterium entsprechen.

In vielen Bereichen der Technik wie Luftfahrt, chemische Verfahrenstechnik, Kerntechnik oder Automatisierungstechnik werden hochzuverlässige Systeme benötigt. Fehlfunktionen solcher Systeme infolge des Ausfalls einzelner Bauteile können schwerwiegende Folgen haben. Die Systeme müssen daher so aufgebaut sein, daß der Ausfall von einzelnen Bauteilen keine Fehlfunktion des gesamten Systems zur Folge haben. Man bezeichnet das als "Fehlertoleranz". Eine solche Fehlertoleranz wird erreicht durch "Redundanz": Signalgeber werden mehrfach vorgesehen. Signifikante Abweichungen der Ausgänge solcher redundant vorgesehener Signalgeber, also Abweichungen, die außerhalb der zulässigen Toleranzen liegen, signalisieren einen Fehler an einem der Signalgeber. Solche Abweichungen werden durch einen Fehlerdetektor festgestellt. Der Fehlerdetektor liefert dann eine Fehlermeldung. "Signalgeber" kann hierbei ein Meßgeber, z. B. ein Kreisel oder ein Temperaturfühler, sein oder auch ein signalverarbeitender Bauteil. Die Ausgänge können analoge Signale oder digitale Daten sein. Die Signalgeber können zweifach redundant vorgesehen sein. In einem solchen Fall kann nur der Ausfall eines Signalgebers festgestellt werden. Es können aber auch mehr als zwei Signalgeber vorgesehen sein. In diesem Fall findet eine Mehrheitsbetrachtung statt, welche die Lokalisierung und Eliminierung des defekten Signalgebers gestattet.

Üblicherweise wird ein Schwellwert vorgegeben. Eine signifikante Abweichung wird angenommen, wenn die Differenz der Signale zweier Signalgeber diesen vorgegebenen Schwellwert überschreitet. Diese Art der Fehlerfeststellung funktioniert, wenn der Fehler sich als eine konstante, niederfrequent-periodische oder aperiodische Änderung des Ausganges des Signalgebers auswirkt. Erhebliche Schwierigkeiten treten jedoch auf, wenn die Fehler stochastische Fehler sind, die entsprechende stochastische Änderungen der Ausgangssignale zur Folge haben. Ein solcher Fehler könnte dazu führen, daß der Fehlerdetektor vorübergehend anspricht, wenn die Differenz der Ausgänge zufällig den Schwellwert überschreitet, obwohl die Signale an sich noch innerhalb der Toleranz liegen.

Benutzt man als Fehlerkriterium jedoch etwa nur die Abweichung der Mittelwerte der Ausgänge, dann werden stochastische Fehler, die auch auf eine Fehlfunktion eines Signalgebers hindeuten können, überhaupt nicht berücksichtigt.

Der Erfindung liegt die Aufgabe zugrunde, einen Fehlerdetektor zur Feststellung signifikanter Differenzen der Ausgänge redundant vorgesehener Signalgeber zu schaffen, der die Berücksichtigung stochastischer Fehler gestattet.

Erfindungsgemäß wird diese Aufgabe dadurch gelöst, daß der Fehlerdetektor zur Gewinnung eines Kriteriums für das Vorliegen einer einen Fehler signalisierenden, signifikanten Differenz:

• - Mittel enthält zur Bestimmung der Wahrscheinlichkeit in einem Prüfintervall, daß die Differenz der Ausgänge größer als der besagte Schwellwert ist, und
• - Mittel zur Feststellung, ob diese Wahrscheinlichkeit einen vorgegebenen Referenzwert überschreitet,

wobei bei Überschreiten dieses Referenzwertes die Fehlermeldung erzeugt wird.

Als Kriterium für das Vorliegen einer signifikanten Abweichung der Ausgänge der Signalgeber voneinander dient nicht mehr das Überschreiten eines Schwellwertes durch die Differenz der Ausgänge, sondern eine bestimmte Wahrscheinlichkeit dafür, daß dieser Schwellwert überschritten wird. In ein solches Kriterium geht sowohl eine Änderung des Mittelwertes der Differenz ein als auch die statistische Fehlerverteilung der stochastischen Fehler.

Ausgestaltungen der Erfindung sind Gegenstand der Unteransprüche.

Ein Ausführungsbeispiel der Erfindung wird nachstehend unter Bezugnahme auf die zugehörigen Zeichnungen näher erläutert.

Fig. 1 ist ein Blockdiagramm einer Anordnung mit zwei redundant vorgesehenen, signalverarbeitenden Signalgebern und einem Fehlerdetektor.

Fig. 2 ist eine schematische Darstellung der Verteilung stochastischer Fehler und der Änderung dieser Verteilung mit der Zeit.

Fig. 3 zeigt als Funktion der Differenz die Wahrscheinlichkeit des Auftretens einer solchen Differenz innerhalb eines Prüfintervalls.

Fig. 4 zeigt als Funktion der Differenz das Integral der Funktion von Fig. 3.

Fig. 5 zeigt in einem Blockdiagramm den Aufbau des Fehlerdetektors.

In Fig. 1 ist mit 10 ein erster Signalgeber und mit 12 ein zweiter Signalgeber bezeichnet. Auf die Eingänge 14 und 16 beider Signalgeber 10 bzw. 12 ist ein gemeinsames Eingangssignal von einem Signaleingang 18 aufgeschaltet. Die beiden Signalgeber 10 und 12 verarbeiten das Eingangssignal in übereinstimmender Weise und liefern Ausgangssignale oder -daten an Ausgängen 20 bzw. 22. Bei der Verarbeitung treten in den beiden Signalgebern 10 und 12 stochastische Fehler ε₁ bzw. ε₂ auf. Das ist durch die "Eingänge" 24 und 26 angedeutet. Die Ausgangssignale sind auf Eingänge 28 bzw. 30 eines Fehlerdetektors 32 aufgeschaltet. Der Fehlerdetektor 32 liefert eine Fehlermeldung an einem Ausgang 34. Im übrigen werden die Ausgangssignale oder -daten parallel weiterverarbeitet, wenn der Fehlerdetektor keine Fehlermeldung abgibt.

Die Differenz der Ausgangssignale an den beiden Ausgängen 20 und 22 hat einen Mittelwert , der sich mit der Zeit ändern kann. Diesem Mittelwert sind stochastische Fehler überlagert, die eine bestimmte Wahrscheinlichkeitsverteilung zeigen. Es sei angenommen, daß diese Wahrscheinlichkeitsverteilung eine Gaußverteilung ist. Auch bei dieser Gaußverteilung kann sich die Standardabweichung mit der Zeit ändern. Eine Wahrscheinlichkeitsverteilung für das Auftreten einer bestimmten Differenz ε der Ausgangssignale der beiden Signalgeber 10 und 12 kann etwa dem in Fig. 2 dargestellten Beispiel entsprechen.

Fig. 2 ist eine dreidimensionale Darstellung. Die horizontal dargestellten Koordinaten sind die Differenz ε der Ausgangssignale und die Zeit t. Das sind die unabhängigen Variablen. Die vertikal dargestellte abhängige Variable ist die Wahrscheinlichkeit p(ε, t) des Auftretens eine bestimmten Differenz ε in einem vorgegebenen Prüfintervall. In Abhängigkeit von der Zeit t ändert sich der Mittelwert der Differenz. Ebenso ändert sich in Abhängigkeit von der Zeit die Standardabweichung σ.

Unter Zugrundelegung einer Gaußverteilung ergibt sich für jeden Zeitpunkt eine Wahrscheinlichkeitsverteilung p(ε) von der Form

Eine solche Wahrscheinlichkeitsverteilung ist in Fig. 3 durch Kurve 36 dargestellt. Die gestrichelten Kurven deuten an, daß sich die Wahrscheinlichkeitsverteilung mit der Zeit sowohl in ihrer Lage als auch in ihrer Standardabweichung ändern kann. Zur Gewinnung eines Kriteriums für das Auftreten einer signifikanten Abweichung der beiden Ausgangssignale der Signalgeber 10 und 12 voneinander wird ein Schwellwert T vorgegeben. Die Wahrscheinlichkeit dafür, daß die Differenz ε in einem Prüfintervall größer als der Schwellwert T ist, wird durch die gestrichelt dargestellte Fläche 38 unter der Kurve 36 dargestellt. Man sieht, daß diese Fläche größer wird, wenn sich der Mittelwert der Differenz ε gemäß der gestrichelten Kurve 40 vergrößert. Die Fläche wird kleiner, wenn sich der Mittelwert der Differenz ε gemäß der gestrichelten Kurve 42 verkleinert. Die Fläche wird auch größer, wenn sich bei unverändertem Mittelwert die Standardabweichung σ der Wahrscheinlichkeitsverteilung vergrößert, die Kurve 36 also breiter wird.

Diese Fläche 38 liefert ein Kriterium dafür, ob eine signifikante Abweichung der beiden Ausgangssignale der Signalgeber 10 und 12 vorliegt. Eine signifikante Abweichung wird angenommen, wenn die Fläche 38 einen vorgegebenen Referenzwert E überschreitet.

In Fig. 4 ist das Integral

als Funktion von ε_i dargestellt. Das ist Kurve 44 in Fig. 4. Der Wert dieser Funktion bei der Abszisse T ist die Wahrscheinlichkeit P(εT) dafür, daß die Differenz ε im Prüfintervall kleiner als T ist. Das ist die Strecke 46 in Fig. 4. Der dazu komplementäre Wert ist die Wahrscheinlichkeit P(εT) dafür, daß die Differenz ε im Prüfintervall größer als T ist. Das ist die Strecke 48 in Fig. 4. Man kann sich vorstellen, daß sich die Kurve 44 im Laufe der Zeit ändert. Die Kurve 44 kann sich nach rechts oder links verschieben. Das entspricht einer Änderung des Mittelwertes der Differenz. Die Kurve 44 kann auch ihre Steigung ändern. Das entspricht einer Änderung der Standardabweichung der Wahrscheinlichkeitsverteilung gemäß Kurve 36 von Fig. 3.

Das Kriterium für das Ansprechen des Fehlerdetektors 32 und die Abgabe einer Fehlermeldung am Ausgang 34 ist

P (ε T) < E . (3)

Die Wahrscheinlichkeit, daß die Differenz ε größer als der Schwellwert T ist, muß größer als ein Referenzwert E sein.

Dabei hängt der bis zum Ansprechen des Fehlerdetektors zulässige Mittelwert μ von der Standardabweichung σ der Wahrscheinlichkeitsverteilung ab.

Die Wahrscheinlichkeit dafür, daß die Differenz ε größer als T ist, ist das Komplement der durch die Gleichung (2) gegebenen Wahrscheinlichkeit dafür, daß die Differenz kleiner als T ist. Es ist also:

Das ist eine Funktion ϕ() des Mittelwertes . Führt man eine neue Variable z=(ε-)/σ ein, dann wird aus Gleichung (4):

Dabei sind die Integrationsgrenzen u=(T-)/σ und l=-/σ=μ-T/σ. Definiert man eine Funktion

dann kann man Gleichung (3) schreiben als

Für den größtmöglichen Wert der als Integrationsgrenze eingeführten Hilfsvariablen u ergibt sich dann die Beziehung

Daraus kann nach üblichen Funktionstabellen der Gaußfunktion die Hilfsgröße u bestimmt werden. Mit dieser Hilfsgröße u ergibt sich für den maximal zulässigen, von der Standardabweichung σ der Differenz ε abhängigen Mittelwert der Differenz ε:

μ = T - μ · σ (9)

Der Mittelwert der Differenz ε muß absolut kleiner als dieser maximal zulässige Mittelwert μ sein:

-μ +μ (10)

Diese Beziehung wird bei dem Aufbau des Fehlerdetektors 32 von Fig. 5 ausgenutzt.

In einem Summierpunkt 50 wird die Differenz ε der Ausgangssignale der Signalgeber 10 und 12 gebildet. Aus dieser Differenz wird der Mittelwert vorzugsweise über ein gleitendes Prüfintervall gebildet. Das ist durch Block 54 dargestellt. Auf den Fehlerdetektor 32 werden über Eingänge 56 und 58 der Schwellwert T und die von dem Referenzwert abhängige Hilfsgröße u(E) eingegeben. Die Hilfsgröße kann bei vorgegebenem Referenzwert E einmal berechnet werden. Eine Standardabweichung σ wird entweder als für die Signalgeber 10 und 12 bekannt eingegeben oder aus den eingegebenen Differenzen ε mit bekannten Mitteln berechnet. Die Mittel sind hier durch einen Block 56 vorgegeben, der mit dem Ausgang des Summierpunktes 50 über eine Verbindung 58 verbunden ist. Die wahlweise Verwendung eines an einem Eingang 60 einzugebenden Wertes der Standardabweichung σ oder eines berechneten Wertes von Block 56 ist durch einen Umschalter 62 symbolisiert.

Aus den so eingegebenen bzw. berechneten Werten wird der maximal zulässige Mittelwert μ gemäß Gleichung (9) berechnet. Das ist durch Block 64 dargestellt. Dieser Wert wird an einem Ausgang 66 ausgegeben.

Ein Komparator 68 (oder gleichwirkende Mittel) erhält einmal den Mittelwert von dem Block 54 und zum anderen als Referenz den maximal zulässigen Mittelwert μ von Block 64. Der Komparator 68 prüft, ob Gleichung (10) erfüllt ist, ob also der Mittelwert der Differenz ε nicht kleiner als -μ und nicht größer als +μ ist. Wenn diese Bedingung nicht erfüllt ist, liefert der Komparator 68 eine Fehlermeldung an dem Ausgang 34.

Claims (4)

1. Fehlerdetektor zur Feststellung signifikanter Differenzen der Ausgänge von redundant vorgesehenen Signalgebern (10, 12), der von Differenzen der Ausgangssignale der Signalgeber (10, 12) beaufschlagt ist und eine Fehlermeldung liefert, wenn die Ausgänge der Signalgeber (10, 12) einem vorgegebenen, eine signifikante Differenz durch einen Schwellwert (T) charakterisierenden Kriterium entsprechen, dadurch gekennzeichnet, daß der Fehlerdetektor (32) zur Gewinnung eines Kriteriums für das Vorliegen einer einen Fehler signalisierenden, signifikanten Differenz

• - Mittel (54, 64) enthält zur Bestimmung der Wahrscheinlichkeit in einem Prüfintervall, daß die Differenz der Ausgänge größer als der besagte Schwellwert (T) ist, und
• - Mittel (64, 68) zur Feststellung, ob diese Wahrscheinlichkeit einen vorgegebenen Referenzwert (E) überschreitet,

wobei bei Überschreiten dieses Referenzwertes (E) die Fehlermeldung erzeugt wird.

2. Fehlerdetektor nach Anspruch 1, gekennzeichnet durch

• a) Mittel (54) zur Bildung des Mittelwertes () der Differenz (ε),
• b) Mittel (58) zur Aufschaltung einer Hilfsgröße u aus der Beziehung Φ (u) - Φ (u - T/σ) = 1 - E,wobei σ die Standardabweichung der Differenz der Ausgänge der Signalgeber (10, 12) und
  T der Schwellwert der Differenz der Ausgänge ist,
• c) Mittel (64) zur Bildung eines maximal zulässigen Mittelwertes μ nach der Beziehung μ = T - u σ ,wobei auf diese Mittel (64) der Schwellwert T, die Standardabweichung σ und die Hilfsgröße u aufgeschaltet sind, und
• d) ein Komparator (68), auf welchen der Mittelwert der Differenz (ε) der Ausgänge aufgeschaltet ist und mit dem maximal zulässigen Mittelwert (μ) verglichen wird, wobei eine Fehlermeldung ausgegeben wird, wenn der Mittelwert der Differenz der Ausgänge absolut größer als der maximal zulässige Mittelwert μ wird.

3. Fehlerdetektor nach Anspruch 2, gekennzeichnet durch Mittel (56) zur Bildung der Standardabweichung der Differenz (σ) der Ausgänge aus den aufgeschalteten Werten dieser Differenz (ε).