DE2445173A1

DE2445173A1 - Zweifach-steuervorrichtung

Info

Publication number: DE2445173A1
Application number: DE19742445173
Authority: DE
Inventors: Edward Stuart Eccles
Original assignee: Smiths Group PLC
Current assignee: Smiths Group PLC
Priority date: 1973-09-24
Filing date: 1974-09-21
Publication date: 1975-03-27
Also published as: CA1026850A; IT1021662B; FR2245020A1; SE7411916L; JPS5059612A; SE403085B; US4032757A; FR2245020B1

Description

Dipl.-Ing.

Rudolf Busselmeier '-J, /f -

Dipl.-Ing.

Rolf Churner |NAOnacRg;oKT|

Patentanwälte O / / C 1 "7

Augsburg 31 · Postfach 242 ^ ^

Rehlingenstraße 8
Tel. 08 21/2 88 45

Postscheckkonto: München Nr. 1547 89-801

6744/42/UO/Fr

Augsburg, 19. September 1974

Smiths Industries Limited Cricklewood Works
GB - London, NW2 6JN

Zweifach-Steuervorrichtung

Die Erfindung betrifft eine Zweifach-Steuervorrichtung, insbesondere für Gasturbinenmotoren von Luftfahrzeugen.

Zweifach-Steuervorrichtungen besitzen im wesentlichen zwei nominalidentische Steuerkanäle ader -wege, von denen jeder für sich die Funktion der Steuervorrichtung ausüben kann. Sie werden parallel zueinander betrieben.

Die zwei Steuerkanäle ergeben eine Redundanz, so daß die Korrektheit der Steuerung, die von der

509813/0373 ~²~

6744/42/UO/Fr - 2 - 19. September 1974

Vorrichtung bewirkt wird, getestet werden kann. Signale entsprechender Stufen in den beiden Kanälen werden verglichen; wird eine Differenz zwischen zwei solchen Signalen erfaßt, wird dies von den Überwachungseinheiten als Anzeichen eines Fehlers gewertet. Da jedoch die Überwachungseinheiten nicht identifizieren können, welches der beiden Signale das fehlerhafte ist, kann keinem der beiden Kanäle die Steuerung weiterhin überlassen werden. Obwohl also in der Steuervorrichtung eine Redundanz gegeben ist, indem nämlich zwei Steuerkanäle zur Ausübung der Funktion vorgesehen sind, die von jedem der beiden Steuerkanäle allein ausgeführt werden könnte, kann die Steuerung nicht aufrechterhalten werden, wenn ein einziger Fehler in den beiden Kanälen erfaßt wird.

Es ist ein Ziel der vorliegenden Erfindung, eine Steuervorrichtung zu schaffen, die auf das Auftreten eines Fehlers hin die Steuerung aufrechterhalten kann und dabei ein einziges Redundanzniveau besitzt.

Diese Aufgabe wird durch die im Anspruch 1 beschriebene Erfindung gelöst. Vorteilhafte Weiterbildungen sind in den Unteransprüchen beschrieben.

Bei einer Steuervorrichtung gemäß der Erfindung kann also der Kanal, in dem der Fehler auftritt,

509813/0373 " ³

6744/4^UO/Fr - 3 - 19. September 1974

bestimmt werden. Die Steuersignale dieses Kanals können der Verwendung in der Steuervorrichtung entzogen werden; der andere Kanal (oder die anderen Kanäle) übt weiterhin die Steuerfunktion der Vorrichtung aus.

Die Erfindung wird im folgenden anhand eines Ausführungsbeispieles mit Bezug auf die Zeichnung näher erläutert; es zeigen

Fig. 1 die Vorrichtung in schematischer Form;

Fig. 2 detaillierter einen Teil der Vorrichtung von Fig. 1, der die Steuerung als Funktion von drei Motorparametern ausübt.

Die in den Figuren gezeigte Steuervorrichtung und ihre Betriebsweise wird anhand der Steuerung von fünf Parametern eines Gasturbinen-Flugzeugsmotors mit einem Nachbrenner beschrieben. Bei den Parametern handelt es sich um die Temperatur des Ausstoßgases des Motors, den Gasdruck innerhalb der Verbrennungskammer, die Geschwindigkeit der Turbinenwelle, die "Stellung" (d. h., die effektive Fläche) der Ausstoßdüse und den Treistoffluß zum Nachbrenner. Die ersten drei Parameter hängen voneinander ab und werden daher in ihrem Wert durch eine" einzig Betätigungseinrichtung eingestellt. Dagegen werden für die verbleibenden zwei Para-

509813/03 73 " ⁴ "

2U5173

6744/42/UO/Fr - 4 - 19. September 1974

meter getrennte Betätigungseinrichtungen verwendet.

Die sechs Wandler 1 bis 6 in Fig. 1 sind dem Motor zugeordnet und liefern geeignete elektrische Eingangssignale für die Computer 7 und 8 zur Steuerung hinsichtlich der drei voneinander abhängigen Parameter. Genauer gesprochen, liefern die Wandler 1 und 2, die mit am Motor angebrachten Temperaturmeßfühlern versehen sind, nominalidentische Signale je nach der Ausstoßgastemperatur. Die Wandler 3 und 4 sind mit Drucksensoren versehen, die nominalidentische Signale entsprechend dem Gasdruck in der Verbrennungskammer liefern. Die Wandler 5 und besitzen geschwindigkeitsfühlende Geräte, die in der Turbinenstufe des Motors angeordnet sind und nominalidentische Signale entsprechend der Rotationsgeschwindigkeit der Turbinenwelle liefern. Die von den Wandlern 1, 3 und 5 gelieferten Signale werden dem Computer 7 zugeführt; der nominalidentische Signalsatz, der von den Wandlern 2, 4 und 6 geliefert wird, wird dem Computer 8 zugeführt. So können die beiden Computer 7 und 8 eine Analyse ausführen. Die Analyse bestimmt, ob eine Korrektur eines Parameterwerts notwendig ist; jeder Computer 7, 8 liefert ein Signal, das von der erforderlichen Korrektur abhängig ist, zu einer Einheit 9, die eine Betätigungseinrichtung 10 steuert.

- 5 -509813/0373

2445 Ί

6744/42/UO/Fr - 5 - 19. September 1974

Die Betätigungseinrichtung 10 ist ein hydromechanisches Gerät, welches die Einstellung eines nicht gezeigten Ventils steuert. Dieses Ventil reguliert den Treibstoffzufluß zum Motor. Zwei mechanischelektrische Wandler 11 und 12 speisen Signale entsprechend der Einstellung des Treibstoffventils und damit entsprechend dem augenblicklichen Treibstoffzufluß zum Motor zu den Computern 7 und 8 zurück.

Ein weiteres Wandlerpaar 13 und 14, das am Motor angeordnet ist, liefert nominalidentische Signale entsprechend der "Stellung", genauer, der Einstellung der effektiven Fläche der Ausstoßdüse des Motors. Die Signale von den Wandlern 13 und 14 werden den Computern 7 bzw. 8 zugeführt. Diese bilden daraus Steuersignale für eine Steuereinheit 15. Die Steuereinheit 15 steuert eine Betätigungseinrichtung 16, welche die Einstellung der "Stellung" der Ausstoßdüse reguliert.

Ein drittes Wandlerpaar 17, 18, das an der Maschine angeordnet ist und auf den Treibstoffzufluß zum Nachbrenner anspricht, liefert nominalidentische Signale entsprechend der Zuflußgeschwindigkeit zu den Computern 7 und 8. Die Computer 7 und 8 liefern in Abhängigkeit von diesen Signalen Steuersignale zu einer Steuereinheit 19. Diese steuert eine Betätigungseinrichtung 20, welche den Treibstoff zufluß zum Nachbrenner reguliert.

509813/0373 ~ ⁶ "

2ΑΛ5173

6744/42/UO/Fr - 6 - 19. September 1974

Die Vorrichtung steuert also den Wert der drei Motorvariablen des Treibstoffzuflusses zum Motor, die "Stellung" der Ausstoßdüse des Motors und den Treibstoffzufluß zum Nachbrenner.

Die Steuereinheiten 9, 15 und 19 entsprechen einander in ihrer Grundkonstruktion. Diese Konstruktion wird im folgenden ausführlicher mit Bezug auf die Einheit 9 beschrieben. Einzelheiten der Konstruktion der Einheit 9 sind in Fig. 2 dargestellt.

Die Steuersignale, die in Fig. 2 der Einheit 9 von den Computern 7 und 8 zugeführt werden, werden an Elektromotoren 21 und 22 gelegt. Das Signal vom Oomputer 7 wird an den Motor 21 über die in Serie liegenden Schalter 23 und 24 gelegt; das Signal vom Computer 8 wird an den Motor 22 über die entsprechenden Schalter 25 und 26 gelegt. Die Motoren 21 und 22 treiben entsprechende Eingangswellen eines Differentialgetriebes 27 an, das seinerseits die Betätigungseinrichtung 10 antreibt. Das Getriebe 27 dreht die Betätigungseinrichtung 10 entsprechend der Summe der Eingangswellen-Drehungen von den Motoren 21 und 22. Es dreht außerdem eine Welle 28 entsprechend einer etwaigen Differenz zwischen diesen beiden Eingangswellen-Drehungen.

Die Welle 28 trägt zwei Nocken 29 und 30, die einem Schalterpaar 31 und 32 bzw. einem Schalterpaar 33 und 34 zugeordnet sind. Die Schalter 31

509813/0373 ~ ⁷ "

6744/42/UO/Fr - 7 - 19. September 1974

und 32 sind normalerweise geschlossen, werden jedoch vom Nocken 29 geöffnet, wenn die Welle 28 in irgendeinem Drehsinn um mehr als einen bestimmten Grenzwinkel gedreht wird. Die Schalter 33 und 34, die ebenfalls normalerweise geschlossen sind, werden dagegen von dem Nocken 30 nur dann geöffnet, wenn die Welle 28 den Grenzwinkel in einem der beiden Drehsinne überschreitet. Die Schalter 31 und 33 sind mit einer Überwachungseinheit 35 und die Schalter 32 und 34 mit einer identischen Überwachungseinheit 36 der Steuereinheit 9 verbunden. Beide Uberwachungseinheiten 35 und 36 sind mit den Computern 7 und 8 verbunden; sie überwachen den Betrieb' der zwei nominalidentischen Kanäle, welche die Betätigungseinrichtung 10 steuern. Kanal I umfaßt die Wandler 1, 3 und 5» Computer 7» Schalter 23 und 24 und Motor 21; Kanal II umfaßt die Wand- -ler 2, 4 und 6, Computer 8, Schalter 25 und 26 und Motor 22. Jeder Kanal kann selbst die erforderte Steuerung unabhängig vom anderen ausführen. Wenn jedoch kein Fehlerzustand vorliegt, der die Funktion von einem von ihnen beeinträchtigt, werden beide zu allen Zeiten zur Steuerfunktion verwendet .

Die Steuerkanäle werden mit Kommandosignalen versehen, welche die erforderlichen Werte der Motorparameter bestimmen. Diese Kommandosignale kommen von einem Hebel 37, der vom Pilot entsprechend dem vom Motor geforderten Schub von Hand betätigt wird. Zwei mechanisch/elektrische Wandler 38 und 39 füh-

- 8 509813/0373

2U5173

6744/42/UO/Fr - 8 - 19. September 1974

len die Stellung des Hebels 37 ab, wenn der Wert des angeforderten Schubs auf das obere Bereichsende zugeht, und liefern Signale, welche diese Einstellung anzeigen, zu den Computern 7 bzw. 8. Zwei Wandler 40 und 41 führen analoge Funktionen zu denjenigen der Wandler 38 bzw. 39 aus, wenn der Wert des angeforderten Schubs auf das untere Bereichsende zugeht. Die Arbeitsbereiche der zwei Wandlerpaare überlappen einander; jedes Paar ist aber besonders empfindlich für die Einstellung des Hebels 37 innerhalb des relevanten oberen oder unteren Motorschubbereichs. Die Computer 7 und 8 bestimmen aus dem Schub, der von der Einstellung des Hebel 37 angefordert wird, die nötigen Werte der fünf Parameter, die von der Vorrichtung gesteuert werden. Auf diese Weise ermitteln sie durch eine Analyse, ob eine Korrektur dieser Werte erforderlich ist.

Die Arbeitsweise der Computer 7 und 8 ist mit jedem Wandlerpaar und deren zugeordneter Steuereinheit und Betätigungseinrichtung für alle fünf Steuerfunktionen gleich. Als Beispiel wird diese Funktionsweise nun anhand der miteinander verknüpften Parameter-Temperatur des Ausstoßgases innerhalb des Düsenrohrs, Verbrennungskammerdruck, Turbinenwellengeschwindigkeit, beschrieben. Das heißt, die Funktionsweise des Systems wird mit Bezug auf diejenige der Kanäle I und II beschrieben, welche die Steuereinheit 9 und die Betätigungseinrichtung 10 enthalten.

509813/0373 ~ ⁹

6744/42/UO/Fr - 9 - 19. September 1974

Die Computer 7 und 8 führen zwei Funktionen nebeneinander aus. Die eine besteht darin, ein Steuerprogramm auszuüben, welches die Betätigungseinrichtung 10 steuert. Die andere Funktion besteht darin, ein Prüfprogramm auszuführen, welches einen Fehler innerhalb der Steuervorrichtung erfaßt. Die Wege 42 und 43" verbinden die Computer 7 und 8, so daß Information zur Ausführung der Steuer- und Prüfprogramme zwischen ihnen ausgetauscht werden kann. Es ist notwendig, die Ausgangssignale der Wandler 1 bis 6, die in analoger Form vorliegen, zur Verwendung in den digitalen Computern 7 und 8 in digitale Form zu überführen. Dazu bildet ein Analog-Digital-Umwandler einen Teil des Eingangs von jedem Computer.

Jeder Computer 7, 8 führt wiederholt sein eigenes Steuerprogramm aus und liefert am Ausgang entsprechende Steuersignale, sofern er nicht durch ein Signal von den Überwachungseinheiten 35 und 36 unterbrochen wird, das einen Fehler anzeigt. In diesem Falle entsprechen die Ausgangssignale der Computer den Resultaten ihres Prüfprogramms. Die Steuerprogramme benötigen typischerweise eine Zeitperiode von 30 Millisekunden. Zu Zwecken der Erklärung kann diese Periode in die folgenden diskreten Schritte aufgespalten werden (wenn auch in der Praxis einige oder alle dieser Schritte einander überlappen können):

- 10 50 9813/0373

6744/42/UO/Fr - 10 - 19. September 1974

Steuerprogramm für Computer 7 bezüglich der Ausstoßgas-Temperatur:

a) Speichern des Ausgangssignals, das direkt vom Wandler 1 kommt,

b) Speicherung des Ausgangssignals vom Wandler 2, das vom Computer 8 über den Datenaustauschweg 42 kommt,

c) Vergleich der Signale, die in den vorhergehenden zwei Schritten erhalten wurden; Erzeugung eines einzigen entsprechenden Werts in digitaler Form,

d) Vergleich des Wertes des digitalen Signals, das im vorhergehenden Schritt erhalten wurde, mit dem Wert, der für die Temperatur der Ausstoßgase nach der Stellung des Piloten-Kommandohebels 37 über den Wandler 38 (oder 40) gefordert wird; Bestimmung einer etwaigen Differenz zwischen diesen beiden Werten,

e) Abgabe eines Signals entsprechend der Differenz, die im vorhergehenden Schritt erhalten wurde.

- 11 509813/0373

6744/42/UO/Fr - 11 - 19. September 1974

Steuerprogramm für Computer 8 hinsichtlich der Ausstoßgas-Temperatur:

f) Speichern des Ausgangssignals, das direkt vom Wandler 2 kommt,

g) Speichern des Ausgangssignals vom Wandler 1, das vom Computer 7 über den Daten-Austauschweg 43 kommt,

h) Vergleich der Signale, die in vorhergehenden beiden Schritten erhalten v/urden; Erzeugung eines einzigen entsprechenden Werts in digitaler Form,

i) Vergleich des Wertes des digitalen Signales, das im vorhergehenden Schritt erhalten wurde, mit dem Wert, der für die Temperatur der Ausstoßgase nach der Stellung des Piloten-Kommandohebels 37 über den Wandler 39 (oder 41) gefordert wird; Bestimmung einer etwaigen Differenz zwischen diesen beiden Werten,

j) Abgabe eines Signals entsprechend der Differenz, die im vorhergehenden Schritt ermittelt wurde.

Die digitalen Signale der Schritte c und h erhält man in Übereinstimmung mit den folgenden Regeln:

- 12 509813/037 3

6744/42/UO/Fr - 12 - 19. September 1974

1. Wenn die Signale der beiden vorhergehenden Schritte des Programms innerhalb einer gegebenen Toleranz übereinstimmen, wird ihr mittlerer Wert in beiden Computern 7, 8 für die Steuerrechnungen der Schritte-d und i verwendet.

2. Wenn die Signale der beiden vorhergehenden Schritte nicht innerhalb einer bestimmten Toleranz übereinstimmen, wird als Wert des digitalen Signals, der in Schritt d verwendet wird, derjenige von Schritt a verwendet (das Signal von Schritt b wird ignoriert); der Wert des digitalen Signals, der in Schritt i verwendet wird, stimmt mit dem überein, der aus Schritt f erhalten wird (das Signal von Schritt g wird ignoriert); das heißt: das Signal, das in diesem Falle zu den Steuerrechnungen verwendet wird, ist dasjenige, das von dem Wandler im eigenen Kanal des Computers herrührt.

Die in den Schritten d und i vorgenommenen Vergleiche können komplizierter als angedeutet sein. Beispielsweise können frühere Werte der Ausstoßgas-Temperatur oder eine Kombination dieser Werte mit Werten der anderen gesteuerten Parameter auch mit im Spiel sein.

Steuerprogramme mit Schritten, welche den oben erwähnten Schritten a bis j entsprechen, werden in

509813/0373

6744/42/UO/Fr - 13 - 19. September 1974

den Computern 7 und 8 hinsichtlich des Drucks in der Verbrennungskammer und hinsichtlich der Geschwindigkeit der Turbinenwelle ausgeführt, wie diese Größen von den Wandlern 3, 4, 5 und 6 abgeführt werden. Auf diese Weise werden drei Signale vom Computer 7 gebildet. Der Computer 7 bestimmt, welches der drei die niedrigste Treibstoffzufluß-Einstellung der Betätigungseinrichtung 10 erfordert. Dieses Signal wird dann dem Motor 21 als Steuersignal zugeführt. Derselbe Vorgang wird vom Computer 8 im Blick auf die drei Signale ausgeführt, die von ihm gebildet werden. Das ausgewählte Signal wird dann als Steuersignal dem Motor 22 zugeführt. (Im vorliegenden Beispiel wird als Steuersignal dasjenige gewählt, das die niedrigste Treibstoff-Zuflußgeschwindigkeit zum Motor erfordert. Es ist jedoch auch möglich, daß die Computer 7 und 8 anders programmiert sind. So können sie das Steuersignal nach einem anderen Kriterium wählen. Beispielsweise kann aus den drei gebildeten Signalen dasjenige als Steuersignal ausgewählt werden, welches die geringste Veränderung in der Treibstoff-Zuflußgeschwindigkeit zu dem Motor erforderlich macht).

Der Antrieb der getrennten Eingangswellen des Differentialgetriebes durch die Motoren 21 und 22 ist im wesentlichen gleich, wenn kein Fehler in der Vorrichtung vorliegt. In diesem Falle dreht sich die Ausgangswelle 28 des Getriebes 27, entsprechend der Differenz zwischen den Eingangswellen des Getriebes 27, nicht wesentlich. Die

- 14 5 0 9813/0373

6744/42/UO/Fr - 14 - 19. September 1974

Differenzwelle 28 betätigt bei ihrer Drehung die Schalter 31, 32, 33 und 34 und zwar nur, wenn eine Differenz in den Eingangsdrehungen des Getriebes 27 vorliegt, welche einen bestimmten Grenzwert überschreitet. Eine solche Drehung der Welle 28 zeigt einen Fehler in der Vorrichtung an; sie bewegt den Nocken 29 und öffnet damit sowohl die Schalter 31 als auch 32. Auch der Nocken 30 dreht sich; wenn die Drehung in einem bestimmten Sinne erfolgt, beispielsweise im Uhrzeigersinne, werden die Schalter 33 und 34 geöffnet. Die Schalter 33 und 34 werden nicht geöffnet, wenn die Drehung der Welle 28 und damit diejenige des Nockens im entgegengesetzten Sinne erfolgt. Die Drehrichtung der Welle 28 hängt davon ab, welche der Eingangswellen des Getriebes 27 von den Motoren 21 und 22 stärker gedreht wird.

Die Überwachungseinheiten 35 und 36 erfassen die Öffnung der Schalter 31 und 32 und - wenn diese öffnen - die Öffnung der Schalter 33 und 34. Sie senden Signale aus, welche die Schalter 23, 24 und 25, 26 öffnen. Diese Signale trennen das Steuersignal jeden Kanals von der Betätigungseinrichtung 10 ab. Außerdem werden von den Überwachungseinheiten 35 und 36 zu den Computern 7 und 8 Signale gesandt. Diese Signale zeigen an, daß ein Fehler vorliegt und außerdem, welcher Kanal das höhere Steuersignal liefert. Die Steuerprogramme der Computer 7 und 8 werden unterbrochen; sie liefern nun die Ergebnisse ihrer Prüfprogramme an die

- 15 809813/0373

6744/42/UO/Fr - 15 - 19. September 1974

beiden Überwachungseinheiten 35 und 36.

Im System ist dafür Sorge getragen, daß kurzlebige, vorübergehende Fehler, beispielsweise die Unterbrechung der Stromversorgung von einem Kanal, nicht zu einer Drehung der Welle 28 führt. Dazu wird kontinuierlich von jeder Überwachungseinheit geprüft, ob ein Steuersignal im anderen Kanal erzeugt wird. Wenn dies bestätigt ist, wird das Steuersignal des Kanals, welcher funktioniert, um eine Zeitperiode von ungefähr 200 Millisekunden verzögert, so daß gleiche (Null-) Signale zu den Motoren 21 und 22 gelangen. Die Differenzwelle 28 dreht sich daher nicht und die Schalter 31, 32, 33 und 34 bleiben geschlossen. Während dieser Verzögerungszeit wird die Prüfung überkreuzt durch die Überwachungseinheiten fortgeführt. Wenn das fehlende Steuersignal wieder erscheint, beispielsweise weil die Stromversorgung innerhalb dieses Kanals wieder einsetzt, werden die Steuersignale wieder an die entsprechenden Motoren 21 und 22 angeschlossen. Das Steuersystem arbeitet in seiner normalen Betriebsweise. Wenn jedoch das fehlende Steuersignal am Ende der Verzögerungszeit nicht wieder vorliegt, werden die Steuersignale dennoch wieder mit den entsprechenden Motoren verbunden. Da in diesem Falle eine beträchtliche Differenz zwischen den zwei Eingangsantrieben des Getriebes 27 vorliegt, dreht sich die Welle 28. Dadurch wird, wie oben beschrieben, bewirkt, daß die Ergebnisse der Prüfprogramme in » den beiden Computern 7 und 8 den beiden Überwachungseinheiten 35 und 36 zugeliefert wird.

509813/0373

6744/42/UO/Fr - 16 -■ 19. September 1974

Das Prüfprogramm des Computers 7 umfaßt die folgenden Schritte:

a) Prüfen, ob der Computer 7 korrekt arbeitet;

b) Vergleich des Ausgangssignals des Wandlers 1 mit dem Arbeitsbereich der Ausstoßgas-Temperatur, der im Computer 7 gespeichert ist;

c) Vergleich des Ausgangssignals vom Wandler 2, das über den Datenaustauschweg 42 kommt, mit dem Arbeitsbereich der Ausstoßgas-Temperatur, der im Computer 7 gespeichert ist;

d) Vergleich des Ausgangssignals des Wandlers 1 mit dem Ausgangssignal des Wandlers 2, das über den Datenaustauschweg 42 kommt;

e) Vergleiche, die denjenigen der Schritte b,

c und d entsprechen, hinsichtlich der Wandler 3 und 5 und ebenso hinsichtlich der Wandler 4 und 6;

f) Vergleich des Ausgangssignals des Wandlers 11, welcher der Betätigungseinrichtung 10 zugeordnet ist, mit dem Ausgangssignals des Wandlers aus dem letzten Steuerprogramm des Computers 7;

g) Vergleich der Ausgangssignale der Wandler 38 und 40.

- 17 509813/0373

6744/42/UO/Fr - 17 - 19. September 1974

Bei den Schritten b und c des Prüfprogrammes des Computers 7 können kompliziertere Vergleiche im Spiel sein; beispielsweise diejenigen, die für die Schritte d und i des Steuerprogramms angedeutet wurden.

Die Prüfung a der Funktion des Computers 7 ist in zwei Teile geteilt. Der erste Teil besteht darin, zu bestimmen, ob der Computer überhaupt arbeitet; der zweite Teil besteht darin, zu bestimmen, ob er fehlerfrei arbeitet. Dazu ist die Überwachungseinheit mit einem eigenen Zeitgeber ausgestattet. Der Computer 7 sendet der Überwachungseinheit 35 in bestimmten Zeitintervallen Signale. Wenn von der Überwachungseinheit 35 innerhalb einer gegebenen Zeit nicht eine bestimmte Anzahl dieser Signal empfangen wird, deutet dieses Aussetzen die Überwachungseinheit 35 als Fehler im Kanal I. Wenn festgestellt ist, daß der Computer 7 arbeitet, läßt die Überwachungseinheit 35 den Computer 7 bestimmte Rechnungen ausführen. Die Ergebnisse dieser Rechnungen werden mit den korrekten Resultaten verglichen, die im Computer 7 gespeichert sind. Eine fehlerhafte Funktion des Computers 7 würde durch diese Prüfungen angezeigt.

Das Prüfprogramm des Computers 8 umfaßt Schritte, die zu den Schritten a bis g des Prüfprogramms von Computer 7 analog sind.

- 18 50981 3/0373

6744/42/UO/Fr - 18 - 19. September 1974

Eine Überkreuzprüfung zwischen den Überwachungseinheiten 35 und 36 selbst stellt sicher, ob diese Komponenten des Steuersystems fehlerfrei arbeiten.

Die große Mehrzahl der Fehler in einem Wandler führt zu einem vollständigen Ausfall des Wandlers. Diese Tatsache wird berücksichtigt, wenn die Vergleiche der Schritte b, c, d und e des Prüfprogramms von Computer 7 und die entsprechenden Schritte im Prüfprogramm des Computers 8 angestellt werden. Das heißt, das vom Wandler ausgesandte Signal entspricht üblicherweise entweder dem wirklichen Wert des Parameters, den er erfaßt (innerhalb der Herstellungstoleranz des Wandlers) oder er liegt völlig außerhalb des Arbeitsbereiches dieses Parameters.

Ein Fehler in einem der Datenaustauschwege 42 und 43 würde angezeigt, wenn sich herausgestellt hat, daß beide Computer fehlerfrei arbeiten und wenn der Computer 7 anzeigt, daß die Wandler 1, 3 und 5 korrekt arbeiten, die Wandler 2, 4 und 6 dagegen fehlerhaft arbeiten, und wenn der Computer 8 anzeigt, daß die Wandler 2, 4 und 6 korrekt arbeiten, daß aber die Wandler 1, 3 und 5 fehlerhaft sind.

Wenn die Vergleiche des Schrittes d des Prüfprogramms von Computer 7 mit dem entsprechenden Schritt für den Computer 8 eine beträchtliche Differenz zwischen den Wandlerausgangssignalen anzeigen und wenn nur ein einziger Fehler vorliegt, ist

509813/0373

6744/42/UO/Fr - 19 - 19. September 1974

dieser auf das spezielle Wandlerpaar isoliert. Auf diese Weise wird das Problem vereinfacht, herauszufinden, welcher Kanal fehlerhaft arbeitet.

Der Vergleich des Schrittes g des Computers 7 mit dem entsprechenden Schritt für die Wandler 39 und 41 im Prüfprogramm des Computers 8 stellen die Korrektheit der Basis-Eingangsinformation für das Steuersystem vom Piloten-Steuerhebel 37 sicher.

Der Vergleich von Schritt f für Computer 7 mit dem entsprechenden Schritt für den Wandler 12 des Testprogramms von Computer 8 zeigt an, ob die entsprechenden Motoren 21 und 22 sich in der Tat als Reaktion auf die Signale bewegten, die zu ihnen vom vorhergehenden, vollständigen Steuerprogramm geleitet wurden.

Als Resultat der Prüfprogramme, die in den Computern 7 und 8 ablaufen, wird also jede Komponente der Steuervorrichtung auf seine Funktionstüchtigkeit getestet.

Wenn die obenerwähnten Prüfungen den Fehler nicht lokalisieren, können zusätzliche Prüfungen ausge-, führt werden. Das Ausmaß, in dem zusätzliche Prüfungen ausgeführt werden, hängt davon ab, wie wichtig ist, daß die Vorrichtung automatisch die Steuerung des Motors behält. Wenn beispielsweise gezeigt wurde, daß die Ausgangssignale aller Wandler innerhalb ihrer entsprechenden Arbeitsbereiche liegen, ,dann können die Wandler weiter getestet werden, indem die Computer 7 und 8 so programmiert sind, daß

509813/0373

6744/42/UO/Fr - 20 - 19. September 1974

sie Vergleiche zwischen den Werten der verschiedenen Parameter anstellen. Dadurch wird beispielsweise bestimmt, ob die Veränderungsrate eines Parameters oberhalb eines bestimmten Wertes liegt, oder ob die angezeigte Ausstoßgas-Temperatur mit dem angezeigten Verbrennungskammerdruck und mit der angezeigten Turbinenwellengeschwindigkeit konsistent ist. Die Vergleiche, die dazu angestellt werden, zu bestimmen, ob eine bestimmte Komponente der Steuervorrichtung korrekt arbeitet, können erforderlichenfalls verfeinert werden. Beispielsweise können die Computer 7 und 8 so programmiert werden, daß der Arbeitsbereich, mit welchem der Parameterwert verglichen wird, an verschiedene Flugzustände des Luftfahrzeugs angepaßt wird.

Die Resultate der obenerwähnten Prüfungen werden von den Computern 7 und 8 zu jeder der Überwachungseinheiten 35 und 36 zurückgeleitet. Logische Schaltungen innerhalb jeder Überwachungseinheit entscheiden dann automatisch, welcher der folgenden Handlungsabläufe eingeschlagen werden muß:

I Wiederanschließen von Kanal I an die Betätigungseinrichtung 10, wobei Kanal II abgetrennt bleibt;

II Wiederanschließen von Kanal II an die Betätigungseinrichtung 10, wobei der Kanal I abgetrennt bleibt;

- 21

$09813/0373

6744/42/UO/Fr - 21 - 19. September 1974

III "beide Steuerkanäle bleiben von der Betätigungseinrichtung 10 abgetrennt.

Der bestimmte Handlungsablauf, der ergriffen wird, hängt vom Ausmaß der Übereinstimmung zwischen den Signalen ab, die von jeder Überwachungseinheit 35 und 36 von den Prüfprogrammen der Computer 7 und 8 empfangen werden. Es muß jedoch vollständige Übereinstimmung zwischen den Überwachungseinheiten 35 und 36 vorliegen, damit Verlauf I oder Verlauf II eingeschlagen wird; im anderen Falle wird Verlauf III eingeschlagen. Eine Ausnahme dafür ist dann gegeben, wenn der Fehler in einer der beiden Überwachungseinheiten 35 und 36 lokalisiert ist. In diesem Falle werden Signale aus dem Kanal, welcher die fehlerhafte Überwachungseinheit enthält, ignoriert; die Überwachungseinheit des anderen Kanals entscheidet, ob ihr eigener Kanal die Steuerung wieder aufnehmen kann.

Die Signale, die an den Überwachungseinheiten 35 und 36 von einem der Computer 7 und 8 her ankommen, können mit den Signalen, die vom anderen Computer ankommen soweit übereinstimmen, daß nur ein bestimmter Kanal korrekt arbeitet. In einem solchen Falle wird nur dieser Kanal wieder an die Betätigungseinrichtung 10 durch Signale von beiden Überwachungseinheiten 35 und 36 wieder angeschlossen. Diese Signale lassen die entsprechenden Schalter 23, 24 oder alternativ die Schalter 25 und 26 schließen.

- 22 509813/0373

6744/42/UO/Fr - 22 - 19. September 1974

Die Signale, die an den Überwachungseinheiten 35 und 36 ankommen, können so aussehen, daß beide Prüfprogramme anzeigen, daß beide Kanäle korrekt arbeiten. In diesem Falle existiert entweder ein Fehler, der nicht erfaßt wurde, oder der Fehler ist nur vorübergehend. Von einem Fehler, der nicht erfaßt werden kann, wird angenommen, daß er in der Steuervorrichtung vorliegt; dann werden beide Kanäle abgetrennt belassen und der Pilot des Luftfahrzeugs wird informiert, daß die Vorrichtung nicht länger die Steuerung der Motorparameter übernehmen kann.

Die letzte Möglichkeit ist diejenige, daß die Signale, welche die Überwachungseinheiten 35 und 36 von den Computern 7 und 8 erreichen, inkonsistent sind oder einen Fehler in jedem Kanal anzeigen. In beiden Fällen werden wiederum beide Kanäle von der Betätigungseinrichtung 10 abgetrennt belassen. Diese Information wird dem Pilot als Warnsignal weitergegeben. Dieser kann die Uberwachungseinheiten 35 und 36 nach seiner Entscheidung überspielen. Um den Pilot beim Fällen seiner Entscheidung zu helfen, zeigt das Warnsignal außerdem an, welcher der beiden Kanäle den höheren Treibstoffluß zum Motor verlangt.

Der Pilot kann die Steuervorrichtung überspielen und wählen, welcher Kanal die Kontrolle übernimmt. Dies geschieht mittels eines Handwählschalters 44, der auf beide Überwachungseinheiten 35 und 36 wirkt und die beiden Schalter 23 und 24 oder alternativ die beiden Schalter 25 und 26 schließt. Wei-

509813/0373

6744/42/UO/Fr - 23 - 19. September 1974

tere Vorrechts-Wahlschalter 45, 46 (Fig. 1) wirken auf die Steuereinheiten 15 bzw. 19.

Es läßt sich also erkennen, daß der Pilot nur in den Fällen davon abhängt, daß die Vorrichtung die Steuerung des Motors beibehält, wenn entweder Kanal I oder alternativ Kanal II wieder an die Betätigungseinrichtung angeschlossen wird. Eine Situation, in der ein fehlerhafter Kanal zur Steuerung ausgewählt wird, kann nur dann entstehen, wenn beide Prüfprogramme die Existenz eines Fehlers in einem Kanal anzeigen, der keinen Fehler hat^und keinen Fehler im fehlerhaften Kanal anzeigen. Die Wahrscheinlichkeit, daß diese zwei Bedingungen während derselben Fehlersuche auftreten, hat sich als statistisch sehr gering herausgestellt.

Eine alternative Vorgehensweise nach Auffinden eines Fehlers in der Steuervorrichtung besteht darin, einen bestimmten Kanal mit der Betätigungseinrichtung verbunden zu lassen, während der andere Kanal abgeschaltet wird. Es folgt das Prüfprogramm, wie bereits beschrieben; die Steuerung wird nur dann von dem ausgewählten Kanal weggenommen, wenn sich herausstellt, daß dieser Kanal fehlerhaft ist. Beispielsweise kann man es so einrichten, daß bezüglich der Geschwindigkeit der Turbinenwelle bei Erfassen eines Fehlers in der Steuervorrichtung derjenige Kanal in der Steuerung belassen wird, der die höhere Turbinenwellengeschwindigkeit anzeigt. Diese Wahl vermeidet einen anfänglichen Leistungsabfall, der auftreten könnte, wenn der Kanal ausgewählt wird, welcher die ge-

509813/0373 -24-

2U5173

6744/42/UO/Fr - 24 - 19. September 1974

ringere Turbinenwellengeschwindigkeit^ aufzeigt. Außerdem würde durch einen getrennten hydromechanischen Wächter sichergestellt, daß die Turbinenwellengeschwindigkeit nicht gefährlich hoch wird.

Zusätzlich wird vorzugsweise bei der Betätigungseinrichtung 10 eine zeitweilige mechanische Begrenzung vorgesehen; dadurch wird beispielsweise eine übermäßige Störung des Treibstoffluß zum Motor verhindert, die zu einer übermäßigen Leistungsveränderung oder zum Verlöschen der Verbrennungsflamme führen könnte. Eine solche Begrenzung könnte entweder von Hand durch den Pilot oder alternativ nach einer bestimmten zeitlichen Verzögerung entfernt werden.

Die Steuerung der "Stellung" der Motordüse mit den Wandlern 13 und 14, Computern 7 und 8, der Steuereinheit 15, der Betätigungseinrichtung 16 wird analog zu der Steuerung ausgeführt, die bereits anhand der Treibstoff-Zuflußgeschwindigkeit zum Motor beschrieben wurde. Diese Steuerung wird schließlich von der Betätigungseinrichtung 16 ausgeführt, welche einen (nicht gezeigten) Motor antreibt. Dieser stellt seinerseits die wirksame Fläche der Düse ein. Die Steuerung des Treibstoffzufluß zum Nachbrenner wird in ähnlicher Weise mit den Wandlern 17 und 18, Computern 7 und 8 und der Steuereinheit 19 ausgeführt. Die Steuereinheit 19 wirkt auf die Betätigungseinrichtung 20, welche die Einstellung eines (nicht gezeigten) Ventils in der Treibstoffleitung zum Nachbrenner regelt.

509813/0373

6744/42/UO/Fr - 25 - .19. September 1974

Der Computer 7 und die Steuereinheit 35 sind bisher als getrennte Ausrüstungsstücke betrachtet
worden. Es ist selbstverständlich möglich, daß
die logische Schaltung der Überwachungseinheit 35 in den Computer 7 inkorporiert sein kann, und daß der Computer 8 die logische Schaltung der Überwachungseinheit 36 enthält.

Bei einigen anderen Anwendungsmöglichkeiten des
Steuersystems kann es wünschenswert sein, daß die Hand-Vorrechtsschalter des Piloten, beispielsweise die Schalter 44, 45 und 46 auf mehr als eine
Steuereinheit wirken und damit mehr als eine Betätigungseinrichtung steuern.

Die Erfindung wurde oben anhand mechanischer Komponenten, wie beispielsweise der Motoren 21 und und des Getriebes 27 beschrieben. Es können jedoch einige oder alle Funktionen dieser Komponenten
elektrisch ausgeführt werden bei entsprechender
elektrischer Duplizität im Gegensatz zur mechanischen Duplizität.

- 26 Ansprüche

509813/0373

Claims

6744/42/UO/Fr - 26 - 19. September 1974 Ansprüche

1. Zweifachsteuerung, insbesondere zur Steuerung eines Gasturbinenmotors in einem Luftfahrzeug mit zwei parallel zueinander betriebenen Kanälen, dadurch gekennzeichnet , daß sie umfaßt

eine Einrichtung (27 bis 34), welche das Auftreten eines Fehlers in den Kanälen (1, 3, 5, 7, 21, 23, 24 und 2, 4, 6, 8, 22, 25, 26) durch Überkreuzprüfung zwischen diesen erfaßt;

eine Einrichtung (7, 8, 23, 24, 25, 26, 35, 36) welche auf die Erfassung eines Fehlers anspricht und bezüglich jeden einzelnen Kanals (1, 3, 5, 7, 21, 23, 24 und 2, 4, 6, 8, 22, 25, 26) eine bestimmte Operation des Signalvergleichs ausführt, bei der Signalwerte von diesem Kanal verwendet werden, um zu bestimmen, in welchem Kanal der Fehler liegt.

2. Steuervorrichtung nach Anspruch 1, dadurch gekennzeichnet , daß die Einrichtung (7, 8, 23, 24, 25, 26, 35, 36), welche auf das Erfassen eines Fehlers anspricht, in der bestimmten Operation entsprechende Signal-

509813/0373

6744/42/UO/Fr - 27 - 19. September 1974

werte jeden einzelnen Kanals mit einem bestimmten Grenzwert für das Signal vergleicht, um so zu bestimmen, in welchem Kanal der Fehler liegt.

3. Steuervorrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet , daß die Einrichtung (7,8, 23, 24, 25, 26, 35, 36), welche auf das Erfassen eines Fehlers anspricht, einen Computer (7, 8) und eine Überwachungseinheit (35, 36) in jedem individuellen Kanal (1, 3, 5, 7, 21, 23, 24 und 2, 4, 6, 8, 22, 25, 26) umfaßt, wobei alle Computer (7, 8) die bestimmte Operation ausführen und entsprechende Signale zu allen Uberwachungseinheiten (35, 36) leiten, die zusammen den Kanal bestimmen, in welchem der Fehler liegt.

4. Steuervorrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Einrichtung (7, 8, 23, 24, 25, 26, 35» 36), welche auf die Erfassung eines Fehlers anspricht, eine Schalteinrichtung (23, 24, 25, 26, 35, 36) enthält, welche die Steuersignale, die von einem fehlerhaften Kanal (1, 3, 5, 7, 21, 23, 24 und 2, 4, 6, 8, 22, 25, 26) geliefert werden, der Verwendung in der Vorrichtung entzieht.

- 28 50981 3/0373

2U5173

6744/42/UO/Fr - 28 - 19. September 1974

Steuervorrichtung nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet , daß die Einrichtung (27 bis 34), welche das Vorliegen eines Fehlers erfaßt, ein Getriebe (27) umfaßt, welches Eingangsdrehungen aufnimmt, die von den Steuersignalen mindestens zweier Kanäle (1, 3, 5, 7, 21, 23, 24 und 2, 4, 6, 8, 22, 25, 26) abgeleitet sind, wobei das Getriebe (27) eine Ausgangswelle (28) besitzt, welche entsprechend der Differenz zwischen den beiden Getriebeeingangsdrehungen dreht.

Steuervorrichtung nach Anspruch 5, dadurch g e kennzeichnet , daß die Getriebeausgangswelle (28) einen Nocken (29) trägt, welcher einen Schalter (31, 32) schaltet, der das Auftreten eines Fehlers in den Kanälen (1, 3, 5, 7, 21, 23, 24 und 2, 4, 6, 8, 22, 25, 26) anzeigt.

50981 3/0373

Leerseite