Design eines Redundanten Systems

[Thalhammer]

Und wie soll ich bitte ein PWM Signal mit 50Hz (oder gar 100Hz wenn die Servos da mit machen) durch ein Relais quetschen ?
Ne wenn schon potentialtrennung (was ja ansich ne gute idee ist) dann mit optokopplern oder ähnlichem.
Leiterbruch wollte ich dadurch verhindern, das ich soweit möglich alles auf der Platine verlege und zwischen den Platinen (Also Sensorboard->Mainboard->Aktoren) möglichst wenige Drähte (Also I2C oder usart) und diese dafür doppelt verlege (und zwar möglichst weit von einander entfernt).
Ich glaube ich vertraue einfach darauf, das eine Doppelte Auslegung reicht.

[Slowly]

Na über die Relaiskontakte. Die Fehlerhafte Baugruppe wird mit einem Umschalter komplett auf die funktionierende umgeschaltet. Ein Optokoppler wird auch nicht gehen, da dieser ja auch durch eine Fehlfunktion dauerhaft auf Low oder High die funktionierende Baugruppe beeinflussen würde.

[PICture]

Ich denke, dass zum Umschalten am stromsparsamsten bistabile Elektromagneten bzw. Relais wären.

[Thalhammer]

Ja ok logisch,
War jetzt grade irgendwie auf dem falschen Dampfer....

[Peter(TOO)]

Hallo,

Wie schon angedeutet hat die NASA bei der Mondlandung die wichtigen Systeme 3-fach ausgeführt und dann mit Majoritätslogik entschieden, dass die Mehrheit recht hat. Dabei wurden aber 3 identische Rechner verwendet.

Bei den heutigen Flugzeugen und Fly-by-Wire verwendet man 3 komplett unabhängig voneinander entwicklete Rechner, wie schon gesagt wurde, sowohl Hard- wie auch Software. Die Idee ist, dass die CPU z.B. einen Design-Fehler haben könnte (War ja z.B. beim 80386 mal so, der hat, je nach Temperatur, falsch multipliziert).
Die Aktoren sind auch 3-fach ausgeführt. Wobei das ganze so ausgeführt ist, dass eigentlich ein einzelner Aktor die Steuerung übernehmen kann. Der Rest geht dann rein mechanisch, die Kräfte des falsch angesteuerten Aktors werden vom einen "gesunden " kompensiert und der Dritte leistet die eigentliche Arbeit.

Eine andere Methode ist, das ganze nur doppelt auszuführen, wobei der Backuprechner dabei eine grössere Leistung haben muss. Der kleinere übernimmt dabei normalerweise die Steuerung. Der grössere beinhaltet die gesammte Steuerung wir der Kleine auch und zusätzlich vergleicht er seine Berechnungen mit denen des kleinen. Wenn der Grosse unterschiede feststellt schaltet er den Kleinen ab und übernimmt selbst.
Allerdings weiss man dabei nicht, welcher der beiden wirklich einen Fehler macht, es kann auch schief gehen.

Das Problem bei redundanten Systemen ist, dass sie komplexer als ein einfaches System sind. Die Fehleranfälligkeit steigt aber mit der Komplexität des Systems an.
Bei schlechter Planung kann ein redundantes System fehleranfälliger sein als ein einfaches!

Bei deinem I2C-Bus könnte man z.B. 2 FETs in Serie schalten. Der eine FET wird mit dem Steuersignal angesteuert. Der zweite FET wird dann mit dem invertierten Steuersignal über einen RC-Tiefpass angesteuert. Damit wird dann ein dauerndes Durchschalten im Fehlerfall verhindert.
Hilft dann aber nichts, wenn der Steuerausgang wild schaltet.

MfG Peter(TOO)

[PICture]

Bei einfachen Systemen in der Erdatmosphere wie hier ein Segelflugzeug, könnte am einfachsten z.B. ein Fallschirm sein, der bei einer Fehlfunktion der Hauptsteuerung das Gute noch rettet. Beispielweise beim Fallschirmspringen hat jeder Springer einen redundanten lebensretenden Ersatzfallschirm.

Am einfachsten wäre jedoch ein Steuerungsystem, der geprüft genug lang fehlerfrei funktioniert. Ich kann mir noch errinern, das z.B. frish entwickelte"on demand" Herzschrittmacher, vor Zulassung zur Serienproduktion (wie bei NASA), in einer künstlicher menschlicher Körperflüssigkeit mehr als 10 Jahre in klimatisierter Kammer bei +5 bis +45 °C mit vorgesehener Lithiumbatterie getestet wurden.

[Thalhammer]

Also quasi alles doppelt rechnen und wenn ein Fehler auftaucht die aktuelle Position funken und das teil per Fallschirm kontrolliert abstürtzen lassen ?