DE3225712A1

DE3225712A1 - Verfahren und vorrichtung zur funktionspruefung von rechnern

Info

Publication number: DE3225712A1
Application number: DE19823225712
Authority: DE
Inventors: Wolfram Dipl Ing Poettig; Alfred Dipl Ing Schmidt
Original assignee: MAN Maschinenfabrik Augsburg Nuernberg AG
Current assignee: MT Aerospace AG
Priority date: 1982-07-09
Filing date: 1982-07-09
Publication date: 1984-01-12
Also published as: IT1171846B; JPS5924353A; IT8348644A0; US4627057A; JPH0644244B2; DE3225712C2

Description

gü/sd

M.A.N. MASCHINENFABRIK AUGSBURG-NÜRNBERG Aktiengesel1 schaft

München, 1. Juli 1982

Verfahren und Vorrichtung zur Funktionsprüfung

von Rechnern

Die Erfindung bezieht sich auf eine Einrichtung zur Funktionsprüfung von Rechnern zur Steuerung, Regelung oder Oberwachung von Prozessen.

Mikrorechnerunterstützte Steuer- und Regel systeme werden immer mehr auf Gebieten angewendet, an die höhere Sicherheitsanforderungen gestellt werden.

Dabei handelt es sich immer mehr um Prozesse, bei denen man den Prozeß nach einem Fehlerfall aus Sicherheitsgründen nicht unmittelbar abschalten darf oder aus Verfügbarkeitsgründen nicht abschalten will. Diese Aufgabe wird im allgemeinen durch Einsatz redundanter Regelungsund Steuersysteme gelöst. Das sind Systeme mit zwei oder mehreren unabhängigen Funktionskanälen, die Regelungs- oder Steuerungsaufgaben erfüllen und einem Mikrorechner, wobei der Mikrorechner die Umschaltsteuerung, die überwachung und die Fehlerlokalisierung in den Funktionskanälen übernimmt.

7.2133

Das Sicherheitskonzept geht davon aus, daß der Rechner, solange er fehlerfrei arbeitet, Fehler in den Regelkanälen erkennen und durch richtige Reaktion die zu regelnde Anlage in den sicheren Zustand bringen kann. Die Funktionssicherheit jedoch hängt hierbei letz!ich noch von möglichen Fehlerquellen des Rechners ab. Die Störungen eines Rechners können zeitlich begrenzt (z.B. Netzstörungen, Obersprechen) oder bleibend (z.B. Bautei1 ausfall) sein. Typische Fehlerwirkungen können sich ergeben durch Stehenbleiben des Rechners (Ausfall des Systemtakts); wenn der Rechner in einer Endlosschleife läuft; durch Datenfehler, insbesondere dynamische, abhängig von bestimmten Bitkombinationen; durch defekte Arithmetikeinheit, wodurch Befehle (z.B. Vergleiche) nicht mehr richtig durchgeführt werden; durch Veränderungen in der Software, auch in der Softwareredundanz, durch defekte Programmspeicher.

Mit zwei oder mehr Rechnern (MuI ti Prozessorsysteme), die sich gegenseitig überwachen, könnte die Funktionssicherheit erhöht werden, jedoch nur unter großem Aufwand, weil zum Ausschluß systematischer Fehler im allgemeinen diversitäre Hard- und Software erforderlich sind (Aufsatz von Knörnschild, RTP 1981, Heft 8).

²^ Bei allgemeinen Anwendungen wird jedoch der Zustand des angeschlossenen Prozesses außer durch logische Zustände (z.B. Schalterstellungen, Grenzwertmelder) auch durch kontinuierliche Größen beschrieben. Diese Tatsache schränkt die Anwendbarkeit eines Mehrprozeßsystems weiter hin, weil sich die Übereinstimmung mehrerer Rechner nicht durch

7.2133
01.07.1982

triviale Vergleiche auf Bitmusterebene überprüfen läßt, sondern nur durch umfangreiche, zusätzliche Softwareprozeduren.

Leichter beherrschbar und sowohl von den Entwicklungs- als auch von den Fertigungskosten her günstiger ist ein Einzelrechner, der aus Gründen der Fehlersicherheit mit einer Kontrol1 einheit gekoppelt ist. Ein einfaches, dazu üblicherweise verwendetes Verfahren beruht auf..dem Watchdog ("Wachhund"), der vom Rechner innerhalb eines periodischen Zeitfensters eine immer gleichbleibende Meldung erwartet. Damit kann jedoch im allgemeinen nur geprüft werden, ob der Rechner überhaupt noch arbeitet, nicht jedoch ob er in wesentlichen Funktionen korrekt arbeitet und sicherheitsrelevante Befehle richtig ausführt. So können in der Regel durch Watchdog-Schaltungen mit retriggerbaren Kippstufen die ersten beiden der vorstehenden Fehlerfälle erkannt werden (Ausbleiben eines Life-Signals). Jedoch versagt diese Einrichtung bei den übrigen Fehlermöglich-

keiten bzw. erkennt sie nur mit unzureichender Wahrscheinlichkeit. Zusätzlich bleibt bei den meisten Kontrol 1 schal tungen dieser Art ein Ausfall der Schaltung selbst unbemerkt.

Gerade aber bei sicherheitsrelevanten Anwendungen, bei denen die Gefährdung von Personen und Anlagen mit größtmöglicher Wahrscheinlichkeit ausgeschlossen werden muß, ist die Erkennung aller dieser Ausfälle unverzichtbar,

die nur durch zusätzliche problemorientierte Hardware-30

überwachung erreichbar ist.

7.2133
01.07.1982

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren der eingangs genannten Art zu entwickeln, mit dem unter möglichst geringem fertigungstechnischen Aufwand eine so umfassende überwachung des Rechners möglich ist, daß der Rechner für sicherheitsrelevante Aufgaben auch mit höchstem Gefährdungsgrad (Personenschäden) bei Prozesssteuerungen und -Überwachungen eingesetzt werden kann.

Die Aufgabe ist erfindungsgemäß durch ein Verfahren gemäß dem kennzeichnenden Teil des Anspruches 1 gelöst.

Mit dem erfindungsgemäßen Verfahren lassen sich die wesentlichen Funktionen eines Rechners bzw. eines Mikrorechners periodisch überwachen, wobei beim Auftauchen eines Fehlers die zu überwachende Anlage in eine Sicherheitsstellung gebracht werden kann. Dieses Verfahren ist außerdem universell anwendbar und liefert den weiteren Vorteil, daß beliebige Selbsttestmaßnahmen des Rechners durch ein effizientes Überwachungsverfahren abgesichert werden.

über Quittungssignale erkennt der Rechner zudem aufgrund der volldynamischen Arbeitsweise der Kontrol1 einheit alle dort auftretenden Fehler, so daß bei Ausschluß von unabhängigen Doppelfehlern ein fehlersicheres überwachungssystem entsteht.

Ein hohes Sicherheitsniveau und eine rasche Reaktion auf Fehlerzustände wird dadurch erreicht, daß die Eingriffe des Rechners auf den Prozeß jeweils nur nach einem Ver- ^⁰ gleich der Kontroll- und Prüfsignale erfolgt, wobei Eingriffe bei fehlerf-r-ßifem betrieb nur bei Übereinstimmung der Kontroll- und Prüfsignale wirksam werden. Damit wird verhindert, daß sich Fehl funktionen des Rechners auf den Prozeß auswirken. Dies.ermöglicht den Einsatz einkanaliger Rechnersysteme auch bei sicherheitsrelevanten Prozessanwendungen.

7.2133
01.07.1982

-δι Gemäß einer Ausgestaltung der Erfindung ist als Prüfsignal ein digitales Prüfwort, vorzugsweise in der Verarbeitungsbreite des Rechners vorgesehen. Zu seiner Bildung ist nur eine sehr einfache Hardware notwendig, die aber einen gegenüber herkömmlichen Watchdog-Schaltungen wesentlich erhöhten überwachungsumfang ermöglicht.

Das digitale Prüfwort kann nach einem bestimmten festgelegten Bildungsgesetz dynamisch geändert werden, sobald bestimmte Bedingungen vorliegen, so daß zusätzlich eine überwachung dadurch geschaffen wird, daß der Eintritt dieser Bedingungen vom Rechner selbst erkannt werden muß.

Durch die dynamischen Änderungen des Prüfwortes sowie durch die Übereinstimmung der Wortlängen von Kontrolleinheit und Rechner wird gegenüber herkömmlichen Watchdog-Schaltungen ein wesentlich erhöhter überwachungsumfang erreicht. In die einfache softwaremäßige Implementierung des Bildungsgesetzes kann dadurch eine sehr effiziente überwachung rechnerinterner Speicherzellen eingeschlossen werden, weil praktisch alle möglichen Kombinationen vorkommen und damit auch versteckte Fehler (dynamisches übersprechen, Stuck-at-Fehler)aufgedeckt werden.

Ein softwaremäßig implementiertes Bildungsgesetz kann so realisiert sein, daß bei seiner Bearbeitung sicherheitsrelevante Funktionen und Funktionsgruppen des Rechners benutzt werden, deren Fehl erfreiheit indirekt durch die Übereinstimmung von Kontroll- und Prüfsignalen bewiesen wird.

Das mit dem Prüfwort zu vergleichende Kontrol1 signal kann vorzugswewise ein vom Rechner ausgegebenes Datenwort sein, das vorzugsweise innerhalb eines festgelegten

7.2133
01.07.1982

periodisch wiederkehrenden Zeitfensters ausgegeben werden muß. Dies ist ein wichtiges Kriterium für Rechneranwendungen mit Regelungs- und Simmulationsaufgaben unter Echtzeitanwendungen.

Die Erfindung erstreckt sich auf eine Vorrichtung zur Durchführung des Verfahrens, die aus einer die Prüf-Signale erzeugenden Kontrolleinheit und einem Vergleicher besteht, der die Prüfsignale und die Kontrol1 signale des Rechners aufnimmt. Eine derartige Vorrichtung benötigt nur einen geringen Hardware-Aufwand. Mit dem Ausgangsimpuls des Vergleichers oder nachfolgender retriggerbarer Zeitglieder wird ein Speicherbaustein angesteuert derart, daß bei ungleichen Eingangssignalen am Vergleicher, d.h.

beim Auftauchen eines Fehlers, der Prozeß auf dem zuletzt ausgegebenen fehlerfreien Zustand gehalten wird oder zwangsläufig in eine vorher festgelegte Sicherheitsstellung (z.B. Abschalten) gebracht wird.

Es ist von Vorteil, wenn eine vom Vergleicher ansteuerbare redundante Alarmeinheit vorgesehen ist, mit der der Fehler akustisch und/oder optisch erkennbar gemacht werden kann.

Mit einem nicht retriggerbaren Zeitgeber, der dem Vergleicher nachgeschaltet wird, kann ein kleines Zeitfenster zur periodischen Kontrolle des Rechners geschaffen werden. Hierzu eignen sich insbesondere zwei nicht retriggerbare Monoflops, von denen das erste Monoflop vom

^O Vergleicher angesteuert wird und das durch die fallende Flanke das zweiten Monoflop triggert. Beim Abfallen des zweiten Monoflops wird ein Schiebetakt für die Kontrol1 einheit abgegeben, der nach einem festgelegten Bildungsgesetz das Prüfsignal ändert.

7.2133
01.07.1982

-10-

Hierbei ist es vorteilhaft, wenn die Kontrol1 einheit mit einem Pseudozufallsgenerator ausgestattet ist, der das Prüfsignal erzeugt und der mit einem vom Zeitgeber ausgegebenen Schiebetakt periodisch angesteuert wird. Es ist weiterhin vorteilhaft, wenn die Rückkopplung des Pseudozufallsgenerators derart strukturiert ist, daß sich eine möglichst große Periodendauer der Prüfsignalwiederholung und eine möglichst umfassende Durchspielung aller möglichen Prüfsignalmuster ergibt.

Um einen Ausfall der Stromversorgung registrieren und weiterhin bestimmte Minimalfunktionen (z.B. Alarmgabe) erfüllen zu können, ist die Kontrol1 einheit mit einer vom Rechner unabhängigen Spannungsversorgung versehen.

Ein Ausführungsbeispiel gemäß der Erfindung ist in der Zeichnung schematisch dargestellt.

Ein Rechner bzw. Mikrorechner 10, Fig. 1, empfängt 20

Signale 11 eines von ihm zu überwachenden Prozesses, beispielsweise eines Regelsystemes 12 und greift wiederum über den Ausgang 13 in den Prozeß 12 ein, um Optimierungen oder Umschaltungen im Prozeß durchzuführen. Insbesondere im Fall eines Fehlers im Regelsystem 12, den der Rechner 10 durch implementierte softwaremäßige Überwachungsfunktionen erkennt, ist der Rechner in der Lage, durch den Ausgang 13 durch Aktivierung von Ersatzfunktionen (Redundanz) im Regelsystem 12 einen fehlerfreien Zustand wiederherzustellen oder durch Abschaltmaßnahmen das Regelsystem 12 stillzusetzen und damit den sicheren Zustand des Prozesses anzusteuern (Fail-Safe-Verhalten).

7.2133
01.07.1982

-11-

Die Funktionsfähigkeit des Rechners 10 wird wiederum mit einer Kontrol1 einheit 15 überwacht. Mit einer Alarmeinheit 16 werden schließlich etwaige Fehler signalisiert, indem sie über den Eingang 17 vom Rechner 10 aufgrund einer Fehlerquelle im Reglersystem 12 bzw. in der Kontrolleinheit 15 über den Eingang 18 von der Kontrolleinheit 15 aufgrund eines Fehlers im Rechner 10 bzw. in der Kontrol1 einheit 15 angesteuert wird und über eine Hupe 19 ein akustisches Alarmsignal abgibt.

Für die überwachung des Rechners 10 erzeugt dessen Mikroprozessor beim Ausgang 20 ein Kontrol1 signal in der Form eines Kontroll- oder Datenwortes von beispielsweise 8 bit Länge. Zugleich wird über den Ausgang 35 die Ausgabe des Kontrol1 signals signalisiert. Mit einem in der Kontrol1 einheit 15 enthaltenen Pseudozufalls-Zahlengenerator 22, im folgenden PRBS-Generator genannt (Pseudo-Rausch-Binär-Signal), wird zum Kontrol1 signal des Rechners 10 ein Prüfsignal in der Form eines Prüf- bzw. Testwortes von gleicher Länge des Datenwortes erzeugt, das über den Datenbus 23 ausgegeben wird. Das Prüfwort und das Kontrollwort werden in einem Vergleicher 25 verglichen. Der Ausgang des Vergleichers 25 liefert bei vollständiger überein-Stimmung der beiden Wörter bei gleichzeitiger Aktivierung des Ausganges 35 einen Triggerimpuls für ein nicht retriggerbares Monoflop 27, das seinerseits wiederum nach Ablauf einer Zeitspanne t . durch die fallende Impulsflanke ein ebenfalls nicht retrigger-

^O bares Monoflop 28 triggert. Nach Ablauf einer Zeit tp . fällt das Monoflop 28 ebenfalls ab und liefert damit dem PRBS-Generator 22 einen Schiebetakt 30.

7.2133
01.07.1982

Bei fehlerfreiem Betrieb des Rechners 10 gibt der Rechner 10 gemäß dem Zeitdiagramm in Fig. 2 zu einem .Prüfwort, beispielsweise "k+1", innerhalb des Zeitfensters tp_enst ein Kontrollwort "k+1" aus.

Damit startet der Vergleicher 25 das Monoflop 27.

Nach der Zeit t . fällt das Monoflop 27 ab und startet min

das in der Zwischenzeit abgefallene Monoflop 28 zur Bestimmung des nächsten Zeitfensters, innerhalb dessen das nächste Kontrollwort fallen muß. Das neue Prüfwort "k+2" wurde in der Zwischenzeit beim Abfallen des Monoflops 28 durch den dabei erzeugten Schiebetakt 30 gebildet. Gleichzeitig wird die Funktion des Monoflops 27 durch eine Quittungsleitung 31 dynamisch an den Rechner rückgemeldet.

Wird nun aber durch einen Defekt des Rechners 10 das folgende Kontrollwort "k+2" nicht innerhalb des Zeitfensters ausgegeben, dann wird das erste Monoflop nicht gestartet, so daß nach dem Abfallen des zweiten Monoflops 28 beide Monoflops 27 und 28 abgefallen sind und damit über ein NOR-Gatter 32 und dem Eingang 18 die Alarmeinheit 16 angesteuert wird.

In gleicher Weise wird ein Fehler in der Kontrolleinheit 15 registriert und gemeldet, indem durch Ausfall eines oder beider Monoflops das NOR-Gatter 32 direkt angesteuert wird oder bei defektem PRBS-Generator 22 der Vergleicher 25 infolge eines falschen Prüfwortes keinen Tri ggeriinpul s ausgibt. Auf diese Weise ergibt sich ein teilweise fehlersicheres Überwachungssystem für den Rechner, weil sich Ausfälle in der Kontrolleinheit 15 selbst aufdecken.

7.2133
01.07.1982

Besondere softwaregestutzte Maßnahmen zur Aufdeckung verdeckter Fehlermöglichkeiten in der Kontrolleinheit sind dadurch möglich, daß der Rechner 10 falsche Kontronworte oder falsche Signale 35 ausgibt und die Reaktion der Kontrolleinheit 15 durch Auswertung des Signals 31 auf Richtigkeit überprüft. Im Fehlerfall ist der Rechner in der Lage, über den Eingang 17 der Alarmeinheit eine Alarmmeldung abzugeben.

Der Alarm wird, wie im Zeitdiagramm, Fig. 2, gezeigt ist, auch ausgelöst, wenn der Rechner 10 zwar periodisch richtige Datenwörter ausgibt, jedoch in einem zu großen Zeitintervall. Desgleichen geschieht gemäß Fig. 3, wenn

die Meldezeit des Rechners 10 unterschritten wird. 15

Die Auswirkung von Ausgangssignalen 36 des Rechners 10 auf .das Regelsystem 12 wird durch Einschalten eines Speichergliedes 37 verzögert. Durch Ausgabe eines neuen richtigen Kontrol1 Wortes und Triggerung des Zeitgebers

27 wird die Funktionsfähigkeit des Rechners 10 und damit die Gültigkeit des Ausgangssignals 36 bestätigt, welches das Speicherglied 37 nach Triggerung durch das Quittungssignal 31 auf seinen Ausgang 13 übernimmt und für den

Prozeß wirksam werden läßt.
25

Die Alarmeinheit 16 und das NOR-Gatter 32, die nicht im Selbstüberwachungssystem eingeschlossen sind, sind entweder dynamisch fehlersicher ausgebaut, doppelt ausgeführt oder können in regelmäßigen Abständen getestet 30

werden. Letzteres kann mit Hilfe des Rechners im Rahmen seines Selbsttestes durchgeführt werden, indem das Datenwort verspätet ausgegeben wird und damit ein kurzer Al arm-"Pieps" gesendet wird. Die Funktionsfähigkeit des NOR-Gatters 32 und der Alarmeinheit 16

7.2133
01.07.1982

wird vom Rechner 10 durch eine Abfrage der Al arminel deleitung 34 überprüft, die z.B. an einen akustischen Alarmdetektor 33 angeschlossen ist.

Das Bildungsgesetz des Testwortes muß im Rechner über eine rekursive Beziehung gebildet werden:

,neu i,alt
^bi+l^{: = b}i
10

,neu ,,alt, (.alt* / /k^alt_i. K^alt\ b_Q : = (b₇ ψ- b₆ ) φ (b₄ φ. b₂ )

Im Laufe einer Periode von 255 Schiebeschritten werden alle Konbinationen bis auf den unerlaubten Zustand 00000000 durchgespielt, so daß auch auf bestimmten Bitkombinationen beruhende Fehler erkannt werden können.

Weiterhin können beliebige zusätzliche Operationen (Arithmetik-, Transfer-, Vergleichsbefehle) durchgeführt werden, die durch andere Operationen wieder rückgängig gemacht werden. Damit ergibt sich als weiterer Vorteil, daß der Grad der Redundanz durch die Software bestimmt wird und damit leicht den Erfordernissen und Möglichkeiten, wie Zeitbedingungen und Sicherheitsniveau angepaßt werden kann.

Werden die einzelnen Befehle über das Anwenderprogramm verteilt, so hat man damit eine unabhängige Möglichkeit, den korrekten Ablauf linear oder definiert verzweigter Programmschleifen zu überprüfen. Dieser Fall wird bei Regelungsproblemen oft angetroffen.

Um die Funktionsfähigkeit von Programmteilen, die während des ungestörten Betriebs nicht benutzt werden, wie Alarmbearbeitung sicherzustellen, muß in bestimmten Zeitabständen ein Selbsttest mit überprüfung des Inhaltes

7.2133
01.07.1982

1 des Programmspeichers durchgeführt werden. Die Durchführung sowie das Ergebnis des Selbsttests kann von der wortorientierten Überwachungseinheit überwacht werden.

7.2133 01.07.1892

Leerseite

Claims

-Τgü/sd

M.A.N. MASCHINENFABRIK AUGSBURG-NORNBERG Aktiengesell schaft

München, 1. Juli 1982

Patentansprüche 10

Verfahren zur Funktionsprüfung von Rechnern zur Steuerung, Regelung und/oder zur überwachung von Prozessen, dadurch gekennzeichnet, daß Prüfsignale erzeugt werden, die mit

Kontrol 1 si gnal en des Rechners (10) .zur Erkennung von fehlerhaften Zuständen verglichen werden, und daß das Vergleichssignal bei fehlerhaftem Zustand auf den Recher einwirkt, um die Auswirkung des fehlerhaften Zustandes auf den Pro

zeß zu verhindern und/oder eine Alarmgabe bewirkt, und/oder den Prozeß in den sicheren Zustand überführt.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Einwirkungen des Rechners auf den Prozeß jeweils nach dem Vergleich der Kontroll- und Prüfsignale erfolgt.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß das Prüfsignal ein digitales Prüfwort, vorzugsweise in der Verarbeitungsbreite des Rechners, ist.

7.2133

-z-

4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß das digitale Prüfwort nach einem vorbestimmten festgelegten Bildungsgesetz dynamisch geändert wird, sobald

° bestimmte Bedingungen vorliegen.

5. Verfahren nach Anspruch 4, dadurch gekennzeichnet, daß das Bildungsgesetz softwaremäßig implementiert

wi rd.
IO

6. Verfahren nach Anspruch .5, dadurch gekennzeichnet, daß das Bildungsgesetz derart realisiert ist,

daß bei seiner Bearbeitung sicherheitsrelevante Funktionen und Funktionsgruppen des Rechners benutzt werden.

7. Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß die Zugabe des Kontrollwertes zusätzlich innerhalb eines festge-

legten periodisch wiederkehrenden Zeitfensters

erfolgt.

8. Vorrichtung zur Durchführung des Verfahrens gemäß Anspruch 1, gekennzeichnet durch eine die Prüf-Signale erzeugende Kontrol1 einheit (15) mit einem Vergleicher (25), der die Prüfsignale und die Kontroll signale des Rechners (10) aufnimmt und miteinander vergleicht.

9. Vorrichtung nach Anspruch 8, dadurch gekennzeichnet, daß dem Vergleicher (25) ein nicht retriggerbarer Zeitgeber (27, 28) nachgeschaltet ist.

7.2133

01.07.1982

-3-

10. Vorrichtung nach Anspruch 8 oder 9, dadurch gekennzeichnet, daß eine von den Zeitgebern (27, 28) ansteuerbare Alarmeinheit (16) vorgesehen ist.

11. Vorrichtung nach Anspruch 9, dadurch gekennzeichnet, daß als Zeitgeber zwei nicht retriggerbare Monoflops (27 bzw. 28) vorgesehen sind, die ein Zeitfenster vorgeben.

12. Vorrichtung nach einem der Ansprüche 8 bis 11, dadurch gekennzeichnet, daß die Kontrolleinheit (15) einen Pseudozufal 1s-Zahlengenerator (22) enthält, der das Prüfsignal erzeugt.

13. Vorrichtung nach einem der Ansprüche 8 bis 12, dadurch gekennzeichnet, daß die Spannungsversorgung der Kontrol1 einheit (15) von der Spannungsversorgung des Rechners (10) unabhängig ist.

14. Vorrichtung nach einem der Ansprüche 8 bis 13, dadurch gekennzeichnet, daß ein Speicherglied (37) vorgesehen ist, das Ausgangssignale (36) des Rechners (10) erst dann auf seinen Ausgang

(13) übernimmt, wenn eine Quittungsleitung (31) die Ausgabe des richtigen Kontrollsignals (20) anzeigt.

7.2133
01.07.1982