DE68919963T2

DE68919963T2 - Schutz gegen Verlust oder Verfälschung von Daten während der Umschaltung eines redundanten Systems.

Info

Publication number: DE68919963T2
Application number: DE68919963T
Authority: DE
Inventors: Kristin Freya Kocan
Original assignee: AT&T Corp
Current assignee: AT&T Corp
Priority date: 1988-09-22
Filing date: 1989-09-13
Publication date: 1995-05-18
Anticipated expiration: 2009-09-14
Also published as: CA1299656C; JPH02116234A; SG31495G; HK136895A; EP0360489A2; EP0360489B1; DE68919963D1; EP0360489A3; KR900005727A; KR970004795B1; US4939736A

Description

Die vorliegende Erfindung betrifft eine Vorrichtung und ein Verfahren zum Schutz eines Systems gegen eine Verfälschung oder gegen den Verlust eines Ausgangssignals aufgrund einer Fehlfunktion.
Auf verschiedenen technischen Gebieten, bei denen man auf eine zuverlässige Übermittlung von Signalen angewiesen ist, z.B. beim Sprechverkehr, bei der Datenübertragung und Datenvermittlung, Datenverarbeitung und Prozeßsteuerung, ist es üblich, Systemkomponenten (z.B. Steuereinheiten, elektronische Baueinheiten) zu duplizieren - oder sogar noch umfassender zu vervielfachen -, um eine Fehlertoleranz und damit Zuverlässigkeit zu erreichen.
Die duplizierten Komponenten befinden sich typischerweise entweder in einem aktiven Betriebszustand (alle Komponenten arbeiten gleichzeitig im gleichen Zustand und verwenden die gleichen Eingangsgrößen) oder in einem "heißen" Bereitschafts- oder Standby-Modus (alle Komponenten sind eingeschaltet, befinden sich aber nicht notwendigerweise im gleichen Zustand oder verwenden die gleichen Eingangsgrößen) oder in einem "kalten" Pereitschaftsmodus (die nicht aktiven Komponenten müssen nicht eingeschaltet sein).
Bei der Verwendung von Reservekomponenten wird typischerweise eine Art Testverfahren für die aktive Komponente oder eine Fehlerfeststellung bei dem von der aktiven Komponente verarbeiteten Datenstrom bzw. den Datenströmen verwendet, um festzustellen, wann eine Umschaltung des Systemausgangs (eine "Schutzumschaltung") von der aktiven Komponente auf eine Reservekomponente erfolgen sollte. Unabhängig davon, ob sich die Reservekomponente in einem heißen oder in einem kalten Modus befindet, werden die Daten durch die Umschaltaktion jedoch herkömmlicherweise für eine gewisse Zeitspanne verfälscht.
Wenn die dupliziertenKomponenten alternativ hierzu in einem synchronisierten aktiven Modus betrieben werden, kann eine Datenverfälschung vermieden werden, falls drei oder mehr Komponenten verwendet werden (z.P. durch "Abstimmen", um die Ausgangsgrößen des Systems zu bestimmen). Solch eine Redundanz führt jedoch zu anderen Problemen. Diese Probleme betreffen die Kosten für die Extrakomponente (n), die erhöhte Wahrscheinlichkeit für interne Ausfälle (da mehr Einrichtungen ausfallen können), die zugehörigen erhöhten Unterhaltungskosten und die für die Extrakomponente(n) erforderliche zusätzliche Verdrahtung sowie der zusätzliche Platz für ihre Unterbringung. Es wäre daher vorteilhaft, eine Anordnung mit nur zwei duplizierten aktiven Komponenten zu haben, bei der aber die Pähigkeit zur Vermeidung von Datenverfälschungen beibehalten würde.
Zusätzlich hierzu wird durch Anordnungen, wie beim Abstimmen, bei denen auf mögliche Ausgangssignale selbst eingewirkt wird, um zu bestimmen, welches zu dem Ausgangssignal des Systems wird, die Möglichkeit eingeführt, daß die Anordnungen selbst die Ausgangsdaten verfälschen, die sie sichern sollen.
Digitalisierte Sprache ist relativ wenig anfällig gegenüber Datenverfälschungen. Wenn die Zeit, während der Daten infolge einer Schutzumschaltung verfälscht werden, geringer ist als der Bit-Takt, können bei langsamen Datenübertragungen entweder Fehlerkorrekturverfahren oder Fehlerfeststellungsverfahren in Kombination mit einer minimalen Übertragungswiederholung effektiv dazu verwendet werden, eine Verfälschung zu vermeiden. Bei Hochgeschwindigkeitsdatenübertragungen führt eine Schutzumschaltung jedoch zu Fehleranhäufungen oder Burstfehlern, bei denen Korrekturverfahren unzweckmäßig und Feststellungsverfahren wenig zuverlässig sind. Zudem können diese Pehlerhäufungen lange genug andauern, um die Daten von mehr als einem Nutzer zu verfälschen. Wenn eine Fehleranhäufung nicht festgestellt wird, entsteht eine Vielzahl von Problemen. Aber selbst wenn eine Fehleranhäufung festgestellt wird, ist eine Übertragungswiederholung erforderlich, die typischerweise entweder manuell oder durch höhere Schichten des Datenprotokolls aufgerufen werden muß. Bei einer Verkehrsgüte, bei der durch eine Schutzumschaltung hervorgerufene Fehleranhäufungen auftreten können, ist normalerweise eine Verbesserung der Einrichtung erforderlich, damit die die Übertragungswiederholung automatisierenden Protokolloptionen wirksam sind. Dies kann bei sehr schnellen Datensystemen sehr teuer sein. Die auf eine Schutzumschaltung folgende Übertragungswiederholung kann auch temporäre Überlastbedingungen hervorrufen. Aus diesen Gründen ist auch bei sehr schnellen Nachrichtenübermittlungsdiensten mit Datenumschaltung der Schutz vor einer Datenverfälschung wünschenswerter als das bloße Korrigieren von verfälschten Daten.
Nach einem Aspekt der vorliegenden Erfindung wird eine Vorrichtung gemäß Anspruch 1 geschaffen.
Nach einem anderen Aspekt der vorliegenden Erfindung wird ein Verfahren gemäß Anspruch 17 geschaffen.
Die vorliegende Erfindung betrifft die Lösung des Datenverfälschungsproblems entsprechend dem Stand der Technik, obgleich es die Option bietet, Komponenten in zweifacher Ausfertigung - im Gegensatz zu umfangreicheren Duplizierungen - zu verwenden.
Insbesondere kann eine Anordnung für nachgebildete Signalverarbeitungskomponenten - seien es Übertragungsstrecken, Vermittlungsknoten, Prozessoren oder beliebige andere Einrichtungen - geschaffen werden, welche die zuvor beschriebene Verfälschung von Ausgangswerten beseitigt. Bei der Anordnung wird entweder ein mit den Ausgängen der Signalverarbeitungskomponenten verbundener Fehlerfeststellungsmechanismus zur Feststellung von Fehlern in den Ausgangsgrößen jeder der Komponenten verwendet oder aber eine Fehlfunktionseinrichtung, die mit den Komponenten selbst verbunden ist, um eine Fehlfunktion der Komponenten festzustellen. Bei der bevorzugten Implementierung wird eine Fehlerfeststellung bei den Ausgangsgrößen verwendet, da hierdurch nicht nur die Effekte von Fehlfunktionen festgestellt werden, sondern auch andere Fehler, wie z.B. durch Rauschen induzierte Fehler bei Ausgleichs- oder Übergangsvorgängen, und da die zur Feststellung eines Fehlers benötigte Zeit typischerweise kurz ist. Für die Zwecke dieser Anmeldung werden sowohl Störungen der Komponenten als auch Fehler in den Ausgangsgrößen der Komponenten unter dem Begriff "Fehlfunktion" subsumiert. Durch die Fehlfunktionsfeststellungseinrichtung wird ein Fehlfunktionssignal erzeugt, um das Feststellen einer Fehlfunktion bei einer der Signalverarbeitungskomponenten anzuzeigen
Eine Signalverzögerungsanordnung ist mit den Ausgängen der Signalverarbeitungskomponenten verbunden. Die Verzögerungsanordnung empfängt die Ausgangssignale der Komponenten und gibt sie nach einer Zeitverzögerung aus, die ausreichend ist für die Fehlfunktionsfeststellungseinrichtung zur Feststellung einer Fehlfunktion und zur Erzeugung des Fehlfunktionssignals. Mit der Verzögerungseinrichtung ist eine Einrichtung zur Erzeugung eines Systemausgangssignals verbunden, die von der Verzögerungseinrichtung die verzögerten Ausgangssignale empfängt. Die Erzeugungseinrichtung gibt ein Systemausgangssignal aus, welches zumindest einem der empfangenen verzögerten Signale entspricht. Die Erzeugungseinrichtung spricht jedoch auf das Fehlfunktionssignal an, um nur ein Systemausgangssignal auszugeben, welches empfangenen verzögerten Signalen entspricht, die durch die Fehlfunktion nicht beeinträchtigt sind. Das Fehlfunktionssignal dient somit dazu, ein verzögertes Ausgangssignal, das von der festgestellten Fehlfunktion betroffen ist, zu sperren, damit es nicht zur Erzeugung des Systemausgangssignals verwendet wird, während durch die Verzögerungseinrichtung eine ausreichend große Zeitspanne zur Verfügung gestellt wird, um die Fehlfunktion festzustellen und das erforderliche Sperren einzuleiten.
Die obige Charakterisierung verdeutlicht, daß keine Ausgangsinformation dadurch verfälscht wird oder verloren geht, daß die Ausgangssignale einer oder mehrerer nachgebildeter Komponenten fehlerhaft sind und daß infolge dessen die Ausgangsvermittlung des Systems auf nicht fehlerhaften Ausgangssignalen basiert. Da die durch die Verzögerungseinrichtung eingeführte Verzögerung des Ausgangssignals der Zeit entspricht, die für die Feststellung der Fehlerbeschaffenheit und für das Sperren des fehlerhaften Signals benötigt wird oder diese Zeitspanne übersteigt, entsteht kein Verlust oder eine Verfälschung von Daten. Zudem wirkt die Fehlfunktionsfeststellungseinrichtung nicht direkt auf die Signale ein, auf welchen die Ausgabe des Systems basiert, sondern diese durchlaufen beim Auftreten einer Fehlfunktionsfeststellung die Verzögerungseinrichtung. Es ist daher nicht wahrscheinlich, daß die Verzögerungseinrichtung selbst zu einer Verfälschung der Ausgangsgrößen des Systems führt.
Um die Wahrscheinlichkeit weiter einzugrenzen, daß die Verzögerungseinrichtung selbst zu Fehlern bei einem System führt, bei dem sie verwendet wird, ist es wünschenswert, daß so viele Teile von ihr wie möglich aus passiven Elementen bestehen. Die Signalverzögerungseinrichtung und die Einrichtung zur Erzeugung des Systemausgangssignals sind insbesondere für die Implementierung passiver Bauteile geeignet, insbesondere für die Implementierung passiver optischer Bauteile. Die Verzögerungseinrichtung kann beispielsweise Lichtleitfaserabschnitte umfassen und die Erzeugungseinrichtung kann optische UND-Gatter (z.B. Transphasoren) umfassen, um die Komponentenausgangssignale selektiv durchzulassen oder zu sperren. Die Ausgangsgrößen des AD-Gatters können zudem mittels eines optischen ODER- Gatters (z.B. eines Kopplers) oder eines anderen optischen UND-Gatters zu einer einzigen Signalausgangsgröße kombiniert werden.
Diese und andere Vorteile der vorliegenden Erfindung ergeben sich aus der folgenden Beschreibung eines Ausführungsbeispiels in Kombination mit den Zeichnungen.

Kurze Beschreibung der Zeichnungen

Fig. 1 zeigt in Form eines Blockdiagramms ein Vermittlungssystem als Ausführungsbeispiel der Erfindung; und
Fig. 2 zeigt ein Ablaufdiagramm für die Wirkungsweise des Systems gemäß Fig. 1.

Ausführliche Beschreibung

Fig. 1 veranschaulicht die Erfindung im Rahmen eines Nachrichtenvermittlungssystems 10. Wie bei herkömmlichen Systemen umfaßt das System 10 mehrere Koppelstufen 11, die in Form eines Koppelfeldes angeordnet sind. Ein illustratives System dieser Art ist das in dem US-Patent 4 484 326 offenbarte schnelle Paketvermittlungssystem.
Die Koppelstufen 11 sind alle gleich. Jede enthält ein Koppelelement 12. Bei dem Ausführungsbeispiel ist das Koppelelement 12 aus Gründen der Zuverlässigkeit in doppelter Ausführung vorhanden. Jede Koppelstufe enthält daher zwei Koppelelemente 12 und 13. Die beiden Elemente 12 und 13 sind normalerweise gleichzeitig aktiv. Bei den Koppelelementen handelt es sich um herkömmliche Elemente, wobei es sich zur Veranschaulichung bei jedem Koppelelement um einen Paketvermittlungsknoten handelt, wie er in dem zuvor erwähnten Patent offenbart wird.
Die Signalleitung 14, die Eingangssignale zu einer Stufe 11 überträgt, ist mit den Eingängen der Elemente 12 und 13 verbunden. Bei diesem veranschaulichenden Beispiel handelt es sich bei der Signalleitung für den Stufeneingang um eine optische Leitung, über die optische Signal übertragen werden, während es sich bei den Elementen 12 und 13 um elektrische Koppelelemente handelt. Ein optisch-elektrischer Signalkonverter 25 bildet die Schnittstelle zwischen der Leitung 14 und dem Eingang jedes Elementes 12 und 13. Solche Konverter sind aus dem Stand der Technik wohl bekannt.
Jedes der Elemente 12 und 13 verfügt über zwei Ausgänge. Diese Ausgänge werden gleich behandelt - sie sind jeweils mit identischen Vorrichtungen verbunden -, so daß nur die Verbindung eines Ausgangs diskutiert wird, da die Verbindung des anderen Ausgangs hierzu identisch ist.
Die Ausgänge der Elemente 12 und 13 sind mit Elementausgangsleitungen 15 bzw. 16 verbunden. Bei diesem veranschaulichenden Beispiel handelt es sich bei den Leitungen 15 und 16 auch um optische Leitungen. Folglich ist zwischen diese Leitungen und die Ausgänge des jeweiligen Elementes 12 und 13 je ein elektrisch-optischer Signalkonverter 26 zwischengeschaltet. Solche Konverter sind aus dem Stand der Technik wohl bekannt.
Jede der Leitungen 15 und 16 ist jeweils mit dem Eingang einer Fehlerfeststellungsschaltung 17 bzw. 18 und dem Eingang einer Verzögerungsleitung 19 bzw. 20 verbunden. Bei den Fehlerfeststellungsschaltungen 17 und 18 kann es sich um jede gewünschte Fehlerfeststellungsschaltung handeln. Aus dem Stand der Technik sind viele Fehlerfeststellungsverfahren sowie Schaltungen zu ihrer Implementierung bekannt. Vorteilhafterweise kann zu diesem Zweck z.B. eine Paritätsfehlerüberprüfungseinrichtung zu diesem Zweck verwendet werden.
Bei den Leitungen 15 und 16 handelt es sich geeigneterweise um elektrische Verbindungsleitungen, die direkt mit den Eingängen der elektrischen Schaltungen 17 und 18 verbunden sind und - über die elektrisch-optische Umwandlungsschaltung 26 - indirekt mit den Eingängen der Verzögerungsleitungen 19 und 20. Im Hinblick auf die Geschwindigkeit und auf die Zuverlässigkeit handelt es sich bei den Schaltungen 17 und 18 vorzugsweise um optische Schaltungen. Bei solch einer Anordnung sind die Leitungen 15 und 16 optische Leitungen, die direkt mit den Eingängen der Schaltungen 17 und 18 verbunden sind. Diese letztgenannte optische Implementierung ist in Fig. 1 dargestellt. Bei der Verwendung elektrischer Schaltungen 17 und 18 in Verbindung mit optischen Leitungen 15 und 16 wären die Leitungen mittels einer optisch-elektrischen Umwandlungsschaltung, z.B. der Schaltung 25, mit den Eingängen der elektrischen Schaltungen verbunden.
Aus Gründen der Zuverlässigkeit handelt es sich bei den Verzögerungsleitungen 19 und 20 um passive optische Verzögerungsleitungen, z .B. Lichtleitfaserabschnitte. Die Verzögerung der Leitungen 19 und 20 wird durch die Zeit bestimmt, die benötigt wird, um in den Schaltungen 17 und 18 einen Fehler festzustellen und eine Sperrung des fehlerhaften Signals an den Gattern 21 und 22 auszulösen. Wenn die Leitungen 15 und 16 beispielsweise mit einer Datenrate von 155 Mb/s betrieben werden unter Verwendung einer Parität für die Fehlerfeststellung bei 32 Bit-Worten mit einer Gatter- Geschwindigkeit von näherungsweise 0,01 us, beträgt die Verzögerung etwa 0,3 us was einem Lichtleitfaserabschnitt von etwa 46 m Länge (150 feet) entspricht.
Die Ausgänge der Verzögerungsleitungen 19 und 20 sind jeweils mit einem ersten Eingang eines optischen UND-Gatters 19 bzw. 22 verbunden. Die zweiten Eingänge der Gatter 21 und 22 sind optisch mit den Ausgängen der Fehlerfeststellungsschaltungen 17 und 18 verbunden. Die Ausgänge der Gatter 21 und 22 sind mit den Eingängen eines optischen ODER-Gatters 23 verbunden. Der Ausgang des Gatters 23 ist mit einer Ausgangssignalleitung 24 der Koppelstufe verbunden. Bei der Leitung 24 handelt es sich um eine optische Leitung, wie die Eingangssignalleitung 14 der Koppelstufe. Bei den Gattern 21 bis 23 handelt es sich um optische Elemente, die aus dem Stand der Technik bekannt sind.
Die Wirkungsweise der Koppelstufe 11, welche durch das in Fig. 2 dargestellte Ablaufdiagramm veranschaulicht wird, ist wie folgt. Durch die Eingangssignalleitung 14 der Koppelstufe werden Signale - z.B. Sprach- oder Datensignale - in digitaler Form zu den beiden Koppelknoten 12 und 13 geleitet. Beiden Knoten schalten die ankommenden Signale zu einem ihrer Ausgänge durch - beispielsweise zu ihren ersten Ausgängen -, von wo aus die Signale durch die Elementausgangsleitungen 15 und 16 zu den Fehlerfeststellungsschaltungen 17 und 18 bzw. zu den Verzögerungsleitungen 19 und 20 geleitet werden. Die Ausgangssignale der Knoten 12 und 13 sind in Fig. 2 als Eingangssignal 1 bzw. als Eingangssignal 2 bezeichnet. Während die Signale die Verzögerungsleitungen 19 und 20 durchlaufen, verarbeiten die Fehlerfeststellungsschaltungen 17 und 18 die empfangenen Informationen, um festzustellen, ob darin beispielsweise infolge einer Fehlfunktion der Koppelelemente 12 und 13 ein Fehler aufgetreten ist und erzeugen Signale, die auf diese Fehlerfeststellung hinweisen. Die von den Schaltungen 17 und 18 erzeugten Fehlersignale sind in Fig. 2 als Fehlersignal 1 bzw. Fehlersignal 2 bezeichnet.
Während der Zeit, in der kein Fehler festgestellt wird, erzeugen die beiden Fehlerfeststellungsschaltungen 17 und 18 Fehlersignale, bei denen die zugehörigen Gatter 21 und 22 die von den zugehörigen Verzögerungsleitungen 19 und 20 empfangenen Signale durchlassen. Die von den Verzögerungsleitungen 19 und 20 ausgegebenen verzögerten Signale sind in Fig. 2 als verzögertes Signal 1 bzw. als verzögertes Signal 2 bezeichnet. Wenn beispielsweise an der Stelle 200 in Fig. 2 ein Fehler auftritt, wird einige Zeit benötigt, bis er festgestellt wird. Diese Zeit ist in Fig. 2 mit T 201 bezeichnet. Wenn der Fehler beispielsweise von der Fehlerfeststellungsschaltung 17 festgestellt wird, erzeugt sie ein Ausgangssignal, bei dessen Auftreten das zugehörige Gatter 21 keine empfangenen Informationssignale mehr durchläßt und die empfangenen Informationssignale sperrt. Die Ausgangssignale der Gatter 21 und 22 sind in Fig. 2 als Ausgangssignal 1 bzw. als Ausgangssignal 2 bezeichnet. Die Verzögerungsleitungen 19 und 20 sind so bemessen, daß sie die dort eingehenden Informationssignale für die Betriebszeit der Schaltungen 17 und 18 verzögern, so daß die Ausgangssignale der Schaltungen 17 und 18 entweder zur gleichen Zeit wie die Informationssignale, deren Fehlerstatus sie repräsentieren, an den Gattern 21 und 22 ankommen oder aber vor diesen Informationssignalen. Diese Verzögerungszeit ist in Fig. 2 mit T 202 bezeichnet.
Die von den Gattern 21 und 22 ausgegebenen Signalströme werden durch das Gatter 23 zu einem einzigen Signalstrom kombiniert. Falls durch die Schaltungen 17 und 18 kein Fehler festgestellt wurde, sind die durch die Gatter 21 und 22 ausgegebenen Signalströme identisch, so daß der von dem Gatter 23 ausgegebene kombinierte Signalstrom ein Duplikat jedes der Signalstromkomponenten ist. Falls durch eine der Schaltungen 17 oder 18 ein Fehler festgestellt wird, wird der zugehörige Signalstrom durch das zugehörige Gatter 21 oder 22 gesperrt und bei dem von dem Gatter 23 ausgegebenen Signalstrom handelt es sich um ein Duplikat des in das Gatter 23 eingegebenen, verbleibenden fehlerfreien Signalstroms. Das Ausgangssignal des Gatters 23 ist in Fig. 2 als kombiniertes Ausgangssignal bezeichnet. Wenn bei den Ausgangssignalen eines der Koppelelemente 12 oder 13 ein Fehler festgestellt und der zugehörige Signalstrom gesperrt wird, ist der von der Koppelstufe 11 ausgegebene Signalstrom zu keiner Zeit unterbrochen, von einem Verlust betroffen oder sonstwie verfälscht.
Es sei bemerkt, daß sich für den Fachmann selbstverständlich vielfältige Änderungen und Modifikationen des oben beschriebenen Ausführungsbeispiels ergeben.

Claims

1. Vorrichtung zum Schutz eines Systems gegen eine Verfälschung oder den Verlust eines Ausgangssignals aufgrund einer Fehlfunktion mit einem ersten und einem zweiten Signalverarbeitungsbauteil (12,13), die gleiche Signalverarbeitungsfunktionen ausführen und ein gemeinsames Eingangssignal (14) aufnehmen, wobei jedes Bauteil ein getrenntes Ausgangssignal (15,16) aus dem gemeinsamen Eingangssignal erzeugt, gekennzeichnet durch

eine an beide Bauteile angeschaltete Fehlfunktions- Detektoreinrichtung (17,18) zur Feststellung einer Fehlfunktion, die eines der Ausgangssignale beeinträchtigt, und zur Erzeugung eines Fehlfunktionssignals, das die Feststellung der Fehlfunktion anzeigt,

eine an das erste und das zweite Bauteil angeschaltete Signalverzögerungseinrichtung (19 20), die die getrennten Ausgangssignale empfängt, die empfangenen Signale verzögert, während die Fehlfunktions-Detektoreinrichtung das Auftreten einer Fehlfunktion feststellt, die eines der empfangenen und verzögerten Ausgangssignale beeinträchtigt, und die empfangenen, getrennten Ausgangssignale nach einer Verzögerungszeit ausgibt, die für die Fehlfunktions-Detektoreinrichtung ausreicht, eine Fehlfunktion festzustellen und das Fehlfunktionssignal zu erzeugen, und

eine an die Signalverzögerungseinrichtung angeschaltete Ausgangseinrichtung (21-23) zum Empfang der verzögerten Signale und zur Aijsgabe eines Systemausgangssignals (24), das wenigstens einern der empfangenen, verzögerten Signale entspricht, wobei die Ausgangseinrichtung unter Ansprechen auf das Fehlfunktionssignal ein Signal ausgibt, das nur einem empfangenen, verzögerten Signal entspricht, das durch die Fehlfunktion unbeeinträchtigt ist.

2. Vorrichtung nach Anspruch 1, bei der die Fehlfunktions-Detektoreinrichtung eine Einrichtung (17,18) zur Erzeugung eines ersten und eines zweiten Fehlfunktionssignals (ERROR SIGNAL 1, ERROR SIGNAL 2), das die Feststellung einer Fehlfunktion beim ersten bzw. zweiten Bauteil anzeigt, und bei dem die Ausgangseinrichtung eine Einrichtung (21-23) umfaßt, die unter Ansprechen auf das erste und das zweite Fehlfunktionssignal an ihrem Ausgang ein Signal abgibt, das nur dem empfangenen, verzögerten Ausgangssignal des zweiten bzw. des ersten Bauteils entspricht.

3. Vorrichtung nach Anspruch 1, bei der die Ausgangseinrichtung eine Signalgattereinrichtung (21,22) umfaßt, die die verzögerten Signale aufnimmt und ein Signal überträgt, das wenigstens eines der aufgenommenen, verzögerten Signale enthält, wobei die Signalgattereinrichtung unter Ansprechen auf das Fehlfunktionssignal das empfangene, verzögerte und durch die Fehlfunktion beeinträchtigte Signal gegen eine Aufnahme in das durch die Signalgattereinrichtung übertragene Signal sperrt.

4. Vorrichtung nach Anspruch 1, bei der die Ausgangseinrichtung eine Einrichtung (21-23) zur Ausgabe eines gewählten, empfangenen und verzögerten Signals aufweist, das durch die Fehlfunktion ein unbeeinträchtigtes ist.

5. Vorrichtung nach Anspruch 1, bei der die Ausgangseinrichtung eine Einrichtung (23) zur Kombination der empfangenen, verzögerten Signale zu einem einzigen Signal und zur Ausgabe des einzigen Signals sowie eine Einrichtung (21,22) aufweist, die unter Ansprechen auf das Fehlfunktionssignal das empfangene, verzögerte und durch die Fehlfunktion beeinträchtigte Signal für eine Kombination zu dem einzigen Signal sperrt.

6. Vorrichtung nach Anspruch 1, bei der die Signalverzögerungseinrichtung (19,20) getrennt von der Fehlfunktions-Detektoreinrichtung (17,18) arbeitet.

7. Vorrichtung nach Anspruch 1, dadurch gekennzeichnet,

daß das erste und das zweite Signalverarbeitungsbauteil (12,13) sich gegenseitig funktionell verdoppeln und einen gemeinsamen Signaleingang (14) sowie je einen getrennten Signalausgang (15,16) zur Erzeugung eines Ausgangssignals aus einem Eingangssignal aufweisen,

daß die Fehlfunktions-Detektoreinrichtung (17,18) Fehlfunktionen bei den Bauteilen an einem Punkt in der Vorrichtung feststellt, der dem Empfang der Ausgangssignale der Signalverarbeitungsbauteile durch die erste und die zweite Verzögerungseinrichtung vorausgeht und ein erstes und ein zweites Signal (ERROR SIGNAL 1, ERROR SIGNAL 2) erzeugt, das die Feststellung einer Fehlfunktion beim ersten bzw. beim zweiten Bauteil anzeigt,

daß die Ausgangseinrichtung eine erste und eine zweite, an die Fehlfunktions-Detektoreinrichtung angeschaltete Signalgattereinrichtung (21,22) umfaßt, die je das vom ersten bzw. zweiten Bauteil erzeugte Ausgangssignal aufnehmen und selektiv das aufgenommene Signal übertragen, und die je utner Ansprechen auf das erste bzw. zweite Fehlfunktionssignal eine Übertragung des aufgenommenen Ausgangssignals sperren, daß die Signaiverzögerungseinrichtung eine erste und eine zweite Signalverzögerungseinrichtung (19-20) umfaßt, die an den Ausgang des ersten bzw. zweiten Signalverarbeitungsbauteils angeschaltet sind und das dort erzeugte Ausgangssignal empfangen, und an die erste bzw. zweite Signalgattereinrichtung angeschaltet ist, um das empfangene Ausgangssignal zu der Signalgattereinrichtung zu übertragen, wobei jede Verzögerungseinrichtung die Übertragung eines empfangenen und durchlaufenden Signals um eine Zeitperiode (T 202) verzögert, die für die angeschaltete Gattereinrichtung beim Ansprechen auf ein Fehlfunktionssignal ausreicht, um diejenigen Bauteilausgangssignale zu sperren, die durch die Fehlfunktion beeinträchtigt sind, welche durch das jeweilige Fehlfunktionssignal dargestellt wird, und

daß die Ausgangseinrichtung ferner eine an die erste und zweite Signalgattereinrichtung angeschaltete Ausgangssignaleinrichtung (23) umfaßt, um von der Signalgattereinrichtung übertragene Signale zu empfangen und ein Signal zu erzeugen, das wenigstens einem der empfangenen Signale entspricht.

8. Vorrichtung nach Anspruch 7, bei der die Ausgangssignaleinrichtung eine Einrichtung (23) zur Kombination von Signalen aufweist, die von der ersten und der zweiten Signalgattereinrichtung empfangen worden sind, zu dem erzeugten Signal kombiniert.

9. Vorrichtung nach Anspruch 7, bei der die Ausgangssignaleinrichtung eine Einrichtung (23) umfaßt, die eines der von der ersten und der zweiten Signalgattereinrichtung empfangenen Signale als das erzeugte Signal auswählt.

10. Vorrichtung nach Anspruch 7, bei der die Fehlfunktions-Detektoreinrichtung eine Fehlerdetektoreinrichtung (17,18) umfaßt, die an den Ausgang der Signalverarbeitungsbauteile angeschaltet ist und Fehler im Ausgangssignal eiens der Bauteile feststellt.

11. Vorrichtung nach Anspruch 7, bei der die Fehlfunktions-Detektoreinrichtung eine Fehlerdetektoreinrichtung (17,18) umfaßt, die an die Signalverarbeitungsbauteile angeschaltet ist und Fehler bei einem der Bauteile feststellt.

12. Vorrichtung nach Anspruch 7, bei der die Signalverzögerungseinrichtungen optische Signalverzögerungseinrichtungen (19,20), die Signalgattereinrichtungen optische Signalgattereinrichtungen (21,22) und die Signalkombiniereinrichtungen optische Signalkombiniereinrichtungen (23) sind.

13. Vorrichtung nach Anspruch 12, bei der jede optische Signalverzögerungseinrichtung (19,20) ein Stück eienr optischen Faser ist, jede Signalgattereinrichtung ein optisches UND-Gatter (21,22) ist und die Signalkombiniereinrichtung entweder ein optisches ODER-Gatter (23) oder ein optisches UND-Gatter ist.

14. Vorrichtung nach Anspruch 7, bei der die Signalverzögerungseinrichtungen (19,20), die Signalgattereinrichtungen (21,22) und die Signalkombiniereinrichtungen (23) passive Bauteile sind.

15. Vorrichtung nach Anspruch 7, bei der jedes Signalverarbeitungsbauteil ein digitaler Vermittlungsknoten (12,13) ist.

16. Vorrichtung nach Anspruch 10, bei der die Fehlerdetektoreinrichtung eine erste und eine zweite Fehlerdetektorschaltung (17,18) umfaßt, die je mit einem Eingang an den Ausgang des ersten bzw. zweiten Signalverarbeitungsbauteils verbunden sind, um Fehler im Ausgangssignal des angeschalteten Signalverarbeitungsbauteils festzustellen und ein Signal (ERROR SIGNAL 1, ERROR SIGNAL 2) zu erzeugen, das die Feststellung eines Fehlers angibt.

17. Verfahren zum Schutz eines Systems gegen eine Verfälschung oder den Verlust eines Ausgangssignals ausgrund einer Fehlfunktion, wobei das System ein Paar von Bauteilen (12,13) mit gleichen Signalverarbeitungsfunktionen aufweist, die beide ein gemeinsames Eingangssignal (14) empfangenen und je aus dem Eingangssignal ein getrenntes Ausgangssignal (15,16) erzeugen, mit den Verfahrensschritten:

Überwachen des Systems zur Feststellung (200) einer Fehlfunktion bei einem der verdoppelten Bauteile;

Erzeugen eines Fehlfunktionssignals (ERROR SIGNAL 1) bei Feststellung einer Fehlfunktion;

Verzögern (T 202) der Ausgangssignale nach der Überwachung für eine ausreichende Zeit zur Feststellung einer Fehlfunktion und zur Erzeugung des Fehlfunktionssignals (T 201),

Erzeugen eines Systemausgangssignals (COMBINED OUTPUT SIGNAL), das wenigstens einem der verzögerten Ausgangssignale entspricht und

Verhindern der Erzeugung eines Systemausgangssignals entsprechend einem verzögerten, durch eine Fehlfunktion beeinträchtigten Ausgangssignals (OUTPUT SIGNAL 1) unter Ansprechen auf die Erzeugung des Fehlfunktionssignals.