DE69800770T2

DE69800770T2 - Steuersystem mit fehlerdetektion

Info

Publication number: DE69800770T2
Application number: DE69800770T
Authority: DE
Inventors: K. Ho
Original assignee: Honeywell Inc
Current assignee: Honeywell Inc
Priority date: 1997-01-09
Filing date: 1998-01-09
Publication date: 2002-05-23
Anticipated expiration: 2018-01-10
Also published as: EP0951663B1; US5949677A; DE69800770D1; EP0951663A1; WO1998030940A1

Description

HINTERGRUND DER ERFINDUNG

1. Technisches Gebiet

Die vorliegende Erfindung betrifft eine Regelvorrichtung und ein Regelverfahren gemäß dem Oberbegriff der unabhängigen Ansprüche und insbesondere ein Fehlererkennungssystem, das sich besonders für aeronautische und industrielle Regelsysteme eignet.

2. Allgemeiner Stand der Technik

In der Technik wohlbekannte Fehlererkennungssysteme überwachen die Ausgangssignale redundanter Regelsysteme, um die Integrität und Zuverlässigkeit des Regelsignals sicherzustellen. Unter Bezugnahme auf Fig. 1 kann ein Signal P aus einem primären Regelsystem 11 unverläßlich sein, wenn es sich wesentlich von einem Überwachungs-Steuersignal M unterscheidet, das von einem Duplikat-Regelsystem 12 erzeugt wird, vorausgesetzt, daß beide Regelsysteme 11 und 12 identische Eingangsdaten erhalten. Wenn die primären und Überwachungs-Systeme normalerweise identische Ausgangssignale erzeugen, können Unterschiede zwischen den Ausgangssignalen P und M Probleme bei einem oder beiden Regelsystemen anzeigen. Diese Differenz D, die gleich P minus M ist, kann durch den Summierungsknoten 15 in Fig. 1 ohne weiteres berechnet werden.
Ein Fehlerdetektor 13 des Stands der Technik erzeugt immer dann ein Warnsignal A, wenn sich das primäre Regelsignal P um eine bestimmte kritische Schwelle Tc von dem Überwachungs-Regelsignal M unterscheidet. Dieses Warnsignal A benachrichtigt die Anlage 14 (d. h. das geregelte System), daß das primäre Regelsignal P potentiell unverläßlich ist und verworfen werden sollte.
Eine gewisse Differenz D zwischen dem primären Regelsignal P und dem Überwachungs-Regelsignal M ist aufgrund von Rauschen und anderer Ungenauigkeiten in mechanischen und elektrischen Systemen unvermeidlich. Beim Einstellen eines kritischen Schwellenwerts Tc für eine tolerierbare Signaldifferenz ist es dann wünschenswert, einen Wert zu wählen, der niedrig genug ist, um alle echten Warnzustände zu isolieren, und doch hoch genug, um zu verhindern, daß Systemrauschen falsche Warnsignale erzeugt, was als "unnötige Auslösungen" bezeichnet wird. In der Praxis ist es sehr schwierig, einen optimalen Wert für Tc einzustellen, der ein kurzes Rauschen, das jedoch eine große Amplitude aufweist, ignorieren kann, und dabei jedoch eine längere Differenz D mit niedriger Amplitude zwischen dem primären Regelsignal P und dem Überwachungs- Regelsignal M erkennen kann.
Verschiedene Verfahren zur Implementierung des Fehlerdetektors 13 sind im Stand der Technik bekannt. Zum Beispiel überwacht ein Verfahren die Differenz zwischen den primären und Überwachungs-Regelsignalen und erzeugt immer dann eine Warnung, wenn die Differenz zwischen den beiden Signalen eine Zeitspanne Tt lang eine Betragsschwelle Tm überschreitet. Obwohl ein solches System auf niederfrequente Fehlersignale reagiert, reagiert das System nur langsam auf sehr hochfrequente Fehlersignale, da der Fehlerzustand eine Zeitspanne von Tt Sekunden lang beobachtet werden muß, bevor eine Warnung ausgelöst wird.
Ein ähnliches System ist aus den Patent Abstracts of Japan, Band 017, Nr. 235(P-1533), 12.5.1993 & JP 04 361330 A (Nippon Steel Corp.), 14.12.1992, bekannt. Die verifizierten Signale sind dort digital, so daß Rauschkomponenten, die Signalen mit kleiner Amplitude entsprechen, bereits vermindert sind.
Ein verbessertes Fehlererkennungssystem ist aus dem US-Patent Nr. 4,509,110 bekannt. Das bekannte System verwendet einen Integrierer zur Überwachung der Differenz zwischen primären und Überwachungs-Signalen über die Zeit hinweg. Wenn die Differenz zwischen den primären und Überwachungs-Signalen eine Betragsschwelle Tm übersteigt, vergrößert der Integrierer seinen Ausgangswert mit einer Rate, die gleich dem Fehlersignal ist. Das System erzeugt ein Warnsignal, wenn das Integriererausgangssignal die Zeit-Betrags- Schwelle Tc überschreitet. Wenn die Differenz zwischen den primären und Überwachungs-Signalen Tm nicht überschreitet (d. h. wenn der beobachtete Fehler in dem System klein ist oder nicht existiert), nimmt das Integriererausgangssignal allmählich mit einer bestimmten konstanten Rate auf Null ab. Das System betrachtet deshalb sowohl den Betrag als auch die Dauer einer etwaigen Differenz zwischen den primären und Überwachungs-Regelsignalen. Eine große Differenz zwischen den Signalen erzeugt schnell ein Warnsignal, und eine kleinere Differenz erzeugt eine Warnung, wenn sie eine ausreichende Zeitlang beobachtet wurde.
Obwohl dieses System gegenüber anderen vorbekannten Fehlererkennungsverfahren Verbesserungen liefert, ist es immer noch anfällig für unnötige Auslösungen aufgrund von Rauschsignalen mit einem Betrag, der größer als die Betragsschwelle TM ist. Unnötige Auslösungen können sich auch aus Rauschsignalen ergeben, die nicht momentan die Rauschschwelle überschreiten, wenn solche Rauschsignale eine ausreichende Frequenz oder einen ausreichenden Betrag aufweisen, um die konstante Abklingrate des Integrierers zu überschreiten. Da Differenzen zwischen den primären und Überwachungs-Regelsignalen mit einer konstanten Rate aus dem Integrierer herausbefördert werden, können große Differenzsignale eine lange Zeit in dem System verbleiben.

KURZE DARSTELLUNG DER ERFINDUNG

Eine Aufgabe der vorliegenden Erfindung ist die Bereitstellung eines verbesserten Fehlererkennungssystems, das Regelsystemdiskrepanzen genau und verläßlich identifiziert.
Eine weitere Aufgabe der vorliegenden Erfindung ist die Bereitstellung eines Fehlererkennungssystems, das gegenüber vorbekannten Lösungen eine verbesserte Ansprechzeit aufweist, ohne daß dabei die unnötigen Auslösungen zunehmen.
Noch eine weitere Aufgabe der vorliegenden Erfindung ist die Bereitstellung eines Regelsystems, das der Anlage auch dann nützliche Regeldaten bereitstellt, wenn ein Fehlerzustand identifiziert wurde.
Die vorliegende Erfindung betrifft eine Vorrichtung zur Regelung einer Anlage nach Anspruch 1 und ein Verfahren zur Erkennung von Fehlern in einem Regelsystem nach Anspruch 9.
Gemäß der vorliegenden Erfindung wird eine redundante Regelarchitektur mit primären und Überwachungs-Regelsystemen bereitgestellt, wobei jedes Regelsystem ein Regelsignal erzeugt. Die Differenz zwischen den beiden Regelsignalen wird von einem Fehlererkennungssystem überwacht. Das Fehlererkennungssystem umfaßt einen Integrierer und ein Speichermittel, das Signaldifferenzen eine vorbestimmt Zeitspanne lang aufzeichnen kann. Durch die Verwendung von Speicher wird es möglich, Signaldifferenzen zu dem Integrierer zu addieren und zu einem späteren Zeitpunkt zu subtrahieren. Die im Stand der Technik erforderliche feste Abklingrate wird dadurch beseitigt, da alle Signale nach der vorbestimmten Zeitspanne aus dem System herausgeführt werden. Durch Verwendung einer Speichervorrichtung zur Überwachung des tatsächlichen in dem System enthaltenen Fehlers kann der Fehlerdetektor der vorliegenden Erfindung auch sehr hochfrequente Fehlersignale überwachen, die möglicherweise nicht lange genug andauern, um bei Fehlerdetektoren des Stands der Technik Warnsignale zu erzeugen. Außerdem liefert der Detektor genauere Ergebnisse als vorbekannte Detektoren, da keine Annahmen über Fehlerabklingraten getroffen werden müssen. Alle Fehlersignale werden nach einer vorbestimmten Zeitspanne aus dem Integrierer herausgeführt.
Bei einer Ausführungsform der vorliegenden Erfindung wird die Anlage durch ein Signal geregelt, das gleich dem Mittelwert der primären und Überwachungs-Signale ist. Durch Kombinieren der beiden Signale in ein Regelsignal empfängt die Anlage auch dann relativ genaue Regelinformationen, wenn in einem der Regelsysteme ein Fehlerzustand identifiziert wurde.
Die obigen und andere Aufgaben, Merkmale und Vorteile der vorliegenden Erfindung werden aus der folgenden ausführlichen Beschreibung von Ausführungsbeispielen in Verbindung mit den beigefügten Zeichnungen, in denen gleiche Bezugszahlen zur Identifizierung desselben oder ähnlicher Teile in den ähnlichen Ansichten verwendet werden, deutlich.

KURZE BESCHREIBUNG DER ZEICHNUNGEN

Fig. 1 ist ein Blockschaltbild eines Regelsystems mit Fehlererkennung im Stand der Technik.
Fig. 2 ist ein Blockschaltbild eines Fehlererkennungssystems gemäß der vorliegenden Erfindung.
Fig. 3A ist ein Blockschaltbild einer ersten Ausführungsform eines Filterungsmechanismus.
Fig. 3B ist ein Blockschaltbild einer zweiten Ausführungsform eines Filterungsmechanismus.
Fig. 3C ist ein Blockschaltbild einer dritten Ausführungsform eines Filterungsmechanismus.
Fig. 4 ist ein Blockschaltbild des Regelsystems der vorliegenden Erfindung.

AUSFÜHRLICHE BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSFORM

Unter Bezugnahme auf Fig. 2 wird ein Blockschaltbild eines verbesserten Fehlerdetektors offengelegt. Der Fehlerdetektor 13, der in der Regel in einem digitalen Computer implementiert wird, empfängt die Differenz D zwischen einem primären Signal P des Regelsystems und einem Überwachungs-Signal M. Als Alternative könnte M das Ausgangssignal eines Modells oder einer Simulation sein. In jedem Fall werden die Signale P und M einem Summierungsknoten 15 zugeführt, der die Differenz zwischen den beiden Signalen berechnet und ein Differenzsignal D erzeugt, wobei D = P - M gilt.
Da sich die Differenz D zwischen den primären und Überwachungs-Regelsignalen P und M mit der Zeit ändern kann, werden auf nachfolgend beschriebene Weise mehrere Beobachtungen des Differenzsignals D in dem Regelsystem beibehalten. Das Differenzsignal D wird in der Regel mit einer konstanten Frequenz abgetastet, kann aber auch asynchron oder gemäß einem beliebigen anderen Abtastverfahren abgetastet werden.
Jedes Differenzsignal D wird durch einen Filterungsmechanismus 23 geleitet, der in dem Fehlerdetektor enthalten ist und in der Lage ist, ein absolutes Differenzsignal DA zu erzeugen, das der absoluten Differenz zwischen dem Differenzsignal D und einer Betragsschwelle Tm entspricht. Algebraisch ausgedrückt gilt DA = [abs(D)-Tm], wobei DA vorzugsweise nach oben durch einen Maximalwert Tmax begrenzt wird. Dieser begrenzte Differenzwert DA entspricht dem Betrag der kritischen Differenz zwischen dem primären Regelsignal P und dem Überwachungs-Regelsignal M zu einem gegebenen Zeitpunkt. Die Betragsschwelle Tm ist für jedes implementierte Regelsystem eindeutig bestimmt und wird gemäß dem Grad des in dem System vorliegenden Rauschens bestimmt, da Werte des Differenzsignals D, die kleiner als die Betragsschwelle Tm sind, vom Fehlerdetektor ignoriert werden. Die Betragsschwelle Tm hängt außerdem von dem Grad der gewünschten Fehlerempfindlichkeit ab.
Fig. 3 zeigt drei alternative Ausführungsformen für den Filterungsmechanismus 23. Jede Ausführungsform umfaßt mehrere Signalfilter, die alle vollständig im Stand der Technik beschrieben werden. Die Reihenfolge, in der das Differenzsignal D die Signalfilter durchläuft, ist nicht kritisch und kann verändert werden, ohne die Leistung des Fehlerdetektors oder des Regelsystems zu beeinflussen.
Wie in Fig. 3A gezeigt, enthält der Filterungsmechanismus 23 vorzugsweise eine Absolutwertfunktion 17 und ein Todzonenfilter 18 zur Erzeugung eines absoluten Differenzsignals DA (siehe Fig. 3A). Das Todzonenfilter 18 läßt nur den Teil des Differenzsignals D durch, der die Betragsschwelle Tm überschreitet.
Als Alternative kann das Ausgangssignal des Absolutwertfilters 17 das Todzonenfilter 18 umgehen (siehe Fig. 3B). Bei einer solchen Ausführungsform manipuliert das Todzonenfilter 18 das Differenzsignal D nicht, sondern wirkt lediglich als ein Steuergatter, das das Differenzsignal D nur dann durchläßt, wenn sein Absolutwert die Betragsschwelle Tm überschreitet.
Bei der bevorzugten Ausführungsform des Filterungsmechanismus 23 von Fig. 3C werden dem Filterungsverfahren von Fig. 3A oder Fig. 3B ein vorbekanntes Frequenzformungsfilter 16 und ein vorbekannter Signalbegrenzer 19 hinzugefügt. Es ist wohlbekannt, daß Differenzsignale D mit verschiedenen Frequenzen häufig in Abhängigkeit vom Frequenzgang des Regelsystems betragsmäßig stark schwanken können. Da der Fehlerdetektor 13 auf Signale verschiedener Frequenzen verschieden reagiert, kann es schwierig sein, den Fehlerdetektor 13 so abzustimmen, daß bei allen angetroffenen Frequenzen ein optimales Ansprechverhalten erzielt wird. Das Differenzsignal D kann deshalb einem Frequenzformungsfilter 16 zugeführt werden, um einen standardmäßigen Ausgangsbetrag zu liefern, auf den der Fehlerdetektor 13 abgestimmt werden kann. Frequenzformungsfilter, wie zum Beispiel ein umgekehrtes Kerbenfilter, sind für das konkrete implementierte Regelsystem optimiert und sind in der Technik wohlbekannt. Wenn kein Frequenzformungsfilter 16 verwendet wird, dann sollte die Betragsschwelle Tm herabgesetzt werden. Ein Senken des Werts der Betragsschwelle Tm vergrößert jedoch die Wahrscheinlichkeit von unnötigen Auslösungen.
Die in Fig. 3C gezeigte bevorzugte Ausführungsform enthält außerdem einen wahlweisen Begrenzer 19, der die absolute Differenz DA an einem bestimmten endlichen Wert Tmax abkappen kann. Der Begrenzer 19 stellt sicher, daß sehr große, aber sehr kurze Differenzsignale D, die für Systemrauschen charakteristisch sind, keine unerwünschte Warnung auslösen können.
Wieder unter Bezugnahme auf Fig. 2 wird ein Speicher 20 bereitgestellt, um Beobachtungen von DA, die aus dem Filterungsmechanismus 23 empfangen werden, beizubehalten. Durch das Beibehalten mehrerer Werte von DA im Speicher 20 kann die Systemleistung über eine Zeitspanne hinweg überwacht werden. Der Speicher 20 kann vorzugsweise auf einem digitalen Computer als eine Speicherstapelstruktur implementiert werden, die auf einen Null-Zustand initialisiert wird (d. h. um die Abwesenheit jeder anfänglichen absoluten Differenz anzuzeigen). Da der Speicher 20 den Gesamtbetrag der in dem System über eine Zeitspanne von T Sekunden hinweg beobachteten Regelsignaldifferenz beibehalten muß, muß der Stapel groß genug sein, um alle Werte von DA zu speichern, die während einer Zeitspanne von T Sekunden aus dem Filterungsmechanismus 23 empfangen werden.
Absolute Differenzsignale DA werden gleichzeitig einem Integrierer 21 zugeführt und eine Zeitspanne von T Sekunden lang im Speicher 20 gespeichert. Nachdem ein Signal DAT Sekunden lang im Speicher gespeichert wurde, wird das Signal aus dem Speicher 20 entfernt und von dem Integrierer 21 abgezogen. Jede Beobachtung der absoluten Differenz DA wird somit genau T Sekunden lang in dem Fehlerdetektor 13 beibehalten: jeder Wert wird zum Integrierer 21 addiert, wenn er beobachtet wird, und dann nach einer Verzögerung von T Sekunden heraussubtrahiert. Da die zu dem Integrierer 21 addierten und aus diesem subtrahierten Werte gleich (obwohl zeitlich verschoben) sind, gibt das Ausgangssignal DT des Integrierers 21 immer den Gesamtbetrag der absoluten Differenz wieder, die vom Fehlerdetektor 13 über die letzten T Sekunden hinweg beobachtet wurde. Es ist niemals notwendig, die in dem Integrierer 21 enthaltenen Werte zurückzusetzen oder anderweitig manuell herauszubringen, da jedes zu dem Integrierer addierte Signal T Sekunden später heraussubstrahiert wird. Die gesamte absolute Differenz DT, die vom Integrierer 21 beibehalten wird, gibt deshalb den genauen und gesamten Betrag der absoluten Differenz wieder, die in dem System für die letzten T Sekunden beobachtet wurde. Der Wert DT kann deshalb im Komparator 11 mit einer Zeit-Betrags-Schwelle TC verglichen werden, wobei der Komparator 11 wiederum ein Warnsignal A erzeugt, wenn die gesamte absolute Differenz DT den Schwellenbetrag überschreitet (d. h. wenn DT > TC ist).
Der Fehlerdetektor 13 von Fig. 2 kann leicht in dem Regelsystem des Stands der Technik von Fig. 1 implementiert werden, bei dem die Anlage 14 durch das primäre Regelsignal P geregelt wird, sofern kein Warnsignal A durch den Fehlerdetektor 13 erzeugt wird. Das Rückkopplungssignal F liefert Anlage- Ansprechinformationen an das primäre und Überwachungs- Regelsystem 11 bzw. 12. Wenn das primäre Regelsystem 11 eine mechanische oder elektrische Vorrichtung ist und das Überwachungs-Regelsystem 12 zum Beispiel als ein mathematisches Modell implementiert ist, kann eine solche Anordnung wünschenswert sein. Wenn das primäre und das Überwachungs-Regelsystem 11 bzw. 12 aus identischer Hardware bestehen, kann es jedoch vorteilhaft sein, die Anlage sowohl mit dem primären Regelsignal P als auch dem Überwachungs-Regelsignal M zu regeln. Eine effektive Implementierung eines echt redundanten Regelsystems besteht darin, die primären und Überwachungs-Regelsignale zu mitteln und den Mittelwert dieser beiden Signale als Eingangssignal für die Anlage zu verwenden. Da es unwahrscheinlich ist, daß die Signale P und M zur gleichen Zeit ausfallen, ist es wahrscheinlich, daß ein gemitteltes Signal auch im Fall eines Einzelkanalausfalls zumindest teilweise genau ist. Ein Regelsystem mit gemitteltem Signal liefert eine größere Toleranz gegenüber Fehlern als im Stand der Technik, da auch bei Identifizierung eines Warnzustands durch den Fehlerdetektor das gemittelte Regelsignal immer noch wahrscheinlich verläßlich genug ist, um die Anlage eine kurze Zeit lang zu regeln. Wenn die Anlage von einem einzigen primären Regelsignal abhängen würde, könnte ein Warnzustand die Anlage betriebsunfähig machen.
Nunmehr mit Bezug auf das Blockschaltbild von Fig. 4 wird ein Regelsystem mit gemitteltem Signal offengelegt. Ein primäres Regelsystem und ein Überwachungs-Regelsystem liefern primäre und Überwachungs-Regelsignale, die durch den Summierungsknoten 25 addiert werden. Die resultierende Summe P + M wird einem Dividierer 26 zugeführt, um einen Mittelwert der beiden Regelsignale zu erzeugen, der der Anlage 14 zur Verwendung als ein Regelsignal zugeführt werden kann. Dieses gemittelte Regelsignal C, das gleich [(P + M)/2] ist, kann auch in einem zweiten Surnmierungsknoten 27 von dem primären Regelsignal P subtrahiert werden, um ein Signal B zu erzeugen, das gleich der Hälfte der Differenz zwischen dem primären und dem Überwachungs-Regelsignal P bzw. M ist. Algebraisch ausgedrückt gilt B = [P - (P+M)/2] = [(P - M)/2]. Der Multiplizierer 28 kann dann das Signal 8 mit 2 multiplizieren, um ein Signal E zu erzeugen, das gleich P - M, der Differenz zwischen den Regelsignalen, ist. Diese Differenz D kann dann als ein Eingangssignal für den Fehlerdetektor 13 verwendet werden. Der Fehlerdetektor 13 entspricht vorzugsweise der oben beschriebenen Fig. 2, es kann jedoch ein beliebiger vorbekannter Fehlerdetektor verwendet werden, der eine Differenz zwischen zwei Regelsignalen als Eingangssignal annimmt und als ein Ausgangssignal ein Warnsignal A erzeugt. Wie bei dem Regelsystem von Fig. 1 liefert das Rückkopplungssignal F Anlage- Ansprechinformationen für das primäre und das Überwachungs-Regelsystem 11 bzw. 12.
Die entsprechenden Strukturen, Materialien, Handlungsweisen und Äquivalente aller Mittel oder Schrittplus-Funktionselemente in den nachfolgenden Ansprüchen sollen beliebige Strukturen, Materialien oder Handlungsweisen zur Durchführung der Funktionen in Kombination mit anderen beanspruchten Elementen, die spezifisch beansprucht werden, umfassen. Der Schutzumfang der Erfindung sollte nicht durch die angegebenen Beispiele, sondern durch die angefügten Ansprüche und ihre legalen Äquivalente bestimmt werden.

Claims

1. Vorrichtung zur Regelung einer Anlage, umfassend:

ein primäres Regelsystem (11) mit einem primären Regelsignal (P);

ein Überwachungs-Regelsystem (12) mit einem Überwachungs-Regelsignal (M);

mehrere Differenzsignale (D), wobei jedes Differenzsignal der Differenz zwischen dem primären Regelsignal und dem Überwachungs-Regelsignal zu einem festen Zeitpunkt entspricht; und

einen Fehlerdetektor (13), umfassend:

ein Filter (23), das jedes der Differenzsignale in absolute Differenzwerte (DA) transformiert, die der absoluten Differenz zwischen jedem der Differenzsignale und einer Betragsschwelle (TM) entsprechen; und

einen Speicher (20), der jeden der absoluten Differenzwerte für die vorbestimmte Zeitdauer speichert;

dadurch gekennzeichnet, daß

der Fehlerdetektor (13) weiterhin einen Integrierer (21) umfaßt, der mit dem Speicher (20) kommuniziert, wobei der Integrierer eine laufende Akkumulation der während nur der vorbestimmten Zeitdauer beobachteten absoluten Differenzwerte führt.

2. Vorrichtung nach Anspruch 1, weiterhin mit einem Mittel zum Berechnen eines Mittelwerts des primären Regelsignals und des Überwachungs- Regelsignals, wobei der Mittelwert der Anlage zugeführt wird.

3. Vorrichtung nach Anspruch 1, wobei das Filterungsmittel ein Totzonenfilter (18) umfaßt.

4. Vorrichtung nach Anspruch 3, wobei das Filter weiterhin eine Absolutwertfunktion (17) umfaßt.

5. Vorrichtung nach Anspruch 4, wobei das Filter einen Signalbegrenzer (19) umfaßt.

6. Vorrichtung nach Anspruch 5, wobei das Filter ein Frequenzgangkompensationsfilter (16) umfaßt.

7. Vorrichtung nach Anspruch 1, wobei der Fehlerdetektor (13) und/oder das Filter (23) in einem digitalen Computer implementiert sind.

8. Verfahren zur Erkennung von Fehlern in einem Regelsystem, mit den folgenden Schritten:

Bestimmen von Differenzen zwischen einem primären Regelsignal (P) und einem Überwachungs- Regelsignal (M) in regelmäßigen Zeitintervallen; und

Bestimmen absoluter Differenzen (DA) zwischen den Differenzen und einem Schwellenwert;

wobei das Verfahren durch die folgenden weiteren Schritte gekennzeichnet ist:

Addieren der absoluten Differenzen zu einem Gesamt-Absolut-Differenzsignal;

Halten jeder der Differenzen in einem Speicher (20) für mindestens eine vorbestimmte Zeitdauer;

Subtrahieren jeder der Differenzen von dem Gesamt-Absolut-Differenzsignal, nachdem die vorbestimmte Zeitdauer abgelaufen ist; und

Bereitstellen eines Warnsignals (A), wenn das Gesamt-Absolut-Differenzsignal einen maximal zulässigen Differenzwert übersteigt.

9. Verfahren nach Anspruch 8, weiterhin mit dem Schritt des Bildens des Mittelwerts des primären Regelsignals und des Überwachungs-Regelsignals zur Erzeugung eines Eingangssignals für eine Anlage.

10. Verfahren nach Anspruch 8 oder 9, weiterhin mit dem Schritt des Filterns der Differenzen, bevor die Differenzen in dem Speicher gehalten werden.