-
Ausfallsicheres Steuersystem zur Übertragung von digitaen Informationen
Die Erfindung bezieht sich auf ein modular aufgebautes ausfallsicheres Steuersystem
zur Übertragung von digitalen Informationen zwischen einem digitalen Rechner und
mit diesem im on-line Betrieb gekoppelten Prozeß-Peripheriegeräten innerhalb eines
Automatisierungssystems, bei dem das gerätetechnisch mehrere Datenverarbeitungsebenen
aufweisende Steuersystem initiiert vom Rechner den Ablauf der Informationsübertragung
in beiden Richtungen steuert.
-
Ein derartiges Steuersystem ist erforderlich für die Anwendung in
einem Automatisierungssystem zur Steuerung und Uberwachung von industriellen Prozessen,
Fertigungs- und Bewegungsvorgängen aller Art. Bei allen Anwendungen besteht eine
direkte (on-line) Verbindung zwischen Automatisierungssystem und zu automatisierender
Anlage, so daß Änderungen des Betriabszustandes oder der Anforderungen an die Anlage
schnell erfaßt, ausgewertet und in Steuerhandlungen umgewandelt werden können,
Das
Steuersystem, auch Verkehrsverteiler genannt, hat dabei die Aufgabe, Informationen
zwischen dem Prozeßrechner und den Peripheriegeräten wortweise in beiden Richtungen
zu transportieren. Zu den Peripheriegeräten werden hierbei alle Einrichtungen gerechnet9
die Daten und Meßwerte in einem Prozeß erfassen und die Informationen und Steuerbefehle
an den Prozeß bzw, an dessen Überwachungsorgane ausgeben. Ebenfalls Peripheriegeräte
sind in diesem Zusammenhang alle Einrichtungen, die innerhalb des Prozesses den
Informationsaustausch zwischen Mensch und Prozeßrechner erlauben, wie z. B. Leuchtanzeigen,
Tastaturen, Fernschreibmaschinen und Protokoll-Schreibmaschinen.
-
Durch seinen Ausbau muß das Steuersystem leicht einer speziellen Aufgabe
angepaßt werden können; das heißt, es suB modular aufgebaut sein9 und die Art und
Anzahl der verwendeten Baugruppen müssen beliebig kombinierbar seine -Dabei muß
der Aufwand für Ansteuerung und Addressierung bei kleinen Ausbaustufen klein sein
und darf erst bei größeren Ausbaustufen entsprechend zunehmen.
-
Das Steuersystem ist mit dem Prozeßrechner über einen programmgesteuerten
Ein-/Ausgabekanal verbunden; daher bestimmt der Rechner die Art und Richtung der
Informationstransporte des Steuersystems durch Ein-/Ausgabe-Befehle, die er in seinem
laufenden Programm verfindet.
-
Eine Ein-/Ausgabeoperation über das Steuersystem erfordert die Bearbeitung
einer Folge von mehreren E/A-Befehlen des Rechners, wobei Jeder Befehl eine bestimmte
Mikrooperation durchführt, wie z.B. Informationseingabe, -Ausgabe, Test des Zustandes
einer adressierten Steuersystems-Baugruppe und Fehlertent.
-
Das Steuersystem, das die E/A-Befehle empfängt, decodiert sie und
verwendet sie zur Steuerung der internen Informations- und Steuersignaltransporte.
Außerdem werden dort Ausgabeinformationen und Adresse gespeichert und die Eingabeinformation
für die Eingabe in den Rechner bereitgehalten. Werden derartige Steuersysteme in
einem sicheren Automatisierungssystem eingesetzt das beispielsweise zur Steuerung
und Überwachung von Kernenergieanlagen, chemischen Industrieanlagen, Fahrzeugen
und deren Sicherungseinrichtungen im Verkehrswesen dient, bei denen ein Fehler zu
katastrophalen Folgen führt, wobei Menschenleben gefährdet oder große Sachschäden
verursacht werden können, so werden erhöhte Anforderungen an die Sicherheit und
Verfügbarkeit gestellt.
-
Die Bedingungen sind dabei folgendermaßen festgelegt: a) Durch einen
einzigen Fehler eines Bauelementes, einer Signalverbindung oder eines Peripheriegerätes
(z. B.
-
defekter Meßfühler) dürfen keine fehlerhaften Daten-Ausgaben oder
Steuerbefehle verursacht werden.
-
b) Das Automatisierungssystem muß ohne Einschränkung weiterarbeiten
und weiterhin voll verfügbar sein, c) Der Fehler muß dem Bedienungspersonal angezeigt
werden, um die Anlage zum frühest möglichen Zeitpunkt - während des Betriebes -
reparieren zu können.
-
Mit dem gleichzeitigen Auftreten von zwei voneinander unabhängigen
Fehlern bzw. mit dem Auftreten eines weiteren Fehlers vor der Reparatur des ersten
wird nicht gerechnet, da die Wahrscheinlichkeit hierfür ausreichend gering ist.
Für diesen Fall werden keine Bedingungen an die Sicherheit ge-,tellt.
-
Aufgabe der vorliegenden Erfindung ist es deshalb, ein modular aufgebautes
ausfallsicheres Steuersystem zur Ubertragung von digitalen Informationen zwischen
einem digitalen Rechner und mit diesem im on-line-Betrieb gekoppelten Proezß-Peripheriegeräten
innerhalb eines Automatisierungssystems anzugeben, das die vorgenannten Sicherheitsanforderungen
erfüllt. Gemäß der Erfindung wird diese Aufgabe gelöst durch einen Aufbau des Steuersystems
aus drei identischen, voneinander unabhängigen Informationsverarbeitungskanälen,
in denen gleiche Daten taktsynchron verarbeitet werden und innerhalb der Kanäle
zwischen den in integrierter Schaltkreistechnik ausgeführten Datenverarbedtungsebenen
eingeschaltete Najoritäts- und Fehlerüberwachungsschaltungen aus eigensicheren Logikbausteinen
zur Regenerierung und Anzeige von fehlerbehafteten Signalen, die durch Fehler innerhalb
bzwO außerhalb des Steuersystems auftreten.
-
Die gesamte für die Funktion des ausfallsicheren Steuersystems notwendige
Signalverarbeitung ist in identischen Kanälen dreifach vorhanden. Jeder Kanal ist
für sich allein funktionsfähig, besitzt also neben einer eigenen Stromversorgung
auch eine eigene Peripherie. Ob jeder Kanaö an einer eigenen Ein- Ausgabe eines
einzigen sicheren Rechners (polymorpher Rechner) oder an jeweils einen von drei
vor handenen Rechnern (Dreifachrechner) angeschlossen wird, ist für das Steuersystem
ohne Bedeutung Die für den Aufbau der Majoritäts- und Fehlerüberwachungsschaltungen
verwendeten eigensicheren Logikbausteine sind bereits vorgeschlagen und in den Patentanmeldungen
P 19 33 713.4, P 19 50 330.1, P 19 50 331029 P 2o 14 135o9 und P 20 14 110.0 beschrieben
worden Es handelt sich dabei um eine Wechselstromlogik, bei der in jedem Baustein
abhängig von der Eingangs logik durch einen Oszillator eine Wechselspannung erzeugt
wird. Ein zentraler Takt ist somit für das gesamte System nicht erforderlich.
-
Die logischen Signale L und 0 sind wie folgt definiert: a) Das L-Signal
wird durch die Umhüllende einer Wechselspannung dargestellt.
-
b) Das O-Signal bedeutet keine Wechselspannung.
-
An das eigensichere Bausteinsystem sind folgende Bedingungen gestelit:
1.) Führt ein Logikbaustein nach seiner logischen Funktion und den anliegenden Eingangs
signalen am Ausgang ein 0-Signal, so darf beim Auftreten eines internen Fehlers
(Bauelementeausfalls etc.) kein L-Signal am Ausgang erscheinen.
-
2.) Fuhrt der Baustein am Ausgang ein L-Signal nach seiner logischen
Funktion und den anliegenden Eingangssignalen, so muß der Ausgang beim Auftreten
eines internen Fehlers nach O-Signal wechseln und auch, wenn die Eingangssignale
erneut wechseln, weiterhin O-Signal ausgeben.
-
3.) Bei einer Leitungsunterbrechung oder einem Kurzschluß der Ausgangsleitung
eines sicheren Logikbausteines sollen alle angeschlossenen Eingänge O-Signal (keine
Wechselspannung) erhalten.
-
Jeder Eingang der sicheren Wechselstrombausteine besteht aus einer
potentialfreien Primärwicklung eines Wechselstromübertragers. Die Ausgangsleitung
einer Einheit wird durch alle zu verknüpfenden Eingangswicklungen geschleift, das
Ende der letzten Eingangswicklung muß an + UB (Betriebsspannung) gelegt werden.
Diese Art der Verdrahtung gilt für logische Wechselstrom-Bausteine (dyn. Schaltkreise).
Sie hat den Vorteil, daß bei einem Drahtbruch der hintereinandergeschalteten Eingangskreisa
kein Eingang ein L-Signal zur Ansteuerung erhält.
-
Die Erfindung sei nachstehend an Hand der in den Figuren 1 - 3 dargestellten
Prinzipschaltbilder naher erläutert.
-
Dabei zeigt die Fig. 1 ein Blockschaltbild des gesamten Steuersystems,
Fig. 2 ein Blockschaltbild der Majoritätslogikanordnung und Fig. 3 ein Blockschaltbild
der Fehlerüberwachungsschaltungen.
-
Das Blockschaltbild der Fig. 1 zeigt den Gesamtaufbau des Steuersystems,
das gerätetechnisch aus drei in konventioneller, integrierter Schaltkreistechnik
aufgebauten Datenverarbeitungsebenen D I, D II und D III und aus zwei dazwischen
angeordneten Majoritäts- und Fehlerüberwachungsebenen Ü I und U II, die aus eigensicheren
Logikbausteinen aufgebaut sind, besteht.
-
Die Baugruppen 11 - 16 der Überwachungsebene Ü 1 regenerieren und
überwachen den Datenverkehr auf den programmgesteuerten Ein- und Ausgabekanälen
in beiden Richtungen zwischen der Zentraleinheit lo des Prozeßrechners, die die
Datenverarbeitungsebene D I bildet und der Datenverarbeitungsebene D II. Die Datenverarbeitungsebene
D II umfaßt dabei in Steuerwerke 20, 21 und 22, Gruppensteuerungen 23, 24 und 25
und Blocksteuerungen 26, 27 und 28 jeweils für die Kanäle K 1 - K 3, die die in
der Beschreibungseinleitung genannten Aufgaben erfüllen. Auf deren Arbeitsweise
wird jedoch hier nicht naher eingegangen, da dies für das Verständnis des erfindungsgemäßen
Steuersystems nicht erforderlich ist.
-
Die Baugruppen 30 - 35, 40 - 45 und 50 - 55 der Majoritäts-und Fehlerüberwachungsebene
U II regenerieren und überwachen den Datenverkehr in beiden Richtungen zwischen
der Datenverarbeitungsebene D II und der Datenverarbeitungsebene D III, die die
Ein-/Ausgabe-Blöcke 60, 70 und 80 umfaßt. Zu diesen E/A-Blöcken gehören der Unterbrechungseingabeblock
6o, der Digitaleingabeblock 70 (Spontaneingabe) und der Analogeingabeblock 80. Die
jeweils zugehörigen Ausgabeblöcke sind in der Fig. 1 nicht dargestellt,
Der
dreikanalig aufgebaute Unterbrechungseingabeblock 60 (Interrupteingabeblock) hat
die Aufgabe, Signaländerungen, die an einem oder mehreren Eingängen auftreten, dem
Prozeßrechner lo über ein Sammelunterbrechungssignal auf den Leitungen 61, 62 und
63 unabhängig vom laufenden Programm mitzuteilen.
-
Durch den dreikanalig aufgebauten Digitaleingabeblock 70 sollen digitale
Informationen, die an vielen Eingabepunktten als elektronische Signale oder als
Kontaktstellungen anliegen, in den Prozeßrechner eingelesen werden. Mehrere Eingabepunkte
sind zu einem Eingabewort zusammengefaßt, das innerhalb einer Digitaleingabeoperation
vom Rechner adressiert werden muß und dessen Information dann als Rechner-Doppelwort
in den Rechner gebracht wird. Der Digitaleingabeblock enthält also Einrichtungen
zur Adressdecodierung, zur konjunktiven Verknüpfung eines jeden Eingabewortes mit
dem zugehörigen Adresssignal und zur disaunktiven Zusammenfassung der von verschiedenen
Eingabeworten kommenden Informationssignale.
-
Der ebenfalls dreikanalig aufgebaute Analogeingabeblock 80 dient zur
Eingabe analoger Meßgrößen, die als elektrische Spannungen oder Ströme vorliegen,
in den Prozeßrechner lo. Er besteht aus einem Analog-Digital-Wandler, der eine dem
analogen Meßwert entsprechende Binärzahl erzeugt, einem Vorverstärker, der kleine
Analogspannungen in den für den Analog-Digital-Wandler erforderlichen Wert verstärkt,
einem oder mehreren Eingabeblöcken, die Meßstellenschalter zum Durchschalten der
gewünschten Analogeingabepunkte enthalten, und einer Steuereinheit, die den zeitlichen
Ablauf der Analogeingabevorgänge bestimmt, die Adressierung der Eingabeblöcke vornimmt
und den Informatiowstransport vom Analog-Digital-Wandler steuert.
-
Pr Aufbau des gesamten Steuersystems erfolgt durch Baugruppen derart,
daß drei unabhängige Kanäle K 1, K 2 und K 3 entstehen.
Majoritätsschaltungen
ML und Fehlerüberwachungsschaltungen FÜ sind innerhalb der Uberwachungsebenen il
I und Ü II für jeden Kanal K 1, K 2 und K 3 und für jede Datenrichtung (Ein/Ausgabe)
getrennt vorhanden. So z.
-
in der Uberwachungsebene U I für den Kanal K 1 die Blökke 11, 12,
für den Kanal K 2 die Blöcke 13, 14 und für den Kanal K 3 die Blöcke 15, 16. In
der Uberwachungsebene U II die Blöcke 30 - 35, 40 - 45 und 50 - 55. Jeder Block
enthält Majoritäts- und Fehlerüberwachungsschaltungen ML und FU. Ihr Aufbau ist
in den Fig. 2 und 3 näher beschrieben. Die Ausgangsleitungen der Fehlerüberwachungsschaltungen
FU sind zwecks besserer Übersicht nicht in das Blockschaltbild der Fig. 1 eingezeichnet
worden.
-
Eine Fehlermeldung durch eine Fehlerüberwachungsschaltung erfolgt
so, daß auf eine bestimmte auswechselbare Baugruppe hingewiesen wird. Diese Baugruppe
kann dann während des Betriebes der Anlage durch in der Fig. 1 nicht dargestellte
Schalter überbrückt und ausgewechselt werden, ohne daß der Signalfluß bei abgetrennter
Baugruppe unterbrochen wird.
-
Die Fig. 2 zeigt den Aufbau und die Anordnung der Majoritätsschaltungen
ML innerhalb der Uberwachungsebene U II, die zwischen der Datenverarbeitungsebene
D II und der Datenverarbeitungsebene D III angeordnet ist, am Beispiel des Analogeingabeblockes
80 der Fig. 1 für eine Datenrichtung.
-
Aufgabe der Majoritätsschaltung ist es, die aus drei parallelen Datenverarbeitungskanälen
K 1 - $ 3 der Datenverarbeitungsebene D II (sie entsprechen den Blocksteuerungen
26, 27 und 28 der Fig. 1) ausgegebenen Signale a 1 - an b 1 - bn, c 1 - cn auch
bei Ausfall eines Kanals dreikanalig an die weitere dreikanalig ausgeführte Datenverarbeitungsebene
D III, hier durch den Analogeingabeblock 80 gebildet, weiterzugeben. Die gesmte
Majoritätsschaltung
der Überwachungsebene U II ist, wie alle Baueinheiten
des erfindungsgemäßen Steuersystems, aus drei identischen Schaltungen in den Blöcken
50, 52 und 54 aufgebaut und gibt aus jeder dieser Schaltungen Ausgangssignale α1
- αn, ß1 - ßn, γ1 -γb ab, die der Mehrheit ihrer zugehörigen Eingangssignale
al - an, b1 - bn, cl - cn entsprechen (z. B. zwei von jeweils drei Kanalsignalen
der Datenverarbeitungsebene D II). Mit den Ausgangssignalen jeder der drei betreffenden
Majoritätsschaltungen 50, 52 und 54 wird je ein Kanal . K1 K2, K3 der Datenverarbeitungsebene
D III angesteuert.
-
Die einzelnen Schaltungen sind aus eigensicheren Logikbausteinen
auf der Basis einer Wechselstromlogik aufgebaut und benötigen an ihren Eingängen
Signalumsetzer, die statische Signale in dynamische Signale umsetzen, Umsetzer PD
561-566, und an ihren Ausgängen Umsetzer, die die Signale in umgekehrter Richtung
umsetzen, Umsetzer PS 571-576.
-
Die mit einem Stern gekennzeichneten Umsetzer PD 561 - 566 sind für
die Majoritätsschaltungen ML und für die Fehlerüberwachungsschaltungen FU gemeinsame
Umsetzer (siehe auch Fig.3).
-
Alle eigensicheren Logikbausteine sind durch ein schwarzes - Dreieck
an der rechten unteren Kante des Bausteinsymbols dargestellt.
-
Die Bedingungen für die Ausgangssignale α1, ß1, tV1 der Majoritätsschaltungen
50, 52 und 54 sind identisch und entsprechen in ihrer Form den Bedingungen für α2,
ß2, γ2 bis αn, ßn, γn.
-
α1 = ß1 = γ1 = a1 # bi + a1 # c1 + b1 # c1 Realisiert
wird diese Bedingung durch eigensichere ODER/UND-Gatter. Jeweils zwei dieser Gatter,
z. B. 501 und 502 im Kanal K 1, 521 und 522 im Kanal K 2 und 541 und 542 im Kanal
K 3 bilden ein Majoritätselement. Jede Majoritätsschaltung 50, 52 und 54 enthält
entsprechend ihren Eingangssignalen al - an, b1 - bn, c1 - cn n-Najoritätselemente.
-
Bei einem Fehler in der Datenverarbeitungsebene D II arbeiten die
drei Kanäle der Datenverarbeitungsebene D III ohne Einschränkung. Ein weiterer Fehler,
diesmal in der Ebene D III führt daher nicht zum Ausfall des Steuersystems. Durch
relativ kleine Ebenen und häufige Einschaltung der Majoritätsschaltungen wird die
Zuverlässigkeit des Steuersystems insgesamt erhöht, bei gleichbleibender Zuverlässigkeit
der Einzelelemente.
-
Unabhängig von den in der Fig. 2 dargestellten Najoritätsschaltungen
ML, die das Weiterarbeiten des Steuersystems auch nach dem Auftreten eines Fehlers
gewährleisten, sind Fehlerüberwachungsschaltungen FU notwendig. Diese werden ebenfalls
wie die Majoritätsschaltungen ML jeder datenverarbeitenden Ebene nachgeschaltet
und sollen eine fehlerhafte Verarbeitung durch den Vergleich jedes einzelnen Kanal
ausgangssignals mit den entsprechenden der beiden anderen Kanäle erkennen und zur
Anzeige bringen. Je nach dem logischen Zusammenfassungsgrad der einzelnen Fehlersignale
ist eine genauere oder weniger genaue Lokalisierung des Fehlers aus der Anzeige
möglich. Im allgemeinen wird es genügen, soviel Fehlersignale zu haben, wie steckbare
und damit leicht auswechselbare Baugruppen vorhanden sind.
-
In der Fig. 3 sind die Signale a 1, b 1, c 1 usw. mit denen in der
Fig. 2 identisch, da die Fehlerüberwachungsschaltung FU mit der Majoritätsschaltung
ML immer parallel an gleiche Ausgangsleitungen angeschaltet werden. Zusätzlich werden
negierte Ausgangssignale a 1, b 1, c 1 usw. benötigt, die durch Umsetzer PD 581
- 586 erzeugt werden.
-
Für die Fehlersignale FK 1.1, d. h. Fehler der Ausgangsleitung 1 (a
1) im Kanal 1, FK 2.1, d. h. Fehler der Ausgangsleitung 1 (b 1) im Kanal 2 und FK
3.1, d. h. Fehler der Ausgangsleitung 1 (c 1) im Kanal 3 erhält man für die beteiligten
Signalleitungen a 1, b 1, c 1 aus den drei Datenverarbeitungskanälen,
die
im ungestörten Betrieb identische Signale führen, folgende Wahrheitstabelle: Signalzustände
0 # Fehler a1 b1 c1 FK 1.1 FK 2.1 FK 3.1 L L L L L L L L O L L O L O L L O L L O
0 O L L O L L O L L O L O L O L O O L L L O 0 0 O L L L Man erhält in der zweckmäßigen
Maxtermform FK 1.1 = (a1 + b1 + c1) (a1 + b1 + c1) FK 2.1 = (a1 + b1 + c1) (a1 +
b1 + c1) FK 3.1 = (a1 + b1 + c1) (a1 + b1 + c1) Für die funktionell zusammengehörigen
Signalausgänge a2, b2, c2 bis zu an, bn, cn lassen sich entsprechende logische Funktionen
ableiten. Die aus den vorgenannten Bedingungen abgeleitete Schaltung kann also im
Vielfach verwendet werden und bildet daher das aus einem ODER/UND-Gatter, z. B.
503, 523, 543, bestehende Grundelement für den Aufbau der Fehlerüberwachungsschaltungen
in den Blöcken 50, 52 und 54. Entsprechend der Signalanzahl n sind n-FU-Elemente
in jeder der FU-Schaltungen 50, 52 und 54 für jeden Kanal vorhanden.
-
Die einzelnen Fehlersignale FK 1.1 bis FK 1.n; FK 2.1 bis FK 2.n und
FK 3.1 bis FK 3.n sind zu Gesamtfehlersignalen FK 1, FK 2 und FK 3 disjunktiv mit
sicheren Logikbausteinen zusammengefaßt. Da ein Fehlersignal mit O-Signal erscheint,
werden
für die Zusammenfassung UND-Gatter 504, 524 und 544 benutzt, die für Signale die
Disjunktion liefern.
-
Für die optische Anzeige sind ruhestrombetriebene Signalleuchten vorgesehen.
Eine disjunktive Verknüpfung aller Fehlersignale kann eine akustische Meldung auslösen.
Außerdem ist es über einen Interrupt möglich, einen Fehler im Betriebsprotokoll
ausdrucken zu lassen.