DE2108496B2

DE2108496B2 - Schaltungsanordnung zur ständigen Funktionskontrolle der Informationsverarbeitung und der Ausgabe von Datentelegrammen, insbesondere bei prozessrechnergesteuerten Eisenbahnsignalanlagen

Info

Publication number: DE2108496B2
Application number: DE19712108496
Authority: DE
Inventors: Wolfgang Dr.-Ing. 7140 Ludwigsburg Jakob; Joerg Dipl.-Ing. 7000 Stuttgart Schwarzwaelder; Helmuth Dipl.-Ing. 7000 Stuttgart Uebel
Original assignee: Standard Elektrik Lorenz AG
Current assignee: Alcatel Lucent Deutschland AG
Priority date: 1971-02-23
Filing date: 1971-02-23
Publication date: 1975-08-28
Also published as: ATA65872A; ES400051A1; FR2126272A1; GB1359748A; DE2108496A1; DE2108496C3; RO63302A; BE779692A; CH551661A; FR2126272B1; IT947593B

Description

Die Erfindung betrifft eine Schaltungsanordnung zur ständigen Funktionskontrolle der Informationsverarbeitung und der Ausgabe von Datentelegrammen, bei der ein Datentelegramm für einen Üoertragungskanal in parallel betriebenen, gleichartigen Rechnern parallel erarbeitet und auf getrennten Leitungen einem gemeinsamen Ausgang für diesen Obertragungskanal zugeführt wird, mit einer Überwachungs- und Ausgabevorrichtung, die durch Vergleich der getrennt erarbeiteten Datentelegramme das Ausgangssignal eines defekten Rechners unterdrückt, insbesondere bei prozeßrechnergesteuerten Eisenbahnsignalanlagen.

Eine Schaltungsanordnung der vorstehend beschriebenen Art ist aus der DT-OS 14 74 071 bekannt

Aus dem Buch von R. K. Richards. »Electronic Digital System«, New York - London -Sydney. 1966. S. 596 bis 601. ist es bekannt, daß bei drei gleichen, parallelwirkenden datenverarbeitenden Systemen durch Mehrheitsentscheid verhindert werden kann, daß am Ausgang der Mehrheitslogik ein falsches Bit auftritt, wenn nur von einem System ein falsches Bit abgegeben wird. Bei diesen Systemen ist eine aktive Reaktion auf eine festgestellte Abweichung zwischen zwei Systemen nicht vorgesehen.

Aus der DT-AS 11 26 938 ist es bereits bekannt, zur Sicherung der Steuerung von Fernmeldevermittlungsanlagen die Geräte in allen Steuerstufen zu verdoppeln und jeweils den Ausgang eines Gerätes einer Stufe mit den Eingängen beider Geräte der nächsten Stufe zu verbinden. An jedem Geräteeingang wird dort ein Vergleich beider gelieferten Informationen durchgeführt. Bei Feststellung eines Fehlers wird dann in beiden Geräten einer Stufe nur die Information des ungestörten Gerätes der vorigen Stufe verarbeitet. Mit dieser Sicherung wird der Ausfall eines Gerätes in seiner Wirkung auf eine Stufe beschränkt, in allen anderen Stufen bleibt die Prüfbarkeit und Verdopplung erhalten. Bei dieser bekannten Anordnung sind viele Vergleicher erforderlich. Außerdem werden diese nicht überprüft. Eine solche Anordnung ist in manchen Fällen nicht sicher genug, so z. B. bei rechnergesteuerten Eisenbahnsignalanlagen, bei denen eine hohe signaltechnische Sicherheit verlangt wird.

Aus der DT-AS 12 22 550 ist eine Schaltungsanordnung zum Überwachen zweier parallelbetriebener gleichartiger Übertragungseinrichtungen in Zeitmultiplex -Fernmeldevermittlungsanlagen bekannt, bei der nach Feststellung eines Fehlers jeweils auf eine Reserveeinrichtung umgeschaltet wird und bei der diese Reserveeinrichtung vor Inbetriebnahme zunächst selbst geprüft wird. Bei Feststellung einer Störung der Reserveeinrichtung wird dann erneut umgeschaltet und die ursprünglich benutzte Einrichtung noch einmal geprüft. Diese Schaltungsanordnung benutzt also nur eine Einrichtung.

Aus der DT-AS 12 93190 ist eine bitserielle Übertragung bei Datenverarbeitungsanlagen bekannt.

Aus der Druckschift »Control Engineering«, Vol. 16, Heft 2, 1969, S. 102 bis 105, ist eine Mehrheitsentscheidung in Form einer zwei von drei Auswahl bekannt, die auf die Feststellung eines defekten Rechners hinausläuft.

Aus der DT-As 10 05 115 ist eine serielle Redundanz

durch zweifache Nachrichtenübertragung bekannt

In der älteren Anmeldung P 2017 853 wird bereits Schutz beansprucht für ein Steuerverfahren für eine Prozeßsteuerung, insbesondere für prozeßrechnergesteuerte Eisenbahnsignalanlagen, mit zwei die gleiche Eingangsinformation verarbeitenden Kommandoeinheiten, von denen die eine Kommandoeinheit zu erarbeitende Informationsteile und <.le andere Kommandoeinheit zugehörige Prüfteile erarbeitet, bei dem die Ausgänge beider Kommandoeinheiten in einer Verknüpfungseinheit zusammengefaßt werden unü bei dem jeweils das Zusammenpassen von Informationsteil und Prüftet! überwacht wird, das dadurch gekennzeichnet ist, daß beide Kommandoeinheiten parallel den Informationsteü erarbeiten, daß wenigstens wahlweise die eine oder andere Kommadoeinheit aus dem selbsterarbeiteten Informationsteil den zugehörigen Prüfteil erarbeitet, daß aber die Verknüpfungseinheit zur Sicherung der Übertragung zwischen der Verknüpfungseinheit und einem Befehlsempfänger jedenfalls nur wahlweise den Informationslei! v>n der einen (anderen) Kommandoeinheit und den Prüfteil von der anderen (einen) Kommandoeinheit zum Befehlsempfänger sendet und daß erst der Befehlsempfänger den Empfang eines zu einem Informationsteil passenden Prüfteils überwacht

Vorliegend wird kein mit dem dort geschützten Steuerverfahren übereinstimmender Schutz beansprucht

Die Aufgabe der Schaltungsanordnung nach der Erfindung besteht darin, bei der Informationsverarbeitung und Ausgabe von Datentelegrammen durch parallel arbeitende Rechner eine fortlaufende Funktionskontrolle zu ermöglichen und die geforderte Sicherheit zu gewährleisten.

Die Schaltungsanordnung nach der Erfindung ist dadurch gekennzeichnet, daß zur gleichzeitigen Ausgabe mehrerer Datentelegramme für mehrere Übertragungskanäle in drei Rechnern bitparallel erarbeitete Informationsteile und Prüfteile aller Datentelegramme bitseriell über einen jeweils diesem Übertragungskanal zugeordneten Ausgang des Rechners den getrennten Leitungen zugeführt werden, daß die Überwachungsund Ausgabevorrichtung durch paarweisen, bitweisen Vergleich und Mehrheitsentscheid einen defekten R ehner feststellt, daß die Überwachungs· und Ausgabevorrichtung mittels einer Steuereint .ehtung zur Abgabe der Datentelegramme an die Übei tragungskanäle während der Dauer, in der an den Ausgängen der Rechner die Informationsteile bitseriell auftreten, die Ausgänge eines von ihr ausgewählten, als nicht defekt festgestellten Rechners und während der Dauer, in der an den Ausgängen der Rechner die Prüfteile bitseriell auftreten, die Ausgänge eines anderen, als nicht defekt festgestellten Rechners mittels eines allen drei Rechnern und der Überwachungs- und Ausgabevorrichtung gemeinsam zugeordneten Taktgebers auf die Übertragungskanäle durchschaltet, und daß zur Funktionsprüfung der Vergleichs- und der Steuereinrichtung über die Ausgänge der Rechner absichtlich gefälschte Datentelegrammteile abgegeben werden, wenn der entsprechende Rechner nicht von der Steuereinrichtung zur Abgabe dieses Datentelegrammteiles auf die Übertragungskanäle ausgewählt ist.

Mit dieser Schaltungsanordnung wurde eine Möglichkeit gefunden, die Funktionskontrolle ohne zusätzlichen Aufwand, und ohne zeitliche Behinderung der Prozeßsteuerung in deren Ablauf einzufügen.

Die Erfindung sei an Hand der F i g. 1 und 2 beispielsweise näher erläutert In den Figuren sind nur die Teile dargestellt die unbeditigt für das Verstand'« der Erfindung erforderlich sind. Es zeigt

F i g. 1 ein Schema der erfindungsgemäßen Schaltungsanordnung und den Aufbau eines Datentelegramms und

Fig.2 ein Blockschaltbild der erfindungsgemäßen Überwachungs- und Ausgabevorrichtung.

Die in F i g. 1 dargestellten Rechner Rl, R2 und R3 arbeiten parallel. Sie bekommen die gleichen Eingangsdaten DE Da sie gleichartige Programme haben, müssen sie zu gleichen Ergebnissen kommen. Die Ausgänge der Rechner sind mit einer Überwachungsund Ausgabevorrichtung OA V verbunden, über die die Übertragungskanäle KX bis Kn wahlweise mit den Ausgängen der Rechner verbunden werden können. Durch einen gemeinsamen Taktgeber Γ wird sichergestellt, daß die drei Rechner zur gleichen Zeit Daten zu Überwachungs- und Ausgabevorrichtung ÜA V ausgeben und diese auf die entsprechenden Übertragungskanäle durchschaltet.

Jeder Rechner RX, R2 und R3 besitzt mindestens so viele Ausgänge RXIaX bis an, RlIaX bis an und RiIaX bis an. wie Übertragungskanäle KX bis Kn vorhanden sind. Die Ausgabe der Telegramme erfolgt parallel und alle Ausgänge der Rechner, jedoch wird auf jedem Ausgang das anstehende Telegramm seriell (bitweise) gegeben. Durch den gemeinsamen Takt wird gewährleistet, daß die drei Rechner zur gleichen Zeit Daten (Bit) zur Überwachungs- und Ausgabeschaltung ÜA V ausgeben. Die Überwachungs- und Ausgabeschaltung ÜAV vergleicht die Ausgabedaten der drei Rechner und stellt gegebenenfalls mit Mehrheitsentscheid fest, welcher Rechner gestört ist. Dieser Rechner wird dann von den abgehenden Datenkanälen KX bis Kn abgetrennt.

Die von der Überwachungs- und Ausgabevorrichtung ÜA V getroffenen Entscheidungen werden über Überwachungsleitungen ÜX, Ü2 und Ui zu den Rechnern gegeben. Die von den drei Rechnern abgegebenen gleichen Telegramme DTsetzen sich nach dem unteren Teil der Fig. I aus dem Informationsteil Adresse AD + Befehl B und Prüfteil R zusammen. Zur Übertragung auf die Übertragungskanäle KX bis Kn kann jeweils für ein Telegramm von einem Rechner, z. B. Al. der Informationsteü, z. B. //Rl, und von einem anderen Rechner, z. B. R2, der Prüfteil R/R2 verwendet werden.

Der Rechner, von dem der Informationsteü genommen wird, soll im folgenden Informationsrechner genannt werden, der Rechner, von dem Prüfteil genommen wird, der Redundanzrechner. Die Funktio nen Informations- bzw. Redundanziechner sind den Rechnern RX, R2, R3 nicht fest zugeordnet, sie werden von der Überwachungs- und Ausgabevorrichtung ÜA V festgelegt, und zwar nach der momentanen ausgewählten Reihenfolge bzw. dem Störungszustand des Rechnertripeis.

Die F i g. 2 zeigt die erfindungsgemäße Überwachungs- und Ausgabeschaltung UAV in einem Ausführungsbeispiel. Sie besteht aus einer Durchschalteinrichtung A £, drei Vergleichseinrichtungen Vl 2, V23und V31 und einer Steuereinrichtung ST. Die drei Vergleichseinrichtungen vergleichen die von den drei Rechnern Rl₁ R2 und R3 über ihre Ausgänge RXIaX bis an, RlIaX bis an und R3/a1 bis an ausgegebenen Datentelegramme derart bitweise, daß die Einrichtung Vl 2 die Bit der Telegramme der Rechner Rl und R2, die

Einrichtung V23 die Bit der Telegramme der Rechner Rl und A3 und die Einrichtung V31 die Bit der Telegramme der Rechner A3 und Ri vergleichen. Der Vergleich erfolgt jeweils gleichzeitig für die momentan an den Ausgängen der Rechner seriell anliegenden Bit. Bei fehlerhafter Ausgabe an einem Ausgang eines Rechners, z. B. des Rechners Al, melden zwei Vergleichseinrichtungen einen Fehler, nämlich, die Einrichtungen V12 und V31. Die Steuereinrichtung Si stellt durch die über die Leitungen Vl, V2 und V3 gegebenen Vergleichssignale fest, welcher Rechner gestört ist. Ein Rechner gilt dann als gestört, wenn seine Bitfehlerrate in einem der Ausgänge ein bestimmtes Maß überschreitet, z. B. vier Fehler pro Telegramm. Die Steuereinrichtung St erzeugt an ihren Ausgängen, abhängig von den Signalen der Vergleichseinrichtungen, Durchschaltkommandos für zwei Rechner. Im Falle des gestörten Rechners Ri werden dann über die Leitungen S2 und 53 die Ausgänge der Rechner R2 und R3 in der Durchschalteeinrichtung AE auf die Übertragungskanäle ACl bis Kn durchgeschaltet. Über die Leitung 51 wird die Durchschaltung des Rechners RX verhindert. Die an den Leitungen 51, 52 und S3 anliegenden Kommandos werden über Überwachungsleitungen ÜSi, ÜS2 und ÜS3 den zugehörigen Rechnern Ri, R2 und Λ3 zugeführt. Desgleichen werden die Vergleichssignale der Vergleichseinrichtungen Kl 2, V23 und V31 über entsprechende Leitungen ÜVi, ÜVI und ÜV3 den Rechnern Al, Rl und R3 eingegeben.

Die Durchschalteeinrichtung AEbewirkt das Verbinden der Ausgänge der durch die Steuereinrichtung 5/ markierten Rechner, z. B. Ri und Rl, auf die Übertragungskanäle Ki bis Kn und stellt damit sicher, daß kein gestörter Rechner auf die Übertragungskanäle aufgeschaltet wird. Zur Überwachung und Prüfung der Vergleichseinrichtungen V12, V23 und V31 und der Steuereinrichtung St werden von den Rechnern in gewissen Zeitabständen absichtlich falsche Daten (Bit) gesendet. Um die abgehenden Daten nicht zu verfälschen, sendet der Informationsrechner falsche Prüfbit und der Redundanzrechner falsche Informationsbit. Da die Datentelegramme aus zwei Rechnern zusammengestellt werden, ist damit gewährleistet, daß die absichtlich gefälschten Bits nicht zu den Übertragungskanälen gelangen.

Sendet ein Rechner zur Übertragung falsche Daten (Bit), so muß dieser Rechner aus der Vergleichsrückmeldung über die Leitungen ÜVi bzw. ÜVI, ÜVi erkennen, daß die beiden ihm zugeordneten Vergleichseinrichtun-

gen einen Fehler melden. Zur Überprüfung der Steuereinrichtung 5/ sendet jeder Rechner in gewissen Zeitabständen so viele falsche Bit, daß er von den Ausgabekanälen abgetrennt werden muß, z. B. fünf falsche Bit in einem Telegramm. Auf Grund der von der Steuereinrichtung 5/ zurückführenden Überwachungsleitungen USi, ÜSl und ÜS3 kann der prüfende Rechner feststellen, ob er abgetrennt worden ist. Bei Störung der Vergleichseinrichtungen Vl 2, V23 und V31 oder der Steuereinrichtung 5/, die dem prüfenden Rechner zugeordnet sind, schaltet der Rechner seine Ausgabe ab.

Die Durchschalteeinrichtung AE'isl so aufgebaut, daß ein elektrischer Fehler sich immer so auswirkt, daß der Datenfluß zu den Übertragungskanälen Ki bis Kn unterbrochen wird.

Durch die erfindungsgemäße Schaltungsanordnung wird eine sichere Datentelegramm-Übertragung von den Ausgängen der Rechner auf die Übertragungskanäle erreicht, und Störungen in den verschiedenen Einrichtungen werden rechtzeitig erkannt.

So werden Fehler in den Rechnern sofort durch die Vergleichs- und die Steuereinrichtung erkannt.

Störungen in den Vergleichseinrichtungen erkennen die Rechner durch die Prüfvorgänge.

Fehler in der Steuereinrichtung werden ebenfalls durch die Rechner und den Prüfvorgang erkannt.

Störungen in der eigensicheren Durchschalteeinrichtung verhindern die Ausgabe der Datentelegramme auf die Übertragungskanäle und werden sofort erkannt.

Hierzu 2 Blatt Zeichnungen

Claims

Patentansprüche:

21

496

1 - Schaltungsanordnung zur ständigen Funktionskontrolle der Informationsverarbeitung und der Ausgabe von Datentelegrammen, bei der ein Datentelegramm für einen Übertragungskanal in parallel betriebenen, gleichartigen Rechnern parallel erarbeitet und auf getrennten Leitungen einen¹ gemeinsamen Ausgang für diesen Obertragungskanal zugeführt wird, mit einer Oberwachungs- und Ausgabevorrichtung, die durch Vergleich der getrennt erarbeiteten Datentelegramme das Ausgangssignal eines defekten Rechners unterdrückt, insbesondere bei prozeßrechnergesteuerten Eisenbahnsignalanlagen, dadurch gekennzeichnet, daß zur gleichzeitigen Ausgabe mehrerer Datentelegramme (DT) für mehrere Übertragungskanäle (Ki ... Kn) in drei Rechnern (Rl ... Ri) bkparallel erarbeitete Informationsteile (AD + B) und Prüfteile (R) aller Datentelegramme bitseriell über einen jeweils diesem Übertragungskana! zugeordneten Ausgang (a\... an) des Rechners den getrennten Leitungen zugeführt werden, daß die Oberwachungs- und Ausgabevorrichtung (ÜAV) durch paarweisen, bitweisen Vergleich Mehrheitsentscheid einen defekten Rechner feststellt, daß die Überwachungs- und Ausgabevorrichtung mittels einer Steuereinrichtung (St) zur Abgabe der Datentelegramme an die Übertragungskanäle während der Dauer, in der an den Ausgängen der Rechner die Informationsteile bitseriell auftreten, die Ausgänge eines von ihr ausgewählten, als nicht defekt festgestellten Rechners (z. B. des Rechners Rl), und während der Üauer, in der an den Ausgängen der Rechner die Prüfteile bitseriell auftreten, die Ausgänge eines anderen, als nicht defekt festgestellten Rechners (z. B. des Rechners Rl) mittels eines allen drei Rechnern und der Überwachungs- und Ausgabevorrichtung gemeinsam zugeordneten Taktgebers (T) auf die Übertragungskanäle durchschaltet, und daß zur Funktionsprüfung der Vergleichs- und der Steuereinrichtung über die Ausgänge der Rechner absichtlich gefälschte Datentelegramrnteile abgegeben werden. wenn der entsprechende Rechner nicht von der Steuereinrichtung zur Abgabe dieses Datentelegrammteiles auf die Übertragungskanäle ausgewählt ist.
2. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß als Überwachungs- und Ausgabevorrichtung (ÜA V, F i g. 2) eine Durchschalt-(AE), drei Vergleichs- (VM, V23. Vi\) und eine Steuereinrichtung (St) verwendet werden, wobei die Ausgänge jedes Rechners (Ri, R2, R3)einerseits mit den Eingängen der Durchschalteinrichtung (AE)und andererseits mit je einer Gruppe von Eingängen zweier Vergleichseinrichtungen (V12 und V31 bzw. W. 2 und V23, V23 urtd V31,Jderart verbunden sind, daß die jeweils einem Übertragungskanal zugcordneten, gleichzeitig an den entsprechenden Ausgängen der drei Rechner anliegenden Bits auf Übereinstimmung vergleichbar sind, und daß die Ausgänge der Vergleicher (VI 2, V23, V31^ über je eine Leitung (Vi, V2 bzw. V3) mit der Steuereinrichtung (St) verbunden sind, durch die (St) über jedem Rechner zugeordnete Steuerleitungen (51, 52, S3) die Ausgänge der zwei ausgewählten Rechner in der Durchschaheeinrichtung (AE) abhängig von den Signalen der Vergleicher auf die Übertragungskanäle durchgeschaltet werden.