DE3225455A1

DE3225455A1 - Verfahren zum sicheren betrieb eines redundanten steuersystems und anordnung zur durchfuehrung des verfahrens

Info

Publication number: DE3225455A1
Application number: DE19823225455
Authority: DE
Inventors: Ewald Dr. 7515 Linkenheim Schrodi
Original assignee: Siemens AG; Siemens Corp
Current assignee: Siemens AG; Siemens Corp
Priority date: 1982-07-07
Filing date: 1982-07-07
Publication date: 1984-01-19
Also published as: DE3225455C2

Description

Verfahren zum sich rein Betrieb eines redundanten Stuersystems und Anordnung zur Durchführung des Verfahrens Die Erfindung bezieht sich auf ein Verfahren zum sichcren Betrieb eines redundanten Steuersystems mit zwei programmierbaren parallelgeschalteten Rechnereinheiten, an deren jeweiligem Eingang übereinstimmende Eingangssignale anliegen und die diese Daten nach übereinstimmenden Programmen synchron verarbeiten und von denen jeweils eine mit ihren Ausgangssignalen eine Steuer anordnung beaufschlagt; bei dem mit einem Uberwachungssystem, das bei Abweichungen der von beiden Rechnereinheiten erzeugten Signale voneinander die Ermittlung der fehlerhaften Rechnereinheit durchgeführt und der Betrieb des Steuersystems mit der nicht fehlerhaften Rechnereinheit veranlaßt wird.
Bei einem bekannten Steuersystem dieser Art (Anke/Ealtenecker/Oetker "Prozeßrechner", Oldenbourg Verlag München, 1970, Seite 348) sind in den Programmen beider Rechner Schritte vorgesehen, bei denen die in jedem Rechner errechneten, am Ausgang anstehenden Teilergebnisse miteinander verglichen werden; bei Abweichung der Teilergebnisse voneinander werden in beiden Rechnern Diagnoseprogramme gestartet, die die fehlerhafte Bunktionseinheit identifizieren. Die lediglich durch programmschritte vorgesehene Kontrolle von Abweichungen und der Ablauf von Diagnoseprogrammen in beiden Rechnern können hierbei zu länger dauernden Unterbrechungen im Steuersystem bei einer relativ zeitaufwendigen Fehlererkennung führen.
Der Erfindung liegt die Aufgabe zugrunde ein Verfahren zum sicheren Betrieb eines redundanten Steuersystems zu schaffen, bei dem eine schnelle Erkennung und Lokalisie- rung eines Fehlers in einer der parallelgeschalteten Rechnereinheiten gewährleistet ist.
Zur Lösung dieser Aufgabe wird bei einem Verfahren zum sicheren Betrieb eines redundanten Steuersystems mit dem Uberwachungssystem, das eine Vergleicherschaltung und eine Fehlerlokalisierungsschaltung aufweist, eine schaltungsmäßige Uberwachung der beiden Rechnereinheiten vorgenommen, wobei die mit den Bausteinen einer jeden Rechnereinheit über einen Systembus verbundene Vergleicherschaltung die zu jedem Zeitpunkt des Betriebs des Steuersystems erzeugten Datensignale der Bausteine direkt miteinander vergleicht.
Bei dem erfindungsgemäßen Verfahren ist in vorteilhafter Weise gewährleIstet, daß bereits durch den Vergleich der in jedem Rechner während der Abarbeitung des Programmes mittels der Rechnerbausteine anfallenden Datensignal.e zu jedem Zeitpunkt eine Erkennung eines Fehlers in einer der beiden Rechnereinheiten erfolgen kann. Dadurch, daß das Uberwachungssystem sofort nach Erkennen einer Abweichung beim Vergleich der in den jeweiligen Bausteinen vorhandenen Datensignale in beiden Rechnereinheiten durch die Vergleichsschaltung den Fehler mittels der Fehlerlokalisie rungsschaltung lokalisiert, kann noch während des Programmablaufs der beiden parallelgehalteten Rechnereinheiten die jeweils fehlerhafte außer Betrieb gesetzt werden. Es ist somit beim erfindungsgemäßen Verfahren zur Erkennung eines Fehlers nicht erforderlich, daß die Abarbeitung der Programme in beiden Rechnereinheiten jeweils bis zu bestimmten Teilergebnissen durchgeführt werden muß.
Der sichere Betrieb des Steuersyste:ms kann in besonders vorteilhafter Weise dadurch gewährleistet werden, daß während des Betriebs des Steuersystems in den beiden Rechnereinheiten vorgegebent Feb rsignale erzeugt werden.
Die vorgegebenen Fehlersignale bilden künstlich erzeugte Fehler im Steuersystem nach, znic denen die Vergleichereinheit auf ihre fehlererkennende Funktion getestet wird Da hier eine fehlerhafte Rechnereinheit nicht vorhanden ist, kann somit für diesen Fall ein Abschalten der Rechnereinheit, die mit dem Fehlersignal beaufschlagt ist, unterdrückt werden.
Ferner ist es in vorteilhafter Weise möglich, während des Betriebs des Steuersystems bei fehlerfreiem Arbeiten leider Rechnereinheiten einen zyklischen Wechsel der Rechnereinheit vorzunehmen, die die Steueranordnung mit ihren Ausgangssignalen beaufschlagt. Durch diesen zyklischen Wechsel der jeweils mit dr Steueranordnung verbundenen Rechnereinheit in einem wahlfrei vorgegebenen Zeitabstand ist gewährleistet, daß alle Komponenten (z. B.
Ausgabe, Umschaltung) beider Rechnereinheiten während des Betriebs des Steuersystems aktiviert werden. Es ist hierbei verhindert, daß eine Rechnereinheit oder dara.. angeschlossene Schaltungselemente, die längere Zeit nicht in Betrieb sind, unbemerkt defekt sind und somit als Reserve ausfallen.
Bei einer weiteren Ausgestaltmg des erfindungsgemäßen Verfahrens erhält vor der WiederJ:nbetriebnahme einer reparierten fehlerhafte Rechnereinheit in einer Aufdat-Phase diereparierte Rechnereinheit den gleichen Zustand wie die parallelgeschaltete Rechnereinheit. Durch das einmalige Aufdaten einer wieder in Betrieb genommenen Rechnereinheit in einer Aufdat-Phase, in der unter anderem alle Speicherzellen dieser Rechnereinheit belegt werden ist sxchergestelltX daß beide Rechnereinheiten ihre Progr-amme synchron abarbeiten ohne daß während des Betriebs des Steuersystems ein permanenter Austausch von Datensignalen zwischen den Rechnereinheiten stattfinden muß. Ein Umschalten von einer Rechnereinheit auf die andere ist somit jederzeit ohne Störungen möglich.
In schaltungstechnisch einfacher Weise kann das erfindungsgenßße Verfahren mit einer Anordnung durchgeführt werden, die zwei programmierbare parallelgeschaltete Rechnereinheiten allfweist die jeweils einen Eingang für zu verarbeitende Meß- oder sonstige Eingabe signale als Eingangssignale und einen Ausgang, über den eine geneinsame Steueranordnung von einer der Rechnereinheiten mit Ausgangssignalen beaufschlagt wird, aufweisen, und einer Vergleicherschaltung, die mit den Rechnereinheiten verbunden ist, wobei die Rechnereinheiten Koppelbausteine, Zentraleinheiten und Speicherbausteine aufweisen, die jeweils über eine Parallelbusleitung mit dem jeveiligen, ebenfalls als Paralle lbusleitung ausgeführten Systembus und somit mit der Vergleicherschaltung verbunden sind.
Eine erforderlich werdende Umschaltung bei Erkennung eines Fehlers in einer der Rechnereinheiten kann auf einfache Weise durchgeführt werden, wenn die Ausgangssignale jeder Rechnereinheit uber jeweils eine Umschalteinrichtung auf den Ausgang des Steuersystems geführt sind, wobei die Umschalteinrichtungen durch das Fehler signal der fehlerhaften Rechnereinheit derart aktiviert werden, daß der Betrieb des Steuersystems mit der nicht fehlerhaften Rechnereinheit erfolgt.
Die Erfindung wird anhand der Figur erlautert, die ein Blockschaltbild eines Ausführungsbeispiels des erf indungsgemäßen redundanten Steuersystems darstellt.
Das in der Figur dargestellte redundante Steuersystem weist eine Rechnereinheit 1 und eine dazu parallelgeschaltet Rechnereinheit 2 auf, an deren Eingängen 3 und 4 übereinstimmende Daten anliegen, welche über eine Meßdatenleitung Ej, z. B. Meßwerte' von einem za steuern den Prozeß und/oder manuell vorgegebene Eingabedaten von einem Eingabebausteín 5', erhalten. Die beiden Rechner- einheiten 1 und 2 weisen Bausteine Ii .. 14 bzw. 21 ... 24 auf, die jeweils über Parallelbusleitungen 15 bzw. 25 mit einem Systembus 16 bzw. einem Systembus 26 verbunden sind.
Die Bausteine 11, 14 bzw. 21, 24 sind hier Ein- bzw. Ausgangskoppelbausteine, die Bausteine 12 bzw. 22 stellen jeweils eine Zentraleinheit dar, und die Bausteine 13 bzw. 23 sind hier beispielsweise Speicherbausteine. Über die Parailelbusleitung 16 bzw. 26 ist eine Synchronisierschaltung 6 mit den beiden Bechnereinheiten 1 und 2 erbunden, die durch eine synchrone Taktsteuerung beider Rechnereinheiten eine synchrone Verarbeitung der an den Rechnereinheiten 1 und 2 anliegenden Daten gewährleistet.
Die Synchronisierschaltung 6 weist beispielsweise zwei Taktgeneratoren 6' und 6" auf, deren Taktfolge synchron ist und darüber hinaus bei Ausfall eines Taktgenerators die Funktion des jeweils anderen mit übernehmen können.
Weiterhin ist mit den beiden Systembussen 16 und 26 ein Überwachungssystem 7 verbunden, das eine Vergleicherschaltung 7' und eine Fehlerlokalisierungsschaltung 7" aufweist, wobei ein Vergleich der an den Bausteinen der jeweiligen Rechnereinheiten 1 bzw. 2 anliegenden Datensignale zu jedem Zeitpunkt während des Programmablaufs vorgenommen wird. Das Uberwachungssystem 7 ist über Fehlersignalleitungen 8 und 9 mit Umschalteinrichtungen 17 und 18 verbunden, mittels denen die Ausgänge der Rechnereinheiten 1 oder 2 mit Steuer anordnungen 19 verbunden bzw unterbrochen werden. Mit diesen Steueranotdnungen 19 kann z. B. ein zu steuernder Prozeß in der mit den Programmen der beiden Rechnereiheiten 1, 2 festgelegten Art und Weise beelnrlulst werten.
Während des Betriebes mit dem dargestellten Ausführungsbeispiel zur Durchführung des erfindüngsgemäßen Verfahrens ist eine Rechnereítheít - hier die Rechnereinheit 1 -mit den Steueranordnungen 19 zur Beeinflussung eines zu steuernden Prozesses verbunden. Die im dargestellten Fall parallelgeschaltete Rechnereinheit 2 ist hier nicht in der Lage, Steuerbefehle zu der Prozeßperipherie 19 zu senden, sie bearbeitet jedoch die Eingangsdaten, die z. B. uber die Meßdatenleitung 5 auf ihren Eingang 4 gelangen, in gleicher Weise wie die Rechnereinheit 1. Mittels der Vergleicherschaltung 7' werden die in den Bausteinen 11 ... 14 bzw. 21 ... 24 erzeugten Datensignale standig miteinander verglichen, bei Ungleichheit der jeweils verglichenen Daten wird die Fehler stelle mittels der Fehlerlokalisierungsschaltung 7" in der entsprechenden Rechnereinheit 1 bzw. 2 lokalisiert. Die Rechnereinheit, zu der der fehlerhafte Baustein gehört. wird sodann von den Steueranordnungen 19 getrennt, und es wird die fehlerfreie Rechnereinheit mit den Steueranordnungen 19 über die Umschalteinrichtung 17 bzw. 18 verbunden. Für den anderen Fall, daß der Fehler in der Rechnereinheit -- her Rechnereinheit 2 - lokalisiert worden ist, die nicht t den Steueranordnungen 19 verbunden war, braucht lediglich eine Anzeige vorgenommen werden, die zur Herausnahme und Wiederinstandsetzung der fehlerhaften Rechnereinheit führt. Im ersten Fall ist somit die verarbeitung der Meßdaten an der Meßdatenleitung 5 und die Steuerung des Prozesses in der Steueranordnung 19 nur L.mrzzeitig unterbrochen; im zweiten Fall findet somit über haupt keine Unterbrechung statt, was somit zu einer außerordentlich sicheren Funktionsweise des erfindungsgemäßen Steuersystems führt.
Um die sichere Funktionsweise des Steuersystems während des Betriebs zu testen, können darüber hinaus vorgegebene Fehlersignale Deicler Rechnereinheiten , 2 eingegeben w@rden; desweiteren kann ein zyklischer Wechsel bei der Ankopplung der Rechnereinheiten 1 bzw. 2 an die Steueranordnungen vorgenommen werden. Alle diese Maßnahmen gewährleisten eine einwandfreie Durchführung des erfindungsgemäßen Verfahrens zum sicheren Betrieb des Steuersystems.
6 Patentansprüche 1 Figur

Claims

Patentansprüche 1. Verfahren zum sicheren Betrieb eines redundanten Steunrsystems mit a) zwei programmierbaren paralle Ige schalte ten Rechnere inheiten, al) an deren jeweiligem Eingang übereinstimmende Eingangssignale anliegen und die aiese Daten nach übereinstimmenden Programmen synchron verarbeiten und a2) von denen jeweils eine mit ihren Ausgangsimpulsen eine Steueranordnung beaufschlagt, bei dem b) mit einem Uberwachungssystem, das bei Abweichungen der von beiden Rechnereinheiten erzeugten Signale voneinarmer die Ermittlung der fehlerhaften Rechnereinheit durchgeführt und der Betrieb des Steuersystems mit der nicht fehlerhaften Rechnereinheit veranlaßt wird, d a d u r c h g e k e n n z e i c h n e t , daß c) mit dem Überwachungssystem (7), das eine Wergleicherschaltung (7') und eine Fehierlokalisierungsscltung (7") aufweist, eine schaltungsmäßige Überwachung der beiden Rechnereinheiten (1, 2) vorgenommen wird, wobei cl) die mit den Bausteinen (11 ... 14 bzw. 21 ... 24) einer jeden Rechnereinheit (1, 2) über einen Systemb (16, 26) verbundene Vergleicherschaltung (7') die zu jedem Zeitpunkt des Betriebs des Steuersystems erzeugten Datensignale der Bausteine (11 ... 14 bzw. 21 ... 24) direkt miteinander vergleicht.
2. Verfahren nach Anspruch 1, d a d u r c h g e -k e n n z e i c h n e t , daß d) während des Betriebs des Steuersystems in den beiden Rechnereinheiten (1, 2) künstliche Fehlersignale erzeugt werden, um die fehlererkennende Funktion der Vergleichereinheit zu orten.
3. Verfahren nach Anspruch 1 oder 2, d a d u r c h g e k e n n z e i c h n e t r daß e) wahrend des Betriebs des Steuersystems bei fehlerfreiem Arbeiten beider Rechnereinheiten (1, 2) ein zyklischer Wechsel der Rechnereinheit (1, 2) vorgenommae wird, die die Steueranordnung (19) mit ihren Ausgangssignalen beaufschlagt.
4. Verfahren nach einem der vorherigen Ansprüche, d a -d u r c h g e k e n n z e i c Jti n e t , daß f) vor der Wiederinatriebnahme einer reparierten tehlerhaften Rechnereinheit (1, 2) in einer Aufdat-Phase dzg reparierte Rechnereinheit (1, 2) den gleichen Zustand wie die parallelgeschaltete Rechnereinheit erhalt.
5. Anordnung zur Durchführung eines Verfahrens zum sicheren Betrieb eines redundanten Steuersystems mit g) zwei programmierbaren parallelgeschalteten Rechnereinheiten, gl) die jeweils einen Eingang für zu verarbeitende Meß- oder sonstige Eingabesignale als Eingangssignale und einen Ausgeng, über den eine gemeinsame Steueranordnung von einer der Rechnereinheiten mit Ausgangssignalen beaufschlagt wird, aufweisen, und h) einer Vergleicherscha3.tung, die mit den Rechnereinheiten verbunden ist, nach einem der vorherigen Ansprüche, d a d u r c h g e k e n n z e i c h n e t , daß i) die Rechnereinheiten (1, 2) Koppelbausteine (11, 14, 21, 24), Zentraleinheiten (12, 22) und Speicherbausteine (13, 23) aufweisen, die jeweils über eine Paralleibu-sieitung (15, 25) mit dem jeweiligen, ebenfalls als Paralleibusleitung ausgeführten Systembus (16, 26) und somit mit der Vergleicherschaltung verbunden sind (Figur)
6. Anordnung nach Anspruch 5, d a d u r c h g e -k e n n z e i c h n e t , daß j) die Ausgangssignale jeder Rechnereinheit (1, 2) über jeweils eine Umschalteinrichtung (17, 18) auf die Steueranordnung (19) geführt sind, wobei jl) jede Umschalteinrichtung (17, 18) über eine Fehlersignalleitung (8, 9) mit dem Uberwachungssystem (7) verbunden ist und durch das Fehlersignal des Uberwachungssystems (7) derart aktiviert wird, daß der Betrieb des Steuersystems mit der nicht fehlerhaften Rechnereinheit (1 bzw. 2) erfolgt.