DE69021469T2

DE69021469T2 - Verfahren zur Sicherheitsübertragssteuerung zwischen redundanten Netzwerkschnittstellbausteinen.

Info

Publication number: DE69021469T2
Application number: DE69021469T
Authority: DE
Inventors: Renee Drobish; W Russell Massey; Paul F Mclaughlin
Original assignee: Honeywell Inc
Current assignee: Honeywell Inc
Priority date: 1989-09-08
Filing date: 1990-09-07
Publication date: 1996-03-07
Anticipated expiration: 2010-09-08
Also published as: DE69021469D1; EP0416943A2; AU638047B2; EP0416943B1; CA2024744C; JPH03106144A; AU6136390A; CA2024744A1; US5016244A; EP0416943A3; JPH0666783B2

Description

Die folgende mitanhängige Patentanmeldung bezieht sich auf das gleiche Gebiet, wie die Erfindung der vorliegenden Anmeldung:
A. "Method for Control Data Base Tracking in a Redundant Processor" von P. McLaughlin et al, US-A-4 958 270, angemeldet am 23. Januar 1989.

Hintergrund der Erfindung

(1) Gebiet der Erfindung:

Diese Erfindung liegt auf dem Gebiet der Verfahren, durch welche die primären und sekundären Netzwerk-Schnittstellenmodule ihren entsprechenden Status feststellen und den der Netzwerke, mit denen sie im Dialog stehen, um festzustellen, wann der primäre Modul zugunsten des sekundären Moduls auf diesen umschalten soll und bei dem der sekundäre Modul feststellt, daß der primäre Modul ausgefallen ist, um die Rolle des primären Moduls zu übernehmen.

(2) Beschreibung des Standes der Technik

Prozeßregelsysteme, welche eine Hierarchie von lokalen Bereichsnetzwerken (LAN) umfassen, sind entwickelt worden. Ein Beispiel eines solchen Systems ist in dem US-Patent Nr. 4 607 256 beschrieben und beansprucht, das für Russel A. Henzel am 18. August 1986 ausgegeben wurde. Ein anderes solches System ist dargestellt und beschrieben in der durch Querverweis bezogenen Anmeldung mit dem Titel "Apparatus for Providing a Universal Interface to a Process Control System", deren Offenbarung durch Bezugnahme in dieser Anmeldung aufgenommen ist.
In solchen Systemen geben Netzwerk-Schnittstellenmodule (NIM) einen Dialog und Daten- Übersetzungsmöglichkeiten vor, so daß Module der zwei miteinander verbundenen Netzwerke durch einen NIM miteinander kommunizieren können. Die Zuverlässigkeit und die Fehlertoleranz von Prozeßregelsystemen werden beträchtlich erhöht durch Aufhahme eines Bereitschafts-, Stütz-, Sekundär- oder Redundanz-Moduls für jeden der in jedem Netzwerk betriebenen Module, insbesondere durch die NIM, die die Netzwerke miteinander verbinden, sowie durch das Vorsehen von redundanten Kabeln, über welche die Module eines jeden Netzwerkes miteinander im Dialog stehen. Aufgrund der Wichtigkeit der Funktionen, die durch die NIM ausgeführt werden, besitzt die Vorgabe eines Sekundäroder Stützmoduls für jeden NIM eines Prozeßregelsystems eine hohe Priorität. Es liegt jedoch eine Notwendigkeit für ein verbessertes Verfahren vor, durch welches ein primärer NIM und ein sekundärer NIM eines redundanten Paares von NIM's in einem solchen System in Dialog treten können und die Information ausgetauscht werden kann, so daß beide NIM's die Fähigkeit aufweisen, jeweils den Status des anderen zu kennen und die Fähigkeit der Feststellung oder der Steuerung zu besitzen, wenn der sekundäre NIM die Funktion des primären NIM übernimmt; oder anders ausgedrückt, wenn der primäre NIM eine Sicherheitsübertragung der Steuerung zu dem sekundären NIM vornimmt.

Zusammenfassung der Erfindung

Die vorliegende Erfindung gibt ein Verfahren zum Betrieb eines Systems vor, bei dem redundante erste und zweite Netzwerk-Schnittstellenmodule (NIM) die Dialogbusse von ersten und zweiten lokalen Bereichsnetzwerken verbinden; wobei der erste Schnittstellenmodul als der primäre (aktive) Schnittstellenmodul arbeitet und der zweite Schnittstellenmodul als der sekundäre (Stütz) Schnittstellenmodul arbeitet, der zweite Schnittstellenmodul die Funktion des primären Schnittstellenmoduls beim Auftreten bestimmter vorbestimmter Zustände übernimmt und wobei die ersten und zweiten Schnittstellenmodule in regelmäßigen Intervallen über die Dialogbusse in Verbindung stehen; wobei das Verfahren gekennzeichnet ist durch: Übermittlung von Darstellungen der bestimmten vorbestimmten Zustände, um den sekundären Schnittstellenmodul zu veranlassen, die Funktion des primären Schnittstellenmoduls zu übernehmen; wobei jeder Schnittstellenmodul Information zu dem anderen Schnittstellenmodul über den Dialogbus des ersten Netzwerks überträgt und die Information den Status des zweiten Netzwerkes umfaßt, wie er durch den übertragenden Schnittstellenmodul wahrgenommen wird; wobei jeder Schnittstellenmodul Information zu dem anderen Schnittstellenmodul über den Dialogbus des zweiten Netzwerkes überträgt und die Information den Status des ersten Netzwerkes umfaßt, wie er durch den übertragenden Schnittstellenmodul wahrgenommen wird; und wobei der primäre Schnittstellenmodul zu dem sekundären Schnittstellenmodul hin ausfällt, wenn der primäre Schnittstellenmodul feststellt, daß er nicht in der Lage ist, mit einem der Netzwerke in Verbindung zu treten und der sekundäre Schnittstellenmodul festgestellt hat, daß er in der Lage ist, mit dem einen Netzwerk in Verbindung zu treten.
Das Verfahren kann ebenfalls das eine oder mehrere der folgenden Merkmale aufweisen: - Den Schrift, daß der sekundäre NIM seinen Betrieb beendet, wenn der sekundäre NIM nicht in der Lage ist, mit dem ersten Netzwerk in Verbindung zu treten; die NIM's umfassen den laufenden Betriebsstatus des einen solchen Dialog ausgebenden NIM und den Schritt des sekundären NIM zur Beendigung seines Betriebs, wenn der sekundäre NIM feststellt, daß er einen Hardware- oder Softwareausfall erlitten hat; den Schritt, daß der primäre NIM zu dem sekundären NIM hin ausfällt, wenn der primäre NIM feststellt, daß er einen Hardware- oder Softwareausfall erlitten hat; der primäre NIM zu dem sekundären NIM hin ausfälft, ohne die Tatsache dem sekundären NIM mitzuteilen, daß er einen Hardware- oder Softwareausfall erlitten hat.
Die vorliegende Erfindung gibt ebenfalls ein System vor, bei dem redundante erste und zweite Netzwerk-Schnittstellenmodule (NIM's) die Dialogbusse von ersten und zweiten lokalen Bereichsnetzwerken verbinden; wobei der erste Schnittstellenmodul als der primäre (aktive) Schnittstellenmodul arbeitet und der zweite Schnittstellenmodul als der sekundäre (Stütz) Schnittstellenmodul arbeitet, der zweite Schnittstellenmodul die Funktion des primären Schnittstellenmoduls beim Auftreten bestimmter vorbestimmter Zustände übernimmt und wobei die ersten und zweiten Schnittstellenmodule in regelmäßigen Intervallen über die Dialogbusse in Verbindung stehen; wobei das System gekennzeichnet ist durch: Mittel zum Übermitteln von Darstellungen der bestimmten vorbestimmten Zustände, um den sekundären Schnittstellenmodul zu veranlassen, die Funktion des primären Schnittstellenmoduls zu übernehmen; Mittel für jeden der Schnittstellenmodule, um Information zu dem anderen Schnittstellenmodul über den Dialogbus des ersten Netzwerkes zu übertragen, wobei die Information den Status des zweiten Netzwerkes umfaßt, wie er durch den übertragenden Schnittstellenmodul wahrgenommen wird; Mittel für jeden der Schnittstellenmodule, um Information zu dem anderen Schnittstellenmodul über den Dialogbus des zweiten Netzwerkes zu übertragen, wobei die Information den Status des ersten Netzwerkes umfaßt, wie er durch den übertragenden Schnittstellenmodul wahrgenommen wird; und Mittel für den primären Schnittstellenmodul, um zu dem sekundären Schnittstellenmodul hin auszufallen, wenn der primäre Schnittstellenmodul feststellt, daß er nicht in der Lage ist, mit einem der Netzwerke in Verbindung zu treten und der sekundäre Schnittstellenmodul festgestellt hat, daß er in der Lage ist, mit dem einen Netzwerk in Verbindung zu treten.
Es ist daher eine Aufgabe dieser Erfindung, ein verbessertes Verfahren vorzugeben, bei welchem redundante Netzwerk-Schnittstellenmodule, die die Dialogbusse von zwei lokalen Bereichsnetzwerken miteinander verbinden, feststellen, wann der primäre NIM sicherheitshalber zu dem sekundären NIM basierend auf Information umschalten soll, die zwischen den zwei Modulen über das Medium der zwei Netzwerke ausgetauscht wird.
Es ist eine weitere Aufgabe dieser Erfindung, ein verbessertes Verfahren vorzugeben, durch welches redundante Netzwerk-Schnittstellenmodule, die die Dialogbusse von zwei lokalen Bereichsnetzwerken miteinander verbinden, feststellen, wann der primäre NIM zu dem sekundären NIM sicherheitshalber umschalten soll, ohne daß irgendwelche festverdrahtete redundante Hardware erforderlich ist.
Es ist noch eine weitere Aufgabe dieser Erfindung, ein verbessertes Verfahren für die Steuerung der Umschaltung eines primären Netzwerk-Schnittstellenmoduls zu dem sekundären Netzwerk-Schnittstellenmodul in einem Prozeßregelsystem vorzugeben.
Es ist noch eine weitere Aufgabe dieser Erfindung, ein verbessertes Verfahren vorzugeben zur Steuerung der Umschaltung eines primären Netzwerk-Schnittstellenmoduls zu dem sekundären Netzwerkmodul in einem Prozeßregelsystem innerhalb einer vorbestimmten Zeitperiode nach dem Auftritt eines Fehlers, der die Umschaltung hervorruft, um die Unterbrechung des Prozesses zu verhindern, der durch das System gesteuert wird.

Kurze Beschreibung der Zeichnungen

Figur 1 ist ein schematisches Blockdiagramm eines Prozeßregelsystems, deren zwei lokale Bereichsnetzwerke mit redundanten Netzwerk-Schnittstellenmodulen versehen sind, welche das Verfahren dieser Erfindung ausüben.
Figur 2 ist eine Wahrheitstabelle der Zustände, die festlegen, wann die Umschaltung von dem primären NIM zu dem sekundären NIM auftritt, wann der sekundäre NIM seinen Betrieb beendigt und wann keine Maßnahme stattfindet.

Detaillierte Beschreibung

In Figur 1 umfaßt das Prozeßregelsystem 10 ein lokales Steuernetzwerk (LCN) 12, von dem nur ein Teil dargestellt ist und ein universelles Steuernetzwerk (UCN) 14. LCN 12 umfaßt einen Dialogbus 16, der im bevorzugten Ausführungsbeispiel redundante Koaxialkabel 16A und 16B umfaßt und UCN umfaßt ebenfalls einen Dialogbus 18, welcher in dem bevorzugten Ausführungsbeispiel ebenfalls redundante Koaxialkabel 18A und 18B umfaßt. Der Dialog zwischen LCN 12 und UCN 14 wird durch redundante Netzwerk- Schnittstellenmodule (NIM) 20 vorgegeben, die ein Paar von NIM's 20A und 20B umfassen, wobei nur einer der NIM's, wie beispielsweise der NIM 20A, eine solche Funktion ebenso wie eine Daten-Übersetzungsfunktion zu einer vorgegebenen Zeitperiode vorgibt. Unter diesen Umständen wird NIM-A als der primäre Modul bezeichnet und NIM-B 20B, der die gleichen Fähigkeiten wie der NIM 20A besitzt, wird als der sekundäre NIM bezeichnet, da NIM-B der Stützmodul für den NIM-A 20A ist. NIM-A ist direkt an die doppelt redundanten Kabel 16A und 16B durch redundante Verbindungen 22A und 22B angeschlossen, und NIM-B ist direkt an die Kabel 16A und 16B durch Verbindungen 24A und 24B angeschlossen. Die NIM's 20 sind in dem bevorzugten Ausführungsbeispiel durch redundante Kabel 18A und 18B und der UCN 14 durch Abgangskabel 26A und 26B für NIM-A und Abgangskabel 28A und 28B für NIM-B verbunden.
Die in Figur 1 gezeigten Module von LCN umfassen einen Veränderungsmodul 30, einen universellen Bedien-Stationsmodul 32 und einen Anwendungsmodul 34. Der universelle Bedien-Stationsmodul 32 ist die Arbeitsstation für eine oder mehrere Anlagenbediener und bildet die Schnittstelle zwischen dem Anlagenbediener bzw. den Bedienern und dem Prozeß bzw. den Prozessen einer Anlage, für die die Bediener verantwortlich sind und welche Prozesse durch sie überwacht und durch die Einrichtungen und die Information gesteuert werden, die das Steuersystem 10 liefert. Wegen einer detaillierten Beschreibung von LCN 12 und von den Modulen 30, 32 und 34 sowie anderer Module des LCN 12, die nicht dargestellt sind, sei Bezug genommen auf die Lehren des US-Patentes 4 607 256.
UCN 14 ist mit Prozeß-Verwaltungsmodulen (PM) 36, 38, 40 und 42 versehen. Wegen einer vollständigeren Beschreibung der Struktur und Funktionen der NIM's 20 und der PM-Module 36, 38, 40 und 42 sei Bezug genommen auf die Anmeldungen, die vollständiger in dem Abschnitt dieser Anmeldung mit dem Titel "Kreuzverweise auf bezogene Patentanmeldungen" identifiziert sind. Im bevorzugten Ausführungsbeispiel geben die PM-Module 36, 38, 40 und 42 Steuerfunktionen vor, und sie arbeiten ebenfalls als Netzwerk-Schnittstellenmodule zwischen UCN 14 und Ein/Ausgangs-Netzwerken, welche Ein/Ausgangs(IO)-Module umfassen. Die IO-Module, die nicht veranschaulicht sind, setzen analoge oder digitale Eingangsdaten, die durch Einrichtungen, wie z.B. Ventile, Druckschalter, Drucktmesser, Thermoelemente und ähnliche Einrichtungen erzeugt werden, in Signale um, die kompatibel für einen Prozeßmodul wie beispielsweise PM 36 sind, und sie setzen Signale, die durch Prozeßmodule, wie beispielsweise PM 36, erzeugt werden, in analoge oder digitale Ausgangssignale um, die mit solchen Einrichtungen kompatibel sind.
Im bevorzugten Ausführungsbeispiel sind sowohl LCN 12 als auch UCN 14 lokale Token- Passing-Bereichnetzwerke (LAN), wobei typischerweise jeder Modul einen sekundären Modul beziehungsweise Stützmodul besitzt, der verfügbar ist, um in einem redundanten Paar die Funktion des primären Moduls zu übernehmen. Beispielsweise sind in dem LCN 12 der Veränderungsmodul 30, der universelle Stationsmodul 32 und der Anwendungsmodul 34 jeweils normalerweise mit einem Stützmodul versehen, um eine Redundanz vorzugeben. LCN 12 kann mit zusätzlichen Modulen des gleichen oder unterschiedlichen Types versehen sein, wie dies wohl bekannt ist, aber nicht dargestellt ist. In dem UCN 14 sind die Prozeßmodule 36, 38, 40 und 42 normalerweise mit einem Stütz- oder Bereitschaftsmodul versehen, aber solche redundanten Module sind in Figur 1 nicht veranschaulicht.
Die primäre Funktion der NIM's 20A und 20B liegt in der Vorgabe eines Dialogs zwischen LCN 12 und UCN 14. Die Fähigkeit der NIM's 20A und 20B und insbesondere des primären NIM-A, einen Dialog mit den Modulen des LCN 12 auszuführen, ist ein Schlüsselkriterium bei der Festlegung, wenn der primäre NIM-A sicherheitshalber zu dem sekundären NIM-B umschaltet. Die Fähigkeit der NIM's 20A und 20B, einen Dialog mit dem LCN 12 zu führen und insbesondere mit dem universellen Stationsmodul 32 ist wichtig, da der Modul 32 die Bedienungspersonen des durch das Prozeßregelsystem 10 gesteuerten Prozesses mit einem Hinweispunkt bzw. einem Fenster versieht, um den gesteuerten Prozeß zu beobachten bzw. zu überwachen und um festzustellen, wie das Prozeßregelsystem 10 arbeitet. Insbesondere versorgt der Modul 32 die Bedienungspersonen mit Information, welche vorgibt, wann und wo Fehler in den Dialogmedien bzw. den Modulen irgendeines der Netzwerke auftreten, mit denen der universelle Stationsmodul 32 kommunizieren kann. Wenn immer ein Fehler auftritt und wo immer dieser auftritt, liegt es in der Verantwortlichkeit der Bedienungspersonen des durch das System 10 gesteuerten Prozesses, die geeigneten Schritte zu unternehmen, um den Fehler so schnell wie möglich zu finden und festzustellen.
Da die Dialogmedien sowohl des LCN 12 und des UCN 14 redundante Koaxialkabel sind, wird ein Fehler bzw. Fehler, die auf eines der zwei Kabel von irgendeinem oder beiden Netzwerken beschränkt sind, normalerweise nicht mit einem Dialog zwischen dem LCN 12 und dem UCN 14 überlappen, da jedes Netzwerk die Fähigkeit besitzt, Fehler in seinen redundanten Dialogkabeln festzustellen und von dem fehlerhaften Kabel auf das redundante Kabel bzw. Stützkabel umzuschalten.
Im Normalbetrieb des Anlagen-Regelsystems 10 werden, wenn alle Module und Dialogkabel beider Netzwerke richtig arbeiten, d.h. ohne Fehler sind und sowohl der primäre NIM-A als auch der sekundäre NIM-B ohne Fehler arbeiten, keine Fehler in irgendeinem ihrer Abgangskabel 22, 24, 26, 28 vorliegen. Unter diesen Umständen wird der sekundäre NIM-B eine Statusnachricht zu dem primären NIM-A wenigstens einmal in einer Sekunde über den Bus 18 von UCN übertragen. Diese Statusnachricht umfaßt den Status von NIM-B, d.h. ob der NIM-B festgestellt hat, daß er einen Hardwareausfall oder einen Softwareausfall erlitten hat; daß der NIM-B eine Statusnachricht von dem primären NIM-A innerhalb der vergangenen einen Sekunde über den Dialogbus 18 von UCN 14 erhalten hat; und ob der sekundäre NIM-B Signale von anderen Modulen des UCN 14 erhält. Der Empfang von solchen Signalen deutet an, daß NIM-B mit UCN 14 einen Dialog führen kann und daß daher UCN 14 richtig arbeitet, wie dies durch NIM-B wahrgenommen wird.
NIM-A überträgt wenigstens einmal pro Sekunde zu dem NIM-B eine Statusnachricht, welche den Hardware- und Softwarestatus von NIM-A umfaßt; ob NIM-A eine Statusnachricht von NIM-B innerhalb der vorangegangenen Sekunde über den Dialogbus 18 erhalten hat und ob NIM-A Nachrichten von anderen Modulen von LCN 12 erhält oder Nachrichten zu diesen überträgt.
Der primäre NIM-A wird eine ähnliche Statusnachricht zu dem NIM-B über den LCN-Dialogbus 16 mit der Ausnahme übertragen, daß diese Nachricht von NIM-A Information umfassen wird, ob der NIM-A eine Statusnachricht von dem NIM-B innerhalb der vergangenen einen Sekunde über den Dialogbus 16 von LCN 12 und den Status von UCN 14, wie er von NIM-A wahrgenommen wird, erhalten hat; nämlich, daß NIM-A mit anderen Modulen von UCN 14 in Verbindung steht. Zusätzlich kann diese Statusnachricht Daten umfassen, die NIM-B benutzt, um seine Datenbank fortzuschreiben, so daß die Datenbank von NIM-B im wesentlichen die gleiche ist, wie die von dem primären NIM-A.
Dies erleichtert den NIM-B's die Übernahme der Funktionen von NIM-A mit einem Minimum an Verzögerung bei einer ausfallbedingten Umschaltung. Diese Nachricht, die durch NIM-A zu NIM-B über den Bus 16 gesendet wird, wird manchmal als eine redundante Nachricht bezeichnet.
NIM-B wird eine Statusnachricht zu NIM-A über den Dialogbus 16 übertragen, die den Status von NIM-B enthält und den von UCN 14, wie er von NIM-B nach dem Empfang einer vorbestimmten Anzahl von redundanten Nachrichten von NIM-A über den Dialogbus 16 wahrgenommen wird, beispielsweise alle 20 Sekunden oder wenigstens einmal jede Sekunde.
Die Ausfalltypen oder Fehler, die dazu führen können, daß NIM-A ausfallbedingt zu NIM-B umschaltet, sind: NIM-A erleidet einen Hardwareausfall oder einen Softwareausfall; NIM-B empfängt keine Statusnachricht von NIM-A über die Busse 16 bzw. 18 von LCN 12 bzw. UCN 14, während 2,5 Sekunden im bevorzugten Ausführungsbeispiel; NIM-A ist nicht in der Lage, eine Statusnachricht zu NIM-B zu übertragen und eine Antwort von NIM-B über den Dialogbus 16 von LCN 12 innerhalb 60 Sekunden zu empfangen; und NIM-A ist nicht in der Lage, mit irgendeinem Modul von UCN 14 während mehr als 12 Sekunden zu kommunizieren, und NIM-B ist in der Lage, diesen Dialog zu führen.
NIM-B wird als einen Ausfall aufweisend angesehen, wenn er einen Hardware- oder Softwarefehler besitzt; wenn NIM-A nicht wenigstens eine Statusnachricht von NIM-B entweder über den Dialogbus 16 von LCN 12 oder über den Dialogbus 18 von UCN 14 während der vorangegangenen 60 Sekunden empfängt; oder wenn NIM-B keine Statusnachrichten von NIM-A über den Bus 16 von LCN 12 während einer Periode von 2,5 Sekunden empfangt aber Nachrichten von NIM-A über den Dialogbus 18 von UCN 14 empfangen kann.
Figur 3 ist eine Wahrheitstabelle, die die Maßnahmen beschreibt, die durch die NIM's 20A und 20B beim Auftreten bestimmter Zustände ergriffen werden, um die Konsequenzen solcher Auftritte auf den Betrieb des Prozeßregelsystems 10 auf ein Minimum zu begrenzen. Die Zeile 1 beschreibt die Situation, wenn sowohl LCN 12 als auch UCN 14 in richtiger Weise arbeiten und weder der primäre NIM-A noch der sekundäre NIM-B einen Hardware- oder einen Softwareausfall aufweisen, der sie am richtigen Betrieb hindert.
Die in Zeile 2 beschriebene Situation ist eine, bei der der primäre NIM-A nicht in der Lage ist, Signale zu dem Dialogmedium 18 von UCN 14 zu senden oder von dort zu empfangen. Eine solche Situation kann auftreten, wenn beide Abgangskabel 26A und 26B beispielsweise aufgetrennt worden sind. Dieses Auftreten wird in der folgenden Weise festgestellt. NIM-B will zu NIM-A über den Bus 18 von UCN 14 eine Statusnachricht übertragen, welche Daten umfaßt, die anzeigen, daß der Status von NIM-B in Ordnung ist, wie dies auch mit LCN 12 der Fall ist und daß NIM-B eine Statusnachricht von NIM-A über den LCN-Bus 16 empfangen hat. Da NIM-A nicht in der Lage ist, eine Statusnachricht von NIM-B über den UCN-Bus 18 zu empfangen, da die Abgangsleitungen 26A und 26B aufgetrennt sind, führt der Ausfall von NIM-A für den Empfang einer Statusnachricht von NIM-B oder für einen Dialog mit irgendeinem anderen Modul von UCN 14 während einer Sekunde dazu, daß NIM-A erkennt, daß er einen UCN-Ausfall aufweist. NIM-A wird eine redundante Nachricht zu NIM-B über den LCN-Bus 16 wenigstens einmal pro Sekunde übertragen, welche Nachricht Daten enthält, die NIM-B informieren, daß NIM-A von UCN 14 isoliert ist. NIM-B wird Statusnachrichten zu NIM-A über den LCN-Bus 16 periodisch wenigstens einmal pro Sekunde übertragen. Nach einer Verzögerung von 500 msec horcht NIM-B den UCN-Bus 18 nach einer Nachricht von NIM-A ab. Nach fünf solcher Versuche sendet NIM-B eine Nachricht zu NIM-A über den LCN-Bus 16, welche dem NIM-A befiehlt, die Operationen zu beenden, und NIM-B übernimmt die Funktionen von NIM-A. NIM-B wird sodann eine Nachricht zu der universellen Station 32 übertragen, um dieser mitzuteilen, was sich ereignet hat, so daß die Bedienungspersonen des Prozesses geeignete Maßnahmen ergreifen können, um das Problem zu korrigieren, d.h. in diesem Fall die Auftrennung der Abgangskabel 26A und 26B zu beheben.
Die in der Zeile 3 beschriebenen Zustände sind ähnlich jenen in Zeile 2 mit der Ausnahme, daß der sekundäre NIM-B nicht in der Lage ist, einen Dialog über den UCN-Bus 18 auszuführen, da seine Abgangskabel 28A und 28B beispielsweise aufgetrennt sind. NIM-B wird versuchen, eine Statusnachricht über den UCN-Bus 18 zu übertragen. NIM-A wird, da er keine Statusnachricht von NLM-B innerhalb der vergangenen Sekunde erhalten hat, keine Statusnachricht zu NIM-B über den UCN-Bus 18 senden. NIM-A wird eine redundante Nachricht zu NIM-B über den LCN-Bus 16 senden und NIM-B informieren, daß NIM-A keine Statusnachricht von NIM-B über den Bus 18 innerhalb der zugeteilten Zeitperiode von 1 Sekunde erhalten hat. NIM-B wird sodann eine Statusnachricht zu NIM-A über den LCN-Bus 16 senden, die Daten darüber enthält, daß NIM-B nicht in der Lage ist, mit irgendeinem der Module von UCN 14 zu kommunizieren. NIM-A wird nach 30 Versuchen, eine Nachricht von NIM-B über den Bus 18 zu empfangen, eine Nachricht zu NIM-B über den LCN-Bus 16 senden, um NIM-B zur Beendigung seiner Operationen zu veranlassen. NIM-B wird in der Zwischenzeit erneut fünfmal versuchen, eine Statusnachricht zu NIM-A über den Bus 18 zu senden. Wenn NIM-B keine Nachricht von NIM-A über den Bus 18 von UCN 14 nach fünf Versuchen empfängt, wird NIM-B seine Operationen beenden. Somit wird NIM-B unter diesen Umständen durch NIM-A oder durch seine eigene Entscheidung zur Beendigung veranlaßt.
Die in Zeile 4 von Figur 3 beschriebenen Zustände entstehen, wenn die Verbindungen 22A, 22B von NIM-A ausfallen. Die Übertragung von Statusnachrichten zwischen NIM-B und NIM-A erfolgt, wie zuvor beschrieben, im Hinblick auf Nachrichten, die über den UCN-Bus 18 übertragen werden. Wenn jedoch der primäre NIM-A versucht, die übliche redundante Nachricht zu NIM-B zu senden, nachdem die Verbindungen 22A und 22B ausgefallen sind, ist der NTM-A nicht in der Lage, dies durchzuführen, obgleich er es wenigstens einmal jede Sekunde versucht. Da die redundante Nachricht, die normalerweise durch NIM-A zu NIM-B über den LCN-Bus 16 übertragen wird, durch den NIM-B nicht empfangen wird, beginnt der NIM-B, nachdem 1,7 Sekunden verstrichen sind, Anforderungen an den NIM-A über den LCN-Bus 16 zu übertragen, um den NIM-A zur erneuten Übertragung seiner redundanten Nachricht über den Bus 16 zu veranlassen. Diese Anforderung wird dreimal wiederholt. Wenn keine Antwort durch den NIM-B auf seine Anforderungen hin empfangen wird, wird er 0,8 Sekunden nach der Übertragung der dritten Anforderung eine Statusnachricht von dem NIM-A über den Bus 18 von UCN empfangen, die anzeigt, daß der NIM-A nicht in der Lage ist, mit irgendeinem der Module von LCN 12 einen Dialog zu führen. NIM-B wird sodann eine Nachricht zu NIM-A über den UCN-Bus 18 senden, die dem NIM-A mitteilt, seine Operationen zu beenden, da er nicht in der Lage ist, mit dem LCN 12 zu kommunizieren. Beim Empfang einer solchen Nachricht beendet der NIM-A seine Operation, und eine Sicherheitsumschaltung zu dem NIM-B tritt auf NIM-B wird sodann dem Modul 32 von LCN 12 mitteilen, was geschehen ist.
Die durch Zeile 5 von Figur 3 beschriebenen Umstände treten auf, wenn die Abgangskabel 24-A und 24-B von NIM-B aufgetrennt werden. Wenn NIM-B seinen Status auf LCN 12 zu NIM-A über den UCN-Bus 18 überträgt, wird er berichten, daß er nicht in der Lage ist, mit irgendeinem der Modüle von LCN 12 zu kommunizieren. NIM-A wird seine Statusnachricht einmal in der Sekunde zu NIM-B über den UCN-Bus 18 mit der Maßnahme übertragen, daß, insoweit NIM-A betroffen ist, er mit LCN 12 kommunizieren kann, aber nicht mit NIM-B. NIM-A wird versuchen, seine redundante Nachricht zu NIM-B über den LCN-Bus 16 zu übertragen. Da NIM-B diese Nachricht nicht empfangen kann, wird NIM-B, nachdem 1,7 Sekunden verstrichen sind, drei Anforderungen an NIM-A für die redundante Nachricht über den LCN-Bus 16 übertragen. NIM-B wartet für weitere 0,8 Sekunden, und wenn NIM-B die angeforderte Nachricht von NIM-A während dieser Periode nicht empfängt, so zieht NIM-B den Schluß, daß er nicht mit Modulen von LCN 12 kommunizieren kann. Da NIM-B eine Statusnachricht von NIM-A dergestalt empfangen hat, daß NIM-A mit den Modulen von LCN 12 kommunizieren kann, beendet NIM-B seine Operationen. NIM-A teilt sodann dem universellen Stationsmodul 32 von LCN 12 den Zustand der Angelegenheit mit.
Die durch Zeile 5 in Figur 3 beschriebene Situation kann ebenfalls auftreten, wenn NIM-B einen Senderausfall aufweisen sollte, der nicht festgestellt ist und daher nicht als ein Hardware-Ausfall berichtet ist. Unter diesen Umständen wird der NIM-B eine Routine- Statusnachricht zu NIM-A übertragen, die den Status von LCN 12 umfaßt, wie er durch NIM-B wahrgenommen wird, wobei dies wenigstens einmal pro Sekunde über den Bus 18 geschieht. NIM-A wird eine Routine-Statusnachricht zu NIM-B übertragen, die den Status von LCN 12 beeinhaltet, wie er durch NIM-A über den Bus 18 wahrgenommen wird. Der primäre NIM 20A wird eine normale redundante Nachricht zu dem sekundären NIM 20B über den LCN-Bus 16 senden. Während NIM-B diese redundante Nachricht von NIM-A empfangen kann, kann er keine geeignete Status-Nachricht zu NIM-A über den LCN-Bus 16 übertragen. Wenn der primäre NIM 20A keine richtige Nachricht von dem NIM-B über den LCN-Bus 16 während 60 Sekunden empfängt, so wird der NIM-A eine Nachricht zu dem NIM-B über den UCN-Bus 18 übertragen, um dem NIM-B mitzuteilen, daß es seine Operationen beendet.
Zeile 6 beschreibt die Maßnahme, die durch den sekundären NIM-B ergriffen wird, wenn NIM-B nicht in der Lage ist, mit Modulen des LCN zu kommunizieren. Die durch den NIM-B ergriffene Maßnahme liegt in der Beendigung seiner Operation, obgleich NIM-A nicht in der Lage ist, in geeigneter Weise mit Modulen von UCN 14 zu kommunizieren und NIM-B dies kann. Wenn beide NIM's 20A und 20B nicht in der Lage sind, mit LCN 12 zu kommunizieren, so wird gemäß Zeile 7 keine Maßnahm durchgeführt. Wenn der primäre NIM 20A einen LCN-Ausfall erleidet und der sekundäre NIM 20B einen UCN-Ausfall erleidet, so schaltet der primäre NIM 20A sicherheitsbalber zu dem sekundären NIM 20B um, welche Situation in der Zeile 8 beschrieben ist. Wenn beide NIM-A und NIM-B einen UCN-Ausfall aufweisen, so wird gemäß Zeile 9 keine Maßnahme ergriffen. Wenn NIM-B nicht in der Lage ist, entweder mit Modulen von LCN 12 oder UCN 14 zu kommunizieren, so beendet gemäß der in Zeile 10 beschriebenen Situation der NIM-B seine Operation. Zeile 11 beschreibt die Situation, wo NIM-A nur mit LCN 12 kommunizieren kann und NIM-A nicht wahlweise mit dem LCN 12 oder dem UCN 14 kommunizieren kann. Unter diesen Umständen beendet NIM-B seine Operationen. Wenn weder NIM-A noch NIM-B entweder mit dem LCN 12 oder dem UCN 14 kommunizieren kann, so kann gemäß der durch Zeile 12 beschriebenen Situation nichts unternommen werden. In bezug auf die in den Zeilen 7, 9 und 12 beschriebenen Situationen liegt der wahrscheinlichste Fall, daß beide NIM's nicht in der Lage sind, mit dem LCN-Netzwerk gemäß Zeile 7; mit dem UCN-Netzwerk gemäß Zeile 9; oder mit beiden Netzwerken gemäß Zeile 12 zu kommunizieren, darin, daß beide NIM's manuell von den Dialogkabeln des angegebenen Netzwerkes bzw. der Netzwerke abgetrennt worden sind. Daher warten die zwei NIM's auf einen erneuten manuellen Anschluß an die Dialogkabel des LCN bzw. des UCN oder mit beiden, um sodann ihre Operationen wieder aufzunehmen.
Zeile 13 beschreibt die Situation, die auftritt, wenn NIM-A nicht mit LCN 12 oder UCN 14 kommunizieren kann, aber NIM-B mit LCN 12, aber nicht mit UCN 14 kommunizieren kann. Wenn dies geschieht, schaltet NIM-A sicherheitshalber um auf NIM-B. Wenn NIM-A nicht mit LCN 12 oder UCN 14 kommunizieren kann, aber NIM-B dies kann, so schaltet NIM-A sicherheitshalber um auf NIM-B gemäß Zeile 14. Wenn NIM-A einen Hardwareoder Software-Ausfall ausweist, was seinen Zusammenbruch hervorruft, dann wird NIM-A sicherheitshalber zu NIM-B gemäß Zeile 15 umschalten. Wenn NIM-B einen Hardwareoder Software-Ausfall aufweist, der den Zusammenbruch von NIM-B hervorruft, so wird NIM-A aufhören, einen Dialog mit NIM-B gemäß Zeile 16 zu versuchen.
Wenn beide Abgangskabel 16A und 16B von LCN 12 zwischen NIM 20A und NIM 20B aufgetrennt sind, so können NIM-A und NIM-B mit einigen der Module von LCN 12 kommunizieren, aber nicht miteinander über den Bus 16. Wenn dies geschieht, wird der NIM-B die normale Statusnachricht einschließlich des Status von LCN 12 an NIM-A über den UCN-Bus 17 wenigstens einmal in der Sekunde übertragen. NIM-A wird die gewöhnliche Statusnachricht einschließlich des Status von LCN 12 an NIM-B über den UCN-Bus 18 wenigstens einmal in der Sekunde übertragen. NIM-A wird die gewöhnliche redundante Nachricht einschließlich des internen Status von NIM-A, des Status von UCN 14, wie er durch NIM-A wahrgenommen wird, und jeglicher Fortschreibungsdaten, die NIM-A für NIM-B besitzt, an NIM-B über den LCN-Bus 16 übertragen. Da NIM-B nicht in der Lage ist, diese Nachricht zu empfangen aufgrund des Kabelfehlers in den Dialogkabeln 16A und 16B, wird NIM-B, nachdem 1,7 Sekunden verstrichen sind, drei Anforderungen an NIM-A über den LCN-Bus 16 übertragen und von NIM-A fordern, erneut die redundante Nachricht über die LCN-Kabel 16A und 16B zu senden. Wenn NIM-B keine redundante Nachricht von NIM-A innerhalb 0,8 Sekunden nach Übertragung der dritten Anforderung an den NIM-A empfängt und basierend auf Statusnachrichten, die von NIM-A über den UCN-Bus 18 empfangen werden, stellt NIM-B fest, daß NIM-A mit wenigstens einigen Modulen von LCN 12 kommunizieren kann. NIM-B beendet sodann seine Operation. Zeile 17 der Wahrheitstabelle in Figur 3 beschreibt diese Situation.
Aus dem vorstehenden wird es als augenscheinlich angenommen, daß diese Erfindung ein verbessertes Verfahren vorgibt, durch welches redundante Netzwerk-Schnittstellenmodule, die die Dialogbusse von zwei lokalen Bereichsnetzwerken miteinander verbinden, feststellen können, wann der primäre Modul sicherheitshalber zu dem sekundären Modul umschalten muß, basierend auf Information, die zwischen den Modulen über die Medien der zwei Netzwerke ausgetauscht werden.

Claims

1. Verfahren zum Betrieb eines Systems, bei dem redundante erste und zweite Netzwerk- Schnittstellenmodule die Dialogbusse von ersten und zweiten lokalen Bereichsnetzwerken verbinden, wobei der erste Schnittstellenmodul als der primäre aktive Schnittstellenmodul arbeitet und der zweite Schnittstellenmodul als der sekundäre Stütz-Schnittstellenmodul arbeitet, der zweite Schnittstellenmodul die Funktion des primären Schnittstellenmoduls beim Auftreten bestimmter vorbestimmter Zustände übernimmt und wobei die ersten und zweiten Schnittstellenmodule in regelmaßigen Intervallen über die Dialogbusse in Verbindung stehen; wobei das Verfahren gekennzeichnet ist durch:

Übermittlung von Darstellungen der bestimmten vorbestimmten Zustände, um den sekundären Schnittstellenmodul zu veranlassen, die Funktion des primären Schnittstellenmoduls zu übernehmen;

wobei jeder Schnittstellenmodul Information zu dem anderen Schnittstellenmodul über den Dialogbus des ersten Netzwerks überträgt und die Information den Status des zweiten Netzwerkes umfaßt, wie er durch den übertragenden Schnittstellenmodul wahrgenommen wird;

wobei jeder Schnittsteflenmodul Information zu dem anderen Schnittstellenmodul über den Dialogbus des zweiten Netzwerkes überträgt und die Information den Status des ersten Netzwerkes umfaßt, wie er durch den übertragenden Schnittstellenmodul wahrgenommen wird; und

wobei der primäre Schnittstellenmodul zu dem sekundären Schnittstellenmodul hin ausfällt, wenn der primäre Schnittstellenmodul feststellt, daß er nicht in der Lage ist, mit einem der Netzewerke in Verbindung zu treten und der sekundäre Schnittstellenmodul festgestellt hat, daß er in der Lage ist, mit dem einen Netzwerk in Verbindung zu treten.

2. Verfahren nach Anspruch 1, ferner umfassend den Schritt, daß der sekundäre Schnittstellenmodul seinen Betrieb beendet, wenn der sekundäre Schnittstellenmodul nicht in der Lage ist, mit dem ersten Netzwerk in Verbindung zu treten.

3. Verfahren nach Anspruch 1 oder 2, bei dem jeder Dialog zwischen den Schnittstellenmodulen den laufenden Betriebsstatus des einen solchen Dialog ausgebenden Schnittstellenmoduls umfaßt, und ferner umfassend den Schritt, daß der sekundäre Schnittstellenmodul seinen Betrieb beendet, wenn der sekundäre Schnittstellenmodul feststellt, daß er einen Hardware- oder Softwareausfall erlitten hat.

4. Verfahren nach irgendeinem vorhergehenden Anspruch, ferner umfassend den Schritt, daß der primäre Schnittstellenmodul zu dem sekundären Schnittstellenmodul hin ausfällt, wenn der primäre Schnittstellenmodul feststellt, daß er einen Hardware- oder Softwareausfall erlitten hat.

5. Verfahren nach irgendeinem vorhergehenden Anspruch, bei dem der primäre Schnittstellenmodul zu dem sekundären Schnittstellenmodul hin ausfällt, ohne die Tatsache dem sekundären Schnittstellenmodul mitzuteilen, daß er einen Hardwareoder Softwareausfall erlitten hat.

6. System, bei dem redundante erste und zweite Netzwerk-Schnittstellenmodule die Dialogbusse von ersten und zweiten lokalen Bereichsnetzwerken verbinden; wobei der erste Schnittstellenmodul als der primäre aktive Schnittstellenmodul arbeitet und der zweite Schnittstellenmodul als der sekundäre Stütz-Schnittstellenmodul arbeitet, der zweite Schnittstellenmodul die Funktion des primären Schnittstellenmoduls beim Auftreten bestimmter vorbestimmter Zustände übernimmt und wobei die ersten und zweiten Schnittstellenmodule in regelmäßigen Intervallen über die Dialogbusse in Verbindung stehen; wobei das System gekennzeichnet ist durch:

Mittel zum Übermitteln von Darstellungen der bestimmten vorbestimmten Zustände, um den sekundären Schnittstellenmodul zu veranlassen, die Funktion des primären Schnittstellenmoduls zu übernehmen;

Mittel für jeden der Schnittstellenmodule, um Information zu dem anderen Schnittstellenmodul über den Dialogbus des ersten Netzwerkes zu übertragen, wobei die Information den Status des zweiten Netzwerkes umfaßt, wie er durch den übertragenden Schnittstellenmodul wahrgenommen wird;

Mittel für jeden der Schnittstellenmodule um Information zu dem anderen Schnittstellenmodul über den Dialogbus des zweiten Netzwerkes zu übertragen, wobei die Information den Status des erste Netzwerkes umfaßt, wie er durch den übertragenden Schnittstellenmodul wahrgenommen wird; und

Mittel für den primären Schnittstellenmodul, um zu dem sekundären Schnittstellenmodul hin auszufallen, wenn der primäre Schnittstellenmodul feststellt, daß er nicht in der Lage ist, mit einem der Netzwerke in Verbindung zu treten und der sekundäre Schnittstellenmodul festgestellt hat, daß er in der Lage ist, mit dem einen Netzwerk in Verbindung zu treten.

7. System nach Anspruch 6, gekennzeichnet durch Mittel für den zweiten Schnittstellenmodul, um seinen Betrieb zu beenden, wenn der sekundäre Schnittstellenmodul nicht in der Lage ist, mit dem ersten Netzwerk in Verbindung zu treten.

8. System nach Anspruch 5 oder 6, dadurch gekennzeichnet, daß jeder Dialog zwischen den Schnittstellenmodulen den laufenden Betriebsstatus des einen solchen Dialog ausgebenden Schnittstellenmoduls umfaßt und daß ferner Mittel für den sekundären Schnittstellenmodul vorgesehen sind, um seinen Betrieb zu beenden, wenn der sekundäre Schnittstellenmodul feststellt, daß er einen Hardware- oder Softwareausfall erlitten hat.

9. System nach irgendeinem der Ansprüche 6 bis 8, gekennzeichnet durch Mittel für den primären Schnittstellenmodul, um zu dem sekundären Schnittstellenmodul hin auszufallen, wenn der primäre Schnittstellenmodul feststellt, daß er einen Hardware- oder Softwareausfall erlitten hat.

10. System nach irgendeinem der Ansprüche 6 bis 9, gekennzeichnet durch Mittel für den primären Schnittstellenmodul, um zu dem sekundären Schnittstellenmodul hin auszufallen, ohne die Tatsache dem sekundären Schnittstellenmodul mitzuteilen, daß er einen Hardware- oder Softwareausfall erlitten hat.