JPS60214048A - 信号技術的に保証のあるデータ処理装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 産業上の利用分野 本発明は信号技術的に安全なデータ処理袋ｆｉｓｔに関
する。技術的なプロセス制御の場合、−１Ｌ子装置特に
プロセスコンピュータやマイクロコンピュータがますま
す利用されるようになってきた。

従来の技術 例えば鉄道信号のような保安技術の領域においても、交
通信鮒゛の制御、パイプラインの監視、圧力制御、発電
所の監視等の場合に、同様なことが行なわれている。

この場合特に重要なことは、人間に危害を及ぼさないこ
とである。従って、いついかなる場合でも、フェイルセ
イフの原則を用いなければならない。従って、障害や故
障を生じた場合にも、人間や機械に対し有害な結果をも
たらす可能のある信号を制御システム中にて発生させて
はならない。しかし、過大になる費用は削減すべきで、
そのためには極く一般的な慣用部品を使用すべきである
。安全性を保証するため、２もしくは３の冗長度のある
コンピュータにて構成された装置が沢山知られている。

ドイツ連邦共和国特許出願公開第２６１２１００号明細
書にディジタルデータ処理システムの記載があるが該シ
ステムは全く同一の２個のコンピュータを備え、２つの
コンピュータは両者に共通のクロック電流供給源によっ
て動作される。

１個の監視パルスが、両コンピュータによって同時に比
較されるべきアドレス、データ及び制御信号用の比較連
鎖を順序正しく通過したとき、前記のクロック信号供給
源はデータ処理システムに次のプログラムステップへ進
むことを許可する。この連鎖中で１つの比較結果が不良
であると、両コンピュータに与える制御クロックが停止
され、コンピュータに対する電源供給が切断される。従
って、例えば局部的な補助装置の故障は全データ処理装
置の停止をもたらすから、障害に関し裕度がない。すな
わち、例えば故障診断用チャンネルのプロセス出力も停
止する。

ドイツ連邦共和国特許第３００３２９１号明細書には、
２チヤンネルデータ処理システムが記載され、ドイツ連
邦共和国特許出願公開第２６１２１００号明細書に対す
る相違点は各マイクロコンピュータに比較器とアンドゲ
ートを配置させたことにある。両マイクロコンピュータ
の動作につき故障がなく、すなわち中央比較器で、両コ
ンピュータの情報比較が良好である場合には、プロセス
に対する信号の出力が可能である。１つのマイクロコン
ピュータの比較装置の中で同時に比較される多数のデー
タの場合に１つのデータの比較が不良であるときには、
各プロセス出力用の分散型インパルス増幅器のすべてが
停止１．される。

ドイツ連邦共和国特許出願公開第３２１１２６５号明細
需には２チヤンネルのフェイルセイフのマイクロコンピ
ュータシステムが記ｊ成されており、ドイツ連邦共和国
情ｙ「出願公開第２６］２＋００号明細書を補うもので
、冗長化入力信号変換器の入力データが２個のマイクロ
コンピュータによって中央比較装置中にて比較可能であ
る。このために、入力信号変換装置の入力データは補助
インタフェース回路を介し、２（ｌ！ｉｌのマイクロコ
ンピュータによって順次読み取られる。しかしこの場合
にも、中央比較装置と共同クロック供給装置のもつ欠点
がある。

ドイツ連邦共和国特許出願公開第３２２５４５５号明細
書には、クロック同期の、２個の並列接続されたコンピ
ュータ装置をもつ冗長制御システムが記載されている。

１個の監視システム中にて冗長構成のコンピュータ装置
のデータ信号が比較され１個のコンピュータ装置中の故
障が標定され、Ｅ常なコンピュータ装置の出力側へ切替
えが行なわれる。しかしこの場合、データイ舌号の比較
はもはや不可能である。しかも、動作中のコンピュータ
ＨＶｊの出力装置中における故障は直接知ることができ
ない。

ドイツ連邦共和国特許出駆ｉ公開第２９３１２８０号明
細書には、２個の非同期コンピュータをもつ冗長構成の
制御力式が述べられており、そのコンピュータの出力デ
ータは一致回路にて比較され、不一致が生じたとき障害
信号を発生するようになっている。制御装置は一致回路
の応答信号によって同期がとられる。

電気通信（Ｅｌｅｋｔｒｉｓｃｈｅ　Ｎａｃｈｒｉｔｅ
ｎｗｅｓｅｎ）第５２巻（１９７７年）第４号頁３２２
〜３２６によれば、中央のインタラブド制御にて同期す
る２チヤンネルコンピユータシステムが記述されている
。

さらに＋（、ＢｒａｕＣｒ　Ｗ安定なマイクロコンピュ
ータシステムＬ（ＩＧ　Ｉ　Ｓ　［ＲＥに関する論文が
雑誌「信号と電信」７（〕（１９８４）第３刊、頁３５
ないし４１によって公知である。３７頁３．１意に、い
わゆるポーリング−周期−信号がなくなった揚台もしく
は画コンピュータチャンネルのこれらの信号の時間的停
止の場合、全部の安定出力用＋ｌｌｊ源電圧が完全に切
断されるということが述べられている。

発明が解決しようとする問題点 本発明の目的は保証されたデータを信号技術的に確実に
処理することにあり、その際故にｒ３　Ｌ。

た部分様能は切り跡し、無障害の機能部分には妨害を与
えないようにし、障害発生粥においても場合に応しては
機能を狭めて動作を継続できるようにすることにある。

もしも正″常な動作がもはや保証されないようになった
ときには、装置ｍの出力電流を零とするように遮断すべ
きである。

問題点を解決するための手段 この課題は本発明によれば特許請求の範囲第１項によっ
て与えられる特徴によって解決される。

本発明のデータ処理装置は、同一プログラムがブロック
同期にて定る２つの相互に無関係なコンピュータチャン
ネルからＩｆｆ成される。コンピュータチャンネルは出
力比較装置Ｋ？並びにｉｉ：ｔ　’４１ｔもしくは複数
の２チヤンネルダイナミツクに制御される信号技術的に
保証された′ｍ圧供給装置を補足され、該電圧供給装置
は出力比較装置のグループを給？１１＋　Ｌ／　、供給
された信号が一致したときだけ、その信号を通過させる
。特定の時点と事象において、コンピュータチャンネル
はブロック同期にて、コンピュータインタフェースを介
し各コンピュータチャンネル内に接続されたデータ比較
装置と″情報交換を行なう。

この情報交換は少なくも次のように行なわれる。

一１個以上の入力値を受け入れた後火のことを行なう。

一人力に故障がないことを監視する。この場合障害とな
る故障条件を確認したならば関係入力装置と他方のコン
ピュータチャンネルの対応装置との値の相違は無視する
。

−コンピュータの入力データが異なっても同−価の処理
を保証するため、すなわち僧が異ル場合最後に２つのコ
ンピュータにて一致した値を処理するようにする。

御所しい値を出力させる前に少なくも次のことを行う。

一処理作業に誤りのないことを監視し、この場合故障が
確認されたならば、少なくも１つのコンピュータチャン
ネルの出力比較器の電圧供給を確実に停止させ、すなわ
ち無障害とみなされるダイナミックな制御信号は安定な
電圧供給のために意識的に放置されるこ凄、−インタラ
ブド禁止をプログラムの制Ｋｌｌ＋にてセットする前、
もしくは定電動作中に運用プログラムを他のプログラム
にて中断するとき、並列に冗長動作するコンピュータチ
ャンネルが論理的に同様な創作をするのを保証すること
。

この場合コンピュータチャンネル内召ハ択なる出発点に
て情報交換をした後、適宜イ分先的制御によって両コン
ピュータチャンネルは相互に適当な点へ処理を続行する
。

情報交換は２チヤンネルのコンピュータインタフェース
を介し、各コンピュータチャンネル毎に行われ、コンピ
ュータチャンネルインタフェースの各チャンネルは一伝
送方向に配置され、所属のコンピュータチャンネルから
蕾き込みもしくは読み出しだけが可能なマルチビットの
ＦＩＦＯレジスタからなる。コンピュータインタフェー
スの相互の接続は、１つのコーンピユータチャンネルか
ら書き込まれたデータが他力のコンピュータチャンネル
のコンピュータチャンネルインタフェースへ自動的に転
送された後、このインタフェースからのみそこて読み出
され得るように接続される。

コンピュータインタフェースは好都合なようにプログラ
ム制御のデータ比較を各コンピュータチャンネル中に伺
加し、各チャンネルは比較の際に他のコンピュータチャ
ンネルのデータを破壊させ、コンピュータチャンネルの
データが相互に分離された駅前に保つ。

必要なときは、情報交換の度毎に機能判別マー　’７　
ヲ伝送ｌ′ｖ１力ゝナル原因から情報交換が行なわれる
かを明らかにする。原因が相違する場合、機能マークで
認識可能であり、優先的制御によって、両コンピュータ
チャンネルは相互に適当なプログラム点で、なお情報交
換に働き続けるよう考慮される。１つのコンピュータチ
ャンネルだけから情報交換試験の場合に、他方のコンピ
ュータチャンネルが特定の時間内に１１！１報交換の準
備を完了していないと、そのコンピュータチャンネルの
出力比較装置の電源供給は確実に切断されて、その情報
交換試験は中止される。

従ってコンピュータチャンネルのプログラム進行中にお
ける時間的弄常によって与えられた許容限界内にあるか
、調整領域内にあるか、もしくは時間的な偏差が許容さ
れない場合出力比較装置の電圧供給を停□止すべきであ
るかを知ることができる。

コンピュータチャンネルインタフェースの方法やコンピ
ュータチャンネル情報交換の方法は２チヤンネルシステ
ムに限定されることはなく、多チヤンネルシステム、特
に適応的に３システムの中から２システムを組み合ねで
る構成をとることができる。

実施例 本発明の装置は以下図示実施例に従って規則される。

図示実施例において本発明の装置は２チヤンネルからな
るが、３チヤンネルからなることも′机ちろん可能であ
る。またこのような装置を２組以上組み合わせて１つの
マルチプロセスシステムを構成することも可能である。

第１図では破線で囲んだ２つのコンピュータチャンネル
Ａと１３が示され、両コンピュータチャンネルは全く同
じように構成される。コンピュータチャンネルの構成は
次の通りである。

バス１５にはアルバイトメモリとプログラムメモリを備
える中央処理装Ｍ１１とコンビユニタインタフエース１
３が接続する。アルバイトメモリとプログラムメモリは
必要に応して追加部品によって拡張される。

中央処理装置１１は入出力バス１６を介し、入力装ｆｉ
ｆｆ　１８ａ＋　１８ｂ＋　１９　、出力装置１７．１
２を制御する。入出力装置はビットパラレルもしくはピ
ッ１−シリーズの入出力によって区別がある。

第２のコンピュータチャンネル■３においては、アルバ
イトメモリとプログラムメモリをもつ中央処理装置は２
１、内部バスは２５、コンピュータインタフェースは２
３、入出力バスは２６、入力装置はｚ８ａ＋２８＋＋、
２９　、出力装置は２７と２２で示されている。

入出力値を保証するために、両コンピュ〜タチャンネル
の入出力装置は相互に完全に一致する。これによって単
一障害と線路の切断が判明するから、これらの障害によ
る悪影響は防止できる。

第１図には２つの入力形式が示されている。

１つの入力形式は、回路情報を２倍にすることによって
、保証された並列入力値によって、コンピュータチャン
ネルＡとＢの全体の回路情報が入力装置？ｆｉ１９もし
くは２９によって入力される。

２チヤンネルシステムの場合、２つの回路情報は相互に
等価もしくは反等価であり得る。

入力値の読みＩＩりの際に生しる差違は、両コンピュー
タチャンネルにおけるデータの比較によって検出される
。この目的のため、比較されるべきデータはコンピュー
タチャンネルインタフェースを介し、交換される。次に
続くデータ比較の際、関係コンピュータチャンネルのデ
ータは破壊される。

比較結果を確認するために、両コンピュータチャンネル
は比較データが一致したかとうかを同し方法にて知る。

両コンピュータチャンネルでは比較の結果、両コンピュ
ータチャンネルにて最終的に一致した値を相互に同しプ
ログラムにて処理する。

別の入力形式では、回路情報と安全情報からなる並列な
入力値から、回路情報と安全情報とがコンピュータチャ
ンネルＡの入力装置１８ａと＋８ｂｌＥびにコンピュー
タチャンネルＩ３の入力装ｆ原２８ａと２８ｂに供給さ
れる。データの読み込み時点にこのデータを固定させこ
れによって相互に対応する入力装置に一致した値を検出
させることは、既に知られた入力制御法にて都合長く達
成できる。各コンピュータチャンネルでは、回路情報か
ら取り出した保証情報が読み込まれた保証情報と一致す
るか否かを監視する。

プロセス用の出力は各コンピュータチャンネル毎に別々
に設けられた出力装置ξを介し行なわれる。第１図の場
合、２つの出力装置１７と２７のデータが出力比較器２
にてフェイルセイフに比較される場合の出力を示してい
る。

時間的かつ内容的データの一致があった場合にだけ、こ
のデータはプロセス用に出力される。

一致しない場合には出力比較器２は出力を禁止する。出
力禁止は比Ｖ器内の故障の場合にも行なわれる０出力禁
止は意識的にのみ取消し可能である。出力比較装置は２
チヤンネルのダイナミックに制御される竺−セ技術上保
証された電圧供給装置から行なオつれる。７１ｇ圧供給
を確実に切断すれは出力は禁止させる。

コンピュータチャンネル中の処理はサイクリックに行な
われる。この目的で各コンピュータチャンネルには時間
インタラプタを設け、２つの時間インタラブドの間の時
間にプロセス入力が読み込まれ、プログラム処理が開始
され、プロセス用の出力が行なわれる。この時コンピュ
ータチャンネル内にて周期的に制御信号Ｌｌ、１２がつ
くられ、この信号は時間インタラブドと共に１１′と”
Ｌ′の間を交互に変化しかつ出力装［？′１１２．２２
を経由して保証電源装置４１に供給される。

この制御信号は保証電源供給装置１にて、極性並びに同
時性をフェイルセイフに監視する。その時間はコンピュ
ータチャンネルからでもまた保証電源供給装置１でも調
整可能である。時間が一致しない場合には、出力比較装
置２の電圧供給が確実に遮新される。

データ処理装置ｉＲはコンピュータチャンネル並びに保
証電源供給装置ｌの電源投入と共にスタ−卜する。デー
タ処理装置４の機γｉＢ確立は初期化の工程中に行なわ
れる。次いで、スタート信号ＳＴ　］　、　ＳＴ２が両
コンピュータチャンネルから同時に送出され、この信号
は保証電圧供給装置１ａ１においてフェイルセイフに監
視される。その結果、出力比較装置の電源供給が行なオ
つれる。

出力比較装置の供給電圧は、故障時並びに少なくも一力
のコンピュータチャンネル中の制御信号が低下したこと
が検出されると切断される。

電源の再投入は無故障自動接続器を用い、保ＭＵ電源装
置に故障のないときにのみ可能である。

第２図は第１図の２にて示す冗長構成をもつ出力を示し
ている。各コンピュータチャンネルは２個の電子スイッ
チ２ａ＋２１）＋２Ｃ＋２６　’Ｅ：備え、それらのス
イッチは出力装置１７ａ＋　１７ｂ＋２７ａ＋２７１＋
によって同時に制御され、従って無故障時には４個のス
イッチはすべて同−状態をもつ。各スイッチは、コンピ
ュータチャンネルからその接続状態を把握できるように
するために、所属コンピュータチャンネル中に信号装Ｈ
’Ｊ　１７＋：＋　１７ｄ＋２７ｃ＋２７ｄをもつ。第
２図のように、同一コンピュータチャンネルからは制御
されることのない２個のスイッチは相互に並列に箒続し
また直列に接続した他の２つのスイッチに対し２個のス
イッチは直列である。

回路接続に変化をもたせることによって２チヤンネル構
成の出力比較装置もしくは単一チャンネル構成の出力比
較器（４個のスイッチを直列）が得られることは明白で
ある。

出力比較器２の各エレメントをサイクリックに監視する
ことによって、故障は適時に知ることができる。この場
合、監視結果は両コンピュータチャンネルにつき比較さ
れる。

入出力装置もしくは出力スイッチ中における個々の障害
は、安全性に影響を与えることがなく、容認される。安
全性に危険を与えるような別の故障が発生した場合には
、出力比較装置への供給電圧を確実に遮断させる。すな
わち保証電圧供給装置１に対する、無障害とみなされた
ダイナミック制御信号出力は少なくも１つのコンピュー
タチャンネルについて禁止される。

【図面の簡単な説明】

第１図および第２図は本発明実施例のブロックダイヤグ
ラムである。 １・・・電源装置、２・・・出力比較器、１１，２＋・
・・中央処理装置、１３．２３・・・インタフェース、
］　５　＋　２５・・・内部バス、１６．２６・・・バ
ス、１２．１７゜１８ａ’、＋８ｂ、１９，２２，２７
，２８ａ、２８ｂ＋２９　”’入出力装ｊｌｊ１Ａ　、
　Ｔ３・・・コンピュータチャンネル第１頁の続き ＠発明者　ニーベルハルト・ベル　ドイクマン　トラ ＠発明者　ハリ・プラウエル　トイ ０発　明　者　ディトマール・チェヒ　トイ２ ［相］発　明　者　プルクハルト・クララ　トイフェル ［相］発　明　者　ヴオルフガング・プレ　ドイーン　
１８

Claims (1)

1. 【特許請求の範囲】 １　人力データを同一プログラムに従ってブロック同期
   にて処理する各１個のコンピュータを含む少なくとも２
   個のチャンネルを備え、その際データ処理装置の出力信
   号を発生すべきチャンネルの出力信号が出力比較装置へ
   供給され、該比較装置はこの信号が一致したときだけ通
   過させ、一致しない場合には危険性のない基準信号を出
   力するようにしたものにおいて、 プログラムレジスタとオペレーションレジスタをもつ中
   実装置（］１もしくは２】）、所属のバス（１６もしく
   は２６）をもつ人出刃装置（１８ａ。 １８ｂ、　１９．１２．１７もしくは２８ａ、２８ｂ、
   ２９，２２．２７）およびバス（１６もしくは２６）も
   しくは内部バス（１５もしくは２５）を介し駆動される
   ２チヤンネルのコンピュータインタフェース（１３もし
   くは２３）とからそれぞれなるコンピュータチャンネル
   （Ａ、ＩＯが、特定時点もしくは生家に応し、２チヤン
   ネルのコンピュータインタフェースを介し、各コンピュ
   ータチャンネル内に続続されるプログラム制御されるデ
   ータ比較装置と相互に情報交換を行い、 データ入力と処理作用が無障害なことを監視し、この賜
   金障害原因の故障を確認してから、問題となる装置を切
   り則しもしくは出力比較装置（２）の電源供給を停止す
   るようにし、コンピュータへの入力データが異なったと
   きでもこれと無関係に同一の処理を保証し、論理的に新
   たな処理ステップを開始するときには、ブロック同期の
   動作様式を保証し、また情報交換に拘わらず、π相に独
   立の動作を行い、 ２チヤンネルにて、ダイナミックに制御され、信号技術
   的に保証されたｌもしくは複数個の電圧供給袋に１（１
   ）は各１個の出力比較装のもしくは出力比較装置の一群
   に給電を行い、該出力比較装置はある一定の停止様式を
   備え、かつ自身もしくは所属グループの中で、電ＬＩ−
   供給装置との組み合わせによって信号技術的に恨言１ト
   されていることを特徴とする、信号技術的に保証された
   データ処理装置。 ２　回路情報を多重化することによって保証された並列
   入力値につき、完全な回路情報が各コンピュータチャン
   ネルの入力装置ｉａ　（１９もしくは２９）に導かれ、
   また他方の安全な並列な入力値の場合回路情報と保証情
   報のいずれもが各コンピュータチャンネルの入力装＋＋
   ６−　（１８８＋１８ｂ、もしくは２８ａ、２８ｂ）に
   供給されることを特徴とする特許請求の範囲第１ｍに記
   載のデータ処理装置。 ３　双方のコンピュータチャンネルへ供給される入力値
   が公知の入力制御装置によって入力時に固定されること
   を特徴とする特許請求の範囲第２項に記載のデータ処理
   装置。 ４　出力比較装置（２）は並列出力に関し冗長構成とさ
   れ、それによっである一定の停止行動をもち、出力比較
   装置中の接点が短絡した場合、出力装置前もしくはその
   レスポンス入力の停止は、別の故障の発生によって安全
   か保１；１１されなくなるまではアクティブにしておく
   ことができ、出力比較装置への電圧供給は装置故障の前
   に確りこに遮断されることを特徴とする特許請求の範囲
   第１項に記載のデータ処理装置。