Der Patentanspruch des Hauptpatentes betrifft ein Ver fahren zur Fehlerdiagnose mit einem Diagnoseprogramm in einem zur Redundanzerhöhung modular aufgebauten pro grammgesteuerten Vermittlungssystem, in dem mehrere als Verarbeitungs- und als Programmsteuereinheiten arbeitende Systemeinheiten zyklusweise mit mindestens zwei als zen trale Speicher arbeitende Systemeinheiten derart zusammen arbeiten, dass bei Ausfall einer Systemeinheit deren Aufga ben von einer anderen Systemeinheit übernommen werden.
Gemäss Patentanspruch des Hauptpatentes ist das Verfah ren dadurch gekennzeichnet, dass eine als fehlerhaft er kannte Systemeinheit in einen Diagnosezustand versetzt wird, während dessen Dauer die betreffende Systemeinheit für normale Betriebsaufgaben des Systems nicht betriebsbe reit, für besondere Diagnosevorgänge jedoch betriebsbereit ist, dass der Ablauf der besonderen Diagnosevorgänge unter Steuerung eines Diagnoseprogramms in Zusammenarbeit mit fehlerfrei arbeitenden Systemeinheiten geschieht, die in einer durch das Diagnoseprogramm bestimmten Weise eben falls in den Diagnosezustand versetzt werden, und dass der Ablauf eines Diagnoseprogramms in der fehlerhaft arbeiten den Systemeinheit stets schrittweise unter Steuerung von feh lerfrei arbeitenden Systemeinheiten geschieht.
Die Erfindung bezieht sich auf eine Verbesserung des im Hauptpatent beschriebenen Verfahrens zur Fehlerdiagnose mit einem Diagnoseprogramm in einem zur Redundanzerhö hung modular aufgebauten programmgesteuerten Datenver mittlungssystem.
Der im Hauptpatent beschriebenen Erfindung liegt das Problem zugrunde, die Zuverlässigkeit eines programmge steuerten Datenvermittlungssystems zu erhöhen. Das Ziel des dort angegebenen Verfahrens besteht darin, dass bei Aus fall einer Systemeinheit das Gesamtsystem unterbrechungs frei weiter arbeitet, dass weiter eine fehlerhaft arbeitende Sy stemeinheit in kurzer Zeit identifiziert werden kann und dass schliesslich ein Fehler innerhalb einer identifizierten Ein heit lokalisierbar ist. Dazu wird im Hauptpatent von einem aus der Rechnertechnik bekannten Prinzip ausgegangen, wo nach bei Auftreten eines Fehlers sogenannte Diagnosepro gramme gestartet werden, aus deren Ergebnis Rückschlüsse auf die Art und den Ort des auftretenden Fehlers gezogen werden können.
Damit verbundene Nachteile, die darin beste hen, dass ein Diagnoseprogramm unter Kontrolle der fehler haft arbeitenden Systemeinheit oder unter Kontrolle des Wartungspersonals ablaufen muss, werden bei Verfolgung des im Hauptpatent angegebenen erfinderischen Verfahrens dadurch gekennzeichnet, dass eine als fehlerhaft erkannte Sy stemeinheit in einen speziellen Diagnosezustand versetzt wird, während dessen Dauer die betreffende Systemeinheit für normale Betriebsaufgaben des Systems inaktiv (nicht be triebsbereit), für besondere Diagnosevorgänge jedoch aktiv (betriebsbereit) ist, dass der Ablauf der besonderen Diagnose vorgänge unter Steuerung eines Diagnoseprogramms in Zu sammenarbeit mit fehlerfrei arbeitenden Systemeinheiten ge schieht,
die jeweils während einer durch das Diagnosepro gramm bestimmten Dauer entweder ständig oder zeitweise ebenfalls in den Diagnosezustand versetzt werden und dass der Ablauf eines Diagnoseprogramms in der fehlerhaft arbei tenden Systemeinheit stets schrittweise unter Steuerung durch fehlerfrei arbeitende Systemeinheiten geschieht.
Dieses Verfahren weist den Vorteil auf, dass ein fehler haft arbeitender Systemteil stets unter Mitwirkung des fehler frei arbeitenden Systems, bzw. eines Teils des fehlerfrei arbei tenden Systems geprüft werden kann, wobei eine Zusammen arbeit der fehlerfrei arbeitenden Systemeinheiten mit der sich stets im Diagnosezustand befindenden fehlerhaften Sy stemeinheit nur dann möglich ist, wenn sich auch die fehler frei arbeitenden Systemeinheiten im Diagnosezustand befin- 2 den. Dadurch ist es möglich, die an einem Diagnosevorgang beteiligten Systemeinheiten auf die zur Durchführung eines speziellen Diagnoseprogramms erforderliche Anzahl zu be schränken.
In der Regel ist es ausreichend, wenn für den Ablauf eines Diagnoseprogramms ausser der fehlerhaften Sy stemeinheit eine fehlerfrei arbeitende Programmsteuerein heit sowie Speicherplatz in einem fehlerfrei arbeitenden Spei cher zur Verfügung steht.
Das Prinzip der im Hauptpatent beschriebenen Erfin dung wird anhand eines in der Fig. 1 dargestellten Block schaltbildes erläutert. Dort sind drei jeweils doppelt vorhan dene Systemeinheiten dargestellt, nämlich die Verarbeitungs einheiten VE, die Programmsteuereinheiten PS und die bei den mit IS1 und IS2 bezeichneten zentralen Einheiten, die neben dem zentralen Speicher alle zentralen Steuereinrich tungen enthalten. Es soll angenommen werden, dass eine der Systemeinheiten VE fehlerhaft arbeitet und in hier nicht be schriebener Weise in den Diagnosezustand versetzt wurde, was in der Fig. 1 durch Schraffierung angedeutet ist. Zur Durchführung eines Diagnoseprogramms wird ein fehlerfrei arbeitender Speicher, beispielsweise in der zentralen Einheit IS1 ebenfalls in den Diagnosezustand versetzt.
Gleichzeitig befinden sich dadurch aber auch alle anderen zentralen Steuereinrichtungen der zentralen Einheit ISl im Diagnosezu stand. Der Ablauf des Diagnoseprogramms findet unter Steuerung einer fehlerfrei arbeitenden Programmsteuerein heit PS statt, die dazu für die Dauer eines oder mehr als eines Zyklus ebenfalls den Diagnosezustand einnehmen kann. Durch Verwendung strichpunktierter Linien ist in der Fig. 1 angedeutet, dass zur Durchführung des Diagnosepro gramms die fehlerhaft arbeitende Systemeinheit VE, die in den Diagnosezustand versetzte zentrale Einheit IS1 und eine fehlerfrei arbeitende Programmsteuereinheit PS zusammenar beiten.
Da die in den Diagnosezustand versetzte Systemein heit VE gegenüber den sich im Betriebszustand befindenden Systemeinheiten inaktiv ist, sind die Informationskanäle zwi schen dieser Systemeinheit und den anderen, sich im Betriebs zustand befindenden Systemeinheiten, wie in der Fig. 1 darge stellt, unterbrochen. Das Diagnoseprogramm selbst steht ebenso wie die Vergleichs- oder Sollmuster, die zur Auswer tung der im Rahmen des Diagnoseprogramms ermittelten Er gebnisinformationen dienen, in einem Teil des fehlerfrei arbei tenden Speichers in der zentralen Einheit IS2, mit der die den Ablauf des Diagnoseprogramms steuernde Programm steuereinheit PS in normalem Betrieb zusammenarbeitet.
Für ein programmgesteuertes Datenvermittlungssystem ist neuerdings vorgeschlagen worden, die von mit einer zen tralen Einheit zusammenarbeitenden Systemeinheiten ausge henden Anforderungen zur Durchführung bestimmter Ab läufe unter Wahrung von durch die anfordernde Systemein heit oder durch den angeforderten Ablauf bestimmten Priori täten an zentraler Stelle zu verteilen, Schweizer Patent schrift Nr. 528 786. Dazu ist eine zentrale Ablaufanforde rungssteuerung vorhanden, in der ein Ablaufverteilregister eine durch Adresse und Inhalt gegebene bestimmte Zuord nung zwischen speicherbaren Informationen über die Priori tät eines Ablaufs und den Informationen über die einen Ablauf durchführende Systemeinheit enthält.
Zur gezielten Verteilung von Ablaufanforderungen dienen die Informatio nen über die Priorität des durchzuführenden Ablaufs als in terne Registeradressen für einen Suchvorgang im Ablaufver- teilerregister, als dessen Ergebnis eine Information zur Be stimmung der diesen Ablauf durchführenden Systemeinheit zur Verfügung steht. Jeder im System vorgesehenen Priori tät ist dabei eine bestimmte Registerstelle in einem einen Teil der Ablaufanforderungssteuerung bildenden Ablaufan- forderungsregisters zugeordnet.
Nach dem im Hauptpatent angegebenen Verfahren ist eine Zusammenarbeit zwischen einzelnen Systemeinheiten im Rahmen eines Diagnoseprogramms nur dann möglich, wenn sich die einzelnen Systemeinheiten im Diagnosezu stand befinden. Das bedeutet, dass eine zentrale Einheit mit allen in ihr enthaltenen zentralen Steuereinrichtungen, wie .peicher-Ein/Ausgabesteuerung, Ablaufanforderungssteue rung und zentraler Speicher in den Prüfzustand versetzt wer den müssen, um diese Voraussetzung zu erfüllen. Für den Fall, dass der zentrale Speicher in Speicherunterbereiche, die sogenannten Speicherbanken unterteilt ist, wird im Haupt patent vorgeschlagen, nicht den gesamten zentralen Spei cher, sondern eine dieser Speicherbanken in den Diagnosezu stand zu versetzen.
Der im folgenden beschriebenen Erfindung liegt die Auf gabe zugrunde, den damit verbundenen Nachteil, der sich in einem Redundanzverlust äussert, zu vermeiden. Erreicht wird das gemäss der Erfindung dadurch, dass für den Ablauf eines Diagnoseprogramms, ausser der in den Diagnosezu stand versetzten fehlerhaft und der den Ablauf steuernden fehlerfrei arbeitenden Systemeinheit sowie einem fehlerfrei arbeitenden Speicher eine zur Aufnahme, Verteilung und Aus wahl der von Systemeinheiten gesendeten Ablaufanforderun gen zentral vorhandene Ablaufanforderungssteuerung in den Diagnosezustand versetzt wird, in der während der Dauer des Diagnosezustandes nur zyklusbezogene Ablaufanforde rungen, zum Beispiel Setzen und Verteilen von Ablaufanfor derungen, solcher Systemeinheiten berücksichtigt werden, die sich ebenfalls im Diagnosezustand befinden.
Mit dieser Ausgestaltung der im Hauptpatent beschriebe nen Erfindung, die also darin besteht, dass der Diagnosezu stand nunmehr auch für die eine Untereinheit in der zentra len Steuereinrichtung bildende Ablaufanforderungssteuerung eingeführt wird, ist es möglich, ein vollständiges System im Prüfzustand aufzubauen und dabei den nach dem Verfahren im Hauptpatent auftretenden Redundanzverlust noch weiter zu reduzieren.
Ein Prinzipschaltbild, anhand dem die Erfindung beispiels weise erläutert wird, ist in der Fig. 2 dargestellt. Da das Sy stem entsprechend der Voraussetzung modular aufgebaut ist, sind die Systemeinheiten jeweils doppelt vorhanden. Im einzelnen handelt es sich um die Systemeinheit Leitungsan- schlusseinheit LE, in der die Übertragerablaufsteuerungen ÜAS, über die der Verkehr mit den anderen Teilen des Sy stems stattfindet, doppelt vorhanden sind. Die weiteren je weils doppelt vorhandenen Systemeinheiten sind die beiden Programmsteuereinheiten PS1 und PS2 sowie die mit KS1 und KS2 und GS1 und GS2 bezeichneten Systemeinheiten.
Die beiden zentralen Einheiten ISl und IS2 enthalten je weils die Speicher-Ein-/Ausgabesteuerung SEAS1 und SEAS2 SEAS1 und SEAS2, sowie die Ablaufanforderungs steuerung ABAS1 und ABAS2. Jede der Ablaufanforderungs steuerungen enthält gemäss einem bekannten Vorschlag, Schweizer Patentschrift Nr. 528 786, jeweils ein Ablaufverteil- register AVR und ein Ablaufanforderungsregister ABAR.
Als zentrale Speicher sind die Speicherbanken SB vorhan den.
Unter der Annahme, dass-eine Übertragerablaufsteue rung, beispielsweise die Übertragerablaufsteuerung ÜAS1 fehlerhaft arbeitet (in der Fig. 2 durch Schraffur angedeutet) wird diese in den Diagnosezustand versetzt. Es ist vorgeschla gen worden, die Kennzeichnung eines Diagnosezustandes da durch an zentraler Stelle vorzunehmen, dass in einem be stimmten Teil des Ablaufanforderungsregisters ABAR ein be stimmtes Bit gesetzt wird. Dieses Verfahren kann auch in dem hier beschriebenen Fall vorteilhaft Anwendung finden.
Gemäss dem im Hauptpatent beschriebenen Verfahren ist zur Durchführung eines Diagnoseprogramms, in dessen Ver lauf die fehlerhaft arbeitende Systemeinheit in der Leitungs- anschlusseinheit LE, im Beispiel also die Übertragerablauf steuerung ÜAS1, überprüft werden soll, ein fehlerfrei arbei tender Speicher und eine fehlerfrei arbeitende Programm steuereinheit erforderlich. Während der Speicher, beispiels weise eine Speicherbank SB in der zentralen Einheit IS1, während der gesamten Dauer des Diagnosezustandes im Dia gnosezustand gehalten wird (in Fig. 2 durch Schraffur als im Diagnosezustand befindlich gekennzeichnet) befindet sich die Programmsteuereinheit jeweils nur zyklusweise im Dia gnosezustand.
Der Verkehr zwischen dieser und der fehler haft arbeitenden Systemeinheit findet über die zentralen Steuereinrichtungen in der zentralen Einheit IS1 statt. Ge- mäss der Erfindung wird jedoch nicht die gesamte zentrale Einheit IS1 in den Diagnosezustand versetzt, sondern nur die zentrale Ablaufanforderungssteuerung. In der Fig. 2 ist deshalb lediglich die Ablaufanforderungssteuerung ABAS1 durch Schraffur als im Diagnosezustand befindlich gekenn zeichnet.
Die fehlerhaft arbeitende Systemeinheit, im vorlie genden Fall also die Übertragerablaufsteuerüng ÜAS1 in der Leitungsanschlusseinheit LE kann nunmehr in der nach dem Hauptpatent beschriebenen Weise mit einem Diagnose programm geprüft werden, ohne dass dazu die gesamten Steuereinrichtungen der zentralen Einheit IS1 in den Diagno sezustand versetzt werden müssen. Das bedeutet einen erheb lichen Redundanzgewinn für das Gesamtsystem.
Um zu erreichen, dass die von einer in den Diagnosezu stand versetzten ABAS ausgegebenen Informationen nur von bestimmten, ebenfalls in den Diagnosezustand versetz ten Systemeinheiten bewertet werden, werden alle von einer Ablaufanforderungssteuerung im Diagnosezustand abgegebe nen Informationen von einem zusätzlichen Kriterium beglei tet. Alle Systemeinheiten, die sich nicht im Diagnosezustand befinden, können dann diese Information ignorieren. Damit ist sichergestellt, dass fehlerfrei arbeitende Teile im System vom fehlerhaften Arbeiten anderer Systemeinheiten nicht ge stört sind.
Im Rahmen der Erfindung ist es möglich, im Ablaufan forderungsregister ABAR einen besonderen Teil vorzuse hen, in dem unabhängig vom Betriebs- oder Diagnosezu stand Anforderungsbits gesetzt und zugehörige Informatio nen einzelner Systemeinheiten ohne ein, dem Zustand der Ab laufanforderungssteuerung ABAS kennzeichnendes zusätzli ches Kriterium ausgegeben werden können.
Der Diagnosezustand einer Ablaufanforderungssteue rung kann in einfacher Weise dadurch beendet werden, dass das im Ablaufanforderungsregister gesetzte und den Diagno sezustand kennzeichnende Bit gelöscht wird.
The claim of the main patent relates to a method for error diagnosis with a diagnostic program in a program-controlled switching system with a modular structure to increase redundancy, in which several system units working as processing and program control units work together in cycles with at least two system units working as central memory in such a way that at Failure of a system unit whose tasks are taken over by another system unit.
According to the patent claim of the main patent, the method is characterized in that a system unit recognized as defective is placed in a diagnostic state during which the system unit in question is not ready for normal operating tasks of the system, but is ready for special diagnostic processes special diagnostic processes under the control of a diagnostic program in cooperation with error-free operating system units, which are also placed in the diagnostic state in a manner determined by the diagnostic program, and that the sequence of a diagnostic program in which the system unit is working incorrectly always step by step under the control of error-free working System units happens.
The invention relates to an improvement of the method described in the main patent for error diagnosis with a diagnostic program in a program-controlled data exchange system with a modular structure for increasing redundancy.
The invention described in the main patent is based on the problem of increasing the reliability of a program-controlled data exchange system. The aim of the method specified there is that if a system unit fails, the overall system continues to work without interruption, that a faulty system unit can still be identified in a short time and that finally an error can be localized within an identified unit. For this purpose, the main patent is based on a principle known from computer technology, where so-called diagnostic programs are started when an error occurs, and conclusions can be drawn from the result of the type and location of the error occurring.
Associated disadvantages, which consist in the fact that a diagnostic program has to run under the control of the faulty system unit or under the control of the maintenance staff, are characterized in pursuing the inventive method specified in the main patent that a system unit recognized as defective is in a special diagnostic state during the duration of which the relevant system unit is inactive (not ready for operation) for normal operating tasks of the system, but active (ready for operation) for special diagnostic processes, so that the sequence of the special diagnostic processes is controlled by a diagnostic program in cooperation with error-free system units happens
which are also put into the diagnostic state either constantly or temporarily during a period determined by the diagnostic program and that the execution of a diagnostic program in the faulty system unit always happens step by step under the control of error-free system units.
This method has the advantage that a faultlessly operating system part can always be checked with the assistance of the faultlessly operating system or part of the faultlessly operating system faulty system unit is only possible if the fault-free system units are in the diagnostic state. This makes it possible to limit the system units involved in a diagnostic process to the number required to carry out a special diagnostic program.
As a rule, it is sufficient if, in addition to the faulty system unit, an error-free program control unit and memory space in an error-free memory are available for the execution of a diagnostic program.
The principle of the invention described in the main patent is explained with reference to a block diagram shown in FIG. There three system units are shown in duplicate, namely the processing units VE, the program control units PS and the central units denoted by IS1 and IS2, which contain all central control devices in addition to the central memory. It should be assumed that one of the system units VE is working incorrectly and has been placed in the diagnostic state in a manner not described here, which is indicated in FIG. 1 by hatching. To carry out a diagnostic program, a memory that is working properly, for example in the central unit IS1, is also put into the diagnostic state.
At the same time, however, all other central control devices of the central unit IS1 are also in the diagnosis state. The diagnostic program runs under the control of an error-free program control unit PS, which can also assume the diagnostic state for the duration of one or more than one cycle. The use of dash-dotted lines in FIG. 1 indicates that the faulty system unit VE, the central unit IS1 set in the diagnostic state and an error-free program control unit PS work together to carry out the diagnostic program.
Since the system unit VE set in the diagnostic state is inactive with respect to the system units in the operating state, the information channels between this system unit and the other system units in the operating state are interrupted, as shown in FIG. 1 Darge. The diagnostic program itself, as well as the comparison or target patterns that serve to evaluate the result information determined in the context of the diagnostic program, are stored in part of the error-free working memory in the central unit IS2, with which the program control unit controlling the sequence of the diagnostic program PS cooperates in normal operation.
For a program-controlled data exchange system, it has recently been proposed that the requirements for executing certain processes from system units working together with a central unit should be distributed centrally while maintaining priorities determined by the requesting system unit or by the requested process, Swiss patent Document No. 528 786. For this purpose, there is a central process request control in which a process distribution register contains a specific assignment, given by address and content, between storable information about the priority of a process and the information about the system unit performing a process.
The information on the priority of the sequence to be carried out serves as internal register addresses for a search process in the sequence distribution register, as the result of which information is available for determining the system unit carrying out this sequence. Each priority provided in the system is assigned a specific register position in a process request register that forms part of the process request control.
According to the method specified in the main patent, cooperation between individual system units in the context of a diagnostic program is only possible if the individual system units are in the diagnosis state. This means that a central unit with all the central control devices contained in it, such as memory input / output control, process request control and central memory, must be placed in the test state in order to meet this requirement. In the event that the central memory is subdivided into memory sub-areas, the so-called memory banks, it is proposed in the main patent not to put the entire central memory, but rather one of these memory banks, into the diagnosis state.
The invention described below is based on the task of avoiding the associated disadvantage, which is expressed in a loss of redundancy. This is achieved according to the invention in that, for the execution of a diagnostic program, in addition to the faulty system unit which is set to the diagnostic state and the fault-free system unit controlling the sequence, as well as an error-free operating memory, one for receiving, distributing and selecting the sequence requests sent by system units centrally existing process request control is placed in the diagnostic state, in which, for the duration of the diagnostic state, only cycle-related process requirements, for example setting and distributing process requirements, of those system units that are also in the diagnostic state are taken into account.
With this embodiment of the invention described in the main patent, which consists in the fact that the diagnosis state is now also introduced for the sequence request control forming a sub-unit in the central control device, it is possible to build a complete system in the test state and thereby the after Process in the main patent to reduce redundancy loss even further.
A schematic diagram, with reference to which the invention is explained, for example, is shown in FIG. Since the system has a modular structure according to the requirements, the system units are each available twice. Specifically, it is the system unit line connection unit LE, in which the transmitter sequence controls ÜAS, via which the traffic with the other parts of the system takes place, are present twice. The other double system units are the two program control units PS1 and PS2 and the system units designated KS1 and KS2 and GS1 and GS2.
The two central units IS1 and IS2 each contain the memory input / output control SEAS1 and SEAS2, SEAS1 and SEAS2, and the process request control ABAS1 and ABAS2. According to a known proposal, Swiss patent specification No. 528 786, each of the process request controls contains a process distribution register AVR and a process request register ABAR.
The SB memory banks are used as central memories.
Assuming that a transmitter sequence controller, for example the transmitter sequence controller ÜAS1, is operating incorrectly (indicated by hatching in FIG. 2), it is put into the diagnostic state. It has been proposed that the identification of a diagnostic state be carried out at a central point by setting a certain bit in a certain part of the sequence request register ABAR. This method can also be used advantageously in the case described here.
According to the method described in the main patent, an error-free working memory and an error-free working program control unit are required to carry out a diagnostic program in the course of which the incorrectly working system unit in the line connection unit LE, in the example the transfer process control ÜAS1 required. While the memory, for example a memory bank SB in the central unit IS1, is kept in the diagnostic state for the entire duration of the diagnostic state (indicated by hatching as being in the diagnostic state in FIG. 2), the program control unit is only in the diagnostic state in each cycle.
The traffic between this and the faulty operating system unit takes place via the central control devices in the central unit IS1. According to the invention, however, not the entire central unit IS1 is put into the diagnostic state, but only the central sequence request control. In FIG. 2, therefore, only the sequence request control ABAS1 is marked by hatching as being in the diagnostic state.
The faulty system unit, in the present case the transformer sequence control ÜAS1 in the line connection unit LE can now be checked with a diagnostic program in the manner described in the main patent without the entire control devices of the central unit IS1 having to be put into the diagnostic state . This means a considerable gain in redundancy for the entire system.
In order to ensure that the information output by an ABAS that has been set to the diagnostic state is only evaluated by certain system units that are also set to the diagnostic state, all information given by a process request control in the diagnostic state is accompanied by an additional criterion. All system units that are not in the diagnostic state can then ignore this information. This ensures that parts in the system that work correctly are not disturbed by the incorrect work of other system units.
In the context of the invention, it is possible to provide a special part in the ABAR sequence request register, in which request bits are set regardless of the operating or diagnostic status and the associated information from individual system units is output without an additional criterion characterizing the status of the ABAS sequence request control can.
The diagnostic status of a sequence request controller can be ended in a simple manner by deleting the bit that is set in the sequence request register and characterizing the diagnostic status.