DD247536A1 - Schaltungsanordnung zum peripheriedatenvergleich - Google Patents

Abstract

Die Erfindung betrifft eine intelligente Schaltungsanordnung zum Peripheriedatenvergleich, die insbesondere ueber ein n-fach redundantes Ein-/Ausgabebussystem Informationen erhaelt, diese einem (m von n)-Vergleich unterzieht und dann k-kanalig an Ein-/Ausgabebaugruppen zur Ansteuerung von sicherheitsrelevanten Stellgliedern weiterleitet. Sie ist ueberall dort einsetzbar, wo hohe Sicherheits- und Zuverlaessigkeitsanforderungen bestehen, wie z. B. bei der Prozesssteuerung in Kraftwerken, der chemischen Industrie und beim schienengebundenen Verkehr. Die Schaltungsanordnung enthaelt Baugruppen, die jeweils fuer Steuerinformationen, Adressen und Daten (2 von 2)-Vergleiche durchfuehren und zwei Rechner, welche ihre Informationen austauschen, (2 von 2) vergleichen und 2fach an die sicherheitsrelevanten Peripheriebaugruppen ausgeben.

Description

Hierzu 3 Seiten Zeichnungen

Anwendungsgebiet der Erfindung

Die Erfindung betrifft eine Schaltungsanordnung zur Durchführung des Peripheriedatenvergleichs, wobei sowohl Daten als auch Kommandos und Adressen dem Vergleich unterzogen werden. Die Schaltungsanordnung erhält insbesondere Informationen über ein η-fach redundantes Ein-/Ausgabebussystem, unterzieht diese einem (m von n)-Vergleich und leitet sie dann k-kanalig an EinVAusgabebaugruppen zur Ansteuerung von vorzugsweise sicherheitsrelevanten Stellgliedern weiter. Sie ist überall dort einsetzbar, wo hohe Sicherheits- und Zuverlässigkeitsanforderungen bestehen, z. B. bei der Prozeßsteuerung in Kraftwerken der chemischen Industrie, und beim schienengebundenen Verkehr.

Charakteristik der bekannten technischen Lösungen

Es ist bekannt, Steuerungssysteme mit Rechnern aufzubauen, die nach dem (2 von 3)-Prinzip arbeiten.

Zur Steuerung der Prozeßperipherie wird an jedem der drei Rechner ein Ein-/Ausgabebus angeschlossen. Dieses 3fach redundante Bussystem wird auf eine oder mehrere Steuereinheiten geführt, welche jede für sich die Informationen von dem Bussystem nach dem (2 von 3)-Prinzip vergleicht und als Ergebnis dessen Steuerinformationen bildet. Die den Steuereinheiten zugehörigen Ein-/Ausgabebaugruppen erhalten dann einkanalig die aus dem (2 von 3)-Vergleich hervorgegangenen Steuerinformationen.

Um aber Peripherieelemente mit Sicherheitsverantwortung mehrkanalig, mindestens jedoch 2fach anzusteuern, ist es bekannt, diese Peripherieelemente mindestens über zwei EinVAusgabebaugruppen, die sich in verschiedenen Konstruktiven Einheiten (Kassetten) befinden, übervollständig räumlich separate Steuerleitungen anzusteuern. Das hat aber einen hohen Verdrahtungsaufwand für den Anschluß der Peripherieelemente zur Folge und macht das Gesamtsystem relativ unübersichtlich.

Im Defektfall ist eine zeitaufwendige Fehlersuche in mehreren Steuereinheiten (Kassetten) notwendig. Nachteilig erweist sich auch, daß durch den Ausfall eines (2 von 3)-Vergleichers in einer Steuereinheit anteilig mehrere Peripheriestromkreise ausfallen.

Weiterhin ist eine exakte zeitparallele Ansteuerung der für einen Peripheriestromkreis notwendigen Ein-/Ausgabebaugruppen und ein zeitparalleles Rücklesen der an einem Peripheriestromkreis liegenden Rückmeldungen nicht möglich. Die Rückmeldungen müssen durch das übergeordnete System erst zwischengespeichert und zusammengeführt werden.

Weiterhin ist bekannt, alle Einheiten mit einem gemeinsamen und sicheren Takt zu versorgen, so daß alle Einheiten Befehls- und taktsynchron laufen. Dabei können gleichartige Verfälschungen der Steuerinformationen entstehen, die durch die (2 von 3)-Vergleicher nicht erkannt werden.

Ziel der Erfindung

Das Ziel der Erfindung ist es, den Informationsaustausch zwischen einem redundanten Rechnersystem und Ein-/ Ausgabebaugruppen für Sicherheitsstromkreise auf einem hohen Sicherheits- und Zuverlässigkeitsniveau durchzuführen, sowie eine übersichtliche, wartungsfreundliche und platzsparende Anordnung dafür zu finden, die universell auf- und abrüstbar ist.

Darlegung des Wesens der Erfindung

Der Erfindung liegt die Aufgabe zugrunde, eine Schaltungsanordnung zu schaffen, die die von einem redundanten Rechnersystem über ein redundantes Bussystem ausgegebenen Informationen zu einer diskreten Menge von Ein-/ Ausgabebaugruppen, für welche die Informationen bestimmt sind, weiterleitet, dabei einen Mehrheitsentscheid durchgeführt, eine sicherheitstechnische Verbindung zu den einzelnen Ein-/Ausgabebaugruppen herstellt sowie die Rückmeldeinformationen ebenfalls sicherheitstechnisch von den Ein-/Ausgabebaugruppen zum redundanten Rechnersystem leitet.

Dabei soll die Anordnung selbst sicherheitstechnischen Anforderungen genügen.

Durch die Verwendung interner Rechner sollen die übergeordneten Rechnereinheiten (Masterrechner) weitestgehend entlastet werden, es soll ein Selbsttest der Schaltung möglich sein. Weiterhin sollen bestimmte Informationen für den Prozeß durch die internen Rechner selbst auffrischbar sein und verdichtete Informationen für die Masterrechner, z. B. Fehlerauswertung, Selbsttestergebnisse und Rückmeldungen vom Prozeß, bereitgestellt werden.

Erfindungsgemäß wird diese Aufgabe durch eine Schaltungsanordnung mit den Merkmalen des Erfindungsanspruchs gelöst.

Ausführungsbeispiel

Die Erfindung soll nachfolgend anhand eines Ausführungsbeispiels näher erläutert werden. Es zeigen:

Fig. 1: Die Gesamtschaltung zur Ansteuerung hochverfügbarer Sicherheitsstromkreise über k Peripheriebusse Fig.2: Die Schaltung der k-fach vorhandenen Peripherievergleichereinheiten Fig. 3: Die Schaltung zur Ansteuerung von s Ein-/Ausgabebaugruppen unter Verwendung von zwei Peripherievergleichereinheiten.

Die Schaltungsanordnung nach Fig. 1 ist mit einem übergeordneten (m von n)-Masterrechnermodul M über ein n-fach redundantes Ein-/Ausgabebussystem B1, B2,... Bn verbunden. Sie enthält k Peripherievergleichereinheiten PVE1,..., PVEK, die jeweils an die E/A-Busse B1,... Bn angeschlossen sind. Untereinander sind die Peripherievergleichereinheiten PVE1,..., PVEK über eine Koppelschaltung 11 verbunden.

Die k-fach vorhandenen Peripherievergleichereinheiten PVE1,..., PVEK sind jeweils an einen zugeordneten Peripheriebus PB1, ..., PBK angeschlossen.

Die k Peripherievergleichereinheiten sind jeweils identisch aufgebaut. (Fig.2) Sie vergleichen die Informationen (Daten, Adressen, Kommandos) des E/A-Bussystems B1,..., Bn nach dem (m von η (-Prinzip. Die Majoritätssignale werden zu einem Peripheriebus PB1,..., PBK, an dem eine oder mehrere Ein-/Ausgabebaugruppen E/A-BG 1,..., E/A-BG s zu Steuerung von Prozeßelementen PE1,..., PEs angeschlossen sind, durchgeschaltet. Neben dem (m von n)-Vergleich realisiert die Peripherievergleichereinheit PVE die Adressendekodierung und die Synchronisation der auf dem E/A-Bus asynchron eintreffenden Kommandos.

Mit ihr ist es möglich, zuverlässige und sichere Systeme zur sicheren Ansteuerung der Prozeßperipherie zu realisieren, wobei vor allem eine gute Anpassung an die verschiedensten Zuverlässigkeits- und Sicherheitsniveaus gewährleistet wird. Die Wirkungsweise der Peripherievergleichereinheit soll anhand der Fig. 2 und 3 am Beispiel des (2 von 3)-Vergleichs dargestellt werden.

Die Moduln Kommandomodul 2, Adreßmodul 3 und Datenmodul 4 arbeiten jeweils nach dem (2 von 3)-Prinzip und stellen das Majoritätssignal zu einem zugeordneten Rechner R durch. Dieser Rechner kann in einer vorteilhaften Ausgestaltung als Einchipmikrorechner ausgebildet sein. Im Kommandomodul 2 werden die über das redundante E/A-Bussystem B1, B 2, B3 gesendeten Kommandos nicht nur verglichen, sondern auch synchronisiert, wobei die Synchronisation beim Einsatz eines Einchipmikrorechners von diesem mit realisiert wird. Dies geschieht jedoch nur, wenn der Adreßdekoder im Adreßmodui 3 das Kassetten Selektsignal KAS-SEL aktiviert, was wiederum nur dann erfolgt, wenn eine im Adressendekoder des Adreßmodul 3 implementierte Adresse über das redundante Ein-/Ausgabebussystem B1, B 2, B 3 ausgegeben wurde. Nach dem Rechner R z. B. das sychronisierte Kommando „Schreiben" empfangen hat, liest er die Adresse der angesprochenen E/A-Baugruppe E/A-BG vom Adreßmodul 3, die Daten vom Datenmodul 4 und ein Summenfehlerbyte SFB von der Fehlerlogik 5. Bestimmte Informationen wie z. B. Vergleichsergebnisse können, falls z. B. zwei Peripherievergleichereinheiten PVE1, PVE2 installiert sind, über die Leitungen L1, L2 und eine Koppelschaltung 11 zwischen den Rechnern R der beiden Peripherievergleichereinheiten zum Softwarevergleich ausgetauscht werden. Werden beim (2 von 3)-Vergleich der Informationen im Kommandomodul 2, Adreßmodul 3 oder im Datenmodul 4 Abweichungen festgestellt, so wird in den genannten Moduln jeweils ein Fehlerbyte FB gebildet und zur Fehlerlogik 5 weitergeleitet, wo dann ein Summenfehlerbyte SFB generiert wird. Dieses wird vom Rechner R ausgewertet, in bestimmten Fehlerfällen erfolgt eine Aktivierung der Fehlersignalisierungslogik 6. Der übergeordnete (2 von 3)-Masterrechnermodul M kann über zusätzliche Adreßbits ebenfalls eine Fehlersignalisierung auslösen. Im fehlerfreien Fall bzw. bei Einfachfehlern entsprechend dem (2 von 3)-Prinzip wird die gewünschte Reaktion vom Rechner R ausgeführt, d.h. beim Kommando „Sch reiben"—Ausgabe der Majoritätssignale von den Adressen über Adreßtor 8, den Daten über Datentor 9 und vom Kommando „Schreiben" über Kommandoter 7 zum Peripheriebus PB an die selektierte Ein-/ Ausgabebaugruppe E/A-BG. Nach der Übernahme der Informationen sendet die angesprochene E/A-BG über das Quittungstor 10 ein Quittungssignal zum Rechner R, der nach jeder Befehlsausführung ebenfalls ein Quittungssignal über die Quittungsleitung LQ an die Quittungslogik 12 liefert. Zum übergeordneten (2 von 3)-Masterrechnermodul M gelangt dieses Quittungssignal jedoch nur, wenn im Beispiel sowohl von der PVE1 als auch von der PVE2 über die Quittungsleitungen LQ1 und LQ2ein Quittungssignal an die Quittungslogik 12 gesendet wurde.

Beim Kommando „Lesen" wird die Richtung der Datehtreiber im Datenmodul 4 durch den Rechner R mittels des Signals DIR umgekehrt, wobei das Summenfehlerbyte SFB das Rücklesen zu einem gestörten Einzelrechner des (2 von 3)-Masterrechnermoduls M verhindert.

Insbesondere werden nach dem „Lesen" der aktuellen Prozeßwerte durch den Rechner R der jeweiligen PVE softwaremäßig Soll-Istwertvergleiche durchgeführt und deren Ergebnisse zwischen den Rechnern R ausgetauscht. Die aufbereiteten Informationen stehen dann für den (2 von 3)-Masterrechnermodul M zur übergeordneten Auswertung in den jeweiligen PVE

Die Richtung des Datentores 9 wird unmittelbar durch das jeweilige Kommando („Schreiben" oder „Lesen") über die Leitung LD bestimmt. Um Rückwirkungsfreiheit bei bestimmten Hardware-Fehlern zu garantieren, sind alle Signale von und zu den Ein-/ Ausgabebaugruppen E/A-BG sowie zwischen den Rechnern R bei mehreren Peripherievergleichereinheiten PVE voneinander galvanisch entkoppelt.

Ist die Peripherievergleichereinheit PVE nicht von dem (2 von 3)-Masterrechnermodul M selektiert, kann im Rechner R ein Hintergrundprogramm zur Auffrischung bestimmter Signale für die Ein-/Ausgabebaugruppen E/A-BG und zur Fehlerdiagnose ablaufen.

Erforderlich sind für die Ansteuerung von

— nicht redundanter Prozeßperipherie eine Peripherievergleichereinheit PVE (ohne Koppelschaltung)

— sicherer Prozeßperipherie (Sicherheitsstromkreise) zwei Peripherievergleichereinheiten PVE1, PVE2 mit Quittungslogik 12 und Koppelschaltung 11 (Fig.3)

— mehrfach redundanter Prozeßperipherie (hochverfügbare Sicherheitsstromkreise) mindestens 3, i.allg. k Peripherievergleichereinheiten PVE1,..., PVEk mit Koppelschaltung 11 und Quittungsblock 12 (Fig. 1)

Die erforderliche Anzahl von Peripherievergleichereinheiten PVE wird in einer vorteilhaften Ausgestaltung der Erfindung mit den zugeordneten Ein-/Ausgabebaugruppen E/A-BG in einer konstruktiven Einheit untergebracht.

Im Falle einfacher Sicherheitsstromkreise (Fig.3) werden Informationen von der Peripherievergleichereinheiten PVE1, PVE2 nur zu dem zugeordneten Peripheriebus PB1, PB2 geleitet, wenn von den jeweiligen Rechnern R beim (2von2)-Vergleich der über die Koppelschaltung 11 ausgetauschten Informationen Identität festgestellt wurde.

Ein Quittungssignal an den (2 von 3)-Masterrechnermodul wird über die Quittungslogik 12 nur dann gesendet, wenn von beiden Peripherievergleichereinheiten PVE1, PVE2 die Quittungssignale geliefert werden. In der Quittungslogik 12 erfolgt außerdem noch die Umsetzung von 2 auf 3 Kanäle. Das Verhalten der Schaltungsanordnung in der allgemeinsten Form (Fig. 1) ist analog beim Ausführungsbeispiel mit der Besonderheit, daß Reaktionen nur infolge Majoritätsentscheidungen zwischen den Peripherievergleichereinheiten PVE1,..., PVEkeintreten können.

Claims (4)

1. Erfindungsanspruch:

   1. Schaltungsanordnung zum Peripheriedatenvergleich, gekennzeichnet dadurch, daß ein (m von n)-Masterrechnermodul (M) über ein η-fach redundantes Ein-/Ausgabebussystem (B 1,..., Bn) mit k-fach vorhandenen Peripherievergleichereinheiten (PVE 1,..., PVE k) verbunden ist, welche über eine Quittungslogik (12) am Ein-/Ausgabebussystem (B 1,..., B n) angeschlossen sind und untereinander über eine Koppelschaltung (11) mit galvanischer Entkopplung verbunden sind, wobei jede Peripherievergleichereinheit mit einem zugeordneten Peripheriebus (PB 1,..., PBk) verbunden ist.
2. 2. Schaltungsanordnung nach Punkt 1, gekennzeichnet dadurch, daß die k identischen Peripheriedatenvergleichereinheiten (PVE 1,..., PVE k) einen Rechner (R) enthalten, wobei der Rechner (R) über ein Kommandomodul (2) einen Adreßmodul (3) und ein Datenmodul (4) am η-fach redundanten Ein-/Ausgabebussystem (B 1,..., Bn) des übergeordneten (m von n)-Masterrechnermoduls (M) angeschlossen ist, daß der Kommandomodul (2) der Adreßmodul (3) und der Datenmodul (4) mit einer Fehlerlogik (5) verbunden sind, die wiederum am Rechner (R) angeschlossen ist, daß der Adreßmodul (3) mit dem Kommandomodul (2) und einer Fehlersignalisierungslogik (6) verbunden ist, welche ebenfalls am Rechner (R) angeschlossen ist, daß der Rechner (R) über ein Kommandotor (7), ein Adreßtor (8), ein Datentor (9) und ein Quittungstor (10) mit dem zugeordneten Peripheriebus (PB) verbunden ist, und daß vom Rechner (R) eine Verbindungsleitung (LQ) zur Quittungslogik (12) und Leitungen (L 1,..., Lk) zur Koppelschaltung (11) vorgesehen sind.
3. 3. Schaltungsanordnung nach Punkt 2, gekennzeichnet dadurch, daß der Rechner (R) ein Einchipmikrorechner ist.
4. 4. Schaltungsanordnung nach Punkt 1-3, gekennzeichnet dadurch, daß die k-fach vorhandenen Peripherievergleichereinheiten (PVE 1,..., PVE k) in einer gemeinsamen Konstruktiven Einheit (Kassette) in der damit verschiedene Sicherheitsniveaus (nicht redundant, sicher, mehrfach redundant) realisiert werden können, untergebracht sind.