CN100501687C - 用于在处理系统中处理数据时识别错误的方法和控制系统 - Google Patents

Abstract

本发明涉及一种用于在处理系统中处理输入数据以便形成包含输出数据和测试数据项的数据包时识别错误的方法，形成该测试数据项以便确认该输出数据的有效性，其中连续地执行下列方法步骤：按照第一处理方法基于输入数据确定输出数据；按照第二处理方法基于输入数据确定测试数据项，其中按照第三处理方法基于输入数据确定中间输出数据并且按照第四处理方法根据所确定的中间输出数据确定测试数据项，其中第一处理方法和第三处理方法通过不同途径实现相同的功能；以及如果测试数据项不能确认输出数据的有效性，则在该处理系统中识别出错误。

Description

用于在处理系统中处理数据时识别错误的方法和控制系统

技术领域

本发明涉及一种用于在处理系统中处理数据以便形成数据包时识别错误的方法。本发明还涉及执行该方法的处理系统。

背景技术

在用于处理与安全性有关的数据的系统的情况下，在两个或更多通道中频繁地处理数据，即通过不同途径彼此独立地处理数据多次。关于这一点，通常通过在不同处理单元上执行相同的处理方法两次或更多次并且将由此获得的结果相互比较来实现多通道特性。假定：如果通过所有途径获得相同结果，则存在正确地计算了各个处理方法的结果的非常高的概率。这几乎排除硬件中的系统和自发错误。极不可能的上，两个未被识别的错误将正好产生与相同位置处的错误相同的结果。只有那时错误才将保持未被检测到。

然而，如果在连续地执行所有处理方法的方法步骤的处理系统中、例如在单个微处理器中进行处理，则可以通过在该微处理器中连续地处理数据多次来实现多通道特性。然后，接连地处理该数据多次。特别地，可以以不同方式来实现数据的多次处理，这意味着，举例来说，计算算法执行不同的单个步骤以便当数据被正确地处理时获得相同结果。

现在，检验以这种方式获得的结果的等同性。特别是在单个微处理器中进行处理的情况下，一个问题在于不能确保：当微处理器有错误时或当处理系统有错误时，来自多通道处理的不相等的结果不会由于另外的错误仍然被解释为正确的结果并被释放用于进一步的处理。这特别成问题，因为通常仅需要一些方法步骤来用于比较所确定的结果，以便确定所确定的数据的正确性。然而，如果在单个微处理器中实现多通道特性，则微处理器中的在方法步骤期间的错误可能导致：即使微处理器有错误，不相等的结果也不被识别为正确的并且数据的处理也被继续。

在控制工程中，诸如PROFISAFE的标准被用于传输数据，例如所述标准规定用于有用数据的特定协议和特定格式。这保护要传输的数据以防任何传输链路上的所有典型错误、诸如数据的失真和颠倒。该数据配备有共同的数据帧地址、校验和以及生命周期计数器。

在单个微处理器中实现多通道特性的系统中，例如在单个信息处理单元中，不能可证明地确保：微处理器在识别出错误的情况下不转发不正确的数据。然而，与安全性有关的领域要求“单个错误安全性”，其中当出现了单个错误时可证明地停止处理或停止数据的生成和提供。这意味着，对于任何错误而言，该系统必须可证明地总是处于安全状态中，以便能够排除人员的任何风险。在这方面重要的是由系统本身识别出错误以及该系统自己关闭。这防止第二错误出现并且能够导致不安全状态。

NIKOLAIZIK，Jürgen；NKOLOV，Boris；WARLITZ，Joachim的Fehlertolerante Mikrocomputersystems [ Fault-tolerantmicrocomputer systems](Berlin：Verl.Technik，1990年，第23-67页，(ISBN：3-341-00959-4))公开了一种容错微型计算机系统，该容错微型计算机系统具有中央处理单元，其中通过利用两个不同的程序接连地执行数据处理来实现错误识别，其中比较结果以便检测错误。

EP0744693A1公开了具有权利要求1或7的前序部分的特征的方法和系统，其中使用两个单独的程序通道来计算输出数据和校验和，然后使输出数据和校验和彼此交织以便然后能够在数据接收机中检测错误。

EP0287302A2公开了另一种防错方法，其中将使用两个并行计算机所计算出的校验和与输出数据彼此交织以便确定错误。

DE19532639A1公开了具有由第一计算机所计算的输出数据和由第二计算机所计算的校验和的数据包的单通道传输。

发明内容

本发明的目的是提供一种用于在处理数据以便形成数据包时识别错误的方法，该方法提供用于在处理系统中执行处理的单个错误安全性，其中连续地执行处理方法的处理步骤。并且本发明的目的是提供一种用于处理数据以便形成数据包的处理系统，该处理系统允许可靠地识别出现的错误。

按照本发明的第一方面，提供一种用于在处理系统中处理数据以便形成包含输出数据和测试数据项的数据包时识别错误的方法。该处理系统连续地执行处理方法的方法步骤。形成测试数据项，以便确认输出数据的有效性。该方法包括下列步骤：提供输入数据；按照第一处理方法基于输入数据确定输出数据；按照第二处理方法基于输入数据确定测试数据项，其中第一和第二处理方法在处理系统中接连地被执行并相互协调，以便针对相同的输入数据产生输出数据和测试数据项，使得测试数据项能够确认输出数据；以及如果测试数据项不能确认输出数据的有效性，则在处理系统中识别出错误。

本发明方法具有以下优点，即测试数据项和输出数据在处理系统中彼此独立地被确定，从而避免输出数据以相同的方式被确定两次或更多次，以便找到可能的错误。在单个处理系统中多次执行相同的处理方法以便确定输出数据通常将不允许识别存在于处理系统中的错误，因为该错误将以相同的方式对相同的处理方法有消极影响。使用计算彼此不同的值、即输出数据和测试数据项的两种不同的、即第一和第二处理方法的事实意味着，处理系统中的错误导致在第一处理方法中确定的输出数据和在第二处理方法中确定的测试数据项彼此不协调，即测试数据项不能确认输出数据的有效性。

优选地，所确定的测试数据项是输出数据的校验和。

可以规定，通过首先按照第三处理方法确定中间输出数据以及按照第四处理方法利用所确定的中间输出数据确定测试数据项来按照第二处理方法确定测试数据项。在这方面，第三处理方法和第一处理方法通过不同途径确定输出数据或中间输出数据。特别地，可以以相对于第三处理方法的相反逻辑来执行第一处理方法。由此实现的效果是第一和第三处理方法不包含相同的方法步骤，这意味着当在方法步骤中出现错误时，两种处理方法产生不同的输出数据。因此，按照第四处理方法，基于中间输出数据确定的测试数据项将不确认输出数据的有效性。这允许可靠地识别错误。

按照一个优选实施例，直接在确定了中间输出数据之后确定测试数据项，其中在确定了测试数据项之后删除中间输出数据。由此实现的效果是中间输出数据不与测试数据一起存在于例如处理系统的存储器中，这意味着可以防止不正确地转发由中间输出数据和测试数据项形成的数据包。在处理系统中中间输出数据不可用或仅短暂地可用的事实意味着中间输出数据非常不可能或几乎不可能例如由于处理系统中的错误而作为输出数据被转发。

按照本发明的一个实施例，能够由输出数据和测试数据项形成数据包，其中在传输了数据包之后进行检验以确定，测试数据项是否确认输出数据的有效性，以便检验数据包的有效性。

按照本发明的另一方面，提供一种用于在处理数据以便形成数据包时识别错误的处理系统。该处理系统具有处理单元，该处理单元用于连续地执行处理方法中的处理步骤，用于按照第一处理方法基于输入数据确定输出数据，以及用于按照第二处理方法基于输入数据确定测试数据项。另外，设置有存储器，在该存储器中存储有第一和第二处理方法的方法步骤以便利用处理单元来执行这些方法步骤。第一和第二处理方法在处理系统中接连地被执行并且彼此协调，以便针对相同的输入数据生成输出数据和测试数据项，使得测试数据项能够确认输出数据的有效性。还存在被设置用于在测试数据项不能确认输出数据项时识别错误的错误确定单元。

按照本发明的另一实施例，设置有传输单元，以便链接测试数据项和输出数据以形成数据包，以及以便经由网络传输所述数据包。

附图说明

下面参考附图更详细地说明本发明的优选实施例，其中：

图1示出用于经由PROFIBUS控制机器的控制系统，在该控制系统中实现本发明方法；

图2示出举例说明本发明方法的优选实施例的流程图。

具体实施方式

图1示出具有微处理器2和存储器3的控制系统1。存储器3被用来存储程序数据和有用数据。微处理器2能够使用程序数据来对被存储在存储器3中的有用数据执行处理方法。例如，微处理器2是连续地执行该处理方法的方法步骤的标准微处理器。

控制系统1经由PROFIBUS 4连接到机器5上，该机器5被规定为受控制系统1控制。PROFIBUS 4被用于传输还包含控制数据和测试数据的数据包。控制数据是在微处理器2中执行的第一处理方法的结果。测试数据同样在微处理器2中按照第二处理方法来确定并被用于检验接收机上、即机器5中的控制数据的有效性，即测试数据和控制数据需要彼此协调。通常，测试数据可以容易地根据控制数据、例如通过形成校验和来确定。

图2示出表明基于本发明的处理方法的优选实施例的流程图。在步骤S2中，所提供的输入数据(步骤S1)首先被用于按照第一处理方法基于输入数据来确定输出数据。接着，使用第三处理方法来根据输入数据确定中间输出数据(步骤S3)，第一和第三处理方法基本上实现相同的功能，其中有利地通过不同途径获得输出数据。例如，第一处理方法使用正逻辑以及第三处理方法使用负逻辑，以便获得输出数据。

如果控制系统正确地工作，使用第一处理方法获得的数据和使用第三处理方法获得的中间输出数据是相同的。如果当特定处理步骤被不正确地执行时在第一或第三处理方法中出现错误，则按照第一处理方法和按照第三处理方法获得不同的输出数据。基于步骤S4的校验和计算被用于根据中间输出数据来计算该中间输出数据的校验和。如果第一处理方法和第三处理方法以及校验和计算被正确地执行，则在步骤S4中所确定的校验和对应于在步骤S2中所确定的、输出数据的校验和。

为了防止中间输出数据和校验和在存储器3中作为共同的数据包或彼此以规定的关联可用以及防止由控制系统1不正确地发送，优选地在执行了步骤S3后不将中间输出数据存储在存储器3中，而是仅缓存在微处理器的寄存器中或与存储器3分开的高速缓冲存储器等等中，以及在步骤S4中确定了校验和之后删除，以便它们决不存在于存储器3中。这确保存储器3只有按照第三处理方法所确定的中间输出数据的校验和可用，而不是中间输出数据本身。

由于第一处理方法通过不同的途径获得输出数据，所以只有当处理是正确的时，输出数据和校验和才能彼此匹配，即只有当正确地执行了处理方法时，校验和才确认输出数据的有效性。

在步骤S5中校验和以及输出数据被彼此链接以形成数据包，然后按照步骤S6经由PROFIBUS 4被发送到要操作的机器5。在步骤S7中，机器5确定校验和是否与输出数据匹配，即校验和是否确认输出数据的有效性。如果是，则过程返回到步骤S1。

如果发现了错误，则机器5能经由PROFIBUS 4将该错误传输到控制系统1，以便控制系统1被自动关闭或停止处理。替代地，机器5能够在错误数据到达的情况下阻止从控制系统1接收另外的数据包以及能够自己关闭。

优选地，可以在控制系统1中使用相同的微处理器2来执行确定校验和是否确认输出数据的检验，这意味着，当出现了错误时控制系统1按照步骤S8自已关闭。

作为接口，控制系统1使用向外防护的协议、例如PROFISAFE，该协议能够被用于操作PROFIBUS 4。在这方面，使用不同的保护机制将数据打包成帧。通过对PROFISAFE协议的帧的最后检验来实现控制数据的有效性。如果检验是正确的，则可以释放并发送数据包。在错误的情况下，停止控制系统1。如果控制系统1中的错误将导致不正确的子结果并且也不阻止发送，则数据的接收机、即机器5能够在检验所使用的保护帧时检测到该错误并且能够相应地例如通过阻止控制系统1进一步发送错误的数据包来作出反应。

优选地使用相反逻辑来执行第一处理方法和第三处理方法，以便防止相同的方法步骤导致相同的错误输出数据。也可以使第一和第三处理方法以非常不同的方式执行相同的功能。这可以利用能够被用来以不同方式实现相同功能的数学整形方法来实现。

也可以在不预先确定中间输出数据的情况下直接根据输入数据计算例如校验和形式的测试数据项。这具有以下优点，即中间输出数据在控制系统中永不可用，以便中间输出数据不会被错误地链接到测试数据项以及不正确地作为数据包通过例如PROFIBUS 4被发送。

尤其是如果测试数据计算能够与第一处理方法的功能相链接以形成具有不同方法步骤的新处理方法，则这是可能的，其中在该新处理方法中与第一处理方法相同的处理步骤的数量尽可能小，并且尤其是零。

Claims (6)

1.一种用于在处理系统(1)中处理输入数据以便形成包含输出数据和测试数据项的数据包时识别错误的方法，其中形成所述测试数据项以便确认所述输出数据的有效性，其中连续地执行下列方法步骤：

-按照第一处理方法基于所述输入数据确定所述输出数据；

-按照第二处理方法基于所述输入数据确定所述测试数据项，其中按照第三处理方法基于所述输入数据确定中间输出数据，以及按照第四处理方法根据所确定的中间输出数据确定测试数据项，其中所述第一处理方法和所述第三处理方法通过不同途径实现相同的功能；

-在数据包中所述输出数据和所述测试数据项彼此链接，以及

-如果所述测试数据项不能确认所述输出数据的有效性，则在所述处理系统中识别出错误；

其特征在于，

在按照所述第四处理方法确定了所述测试数据项之后，删除所述中间输出数据。

2.如权利要求1所述的方法，其特征在于，所确定的测试数据项是所述输出数据的校验和。

3.如权利要求1或2所述的方法，其特征在于，以相对于所述第三处理方法的相反逻辑来执行所述第一处理方法。

4.如权利要求1或2所述的方法，其特征在于，在数据包中所述输出数据和所述测试数据项彼此链接之后传输该数据包，然后进行检验以确定，是否可以按照所述第二处理方法根据所述输出数据确定所述测试数据项，以便检验所述数据包的有效性。

5.一种处理系统(1)，用于在处理输入数据以便形成包含输出数据和用于确认该输出数据的有效性的测试数据项的数据包时识别错误，

具有处理单元(2)，该处理单元用于连续地执行处理步骤，以及在这种情况下按照第一处理方法基于所述输入数据确定所述输出数据，并且按照第二处理方法基于所述输入数据确定所述测试数据项，其中确定所述测试数据项包括按照第三处理方法基于所述输入数据确定中间输出数据以及按照第四处理方法根据所确定的中间输出数据确定测试数据项，所述第一处理方法和所述第三处理方法通过不同途径实现相同的功能，以及

具有存储器(3)，该存储器存储所述第一和第二处理方法的方法步骤，

其中如果所述测试数据项不能确认所述输出数据的有效性，则由所述输出数据和所述测试数据项形成的数据包的接收机(5)识别出所述处理系统(1)中的错误，

其特征在于，

在按照所述第四处理方法确定了所述测试数据项之后，所述处理单元(2)删除所述中间输出数据。

6.如权利要求5所述的处理系统(1)，其特征在于，设置有针对所述接收机(5)的传输单元(4)，用于传输由所述测试数据项和所述输出数据形成的数据包。

Images