CN1574848B

CN1574848B - 用于确保最长容许反应时间的方法和数据处理系统

Info

Publication number: CN1574848B
Application number: CN2004100473355A
Authority: CN
Inventors: 卡斯滕·迈尔-格拉费; 约翰尼斯·卡尔霍夫; 斯蒂芬·霍恩; 维克托·奥斯特; 奥利弗·施塔尔曼
Original assignee: Phoenix Electric Manufacturing Co
Current assignee: Phoenix Electric Manufacturing Co
Priority date: 2003-06-03
Filing date: 2004-06-02
Publication date: 2011-12-28
Anticipated expiration: 2024-06-02
Also published as: CN1574848A; EP1484679A3; DE10325263A1; US20040243728A1; JP2005045772A; DE10325263B4; US7802150B2; JP4247791B2; EP1484679B1; EP1484679A2

Abstract

复合或分布式安全和/或不安全系统中确保最长反应时间为了在数据处理系统内，特别是在安全输入信号(IN)与相应的安全输出信号(OUT)之间确保最长反应时间，在每个数据周期期间，同步读取出现在该系统所包含的用户的输入侧(11、13、14、21、22、23、M、USR1、USR2)上的输入和/或输出数据，相对于传播参数(123)，检验已经读取的输入和/或输出数据(IN，OUT)，该传播参数(123)至少基于一个数据周期，而且与或者可以与已经读取的输入和/或输出数据有关，响应达到至少一个传播参数与规定的传播阈值之间规定的差异，识别错误，并响应错误的识别，触发规定的功能，特别是面向安全的功能。

Description

用于确保最长容许反应时间的方法和数据处理系统

技术领域

本发明涉及一种在数据处理系统中特别是在安全输入信号与相应安全输出信号之间确保最长反应时间的方法和系统。

背景技术

在通信数据处理系统或设备中，消息形式的数据通常仅在特定时间或特定时间内有效，因为特别是对于与安全性有关的输入/输出信号，需要观测规定的反应时间(reaction time)。

根据现有技术，为此，通常在发射机与接收机之间进行延迟时间监测。关于接收机端的延迟时间监测，在发射机和接收机均需要跟踪该时间的情况下，发射机对该时间附加适当时间信息项。关于发射机端的监测，通过返回确认信号，向发射机确认收到该数据，这还允许监测正确数据序列。

假定数据传输包括以正确时序、连续发射的信号，德国专利说明书DE-101 02 435-C2还公开了一种一方面确保检验安全数据传输，另一方面还在传输后续信号过程中确保最长可能或可行延迟的方法。这包括具体建议，通过响应两个连续信号之间的最短历时以及响应接收单元发出的而被发射机端接收的确认信号，仅启动发送后续信号，互相进行通信的数据处理单元发送数据。

发明内容

本发明的目的是提供一种与已知现有技术相比，在包括复合或分布式的安全和/或不安全系统的数据处理系统内，特别是在安全输入信号与相应的安全输出信号之间，以灵活通用可应用方式，确定、检验和/或观测最长反应时间(maximum reaction times)的显著改进的新颖方式。

仅利用具有所附独立权利要求的特征的主题内容，本发明可以非常令人惊奇地实现该目的。

优点和/或优选实施例和改进是各从属权利要求的主题内容。

根据本发明建议的方法，本发明的方法包括：在每个数据周期期间，同步读取出现在该系统所包含的用户的输入侧上的输入和/或输出数据，相对于传播参数，检验已经读取的输入和/或输出数据，该传播参数至少基于一个数据周期，而且与或者可以与已经读取的输入和/或输出数据有关，响应达到至少一个传播参数与规定的传播阈值之间规定的差异，识别错误，并响应错误的识别，触发规定的功能，特别是面向安全的功能，因此能够首先直接监测输入/输出信息处理过程，以系统为特定基础，该处理过程是连续的，以及/或者在正确时序进行该处理过程，而且能够根据此，用户可以独立确保最长反应时间。

因此，特别是在没有相应当前输入信息可用时，例如对于相应安全输出信号的反应，在时限监测安全输入信号期间，本发明用于对其中重要的是确保特定输出采用规定的状态的系统。

在一个优选形式中，为了灵活、特别有效确保反应时间，根据应用特别传送的数据，特别是以固定的和可确定的间隔、周期和/或次数，包括横跨系统边界、智能单元和/或在该网络内，在每个数据周期期间检验已经读取的输入和/或输出数据。

为了使读取操作同步，本发明最好提供至少间歇性地发送到所有用户的广播和/或锁存(latch)信号。为了在所有影响单元尤其位于安全数据流上的情况下，有助于永久确保在发送和/或接收方向上的数据通路上、固定限制和/或某个数据确定的传送关系，对于实际实现过程，本发明可以有利地使用系统特定机构，该系统特定机构可以确保所有用户同时接收时钟信号/脉冲(CLOCK SIGNAL/PULSE)。

在本发明的一种改进中，在开始(总线)之后和/或发生错误之后，由特定用户实现同步，在一个优选实施例中，由主控用户实现同步。

根据优选实施例，如果利用循环移位寄存器进行同步数据接收，则特别是在采用联系总线特性时，每个用户便于在移位该数据后与所有用户同步接收CLOCK SIGNAL/PULSE，该用户可以接收输出数据，而且可以读取输入数据。

为了能够特别容易地利用对传输协议保留的位，对已经读取的输入和/或输出数据进行传播验证，至少设置一个具有驱动器型装置的智能单元，它可以对要读取的数据分配传播参数，所述传播参数是唯一的而且/或者能够与固定时间和/或周期结构相关联。

在这方面，一种优选改进，在每个数据周期，利用例如特定用户，例如主控用户的传播参数，提供待发送到所有读取用户，例如从动用户的基于周期的值，例如，循环顺序号，在对已经读取的数据进行了处理之后，为了进行验证，在后续数据周期，主控用户接收从动用户发送的所述基于周期的值。

根据另一种优选改进，对于读取操作的时间，每个用户同时对(有效)数据周期进行计数。这方面的基本优点是，可以容易地将已经读取的基于输入和/或输出数据的数据转发至多规定次数的计数数据周期，否则识别错误。在这种情况下，最好对每个用户再一次转发数据以将读取操作本身的(数据周期)时间附加到已经根据传播参数获得的读取时间作好准备。

因此，本发明最好包括其中在用户专用数据处理过程和/或转发过程之后，将数值或数据项作为传播参数返回产生该数值或数据项的用户，或者由读取用户，特别是输出用户本身进行传播评估。

由于传播评估尤其基于处理已经读取的数据所需的时间，所以可以以极有效的方式进行检验，以确定在包括主控用户处理输入数据以产生输出数据的规定的/可规定的最长时间内是否发生了用户特定数据处理和/或转发。

以应用为特定基础，还响应产生传播参数的用户和/或相应读取用户，特别是输出用户或具有有关输出模型的用户正确识别的最长反应阈值，对待进行的规定测量，特别是安全测量作好准备。

例如，在实现本发明时，如果在规定的/可规定的最长时间内，确保由选择的用户，最好由主控用户处理输入数据以产生输出数据，则同步接收信息意味着，这样可以使输出用户对已经读取的输入信息项独立确定和/或监测容许的最长正常工作时间。

因此，知道已经读取的、在特定周期内接收的、已根据来自先前数据周期的输入数据计算的数据的用户可以将与该用户相关的监视器复位到最后一个数据周期的时间。

由于用户可以包括输入用户和输出用户和/或主控用户和从动用户，所以从本质上说，在例如能够以类似于令牌环的方式转发主控用户功能(master function)的情况下，本发明可以用于任何数据处理系统。

为了实现本发明，因此，至少一个用户具有评估单元和反应比较设备，在一个优选实施例中，用户或各用户具有产生传播参数驱动器型装置。

如果根据本发明修改的数据处理系统还包括系统耦合器，则分割与该系统耦合器有关的监测时间，因为系统耦合器既实现下层系统中的主控用户的功能，又实现上层系统中的从动用户的功能。

因此，极灵活的变化选择意味着，本发明可以优先应用于数据处理系统，在该数据处理系统中，利用主控用户进行，或者在没有主控用户直接位于两个从动用户之间的情况下进行将数据从一个从动用户转发到另一个从动用户并且/或者用于改变数据的通信。

作为进一步的优选实施例，本发明尤其包括其中主控用户是安全控制器和/或从动用户具有安全数字/模拟输入和/或安全数字/模拟输出和/或具有安全和/或常规用户的混合，该安全和/或常规用户的混合具有和/或不具有在同一条总线上的时间信息。

附图说明

将参考附图利用下面的优选实施例作为例子，说明本发明，附图包括：

图1通过示出大大简化的用于操作自动设备的系统的基本简图，示出本发明的第一优选实施例，该系统包括多个分别具有相关智能单元的本发明的用户部件。

图2示出用于说明本发明的进一步优选实施例的主系统/从系统的高度简略主/从系统。

图3示出根据本发明的基于主/从设计的数据周期的简化流程图。

具体实施方式

本说明书首先参考图1，图1示出作为本发明的基础的、用于操作自动设备的标准网络设备(installation)的各单元的高度简化示意图。

根据这种数据处理系统，至少一个输入用户或与用户有关的输入模块最好读输入数据。在输出用户或与用户有关的输出模块进行处理后，输出这些数据，作为输出数据。可以由同一个用户进行处理，或者在转发了输入数据后，由另一个用户进行处理，该用户在为了产生输出数据而处理了输入数据时，输出所述输出数据或者将它们传送到另一个用户进行输出。

具体地说，图1示出包含在标准网络系统内而且分别具有智能单元1、2、3、4或5的多个用户11、12、13、14和15，智能单元1、2、3、4或5是为规定的应用设置的，而且/或者它们位于网络内的规定位置。

因此，与用户11、12、13、14和15有关的智能单元1、2、3、4或5最好包括诸如传感器和/或致动器的特定设备部件，而且还具有用于正确进行用户特定数据处理的有关逻辑单元(未详细示出)。

在图1中作为例子示出的应用中，至少与用户12有关的智能单元2包括驱动器型装置122，驱动器型装置122产生以唯一形式可用而且在较长数据时间内位于定时帧内的交替数据123作为传播参数。

为了监测并/或者建立安全输入数据和相应安全输出数据之间的反应时间，如箭头A所示，用户12同时将数值123发送到转发并/或者处理安全数据的所有智能单元，在本例中是发送到智能单元1、3和4。

然后，用于处理安全数据的用户11、13和14读取发送的数值123以及当前出现在相应数据周期内的安全输入数据和/或安全输出数据。在相应智能单元1、3和4进一步对被读取的这些数据进行处理和/或转发时，将事先以正确方式分配的数值123发回数值产生用户12，如箭头B所示。用户12利用智能单元2内的评估单元124估计相应返回数值，以确定用于处理被读取以产生相应安全输出数据的安全数据的相应反应时间。

根据确定的反应时间，用户12可以开始进行适当测量。特别是，在超过规定的或可规定的最长容许反应时间后，开始启动面向安全的测量。

此外，最长容许反应时间之后，如果至少一个发送数值123还未被发回，则优先为用户识别错误作好准备。

在这方面，根据图1设置的网络系统中的、用于产生并发送特别是基于数据周期和/或处理周期的数值123的本发明机构必然确保同步广播响应，对位于安全数据流上的所有影响用户，该同步广播响应用于确保发送和/或接收方向上的数据通路上的、在固定限制(limit)和/或特定时间确定的传送关系。

正如以下参考图2和3对变换实施例所做的说明，以应用为特定基础，本发明方法可以与不同的数据处理网络和/或系统的多样性相匹配，以检验、建立和/或观测反应时间，或者可以以：集中形式，例如在计算机系统及其设计内；本地形式，例如在总线系统；或者本地连接形式，例如使用系统边界上的系统耦合器、变换器和/或路由器，根据相应安全和/或不安全结构修改本发明方法。

图2概括示出具有用作主控用户(master)的用户21和两个用作从动用户(slave)的用户22和23的主/从循环移位总线。在这方面，用户22是从外围区域读取输入数据，如箭头IN所示，并将相应输入数据或IN数据转发到主控用户21的输入用户，主控用户21进行安全和/或不安全处理以产生输出数据或OUT数据。当主控用户21已经处理了IN数据以产生OUT数据，将这些数据传送到从动用户22和23，随后，读取了OUT数据的输出用户23将相应数据输出到适当外围区域，如箭头OUT所示。

以网络和/或系统为特定基础，在所有用户21、22、23被指示同时接收数据的情况下，在采用循环移位寄存器R的数据周期中，将要处理的数据传送到在系统中所包含的用于数据处理的所有用户21、22和23。

以网络为特定基础，还可以以另一种方式实现同步。因此，作为例子，基于系统的以太网可以用于将广播信号用作一种锁存信号或时钟信号/脉冲，以命令进行数据接收。

假定在正确操作期间，在规定的/可规定的最长时间内，进行相应的数据处理操作，即，本质上的用户特定数据处理操作和/或数据转发操作，也就是说，特别是，在规定的/可规定的最长时间内，主控用户21处理IN数据以产生OUT数据，因此，本发明基本上可以使任何用户21、22和23，特别是优先使输出用户23确定已经读取的信息的最长使用期限，并因此监测其传播(currency)。因此，反应时间实际上形成OUT数据与IN数据之间的直接时间关系，而无需利用传输协议发送附加信息。

例如，如果对于专门用于监测各用户、通过系统边界的传输、各总线故障和/或不正确同步操作的应用，需要附加信息，则在传输协议中需要为此而设置一个或者多个位。

因此，例如，如果由于总线电缆发生中断，用户识别已经读取的数据不再有效，也就是说，数据传播的最长时间已经过去，则将特定输出转换为安全状态。因此，确保在规定的反应时间内进行特定的、特别是面向安全的测量。

在基于此的第一优选实施例中，用户21、22和23分别同时对(有效)数据周期进行计数。在启动(总线)之后和/或发生错误之后，一个诸如主控用户21的特定用户最好通过适当信号实现同步。对于先前(有效)数据周期，用户21、22和23分别指出读取输入数据的时间，这实际上是设置相对时间基准。对应于过去的数据周期之间的长度的时间大小(dimension)便于用于读取时间。

作为例子，如果用户输入数据项来自先前数据周期，则该用户返回1，而如果来自该数据周期之前的数据周期，则它返回2。然而，这仅在最大大小(magnitude)以下是允许的，这意味着，在输入数据项的规定大小或可规定大小之后，认为后面的太旧了。

根据一个优选实施例，如果传播数值或参数7例如包括自动假定该数据太旧了，则对于该时间信息，3位足够了，而且用户21、22和23可以分别精确计算该数据多旧，以及该数据是否仍足够新。在再一次转发数据的每个用户，例如处理输入数据以产生输出数据的主控用户21将其自己的处理时间附加到由传播数值获得的读取时间并由此转发相应新传播数值的情况下，由此可以推定，不比6个数据周期旧的数据被转发。

在基于图2的第二优选实施例中，主控用户21将传播数值或参数发送到从动用户22和23作为每个OUT数据集的附加物。在同一个周期内，主控用户21从从动用户22和23接收指示传播数值的输入信息。因此，在正确操作期间，从动用户22和23发送的、具有该输入信息的传播数值需要与先前周期该主控用户发送到从动用户22和23的传播数值相同。

在另一个优选实施例中，特别是在利用联系总线(interbus)的特性时，在该数据被移位后，从动用户22和23接收用于指示用户22和23可以接收OUT数据的信号，主控用户21读取IN数据。所有用户同步接收该信号，也就是说，以目标无关信号的形式接收该信号(TIC-目标无关信号)。

附加参考图3概括示出的连续数据周期的流程图，在第一数据周期D1和/或在标识(ID)周期之后，主控用户M将0发送到所有从动用户USR1和USR2。该0用于同步。如果在总线操作过程中数据周期D1是ID周期之后的周期，则在该数据周期D1，从动用户USR1和USR2发送0或其最后一个计数器读数。

在下一个数据周期D2，也就是说，在从动用户USR1和USR2从主控用户M收到0后，从动用户USR1和USR2返回0。在D2，主控用户M发送第一时间值01。

在时间值或标记0被发送的消息内的DATA值是状态信息项，而且不是与从动用户USR1和USR2的外围输入和/或输出有关的值。因此，在每个不正确同步操作之后或者在错误之后，可以发送错误信息。

在下一个数据周期D3，也就是说，在从动用户USR1和USR2从主控用户M收到第一时间值01后，从动用户USR1和USR2返回具有有效数据(gD)的该第一时间值01。在D3，主控用户M分别对从动用户USR1和USR2发送第二时间值02。此外，在该周期D3，安全从动用户USR1和USR2同时发送其此时有效的输入信息。因此，该总线上的每个用户，即所有从动用户USR1和USR2以及主控用户M记录(note)该时间。

直到下一个周期D4为止，主控用户M已经从最后一个输入信息中获得了所有输出信息。然后，在下一个周期D4，与下一个时间信息项03一起，该输出信息被发送到每个从动用户USR1和USR2作为结果。由于总线上的从动用户USR1或USR2知道已经根据最后一个数据周期D3的输入信息计算了被读取的、在该周期D4被接收的其输出信息，所以可以将其监视器(watchdog)WD复位到最后一个数据周期D3的时间。

如果此时各周期发生故障，或者如果用户未及时作出反应，则至少一个从动用户或该主控用户发送0或FF或另一个可定义值，以便再一次首先执行同步操作，因此，所有用户M、UST1和USR2知道其输出信息来自失效输入信息。如果对于输出用户或其有关输出模块，该输出信息比所容许的更陈旧，则后面的安全地自动断开，或者执行面向安全的功能。

对用户M、USR1和USR2分别提供其自己的监测时间。这不需要主控用户M进行集中监测。也不需要根据该协议同时发送时间。

作为上述例子的变型，另一个优选实施例包括分别独立计数的USR1和USR2。

特别是，为此，建议在初始化检验后每个用户USR1和USR2以1作为时间(TIME)传播参数开始并在每个周期递增，而主控用户M仅在它处理了从动用户USR1和USR2发出的第一数据后以1开始，即，从动用户发送该1后的一个周期开始。因此，用户M、USR1和USR2均允许偏移1。

因此，TIME＝0意味着，消息内的其他数据可以不用于IN数据或OUT数据，而TIME<>0意味着，可以将该消息内的其他数据看作IN数据或OUT数据。

在这方面，如果再一次优先使用联系总线特性，则在该数据被移位后，每个用户M、USR1和USR2接收指出用户现在不能接收OUT数据而且/或者IN数据被读取的信号。

在ID周期之后的第一数据周期，主控用户M发送对从动用户USR1和USR2有效、分别对应于反复升高的计数器读数的各传播(currency)参数。在ID周期之后的第一数据周期，从动用户USR1和USR2发送其相应有效计数器读数作为传播参数。

接通(再一次)该系统后，即，特别是接通(加电)或者重新启动(复位)主控用户M后，主控用户M将用于同步的0发送到所有从动用户USR1、USR2。如果从动用户USR1和USR2被接通(加电)或者被重新启动(复位)，则在接通之后的第一数据周期，从动用户同样发送0。如果从动用户USR1和USR2未收到接通或者重新启动指令，则它们发送其最后一个计数器读数作为传播参数。

当从动用户USR1、USR2从主控用户M收到0时，从动用户USR1、USR2在下一个数据周期返回0。

一旦主控用户M或从动用户USR1、USR2发送了0，则两者在初始化阶段保持，直到该阶段完成，因为两个单元使其有效。

在该周期，主控用户M将第一传播参数分别发送到每个从动用户USR1和USR2。其中发送时间标记0的消息内的DATA值是状态信息项，而不是外围输入或输出的值。因此，对于每个错误或对于每个不正确的同步操作，又可以同时发送错误信息了。

然后，在下一个数据周期，从动用户USR1和USR2将事先从主控用户M接收的第一传播参数返回主控用户M。此后，主控用户M相应地对每个从动用户USR1或USR2发送第二传播参数。在该周期，从动用户USR1或USR2同时发送其此时有效的输入信息。因此，总线上的每个从动用户USR1和USR2记录与传播参数有关的时间。

直到下一个周期为止，主控用户M再一次从最后一个输入信息中获得所有输出信息。然后，在下一个数据周期，利用下一个传播参数，将该输出信息发送到每个从动用户USR1和USR2。由于从动用户USR1、USR2知道已经根据最后一个数据周期的输入信息计算了利用该周期接收的其输出信息，所以可以将其监视器复位到最后一个数据周期的时间。

如果此时各周期发生故障，或者如果用户未及时作出反应，则作为例子，相应从动用户或主控用户发送0或FF或另一个可定义值作为传播参数，以便再一次首先执行同步操作，因此所有用户知道其输出信息来自失效输入信息。如果对于输出用户或其有关输出模块，该输出信息比所容许的更陈旧，则后面的安全地自动断开，或者执行面向安全的功能。

对从动用户USR1和USR2分别提供其自己的监测时间。这不需要安全控制器进行监测。也不需要根据该协议同时发送绝对时间信息项。

因此，对于上述两种应用基本上可以确保无错误操作，因为只要主控用户M在下一个周期同步执行该协议即可。在下一个周期，新输出信息是可用的，而且所有输入用户或模块同步提供其输入信息。

从图3可以看出，本发明还可以用于其中主控用户M是安全控制器和/或采用系统耦合器的所有系统，在这种情况下，分割监测时间，因为在这种情况下，系统耦合器既是下层(underlying)系统的主控用户M，又是上层系统的从动用户。

因此，对于下层系统的输出，对系统耦合器设置各监测时间，而且对于下层系统的输入，对系统耦合器设置监测时间。这样，需要适当降低关于下层系统中输出用户及其输出模块的监测时间。然而，从时间的观点出发，在本质上，这是不重要的，因为来自上层系统或下层系统的安全输入通常始终比直接连接到总线的输入慢。

尽管以上根据几个优选实施例对本发明进行了说明，但是本技术领域内的技术人员明白，本发明包括在所附权利要求所述的保护范围内所作的修改。

因此，本发明还特别包括其中具有和/或不具有时间信息的安全和/或正常用户混合出现在同一条总线上、在主控用户和/或一个或者多个从动用户上处理数据，以及/或者该系统不是主/从系统，而是其中作为例子以类似于令牌环的方式转发主控用户功能的系统的各种改进。

此外，不必始终通过主控用户进行通信。作为一种选择，对于本发明的应用，在主控用户不直接位于从动用户之间的情况下和/或通过将一个从动用户发出的数据转发到另一个从动用户而不改变它们的主控用户，可以进行通信。此外，用于本发明应用的从动用户还可以具有安全数字/模拟输入和/或安全数字/模拟输出。

因此，本发明本质上可以用于其中可以确保所有用户在同一瞬时接收一种“时钟信号”或“脉冲”，而且其中特别重要的是如果不存在当前输入信息，则各输出采用规定的状态的所有数据处理系统。

Claims

1.一种用于在数据处理系统内，在安全输入数据与相应安全输出数据之间，确保最长容许反应时间的方法，其中：

在每个数据周期期间，同步读取出现在该系统所包含的多个用户(11、13、14、21、22、23、M、USR1、USR2)的输入侧上的传播参数以及在相应数据周期内的所述安全输入数据和/或所述安全输出数据，

相对于所述传播参数(123)，检验已经读取的所述安全输入数据和/或所述安全输出数据，确定和/或监测用于处理所述安全输入数据以产生所述安全输出数据的反应时间，该传播参数(123)至少基于一个数据周期，与或者将与已经读取的所述安全输入数据和/或所述安全输出数据相关，

响应达到所述传播参数与规定的传播阈值之间规定的差异，识别错误，并响应错误的识别，触发规定的面向安全的测量。

2.根据权利要求1所述的方法，其中，附加地，在每个数据周期期间执行检验步骤。

3.根据权利要求1-2之一所述的方法，其中，附加地，利用至少间歇性地由一个用户发送到所有用户的同步信号，使读取操作同步。

4.根据权利要求3所述的方法，其中，利用主控用户至少间歇地发送到所有从动用户的同步信号同步所述读取操作。

5.根据权利要求1所述的方法，其中，附加地，当系统启动时和/或在发生基于系统和/或用户的错误后，发送同步信号。

6.根据权利要求1所述的方法，其中，附加地，通过利用数据周期，对所有用户发送广播和/或锁存信号，使读取操作同步。

7.根据权利要求1所述的方法，其中，附加地，每个用户同时计数有效数据周期，以及/或者一个用户传送传播参数并且传送要读取的数据。

8.根据权利要求7所述的方法，其中，附加地，通过使读取操作自身的时间与根据传播参数获得的读取操作时间相加，转发数据的每个用户识别错误。

9.根据权利要求1所述的方法，其中，附加地，用户估计传播参数以确定和/或监测所述最长容许反应时间。

10.根据权利要求1所述的方法，其中用户处理输入数据，以在规定的/可规定的最长容许反应时间内产生输出数据。

11.根据权利要求1所述的方法，其中，附加地，响应在正确时序读取基于安全输入数据的安全输出数据，复位用户指定的作为传播参数的计数器和/或监测时间。

12.根据权利要求1所述的方法，其中，附加地，集中或者在本地监测传播参数。

13.一种数据处理系统，所述系统包含多个用户，所述多个用户分别具有智能单元，其中至少一个用户的智能单元具有用于产生交替的传播参数的驱动器型装置，该交替的传播参数以唯一方式和/或在可定义的周期内的固定时间和/或周期结构可用，并且所述至少一个用户的智能单元具有用于估计传播参数的单元，

其中，该系统所包含的多个用户(11、13、14、21、22、23、M、USR1、USR2)能够在每个数据周期期间同步读取出现在它们的输入侧上的传播参数以及在相应数据周期内的安全输入数据和/或安全输出数据，

其中，其智能单元具有用于估计传播参数的单元的所述至少一个用户能够相对于所述传播参数(123)，检验已经读取的所述安全输入数据和/或所述安全输出数据，确定和/或监测用于处理所述安全输入数据以产生所述安全输出数据的反应时间，该传播参数(123)至少基于一个数据周期，与或者将与已经读取的所述安全输入数据和/或所述安全输出数据相关，以及

其中，其智能单元具有用于估计传播参数的单元的所述至少一个用户能够响应达到所述传播参数与规定的传播阈值之间规定的差异，识别错误，并响应错误的识别，触发规定的面向安全的测量。

14.根据权利要求13所述的系统，其中所述多个用户包括安全和/或不安全用户，所述安全和/或不安全用户包括输入用户，输出用户和与输入和/或输出模块相关的用户，而且具有安全数字/模拟输入和/或安全数字/模拟输出。

15.根据权利要求13所述的系统，其中所述多个用户至少包括一个主控用户和多个从动用户，利用两个直接通信的或者通过主控用户通信的从动用户，输入数据被处理以产生输出数据，并且/或者产生的数据可以通过主控用户从一个从动用户转发到另一个从动用户，而没有改变，并且/或者主控用户功能可以传递。

16.根据权利要求15所述的系统，其中主控用户是安全控制器和/或系统耦合器。

17.根据权利要求13所述的系统，其中，附加地，每个用户具有至少一个监测时间。

18.根据权利要求13所述的系统，其中在具有和不具有时间信息情况下，所述多个用户以混合方式存在于同一条总线上。

19.根据权利要求18所述的系统，其中，所述总线是环形总线。