DD159681A1 - Hierachisch aufgebautes redundantes informationsverarbeitungssystem - Google Patents

Abstract

Die Erfindung betrifft eine Schaltungsanordnung zur Prozeßautomatisierung mittels eines hierarchisch aufgebauten redundanten Informationsverarbeitungssystems. Die erfindungsgemäße Schaltungsanordnung ist auf den Gebieten anwendbar, wo hohe Sicherheits- und Zuverlässigkeitsforderungen bestehen. Ziel der Erfindung ist es, die Sicherheit und Zuverlässigkeit eines hierarchisch aufgebauten redundanten Informationsverarbeitungssystems zu erhöhen. Mit der erfindungsgemäßen Lösung wird bei ökonomisch vertretbarem Aufwand für komplexe Steuerungssysteme, wie sie z. B. in Kernkraftwerken, in Chemieanlagen und in der Eisenbahnsicherungstechnik auftreten, eine hohe Sicherheit und Zuverlässigkeit erreicht. Dies insbesondere dadurch, daß der Datenvergleich soft- oder hardwarenmäßig nach dem "2 von 2"-Prinzip organisiert wird und das einer Gruppe von Teilsystemen je nach den Zuverlässigkeitsanforderungen eine festgelegte Anzahl von Reservesystemen zugeordnet wird.

Description

231189 3

Hierarchisch aufgebautes redundantes Informationsverar-

beitungssystem

Anwendungsgebiet der. Erfindung .

Die Erfindung betrifft eine Schaltungsanordnung zur Prozeßautomatisierung mittels eines hierarchisch aufgebauten redundanten Informationsverarbeitungssystems. Die erfindungsge<mäße Schaltungsanordnung ist auf den Gebieten anwendbar, wo hohe Sicherheits- und Zuverlässigkeitsforderungen bestehen.

Charakteristik der bekannten technischen Lösungen Bekannt ist eine Schaltungsanordnung (DE-OS 2612 100) für eine digitale Datenverarbeitung mit in zwei Kanälen vorgesehenen Baugruppen, die durch eine gemeinsame Taktstromversorgung schrittweise gesteuert werden. Bei jedem Verarbeitungsschritt wird außer mehreren Steuersignalen ein Überwachungsimpuls ausgegeben'· Dieser Überwachungsimpuls dient zum Abfragen von in Reihenschaltung vorgesehenen Vergleichern. Beim Vorhandensein von ordnungsgerechten Signalpaaren wird der Überwachungsimpuls als Fehlerfreimeldung zum Auslösen der für den nächsten Verarbeitungsschritt erforderlichen Steuersignale und ein weiterer Überwachungsimpuls an die Taktstromversorgung ausgegeben. Nachteilig bei dieser Lösung ist, daß der Vergleich hardwaremäßig (bitweise) durchgeführt wird. Weiterhin sind zusätzliche Einrichtungen zur Takterzeugung und Taktübertragung erforderlich. Weiterhin ist eine Digitalrechnervorrichtung, bestehend aus zwei gegenseitig. . umschaltbaren Rechnerkombinationen bekannt (DE-OS 2915 401). .Der redundante Rechner in der Kombination dient nur

31189 3

zum Vergleich und ein Rechner arbeitet auf den Ausgang, wobei zwischen dem Ausgang des ersten Rechners und dem Ausgang des zweiten Rechners ein Bit-um-Bit^-Vergleich durchgeführt wird. Die Anzahl der Gleichheit bzw. Ungleichheit wird gezählt, und bei einem bestimmten Stand erfolgt die Meldung und eine Umschaltung bzw. Blockierung der am technologischen Aggregat arbeitenden Zweirechnergruppe· Bei komplexen Systemen mit mehr als einem.Doppelrechnersystem ist diese Lösung ökonomisch sehr aufwendig, da für jedes Doppelrechnersystera ein gleichartiges redundantes System vorgesehen ist.

Weiterhin ist ein Mehrrechnersystem zur Steuerung von trassengebundenen Verkehrsmitteln bekannt (DB-AS 2725 922), bei dem alle Rechner die gleiche Information asynchron verarbeiten, wobei die Ergebnisinformationen zur Prüfung auf Fehler erst am Ende eines Rechenzyklus miteinander verglichen werden» Zur Sicherstellung der asynchronen Arbeitsweise werden die Infor* mationen den einzelnen Rechnern .zeitlich versetzt zugeleitet. Die ausgegebenen Daten der einzelnen Rechner werden mittels einer Vergleichs- und Durchsehalteinrichtung überprüft. Der Vergleich wird erst durchgeführt,.wenn die Mehrheit der Rechner zu einem Ergebnis gelangt.ist. Dies wird durch eine logische Schaltung durchgeführt, die nicht redundant aufgebaut ist, so daß Fehler, die innerhalb der.logischen Schaltung auftreten können, nicht erfaßt werden.

Ziel der Erfindung

Ziel der Erfindung ist es, die Sicherheit und Zuverlässigkeit eines hierarchisch aufgebauten Informationsverarbeitungssystems mit vertretbarem ökonomischen Aufwand durch Redundanz zu erhöhen· .

Darlegung des Wesens der Erfindung

Der Erfindung liegt die Aufgabe zugrunde, ein hierarchisch aufgebautes redundantes Informationsverarbeitungssystem zu entwickeln, wobei die Einzelsysteme nach dem "2 von 2" Prinzip arbeiten und für das Gesamtsystem das Prinzip der

2 3118 9 3

gleitenden Redundanz angewendet wird.

Erfindungsgemäß wird die Aufgabe dadurch gelöst, daß eine Bedien- und Anzeigevorrichtung an einer ersten und einer zweiten Bediensaramelleitung, die mit Leitrechnerpaaren verbunden sind, angeschlossen ist, wobei die Leitrechnerpaare durch eine Steuerleitung verknüpft sind. Die Leitrechnerpaare sind mit einer ersten und einer zweiten LeitSammelleitung, an denen die Bereichsrechnerpaare und ein Reserverechnerpaar angeschlossen sind, verbunden. Die Bereichsrechnerpaare sind über eine Steuerleitung mit einer Umsehaltlogik, die mit einem Reserverechnerpaar verbunden ist, verknüpft, und das erste Bereichsrechnerpaar ist mit einer ersten und einer zweiten Ausgabesammelleitung, das zweite Bereichsrechnerpaar mit einer dritten und einer vierten Ausgäbesammelleitung und das n-te Bereichsrechnerpaar mit einer (2n-1)-ten und einer 2n-ten Ausgabesammelleitung und das Reserverechnerpaar mit der ersten bis 2n-ten Ausgabesammelleitung verbunden. An der ersten bis 2n-ten Ausgabesammelleitung sind Prozeßelemente angeschlossen.

In Ausgestaltung der erfindungsgemäßen Lösung besteht das erste Leitrechnerpaar und die Bereichsrechnerpaare aus zwei parallel angeordneten Einzelrechnern, denen jeweils eine Ein-/ Ausgabe-Einheit- vor- bzw. nachgeordnet ist. Die Einzelrechner sind bidirektional verknüpft bzw. über eine Steuerleitung an einem Oder-Baustein, an dem eine externe Steuerleitung anliegt, angeschlossen. Deir Ausgang des Oder-Bausteins ist mit einem Reservesystem und mit einer ersten und einer zweiten Sammelleitungssteuerung, die jeweils zwischen den untergeordneten Sammelleitungen und der den Einzelrechnern nach- bzw. vorgeschalteten Ein-/Ausgabe-Einheiten zwisehengeschaltet sind, verbunden.

In weiterer Ausgestaltung der Erfindung bestehen die weiteren Leitrechnerpaare jeweils aus zwei parallel angeordneten Sinzelrechnern, denen jeweils eine Ein-/Ausgabe-Einheit vor- bzw. nachgeordnet ist. Die Einzelrechner sind direkt bidirektional

231 189 3

verknüpft bzw, über Steuerleitungen an einem Oder-Baustein angeschlossen· '

Der Ausgang des Oder-Bausteins ist mit einem Reservesystem und dem invertierenden Eingang eines Nor-Bausteins, an dessen erstem Eingang das Umsehaltsignal des ersten Leitrechners anliegt, zusammengeschlossen· Der Ausgang des Nor-Bausteins ist mit einer ersten und einer zweiten Sammelleitungssteuerung, die jeweils zwischen den LeitSammelleitungen und der den Einzelrechnern nach- bzw. vorgeschalteten Ein-/Ausgabe-Einheiten zwischengeschaltet sind, verbunden.

Ist die Leitrechnerebene aus nur einem einzigen Leitrechnerpaar aufgebaut, so besteht das Leitrechnerpaar aus zwei parallel angeordneten Einzelrechnern, denen jeweils eine Ein-/Ausgabe-Einheit vor- bzw. nachgeordnet ist. Zwischen der Leitsammelleitung und der den Einzelrechnern vor- bzw. nachgeordneten zweiten und vierten Ein-/Ausgabe-Einheit ist eine erste und eine zweite Sammelleitungssteuerung zwischengeschaltet, wobei der zweite Eingang eines ersten Und-Bausteins und der Ausgang eines zweiten Und-Bausteins mit der zweiten Ein-/Ausgabe-Einheit und der ersten Samraelleitungssteuerung verbunden sind· An dem invertierenden ersten Eingang des ersten Und-Bausteins liegt ein erstes Umsehaltsignal US 14.2 an. Der Ausgang des ersten Und-Bausteins und der zweite Eingang des zweiten Und-Bausteins ist mit der vierten Ein-/Ausgabe-!-Einheit und der zweiten SammelXeitungssteuerung verbunden, wobei am invertierenden ersten Eingang des zweiten Und-Bausteins ein zweites Umschaltsignal US 14*1 anliegt.

Ausführungsbeispiel

Die Erfindung soll am nachstehenden Ausführungsbeispiel näher erläutert werden.

Die beiliegenden Zeichnungen zeigen:

Pig. 1: Hierarchisch aufgebautes redundantes Informationsverarbeitungssystem

Fig. 2: "2 von 2"-Strukturen für das erste Leitrechnerpaar - und die Bereichsrechnerpaare

Fig. 3: "2 von 2"-Strukturen für die Leitrechnerpaare 1*2,...,1.JTi

2 3118 9 3

Pig. 4: Aufbau der Leitrechnerebene bei nur einem Leitrechnerpaar

Die Leitrechnerpaare 1.1 und 1.2 (Fig. 1) erhalten über die Bediensammelleitungen Signale zur Einleitung von Steuerungsabläufen und geben über die gleichen Sammelleitungen Meldungen zur Betriebsführung (Betriebsinformationen, Störungsinformationen u. a.) an die übergeordneten Anzeigeeinrichtungen 3. In den beiden Leitrechnerpaaren 1.1 und 1.2 werden die gleichen Algorithmen (es können jedoch unterschiedliche Programmversionen sein) abgearbeitet, so daß sich im störungsfreien Betrieb die gleichen Ausgabesignale ergeben, wobei nur von einem Leitrechnerpaar (z. B. 1.1) Signale auf die Bedien- bzw. Leitsammelleitungen ausgegeben werden. Jedes Rechnerpaar 1.1, 2.1 und 2.2 enthält wieder 2 getrennte Einzelrechner 7.1 und 7.2 (siehe Fig. 2), die ebenfalls parallel die gleichen Algorithmen abarbeiten. Die Verbindung der Rechner mit den Sammelleitungen erfolgt über E/A-Einheiten 8.1,...,8.4, die die signalmäßige Anpassung bewirken. Die Sammelleitungen sind ebenfalls zweifach ausgeführt, so daß jeder der beiden Einzelrechner 7.1 und 7.2 nur mit einer Bedien- bzw. Leitsammelleitung verbunden ist und Leitungsstörungen sich nur auf einen Rechner auswirken. Der Daten^· verkehr auf den Leitsammelleitungen wird ebenfalls von den Einzelrechnern 7.1 und 7.2 organisiert (jeweils für eine Sammelleitung getrennt), wobei entweder die Rechner selbst diese Funktion realisieren oder separate Sammelleitungssteuerungen 10.1 und 10.2 (SLS in Fig. 2) vorhanden sind. Die Rechenergebnisse der beiden parallel arbeitenden Rechner 7.1 und 7.2 werden soft- oder hardwaremäßig verglichen (durch die bidirektionale Verbindung zwischen Rechner 7.1 und Rechner 7.2 in Fig. 2 symbolisiert). Bei einer festgestellten Ungleichheit erfolgt eine Umschaltung auf das Reserverechnerpaar 1.2 bzw. 6 (Fig. 1).

231189 3

Dieser Umschaltbefehl wird entweder von Einzelrechner 7.1 oder von Einzelrechner 7.2 (gestrichelte Verbindungen Pig. 2) gebildet. Über die Sammelleitungssteuerungen SLS 1 und SLS 2 > wird das Rechnerpaar 1.1 von den Sammelleitungen abgetrennt (zu den Bediensammelleitungen wird die Ausgabe blockiert) und das Reserveleitrechnerpaar 1.2 mit den Sammelleitungen verbunden. Diese Umschaltung kann auch über einen externen Umschaltbefehl eingeleitet werden (auch die Zurückschaltung z. B. nach einer erfolgten Reparatur). Die Struktur des Reserveleitrechnerpaares 1.2 ist in Fig. 3 dargestellt, wobei Abweichungen zum Leitrechnerpaar 1.1 nur bei der Umschaltlogik auftreten. Bei einer festgestellten Ungleichheit zwischen den Reserveleitrechnern kann ein weiteres Reservesystem an die Sammelleitungen geschaltet werden (durch gestrichelten Informationsausgang angedeutet) oder es erfolgt eine Meldung über die Nichtfunktionsfähigkeit der beiden Leitrechnerpaare , wobei die Ausgangskanäle' mit einem betriebssicheren Zustand zu.belegen sind bzw. eine Abtrennung beider.Leitrechnerpaare von den Sammelleitungen zu veranlassen ist. In Anlagen ohne Reserveleitrechnerpaar (z. B. aus zuverlässigkeitstechnischen und ökonomischen Abschätzungen nicht vertretbar) kann nach Fig. 4 ein umschaltbares Leitrechnerpaar gewählt werden. Die ordnungsgemäße Arbeitsweise erfolgt wie oben beschrieben. Bei einer.'festgestellten Ungleichheit ist durch spezielle Diagnosetests (automatisch oder mit Hilfe des Personals) der ausgefallene Rechner zu ermitteln, über den bidirektionalen Umschalter wird der fehlerfreie Rechner, auf beide Kanäle und damit beide Sammelleitungen geschaltet. Bei Ausfall des Rechners 14.2 erfolgt eine Umschaltung mittels des Umsehaltsignals US 14.2 bzw. bei.Ausfall des Rechners 14.1 mittels des Umsehaltsignals US 14.1. Auf der Seite der Bediensammelleitungen erfolgt für die Ausgangssignale eine analoge Umschaltung.

Durch diese Maßnahme-.arbeitet das Gesamtsystem weiter, jedoch ergibt sich in der Leitrechnerebene eine Reduzierung der

231189 3

Sicherheit, die aber in dieser Ebene vertretbar ist (es werden keine direkten Stellsignale für den technologischen Prozeß wie in der Bereichsrechnerebene gebildet). Den Leitrechnern untergeordnet sind die Bereichsrechner 2.1 und 2.2 (Pig. i).In diesen Rechnern werden die Steuerungsanweisungen von den Leitrechnern zu detaillierten Stellsignalen verarbeitet und über die Ausgabesammelleitungen zu den Prozeßelementen 5 geschaltet. Ebenso werden von den Prozeßelementen 5 Signale empfangen, ausgewertet und in evtl. verdichteter Form den Leltrechnern.1.1 und 1.2 übergeben. Jedes. Bereichsrechnerpaar (2,1 bzw. 2.2) ist nach Pig. 2 aufgebaut. Der Blockaufbau wurde oben beschrieben. Jedem Bereichsrechnerpaar 2.1 und 2.2 ist ein Ausgabesammelleitungspaar zugeordnet, während alle Bereichsrechnerpaare gemeinsam an dem Leitsammelleitungspaar angeschlossen sind. Pur eine Gruppe von Bereichsrechnerpaaren (Anzahl ist projektspezifisch festzulegen) ist ein Reserverechnerpaar 6 vorgesehen. Dieses Reserverechnerpaar 6 kann umschaltbar auf alle Ausgabesammelleitungspaare arbeiten und andererseits über die Leitsammelleitungen Informationen aufnehmen oder ausgeben. Die Umschaltbefehle von den Bereichsrechnerpaaren 2.1 und gehen zur Umschaltlogik 4 und werden dort logisch verknüpft und Signale zur Umschaltung des Reserverechnerpaares 6 auf ein der Ausgabesammelleitμngspaare-gebildet. Die Struktur ermöglicht es, auch mehrere Reserverechnerpaare anzuschalten. Entsprechende Ausgänge sind in Fig. 1 an der Umschaltlogik und dem Reservebereichsrechnerpaaf 6 angedeutet.

Claims (4)

1. 2 3118 9 3

   Erfindungsanspruch

   1. Hierarchisch aufgebautes redundantes Informationsverarbeitungssystem, bestehend aus Haupt- und Reserverechnern, gekennzeichnet dadurch, daß eine Bedien- und Anzeigevorrichtung (3) an einer ersten und einer zweiten Bediensammelleitung, die mit Leitrechnerpaaren (1.1;...;1.m) verbunden sind, angeschlossen ist, wobei die Leitreohnerpaare (1,1;··.;1.m) durch eine Steuerleitung verknüpft sind, die Leitrechnerpaare (1.1;··.;1.m) mit einer ersten und einer zweiten Leitsammelleitung, an denen Bereichsrechnerpaare (2.1;...j2.n) und ein Heserverechnerpaar (6) angeschlossen sind, verbunden sind, wobei die Bereichsrechnerpaare (2.1;...j2.n) über eine Steuerleitung mit einer Umsohaltlogik (4)» die mit einem Heserverechnerpaar (6) verbunden ist, verknüpft sind und das erste Bereichsrechnerpaar (2.1) mit einer ersten und einer zweiten Ausgabesammelleitung, das zweite Bereichsrechnerpaar (2.2) mit einer dritten und einer vierten Ausgabesammelleitung und das n-te Bereichsrechnerpaar (2,n) mit einer (2n-1)-ten und einer 2n-ten AusgabeSammelleitung und das Reserverechnerpaar (6) mit der ersten bis 2n-ten Ausgabesammelleitung verbunden ist und an der ersten bis 2n-ten Ausgabe Sammelleitung Prozeßelemente (5) angeschlossen sind.
2. 2. Hierarchisch aufgebautes redundantes Informationsverarbeitungssystem nach Punkt 1, gekennzeichnet dadurch, daß das erste Leitrechnerpaar (1.1) und die Bereichsrechnerpaare (2.1;...;2.n) aus zwei parallel angeordneten Einzelrechnern (7.1, 7.2) bestehen, denen jeweils eine Ein-/Ausgabe-Einheit (8.1;...;8.4) vor- bzw. nachgeordnet ist, wobei die Einzelrechner (7.1, 7.2) direkt bidirektional verknüpft bzw. über Steuerleitungen an einem Oder-Baustein (9), an dem eine externe Steuerleitung anliegt, angeschlossen sind und der Ausgang des Oder-Bausteins (9) mit einem Reservesystem (.6) und mit einer ersten und einer zweiten Sammelleitungssteuerung (10.1, 10.2), die jeweils zwischen den

   — 9 —

   231189 3

   untergeordneten Sammelleitungen und der den Einzelrechnern (7.1,7.2) nach- bzw. vorgeschalteten Ein-/Ausgabe-Einheiten zwischengeschaltet sind, verbunden ist.
3. 3. Hierarchisch aufgebautes redundantes Informationsverarbeitungssystem nach Punkt.1, gekennzeichnet dadurch, daß die Leitrechnerpaare (1 «2,.,*,1.jm) aus zwei parallel angeordneten Einzelrechnern (11.1,11.2).bestehen, denen jeweils eine Ein-/Ausgabe-Einheit (12.1,...,12.4) vor- bzw. nachgeordnet ist, wobei die Einzelrechner direkt bidirektional verknüpft bzw. über Steuerleitungen an einem Oder-Baustein (14) angeschlossen sind und der Ausgang des Oder-Bausteins (14) mit einem Reserveöystem und dem invertierenden Eingang eines Nor-Bausteins (15), an dessen ersten Eingang das Umschaltsignal des ersten Leitrechners (1.1) anliegt, zusammengeschlossen ist, wobei der Ausgang des Nor-Bausteins (15) mit einer.ersten und einer zweiten Sammelleitungssteuerung (13.1,13.2), die jeweils zwischen den Leitsammelleitungen und der den Einzelrechnern (11.1,11,2) nach- bzw. vorgeschalteten Ein-/Ausgabe-Einheiten (12.2, 12.4) zwischengeschaltet sind, verbunden ist.
4. 4. Hierarchisch aufgebautes redundantes Informationsverarbeitungssystem nach Punkt/1, gekennzeichnet dadurch, daß bei Aufbau der Leitrechner'ebene aus nur einem einzigen Leitrechnerpaar., das. aus zwei parallel angeordneten .Einzelrechnern (14.1,14,2) besteht, denen jeweils eine Ein-/Ausgabe-Einheit (15.1,...,15.4) vor- bzw. nachgeordnet ist, zwischen.der Leitsammelleitung und der den Einzelrechnern (14.1,14.2) vor- bzw. nachgeordneten zweiten und vierten Ein-/Ausgabe-Einheit (15.2,15.4).eine erste und eine zweite Sammelleitungssteuerung (16.1,16.2) zwischengeschaltet ist, wobei der zweite Eingang eines ersten Und-Bausteins (7) und der Ausgang eines zweiten Und-Bausteins (18) mit der zweiten Ein-/Ausgabe-Einheit (15.2) und der ersten

   - 10 -

   2 3118 9 3

   Sammelleitungssteuerung (16_#1) verbunden sind, an dem invertierenden ersten Eingang des.ersten Und-Bausteins (17) ein erstes Umsehaltsignal US 14.2 anliegt, der Ausgang des ersten Und-Bausteins (17) und. der zweite Eingang des zweiten Und-Bausteins (18) mit der vierten Ein-/Ausgabe-Einheit (15.4) und der zweiten Sammelleitungssteuerung (16.2) verbunden ist, wobei am invertierenden ersten Eingang des zweiten Und-Bausteins (18) ein zweites Umschaltsignal US 14.1 anliegt.