DD255015A1 - Verfahren und anordnung zur ueberwachung eines prozessrechners - Google Patents

Abstract

Aus dem Ziel, den Programmablauf zu ueberwachen und im Stoerungsfall eine Fehlersuche im Rechner in dessen Betriebszustand ohne Auswirkungen auf den Prozess zu ermoeglichen, ergibt sich die Aufgabe, eine Ueberwachungseinrichtung zu entwickeln, die bei normalem Programmablauf den Datenaustausch mit dem Prozess zulaesst und die den Datenaustausch im Stoerungsfall unterbricht, ohne das gesamte System abzuschalten. Die Aufgabe wird geloest, indem eine monostabile Schaltung, die zur Retriggerung vom Rechner periodische Kontrollimpulse und ein Startsignal benoetigt, im Stoerungsfall die Prozessspannung abschaltet, wobei der Rechner im Betriebszustand verbleibt. Mit Hilfe des Startsignales ist ein programmgesteuertes Ein- und Abschalten der Prozessspannung moeglich, um eine unkontrollierte Datenausgabe zu verhindern. Die Erfindung ist anwendbar bei der Steuerung derartiger Prozesse, bei denen eine unkontrollierte Ausgabe von Prozessdaten auf Grund von Hard- oder Softwarefehlern sicher verhindert werden muss.

Description

Hierzu 2 Seiten Zeichnungen

Anwendungsgebiet der Erfindung

Die Erfindung betrifft ein Verfahren und eine Anordnung zur Überwachung eines Prozeßrechners. Sie ist anwendbar bei der Steuerung derartiger Prozesse, bei denen eine unkontrollierte Ausgabe von Prozeßdaten auf Grund von Hard- oder Softwarefehlern sicher verhindert werden muß.

Charakteristik der bekannten technischen Lösungen - :

Bekannte Einrichtungen zur Überwachung eines Mikrorechners arbeiten nach dem Prinzip, daß vom Rechner Kontrollimpulse mit einem festgelegten maximalen zeitlichen Abstand erzeugt werden, wenn die Programmsteuerung normal abläuft, und der zeitliche Abstand dieser Impulse mit einem vorgegebenen Zeitintervall verglichen wird.

Der zeitliche Abstand der Kontrollimpulse ist im Normalfall geringer als das vorgegebene Zeitintervall. Im Falle eines Systemfehlers überschreitet der zeitliche Abstand das Zeitintervall, oder die Kontrollimpulse fallen vollständig aus. Eine Überwachungseinrichtung bewirkt ein Zurücksetzen des Rechners, und das Programm läuft erneut von Beginn an ab.

Aus der DE-OS 3315049 sind Verfahren bekannt, die es gestatten, derartige Störungen des Rechners zu erkennen, die sich nicht durch Zurücksetzen beheben lassen. Dazu sind zwei oder mehr Zeitglieder vorgesehen, durch die unterschiedliche Zeitintervalle festgelegt sind. Damit wird ein ein-oder mehrmaliges Zurücksetzen des Rechners ermöglicht, bevor nach Überschreiten des letzten Zeitintervalles ein Störungsmeldungssignal ausgegeben wird.

In der DE-OS 3322242 wird eine Einrichtung beschrieben, die bei längerem Ausbleiben von Kontrollimpulsen in periodischer Folge ein Rücksetzsignal und ein Freigabesignal mit jeweils vorbestimmter Dauer erzeugt. Über die Festlegung des Tastverhältnisses dieser Signale wird bei einer Störung des Rechners ein Notfall des gesteuerten Gerätes möglich. Alle diese Verfahren bewirken im Störungsfall ein ein- oder mehrmaliges Zurücksetzen des Rechners, wodurch eine Rückkehr zum normalen Programmablauf ermöglicht werden soll. Wird ein Rechner zur Steuerung eines Prozesses eingesetzt, ist ein derartiger Programmneustart nicht zulässig, da der bis zum Störungsfall fortgeschrittene Prozeß vom Rechner nicht wieder in einen definierten Anfangszustand versetzt werden kann. Ein Zurücksetzen des Rechners ohne eine gleichzeitige manuelle Neuordnung des Prozesses hätte den Verlust des Zusammenhanges mit dem Zustand des Prozesses zur Folge, was zu Fehlentscheidungen des Rechners führen würde. Mit den bisher bekannten Verfahren zur Überwachung von Mikrorechnern wäre allenfalls ein vollständiges Abschalten des System nach Auftreten einer Störung möglich. Das hat den Nachteil, daß im Störungsfall die erforderliche Fehlersuche am System erheblich erschwert wird.

Ziel der Erfindung

Die Erfindung hat das Ziel, ein Verfahren und eine Anordnung zur Funktionsüberwachung eines Prozeßrechners zu schaffen, die bei geringem Bauelementeaufwand und mit hoher Eigensicherheit imStörungsfall eine effektive Fehlersuche im Prozeßrechner indessen Betriebszustand ohne negative Auswirkungen auf den Prozeß selbst infolge unkontrollierter Ausgabe von Prozeßdaten ermöglicht.

Darlegung des Wesens der Erfindung

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren und eine dazugehörige Anordnung zur Überwachung des Programmablaufes bzw. der Ausgabedaten eines Prozeßrechners zu entwickeln, die einerseits einen Datenaustausch mit dem Prozeß dann zulassen, wenn der Programmablauf des Rechners als normal erkannt wurde und die andererseits nach Auftreten eines Fehlers nach vorgegebener Reaktionszeit den Datenaustausch unterbrechen, wobei der Rechner im Betriebszustand verbleibt, eine Datenausgabe an den Prozeß jedoch sicher verhindert wird.

Erfindungsgemäß wird die Aufgabe dadurch gelöst, daß in an sich bekannter Weise der normale Programmablauf des Prozeßrechners überwacht wird, indem die Zeit zwischen von ihm ausgegebenen Kontrollimpulsen gemessen und mit einem vorgegebenen Zeitintervall verglichen wird. Erfindungsgemäß wird dazu vom Rechner ein weiteres Kontrollsignal, das Startsignal, erzeugt und unabhängig von dem die Kontrollimpulse übertragenden Kanal einer Ausgabeeinheit über einen zweiten Kanal an die Überwachungseinrichtung ausgegeben.

In dem Fall, daß die gemessene Zeit kürzer als das vorgegebene Intervall ist und das Startsignal ausgegeben wurde, wird die Betriebsspannung für die Speisung der Baugruppen zur Ein- und Ausgabe der Prozeßdaten, in der Folge Prozeßspannung genannt, eingeschaltet.

Überschreitet der Impulsabstand der gemessenen Kontrollimpulse infolge eines Fehlers in der Hard- oder Software das vorgegebene Zeitintervall, wird die Prozeßspannung abgeschaltet und kann nur durch Eintreffen der Kontrollimpulse und des Startsignales in der bereits beschriebenen Reihenfolge wieder eingeschaltet werden.

Das Abschalten der Prozeßspannung erfolgt nach Ablauf einer voreingestellten und mit dem Programm zur Erzeugung der Kontrollimpulse abgestimmten Reaktionszeit.

Insbesondere bei Verwendung von Ein- und Ausgabebaugruppen mit betriebsspannungsabhängiger Sperre der Ausgänge können so bei Auftreten eines Fehlers nach Ablauf der Reaktionszeit keine unkontrollierten Steuerimpulse zur Prozeßsteuerung gelangen.

Die Prozeßseite der Anlage muß nun in einen für den Neustart des Programmes erforderlichen Zustand gebracht werden.

Nach dem Programmstart müssen die Kontrollimpulse und das Startsignal vom Rechner wieder in der beschriebenen Reihenfolge ausgegeben werden, ehe die Prozeßspannung eingeschaltet werden kann.

Eine Fehlerlokalisation kann mit im Betrieb befindlichem Rechnerz. B. unter Anwendung spezieller Prüfprogramme erfolgen, wobei eine Datenausgabe an die Prozeßsteuerung auf einfache Weise verhindert wird, indem die Prozeßspannung erst eingeschaltet wird, wenn das Startsignal ausgegeben wurde.

Insbesondere bei Verfahren nach Punkt 3 des Erfindungsanspruches ist es während der Erprobungsphase des Rechners und im Rahmen einer Fehlerlokalisation möglich, programmgesteuert zu jedem Zeitpunkt eine Ab- bzw. Einschaltung der Prozeßspannung durch Löschen bzw. erneutes Setzen des Startsignales vorzunehmen, vorausgesetzt, der zeitliche Abstand der Kontrollimpulse läßt ein Einschalten zu.

Ausführungsbeispiel

Die Erfindung wird nachstehend an einem Ausführungsbeispiel näher erläutert. Die dazugehörigen Zeichnungen zeigen:

Fig. 1: Prinzipschaltbild der Schaltungsanordnung,

Fig.2: zeitlicher Verlauf der Signalspannungen an verschiedenen Punkten der Schaltungsanordnung.

Die vom Rechner über zwei Kanäle einer Ausgabeeinheit ausgegebenen Kontrollimpulse und Startsignale steuern über entsprechende Treiberstufen 1 und 2 jeweils einen Optokoppler 3 und 4 mit parallelgeschalteten Kontroll-LED 5 und 6 an. Die Parallelschaltung bietet trotz der höheren Stromaufnahme eine größere Sicherheit gegenüber Bauelementeausfällen.

Die Optokoppler 3 und 4 ermöglichen eine potential-getrennte Signalübertragung von der Rechner- zur Prozeßseite.

Die nach den Optokopplern 3 und 4 invertierten Rechnersignale gelangen auf die Triggereingänge einer speziellen monostabilen Schaltung, die mit einem Zeitgeberschaltkreis 7, in diesem Falle einem IC B 555, und mehreren Transistoren aufgebaut ist und wie folgt arbeitet:

Die positiven und negativen Flanken der Kontrollimpulse bewirken über mindestens zwei komplementäre Transistoren 8 eine Auf- und ständige Nachladung des Kondensators C des die Reaktionszeit T_R bestimmenden RC-Gliedes, welches zwischen Betriebsspannung und Komparatoreingang Il des Zeitgeberschaltkreises? geschaltet ist. DieTriggerung am Komparatoreingang I des Zeitgeberschaltkreises 7 erfolgt mit der invertierten positiven Flanke des Startsignales. Damit kippt der Ausgang des Zeitgeberschaltkreises 7 auf Η-Potential und die Schaltung arbeitet wie ein nachtriggerbarer monostabiler Multivibrator.

Das Ausgangssignal steuert über eine Treiberstufe 9 das Relais 10 an, mit dem entweder die Netzspannung des Stromversorgungsteiles für die Ein- und Ausgabebaugruppen oder die Prozeßspannung eingeschaltet wird.

Vergrößert sich auf Grund einer Störung der Abstand T₀ zwischen den Flanken der Kontrollimpulse oder fallen diese ganz aus, entlädt sich der Kondensator C über den Widerstand R, und das Potential am Komparatoreingang Il des Zeitgeberschaltkreises 7 überschreitet die Referenzspannung Ur₂. Dadurch kipptderAusgang des Zeitgeberschaltkreises 7 auf L-Potential, und das Relais 10 schaltet die Prozeßspannung ab. Die Reaktionszeit T_R bis zum Abschalten richtet sich nach dem jeweiligen Einsatzfall.

Das Rechnerprogramm muß bei normalem Ablauf gewährleisten, daß ständig Kontrollimpulse mit kürzerem zeitlichem Abstand als die Reaktionszeit T_R ausgegeben werden. Über einen weiteren Transistor 11, der die Startsignale nochmals invertiert, erfolgt ' die Ansteuerung des Rücksetzeinganges des Zeitgeberschaltkreises 7. Damit wird das vom Startsignal gesteuerte Abschalten der Prozeßspannung ermöglicht.

Ein erneutes Einschalten durch das Startsignal ist dann möglich, wenn wieder Kontrollimpulse ausgegeben wurden und das Potential am Komparatoreingang Il des Zeitgeberschaltkreises 7 die Referenzspannung Ur₂ unterschritten hat.

Die Vorteile der erfindungsgemäßen Lösung bestehen darin, daß durch die Hinzunahme eines zweiten Kanales einer Ausgabeeinheit zur Übertragung von zusätzlich vom Rechner erzeugten Startsignalen ein programmgesteuertes, beliebig verzögertes Einschalten des Datenaustausches mit der Prozeßsteuerung durch Zuschalten der entsprechenden Betriebsspannung erfolgen kann und daß sogar ein programmgesteuertes Abschalten dieser Betriebsspannung im Servicefall und bei der Inbetriebnahme möglich ist, wodurch eine unkontrollierte Ausgabe von Prozeßdaten verhindert wird.

Die Überwachung des Prozeßrechners erfolgt mit hoher Sicherheit, da auf zwei Ausgabekanälen definierte Signale ausgegeben werden müssen, anderenfalls würde die Prozeßspannung abgeschaltet werden, der Rechner jedoch weiterlaufen, was eine Fehlersuche gegebenenfalls mit Prüfprogrammen möglich macht.

Die Überwachungseinrichtung selbst weist eine hohe Eigensicherheit auf, denn bei Ausfall der Rechner-Betriebsspannung + 5 V erfolgt innerhalb der eingestellten Reaktionszeit T_R und bei Ausfall der Prozeß-Betriebsspannung + 5 V sofort ein Abfall des Relais.

Durch Ausnutzen der positiven und negativen Flanken der Kontrollimpulse zur Retrigger-ung der Zeitgeberschaltung ist bei gleichem Programmaufwand eine Verkürzung der Reaktionszeit möglich.

Bei entsprechender Anordnung der LED kann eine visuelle Kontrolle des Betriebszustandes der Schaltung und des Startsignales und bei Impulsabständen über etwa 100 ms auch der Kontrollimpulse erfolgen.

Claims (7)

1. Verfahren zur Überwachung eines Prozeßrechners, dessen normale Funktion überwacht wird, indem die Zeit zwischen von ihm ausgegebenen Kontrollimpulsen gemessen und mit einem vorgegebenen Zeitintervall verglichen wird, gekennzeichnet dadurch, daß eine Betriebsspannung, welche die Baugruppen für die Ein- und Ausgabe von Prozeßdaten speist, erst dann eingeschaltet wird, wenn die gemessene Zeit kurzer als das vorgegebene Zeitintervall ist und ein vom Rechner erzeugtes Startsignal ausgegeben wurde.

2. Verfahren nach Punkt 1, gekennzeichnet dadurch, daß die Betriebsspannung für die Speisung der Baugruppen zur Ein- und Ausgabe der Prozeßdaten abgeschaltet wird, wenn die gemessene Zeit zwischen zwei Kontrollimpulsen das vorgegebene Zeitintervall überschreitet und erst wieder eingeschaltet werden kann, wenn vom Rechner Kontrollimpulse mit einem kürzeren zeitlichen Abstand als das vorgegebene Zeitintervall ausgegeben werden und erneut das vom Rechner erzeugte Startsignal vorliegt.

3. Verfahren nach Punkt 1 und 2, gekennzeichnet dadurch, daß das Startsignal ein binäres Signal ist, welches bei Vorhandensein von Kontrollimpulsen mit einem kürzeren zeitlichen Abstand als das vorgegebene Zeitintervall in dem einen Zustand ein Einschalten der Betriebsspannung für die Speisung der Baugruppen zur Ein- und Ausgabe der Prozeßdaten und in seinem anderen Zustand ein Abschalten dieser Betriebsspannung bewirkt.

4. Verfahren nach einem der Punkte 1 bis 3, gekennzeichnet dadurch, daß die Kontrollimpulse binäre Signale sind, deren positive und negative Flanken gleichermaßen ein periodisches Zurücksetzen des Zeitgebers zur Überwachung der Kontrollimpulse bewirken.

5. Anordnung zur Durchführung des Verfahrens nach einem der Punkte 1 bis 4, gekennzeichnet dadurch, daß in einer im monostabilen Betrieb arbeitenden Schaltung ein die Haltezeit bestimmendes RC-Glied mit einem Kondensator C, der durch die vom Rechner erzeugten Kontrollimpulse auf- und nachgeladen wird, angeordnet ist und daß die monostabile Schaltung über ihren Triggereingang durch das vom Rechner erzeugte Startsignal triggerbar ist, wobei ein Kippen dieser monostabilen Schaltung in den astabilen Zustand durch dieses Startsignal ausgelöst wird, wenn der zeitliche Abstand der Kontrollimpulse das durch das RC-Glied festgelegte Zeitintervall nicht überschreitet.

6. Anordnung nach Punkt 5, gekennzeichnet dadurch, daß am Ausgang der monostabilen Schaltung in deren astabilen Zustand ein Signal zum mittelbaren Einschalten der Betriebsspannung für die Speisung der Baugruppen zur Ein- und Ausgabe der Prozeßdaten anliegt.

7. Anordnung nach Punkt 5, gekennzeichnet dadurch, daß das Startsignal auch auf den Rückstelleingang der monostabilen Schaltung wirkt, so daß diese durch Zurücksetzen des Startsignales in ihren stabilen Zustand kippt, auch wenn der zeitliche Abstand der Kontrollimpulse das durch das zeitbestimmende RC-Glied festgelegte Zeitintervall nicht überschreitet.