DD277546A1 - Systemueberwachung bei verteilten steuerungssystemen - Google Patents

Abstract

Die Erfindung betrifft eine Systemueberwachung bei verteilten Steuerungssystemen, die mit einer Vielzahl von Rechner-Modulen in einem Datenverarbeitungssystem mittels Kommunikationselementen zusammenwirken. Der Erfindung liegt die Aufgabe zugrunde, eine Systemueberwachung bei verteilten Steuerungssystemen mit minimalem zusaetzlichen Hardwareaufwand zu schaffen, die mittels zyklischer Diagnose die Funktionsfaehigkeit der einzelnen Funktionsmodule ueberprueft. Erfindungsgemaess wird die Aufgabe dadurch geloest, dass alle fuer die Funktion des verteilten Steuerungssystems wesentlichen Funktionsmodule ein eigenes Diagnoseelement aufweisen, welches nur die von dem jeweiligen Funktionsmodul benoetigten Ressourcen der eigenen Rechner-Komponente zyklisch ueberprueft und das Ergebnis ueber den im System vorhandenen einheitlichen Uebertragungsmechanismus an ein globales Ueberwachungsmodul sendet. Der Ueberwachungsmodul selbst sendet, solange das gesamte verteilte Steuerungssystem arbeitsfaehig ist, zyklisch Informationen an eine Pruefschaltung. Bei Ausbleiben dieser zyklischen Pruefinformation wird das System gefahrlos abgeschaltet bzw. in eine Ruhestellung gebracht. Figur

Description

Hierzu 1 Seite Zeichnung

Anwendungsgebiet der Erfindung

Die Erfindung betrifft eine Systemüberwachung bei verteilten Steuerungssystemen. Derartige Systemüberwachungen werden insbesondere für relativ komplexe verteilte Steuerungssysteme erforderlich., die mit einer Vielzahl von Rechner-Modulen in einem Datenverarbeitungssystem mittels Kommunikationselementen zusammenwirken. Innerhalb derartiger Systeme steigt die Gefahr, daß einzelne Module ausfallen bzw. falsche Signale abgeben. Deshalb ist es erforderlich, die Funktionsfähigkeit mindestens der wichtigsten Funktionselemente permanent zu überprüfen und Ausfälle dem Bediener anzuzeigen. Die Erfindung ist in allen Gebieten der Technik anwendbar, in denen zur Prozeßsteuerung, zur Automatisierung, zur Rationalisierung u.a. Zielen mehrere Rechner im Nahbereich kommunizierend miteinander verbunden sind.

Charakteristik des bekannten Standes der Technik

Verteilte Steuerungssysteme werden vielfältig in der Technik eingesetzt. Fü: diese Steuerungssysteme ist neben der stabilen Arbeitsweise ein rechtzeitiges Erkennen und ggf. Behandeln von Fehlern notwendig. Die für die Fehlererkennung und -behandlung eines Steuerungssystems erforderlichen Maßnahmen beziehen sich grundsätzlich auf alle Rechnerkomponenten der Einzelrechner und den diese Komponenten verbindenden Übertragungsmechanismus. Die Ergebnisse aus der Fehlererkennung werden einer Prüfschaltung zugeführt, welche im Fehlerfall die erforderlichen Maßnahmen, z. B. Abschalte" des Steuerungssystems, durchführt.

Die Aufwendungen für die Diagnose der Rechnerkomponenten sind davon abhängig, welche Hardwarekomponenten diagnostiziert werden. Eine solche Diagnose sollte in jedem Fall neben der Diagnose der Hardware auch die Diagnose der sich in Abarbeitung befindlichen Software umfassen.

In der DE-OS 3239434 wird eine derartige Diagnose beschrieben. Hier werden in einem redundanten System die Ausgangswerte des aktiven Einzelprozessors mit denen eines parallel dazu arbeitenden identischen 2. Rechners verglichen und ausgewertet. Der Nachteil dieser Lösung besteht darin, daß der Anteil der Rechnerkomponenten sich praktisch verdoppelt und zu dem ein zusätzlicher Hardwareaufwarid zur Behandlung der Fehlermaßnahmen bei jeder Rechnerkomponente anfällt. Ein weiterer Aufwand ergibt sich für die Diagnose des Übertragungsmechanismus.

In der DE-OS 3612730 wird ein Verfahren zur Behandlung von Fehlern in RAM-Speichern beschrieben. Dabei wird davon ausgegangen, daß nut bestimmte benutzte Teilbereiche des RAM-Speichers diagnostiziert werden. Bei Fehlern werden diese RAM-Teilbereiche für die weitere Verwendung gesperrt und durch andere redundante RAM-Bereiche ersetzt. Nachteilig an cliosor Lösung ist dio Beschränkung des Verfahrens auf den RAM-Speicher.

Für die Diagnose dos gesamten verteilten Steucirungssystems ist auch die Erkennung von Fehlern des Übortragungsmechanismus notwendig, da sonst die Funktionsfähigkeit des Steuerungssystems nicht gewährleistet ist. In dor DE-OS 3529056 wird ein Vorfahren zur Diagnose dos Datenaustausches zwischen mehreren Einzelprozessoren boschriobon. Oaboi worden zeitzyklisch Datonbiöcke bekannter Länge mit zusätzlichen Prüfinformationen versehen und zwischen den Prozossoron ausgetauscht. Die jeweils erhaltenen Informationen werden von den Prozessoren nach den oben genannten Kritorion ausgewertet. Solange dio Informationen als richtig erkannt werden, gilt der Datenaustausch als funktionsfähig. Der Nachteil diesor Verfahrensweise liegt in dem zusätzlichen Aufwand. Für jeden Prozessor sind zusätzlich die Diagnoseroutinen und ein separater Mechanismus zur Übertragung der Fehlerinformation erforderlich. Dieser Aufwand steigt mit der Anzahl dor oingosotzton Prozessoren erheblich an.

Ziel der Erfindung

Die Erfindung verfolgt das Ziel, die Funktionsfähigkeit und Einsatzbereitschaft von verteilten Steuerungssystemen /u erhöhen und Produkftonsstörungen bzw. Fehlchargen zu vermeiden.

Darlegung des Wesens der Erfindung

Der Erfindung liegt die Aufgabe zugrunde, eine Systemüberwachung bei verteilten Steuerungssystemen mit minimalem zusätzlichem Hardwareaufwand zu schaffen, die mittels zyklischer Diagnose die Funktionsfähigkeit der einzelnen Funktionsmodule überprüft.

Erfindungsgemäß wird die Aufgabe dadurch gelöst, daß alle für die Funktion des verteilten Steuerungssystems wesentlichen Funktionsmodule ein eigenes Diagnoseelement aufweisen, welches nur die von dem jeweiligen Funktionsmodul benötigten Ressourcen der eigenen Rechner-Komponente zyklisch überprüft und das Ergebnis über den im System vorhandenen einheitlichen Übertragungsmechanismus an ein globales Überwachungsmodul sendot. Die Aktivierung der zyklischen Diagnose der einzelnen für den Funktionsmodul erforderlichen Ressourcen erfolgt unmittelbar durch das Diagnoseelement. Der globale Überwachungsmodul kann somit alle Funktionsmodule des verteilten Steuerungssystems überwachen und gegebenenfalls spezifische Fehlerreaktionen auslösen. Gleichzeitig wird durch das zyklische Eintreffen von Diagnoseinformationen der Funktionsmodule der Übertragungsmechanismus vom zentralen Überwachungsmodul ähnlich einer Watch-Dog-Schaltung überwacht.

Der Überwachungsmodul selbst sendet, solange das gesamte verteilte Steuerungssystem arbeitsfähig ist, zyklisch Informationen an eine Prüfschaltung. Bei Ausbleiben dieser zyklischen Prüf information wird das System gefahrlos abgeschaltet bzw. in eine Ruhestellung gebracht.

Dio Diagnoseelemente für die einzelnen Funktionsmodule können einheitlich gestaltet werden und sind damit universell oinsetzbar. Die Beschränkung der Diagnose auf die erforderlichen Ressourcen vermeidet den Nachteil, daß ein System als nicht verfügbar betrachtet wird, obwohl alle für das Gesamtsystem, d. h. für alle Funktionsmodule, bestimmten Ressourcen fehlerfrei sind und damit problemlos abgearbeitet werden könnten.

Ein besonderer Vorteil dieser Erfindung besteht darin, daß jeder Funktionsmodul sich selbst überwacht und bei Auftreten von Fehlem unmittelbar eine lokale Fehlerbehandlung aktivieren kann. Nur bei irreparablen Fehlern wird die Fehlermeldung an den Überwachungsmodul gemeldet. Die spezifische Fehlerreaktionen des Überwachungsmoduls können je nach Art und Ort des Fehlers sehr unterschiedlich vorprogrammiert sein. Gegebenenfalls kann auf redundante Hardware (z. B. Speicher, redundante Funktionsmodule) oder auf vollständig redundante Rechnerkomponenten umgeschaltet werden. Anderenfalls kann bei einer bestimmten Zeitlago der Fehlererkennung der Prozeß ungefährdet weiter abgearbeitet werden. Nur bei Fehlermeldungen, die den ordnungsgemäßen Prozeßablauf gefährden, führt das Signal über die Prüfschaltung unmittelbar zum Abschalten des Systems bzw. zur Ruhestellung.

Welche Funktionsmodule des verteilten Steuerungssystems in die Überwachung einbezogen werden, wird von der Aufgabenstellung entschieden. In vielen Fällen werden einheitlich alle Funktionsmodule in die erfindungsgemäße Überwachung einbezogen. Die weitergehenden Vorteile der Erfindung bestehen darin, daß bei einem minimalen Soft- und Hardwareaufwand das gesamte verteilte Steuerungssystem einschließlich des Übertragungsmechanismus überwacht wird und durch lokale und globale Fehlerreaktionen der Verfahrensprozeß weitgehend ungestört abgeschlossen wird. Der Aufwand an redundanten Funktionsmodulen kann, basierend auf Erfahrungswerten, auf ein Minimum reduziert werden.

Ausführungsbeispiul

Nachstehend soll die Erfindung an einem Ausfuhrungsbeispiel näher erläutert werden.

Eine Vakuumanlage weist ein Standard-Steuerungssystem mit verteilten Rechnern und einer Vielzahl von Funktionsmodulen auf. Die zugehörige Zeichnung zeigt das stark vereinfachte verteilte Steuerungssystem. Das Standard-Steuerungssystem weist drei Rechnerkomponenten auf.

1 ist der Bedienrechner, 2 der Steuerrechner und 3 der Meßgeräterechner für die Meßdatenverarbeitung. Weiterhin ist eine Prüfschaltung 4 vorhanden, die eine geregelte Abschaltung des Steuerungssystems im Fehlerfall vornimmt. Jede der Rechnerkomponenten verfügt über einen Echtzeitbetriebssystemkern 40 und einen Übertragungsmechanismus 10, der den Datenaustausch zwischen den Rechnerkomponenten nach einer einheitlichen Form realisiert.

Jeder Rechnerkompononte ist mindestens ein Funktionsmodul zugeordnet, die wie folgt auf die Basissysteme verteilt sind. Dem Bedienrechner 1 ist ein Bildmodul 11, eine Bedienmodul 12 zugeordnet. Dem Steuerrechner 2 ist ein Prozeß-Steuermodul 21 und ein zweiter Prozeß-Steuermodul 22 und der zentrale Überwachungsmodul 23 zugeordnet. Die Prozeß-Steuermodule 21 und 22 sind funktional völlig identisch. Von cbn vorhandenen zwei Prozeß-Steuermodulen 21 und 22 genügt einer für die Aufrechterhaltung der Funktion, während der zweite als Reserve redundant angeordnet ist. Dem Meßgeräterechner 3 ist ein Meßmoduls 31 zugeordnet.

Nachfolgend soll das System in Funktion beschrieben werden. Dabei wird davon ausgegangen, daß außer dem Prozeß-Steuermodul 22 nlle anderen Funktionsmodulo aktiv sind. Damit sind auch die jeweiligen Diagnoseelemente 20 dieser Funktionsmodulo aktiviert, und es erfolgt eine zeitzyklische Diagnose der jeweiligen Ressourcen. Nach Beendigung der jowoilifjon Diagnosen werden dio entsprechenden Diagnoseinformationen an den Überwachungsmodul 23 gesendet. Der globalo Übortragungsmodul 23 wertut dioso Information aus. Er sendet ebenfalls zyklisch ein Steuersignal zur Prüfschaltung 4, dio ihrorsoits daraufhin definierte Anfangszustände für den erneuten Ablauf eines Zyklus herstellt. Wird im Diagnoselement 20 des Moßmodul 31 ein Fehler ormittelt, dann prüft dieses Diagnoseelement 20, ob der aktuelle Zeitpunkt noch in der relevanten Moßwortorfassung liegt oder nicht. Wenn die Moßwerterfassung noch relevant ist, wird an den globalen Überwachungsmodul 23 ein Signal „Ausfall" gegebon, welches zur Signalauslösung an die Prüfschaltung 4 führt, mit der Aussöge „wegon Fehler abschalten". Wenn die Meßwerterfassung zeitlich nicht mehr relevant ist, dann wird an den

Überwachungsmodul 23 lediglich ein Signal „Fehler vorhanden - Steuerung fortsetzen" gegeben, das in der Prüfschaltung 4 lediglich zur Anzeige für den Bediener kommt. Dieser Mangel muß dann vom Bediener vor der nächsten Verfahrenseinleitung abgestellt werden.

In einem anderen Fehlerfali stellt das Diagnoseelement 20 des Prozeß-Steuermoduls 21 einen Fehler fest. In diesem Fall findet der Prozeß-Steuermodul 21 vor Auslösung einer Fehlermeldung an den globalen Überwachungsmodul 23 loka! die Möglichkeit, den redundanten Prozeß-Steuermodul 22 zu aktivieren, so daß dieser die weitere Steuerung übernimmt. Als Fehlermeldung wird lediglich eine Meldung „Prozeß-Steuermodul 21 ausgefallen - Prozeß-Steuermodul 22 hat weitere Steuerung übernommen" an die Prüfschaltung 4 weitergeleitet. In diesem Fall bleibt die Steuerung weiter voll funktionsfähig und hat nur keine Reserven mehr. Hier muß der Bediener entscheiden, ob er den ausgefallenen Prozeß-Steuermodul 21 erneuert oder ob er vorerst mit dem Prozeß-Steuermodul 22 weiterarbeitet.

Werden von dem globalen Überwochungsmodul 23 innerhalb einer vorgegebenen Zeit von einem Funktionsmodul keine Diagnoseinformation empfangen, so ist in diesem Fall der Übertragungsmechanismus 10 nicht mehr arbeitsfähig, und das Steuerungssystem wird durch die Prüfschaltung 4 abgeschaltet.

Bei der beispielhaften Darstellung des Ausfalls des Prozeß-Steuermoduls 21 ist es auch möglich, lediglich auf freie zusätzliche Speicherkapazitäten im gleichen Funktionsmodul umzuschalten.

Die einzelnen Möglichkeiten sind sehr vielseitig. Der Aufwand ist jedoch wesentlich geringer als bei bekannten, insgesamt redundanten Steuerungssystemen, bei denen vollständige Rechnerkomponenten zusätzlich bereitzustellen sind.

Claims (4)

1. Systemüberwachung bei verteilten Steuerungssystemen, gekennzeichnet dadurch, daß mindestens alle für die Funktion des verteilten Steuerungssystems wesentlichen Funktionsmodule ein eigenes Diagnoseelement (20) aufweisen, welches die vom Funktionsmodul benötigten Resourcen der eigenen Komponente zyklisch überprüft, und das Ergebnis über den im System vorhandenen einheitlichen Übertragungsmechanismus (10) an ein globales Überwachungsmodul (23) sendet, das die Signale aller im System vorhandenen aktiven Funktionsmodule mit eigenem Diagnoseelement (20) sammelt, auswertet und seinerseits ein entsprechendes Signal an eine Prüfschaltung 4 übergibt, die die für die relevanten Fehler vorgesehene Fehlerreaktionen auslöst.

2. Systemüberwachung nach Anspruch 1, gekennzeichnet dadurch, daß das Diagnoselement (20) vor einer Fehlermeldung redundante Ressourcen im eigenen Funktionsbaustein aktiviert.

3. Systemüberwachung nach Anspruch 1, gekennzeichnet dadurch, daß für die als fehlerhaft ermittelten Funktionsmodule vom zentralen Überwachungsmodul (23) zusätzliche redundante Funktionsmodule aktiviert werden.

4. Systemüberwachung nach Anspruch !,gekennzeichnetdadurch,daß der Überwachungsmodul (23) selbst zyklisch Prüfinformationen an eine Prüfschaltung (4) sendet, die beim Ausbleiben der Informationen oder bei fehlerhaften Informationen das gesamte Steuerungssystem gefahrlos abschaltet bzw. in eine Ruhestellung bringt.