DE19532640C2 - Einrichtung zur einkanaligen Übertragung von aus zwei Datenquellen stammenden Daten - Google Patents

Description

Die Erfindung bezieht sich auf eine Einrichtung nach dem Oberbegriff des Patentanspruches 1.

Aus der DE 29 12 928 B1 ist eine Einrichtung zur einkanaligen Übermittlung von binär kodierten Informationen zur Fernsteue­ rung einer eisenbahnsignaltechnischen Anlage von einer Zen­ trale aus bekannt, bei der zwei parallel betriebene Verarbei­ tungseinrichtungen über einen Schalter abwechselnd auf einen gemeinsamen Übertragungskanal speisen. Die Verarbeitungsein­ richtungen, die beispielsweise als Mikrocomputer ausgebildet sein können, verarbeiten die gleichen Eingangsdaten nach den gleichen Gesetzmäßigkeiten, so daß sie an ihrem Ausgang - ordnungsgerechtes Funktionsverhalten vorausgesetzt - gleiche Ausgangsdaten führen. Etwaige Datenabweichungen werden durch laufenden internen Vergleich der verarbeiteten Daten erkannt. Die beiden Verarbeitungseinrichtungen geben die von ihnen erarbeiteten, inhaltlich übereinstimmenden Daten als Datente­ legramme zusammen mit einem für die jeweilige Verarbeitungs­ einheit charakteristischen Kennzeichen oder in einer für die Verarbeitungseinheit charakteristischen Form aus. Empfangs­ seitig ist damit erkennbar, ob die jeweils übermittelten Daten abwechselnd von der einen oder von der anderen Verar­ beitungseinheit aufgeschaltet werden. Bleibt der Schalter hängen, so ist dies empfangsseitig durch das Ausbleiben des jeweils anderen Kennzeichens erkennbar und die übermittel­ ten Daten dürfen nicht mehr für sicherheitskritische Anwen­ dungen herangezogen werden. Um Übertragungsstörungen auf dem Übertragungskanal selbst zu erkennen, können die übermittel­ ten Daten in bekannter Weise mit aus den Nutzdaten abgeleite­ ten Prüfdaten versehen werden, wobei auf der Empfangsseite die übermittelten Prüfdaten mit dort aus den übermittelten Nutzdaten nachgebildeten Prüfdaten verglichen werden können.

Die bekannte Einrichtung zur einkanaligen signaltechnisch sicheren Übermittlung von Daten benötigt neben einem Umschal­ ter für das wechselweise Aufschalten der beiden Verarbei­ tungseinrichtungen zwingend an beiden Verarbeitungseinrich­ tungen Ausgabebaugruppen, über die die rechnerspezifisch erarbeiteten Daten auf den Übertragungskanal zu legen sind. Diese Ausgabebaugruppen, die meist in integrierter Technik ausgeführt sind, haben ein gewisses Ausfallverhalten, das aber regelmäßig nicht bekannt ist. Etwaige Fehler, die durch fehlerhaft arbeitende Ausgaberegister bedingt sind, sind empfangsseitig zwar erkennbar; das Erkennen solcher Fehler ist aber erst mit der Übermittlung von von beiden Verarbei­ tungseinrichtungen stammenden Daten möglich. Aus diesem Grunde dürfen sicherheitskritische Daten, die sich unter­ scheiden von den zuvor übermittelten Daten, empfangsseitig erst dann weiterverarbeitet oder ausgegeben werden, wenn sie in mindestens zwei aufeinanderfolgenden Übertragungszyklen übereinstimmen.

Aufgabe der vorliegenden Erfindung ist es, Einrichtungen nach dem Oberbegriff des Patentanspruches 1 anzugeben, die auf der Sendeseite mit nur einer gemeinsamen Ausgabebaugruppe für beide Rechner/Rechnerkanäle anstelle von zwei gesonderten Ausgabebaugruppen auskommen, keine Umschalter benötigen und bei denen empfangsseitig etwaige Ausgabefehler, die auf ein fehlerhaftes Ausgaberegister zurückzuführen sind, sofort, d. h. bereits nach einmaliger Datenübertragung erkennbar sind.

Die Erfindung löst diese Aufgabe durch die kennzeichnenden Merkmale eines der Patentansprüche 1 bis 3. Die erfinderische Idee liegt darin, daß von den die Daten parallel bereitstel­ lenden Verarbeitungseinrichtungen nur eine die Daten ausgibt und auf den Übertragungskanal schaltet. Die Verarbeitungsein­ richtung erarbeitet zu den Nutzdaten nach vorgegebenen Ge­ setzmäßigkeiten bewußt unrichtige Prüfdaten, die empfangssei­ tig als solche erkennbar wären. Nur dann, wenn auch die andere sendeseitige Verarbeitungseinrichtung die gleichen Nutzdaten erarbeitet und daraus die richtigen Prüfdaten ermittelt hat, kann durch eine bestimmte Verschachtelung der von beiden Verarbeitungseinrichtungen stammenden Prüfdaten das zu den zu übertragenden Nutzdaten gehörende Prüfdatum gebildet und zusammen mit dem Nutzdatum an den Empfänger übermittelt werden. Würde der für die Datenübertragung vorge­ sehene Rechner bei der Bereitstellung der zu übertragenden Daten fehlerhaft den Verschachtelungsalgorithmus überspringen oder verändern, so würden damit die von ihm bereitgestellten fehlerhaften Prüfdaten übermittelt werden. Dies würde emp­ fangsseitig durch die Überprüfung des Sicherungsanhanges erkannt werden und zum Sperren der übermittelten Daten für sicherheitskritische Anwendungen führen.

Die Erfindung ist nachstehend anhand der Zeichnung näher erläutert. Die Zeichnung zeigt in

Fig. 1 in schematischer Weise die erfindungsgemäße Einrichtung und in den

Fig. 2 bis 4 verschiedene Möglichkeiten für die Generie­ rung unrichtiger Prüfdaten und die Korrektur dieser Prüfdaten durch die jeweils andere Verarbeitungseinrichtung vor der Ausgabe dieser Daten auf den Übertragungskanal.

Fig. 1 zeigt schematisch ein aus zwei Rechnerkanälen R1, R2 bestehendes Rechnersystem, das dazu dient, ihm zugeführte Eingangsdaten nach gleichen Verarbeitungsprogrammen in Aus­ gangsdaten umzusetzen und über nur einen Übertragungskanal ÜK an den Prozeß auszugeben. In beiden Rechnerkanälen gibt es Eingänge EIN für Meldungen und Befehle, eine zentrale Verar­ beitungseinrichtung CPU, Speicher SP, sowie Ausgänge AUS für Stellkommandos; alle diese Komponenten sind an einen internen Rechnerbus angeschlossen. Ferner gibt es kanalspezifische Datenübertragungen DÜ, über die sich die beiden Rechnerkanäle laufend über die auf ihren Bussen liegenden Daten unterrich­ ten, sowie Hardwarevergleicher VGL, die über schematisch angedeuteten Schalter HÜ1, HÜ2 die Ausgabe von Daten auf den Übertragungskanal verhindern, wenn sie ungleiche Daten in den beiden Rechnerkanälen erkennen. In beiden Rechnern findet darüber hinaus ein Softwarevergleich der eigenen Daten mit den vom jeweils anderen Kanal übermittelten Daten statt. Beim Erkennen divergierender Daten sperrt der Rechner R1 zusätz­ lich zu den Hardwarevergleichern über den symbolisch ange­ deuteten Kontakt SÜ die Datenausgabe auf den Übertragungska­ nal.

Nach der Erfindung ist nur der Rechnerkanal R1 mit Ausgabe­ baugruppen ABG bestückt, die von den Rechnerausgängen AUS mit Daten, und zwar sowohl mit Nutz- als auch mit Prüfdaten belegt werden. Die übermittelten Daten werden auf der Emp­ fangsseite des Übertragungssystems in bekannter Weise auf ihre gegenseitige Zuordnung überprüft, wobei etwaige Über­ tragungsfehler erkannt werden können. Durch noch zu erläu­ ternde Maßnahmen wird sichergestellt, daß an der Bildung der übermittelten Daten beide Rechnerkanäle der Sendeseite betei­ ligt sind; ein Fehlverhalten eines oder beider sendeseitiger Rechnerkanäle führt zu ungültigen Prüfdaten, was empfangssei­ tig sofort erkennbar ist, und durch Abschalten mindestens der sicherheitsrelevanten Prozeßperipherie zu keinen gefährlichen Auswirkungen führen kann. Wie dies geschieht, d. h. wie sichergestellt wird, daß nicht nur ein einziger Rechnerkanal an der Bildung der zu übertragenden Daten beteiligt ist, wird nachstehend anhand der Fig. 2 bis 4 im einzelnen erläu­ tert.

Die Fig. 2 zeigt in der obersten Zeile die von den beiden Rechnerkanälen R1 und R2 gebildeten Daten N1, P1; N2, P2 die letztendlich über eine Ausgabebaugruppe ABG des Rechnerkanals R1 auf den Übertragungskanal ÜK geschaltet werden sollen. Diese Daten bestehen aus den Nutzdaten N1 bzw. N2 und aus den Prüfdaten P1 bzw. P2, die als Sicherungsanhang zusammen mit den jeweiligen Nutzdaten übermittelt werden sollen. Die Prüfdaten, die in den Ausführungsbeispielen der Fig. 2 bis 4 beliebig angenommen wurden, werden in dieser Form aber nicht von den Rechnerkanälen R1 und R2 zur Verfügung ge­ stellt, sondern gemäß Fig. 2 z. B. in invertierter Form. Wäre aus irgendeinem Grunde der an der Bildung der vom Rech­ ner R1 zu übertragenden Daten zu beteiligende Rechner R2 an der Bildung dieser Daten tatsächlich nicht beteiligt, weil der Rechner R1 z. B aus irgendeinem Grunde den noch zu erläu­ ternden Beteiligungsvorgang im Verarbeitungsprogramm über­ springen würde, so würde zusammen mit dem Nutzdatum N1 das invertierte Prüfdatum P1 übermittelt werden, wobei die Emp­ fangsseite die fehlerhafte Zuordnung von Nutz- und Prüfdaten sofort erkennen würde.

Nach der Lehre des Anspruches 1 negiert der Rechnerkanal R1 nach einer willkürlich festgelegten Regel bestimmte Bits der negierten Prüfsignale P1, im vorliegenden Beispiel die unge­ raden Bits. Damit stimmen diese Bits wieder mit den Bits des tatsächlichen Prüfdatums P1 überein. Auch der andere Rechner­ kanal R2 ermittelt aus dem von ihm erarbeiteten Nutzdatum N2 ein invertiert dargestelltes Prüfdatum P1. Von diesem inver­ tierten Prüfdatum invertiert der Rechnerkanal R2 nach Maßgabe einer bei ihm hinterlegten Maske M2, die spiegelbildlich ist zu der für den anderen Rechnerkanal hinterlegten Maske M1, nur die geraden Bits des invertierten Prüfdatums, im vorlie­ genden Beispiel also nur das zweite Bit. Dieses zweimal invertierte Bit entspricht dem zweiten Bit des tatsächlichen Prüfdatums P2. Es wird über die Datenübertragung Dü an den Rechnerkanal R1 übermittelt und führt dort zusammen mit den vom Rechnerkanal R1 zweimal invertierten ungeraden Prüfbits zu einem Prüfdatum P1/2, das dem orginären Prüfdatum P1 entspricht. Wenn dieses Prüfdatum zusammen mit dem Nutzdatum N1 über den einkanaligen Übertragungskanal ÜK bei einem Datenempfänger ankommt, so erkennt dieser daraus, daß beide Rechnerkanäle an der Bildung der übermittelten Nutz- und Prüfdaten beteiligt waren und daß auf dem Übertragungsweg keine Datenverfälschung stattgefunden hat.

Abweichend von dem dargestellten Ausführungsbeispiel ist es auch möglich, die Nutzdaten des anderen Rech­ ners/Rechnerkanals zu übertragen oder die übertragenen Nutz­ daten aus den Nutzdaten N1 und N2 beider Rechnerkanäle zu bilden, beispielsweise durch Verschachteln der geraden und ungeraden Bits beider Nutzdaten oder durch ODERn dieser Daten.

Eine Variante der Generierung zunächst unrichtiger Prüfdaten, die unter Mitwirkung des jeweils anderen Rechnerkanals rich­ tiggestellt werden, zeigt Fig. 3. Dort stellt der Rechnerka­ nal R1 dem Nutzdatum N1 kein invertiertes Prüfdatum P1 bei, sondern ein Prüfdatum P10, in dem nach Maßgabe einer dem Rechner R1 zugeordneten Maske M10 nur ganz bestimmte Bits invertiert sind, vorliegend die geraden Bits. Der andere Rechnerkanal stellt dem Nutzdatum N2 ein ebenfalls nur teil­ weise invertiertes Prüfdatum P20 bei, bei dem nach Maßgabe der Maske M2 die vom Rechnerkanal R1 nicht negierten ungera­ den Bits negiert sind. Das nicht negierte gerade Bit übermit­ telt der Rechnerkanal R2 an den Rechnerkanal R1, der dieses in die nicht invertierten Bits der Bitfolge P10 einfügt.

Für das Zusammenstellen des dem Nutzdatum N1 zuzuordnenden, dem tatsächlichen Prüfdatum P1 entsprechenden Prüfdatums P1/2 hätte es auch genügt, das oder die geraden Bits des Prüfda­ tums P2 an den Rechnerkanal R1 zu übermitteln, ohne die ungeraden Bits dieses Prüfdatums zu invertieren. Die Inver­ tierung dieser Bits ist nur vorgenommen worden, um für den Fall, daß der Rechnerkanal R1 aus irgendeinen Grunde die ihm vom Rechnerkanal R2 übermittelten Nutz- und Prüfdaten und ausschließlich diese auf den Übertragungsweg schaltet, der Datenempfänger eine unrichtige Zuordnung von Prüf- und Nutz­ daten feststellen kann.

Fig. 4 zeigt ein Ausführungsbeispiel der Erfindung, bei dem die unrichtigen Prüfdaten P100, P200 dadurch gebildet werden, daß bestimmte Bits des tatsächlichen Prüfdatum maskiert werden. Für den Rechnerkanal R1 sind dies z. B. die ungeraden Bits, die nach Maßgabe der ihm zugewiesenen Maske M100 durch Bits der Wertigkeit Null ersetzt werden und für den Rechner R2 die geraden Bits, die nach Maßgabe der ihm zugewiesenen Maske M200 durch Bits der Wertigkeit Null ersetzt werden. Die Maskierung kann beispielsweise dadurch bewirkt werden, daß einzelne Rechnerausgänge nicht beschaltet sind. Auch hier vervollständigen die nicht maskierten ungeraden Bits des Prüfdatums P2 das nicht maskierte gerade Bit des Prüfdatums P1, wodurch wieder das dem originären Prüfdatum P1 entspre­ chende Prüfdatum P1/2 gebildet wird, das zusammen mit den Nutzdaten an den Datenempfänger übermittelt wird.

Bei dem Ausführungsbeispiel der Fig. 4 wird auch das zu übermittelnde Nutzdatum aus den Nutzdaten N1 und N2 beider Rechnerkanäle zusammengesetzt. Die Maskierung des geraden Bits im Prüfdatum P2 ist auch hier nur gewählt worden, um für den Fall, daß der Rechnerkanal R1 ausschließlich das vom Rechnerkanal R2 stammende Prüfdatum an den Datenempfänger weitergibt, dort durch fehlerhafte Zuordnung zum übermittelten Nutzdatum das Auftreten einer Störung erkennbar ist, die dann zu einer entsprechenden Sicherheitsreaktion führen kann.

Bei den vorstehend näher beschriebenen Ausführungsbeispielen werden die bewußt verfälschten Prüfdaten unter Verwendung von Masken bestimmt, die jeweils auf ungerade oder gerade Bits der Prüfdaten abstellen. Selbstverständlich ist es auch möglich, daß sich diese Masken auch auf andere Bits beziehen, beispielsweise die Bits am Anfang bzw. Bits am Ende der Prüfdaten. Die Erfindung ist mit Vorteil auch anwendbar bei 2 von 3-Rechnersystemen, bei denen ebenfalls nur jeweils zwei Rechner ausgabemäßig betriebsführend sind. Unter dem Begriff Rechner/Rechnerkanäle sind jede Art von Datenverarbeitungs­ einrichtungen zu verstehen wie Mikrocomputer, Mikroprozesso­ ren, PCs und Mikrocontroller.

Claims (4)

1. Einrichtung zur einkanaligen, signaltechnisch sicheren Übertragung von mit einem Sicherungsanhang in Form von Prüf­ daten versehenen Nutzdaten, die von mindestens zwei unabhän­ gigen, sich laufend auf Übereinstimmung vergleichenden Rech­ nern oder Rechnerkanälen nach gleichen Gesetzmäßigkeiten aus den gleichen Eingangsdaten gebildet werden und deren Zusam­ mengehörigkeit empfangsseitig geprüft wird, dadurch gekennzeichnet,
daß die beiden Rechner/Rechnerkanäle Prüfdaten (P1, P2) in invertierter Form bereitstellen, und
daß sie nach Maßgabe (hardwaremäßig) vorgegebener unter­ schiedlicher Kennungen (M1, M2) einzelne Bits bzw. die ver­ bleibenden Bits der invertierten Prüfdaten nochmals invertie­ ren und diese Bits entsprechend deren Anordnung im jeweiligen Prüfdatum zu einem neuen Prüfdatum (P1/P2) zusammenfügen, das sie zusammen mit dem von dem einen oder anderen oder von beiden Rechnern/Rechnerkanälen erarbeiteten Nutzdatum (N1) über jeweils eine gemeinsame Ausgabebaugruppe (ABG) für beide Rechner/Rechnerkanäle an den Übertragungskanal (ÜK) legen.

2. Einrichtung zur einkanaligen, signaltechnisch sicheren Übertragung von mit einem Sicherungsanhang in Form von Prüf­ daten versehenen Nutzdaten, die von mindestens zwei unabhän­ gigen, sich laufend auf Übereinstimmung vergleichenden Rech­ nern oder Rechnerkanälen nach gleichen Gesetzmäßigkeiten aus den gleichen Eingangsdaten gebildet werden und deren Zusam­ mengehörigkeit empfangsseitig geprüft wird, dadurch gekennzeichnet, daß die beiden Rechner/Rechnerkanäle (R1, R2) über nach Maßgabe (hardwaremäßig) vorgegebener unterschiedlicher Ken­ nungen (M100, M200) einzelne Bits bzw. die verbleibenen Bits der von ihnen jeweils erarbeiteten Prüfdaten (P100, P200) maskieren und die jeweils nicht maskierten Bits entsprechend deren Anordnung im jeweiligen Prüfdatum zu einem neuen Prüf­ datum (P1/P2) zusammenstellen, das sie zusammen mit dem von dem einen oder anderen oder von beiden Rechner/Rechnerkanälen erarbeiteten Nutzdatum (N1, N2) über jeweils eine gemeinsame Ausgabebaugruppe (ABG) für beide Rechner/Rechnersysteme an den Übertragungskanal (ÜK) legen.

3. Einrichtung zur einkanaligen, signaltechnisch sicheren Übertragung von mit einem Sicherungsanhang in Form von Prüf­ daten versehenen Nutzdaten, die von mindestens zwei unabhän­ gigen, sich laufend auf Übereinstimmung vergleichenden Rech­ nern oder Rechnerkanälen nach gleichen Gesetzmäßigkeiten aus den gleichen Eingangsdaten gebildet werden und deren Zusam­ mengehörigkeit empfangsseitig geprüft wird, dadurch gekennzeichnet, daß die beiden Rechner/Rechnerkanäle (R1, R2) Prüfdaten (P10, P20) bereitstellen, bei denen nach Maßgabe hardwaremäßig vorgegebener unterschiedlicher Kennungen (M10, M20) einzelne Bits bzw. die verbleibenden Bits invertiert sind, und daß sie die jeweils nicht invertierten Bits der beiden Prüfdaten entsprechend deren Anordnung im jeweiligen Prüfdatum zu einem neuen Prüfdatum (P1/2) zusammenfügen, das sie zusammen mit dem von dem einen oder anderen oder von beiden Rech­ ner/Rechnerkanälen erarbeiteten Nutzdatum (N1) über jeweils eine gemeinsame Ausgabebaugruppe (ABG) für beide Rech­ ner/Rechnerkanäle an den Übertragungskanal legen.

4. Einrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß dem einen Rechner/Rechnerkanal (R1) eine Maske (M1, M10, M100) zum Maskieren einzelner Bits seines Prüfdatums (P1) oder zum Invertieren einzelner Bits seines Prüfdatums oder seines invertierten Prüfdatums (P1) zugeordnet ist und dem anderen Rechner/Rechnerkanal (R2) eine Maske (M2, M20, M200) zum Maskieren der übrigen Bits seines Prüfdatums (P2) oder zum Invertieren der übrigen Bits seines Prüfdatums oder seines invertierten Prüfdatums (P2).