DE2758552B2 - Fehlersichere Datenübertragungseinrichtung - Google Patents

Description

Die Erfindung betrifft eine fehlersichere Datenübertragungseinrichtung nach dem Oberbegriff des Patentanspruchs 1.

Bei der Übertragung von Informationen in Automatisierungssystemen, in denen durch das Auftreten von Fehlern Menschenleben gefährdet oder große Sachwerte zerstört werden, wie z. B. in der Eisenbahnsignaltechnik, ist es wichtig, daß keine verstümmelten oder fehlerbehafteten Befehle oder Meldetelegramme übertragen werden. In solchen Automatisierungssystemen sind daher die Funktionselemente im allgemeinen in der sogenannten Fail-safe-Teehnik aufgebaut, bei der ein auftretender Fehler niemals eine unerwünschte Wirkungauslösen kann.

Die Aufgabe besteht daher darin, eine fehlersichere Übertragungseinrichtung zu schaffen, die aus fehlersicheren dber, auch nicht fehlersicheren Funktionselementen besteht, die jedoch so miteinander verbunden sind, daß für sie ein sicherer Zustand definiert werden kann. Fehler der hierzu benutzten Einrichtung dürfen die Funktionselemente nur so beeinflussen, daß sie in den als sicher definierten Zustand gehen. Die Aufgabe

s wird nach der Erfindung durch die im Patentanspruch 1 angegebenen Maßnahmen gelöst

Die Erfindung wird an einem Ausführungsbeispiel anhand einer Zeichnung näher erläutert
In der Zeichnung ist eine Zentrale 1 und eine

ίο Unterstation 2 dargestellt die durch einen fibertragungskanal 3 miteinander verbunden sind. Es können jedoch mehrere Unterstationen mit der Zentrale verbunden sein, die untereinander ringförmig verbunden sind. Alle Funktionseinheiten der Signalverarbei-

is tung und -umsetzung sind zweifach vorhanden und sind in zwei identischen Datenverarbeitungskanälen 4, S, 6,7 organisiert Alle Funktionselemente, die eine Signalverteilung, einen Signalvergleich oder Signalabstimmung zwischen den beiden Kanälen vornehmen, sind dagegen nur einfach vorhanden und daher aus Fail-safe-Bausteinen aufgebaut Eine Ausnahme bildet der Übertragungskanal 3, der — obwohl er aus Komponenten ohne besondere Sicherheitsanforderungen besteht — nur einfach vorhanden ist da dessen Funktion durch die Telegrammtastung dauernd in beiden Signallagen beansprucht wird. Die zu übertragenden Telegramme sind mit einer Hamming-Distanz gesichert so daß bei fest installierten Übertragungsleitungen nicht damit gerechnet zu werden braucht, daß verfälschte TeIegramme in der Gegenstation als richtig erkannt werden. Liegen ungünstige Übertragungsbedingungen vor, so können zusätzlich-; Maßnahmen getroffen werden, z. B. eine zeitliche Redundanz, wobei das gleiche Telegramm zweimal übertragen und in der Empfangsstation auf Koinzidenz geprüft wird oder durch örtliche Redundanz, wobei die gleichen Telegramme parallel über getrennte Übertragungskanäle übertragen werden.

Die Datenverarbeitungskanäle 4,5,6,7 bestehen aus einem Dateneingabegerät 8, einem Datenbus 9, einem Leitwerk 10 und einem Telegrafiesender und -empfänger (TEGEM) 11. In der Zentrale Ssnc! die Datenverarbeitungskanäle miteinander verbunden über eine Befehlseingabe 12, in die aus einem laufenden Prozeß 13 Befehle gelangen. Sie sind ferner miteinander verbunden durch ein Valenzprüfgerät 14, welches die Meldungsausgabe bewirkt, und durch eine Synchronisierstufe 15, ferner sind die Telegrammsender und -empfänger miteinander durch Ausgangsvergleinher mit Eingangsentkopplern 16 verbunden. Befehiseingabegerät, Valenzprüfgerät, Synchronisierstufe und Ausgangsvergleicher sind aus fehlersicheren Bausteinen aufgebaut.

In der Unterstation sind die Datenübertragungskanäle miteinander verbunden wie in der Zentrale, nur mit dem Unterschied, daß zwischen den Dateneingabegeräten 17 das Meldungseingabegerät 18 und das Valenzprüfgerät mit der Befehlsausgabe 19 angeordnet ist. Das Meldungseingabegerät, das Valenzprüfgerät, die Synchronisierstufe und Ausgangsvergleicher mit Eingangsentkopplern sind — wie in der Zentrale — aus fehlersicheren Bauelementen aufgebaut. Die Fehlerund Meldetelegramme werden rückwirkungsfrei übertragen, d. h., durch einen Fehler in einem Kanal wird kein Fehler im anderen erzeugt. Die Befehle werden

M dem Prozeß zugeleitet.

Die vom Prozeß in fehlersichcrer Form vorliegenden Telegramme werden über ein Dateneingabegerät in einem definierten Zeitpunkt rückwirkungsfrei jeweils

mit einem zentralen Synchronisierungstakt übernommen und den beiden in konventioneller Technik aufgebauten Datenverarbeitungskanälen zur weiteren Verarbeitung zur Verfügung gestellt Eine Verarbeitung der angebotenen Information erfolgt immer nur zwischen zwei Synchronisiertakten, so daß die beiden Kanäle während der Verarbeitungsphase ein gleiches Informationsangebot erhalten. Dadurch wird gewährleistet, daß beide Kanäle gleiche Informationen verarbeiten. Das Programm des den Informationsfluß innerhalb eines Datenver^beitungskanals steuernden Leitwerkes ist in Programmabschnitte unterteilt, die jeweils mit einem TEGEM-Ladebefehl enden. Beide Datenverarbeitungskanäle verarbeiten gleiche Programmabschnitte. Die Länge der Programmabschnitte ist zeitlich definiert, so daß nach einem synchronen Programmstart die jeweils nächsten Ladebefehle etwa gleichzeitig eintreffen. Jeder TEGEM-Ladebefehl eines Kanals wird gleichzeitig der Synchronisierstufe mitgeteilt Eine Synchronisierstufe enthält u.a. zwei Zeitglieder. Das eine Zeitglied ist entsprechend der maximalen Laufzeit-Differenz der in den beiden getrennten Datenverarbeitungskanälen ablaufenden Programmabschnitte ausgelegt Das andere Zeitglied ist in seiner Zeit entsprechend der Programmabschnittslänge eingerichtet

Beim Start werden beide Zeitglieder der Synchronisierstufe aufgezogen und die gleichartigen Programme der beiden Datenverarbeitungskanäle gleichzeitig gestartet Erreicht z. B. der eine Datenverarbeitungskanal zuerst das Ende des ersten Programmabschnitts, wird vom Leitwerk dieses Kanals ein TEGEM-Ladebjfehl an den zugehörigen TEGEM und an die Synchronisierstufe gegeben. Das Leitwerk des Datenverarbeitungskanals geht daraufhin in Wartestellung und erwartet von der Synchronisierstufe ein Freigabesignal zum Weiterstart seines Programms. In der Synchronisierstufe wird das erste Zeitglied gestartet Innerhalb der Ablaufzeit dieses Zeitgliedes muß vom Leitwerk des zweiten Datenverarbeitungskanals ebenfalls ein TEGEM- Ladebefehl erfolgen. Der Zustand der beiden Zeitglieder und der TEGEM-Ladebefehl bilden eine Grundbedingung und lösen das Freigabesignal aus, welches rückwirkungsfrei an beide Leitwerke gegeben wird, und diese zur Abarbeitung des zweiten bzw. des nachfolgenden Programmabschnitts weiter startet Das Freigabesignal startet gleichzeitig das zweite Zeitglied und wird als Synchronisiertakt für die Eingabesteuerung benutzt.

Mit dem Anfang des folgenden Programmabschnitts werden die Telegrammsender und -empfänger der beiden Datenverarbeitungskanäle gestartet und geben darauf die geladene Information unter Zusatz eines Sicherungscodes seriell an den Ausgangsvergleicher bitsynchron ab. Die abgegebenen Telegramme werden verglichen und nur bei Gleichheit einem Modem 20 übergeben.

In der Unterstation wird das Telegramm über ein weiteres Modem rückwirkungsfrei auf die beiden TEGEM gegeben. In jedem TEGEM wird das empfangene Telegramm unabhängig voneinander auf Codierungs- bzw. Telegrammfehler geprüft. Die Prüfung erfolgt durch einen den TEGEM steuernden Mikroprozessor.

Um systematisch die Funktion der Codeprüfung des TEG EM's sowohl der Zentrale als auch der Unterstationen zu testen, wird folgende Prüfprozedur für die zwei möglichen Fälle vorgesehen: Sind mehrere Unterstatio- :ien vorhanden, meldet jedes TEGEM seiner Synchronisierstufe, ob ein richtiges oder fehlerhaftes Telegramm empfangen wird. Nach jedem zyklischen Aufruf aller Unterstationen durch die Zentrale beauftragt diese eine Unterstation ein Falschteiegramm zu senden. Zentrale und Unterstationen sind durch eine Ringleitung

s miteinander verbunden. Das Falschteiegramm wird sowohl von der Zentrale als auch von allen Unterstationen empfangen und ausgewertet Nach dem nächsten Normalzyklus wird eine andere Unterstation beauftragt, ein Falschtelegramm zu senden, so daß innerhalb einer

ίο bestimmten Zeit jede Unterstation nacheinander beauftragt wird. Jedes TEGEM muß seiner Synchronisierstufe den Empfang des Falschtelegramms melden. In den Synchronisierstufen der Unterstationen und der Zentrale werden die von den Codeprüfungen jedes

is TEGEM's abgegebenen Prüfsignale laufend miteinander verglichen. Bei übereinstimmender Erkennung eines Falschtelegramms wird ein weiteres Zeitglied aufgezogen. Wird dieses Zeitglied nicht in der vorgegebenen Zeit aufgezogen oder liefern beide Datenvararbeitungskanäle unterschiedliche Ergebnisse, wird die Meldungsbzw. Befeüsausgabe durch die Synchronisierstufe verhindert

Im Linienverkehr, d. h. bei der Korrespc ndenz mit nur einer Unterstation, wird im normalen zyklischen Verkehr zwischen der Zentrale und der Unterstation in bestimmten Zeitabständen zur Testung der Codeprüfung von der Zentrale die Unterstation aufgefordert, ein Falschtelegramm zu senden. Mit dem Einlaufen des gesendeten Falschtelegramms in der Zentrale und nach dessen Auswertung durch die Codeprüfeinrichtung des TEGEM's, wird wie im anderen FaO ein weiteres Zeitglied aufgezogen. Damit auch in der Unterstation ein Test stattfindet wird anschließend von der Zentrale ebenfalls ein Falschteiegramm gesendet Auswertung und Prüfung in der Unterstation erfolgen wie im anderen Fall. Danach wird der normale Programmablauf wieder aufgenommen.

Um die Doppelfehlerwahrscheinlichkeit d.h. die Wahrscheinlichkeit für das Auftreten gleichartiger, gleichgerichteter Fehler und damit die Möglichkeit von gefährlichen Fehlern in den beiden identischen und nichtfehlersicheren Datenverarbeitungskanälen zu vermeiden und unabhängig von der Bewegung der Prozeßsignale zu machen, ist es notwendig, mit Hilfe von Prüftelegrammen einen festen Prüfzyklus und damit kurze Fehleroffenbarungszeiten einzuführen. Die Initiative zum Auslösen einer Prüfroutine mittels Prüftelegrammen geht von den Leitwerken der Zentrale aus. Zu einem definierten Zeitpunkt vor dem Übertragen eines Prüftelegramms wird die Synchronisierstufe durch die Leitwerke informiert. Diese setzt daraufhin die fehlersicheren Eingabebaugruppen in eine definierte Lage. Diese ist ein signaltechnisch sicherer Zustand, z. B. ein Rotsignal. Alle daraufhin aus der Zentrale übertragenen Te'egr '.nme werden als Prüftelegramme gekennzeichnet. Diese Kennzeichnung löst in der Unterstation die Ausgabe eines Spei fsignals an die Synchronisierstufe aus. Diese sperrt daraufhin die Informationsausgabe der fehlersicheren Ausgabebaugruppen und setzt gleichzeitig die Meldungseingaben in eine definierte Lage entsprechend dem signaltechnisch sicheren Zustand. Mit dem Sperrsignal wird gleichzeitig die richtige Ausgabe der definierten Signalzustände geprüft. Bei richtiger Ausführung wird ein Quittungssignal an die

^M .Synchronisierstufe gegeben. Diese überwacht das regelmäßige Eintreffen von Quittungssignalen.

Als Antworttelegramm auf das von der Zentrale gesendete Prüftelegramm wird von der Unterstation

ebenfalls ein Prüftelegramm gesendet. Das von der Zentrale einlaufende Prtiftelegramm lösI eine Prüfung der Ausgabeeinheit in der Zentrale aus. Die Prüfroutine mittels Prtiftelegramm wird mit dem Zyklus zur Testung der Codeprüfung gekoppelt. Die PrUfzykluslänge ist abhängig von MTBF (mean time between failure) der Einrichtung, also der Zeit zwischen zwe Die Datenübertragungseinrichtung dung ist besonders vorteilhaft bei d< Anwendung der Lichtleitfasertechnik. S als eigen- und fremdstörspannungssi werden.

Hierzu 2 Blatt Zeichnungen

Claims (5)

Patentansprüche:

1. Fehlersichere Datenübertragungseinrichtung, bestehend aus einer Zentrale, mindestens einem Übertragungskanal und mindestens einer Unterstation, dadurch gekennzeichnet, daß Zentrale und Unterstation aus je zwei einander entsprechenden Datenverarbeitungskanälen bestehen, welche je ein Leitwerk, ein Dateneingabegerät sowie je einen Telegrammsender und -empfänger enthalten, und welche durch fehlersichere Eingabegeräte, in die in der Zentrale Befehle, in der Unterstation Meldungen eingegeben werden, fehlersichere Ausgabegeräte, aus denen in der Zentrale Meldungen, in der Unterstation Befehle ausgegeben werden, fehlersichere Valenzprüfgeräte, fehlersichere Synchronisierstufen und fehlersichere Ausgangsvergleicher mit Eingangsentkopplern derart miteinander verbunden sind, daß die zu übertragenden Befehle und Meldetelegramme in beiden Datenverarbeitungskanälen unabhängig voneinander gebildet und nach Feststellung der Gleichheit ausgegeben und über je ein Modem in der Zentrale und in der Unterstation übertragen werden.

2. Datenübertragungseinrichtung nach Patentanspruch 1, dadurch gekennzeichnet, daß Meldetelegramme in der Unterstation und Befehlstelegramme in der Zentrale beiden Verarbeitungskanälen zugeleitet und auf formale Fehler geprüft werden.

3. Datenübertragungseinrichtung nach Patentanspruch 1, dadurch gekennzeichnet, daß die Funktionselemente der Datenverarbeitungskanäle durch die Übertrag :ng von Prüftelegrammen überwachbar sind, die von den Leitwerken der Unterstation veranlaßt werden, wobei die fehlersicheren Eingabegeräte in eine definierte La?" gesetzt und die fehlersicheren Ausgabegeräte blockiert werden.

4. Datenübertragungseinrichtung nach Patentanspruch t, dadurch gekennzeichnet, daß Prüftelegramme mit bekannt falschen Prüfzeichen zur Überwachung der Codiereinrichtung in zyklischen Abständen übertragen werden.

5. Datenübertragungseinrichtung nach Patentanspruch 1, dadurch gekennzeichnet, daß die Priifzyk len in einem gemeinsamen Zyklus übertragen und fehlersicher ausgewertet werden.