-
-
Datenverarbeitungsanlage mit in zwei Kanälen dieselben
-
Daten verarbeitenden Rechnern Die Erfindung bezieht sich auf eine
Datenverarbeitungsanlage mit in zwei Kanälen dieselben Daten verarbeitenden, mit
Gleichstrom versorgten Rechnern, die sich gegenseitig bezüglich einwandfreien Arbeitens
überwachen und im Fehlerfall die Gleichstromversorgung abgeschaltet wird.
-
Bei einer Anzahl von speziellen technischen Prozessen, z.B. die Steuerung
und Überwachung von Kernreaktoren oder die Steuerung von Eisenbahnsicherungsanlagen,
wird nach einem anerkannten sicherungstechnischen Prinzip gearbeitet, wonach bei
technischen Fehlern, mit denen beim Betrieb von nicht sicheren Datenverarbeitungsanlagen
gerechnet werden muß, der zu steuernde Prozeß in einen für den Menschen und auch
das Material unkritischen Zustand überführt wird. Dies kann bei Eisenbahnsicherungsanlagen
beispielsweise dadurch bewirkt werden, daß allen prozeßaktivierenden Signalen ein
hoher Signalpegel zugeordnet wird, der bei einer technischen Störung der den Prozeß
steuernden Datenverarbeitungsanlage auf allen Ausgabekanälen abgeschaltet wird.
Diese Verfahrensweise setzt allerdings technische Einrichtungen voraus, die eine
fehlerhafte Datenverarbeitung unverzüglich erkennen, besser noch, defekt gewordene
Anlagenteile als solche unabhängig vom eigentlichen Datenfluß herauszufinden, die
dann abgeschaltet werden.
-
Dadurch kann vermieden werden, daß dem zu sichernden und steuernden
Prozeß auf keinen Fall unerwünschte Befehle
zugeleitet werden.
-
Zur Erhöhung der Verfügbarkeit einer Anlage kann eine Verdopplung
der Datenverarbeitungsanlage unter dem Gesichtswinkel vorgesehen werden, daß nach
dem Auftreten eines Fehlers in einer der beiden Datenverarbeitungsanlagen auf die
jeweils andere Anlage umgeschaltet wird, die im Parallelbetrieb ja dieselben Informationen
ständig mit verarbeitet hat. Doppel systeme dieser Art haben zwar in wünschenswerter
Weise die erhöhte Verfügbarkeit, jedoch nicht die für die oben angegebenen Anlagen
zu fordernde Sicherheit, wenn ein defekt gewordener Anlagenteil dadurch ermittelt
wird, daß ständig ein Vergleich vieler Schaltzustände gleichartiger Anlagenteile
beider Datenverarbeitungsanlagen erfolgen muß. Somit darf bei den letztgenannten
Doppelrechnersystemen keine Beschränkung dahingehend erfolgen, daß nach einem Fehlerfall
nur einzelne Anlagenteile des verdoppelten Systems abgeschaltet werden, also z.B.
nur eine der beiden Datenverarbeitungsanlagen, weil für den verbleibenden Rest dann
keine ausreichende sichere Fehlererkennung mehr vorhanden ist.
-
Demzufolge müssen also in für sicherungstechnische Steuerungen konzipierten
Doppelrechnersystemen nach einem in einem beliebigen Anlagenteil erkannten Fehler
beide Datenverarbeitungsanlagen abgeschaltet werden. Eine Datenverarbeitungsanlage,
die nach diesem Prinzip arbeitet, ist in der DE-OS 26 12 100 beschrieben. Dieses
bekannte Doppelrechnersystem besteht unter anderem aus zwei voneinander unabhängigen
Gleichstromquellen gespeisten Mikrocomputern. In einer gemeinsamen Taktstromversorgungseinrichtung
werden außer den erforderlichen Steuersignalen ein Überwachungspuls generiert, dessen
Überwachungsimpulse zum Abfragen von in Reihe geschalteten Vergleichern dienen.
Nur bei ordnungsgerechter Überein-
stimmung aller zu vergleichenden
Signalpaare der verschiedensten Signalquellen können die nacheinander ausgelösten
Überwachungsimpulse an die Taktstromversorgungseinrichtung zur weiteren Aufrechterhaltung
des Betriebes wieder rückgeführt werden.
-
Ferner wird der Überwachungspuls einem Überwacher für dynamische Signale
zugeführt, der beim Ausbleiben des Überwachungspulses unter Einsatz zweier Spezialrelais
die beiden Gleichspannungsquellen von den Mikrocomputern trennt. Dies entspricht
einem sicheren Abschalten der gesamten Datenverarbeitungsanlage, so daß die Ausgabe
von prozeßgefährdenden Signalen unter allen Umständen vermieden wird.
-
Diese bekannte Einrichtung erfordert jedoch für die Realisierung des
Abschaltvorganges einen beträchtlichen Aufwand an Vergleichern, in der Taktstromversorgungsanlage
in Verbindung mit dem überwachen und die beiden Spezialrelais. Die letztgenannten
benötigen gegenüber der Elektronik m ngemessen viel Platz.
-
Der Erfindung liegt die Aufgabe zugrunde, eine Datenverarbeitungsanlage
der eingangs genannten Art dahingehend weiterzubilden, daß der bisher notwendige
Hardware-Aufwand drastisch verringert wird.
-
Erfindungsgemäß wird die Aufgabe dadurch gelöst, daß die beiden Rechner
in Verbindung mit zwei durch mindestens einen der beiden Rechner im Fehlerfall ansteuerbaren
Schalteinrichtungen zur Erzeugung eines vorgegebenen Stromes über eine gemeinsame
Sicherung mit definierter Abschaltverzögerung gespeist werden und daß in
den
Stromkreisen der Schalteinrichtungen für Prüfzwecke, bei denen die Rechner auf die
Schalteinrichtungen kurze Testsignale abgeben, deren zeitliche Dauer kürzer ist
als die Abschaltverzögerung der Sicherung, Strommeßwertgeber vorgesehen sind, deren
Signale den Rechnern zugeführt werden.
-
Vorteilhaft ist für diese Datenverarbeitungsanlage, daß das Auslösen
der Schutzfunktion auch noch beim Ausfallen eines der beiden Rechner gewährleistet
ist. Das Auslösen der Schutzfunktion kann datenflußunabhängig erfolgen, und zwar
im Rahmen eines jeweiligen Selbsttestes jedes der beiden Rechner.
-
Eine vorteilhafte, besonders aufwandsarme Ausbildung der erfindungsgemäßen
Datenverarbeitungsanlage ist dadurch gekennzeichnet, daß jede der Schalteinrichtungen
aus einem Schalttransistor besteht, dessen Schaltstrekke über einen Strombegrenzungswiderstand
mit Gleichstrom versorgt wird, wobei der Strombegrenzungswiderstand gleichzeitig
als Strommeßwertgeber dient.
-
Ein Ausführungsbeispiel der Erfindung ist in der Zeichnung dargestellt
und wird nachfolgend näher erläutert.
-
Das Schaltbild zeigt ein Doppelrechnersystem, also eine Datenverarbeitungsanlage
mit in zwei Kanälen dieselben Datenverarbeitenden Rechnern RR1 und RR2. Da es für
die Erläuterung der erfindungsgemäßen Anlage unerheblich ist, was für ein Prozeß
durch die Datenverarbeitungsanlage gesteuert werden soll, ist auf die Darstellung
näherer Einzelheiten peripherer Anlagenteile verzichtet worden. Die beiden Rechner
RR1 und RR2 werden aus einer gemeinsamen Gleichstromversorgungsquelle (+) UB über
eine Sicherung SG gespeist. Zur Entkopplung der
Rechner RR1 und
RR2 auf der Stromversorgungsseite erfolgt die Stromversorgung über einen Vorwiderstand
R1 bzw. beim anderen Rechner RR2 über einen Vorwiderstand R2. Ferner sind Kondensatoren
C1 und C2 vorgesehen, die in bekannter Weise zum Unterdrücken etwaiger schnellveränderlicher
Spannungsschwankungen dienen. Die Kapazitätswerte sind jedoch so gering gewählt,
daß bei einer Unterbrechung der Energieversorgung kein unzulässig weiterer Betrieb
ermöglicht wird. Das liegt auch daran, daß bei ausgelöster Sicherung SG eine schnelle
Entladung durch den Schalttransistor TR1 oder TR2 erfolgt. Prozeßgefährdende Signale
werden somit unterdrückt. Ferner werden über die Sicherung SG zwei Schalteinrichtungen
in Form von Schalttransistoren TR1 und TR2 gespeist, deren Schaltstrecken über einen
Widerstand R3 bzw. R4 mit Gleichstrom versorgt werden. Der Widerstand R3 dient als
Strombegrenzungswiderstand für den Fall, daß der zugehörige Schalttransistor über
eine Leitung L1 vom Rechner RR1 ein Schaltkennzeichen erhält. Entsprechendes gilt
sinngemäß für den Widerstand R4 und ein Schaltkennzeichen über eine Leitung L2 vom
Rechner RR2. Die genannten Schaltkennzeichen sind in ihrer zeitlichen Dauer so bemessen,
daß der durch den Schalttransistor TR1 bzw.
-
TR2 fließende Strom ausreicht, die Sicherung SG wunschgemäß zu zerstören.
Zu dem Zweck ist für die Sicherung SG eine definierte Abschaltverzögerung vorgesehen,
die kürzer ist als die Dauer des Schaltkennzeichens über die Leitung L1 bzw. L2.
-
Das Schaltkennzeichen wird von einem der beiden Rechner RR1 und RR2
dann ausgelöst, wenn aufgrund eines Eigentestes oder eines Testes durch Vergleich
von Informationen über eine Datenaustauschleitung DG zwischen den beiden Rechnern
RR1 und RR2 ein Defekt festgestellt wurde. Dieser Defekt soll zum Abschalten der
für beide
Rechner RR1 und RR2 gemeinsam vorgesehenen Gleichstromversorgungsquelle
(+) UB dienen.
-
Die Widerstände R3 und R4 erfüllen in vorteilhafter Weise eine Doppelfunktion.
Sie dienen einerseits als Strombegrenzungswiderstand und auf der anderen Seite als
Strommeßwertgeber. Um zu prüfen, ob der Schalttransistor TR1 bzw. TR2 zu gegebener
Zeit auch in der Lage ist, einen derartig hohen Strom durch den Widerstand R3 bzw.
-
R4 und die Sicherung SG zu schalten, daß die Sicherung SG wunschgemäß
zerstört wird, gibt der Rechner RR1 bzw.
-
RR2 zu vorgegebenen Zeitpunkten über die Leitung L1 bzw.
-
L2 ein Testsignal, welches zeitlich wesentlich kürzer ist als das
oben näher beschriebene Schaltkennzeichen.
-
Durch diese Testsignale werden die Schalttransistoren TR1 und TR2
zeitlich nur sehr kurz angesteuert, so daß die Sicherung SG aufgrund der Abschaltverzögerung
nicht zerstört wird, jedoch über den Widerstand R3 bzw. R4 im ordnungsgerechten
Zustand ein vorgegebener Strom fließt.
-
Der Spannungsabfall am Widerstand R3 bzw. R4 wird über eine Leitung
L3 bzw. L4 dem Rechner RR1 bzw. RR2 als Testergebnis zugeführt. Somit kann betriebsmäßig,
auch unabhängig vom Datenfluß in vorgegebenen Zeitabständen selbsttätig getestet
werden, ob die hardwaremäßigenVoraussetzungen zum Zerstören der Sicherung SG noch
vorhanden sind oder nicht.
-
Für Rechner, die bei mangelnder Versorgungsspannung anstelle der Schaltkennzeichen
oder Testsignale Nullpotential ausgeben, ist es besonders zweckmäßig, als Schalttransistoren
pup-Typen zu verwenden. Hierdurch werden die zur Spannungsglättung vorgesehenen
Kondensatoren C1 und C2 im Störungsfall auch dann noch weiter entladen, wenn die
Rechner RR1 und RR2 das spezielle Schaltkennzeichen nicht mehr auszugeben vermögen.
Der gewünschte
Abschaltvorgang im Störungsfall ist also mit geringem
Aufwand sichergestellt.
-
2 Patentansprüche einzige Figur