DE3439563C2 - - Google Patents

Description

Die Erfindung bezieht sich auf eine Datenverarbeitungs­ anlage mit in zwei Kanälen dieselben Daten verarbei­ tenden, mit Gleichstrom versorgten Rechnern, die sich gegenseitig bezüglich einwandfreien Arbeitens überwa­ chen und im Fehlerfall die Gleichstromversorgung abge­ schaltet wird.

Bei einer Anzahl von speziellen technischen Prozessen, z. B. die Steuerung und Überwachung von Kernreaktoren oder die Steuerung von Eisenbahnsicherungsanlagen, wird nach einem anerkannten sicherungstechnischen Prinzip gearbeitet, wonach bei technischen Fehlern, mit denen beim Betrieb von nicht sicheren Datenverarbeitungsan­ lagen gerechnet werden muß, der zu steuernde Prozeß in einen für den Menschen und auch das Material unkriti­ schen Zustand überführt wird. Dies kann bei Eisenbahn­ sicherungsanlagen beispielsweise dadurch bewirkt wer­ den, daß allen prozeßaktivierenden Signalen ein hoher Signalpegel zugeordnet wird, der bei einer technischen Störung der den Prozeß steuernden Datenverarbeitungs­ anlage auf allen Ausgabekanälen abgeschaltet wird. Die­ se Verfahrensweise setzt allerdings technische Einrich­ tungen voraus, die eine fehlerhafte Datenverarbeitung unverzüglich erkennen, besser noch, defekt gewordene Anlagenteile als solche unabhängig vom eigentlichen Da­ tenfluß herauszufinden, die dann abgeschaltet werden. Dadurch kann vermieden werden, daß dem zu sichernden und steuernden Prozeß auf keinen Fall unerwünschte Be­ fehle zugeleitet werden.

Zur Erhöhung der Verfügbarkeit einer Anlage kann eine Ver­ dopplung der Datenverarbeitungsanlage unter dem Gesichtswinkel vorgesehen werden, daß nach dem Auftreten eines Fehlers in einer der beiden Datenverarbeitungsanlagen auf die jeweils andere Anlage umgeschaltet wird, die im Parallelbetrieb ja dieselben Informationen ständig mit verarbeitet hat. Doppel­ systeme dieser Art haben zwar in wünschenswerter Weise die er­ höhte Verfügbarkeit, jedoch nicht die für die oben angegebenen Anlagen zu fordernde Sicherheit, wenn ein defekt gewordener An­ lagenteil dadurch ermittelt wird, daß ständig ein Vergleich vieler Schaltzustände gleichartiger Anlagenteile beider Daten­ verarbeitungsanlagen erfolgen muß. Somit darf bei den letztge­ nannten Doppelrechnersystemen keine Beschränkung dahingehend erfolgen, daß nach einem Fehlerfall nur einzelne Anlagenteile des verdoppelten Systems abgeschaltet werden, also z. B. nur eine der beiden Datenverarbeitungsanlagen, weil für den ver­ bleibenden Rest dann keine ausreichende sichere Fehlererkennung mehr vorhanden ist. Demzufolge müssen also in für sicherungs­ technische Steuerungen konzipierten Doppelrechnersystemen nach einem in einem beliebigen Anlagenteil erkannten Fehler beide Datenverarbeitungsanlagen abgeschaltet werden. Datenverarbei­ tungsanlagen, die nach diesem Prinzip arbeiten, sind in der Fachzeitschrift Signal + Draht 76 (1984) 3, Seiten 35 bis 41 unter dem Titel "Sicheres Mikrorechnersystem LOGISIRE" und in der DE-OS 26 12 100 beschrieben. Bei LOGISIRE wird im Fehlerfall eine für beide Rechner gemeinsame Versorgungsspan­ nung abgeschaltet. Das aus der DE-OS 26 12 100 bekannte Doppelrechner­ system besteht unter anderem aus zwei voneinander unabhängigen Gleichstromquellen gespeisten Mikrocomputern. In einer gemein­ samen Taktversorgungseinrichtung werden außer den erforder­ lichen Steuersignalen ein Überwachungspuls generiert, dessen Überwachungsimpulse zum Abfragen von in Reihe geschalteten Vergleichern dienen. Nur bei ordnungsgerechter Übereinstimmung aller zu vergleichenden Signalpaare der verschiedensten Signal­ quellen können die nacheinander ausgelösten Überwachungsimpulse an die Taktversorgungseinrichtung zur weiteren Aufrechter­ haltung des Betriebes wieder rückgeführt werden.

Ferner wird der Überwachungspuls einem Überwacher für dynamische Signale zugeführt, der beim Ausbleiben des Über­ wachungspulses unter Einsatz zweier Spezialrelais die beiden Gleichspannungsquellen von den Mikrocomputern trennt. Dies entspricht einem sicheren Abschalten der gesamten Datenver­ arbeitungsanlage, so daß die Ausgabe von prozeßgefährdenden Signalen unter allen Umständen vermieden wird.

Diese bekannte Einrichtung erfordert jedoch für die Realisie­ rung des Abschaltvorganges einen beträchtlichen Aufwand an Vergleichern, in der Taktversorgungsanlage in Verbindung mit dem Überwacher und die beiden Spezialrelais. Die letztge­ nannten benötigen gegenüber der Elektronik unangemessen viel Platz.

Der Erfindung liegt die Aufgabe zugrunde, eine Datenverarbei­ tungsanlage der eingangs genannten Art dahingehend weiterzu­ bilden, daß der bisher notwendige Hardware-Aufwand zum sicheren Abschalten der Datenverarbeitungsanlage im Fehlerfall drastisch verringert wird.

Erfindungsgemäß wird die Aufgabe dadurch gelöst, daß die beiden Rechner in Verbindung mit zwei durch mindestens einen der beiden Rechner im Fehlerfall ansteuerbaren Schalteinrichtungen zur Erzeugung eines vorgegebenen Stromes über eine gemeinsame Sicherung mit definierter Abschaltverzögerung gespeist werden, wobei die Dauer des vorgegebenen Stromes im Fehlerfall größer als die Abschaltverzögerung der Sicherung ist, und daß in den Stromkreisen der Schalteinrichtungen für Prüfzwecke, bei denen die Rechner auf die Schalteinrichtungen kurze Testsignale ab­ geben, deren zeitliche Dauer kürzer ist als die Abschaltver­ zögerung der Sicherung, Strommeßwertgeber vorgesehen sind, deren Signale den Rechnern zugeführt werden.

Vorteilhaft ist für diese Datenverarbeitungsanlage, daß das Auslösen der Schutzfunktion auch noch beim Ausfallen eines der beiden Rechner gewährleistet ist. Das Auslösen der Schutz­ funktion kann datenflußunabhängig erfolgen, und zwar im Rahmen eines jeweiligen Selbsttestes jedes der beiden Rechner.

Eine vorteilhafte Ausbildung der erfindungsgemäßen Daten­ verarbeitungsanlage ist dadurch gekennzeichnet, daß jede der Schalteinrichtungen aus einem Schalttransistor besteht, dessen Schaltstrecke über einen Strombegrenzungswiderstand mit Gleich­ strom versorgt wird, wobei der Strombegrenzungswiderstand gleichzeitig als Strommeßwertgeber dient.

Ein Ausführungsbeispiel der Erfindung ist in der Zeichnung dargestellt und wird nachfolgend näher erläutert.

Das Schaltbild zeigt ein Doppelrechnersystem, also eine Daten­ verarbeitungsanlage mit in zwei Kanälen dieselben Daten verar­ beitenden Rechnern RR 1 und RR 2. Da es für die Erläuterung der erfindungsgemäßen Anlage unerheblich ist, was für ein Prozeß durch die Datenverarbeitungsanlage gesteuert werden soll, ist auf die Darstellung näherer Einzelheiten peripherer Anlagen­ teile verzichtet worden. Die beiden Rechner RR 1 und RR 2 werden aus einer gemeinsamen Gleichstromversorgungsquelle (+) UB über eine Sicherung SG gespeist. Zur Entkopplung der Rechner RR 1 und RR 2 auf der Stromversorgungsseite er­ folgt die Stromversorgung über einen Vorwiderstand R 1 bzw. beim anderen Rechner RR 2 über einen Vorwiderstand R 2. Ferner sind Kondensatoren C 1 und C 2 vorgesehen, die in bekannter Weise zum Unterdrücken etwaiger schnell­ veränderlicher Spannungsschwankungen dienen. Die Kapa­ zitätswerte sind jedoch so gering gewählt, daß bei einer Unterbrechung der Energieversorgung kein unzulässig wei­ terer Betrieb ermöglicht wird. Das liegt auch daran, daß bei ausgelöster Sicherung SG eine schnelle Entladung durch den Schalttransistor TR 1 oder TR 2 erfolgt. Prozeß­ gefährdende Signale werden somit unterdrückt. Ferner werden über die Sicherung SG zwei Schalteinrichtungen in Form von Schalttransistoren TR 1 und TR 2 gespeist, de­ ren Schaltstrecken über einen Widerstand R 3 bzw. R 4 mit Gleichstrom versorgt werden. Der Widerstand R 3 dient als Strombegrenzungswiderstand für den Fall, daß der zuge­ hörige Schalttransistor über eine Leitung L 1 vom Rech­ ner RR 1 ein Schaltkennzeichen erhält. Entsprechendes gilt sinngemäß für den Widerstand R 4 und ein Schaltkenn­ zeichen über eine Leitung L 2 vom Rechner RR 2. Die ge­ nannten Schaltkennzeichen sind in ihrer zeitlichen Dauer so bemessen, daß der durch den Schalttransistor TR 1 bzw. TR 2 fließende Strom ausreicht, die Sicherung SG wunsch­ gemäß zu zerstören. Zu diesem Zweck ist für die Sicherung SG eine definierte Abschaltverzögerung vorgesehen, die kürzer ist als die Dauer des Schaltkennzeichens über die Leitung L 1 bzw. L 2.

Das Schaltkennzeichen wird von einem der beiden Rechner RR 1 und RR 2 dann ausgelöst, wenn aufgrund eines Eigen­ testes oder eines Testes durch Vergleich von Informa­ tionen über eine Datenaustauschleitung DG zwischen den beiden Rechner RR 1 und RR 2 ein Defekt festgestellt wur­ de. Dieser Defekt soll zum Abschalten der für beide Rechner RR 1 und RR 2 gemeinsam vorgesehenen Gleichstromver­ sorgungsquelle (+) UB dienen.

Die Widerstände R 3 und R 4 erfüllen in vorteilhafter Weise eine Doppelfunktion. Sie dienen einerseits als Strombegrenzungs­ widerstand und auf der anderen Seite als Strommeßwertgeber. Um zu prüfen, ob der Schalttransistor TR 1 bzw. TR 2 zu gegebener Zeit auch in der Lage ist, einen derartig hohen Strom durch den Widerstand R 3 bzw. R 4 und die Sicherung SG zu schalten, daß die Sicherung SG wunschgemäß zerstört wird, gibt der Rechner RR 1 bzw. RR 2 zu vorgegebenen Zeitpunkten über die Leitung L 1 bzw. L 2 ein Testsignal, welches zeitlich wesentlich kürzer ist als das oben näher beschriebene Schaltkennzeichen. Durch diese Testsignale werden die Schalttransistoren TR 1 und TR 2 zeitlich nur sehr kurz angesteuert, so daß die Sicherung SG aufgrund der Abschaltverzögerung nicht zerstört wird, jedoch über den Wider­ stand R 3 bzw. R 4 im ordnungsgerechten Zustand ein vorgegebener Strom fließt. Der Spannungsabfall am Widerstand R 3 bzw. R 4 wird über eine Leitung L 3 bzw. L 4 dem Rechner RR 1 bzw. RR 2 als Test­ ergebnis zugeführt. Somit kann betriebsmäßig, auch unabhängig vom Datenfluß in vorgegebenen Zeitabständen selbsttätig ge­ testet werden, ob die hardwaremäßigen Voraussetzungen zum Zer­ stören der Sicherung SG noch vorhanden sind oder nicht.

Für Rechner, die bei mangelnder Versorgungsspannung anstelle der Schaltkennzeichen oder Testsignale Nullpotential ausgeben, ist es besonders zweckmäßig, als Schalttransistoren pnp-Typen zu verwenden. Hierdurch werden die zur Spannungsglättung vor­ gesehenen Kondensatoren C 1 und C 2 im Störungsfall auch dann noch weiter entladen, wenn die Rechner RR 1 und RR 2 das spezi­ elle Schaltkennzeichen nicht mehr auszugeben vermögen. Der gewünschte Abschaltvorgang im Störungsfall ist also mit geringem Aufwand sichergestellt.

Claims (2)

1. Datenverarbeitungsanlage mit in zwei Kanälen dieselben Daten verarbeitenden, mit Gleichstrom versorgten Rechnern, die sich gegenseitig bezüglich einwandfreien Arbeitens überwachen und im Fehlerfall die Gleichstromversorgung abgeschaltet wird, dadurch gekennzeichnet, daß die beiden Rechner (RR 1, RR 2) in Verbindung mit zwei durch mindestens einen der beiden Rechner (RR 1 bzw. RR 2) im Fehlerfall ansteuer­ baren Schalteinrichtungen (TR 1, TR 2) zur Erzeugung eines vorge­ gebenen Stromes über eine gemeinsame Sicherung (SG) mit defi­ nierter Abschaltverzögerung gespeist werden, wobei die Dauer des vorgegebenen Stromes im Fehlerfall größer als die Abschalt­ verzögerung der Sicherung (SG) ist, und daß in den Stromkreisen der Schalteinrichtungen (TR 1, TR 2) für Prüfzwecke, bei denen die Rechner (RR 1, RR 2) auf die Schalteinrichtungen (TR 1, TR 2) kurze Testsignale abgeben, deren zeitliche Dauer kürzer ist als die Abschaltverzögerung der Sicherung (SG), Strommeßwertgeber vorgesehen sind, deren Signale den Rechnern zugeführt werden.

2. Datenverarbeitungsanlage nach Anspruch 1, dadurch gekennzeichnet, daß jede der Schalteinrichtungen aus einem Schalttransistor (TR 1, TR 2) besteht, dessen Schalt­ strecke über einen Strombegrenzungswiderstand (R 3, R 4) mit Gleichstrom versorgt wird, wobei der Strombegrenzungswiderstand (R 3, R 4) gleichzeitig als Strommeßwertgeber dient.