DE69604249T2

DE69604249T2 - Fehlertolerantes verteiltes Steuerungssystem

Info

Publication number: DE69604249T2
Application number: DE69604249T
Authority: DE
Inventors: Martin R. Batten; Brian D. Morrison; Michael N. Robillard; Creig E. Wienke
Original assignee: Raytheon Co
Current assignee: Parker Hannifin Corp
Priority date: 1995-07-20
Filing date: 1996-07-19
Publication date: 2000-04-20
Anticipated expiration: 2016-07-20
Also published as: JP3834105B2; US5809220A; EP0754991A1; EP0754991B1; JPH09200240A; DE69604249D1

Description

Die vorliegende Erfindung betrifft ein fehlertolerantes Steuersystem verteilter Intelligenz und ein Verfahren zum Zusammenbau sowie zum Betrieb eines solchen- Systems.
In Flugzeugen finden heutzutage typischerweise hydraulische Pumpen und Betätigungssysteme für die primäre und die sekundäre Flugsteuerung sowie eine große Anzahl geschirmter, verdrillter Punkt-zu-Punkt-Kabelverbindungen und Verbinder für sämtliche der Sensoren, Steuereinrichtungen und zugehöriger Ausrüstung im gesamten Flugzeug Verwendung. Vieles an dieser Ausrüstung ist schwer, kostspielig und arbeitsintensiv, und in vielen Fällen ist diese Ausstattung einzig für die Ausgestaltung einer Ausführungsform für einen jeweiligen Kunden ausgelegt. Gegenwärtig gebräuchliche verteilte Systeme von Sensoren und Stelltrieben großen Ausmaßes für die Steuerung, die Kommunikation und die Beleuchtung von Flugzeugsystemen, Fahrzeugsteuersystemen oder Systemen für die Steuerung industrieller Prozesse, werden in erster Linie als Punkt-zu-Punkt-Sammelschienen mit einer zugehörigen Steuerverdrahtung ausgeführt. Beispielsweise findet in einem Flugzeug ein ARINC 429 oder ARINC 629-Standardsystem Verwendung, welches mehr als 100 Pfund (50 kg) an Draht und Verbindern bei einem kleinem zivilen Flugzeug hinzukommen lassen. Diese Verbindungstechnik bedingt einen beträchtlichen Zeitaufwand bei der Konstruktion und dem Zusammenbau und resultiert in zusätzlichem Gewicht, zusätzlicher Kompliziertheit und einer mangelnden Flexibilität der so konstruierten Steuersysteme.
Fly-by-light (Flug-mit-Licht)-Systeme für die Flugzeugsteuerung sind vorgeschlagen worden und Prototypen der Systeme sind für eine Anzahl von Jahren in erster Linie auf Hochleistungsfluggerät der NASA und des Militärs demonstriert, worden. Flug-mit-Licht-Systeme sind jedoch nicht in größerem Umfang in einem Flugzeugprodukt eingebaut worden, da der Lösungsansatz die Verwendung einer hochzentralisierten Steuerung vorsah, typischerweise von gegenwärtig gebräuchlichen Flug-mit-Verdrahtung (fly-by-wire)-Systemen, was in unhandlichen und teueren Anordnungen resultierte. Zentralisierte Flugsteuerungssysteme des Flug-mit-Licht- Konzepts erfordern eine wesentliche Bandbreite in der Verbindung und eine große Anzahl von Fasern für Flugzeugsteuersysteme, um Fühlerdaten aufzunehmen, Steuerfunktionen zu verwirklichen und die zentrale Steuerung an die Stelltriebe zu vermitteln, die im Flugzeug verteilt sind. Zentralisierte Systeme des Flug-mit- Verdrahtungs- oder Flug-mit-Licht-Konzepts erfordern auch komplexe, vielseitige Hochleistungs-Prozessorsysteme. Die Kosten eines solchen zentralisierten Punkt-zu- Punkt-Systems sind beträchtlich. Das System erfordert komplexere, hohe Durchsatzmenge aufweisende Flugsteuercomputer, welche mit der Elektronik gekoppelt sind, um vielfältige Signale hoher Datengeschwindigkeit zu erzeugen und zu empfangen.
Im Stande der Technik ist eine Flug-mit-Licht-Architektur (fly-by-lightarchitecture) in einer Veröffentlichung mit dem Titel "A Low Maintenance and Highly Relilable Fly-By-Light architecture" von Dan Palumbo, NASA Langley Research Center, beschrieben. Die Flug-mit-Licht-Charakteristiken der Architektur liegen in einer seriellen faseroptischen Hintergrundebene und einem redundanten faseroptischen Datenbus. Eine verteilte Architektur wird durch Verwendung verschiedener Verarbeitungsgruppen auf dem Datenbus realisiert. Eine Verarbeitungsruppe enthält eine oder mehrere Verarbeitungseinheiten. Zwar ist diese Architektur eine verteilte Architektur, doch handelt es sich um eine enge Verteilung, wobei die Aufgaben eng gekoppelt sind, wie man aus der Anzahl von Verarbeitungsmodulen ersieht, welche am gleichen Ort befindlich sind. Wenn bei dieser Architektur ein Knotenpunkt zerstört wird, so fallen viele Funktionen aus. Tatsächlich stellt man die Erfüllung vielerlei Aufgaben durch jeden Knoten anstelle einer Bestimmung eines Knotens für ein bestimmtes Steuergesetz oder eine bestimmte Fühlerfunktion fest. Dieses System erfordert eine faseroptische Rückebene oder Hintergrundebene zusätzlich zu den redundanten faseroptischen Datenbussen. Weiter erfordert diese Architektur eine Entscheidung an jedem Netzwerk-Leitungsanschluß. Eine einfachere Lösung wäre eine Entscheidung nur an den Betätigungsknoten, wo Schlüssigkeitsprüfungen zwischen drei autonomen, fehlertoleranten Prozessoren stattfinden. Ein faseroptisches Steuersystem- Integrationsprojekt (FOCSI) ist in einem Artikel mit dem Titel "NASA, Navy to Evaluate Fly-By-Light Sensors in F/A-18" von Stanley W. Kandebo, Aviation Week & Space Technology, 2. August 1993, beschrieben. Die Veröffentlichung berichtet von Versuchen, die an einem faseroptischen Steuersystem durchgeführt wurden. Es werden passive optische Fühler und faseroptische Datenverbindungen verwendet, in welchen Fühlersignale und Betätigungssignale optisch übertragen werden. Die verwendete Architektur ist jedoch in starkem Maße zentralisiert und ist kostspieliger als eine verteilte Architektur, wie sie durch die vorliegende Erfindung vorgeschlagen ist. Es wird ausgeführt, daß das faseroptische Steuersystem das Gewicht der Signalübertragungswege vermindert, das Volumen dieser Signalübertragungswege herabsetzt, die Kosten für die Abnahme eines Flugzeugs durch größere Unempfindlichkeit gegenüber elektromagnetischen Einflüssen vermindert und die Feuersicherheit von Flugzeugen durch Ausschalten möglicher Entzündungsquellen vorantreibt. Diese Vorteile und weitere Vorteile werden durch bevorzugte Ausführungsformen der vorliegenden Erfindung erreicht.
In der Veröffentlichung "Autonomus Decentralised Computer Control Systems" beschreiben auf den Seiten 57 bis 66 in IEEE Computer, Band 17 Nummer 8, August 1984 die Autoren H. Ihara und K. Mod ein autonomes, dezentralisiertes Schleifennetzwerksystem (ADL), bei welchem eine Anzahl von intelligenten Knoten, jeder in Gestalt eines Host-Prozessors und eines Paares von Netzwerk- Steuerprozessoren, in einer Doppelschleifenstruktur verbunden ist, die zur optischen Übertragung in entgegengesetzten Richtungen ausgelegt ist. Jeder Netzwerk- Steuerprozessor (NCP) eines Knotens wirkt als Steuereinrichtung auf eine jeweilige der zwei optischen Übertragungsleitungen ein, wobei die beiden Netzwerk- Steuerprozessoren des Knotens verschmolzen und mit dem Host-Prozessor verbunden sind. Software, die in einem Festwertspeicher oder ROM in einem Netzwerk- Steuerprozessor gespeichert ist, dient zur Steuerung der Übertragung und der Netzwerk- Steuerprozessor besitzt eine eingebaute Prüfeinrichtung. Die Informationsübertragungsfunktion eines Pufferspeichers dient als Verbindungsweg in dem Netzwerk-Steuerprozessor. Jeder Netzwerk-Steuerprozessor verbreitet eine Nachricht, welche einen Inhaltscode anstelle einer Empfängeradresse enthält. Ein Netzwerk-Steuerprozessor entscheidet, ob eine Nachricht angenommen wird oder nicht, auf der Basis des Inhalts. Nur der Ursprungs-Netzwerk-Übertragungsprozessor kann die Nachricht aus der jeweiligen Schleife wegnehmen, wenn die Nachricht zurückkehrt. Dienotwendigen Inhaltscodes für einen Host-Prozessor sind in dem verbundenen Paar von Netzwerk-Steuerprozessoren gespeichert. Der Host-Prozessor kann die Inhaltscodes in dem angeschlossenen Paar von Netzwerk-Steuerprozessoren dynamisch ändern. Demgemäß hat jeder Netzwerk-Steuerprozessor eine Autonomie bezüglich des Aussendens und Empfangens von Nachrichten. Eine Schleife wird nicht durch irgend einen Netzwerk-Steuerprozessor besetzt, da jeder Netzwerk-Steuerprozessör sowohl in dem Speicher-und-Weitergabe-Überagungsmodus als auch in dem Durchleit- Übertragungsmodus arbeitet. Wenn ein Host-Prozessor irgend eine neue Information erzeugt, so sendet er sie zu dem angeschlossenen Paar von Netzwerk-Steuerprozessoren mit dem zugehörigen Inhaltscode. Jeder Netzwerk-Steuerprozessor überträgt diese Information zu einem stromab gelegenen Netzwerk-Steuerprozessor in einem Serien- Nachrichtenformat, welches den Inhaltscode, die Absenderadresse und eine Rahmenprüfsequenz enthält.
In der Veröffentlichung "Autonomous Decentraliced Steel Production Process Control System" beschreiben auf den Seiten 1457 bis 1460 im Konferenzbericht von 1989, IPEE Industry Applications Society Annual Meeting, Teil II, San Diego 1. bis 5. Oktober 1989, K. Mori u. a. die Verwendung eines ADL-Systems in Gestalt eines optischen Faserkabel-Lokalbererichsnetzwerkes, das eine Anzahl von HIDIC V90/5 Serien-Minicomputer verbindet, wobei die Funktionen von drei Haupt-Software- Subsystemen verteilt sind und diese Subsysteme die Echtzeit-Prozeßsteuerung eines Kaltwalzabschnittes eines Stahlproduktionsprozesses, die Online- Informationshandhabung und die Softwareentwicklung steuern.
Die vorliegende Erfindung ist in dem anliegenden Anspruch 1 definiert, auf den nun Bezug genommen sei.
Bevorzugte Ausführungsformen der Erfindung umfassen ein fehlertolerantes, verteiltes, geringe Kosten verursachendes Steuersystem bzw. control-by-lightTM-System mit einem bidirektionalen, eine Faser aufweisenden Serienkommunikationsmedium erhöhter Zuverlässigkeit;
ferner eine Kombination von faseroptischen Netzwerkverbindungen verteilter Intelligenz und von fehlertoleranten Techniken zur Bildung eines geringe Kosten verursachenden Steuersystems für Fühler und Stelltriebe von Fluggeräten, wobei das System eine Anzahl von Fehlern ertragen kann, ohne daß die Gesamt-Wirkungsweise betroffen ist, wobei örtliche Knotenpunkte eine verteilte Intelligenz bewirken, um eine Fühlersignalverarbeitung oder eine örtliche Stelltriebsteuerung vorzunehmen;
weiterhin ein im starken Maße verteiltes Fahrzeug-Steuernetzwerk unter Verwendung von Faseroptik zur Bildung eines Steuersystems mit einer wesentlich verminderten Empfindlichkeit gegenüber elektromagnetischer Beeinflußung (EMI), Blitzschlag und gegenüber Umgebungen mit hochintensivem Strahlungsfeld;
desweiteren ein fehlertolerantes, verteiltes "Steuerung mit Licht"-System (controlby-lightTM) mit faseroptischen Netzwerken, welche fehlertolerante intelligente Knoten verbinden, wobei das System für viele Arten von kritischen oder sicherheitsbedürftigen Steueraufgaben eingesetzt wird, beispielsweise für die Flugzeugsteuerung, Schiffsteuerung, Fahrzeugsteuerung, die Steuerung industrieller Prozesse, die Abschußsteuerung oder das Feuerleitwesen, die Gebrauchsschaltsteuerung, u.s.w..
Die Verwendung von seriellen Nachrichten, welche Synchronisationsbits enthalten, ist in der Veröffentlichung "Profibus Contra Interbus-S" von B. Jünger, Seiten 68 bis 79 von Elektronik, Band 43, Nr. 21, 18. Oktober 1994 beschrieben.
In einer bevorzugten Ausführungsform des Steuersystems nach der Erfindung enthalten die Knoten entweder einen Simplexknoten, einen dualen Steuerknoten oder einen Dreifachknoten oder einen Steuerknoten höherer Ordnung entsprechend dem anwendungsspezifischen vorbestimmten Pegel der Redundanz. Das Kommunikationsmedium enthält faseroptische Sammelschienenmittel (und dies vorzugsweise, doch können auch andere Medien je nach dem Anwendungsbereich eingesetzt werden), um die intelligenten Knoten miteinander zu verbinden. Die Sende- und Empfangsmittel und die faseroptischen Sammelschienen sehen eine bidirektionale Verbindung über das betreffende Medium vor. Die Sende- und Empfangsmittel und die faseroptischen Sammelschienen können alternativ auch eine in einer Richtung stattfindende Verbindung über das Medium vorsehen. Die Anzahl von intelligenten Knoten ist in einer Ringanordnung vorgesehen. Die Anzahl von intelligenten Knoten kann auch in einer Punkt-zu-Punkt-Topologie geordnet sein. Die Prozessormittel enthalten einen digitalen Steuer- und Verbindungsprozessor mit einem lokal betriebenen Netzwerk zur Bewerkstelligung der Netzwerkverbindungen unter den verteilten intelligenten Prozessoren. Jeder der Knoten enthält mindestens ein Prozessorelement und jedes Prozessorelement enthält Sende-Empfangsmittel als Schnittstelle zwischen dem Prozessorelement zu der verbindenden faseroptischen Sammelschienenanordnung, wobei jeder der intelligenten Knoten über die Sende-Empfangsmittel mit einer oder mehreren der bidirektional wirkenden faseroptischen Sammelschienen der faseroptischen Busanordnung entsprechend einem vorgegebenen Pegel der Redundanz verbunden ist. Jedes Prozessorelement in jedem der Knoten umfaßt Prozessormittel mit einem örtlich tätigen Netzwerk, welche mit den Sende-Empfangsmitteln gekoppelt sind, um Nachrichten zu verarbeiten, welche über die faseroptische Sammelschienenanordnung oder Busanordnung ausgesendet oder empfangen werden, und zur Verarbeitung von anwenderspezifischen Aufgaben der Knoten, wobei die Prozessormittel in dem Steuersystem autonom arbeiten. Die Knoten sind mit den Stelltrieben bzw. Fühlern oder mit Steuergeräten gekoppelt, um Steuerungsaufgaben oder Datenverarbeitungsaufgaben zu erfüllen. Jeder der Knoten enthält entweder ein Prozessorelement oder duale Prozessorelemente oder Dreifach-Prozessorelemente oder, Prozessorelemente in größerer Anzahl entsprechend dem anwenderspezifischen, vorbestimmten Pegel der Redundanz. Die bidirektional arbeitenden optischen Sammelschienen übertragen Nachrichten in zwei Richtungen rundum in einer Ringanordnung zur Erhöhung der Zuverlässigkeit. Jedes Prozessorelement umfaßt Mittel zur Erzeugung und zur Detektierung einer Zeitbake zur Synchronisation von ausgesendeten und empfangenen Nachrichten, wobei eines der die Zeitbake erzeugenden Mittel vorausgewählt wird, um in dem Steuersystem die genannte Zeitbake zu erzeugen.
Die bevorzugte Ausführungsform des fehlertoleranten, verteilten Steuersystems wird durch Ausführung der folgenden Schritte aufgebaut:
Bildung einer Anzahl intelligenter Knoten, wobei jeder Knoten mindestens ein Prozessorelement enthält;
Verbinden jedes der intelligenten Knoten mit mindestens einem bidirektionalen faseroptischen Bus entsprechend einem vorgegebenen Pegel der Redundanz; und
Schnittstellenbildung zwischen jedem der Prozessorelemente in jedem der Knoten und dem verbindenden faseroptischen Bus durch Sende-Empfangsmittel.
Das System arbeitet in der Weise, daß in jedem Element der Knoten Nachrichten verarbeitet werden, die auf dem faseroptischen Bus ausgesendet oder empfangen werden, und daß anwenderspezifische Aufgaben der Knoten mit den Prozessormitteln bearbeitet werden, welche ein örtlich betriebenes Netzwerk aufweisen, das mit den Sende-Empfangsmitteln gekoppelt ist, wobei die Prozessormittel autonom in dem Steuersystem arbeiten. Der Schritt der Verbindung jedes der intelligenten Knotenpunkte umfaßt den Schritt der Anordnung der Anzahl von Knoten in einer Ringtopologie, wobei die bidirektional arbeitenden faseroptischen Sammelschienen Nachrichten in zwei Richtungen rings herum in der Ringanordnung übertragen, was zu einer erhöhten Zuverlässigkeit führt. Eines der Prozessorelemente wird vorausgewählt, um die Zeitbake zur Synchronisation der Nachrichten zu erzeugen, welche ausgesendet und empfangen werden, wobei jedes Prozessorelement Mittel zur Erzeugung und zur Detektierung der Zeitbake enthält.

Kurze Beschreibung der Zeichnungen

Andere und weitere Merkmale und Vorteile der Erfindung ergeben sich aus der Erläuterung in Verbindung mit den begleitenden Zeichnungen. In diesen zeigen:
Fig. 1 ein Blockschaltbild eines fehlertoleranten, verteilten "Steuerung-mit-Licht"- Systems (control-by-lightTM) gemäß der vorliegenden Erfindung;
Fig. 2 ein Blockschaltbild von Sende-Empfangsmitteln, welche mit einem Digitalssteuerungs- und Kommunikationsprozessor gemäß Fig. 1 verbunden sind;
Fig. 3 eine Abbildung einer Zeitfensteranordnung oder Zeitschlitzanordnung für das bestimmende Protokoll innerhalb einer Zeitbaken-Signalperiode;
Fig. 4 ein ins einzelne gehendes Blockschaltbild des bestimmenden Steuerteiles der Sende-Empfangsmittel gemäß Fig. 2;
Fig. 5 ein Blockdiagramm der Funktionszustände des Mechanismus gemäß Fig. 3;
Fig. 6 ein Flußdiagramm des Medienzugangsalgorithmus, welcher in dem PROM- Element des Digitalsteuerungs- und Kommunikationsprozessors von Fig. 2 verwirklicht ist;
Fig. 7 ein schematisches Diagramm einer Entscheidungsschaltanordnung, welche in dem Entscheidungsknoten von Fig. 1 verwendet wird; und
Fig. 8 eine schematische Darstellung eines optisch isolierten Empfängers, wie er, in Fig. 7 gezeigt ist.

Beschreibung der bevorzugten Ausführungsform

Es sei auf Fig. 1 Bezug genommen. Hier ist ein Blockschaltbild eines verteilte Intelligenz aufweisenden, fehlertoleranten Steuerung-mit-Licht-Systems (control-by- LightTM) 10 gezeigt, welches ein Bestimmungs-Protokollnetzwerk zur Verbindung mit einer Anzahl intelligenter Knoten 12, 14, 16, 18, 20 enthält. Diese Knoten 12 bis 20 sind mit einer oder mehreren bidirektionalen Serien-Sammelschienen oder Bussen 21, 22, 23 verbunden, wobei jeder der Busse in der bevorzugten Ausführungsform ein einzelner faseroptischer Ring ist. Die Zahl von in Fig. 1 gezeigten Knoten ist nur für ein bestimmtes System repräsentativ, und der Fachmann erkennt, daß viele Knotenpunktkonfigurationen, je nach dem besonderen Anwendungsfall des Systems, denkbar sind. Das System 10 ist besonders zweckmäßig für die Fluggerätsteuerung durch Schaffung eines geringe Kosten verursachenden, fehlertoleranten Systems verteilter Intelligenz nach dem Steuerung-mit-Licht-Prinzip zum Fühleraufnehmen und zur Steuerung über fehlertolerante faseroptische Netzwerke. Das System 10 verwendet verteilte örtliche intelligente Knotenpunkte 12 bis 20 zur Detektierung und/oder Steuerung physikalischer Parameter und Stelltriebe, wobei Nachrichten über die redundanten seriellen Busse 21, 22, 23 geschickt werden, immer dann, wenn sich die Fühlerinformation oder die Steuerinformation ändert. Um eine fehlertolerante Betriebsweise zu erreichen, sind 2, 3 oder 4 oder mehr redundante Datenbusse je nach dem Grad der Problematik vorgesehen und eine Redundanz wird auch in bestimmten intelligenten Knoten vorgesehen, die kritische Funktionen ausführen, beispielsweise Sensorfunktionen und Stelltriebfunktionen in einem Fluggerät-Steuersystem. Die Kopplung der Knoten 12 bis 20 mit den seriellen Datenbussen geschieht durch Sende- Empfangsmittel 261-N, und jedes der Sende-Empfangsmittel 261-N ist mit einem digitalen Steuerungs- und Kommunikationsprozessor (DCCP) 281-N verbunden. Jede Kombination eines Sende- und Empfangsmittels und eines digitalen Steuerungs- und Kommunikationsprozessors sei als ein Prozessorelement bezeichnet. Das vorliegende System 10 in Anwendung auf Fluggeräte ersetzt mechanische, hydraulische und elektrische Steuerungen, wie sie gegenwärtig von Flugzeugpiloten bedient werden, um primäre und sekundäre Flugsteuerfunktionen vorzunehmen, zu überwachen und darzustellen, und es ergibt sich ein wesentlicher Vorteil bezüglich Gewicht, Kosten, Sicherheit und Leistung gegenüber herkömmlichen Techniken. Das vorliegende System ist zur Steuerung in anderen Systemen außer in Fluggeräten verwendbar, beispielsweise für das Transportwesen am Boden, für Schiffe und Unterseeboote, für Raumfahrzeuge, für Gebrauchssteuerungen und für die Steuerung industrieller Prozesse. Zwar wird im vorliegenden Ausführungsbeispiel das Datenweiterleitungsmedium durch Faseroptiken gebildet, doch ist das Bestimmungs-Netzwerkprotokoll auch auf andere Medien anwendbar, etwa auf verdrillte Leitungspaare und Leistungsübertragungsleitungen.
Der Knoten 12 repräsentiert einen Einfachsteuerknoten oder Simplexsteuerknoten, der Knoten 14 repräsentiert einen dualen Steuerknoten und der Knoten 16 enthält einen dreifachen Steuerknoten mit fehlertoleranten, intelligenten Entscheidungseinrichtungen, welche nachfolgend beschrieben werden. Der Knoten 18 ist ein fehlertoleranter, auf Ausfall schnell reagierender dreifacher digitaler Knoten zur Schnittstellenbildung mit digitalen Fühlern bzw. Stelltrieben, und Knoten 20 ist ein fehlertoleranter, auf Fehler rasch reagierender, dreifacher Analogknoten zur Schnittstellenbildung mit analogen Fühlern bzw. Stelltrieben. Das Verbreitungs- Verbindungsglied, welches innerhalb der Knoten 18 und 20 gezeigt ist, ist ein bidirektional arbeitender serieller Bus ähnlich den Bussen 21, 22 und 23. Die bevorzugte Ausführungsform des Verbreitungs-Bindegliedes ersetzt die bidirektionalen Photodioden 68 und 70 und die Analogschnittstelle 66 mit einzelner Übertragungsfaser gemäß Fig. 2 durch eine optisch isolierte elektrische Schnittstelle. Dies führt zu einer Verminderung der Kosten für den Knoten und eignet sich zur Verwendung innerhalb eines einzigen Gerätegehäuses, wie dies typischerweise für einen Knotenpunkt, etwa den Knotenpunkt 18 oder den Knotenpunkt 20 vorgesehen ist. Durch Verteilung der Systemintelligenz auf jeden Knoten kann die Übertragung im Netzwerk vermindert werden und die Autonomie bezüglich einer Erholung von Fehlern wird erhöht und die Zuverlässigkeit wird verbessert.
In einer Anwendung des Steuerung-mit-Licht-Systems 10 für Flugzeuge kann der Informationsfluß zwischen den Knotenpunktrechnern minimal gehalten werden, indem die Steueralgorithmen über das Flugzeug verteilt werden. Es wird möglich, eine Gruppe von globalen Datennachrichten vorzusehen, welche über das Kommunikationsnetzwerk laufen und dem Zustand des Flugzeugs, den physikalischen Parametern und den Pilot-Steuerbefehlen entsprechen. Einzelne Knoten 12 bis 20 können sich eine bestimmte Gruppe von Nachrichten je nach der Funktion, die sie ausführen, gleichsam bestellen. Beispielsweise kann ein Schubumkehr-Steuercomputer sich Nachrichten bestellen, welche anzeigen, ob sich das Flugzeug in der Luft befindet, welchen Zustand das Triebwerk hat, welchen Zustand der Schubhebel hat, und welchen Zustand das Fahrwerk hat, und ob der Pilot das Herausfahren der Schubumkehr befohlen hat. Der Schubumkehr-Steuercomputer würde dann Datennachrichten verbreiten, welche dem Zustand des Schubumkehrsystems entsprechen. Ein Besatzungs- Signalanzeige-Rechner oder ein Untersystem würde dann die vom Schubumkehr- Steuerrechner verbreitenden Statusnachrichten sowie von anderen Computern und Untersystemen über das Netzwerk verbreitete Statusnachrichten bestellen. Für kritische Steuerfunktionen müssen Nachrichten empfangen und über redundante Netzwerke verteilt werden, bevor am Orte einer Stelltriebbetätigung Maßnahmen ergriffen werden.
Ein Knotenpunktrechner, beispielsweise der digitale Steuerungs- und Kommunikationsprozessor 281-N, kann so programmiert sein, daß er die Schließung einer örtlichen Regelschleife bezüglich eines Stelltriebs vorsieht. Durch Zuordnung der für die Steuerung des Stelltriebs erforderlichen Software beim Stelltrieb und durch Standardisieren auf ein Netzwerkprotokoll wird es bedeutend einfacher, Komponenten über das Flugzeug hin anzuschalten, während gleichzeitig Flexibilität und Vielfältigkeit des Aufbaus verbessert werden. Durch Aufteilung der Software wird auch das Minimieren der Wartungs- und Abnahmekosten unterstützt.
Das Steuerung-mit-Licht-System 10 verwendet serielle faseroptische Datenbusse 21, 22, 23, welche Vielfach-Nachrichten-Übertrager oder -Sender beliefern. Das Busnetzwerk verwendet eine verteilte Medienzugangstechnik zur Vermeidung von Kollisionen, während gleichzeitig vermieden wird, daß einzelne Fehlerangriffspunkte eingeführt werden. Die Vorteile eines kollisionsfreien Netzwerkprotokolls sind allgemein bekannt und sind besonders erstrebenswert für Flugzeugsteuersysteme oder andere kritische Steuersystem-Anwendungen.
Das Busnetzwerk einschließlich der Sende-/Empfangsmittel 261-N und der Sammelschienen 21, 22 und 23 gestattet bidirektionale Verbindungen über eine einzige Faser durch Beschränkung der Verbindungen auf einen halben Duplexanschluß. Dies hat den offensichtlichen Vorteil der Reduzierung der Kosten auf die Verbindung der Verarbeitungsknoten mit einer einzigen Faser. Jede faseroptische Sende- Empfangseinheit 26 hat zwei bidirektionale halbe Duplexanschlüsse. Dies gestattet den Aufbau großer Netzwerke durch Zusammenschluß von Verarbeitungselementen in Ringen. Jeder Knoten innerhalb des Netzwerkes oder Ringes ist mit seinen Nachbarn über ein bidirektionales Halbduplex-Faserverbindungsglied von Punkt zu Punkt verbunden. Wenn sich eine Nachricht über das Netzwerk ausbreitet, so wird die Nachricht an jedem Knoten 12 bis 20 regeneriert. Um zu verhindern, daß ein Fehler an einem einzigen Knoten oder Verbindungsglied das Netzwerk außer Betrieb setzt, wird jede Nachricht über den Ring in beiden Richtungen geschickt und wird aus dem Ring durch den Knoten herausgenommen, welcher die Nachricht aus beiden Richtungen empfängt. Dieses Verfahren der Sendung oder Übertragung garantiert die Ausgabe sämtlicher Nachrichten an alle arbeitenden Knoten, falls ein einzelner Apparateteil ausfällt oder eine optische Faser bricht.
Das "Steuerung-mit-Licht"-System (control-by-lightTM) verwendet Kombinationen traditoneller Fehlertoleranztechniken einschließlich einer Hardwareredundanz, einer Softwareredundanz, einer zeitlichen Redundanz und einer Informationsredundanz. Flugsteuerungsbedeutsame Funktionen werden unter Verwendung von Knoten verwirklicht, welche aus einer Mehrzahl von Prozessorelementen zusammengesetzt sind. Hardware- und Software- Entscheidungselemente dienen zur Sicherstellung der Gültigkeit oder Richtigkeit von, Befehlen. Mehrfache, unabhängige Datenbusse 21, 22 und 23 stellen die Gültigkeit oder Richtigkeit der Daten sicher. Asynchrone Tastungstechniken werden zur Verminderung von Wirkungen transienter Vorgänge oder Störungen eingesetzt. Der Softwareaufbau umfaßt Techniken wie Wiederherstellungsblöcke und Vernünftigkeitsprüfung, wie dies dem Fachmann auf dem Gebiet der Software-Fehlertoleranz bekannt ist.
Die digitalen Steuerungs- und Kommunikationsprozessoren 281-N in den Knoten 12 bis 20 werden von mehrfach vorgesehenen Quellen gespeist, um es dem System 10 zu gestatten, zu arbeiten, während ein Flugzeug oder ein anderes System sich im Zustand des Überdauerns einer Notsituation befindet. Intern verwenden die digitalen Steuerungs- und Kommunikationsprozessoren 281-N mehr als eine Leistungsquelle, damit ein ununterbrochener Betrieb nach Ausfall eines einzelnen Apparateteils sichergestellt ist. Je nach Anwendungsfall und nach Bedeutsamkeit der Funktion, welche verwirklicht werden muß, können Mehrfachstelltriebe und Mehrfachfühler eingesetzt werden.
Das "Steuerung-mit-Licht"-System (control-by-lightTM) erzwingt die Verteilung von Software über vielfache Prozessorelemente hin, wodurch unabhängige Software- Durchführungsvorgaben geschaffen werden, welche eine leicht definierbare Funktion verwirklichen. Sämtliche unabhängigen Routinen haben Verbindung über eine genau definierte Schnittstelle. Die Softwareverteilung gestattet ein gründliches Prüfen der Software unter Schaffung eines Niveaus der Vertrauenswürdigkeit, welches bei stärker zentralisierten Systemen oft schwierig und mit großem Aufwand erreichbar ist.
In Fig. 2 sind Blockschaltbilder des digitalen Steuerungs- und Kommunikationsprozessors (DCCP) 28 und der Sende-/Empfangseinheit 26 gezeigt, welche ein Prozessorelement bilden. Der digitale Steuerungs- und Kommunikationsprozessor 28 bildet das Netzwerk und nimmt die anwenderspezifische Verarbeitung innerhalb eines Knotens vor, um Eingänge von den Fühlern und den Steuergeräten intelligent zu verarbeiten und um Steuerinformationen über ein Netzwerk, beispielsweise ein solches, wie in Fig. 1 gezeigt, zu verbreiten. Der digitale Steuerungs- - und Kommunikationsprozessor 28 enthält ein in sehr starkem Maße integriertes Schaltungschip oder VLSI-Chip 50 mit drei Steuereinheiten 52, welche einen Medienzugangs-Steuerprozessor (MAC), einen Netzwerkprozessor und einen Anwendungsprozessor umfassen. Sämtliche drei Steuereinheiten 52 haben über einen gemeinsamen Adressen- und Datenbus 60 Verbindung zu einem Speicher wahlfreien Zugriffs oder RAM-Speicher 56 und zu einem nichtflüchtigen, programmierbaren Festwertspeicher oder PROM-Speicher 58. Die drei Steuereinheiten 52 sind mit einem Netzwerk-Verbindungsanschluß 54 gekoppelt, der eine Schnittstelle zu der Einfaser- Steuereinheit 64 der Sende-/Empfangseinheit 26 hat. Die Sende-/Empfangseinheit 26 und insbesondere die Entscheidungssteuereinheit oder deterministische Steuereinheit 72, ist mit dem Bus 60 über ein Bus-Verlängerungsstück 62 verbunden. Der RAM- Speicher 56 bildet den Allzweckspeicher für Netzwerknachrichten und Programmvariable. Der programmierbare Festwertspeicher oder PROM-Speicher 58 speichert Programme und Konfigurationsdaten für die drei Steuereinheiten 52 einschließlich einer Medienzugangs-Steuersystemroutine, welche nachfolgend beschrieben wird, um eine Prioritätsnachricht oder eine Nichtprioritätsnachricht auf dem Netzwerkbus 21, 22, 23 zu initiieren. Der Betrieb des VLSI-Chip 50 ist für das Chip 310 in dem Datenbuch "Neuron", Februar 199, veröffentlicht von Echelon Corporation, Palo Alto, Kalifornien, beschrieben, wobei auf dieses Buch hier Bezug genommen sei. Das VLSI-Chip 50 kann apparativ durch das Teil Nr. MC143150 verwirklicht werden, das durch Firma Motorola Inc., Phoenix, Arizona, hergestellt wird. Andere ähnliche Mikrocontroller mit der Brauchbarkeit für Netzwerkkommunikation können ebenfalls zur apparativen Verwirklichung des VLSI-Chip 50 verwendet werden. Der RAM-Speicher kann die Gestalt des Teiles Nr. CY7C199 haben, das von Firma Cypress Semiconductor, San Jose, Kalifornien, hergestellt wird. Der PROM-Speicher 58 kann die Gestalt eines Teiles Nr. AT29C256 haben, das von Firma Atmel Corp., San Jose, Kalifornien hergestellt und von Firma Raytheon Company, Marlborough, Massachusetts, programmiert wird.
Wie aus den Fig. 1 und 2 ersichtlich ist, empfängt und überträgt die Sende- /Empfangseinheit 26 Daten über den bidirektionalen Datenbus 21 (sowie über die Busse 22 und 23). Datenpakete vom faseroptischen Datenbus 21 oder für den faseroptischen Datenbus 21 werden über bidirektionale Photodioden 68, 70 geleitet, welche an eine Einzelfaser-Analogschnittstelle (SFAI) 66 angekoppelt ist, was einer bevorzugten Ausführungsform entspricht, oder sie werden in einer alternativen Ausführungsform über ein verdrilltes Paar oder andere Medien-Sende-Empfangseinheiten ober über gesonderte Photodioden für die Sendung und Photodioden für den Empfang oder über Laserdioden geführt, welche zwei faseroptische Kabel zwischen jedem Knoten sowie Zweifaser-Analogschnittstellen benötigen, wenngleich zwei faseroptische Kabelerforderlich sind. Die in einer Richtung arbeitenden Dioden sind billiger. Die Einfaser- Analogschnittstelle 66 formt die niedrigen Pegel aufweisenden Analogsignale von den bidirektionalen Photodioden 68, 70 in CMOS-Pegel oder TTL-Pegel um und umgekehrt. Die bidirektionalen Dioden 68 und 70 arbeiten im Pingpong-Modus, wobei sie entweder als Empfänger oder als Sender betrieben werden. Die Photodioden 68 und 70 können auch in einer Richtung arbeiten, so daß der Betrieb entweder nur ein Empfängerbetrieb oder ein Senderbetrieb ist. Wenn man zwei Pingpong-Dioden vorsieht, so gestattet dies den Datentransfer in unterschiedlichen Kommunikationstopologien durchzuführen, beispielsweise in Ringkonfiguration oder Sternkonfiguration. Die SFAI-Schnittstelle 66 ermöglicht ein rasches Ansprechen auf den Datenpaketmodus von einem Netzwerkruhezustand in den Datenpaket- Detektierungsbetrieb, wobei die SFAI-Schnittstelle 66 eine minimale Umstellzeit von dem Sendemodus in den Empfangsmodus oder von dem Empfangsmodus in den Sendemodus ermöglicht. Die SFAI-Schnittstelle 66 wandelt die Eingänge der Photodioden 68 und 70 in Digitalsignale um, wenn der Empfangsmodus herrscht, und wandelt die Digitalsignale in die von den bidirektionalen Photodioden 68 und 70 benötigten Treibersignale um, wenn der Sendemodus herrscht. Die SFAI-Schnittstelle 66 kann die Gestalt eines Teiles Nr. G641848-1 haben, das von Firma Raytheon Company, Marlborough, Massachusetts, hergestellt wird. Die bidirektionalen Photodioden 68, 70 können die Gestalt eines Teiles mit der Bezeichnung Model 1A212- SMA2A haben, das von Firma ABB Hafo Inc., San Diego, Kalifornien, hergestellt wird und die faseroptischen Datenbusse 21, 22, 23 können die Gestalt von faseroptischen Kabeln, beispielsweise Teil Nr. BF04499, hergestellt von Firma Spectran Corp., Avon, CT., haben.
Die SFAI-Schnittstelle 66 ist mit der Einfaser-Steuereinheit (SFC) 64 verbunden, die mit der deterministischen Steuereinheit (DC) 72 Verbindung hat. Die Einfaser-Steuereinheit 64 hat eine Schnittstelle zu dem Kommunikationsanschluß 54 des digitalen Steuerungs- und Kommunikationsprozessors 28 hin und die deterministische Steuereinheit 72 hat Verbindung zu den Bussen 60 und 62 des digitalen- Steuerungs- und Kommunikationsprozessors 28. Die Kombinationen aus der Einfaser- Steuereinheit 64 und der deterministischen Steuereinheit 72 ist als Einfaser-Steuerungs- und Entscheidungseinheit (SFC-D) 74 zu bezeichnen. Die SFC-D-Einheit 74 kommuniziert über die faseroptischen Datenbusse bidirektional (Halbduplex). Sie bewirkt die Steuerung des Betriebes des deterministischen Netzwerkprotokolls einschließlich eines Widerstreitprotokolls des digitalen Steuerungs- und Kommunikationsprozessors 28. Da die Sende-Empfangseinheiten 261-N in einer kreisförmigen Topologie oder Ringtopologie betrieben werden, wie in Fig. 1 gezeigt ist, bildet die Einfaser-Steuereinheit 64 einen Anti-Wiedereinspeisungs-Zeitgeber, der automatisch verhindert, daß Datenpakete wieder eingespeist werden, indem solche Datenpakete aus dem Netzwerk beseitigt werden, sobald sie einmal an allen Knoten 14 bis 20 empfangen worden sind. Die Einfaser-Steuereinheit 64 stellt die Signalqualität an jedem Knoten 14 bis 20 wieder her und bewirkt eine Kompensation der Impulsbreitenverzerrung, welche aus den unsymmetrischen Hoch/Tief- und Tief/Hoch- Ausbreitungsverzögerungen resultiert. Außerdem bewirkt diese Einheit eine optische Leistungsüberwachung durch Messen der Größe der Impulsbreitenverzerrung, welche ein relatives Maß für die optische Leistungsstärke liefert. Die Einfaser-Steuereinheit 64 stellt die Impulsbreite des Signals wieder her, bevor das Signal an den DCCP-Prozessor 28 geht oder wieder ausgesendet wird.
Nunmehr sei auf die Fig. 2 und 3 Bezug genommen. Fig. 2 zeigt, daß die deterministische Steuereinheit 72 mit der Einfaser-Steuereinheit 64 verbunden ist und außerdem eine Schnittstelle zu dem digitalen Steuerungs- und Kommunikationsprozessor 28 hin hat. Die deterministische Steuereinheit 72 bewirkt die Steuerung für eine Netzwerkreaktion in einer garantierten Zeitperiode durch die einzigartige Kombination von Zeitfensterverbindungen und auf Streitentscheidung basierenden Verbindungen. Die Verwendung des deterministischen Netzwerkprotokolls gestattet es den vielfachen Knoten 12 bis 20 von Fig. 1, Daten auszusenden, ohne daß die Gefahr einer Nachrichtenkollision besteht. Nachrichtenkollisionen sind unerwünscht, da sie dazu führen, daß das Netzwerk dabei versagt, diese Nachrichten in einer vernünftig umgrenzten und vorhersehbaren Weise auszuliefern. Eine Kollisionserfassung und/oder Nachrichtenbestätigungsprotokolle könnten dazu verwendet werden, Fehler der Nachrichtenauslieferung festzustellen, aber diese Verfahren liefern keine Garantie für eine Systemreaktionszeit. Das deterministische Netzwerkprotokoll gestattet es bei der Planung des Systems eine zuverlässige obere Grenze für die Nachrichtenauslieferungszeit zu setzen. Fig. 3 zeigt eine Anzahl von Zeitschlitzen oder Zeitfenstern 82, welche für die Nachrichtenübermittlung oder Datenpaketübermittlung verfügbar sind. Es wird ein Manchester-kodierter Datenstrom verwendet.
Jedes Fenster oder jeder Schlitz hat eine Dauer von einem Vielfachen von 12,8 Mikrosekunden, doch ändert sich diese Dauer entsprechend der Netzwerk- Übertragungsspezifikation. Die Definition der Schlitze 82 für jeden Knoten 12 bis 20 muß mit einer von einem Konstrukteur des Systems festgesetzten Gesamt- Netzwerkzeitlinie übereinstimmen. Einem Knoten kann mehr als ein Zeitfenster oder Zeitschlitz zugeordnet werden. Zeitschlitze Nr. 1 bis Nr. N sind Prioritätsfenster oder Prioritätsschlitze 83&sub1;&submin;83N, bei welchen ein Widerstreit aufgrund einer Hardwaresynchronisation über die Netzwerkknoten 12 bis 20 hin verhindert wird, wobei eine periodische Resynchronisation unter Verwendung des Zeitbakensignals stattfindet. Der nächste Schlitz oder das nächste Fenster ist der prioritätslose Schlitz 84, in dem das auf einem Widerstreit basierende Protokoll zur Wirkung kommen kann. Um eine Synchronisation zu erhalten, ist es notwendig, ein Synchronisationssignal über das Netzwerk hin auszubreiten. Jeder Knoten 12 bis 20 ermöglicht die Übertragung des Synchronisationssignales, die Detektierung des Synchronisationssignales und ermöglicht die Bestimmung darüber, welcher Knoten mit der Erzeugung des Signales beauftragt wird. Das Synchronisationssignal wird als das Zeitbakensignal bezeichnet und kann gemäß Fig. 3 an den Zeitfenstern oder Zeitschlitzen 81 und 86 auftreten. Das Zeitbakensignal wird über dasselbe Medium geführt wie der nachfolgende Datenstrom und erfordert keine gesonderte Leitung. Der Knotenpunkt, welcher den Ausgangspunkt für das Zeitbakensignal liefert, wird als Zeitbaken-Hauptstation bezeichnet. Die Zeitschlitze oder Zeitfenster 82 werden von der Zeit aus gemessen, zu der ein Zeitbakensignal auf den Ringnetzwerkbussen 21, 22, 23 festgestellt wird. Dies hat zur Folge, daß sämtliche Knotenpunkte 12 bis 20 genau synchronisiert sind, abgesehen von Abweichungen aufgrund der Ausbreitungsverzögerung des Zeitbakensignals um das Netzwerk herum und abgesehen von Oszillator-Ungenauigkeiten. Der Sicherheitszeitschlitz 85 gibt jeder Netzwerknachricht, welche in dem prioritätslosen Zeitschlitz 84 spät gestartet ist, die Zeit, vervollständigt zu werden. Auf den Sicherheitszeitschlitz 85 folgend ist der Zeitbakenschlitz 86 vorgesehen, der der Aussendung der Netzwerk-Zeitbake 80 zugeordnet ist. Der Zeitbakenschlitz 86 ist gleichsam eingebaut und wird automatisch zu der Zustandsmaschine bzw. dem Zustandsprogramm der Sende-/Empfangseinheit 26 addiert. Die Netzwerk-Zeitbake wird periodisch von einem Knotenpunkt ausgesendet, um sämtliche Knotenpunkte 12 bis 20 an dem Netzwerk lose zu synchronisieren.
Das Zeitbakenmuster bzw. die Zeitbakenanordnung wird so gewählt, daß den folgenden Anforderungen genüge getan ist:
a) Das Zeitbakenmuster muß unterscheidbar sein, d. h., es muß sich um ein Muster handeln, das nicht während der Übertragung einer Netzwerknachricht auftreten kann.
b) Das Zeitbakenmuster darf nicht nachteilig auf den Betrieb des digitalen Steuerungs- und Kommunikationsprozessors DCCP einwirken; und
c) das Zeitbakenmuster soll verhältnismäßig kurz sein, so daß es nicht wesentlich die Zeit vermindert, die für Netzwerknachrichten zur Verfügung steht.
Für den Manchester-Leitungscode, der in der vorliegenden Ausführungsform verwendet wird, wird das Zeitbakenmuster, das ausgewählt ist, um die genannten Anforderungen zu erfüllen, folgendermaßen definiert:
1. TTL hoch (LED ein) für 2000 ns.
2. TTL tief (LED aus) für 400 ns
3. TTL hoch (LED ein) für 400 ns
4. TTL tief (LED aus) für 400 ns
5. TTL hoch (LED ein) für 400 ns
6. TTL tief (LED aus) für 400 ns
7. TTL hoch (LED ein) für 2400 ns
Dieses Muster verletzt den Standard für einen gültig-Manchester-codierten Datenstrom und wird als nichtgültig-Manchester-Folge bezeichnet. Es handelt sich daher um eine Folge, welche nicht mit der normalen Nachrichtenübertragung verwechselt werden kann. Da das Zeitbakenmuster nichtgültig-Manchester-codierte Daten sind, interpretiert der digitale Steuerungs- und Kommunikationsprozessor 28 ein Zeitbakensignal nicht als den Beginn einer Nachricht, sondern ignoriert das Muster. Die 6,4 Mikrosekunden Dauer der Zeitbake (erforderliche Zeit zur Erzeugung des obigen Musters mit einer Bitgeschwindigkeit von 1,25 Megabit pro Sekunde) ist kurz im Vergleich zu Netzwerknachrichten, welche 8 Bit Perioden auf einem Netzwerk mit 1,25 Megabit je Sekunde repräsentieren. Auf Netzwerken mit anderen Bitgeschwindigkeiten ergeben sich entsprechende Zeitverhältnisse.
Es sei nun auf Fig. 4 Bezug genommen. Hier ist ein Blockschaltbild des von der deterministischen Steuereinheit 72 gebildeten Teiles der Sende-/Emfpangseinheit 26 gezeigt. Ein Zeitbakendetektor 90 überwacht eintreffende Netzwerkdaten und erzeugt, ein Zeitbaken-Detektierungssignal 91, wenn die eintreffenden Daten zu dem oben definierten Zeitbakenmuster passen. Der Zeitbakendetektor 90 enthält ein Schieberegister und einen Vergleicher, wie dem Fachmann bekannt. Das Zeitbakendetektorsignal 91 wird einer Zustandsprogrammeinheit oder Zustandsmaschine 92 zugeführt, welche den Gesamtbetrieb des deterministischen Netzwerkprotokolls steuert. Die Funktionen der Zustandsmaschine oder der Zustandsprogrammeinheit 92 werden nachfolgend beschrieben. Wenn die Zustandsmaschine 92 ein Zeitbakenanforderungssignal 93 erzeugt, dann erzeugt ein Zeitbakengenerator 95 die definierten Zeitbakenmusterdaten auf dem Netzwerk oder Bus 21. Der Zeitbakengenerator 95 enthält einen Zähler und logische Gatter, wie dem Fachmann bekannt. Die deterministische Schaltungseinheit 72 enthält einen Anlage- Versatz-Zeitgeber 94, einen Zeitbaken-Wächter-Zeitgeber 96, einen Zeitschlitzzähler 98 und einen Zähler 100 für die Zeit seit der Zeitbake. Der Anlage-Versatz-Zeitgeber 94 enthält einen 16-Bit-Abwärtszähler, der unter Steuerung durch die Zustandsprogrammeinheit oder Zustandsmaschine 92 jedesmal dann aufgeladen wird, wenn eine Zeitbake empfangen wird. Der hineingeladene Wert wird von einem 16-Bit- Anlage-Versatzzeitkonstantenregister 110 in der DCCP-Schnittstelle 102 geliefert. Dieses Register wird während der Knoteninitialisierung durch den DCCP-Prozessor 28 geladen. Die DCCP-Schnittstelle 102 stellt ein einstelliges Anlageversatz- Zustandsregister 112 zur Verfügung, welches dem DCCP-Prozessor 28 gestattet, festzustellen, wann die Anlageversatzzeit ausgelaufen ist. Dies wird in Verbindung mit der Anwendungssoftware des DCCP-Prozessors 28 dazu verwendet, sicherzustellen, daß Nachrichten nur einmal je Zeitbakenperiode ausgegeben werden. Die Zeitbakenperiode ist die Summe der Dauer sämtlicher Prioritätsschlitze 83&sub1; bis 83N, zuzüglich des prioritätslosen Schlitzes 84, zusammen mit dem Sicherheitsschlitz 85 und dem mit eingebauten Zeitbakenschlitz 81, wie man aus Fig. 3 ersieht.
Der Zeitbaken-Wächter-Zeitgeber ist ein 8-Bit-Abwärtszähler, der unter der Steuerung durch die Zustandsprogrammeinheit oder Zustandsmaschine 82 jedes mal dann aufgeladen wird, wenn von dem Zeitbakendetektor 90 ein Zeitbakensignal empfangen wird. Der hineingeladene Wert wird von einem 8-Bit-Zeitbakenwächter- Zeitkonstantenregister 116 in der DCCP-Schnittstelle 102 geliefert. Dieses Register wird durch den DCCP-Prozessor 28 während der Knoteninitialisierung aufgeladen. Die Schnittstelle 102 für den DCCP-Prozessor 28 stellt ein einstelliges Zeitbaken-Wächter- Zustandsregister 118 zur Verfügung, welches dem DCCP-Prozessor 28 gestattet, festzustellen, wann der Zeitbaken-Wächter-Zeitgeber 96 abgelaufen ist. Dies ermöglicht dem DCCP-Prozessor 28 das Detektieren von Verlusten von Zeitbakensignalen auf dem Netz. Eine Synchronisation unter den Knotenpunkten und das Vorsehen von Sicherheitsabständen der Sendeperioden reicht dazu aus, daß die Knoten für mehrere Zeitbakenperioden synchronisiert bleiben, wenn der das Zeitbakensignal erzeugende Knoten oder die Hauptstation ausfallen sollte. In diesem Falle wählt die Software in dem DCCP-Prozessor 28 eine neue Zeitbaken-Hauptstation aus, welche die Verantwortlichkeit für die Erzeugung des Zeitbakensignals übernimmt.
Der Schlitzzähler 98 enthält einen 5-Bit-Aufwärtszähler, welcher durch die Zustandsmaschine 92 jedes mal dann auf Null rückgestellt wird, wenn ein Zeitbakensignal empfangen wird. Er dient zur Auswahl von einem aus 32 Plätzen in einem Schlitz-RAM-Speicher 106, und wird um Eins vorgestellt, wenn dies die Zustandsmaschine 92 befiehlt. Der Zähler 100 für die Zeit nach einer Zeitbake enthält einen 16-Bit-Aufwärtszähler, welcher jedesmal dann auf Null durch die Zustandsmaschine 92 rückgestellt wird, wenn ein Zeitbakensignal empfangen wird. Dieser Zähler 100 zählt mit einer Geschwindigkeit von 78KHz (12,8 Mikrosekunden) bei der bevorzugten Ausführungsform, doch erkennt der Fachmann, daß diese Zählgeschwindigkeit sich je nach der verwendeten Datengeschwindigkeit ändert.
Der Schlitz-RAM-Speicher 106 enthält einen statischen RAM-Speicher für 32 Wörter a 16 Bit, welcher dazu dient, die Zuordnung von Netzwerkschlitzen 32 innerhalb einer Zeitbakenperiode zu bestimmen. Dieser RAM-Speicher wird von dem DCCP- Prozessor 28 während der Knoteninitialisierung aufgeladen. Für die meisten Eingaben zeigt das höchstwertige Bit an, ob der betreffende Schlitz diesem Konten zugeordnet ist oder nicht. Die niedrigeren 15 Bits zeigen das zeitliche Ende des Schlitzes an, wobei das niedrigstwertige Bit 12,8 Mikrosekunden repräsentiert. Für das zeitliche Ende des pioritätslosen Schlitzes und des Sicherheitsbandschlitzes gemäß Fig. 3 werden sämtliche 16 Bits zur Darstellung des zeitlichen Endes des Schlitzes verwendet. Eingaben in den Schlitz-RAM-Speicher sind folgende:
(1) eine Serie von 16-Bit-Wörtern, welche die Endzeiten und die Zugehörigkeit sämtlicher Prioritätsschlitze 63&sub1; bis 63N angeben;
(2) ein 16-Bit-Wert, welcher die Startzeit des prioritätslosen Schlitzes 84 angibt; dieser Wert sollte identisch zu der Endzeit des letzten Prioritätsschlitzes sein;
(3) ein 16-Bit-Wert, welcher die Endzeit des prioritätslosen Schlitzes angibt; und
(4) ein 16-Bit-Wert, welcher die Endzeit des Sicherheitsbandschlitzes angibt.
Ein Multiplexer 104 bietet einen Weg, über welchen der DCCP-Prozessor 28 direkt den Schlitz-RAM-Speicher 106 während der Initialisierung adressieren kann. Ein deterministisches Modus-Steuerregister 120 in der Schnittstelle 102 des DCCP- Prozessors gestattet es diesem Prozessor 28, in den deterministischen Modus einzutreten. Wenn er sich nicht im deterministischen Modus befindet, hat der DCCP- Prozessor 28 Zugriff zu dem Schlitz-RAM-Speicher 106 zur Durchführung der Initialisierung.
Eine Vergleicherfunktion 108 enthält einen 16-Bit-Vergleicher zusammen mit logischen Gattern, welcher feststellt und anzeigt, wann bzw. wenn die Schlitzendzeit aus dem Schlitz RAM-Speicher 106 mit der Zeit seit der letzten Zeitbake übereinstimmt. Wie oben beschrieben handelt es sich entweder um einen 15-Bit-Vergleich oder um einen 16-Bit-Vergleich je nach der Art des augenblicklichen Schlitzes.
Die Schnittstelle 102 des DCCP-Prozessors gibt dem DCCP-Prozessor 28 Zugriff zu den funktionellen Elementen der deterministischen Steuereinheit 72. Sie enthalten eine Adressdekodierung und eine Datenweglogig, welche dem DCCP- Prozessor 28 gestatten, Register zu lesen und zu beschreiben, um das deterministische Netzwerkprotokoll zu steuern und zu überwachen. Dieses umfaßt die Fähigkeit, den Anlage-Versatz-Zeitgeber 94 und den Zeitbaken-Wächter- Zeitgeber 96 abzulesen und zu beschreiben,
die Fähigkeit, den Eintritt in den deterministischen Modus zu befehlen;
die Fähigkeit den Schlitz-RAM-Speicher 104 abzulesen und zu beschreiben, wenn nicht der deterministische Modus herrscht; und
die Fähigkeit, Zustandsregsiter abzulesen, welche anzeigen, wenn ein Zeitgeber abgelaufen ist oder welcher Art der gegenwärtige Zeitschlitz ist.
Die deterministische Steuereinheit 72, welche am Orte jedes Knotens 12 bis 20 gelegen ist, wird durch den Anwendungscodeablauf in dem DCCP-Prozessor 28 initialisiert. Dieser Code schreibt im Register ein, welche die Zeitintervalle des Anlage- Versatz-Zeitgebers 94 und des Zeitbaken-Wächter-Zeitgebers 96 definieren. Der Betriebsmodus und solche Eintragspunkte, wie die Entscheidung, ob der betreffende Knotenpunkt eine Zeitbakenhauptstation oder eine Zeitbakenhilfsstation ist, werden ebenfalls zu dieser Zeit eingeschrieben. Dann schreibt er eine Folge von Werten in den Schlitz-RAM-Speicher 104, welche die Zuordnung der Schaltungs-Zeitschlitze 82 bestimmen. Ist einmal die Initialisierung vervollständigt, so befiehlt der DCCP- Prozessor 28 den Eintritt in den deterministischen Betriebsmodus. Während des deterministischen Betriebsmodus kann die Schnittstelle 102 des DCCP-Prozessors nicht mehr den Schlitz-RAM-Speicher 106 modifizieren. Die Einfaser-Steuereinheit 64 und die deterministische Steuereinheit 72 können durch ein einziges Schaltungchip realisiert werden, welches als Einfaser-Steuer- und Deterministikeinheit 74 bezeichnet ist und von einem Teil Nr. G 64 9806-1 gebildet sein kann, welches von Firma Raytheon Company, Marlborough, Massachusetts, hergestellt wird.
Es sei nun auf die Fig. 4 und 5 Bezug genommen, von denen Fig. 5 ein Flußdiagramm des Zustandsprogramms oder der Zustandsmaschine 92 von Fig. 4 zeigt, wobei jeder Zustand durch eine hexadezimale Zahl identifiziert ist. Die Zustandsmaschine 92 steuert den Betrieb des deterministischen Netzwerkprotokolls. Wenn der deterministische Modus beginnt, so tritt die Zustandsmaschine 92 in den Zustand 0 oder in den Eingangszustand ein. Die Zeitbaken-Hauptstation begibt sich in den Zustand D und gibt eine Zeitbakenanforderung an ihren Zeitbakengenerator 95 aus und schreitet dann zu dem Zustand. 6 fort. Sämtliche anderen Knotenpunkte (die Zeitbakenhilfsstationen) gehen direkt von dem Zustand 0 in den Zustand 6. Im Zustand 6 warten sämtliche Knotenpunkte auf die Anzeige der Detektierung eines Zeitbakensignals. Durch Softwaremaßnahmen wird der Fall gehandhabt, in dem die Zeitbaken-Hauptstation für die Initialisierung ausfällt, und eine Reserve- Zeitbakenhauptstation wird eingeschaltet, um Zeitbakensignale auszugeben. Die Feststellung eines Zeitbakensignales hat die folgenden Wirkungen:
a) Die Zustandsmaschine 92 wird dazu veranlaßt, in den Zustand 7 zu gehen (Eintritt des ersten Zeitschlitzes);
b) der Zeitschlitzzähler 98 wird gelöscht;
c) der Zähler 100 für die Zeit seit der letzten Zeitbake wird gelöscht und beginnt aufwärts zu zählen;
d) der Anlage-Versatz-Zeitgeber 94 wird mit seinem maximalen Intervall aufgeladen und beginnt abwärts zu zählen; und
e) der Zeitbaken-Wächter-Zeitgeber 96 wird mit seinem maximalen Intervall aufgeladen und beginnt abwärts zu zählen.
Von dem Zustand 7 schreitet die Zeitmaschine zu dem Zustand 9 (wirksamer Prioritätsschlitz) fort, wenn der nächste (erste) Zeitschlitz diesem Knotenpunkt, zugeordnet ist, und schreitet zu dem Zustand A (unwirksamer (gesperrter) Prioritätsschlitz) fort, wenn er diesen Schaltungsknotenpunkt nicht zugeordnet ist. In den Zuständen 9 und A wird die Zeitschlitzart eingestellt, so daß sie je nachdem, was zutrifft, "Synchronschlitz" oder "Synchronsperrung" anzeigt. Die Zeitmaschine 92 schreitet dann zu dem Zustand 2 (Zeitverzögerung) fort.
In dem Zustand 2 wartet die Zeitmaschine 92, bis ein Zeitintervall von im vorliegenden Ausführungsbeispiel 12,8 Mikrosekunden abgelaufen ist. Jedesmal, wenn dieses Zeitintervall abläuft, schreitet die Zeitschmaschine 92 zum Zustand 3 (Prüfung des Schlitzendes) fort, wo sie die Zeit seit der letzten Zeitbake mit der Endzeit des gegenwärtigen Zeitschlitzes vergleicht. Wenn die beiden Zeiten nicht übereinstimmen, so kehrt die Zeitmaschine 92 zu dem Zustand 2 zurück und wartet weitere 12,8 Mikrosekunden. Wenn die zwei Zeiten übereinstimmen, so ist der gegenwärtige Zeitschlitz zu Ende gekommen. Vom Zustand 3 aus nimmt die Zeitmaschine 92 einen der folgenden Wege:
a) War der Schlitz, der zu Ende gekommen ist, ein Prioritätsschlitz und ist der nächste Schlitz ebenfalls ein Prioritätsschlitz, so durchläuft die Zeitmaschine 92 den Zustand 4 (Sicherheitsbandprüfung) und geht in den Zustand 5 (nächste Schlitzeröffnung, wo der Schlitzzähler inkrementiert wird), und dann in den Zustand B (Prüfung der Prioritätslosigkeit). Da der neue Platz im Schlitz-RAM-Speicher 106 einen unterschiedlichen Zeitwert gegenüber dem vorausgegangenen Platz enthält, bewegt sich die Zeitmaschine 92 zum Zustand F (Eintritt des neuen Schlitzes). Der Zustand F ist gleich dem Zustand 7. Von dem Zustand F bewegt sich die Zustandsmaschine 92 zu dem Zustand 9 oder dem Zustand A auf der Basis der Zeitschlitz- Eigentümerschaft, und der oben beschriebene Vorgang wiederholt sich.
b) Wenn der Schlitz, der zu Ende gekommen ist, ein Prioritätsschlitz war und der nächste Schlitz ein prioritätsloser Schlitz ist, so läuft die Zustandsmaschine über den Zustand 4 in den Zustand 5 (wo der Schlitzzähler inkrementiert wird) und dann in den Zustand B. Da der nächste RAM-Speicherplatz denselben Zeitwert enthält wie der vorausgegangene Platz, bewegt sich die Zustandsmaschine 92 zum Zustand C (Eintritt des prioritätslosen Schlitzes). Im Zustand C wird die Schlitzzeit so eingestellt, daß sie "Synchronisation offen" anzeigt. Die Zustandsmaschine 92 geht dann zu dem Zustand 2 und beginnt damit, auf das Ende des prioritätslosen Schlitzes zu warten.
c) Wenn der zu Ende gegangene Schlitz ein prioritätsloser Schlitz war, so geht die Zustandsmaschine über den Zustand 4 in den Zustand 5, (wo der Schlitzzähler inkrementiert wird), und dann in den Zustand E (Eintritt des Sicherheitsbandschlitzes). In dem Zustand E wird eine Flaggenmarkierung gesetzt, welche anzeigt, daß der Eintritt in das Sicherheitsband erfolgte und die Schlitzart wird so eingestellt daß "Synchronisation Sperrung" angezeigt wird. Die Zustandsmaschine 92 geht dann zu dem Zustand 2 und beginnt, auf das Ende des Sicherheitsbandes zu warten.
d) Wenn der Schlitz, der zu Ende gekommen ist, das Sicherheitsband war, so geht die Zustandsmaschine 92 über den Zustand 4 in den Zustand 1 (Zeitbakenschlitz-Verzögerung). In dem Zustand 1 wartet die Zustandsmaschine 92 für eine feststehende Zeitdauer. Diese Zeit beträgt 12,8 Mikrosekunden für einen Neben-Knotenpunkt, oder die volle Länge des Zeitbakenschlitzes. Neben-Knotenpunkte gehen dann über den Zustand 8 (Zeitbaken-Knoten-Prüfung) in den Zustand 7, wobei angenommen wird, daß das Zeitbakensignal zur erwarteten Zeit angekommen ist. Wenn ein Zeitbakensignal früh oder spät ankommt, dann wird die Startmaschine 92 dazu veranlaßt, in den Zustand 7 zu gehen und wird resynchronisiert. Eine Hauptstation wartet annähernd 6,4 Mikrosekunden im Zustand 1 und geht dann über die Zustände 8 und D in den Zustand 6, wo sie auf das Zeitbakensignal wartet. Dies trägt der Tatsache Rechnung, daß die Hauptstation 6,4 Mikrosekunden braucht, um ein Zeitbakensignal zu erzeugen. Wenn ein Zeitbakensignal erzeugt und von sämtlichen Knotenpunkten zur Kenntnis genommen ist, so werden alle zu der Zeit der Detektierung des Zeitbakensignals in den Zustand 7 resynchronisiert.
Irgendein Knotenpunkt, der aus irgendeinem Grunde das Zeitbakensignal versäumt hat, hat einen Versuch gemacht, sich selbst zu synchronisieren und könnte nur durch Oszillatorgenauigkeitsunterschiede fehlerhaft sein. In dieser Weise treten sämtliche Knotenpunkte etwa um dieselbe Zeit in den Zustand 7 ein.
Wie in der obigen Beschreibung der Zustandsmaschine 92 angegeben liefert die deterministische Steuereinheit 72 eine Schlitzart, welche für den DCCP-Prozessor 28 über ein 3-Bit-Steuerregister verfügbar gemacht ist, das in der Schnittstelle 102 des DCCP-Prozessors gelegen ist. Dieses Register, welches als Synchronisationszustandsregister 114 bezeichnet wird, dient zur Sicherstellung, daß Nachrichten nur in den richtigen Zeitschlitzen übertragen werden, wie in Fig. 3 gezeigt ist. Zwei Bits dienen zur Bezeichnung von vier Schlitzarten entsprechend folgendem:
Synchronisationsschlitz: Ein deterministischer Schlitz, welcher einem bestimmten Knotenpunkt zugeordnet ist; eine prioritätsbegünstigte Nachricht kann übertragen werden.
Synchronisationsperrung: Ein deterministischer Schlitz, der nicht einem bestimmten Knotenpunkt oder bestimmten Knotenpunkten zugeordnet ist. Dieser wird auch während des Sicherheitsbandes verwendet, um sämtliche Übertragungen zu verhindern.
Synchronisationfrei: Dieser Zustand gilt für prioritätslose Schlitzzeiten; sämtliche verfügbaren, prioritätslosen Nachrichten können übertragen werden.
Normal: Das Netzwerk wird im nichtdeterministischen Modus betrieben.
Das dritte Bit gestattet es dem DCCP-Prozessor 28, darauffolgende Schlitze derselben Art zu detektieren. Der Grund hierfür wird nachfolgend angegeben.
Die Verwendung des deterministischen Netzwerkprotokolls geht davon aus, daß die Systemplanung eine feststehende oder zumindest begrenzte Anzahl von Nachrichtenübertragungen durch jeden Knotenpunkt innerhalb einer einzelnen Zeitbakenperiode festlegt und eine maximale Durchführungszeit für die Verarbeitung definiert, welche in einer Zeitbakenperiode benötigt wird. Jedem Knotenpunkt werden genug Zeitschlitze gegeben, um die maximale Übertragungsbelastung zu bewältigen. Der Anwendungscode wird für den Anwendungssteuerprozessor des DCCP-Prozessors 28 geschrieben, um sicherzustellen, daß diese Grenze nicht überschritten wird. Zu diesem Zwecke ist der Anlage-Versatz-Zeitgeber 94 vorgesehen. Dieser Zeitgeber wird mit einer Zeitkonstanten nach Empfang einer Zeitbake (oder dann, wenn der Empfang einer Zeitbake erwartet wurde, diese aber nicht eingetroffen ist), aufgeladen und zählt auf Null zurück. Die Schnittstelle 102 des DCCP-Prozessors hält ein Register 112 bereit, in welchem der Anwendungscode bestimmen kann, wann der Anlage-Versatz- Zeitgeber 94 abgelaufen ist. Bevorzugtermaßen ist vorgesehen, daß der Anlage-Versatz- Zeitgeber 94 auf einen Wert eingestellt wird, der länger ist als die maximale Verarbeitungszeit und kürzer als die Zeitbakenperiode. Nach Vervollständigung der erforderlichen Verarbeitung während einer Periode nimmt der Anwendungscode eine Befragung des Anlage-Versatz-Statusregisters 112 vor und wartet auf den Ablauf des Zeitgebers 94. Ist der Anlage-Versatz-Zeitgeber 94 abgelaufen, dann aktualisiert der Anwendungscode diejenigen Netzwerkvariablen, welche er während der nächsten Zeitbakenperiode übertragen will. Der Vorgang der Aktualisierung der Netzwerkvariablen bewirkt, daß diese in Anlagepuffer abgesetzt werden, welche durch den Netzwerkprozessor des DCCP-Prozessors 28 versorgt werden. Der Netzwerkprozessor ist für die Übertragung dieser Netzwerkvariablen auf das Netzwerk verantwortlich. Der Anlage-Versatz-Zeitgeber 94 wird gelöscht und freigemacht, um sicherzustellen, daß dieser Vorgang nur einmal je Zeitbakenperiode stattfindet. Dadurch, daß man sicherstellt, daß der Anwendungscode seine Nachrichtengrenzen kennt und dadurch, daß man ihn veranlaßt, eine bekannte Zahl von Nachrichten einmal je Zeitbakenperiode auszugeben, hindert man den Anwendungsprozessor des DCCP- Prozessors 28 daran, zu viele Nachrichten auszugeben, welche eventuell zu einem Überlauf der Anlagepuffer des DCCP-Prozessors 28 führen könnten.
Der Anwendungscode kann Nachrichten entweder innerhalb des Prioritätsschlitzes oder der Prioritätsschlitze 83&sub1; bis 83N aussenden, welcher bzw., welche dem Knotenpunkt zugeordnet worden sind, oder in dem prioritätslosen, auf der Basis des Widerstreits arbeitenden Schlitz 84, der auf die Prioritätsschlitze folgt. Netzwerknachrichten, welche als prioritätsbegünstigte Nachrichten definiert sind, werden während der Prioritätsschlitze ausgesandt, während andere Nachrichten während des prioritätslosen Schlitzes ausgesandt werden.
Der Zeitbaken-Wächter-Zeitgeber 96 dient zur Feststellung des Verlustes der Zeitbakensignale, welche das Netzwerk synchronisieren. Dieser Zeitgeber wird mit einer Zeitkonstanten nach Empfang einer Zeitbake geladen und zählt auf Null herunter. Die Schnittstelle 102 des DCCP-Prozessors hält ein Register 118 bereit, in welchem der Anwendungscode bestimmen kann, wann der Zeitbaken-Wächter-Zeitgeber 96 abgelaufen ist. Wenn Zeitbakensignale in der erwarteten Weise eintreffen, so wird der Zeitgeber kontinuierlich wieder aufgeladen und läuft nie ab. Gemäß einer bevorzugten praktischen Ausführung wird der Zeitbaken-Wächter-Zeitgeber 96 auf einen Wert eingestellt, der wesentlich größer als eine Zeitbakenperiode ist. Da Knotenpunkte versuchen, in Abwesenheit des Zeitbakensignales die Synchronisation aufrecht zu erhalten, kann eine bestimmte Anzahl von ausgelassenen Zeitbakensignalen toleriert werden. Der Systemplaner ist dafür verantwortlich, die Anzahl aufeinanderfolgender ausgelassener Zeitbakensignale, welche toleriert werden kann, zu bestimmen. Einige der Faktoren, auf welchen diese Grenzzahl basiert, sind folgende:
(1) Die Genauigkeit der Taktsignalquellen an den Knotenpunkten;
(2) die Größe der Zeit, die der Systemplaner innerhalb jedes Schlitzes für einen Synchronisationsbericht zulassen will;
(3) die Wahrscheinlichkeit, mit welcher ein ordnungsgemäß ausgesendetes Zeitbakensignal nicht an allen Knotenpunkten empfangen wird (aufgrund von Faktoren wie etwa der Systemumgebung); und
(4) die Geschwindigkeit, mit welcher nach dem Wunsche des Systemplaners ein Ausfall des Zeitbaken-Hauptknotenpunktes detektiert und korrigiert werden soll, indem ein neuer Zeitbaken-Hauptknotenpunkt ausgewählt wird.
In der bevorzugten Ausführungsform prüft der Anwendungscode den Zustand des Zeitbaken-Wächter-Zeitgebers immer dann, wenn der Anlage-Versatz-Zeitgeber 94 abläuft und initiiert, wenn notwendig, Korrekturmaßnahmen zur Auswahl eines neuen Zeitbaken-Hauptknotens. Wenn der Zeitbaken-Wächter-Zeitgeber 96 abläuft, wird die Auswahl eines neuen Zeitbaken-Hauptknotens durch Software durchgeführt. Es ist von Wichtigkeit, daß überhaupt ein Zeitbaken-Knotenpunkt ausgewählt wird. Das Verfahren der Auswahl ist nicht kritisch.
Unter Bezugnahme auf Fig. 6 sei nun das Flußdiagramm der Softwareroutine 130 für die Medienzugangssteuerung (MAC) zur Auslösung einer Prioritätsnachricht oder einer prioritätslosen Nachricht beschrieben. Diese Medienzugangssteuerroutine oder MAC-Routine ist in dem PROM-Speicher 58 des DCCP-Prozessors 28 gemäß Fig. 2 angeordnet. Die MAC-Routine beginnt bei 131 mit der Prüfung von Nachrichtenketten auf eine Prioritätsnachricht 132 oder eine prioritätslose Nachricht 133. Wenn eine Nachricht für die Übertragung vorhanden ist, so prüft die MAC-Routine die Synchronisationszustandregister bei 134 und 137 und bestätigt bei 135 bzw. 138, daß die Aussendung der vorhandenen Nachricht zugelassen ist. Wenn die Übertragung zugelassen ist, wird die Nachricht bei 136 bzw. 139 übertragen. Ist die Übertragung nicht zugelassen, darin überprüft die MAC-Routine die andere Kette und kehrt zur vorliegenden später zurück. Damit der Systemplaner aufeinanderfolgende Prioritätsschlitze demselben Knotenpunkt zuordnen kann, ist das niedrigstwertige Bit des Zeitschlitzzählers 98 in dem Synchronisationszustandsregister 114 ebenfalls ablesbar, damit die MAC-Routine einen neuen Schlitz mit derselben Knotenpunktzuordnung detektieren kann. Da die MAC-Routine das Synchronisationszustandsregister 114 befragt, kann eine veränderliche Verzögerungszeit von dem Beginn einer Schlitzzeit zum Beginn einer Nachrichtenübertragung eingeführt werden. Die Länge eines Prioritätsschlitzes muß so eingestellt werden, daß sowohl die Nachricht entsprechender Länge und ein Spielraum für diese Verzögerung Platz finden.
Nachrichten können über die Netzwerkbusse 21, 22, 23 zu irgend einer Zeit während des prioritätslosen Zeitschlitzes übertragen werden. Das in Fig. 3 angedeutete Sicherheitsband 85 ist innerhalb einer Zeitbakenperiode vorgesehen, um sicherzustellen, daß eine Nachricht, die ganz zu Ende des prioritätslosen Schlitzes 84 begonnen hat, vervollständigt wird, bevor der Zeitbaken-Zeitschlitz 86 beginnt. Die Sicherheitsband- Schlitzlänge muß die längstmögliche prioritätslose Nachricht im System aufnehmen können.
Es sei wieder auf Fig. 1 Bezug genommen. Der Knotenpunkt 16 enthält drei Prozessorelemente, welche jeweils aus einem DCCP-Prozessor 28 und einer Sende- /Empfangseinheit 26 bestehen, wobei jede Sende-/Empfangseinheit 26 mit einem der Datenbusse 21, 22, 23 gekoppelt ist. Im einzelnen ist die Sende-/Empfangseinheit 26&sub2; mit dem Datenbus 21 gekoppelt. Die Sende-/Empfangseinheit 26&sub3; ist mit dem Datenbus 22 gekoppelt und die Sende-/Empfangseinheit 26&sub4; ist mit dem Datenbus 23 gekoppelt. Ausgänge von den drei DCCP-Prozessoren 28&sub2;, 28&sub3; und 28&sub4; werden jedem von drei intelligenten Wählern oder Entscheidungseinrichtungen 31, 32 und 33 zugeführt. Jeder dieser Wähler 31 bis 33 ist so ausgebildet, daß er ein Betätigungssignal erzeugt, wenn zwei von drei Eingängen zu dem Wähler übereinstimmen. Das Betätigungssignal aus jedem Wähler 31 bis 33 dient zur Steuerung eines jeweiligen Gerätes 34&sub1;, 34&sub2;, 34&sub3;, wobei jedes der Geräte in einer bevorzugten Anwendung ein elektrisch gesteuertes hydraulisches Ventil umfaßt, das zu beaufschlagen ist.
Nunmehr sei auf die Fig. 1 und 7 Bezug genommen. Dabei zeigt Fig. 7 ein schematisches Schaltbild eines Wählers, welcher drei Abschnitte 142, 146 und 144 enthält. Die Verhältnisse für Schaltungsträgerplatten berücksichtigend enthält jede von drei Schaltungsträgerplatten eine Sende-/Empfangseinheit 26, einen DCCP-Prozessor 28 und einen von jedem Wählerabschnitt 142, 144, 146. Jeder Wähler ist so aufgebaut, daß ein Abschnitt 142 von einer Schaltungsplatte, ein Abschnitt 144 von einer zweiten Schaltungsplatte und ein Abschnitt 146 von der dritten Schaltungsplatte verwendet wird. Drei unabhängige Wähler können mit drei Schaltungsträgerplatten aufgebaut werden. Beliebige zwei der drei DCCP-Prozessoren 28&sub2;, 28&sub3;, 28&sub4; müssen übereinstimmen, damit der Wähler Spannung (V) an das Solenoid 154 überträgt. Der Wähler wird praktisch unter Verwendung von 4 optisch isolierten Relais 148 bis 151 und einer Überbrückungsdiode 152 verwirklicht, welche, wie in Fig. 7 gezeigt ist, geschaltet sind. Die Dioden 147 und 153 bilden einen Strompfad für Abschaltungstransienten von induktiven Belastungen und stellen sicher, daß die Spannung an dem Solenoid 154 nicht über die Leistungsquellenspannung springt. Wenn irgendwelche zwei der drei Abschnitte 142, 144, 146 ihre optisch isolierten Relais 148 bis 151 in Schließstellung bringen, so entsteht eine Verbindung zwischen der Spannungsquelle bzw. der Spannung (V) und dem Solenoid 154. Die Überbrückungsdiode 152 bildet einen Verbindungsweg für die Spannung (V), um zum Solenoid 154 zu gelangen, wenn die Relais 148 und 152 geschlossen sind. Die Überbrückungsdiode 152 verhindert die Vervollständigung eines Verbindungsweges, wenn die Relais 149 und 150 geschlossen sind, welche durch einen einzelnen DCCP- Prozessor 28 gesteuert werden.
Alle Verbindungen zu und von den drei Abschnitten 142, 146 und 144 werden unter Verwendung optisch isolierter Geräte hergestellt. Die vorgesehene Isolation schützt jeden DCCP-Prozessor 28&sub2;, 28&sub3;, 28&sub4; vor Fehlern bezüglich der Spannung (V), welche durch den Wähler geschaltet wird, und schützt die DCCP-Prozessoren voreinander. Auf diese Weise beschädigen Fehler außerhalb eines DCCP-Prozessors, selbst solche, welche den betreffenden Wähler beschädigen oder ihn betriebsunfähig machen, nicht den DCCP-Prozessor oder hindern ihn daran, andere Funktionen durchzuführen. Die Isolation ermöglicht es diesem Wähler ferner, entweder als Schalter "auf der hohen Seite" oder als Schalter "auf der niedrigen Seite" verwendet zu werden. Wenn andere Überlegungen durchgreifen, kann der Wähler entweder zwischen die Spannung (V) und das Solenoid, oder zwischen das Solenoid und Erde gelegt werden. Die optisch isolierten Relais 148 bis 151 können die Gestalt eines Teils Nummer PVDZ172 haben, das von Firma International Rectifiers, El Segundo, Kalifornien, hergestellt wird.
Es sei nun auf die Fig. 7 und 8 Bezug genommen. Zusätzlich zu den optisch isolierten Relais 148 bis 151 und der Überbrückungsdiode 152, welche die Wählerfunktion oder Beurteilungsfunktion erfüllen, enthält der verteilte Wähler Mittel zur Durchführung einer Überwachung und einer eingebauten Prüffunktion. Dies wird durch optisch isolierte Empfänger 156&sub1; bis 156&sub6; erreicht, welche die Spannung an jedem optisch isolierten Festkörperrelais 148 bis 151 überwachen. Die Empfänger sind, wie in Fig. 7 gezeigt, geschaltet. Der optisch isolierte Empfänger 156, ist zwischen die Anschlüsse 160 und 161 des optisch isolierten Relais A 148 geschaltet. Der optisch isolierte Empfänger 156&sub2; ist zwischen die Anschlüsse 168 und 169 des optisch isolierten Relais C 151 geschaltet. Der optisch isolierte Empfänger 156&sub3; ist zwischen die Anschlüsse 166 und 167 des optisch isolierten Relais B1 149 gelegt. Der optisch isolierte Empfänger 156&sub4; ist zwischen die Anschlüsse 162 und 163 des optisch isolierten Relais B2 150 geschaltet. Der optisch isolierte Empfänger 156&sub5; ist zwischen die Anschlüsse 168 und 169 des optisch isolierten Relais C 151 geschaltet. Der optisch isolierte Empfänger 156&sub6; ist mit der Leistungsquellenspannung (V) und mit der Verbindung des Anschlusses 162 des optisch isolierten Relais B2, des Anschlusses 164 der Diode 152 und des Anschlusses 161 des optisch isolierten Relais A 148 verbunden. Die genannten Empfänger ziehen Vorteil aus der Tatsache, daß eine wesentliche Strommenge zur Aktivierung des Solenoids 154 erforderlich ist. Die kleinen Ströme (in der Größenordnung einiger weniger Milliampere); die für die optisch isolierten Empfänger 156&sub1; bis 156&sub6; erforderlich sind, können durch das Solenoid geleitet werden, ohne daß eine Einwirkung auf das System erfolgt. Eine schematische Darstellung jedes der optisch isolierten Empfänger 156&sub1; bis 156&sub6; ist in Fig. 8 gezeigt. Die Werte des Widerstandes 157 und der Diode 158 sind so gewählt, daß der Leckstrom durch den Empfänger nicht zur Aktivierung des Empfängers ausreicht. Die Empfänger 156&sub1; bis 156&sub6; werden nur aktiviert, wenn ein geschlossenes Relais 148 bis 151 Teil des Strompfades bildet.
Der häufigste Ausfall der optisch isolierten Relais 148 bis 151 ist der Ausfall im Kurzschluß. Die optisch isolierten Empfänger 156&sub1; bis 156&sub6; sind so konfiguriert, daß das Schließen eines Relais unter Steuerung durch einen der DCCP-Prozessoren 28&sub1;, 28&sub3;, 28&sub4; durch jeden der anderen zwei DCCP-Prozessoren detektiert werden kann, wobei eingebaute Software verwendet wird, um die Empfänger 156, bis 1566 zu überwachen. Die Empfänger 156&sub1; bis 156&sub6; können auch dazu verwendet werden, eine Überprüfung der Relais durchzuführen, wobei dieser Test durch irgendeinen DCCP-Prozessor 28 koordiniert wird, welcher Zugang zu sämtlichen drei DCCP-Prozessoren 28&sub2;, 28&sub3;, 28&sub4; hat, beispielsweise am intelligenten Knoten 20 von Fig. 1. Dieser Test kann off-line durchgeführt werden, oder wenn die Systemanforderungen es gestatten, als ein on-line- Hintergrunddiagnosetest.
Die Tabelle beschreibt, wie jeder der möglichen Fehler durch die Überwachungsfunktionen der optisch isolierten Empfänger 156&sub1; bis 156&sub6; detektiert wird. Diejenigen Punkte, welche "jederzeit" überprüfbar sind, können geprüft werden, indem die Überwachungspunkte zu einer Zeit geprüft werden, zu der man den Öffnungszustand sämtlicher Relais erwartet. Diejenigen Punkte, die während der "eingebauten Selbstprüfung" (BIST) prüfbar sind, können nur geprüft werden, wenn es unter dem Gesichtspunkt der Sicherheit durchführbar ist, als koordinierten Vorgang bestimmte Relais zu schließen und den Wähler zu überwachen, wobei sämtliche drei Abschnitte 142, 144, 146 einbezogen sind. Es ist zu erwarten, daß solches entweder als Teil von Selbstprüfung und Diagnose vor dem Flug, oder in einem Wartungsmodus durchgeführt wird. TABELLE

Claims

1. Fehlertolerantes Steuersystem verteilter Intelligenz mit einer Anzahl von intelligenten Knotenpunkten (12, 14, 16, 18, 20), welche mit Stelltrieben/Sensoren oder mit Steuergeräten gekoppelt sind, sowie mit einem Serienkommunikationsmedium oder mehreren Serienkommunikationsmedien (21, 22, 23), welches bzw., welche die Knotenpunkte (12, 14, 16, 18, 20) verbindet bzw. verbinden, wobei jeder Knotenpunkt Sende-/Empfangsmittel (26) als Schnittstelle zwischen dem Knotenpunkt und dem Serienkommunikationsmedium bzw. den Serienkommunikationsmedien (21, 22, 23) entsprechend einem vorbestimmten Pegel der Redundanz enthält, und jeder Knotenpunkt Prozessormittel (28) zur Verarbeitung von Nachrichten enthält, welche über das Serienkommunikationsmedium oder die Serienkommunikationsmedien gesendet oder empfangen werden, und zur Bearbeitung von anwendungsspezifischen Aufgaben des Knotenpunktes, wobei die Prozessormittel (28) autonom arbeiten und mit den jeweiligen Sende- /Empfangsmitteln (26) gekoppelt sind, dadurch gekennzeichnet, daß jeder Knotenpunkt (12, 14, 16, 18, 20) Mittel (72) zur Erzeugung und zum Detektieren einer Zeitbake (81, 86) zur Synchronisation von Nachrichten enthält, welche von den Knotenpunkten (12, 14, 16, 18, 20) über das Serienkommunikationsmedium oder die Serienkommunikationsmedien (21, 22, 23) gesendet und empfangen werden, wobei einer der Knotenpunkte im Betrieb ausgewählt ist, um die Zeitbake (81, 86) zu erzeugen, und die Knotenpunkte derart ausgebildet sind, daß die Nachrichten einem gültig-Manchester-kodierten Datenstromprotokoll entsprechen und die Zeitbake (81, 86) einen Datenstrom aufweist, der eine Anzahl von Datenbits mit einer nichtgültig-Manchester-Folge hat.

2. System nach Anspruch 1, dadurch gekennzeichnet, daß jeder Knotenpunkt entweder einen Simplexknoten (12) oder einen doppelten Steuerknoten (14) oder einen Dreifach-Steuerknoten (16) oder einen darüberliegenden Mehrfachknoten entspre chend dem genannten anwendungsspezifischen vorbestimmten Pegel der Redundanz umfaßt.

3. System nach Anspruch 1, dadurch gekennzeichnet, daß das Kommunikationsmedium faseroptische Buseinrichtungen (21, 22, 23) umfaßt.

4. System nach Anspruch 3, dadurch gekennzeichnet, daß die Sende- /Empfangsmittel (26) und die genannten faseroptischen Buseinrichtungen (21, 22, 23) eine Kommunikation in zwei Richtungen über das genannte Medium ermöglichen.

5. System nach Anspruch 3, dadurch gekennzeichnet, daß die Sende- /Empfangsmittel (26) und die faseroptischen Buseinrichtungen (21, 22, 23) eine Kommunikation in einer Richtung über das genannte Medium ermöglichen.

6. System nach Anspruch 1, dadurch gekennzeichnet, daß die Anzahl von intelligenten Knotenpunkten (12, 14, 16, 18, 20) und das Serienkommunikationsmedium oder die Serienkommunikationsmedien (21, 22, 23) eine Ringtopologie aufweisen.

7. System nach Anspruch 1, dadurch gekennzeichnet, daß die Anzahl von intelligenten Knotenpunkten (12, 14, 16, 18, 20) und das Serienkommunikationsmedium oder die Serienkommunikationsmedien (21, 22, 23) eine Punkt-zu-Punkt- Topologie aufweisen.

8. System nach Anspruch 1, dadurch gekennzeichnet, daß die Prozessormittel jeweils einen digitalen Steuer- und Kommunikationsprozessor (28) mit einem örtlichen Betriebsnetzwerk aufweisen.

9. System nach Anspruch 1, dadurch gekennzeichnet, daß das Serienkommunikationsmedium oder die Serienkommunikationsmedien faseroptische Buseinrichtun gen (21, 22, 23) zur Verbindung jedes der intelligenten Knotenpunkte aufweist bzw. aufweisen, daß jeder der intelligenten Knotenpunkte über jeweilige Sende- /Empfangsmittel (26) mit einem in zwei Richtungen wirksamen faseroptischen Bus oder mit mehreren in zwei Richtungen wirksamen faseroptischen Bussen (21, 22, 23) der faseroptischen Buseinrichtung entsprechend einem vorbestimmten Pegel der Redundanz verbunden ist; und daß jeder Prozessor (28) ein örtliches Betriebsnetzwerk aufweist.

10. System nach Anspruch 9, dadurch gekennzeichnet, daß jeder Knotenpunkt (12, 14, 16, 18, 20) mit einem Stelltrieb/Sensor oder einem Steuergerät (26) zur Durchführung von Steueraufgaben oder Datenverarbeitungsaufgaben gekoppelt ist; und daß die Prozessormittel (28) des Knotenpunktes eine örtliche Intelligenz für die Sensorinformationsverarbeitung oder die Stelltriebstellungssteuerung und den Betrieb in geschlossener Schleife bieten.

11. System nach Anspruch 9, dadurch gekennzeichnet, daß jeder der Knotenpunkte mindestens ein Verarbeitungselement mit Prozessormitteln (28) und zugeordnete Sende-/Empfangsmittel (26) entsprechend einem anwendungsspezifischen vorbestimmten Pegel der Redundanz enthält.

12. System nach Anspruch 9, dadurch gekennzeichnet, daß die genannte Anzahl von Knotenpunkten (12, 14, 16, 18, 20) und die faseroptischen Buseinrichtungen (21, 22, 23) so angeordnet sind, daß sie eine Ringtopologie verwirklichen und daß die in zwei Richtungen wirksamen faseroptischen Buseinrichtungen (21, 22, 23) so ausgebildet sind, daß sie Nachrichten in zwei Richtungen um den Ring herum zur Erhöhung der Zuverlässigkeit übertragen.

13. System nach Anspruch 9, dadurch gekennzeichnet, daß die genannten faseroptischen Buseinrichtungen (21, 22, 23) so ausgebildet sind, daß sie eine nicht-elektromechanische Kopplung von Signalen zwischen den intelligenten Knotenpunk ten und den faseroptischen Buseinrichtungen (21, 22, 23) über die Sende- /Empfangsmittel (26) bewirken.

14. System nach Anspruch 9, gekennzeichnet durch eine Anzahl von Leistungsquellen zur Beseitigung eines Ausfalls durch Fehler an einem Punkt, wobei die Knotenpunkte, welche mit einem der faseroptischen Busse gekoppelt sind, von den genannten Leistungsquellen gespeist sind.

15. Verfahren zum Zusammenbau und zum Betrieb eines fehlertoleranten Steuersystems verteilter Intelligenz mit folgenden Schritten:

Bildung einer Anzahl von intelligenten Knotenpunkten (12, 14, 16, 18, 20), von denen jeder mindestens ein Verarbeitungselement (26, 28) enthält;

Verbinden jedes der intelligenten Knotenpunkte (12, 14, 16, 18, 20) mit mindestens einem in zwei Richtungen wirksamen faseroptischen Bus (21, 22, 23) entsprechend einem vorbestimmten Pegel der Redundanz;

Bilden einer Schnittstelle zwischen jedem Verarbeitungselement (26, 28) in jedem der genannten Knotenpunkte und dem genannten mindestens einen verbindenden faseroptischen Bus (21, 22, 23) mittels Sende-/Empfangsmitteln (26); und

Verarbeiten von Nachrichten, die auf dem mindestens einen faseroptischen Bus (21, 22, 23) gesendet oder empfangen werden, in jedem Verarbeitungselement (26, 28) der genannten Knotenpunkte, und Bearbeiten von anwendungsspezifischen Aufgaben der genannten Knotenpunkte durch Prozessormittel (28), welche mit den Sende-/Empfangsmitteln (26) gekoppelt sind, wobei die Prozessormittel (28) in dem Steuersystem autonom arbeiten, gekennzeichnet durch die Erzeugung einer Zeitbake (81, 86) an einem ausgewählten der Knotenpunkte zur Synchronisation von Nachrichten, welche durch die Knotenpunkte über den mindestens einen in zwei Richtungen wirksamen faseroptischen Bus (21, 22, 23) ge sendet und empfangen werden, und durch Detektieren der Zeitbake (81, 86) an jedem Knotenpunkt, wobei die von den Knotenpunkten gesendeten Nachrichten einem gültig-Manchester-kodierten Datenstromprotokoll entsprechen, und die Zeitbake (81, 86) einen Datenstrom enthält, der eine Mehrzahl von Bits mit einer nichtgültig-Manchester-Folge aufweist.

16. Verfahren nach Anspruch 15, dadurch gekennzeichnet, daß der Schritt des Verbindens jedes der genannten intelligenten Knoten den Schritt der Anordnung der genannten Anzahl von Knoten in einer Ringtopologie umfaßt, wobei die in zwei Richtungen wirksamen faseroptischen Busse Nachrichten in zwei Richtungen um die Ringtopologie herum übertragen, um die Zuverlässigkeit zu erhöhen.

17. Verfahren nach Anspruch 15, gekennzeichnet durch den Schritt der Vorauswahl eines der Verarbeitungselemente (26, 28) zur Erzeugung der Zeitbake (81, 86) zur Synchronisation von Nachrichten, welche gesendet und empfangen werden, wobei jedes Verarbeitungselement (26, 28) Mittel (72) zur Erzeugung und zur Detektierung der genannten Zeitbake (81, 86) enthält.