ES2276862T3 - Circuito logico, en particular para sistemas ferroviarios. - Google Patents

Abstract

Circuito lógico, que se subdivide en al menos dos circuitos parciales (11, 12) redundantes, que tienen respectivamente al menos un componente idéntico (1, 1¿) y que puede ser programado con datos, caracterizado en que los datos (D1) son en cada componente idénticos (1, 1¿), comprendidos de manera programada idénticamente al menos dos veces (A1, A2) y en el que los componentes idénticos (1, 1¿) se conectan (311, 312, 331, 332, 341, 342) de manera diferente en cada caso en el correspondiente circuito parcial (11, 12).

Description

Circuito lógico, en particular para sistemas ferroviarios.

La presente invención se refiere a un circuito lógico según el preámbulo de la reivindicación 1.

En la norma europea EN 50126 y EN 50129 se definen grados de seguridad (Safety Integrity Level SIL). Para los sistemas ferroviarios como por ejemplo instalaciones de enclavamientos, está prescrito la mayoría de las veces el grado mas alto SIL-4, en total o para componentes y circuitos individuales. Para conseguir cumplir tales exigencias, se redunda en los circuitos relevantes para la seguridad además de en otras medidas, es decir se ejecuta en la mayoría de los casos doblemente como 2 de 2 sistemas. Un circuito semejante es conocido por ejemplo en el DE 198 05 819 A1. Tales circuitos adolecen también de la desventaja, de que un error sistemático en la arquitectura del circuito mismo o también en caso de una avería de un componente electrónico que se encuentra en el circuito, no puede ser reconocido sin tomar mediadas especiales. Tales componentes se ejecutan de manera preferente en la familia lógica FPGA (Field Programmable Gate Array). Tales errores sistemáticos en los componentes FPGA mencionados, tienen como consecuencia un denominado error doble que es la privación de una detección: la comparación de señales, que provienen de los dos componentes aplicados de manera redundante o de las partes del circuito, no manifiestan estos errores.

Este problema se puede resolver cuando -en la ejecución doble o redundante de un circuito- los componentes funcionales idénticos, por ejemplo circuitos integrados (IC integrated circuit), se utilizan por fabricantes distintos. También es posible emplear tipos distintos de tales componentes. Otra solución consiste en aportar en un componente electrónico la misma función que tiene que ser realizada en programaciones diferentes. Así puede elaborarse de manera diferente el programa tomado como base y/o la programación de los componentes puede efectuarse de manera diferente.

Estas soluciones adolecen de las siguientes desventajas:

i)

Con la situación trepidante actual en el campo de la electrónica, esto significa un gasto administrativo considerable, pues al tener varios tipos de tales componentes, probablemente para eso se necesitan varios sistemas de programación.

ii)

En el caso de la rescisión de un componente tal vez no se puede recurrir más a un segundo fabricante.

iii)

En caso de que se utilicen componentes electrónicos de distintos fabricantes existe sin embargo el peligro de que el chip que esta situado en el interior, proceda del mismo fabricante del chip (chip o cambio de máscara).

iv)

Una programación diferente tiene como consecuencia un importante gasto adicional, en particular también en una comprobación de seguridad que se tiene que producir.

La presente invención tiene por objeto proponer un circuito lógico, en el que en dos componentes lógicos iguales y programados de manera idéntica, el mismo programa se desarrolla de manera independiente del dispositivo lógico empleado y del sistema de programación utilizado en los dos ejemplares, y a pesar de que la posibilidad restante de un error doble a causa de un error sistemático, converge en un lugar especifico en el chip a cero.

Este objetivo se soluciona por medio de las medidas propuestas en la reivindicación 1. Otras realizaciones ventajosas de la invención están incluidas en otras reivindicaciones.

Dado que

los datos en cada componente son idénticos, están contenidos de manera programada idénticamente al menos dos veces y en el que los componentes idénticos se conectan de manera diferente en cada caso con el correspondiente circuito parcial;

se reconoce con seguridad un error sistemático localizado en algún lugar del componente.

Así pueden darse las siguientes ventajas adicionales:

i)

Por la desconexión de dos zonas, que contienen datos programados de manera idéntica y la programación al menos de una zona situada en medio con una lógica de relleno, se podrán separar con seguridad de manera funcional y electrónica ambas zonas de datos (reivindicación 2).

ii)

De manera que solamente la zona que contiene la lógica de relleno presenta una terminal de entrada, puede ésta en conjunto situarse contra tierra y de esta manera reducir la radiación inductiva y el acoplamiento (reivindicación 3).

\newpage

iii)

De manera, que los componentes idénticos se conectan respectivamente con otros componentes desarrollados preferentemente como memoria, que tienen más zonas programadas idénticamente y es direccionable de forma diferente de los componentes idénticos, pudiendo detectarse con seguridad también errores sistemáticos en un componente de la memoria (reivindicación 4, 7).

La invención se explica a continuación a través de los dibujos en los que se muestra:

Figura 1 Forma de realización de una conexión lógica redundante con dos componentes programados por duplicado de manera idéntica, incluida la representación de la conexión;

Figura 2a Forma de realización de un primer circuito parcial con cuatro programaciones idénticas, en el que solamente se emplea una programación, junto con las zonas de conexión activas correspondientes para los componentes;

Figura 2b Forma de realización de un segundo circuito parcial, con cuatro programaciones idénticas, en el que solamente se emplea una programación, junto con las zonas de conexión activas correspondientes para los componentes;

Figura 2c Representación de principio del layout de un componente con una lógica de relleno;

Figura 3 Layout de memoria de un componente de memoria con varios zonas programadas idénticamente.

La figura 1 muestra un circuito lógico 10 redundante, que en un circuito parcial (como tal no representada en la figura 1) respectivamente está articulado con un componente 1 y 1' correspondiente. Los componentes 1 y 1' están ejecutados preferentemente como componentes FPGA. Estos componentes 1, 1' están conectados por el pins 31 con un entorno, por ejemplo un tablero de circuitos impresos. Con A1 y A2 (área A) se designan zonas abstractas de ambos componentes 1, 1', que contienen los datos preestablecidos y las funciones programadas.

Con un lenguaje de alto nivel, la mayoría de las veces VHDL (Very High Speed Hardware Description Language según IEEE 1087-1987/1993), se desarrolla la función lógica que tiene que ser realizada. Con esto se dispone de componentes lógicos combinatorios, como por ejemplo un elemento enrejado con las funciones AND, NAND, OR, circuito multivibrador biestable (Flip/Flops), contador, decodificador etc. Al lado de los componentes lógicos combinatorios mencionados anteriormente, hay también componentes lógicos que memorizan, que en una disposición como por ejemplo una dirección, pueden contener un valor máximo o un texto en ASCII (American Standard Code for Information Interchange). También estos datos fijos se redactan con el lenguaje de alto nivel VHDL. Además determinadas funciones utilizables a menudo de manera repetida están disponibles como elementos de biblioteca en el lenguaje VHDL o como combinación de circuito de los componentes lógicos. Estos elementos de biblioteca se designarán en el contexto VHDL también como subrutinas, estas se incorporarán en la implementación en la manera de los denominados macros (inserts). Según la selección ocurrida de un determinado componente - FPGA resulta una síntesis, de la que resulta una denominada lista de red. Con una herramienta "Place and Router" resulta una representación local de los componentes lógicos antes citados, de las zonas funcionales individuales y conexiones -es decir pins-. Para la realización de la presente invención en al menos una doble programación funcionalmente idéntica, hay que fijarse que la localización de las funciones y de los correspondientes pins de entrada y pins de salida, estén rigurosamente separados. Esta separación está representada en la figura 1 con una línea 5 punteada. Las zonas de conexión empleadas 311, 312 respectivamente, conducen hasta el circuito parcial correspondiente. En la implementación se pueden cumplir otras exigencias como por ejemplo, el mantenimiento de los tiempos de señalización predeterminados como máximos, se tienen que tener en cuenta, de modo que estas zonas funcionales necesarias para esto estén lo más cerca posible, en particular se ubicarán en la esquina de los componentes. La calidad de la separación local pretendida de las zonas funcionales puede ser comprobada con el editor - layout que esta disponible habitualmente.

El circuito se construye de tal manera que siempre, al menos dos copias idénticas del circuito lógico se programan en cada componente 1 y 1'. En que una de las copias es la parte A1 con el empleo de la zona de conexión 311, la otra copia es la parte A2 con el empleo de la zona de conexión 312. Las conexiones de ambos componentes 1, 1' que salen de las zonas de conexiones 311 y 312, sirven para el intercambio de datos y la vigilancia reciproca de dos circuitos lógicos, en el que estas conexiones se desarrollan preferentemente como canales de datos en serie, que transmiten las informaciones antivalente de manera que se pueden comprobar en el lugar de recepción la exactitud relevante por razones de seguridad. Estas conexiones mencionadas, se refieren al intercambio de datos y a la vigilancia reciproca de ambos componentes, pero no se refieren sin embargo a la adaptación de datos hacia el exterior.

La forma de realización de la invención representada en la figura 1 se elige entonces en particular cuando la capacidad de los componentes utilizados 1, 1' y el número de las conexiones necesarias son escasos.

En la figura 2a y 2b se representa otra forma de realización de la presente invención, que con la presencia de capacidad lógica y capacidad de enlace suficiente, se posibilita una separación todavía mejor de los sistemas activos. La figura 2a muestra un primer circuito parcial 11 y la figura 2b un segundo circuito parcial 12. Ambos circuitos parciales 11 y 12 muestran respectivamente un componente idéntico 1 y 1' y forman la parte redundante doble de un circuito lógico. El asentamiento de los circuitos parciales11 y 12 en el dispositivo lógico puede suceder de distinta manera local, mecánica y eléctrica y no se ejecuta de nuevo en relación a la presente invención. La lógica completa en cada componente 1 y 1' está programado cuatro veces en cuatro idénticas zonas funcionales -también denominadas copias- A1, A2, A3 y A4. En estos dos componentes 1, 1' idénticos, se usa para el circuito parcial 11 la copia A2 con la zona de conexión 331 y 332 y para el circuito parcial 12 la copia A4 con la zona de conexión 341 y 342; las zonas de conexión son sumarias representadas en la figura 2a y 2b con una línea gruesa. Por esta conexión antes mencionada de los componentes 1 y 1' se puede conseguir que los errores sistemáticos por sí mismos que afectan a toda una fila o columna de los componentes programados, no puedan repercutir de manera similar en los dos componentes 1 y 1'. Los circuitos parciales 11 y 12 están ejecutados por un lado conforme a la ocupación de la zona de conexión 331, 332 y por otro lado la zona de conexión 341, 342 está ejecutada de manera diferente.

En otra forma de ejecución de la presente invención no se necesitarán funciones de lógica, es decir tomada de manera combinatoria y almacenada de una función denominada aquí "lógica de relleno". Es preferible que las dos maneras antes mencionadas de los componentes lógicos se ordenen de manera alterna y en cada caso especificar solo las entradas 31 (pin de entrada). Las conexiones en el lado de la placa de circuitos impresos a los pins de entrada mencionados, se deben de conectar electrónicamente contra tierra, para que sea posible conectar los componentes internos como también en el lado de la placa de circuitos impresos la inducción parasita como acoplamientos o radiación/desacoplamiento. Es especialmente conveniente una ejecución plana de las conexiones en los pins de entrada. Esta lógica de relleno se interpretará preferentemente repetidas veces, una distribución básica se deduce de la figura 2c, en el que las zonas correspondientes de la lógica de relleno están equipadas con el signo de referencia N1.

La presente invención no se limita a la familia de los componentes FPGA. En otra forma de realización se muestra la invención a continuación mediante una memoria de layout de un componente electrónicamente programable, que se ejecuta preferentemente como flash EPROM.

En la figura 3 se muestra una memoria 2 organizada por palabras y por byte direccionables. La organización de esta memoria 2 asciende a n x 1 palabra, en el que una palabra esta definida con 16 Bit y la parte inferior y superior de una palabra son direccionables a si mismo por separado, por ejemplo con líneas de detección A0 (no representada en la figura 3). Las posiciones de Bit están designadas en la figura 3 de derecha a izquierda con 0 ..7 y
8 ..15 en una representación decimal. Con 0 ..15 o bien 32 ..47 en la figura 3, están especificadas direcciones de medias palabras; las direcciones dadas tienen solo carácter de ejemplo, en particular las zonas programadas idénticamente no necesitan empezar en la dirección del componente 0. Para evitar errores dobles, en el diseño de memoria asimismo están previstos los datos repetidas veces. En la figura 3 están las zonas que contienen los datos idénticos que están señalados con D1. Además para la reducción de otra posibilidad de error doble, se ponen los datos continuos idénticos en diferentes direcciones, por lo menos una vez en valores inferiores byte y por lo menos una vez en valores superiores byte. Para poder reconocer también errores en la línea de dirección o en la línea de datos, es conveniente, que las distintas zonas no estén puestas exactamente sobre las direcciones que corresponden a una segunda potencia. Además seria posible que zonas concretas de la memoria se protejan adicionalmente con una suma de comprobación o con un predefinido e invariable contenido de memoria.

En una distribución con un componente FPGA se puede prever, que en la primera conexión parcial del componente FPGA 1siempre acceda a la mitad de orden inferior de la memoria de palabra 2, mientras que el componente FPGA en la segunda conexión parcial 12, accede siempre a la mitad superior de la memoria de palabra. En la figura 3 no están representados los componentes FPGA 1, que están conectados entre sí. Sobre tal acoplamiento pueden, los que provienen de la memoria 2 de zonas distintas y sobre líneas diferentes para los componentes EPGA 1 en cuestión, transmitir datos en homogeneidad, particularmente se examinan en cuanto a la integridad.

Bajo el concepto datos, en relación con la presente invención, se entiende también código para un sistema de procesación. Una ventaja importante de la presente invención se produce entonces cuando el código es independiente en cuanto a la posición, es decir es ejecutable independientemente de su posición en el espacio de direccionamiento.

Lista de los signos de referencia empleados

1, 1'

Componente, preferentemente FPGA

2

Componente, preferentemente Flash-PROM o EPROM

5

Línea divisoria abstracta

10

Circuito lógico

11

Primer circuito parcial de un circuito lógico ejecutado redundantemente

12

Segundo circuito parcial de un circuito lógico ejecutado redundantemente

31

Conexión del componente, Pin

311, 312

Zona de conexión de los componentes 1, 1'

331, 332

Zona de conexión de la zona funcional A1 en el componente 1

341, 342

Zona de conexión de la zona funcional A2 en el componente 1'

A1, A2, A3, A4

Zonas funcionales en el componente 1

N1

Zona de lógica de relleno en los componentes 1, 1'

D1

Campo de datos en los componentes 1, 1'

Claims (7)

1. Circuito lógico, que se subdivide en al menos dos circuitos parciales (11, 12) redundantes, que tienen respectivamente al menos un componente idéntico (1, 1') y que puede ser programado con datos,

caracterizado en que

los datos (D1) son en cada componente idénticos (1, 1'), comprendidos de manera programada idénticamente al menos dos veces (A1, A2) y en el que los componentes idénticos (1, 1') se conectan (311, 312, 331, 332, 341, 342) de manera diferente en cada caso en el correspondiente circuito parcial (11, 12).

2. Circuito lógico según la reivindicaron 1,

caracterizado en que,

en cada componente idéntico (1, 1'), los datos (D1), programados de manera idéntica al menos dos veces, se separan al menos por una zona (N1), que contiene una lógica de relleno.

3. Circuito lógico según la reivindicación 2,

caracterizado en que

la zona (N1) que contiene la lógica de relleno tiene terminales de componente (31) utilizables sólo como entrada.

4. Circuito lógico según una de las reivindicaciones 1 hasta 3,

caracterizado en que

los componentes idénticos (1, 1') se conectan respectivamente con otro componente (2) programable con datos, que tiene varias zonas programadas con datos (D1) idénticos y en el cual cada componente idéntico (1,1') es direccionable de forma diferente a otro componente (2).

5. Circuito lógico según la reivindicación 4,

caracterizado en que

en el otro componente (2) las zonas programadas con datos (D1) idénticos se encuentran en direcciones que son diferentes a una segunda potencia.

6. Circuito lógico según la reivindicación 5,

caracterizado en que

el otro componente (2) además de las zonas programadas con datos (D1) idénticos tienen más zonas que contienen datos fijos o una suma de comprobación.

7. Circuito lógico según una de las reivindicaciones 4 hasta 6,

caracterizado en que

se acoplan los componentes (1, 1') programados de manera idéntica y que la integridad de los datos procedentes del otro componente (2) se controlan por este acoplamiento.