NO802841L - Sikker databehandlingsinnretning - Google Patents

Abstract

En sikret databehandlingsinnretning med koblingsverk som behandler de samme informasjoner i minst to kanaler og styres skrittvis, oppviser de følgende trekk for å forebygge utgivelse av feilaktige kommandoer: I hver kanal inneholdes en BUS-ledning (BUS I, BUS II). Til hver BUS-ledning er der koblet en uavhengig arbeidende mikroprosessor (MP I, MP II), et skrive-/leselager (SPC I, SPC II), et fastverdilager (SPF I, SPF II), en past-memory-komponent (PME I, PME II), en parallell- og en seriell-datautgiverkobling (AP I, DAP II, VBP, LAP resp.DAS I, DAS II, TS,S,AS). BUS-ledningene er forbundet innbyrdes ved hjelp av en feilsikker koordineringsenhet (KOE) som styrer overtagelse og utgivelse av informasjonene. Parallelle, serielle eller allerede sikrede informasjoner kan innføres etter valg. Likeledes kan sikrede parallelle eller serielle informasjoner gis ut etter valg. Bare koordineringsenheten, sammenlignerene, takt- og synkroni-seringsenheten og den bitparallelle resp. bitserielle utgiverenhet i datautgiverkoblingene er sikre komponenter. Hver mikroprosessor (MP I, MP II) har uavhengig separat styring. Koordineringsenheten (KOE) avgir etter ankomst av sammenligningsresultatene en kommando til avvikling av neste programskritt eller til gjentagelse av programskrittet eller til stans. Kanalene er modulært oppbygget. Flere av disse sikkerhets-ugiverkoblinger kan forbindes til et multiprocessingsystem.

Description

Oppfinnelsen angår en sikker databehandlingsinnretning som angitt i hovedkravets innledning.

Ved styring av tekniske prosesser gjør man stadig mer bruk av elektroniske innretninger, særlig prosessregnere og mikrocomputere. Det skjer også på slike områder hvor sikker-hetshensyn kommer inn, som f.eks. jernbanesikringsteknikk, trafikklysstyringer, valsegate-styreverk, pressestyringer, overvåkning av kjernereaktorer m.v. Det er her særlig viktig at mennesker ikke kommer i fare. I alle de nevnte tilfeller må man derfor bygge på "fail-safe"-prinsippet, dvs. at der selv ved flere forstyrrelser eller feil i styringsanleggene ikke må avgis signaler som ville kunne ha skadelige følger for mennesker eller maskiner. Allikevel må man unngå for store omkostninger og derfor gjøre utstrakt bruk av komponenter som forekommer i handelen.

Der er allerede kjent en sikkerhets-utleveringskobling for et databehandlingsanlegg som avgir binærsignaler, hvor der anvendes en forsterker med en utgangstransformator, hvis sekundærvikling via en likeretterkobling forsyner en for-bruker med "fail-safe"-signaler. Et par dataledninger som fører ensartede binærsignaler fra to mikrocomputere som styres taktsynkront ved hjelp av en felles taktstrømkilde,

er tilkoblet hvert sitt første kippledd som tjener som ut-gi verkomponent, og hvis utgang er forbundet med tilbakeset-ningsinngangen til et annet kippledd. For disse to andre kippledd leveres synkrone taktpulser fra taktstrømforsyningen, en tilbakesetningsinngang til det ene resp. det annet av de første kippledd er forbundet med en utgang som avgir et grunnstillingssignal fra taktstrømkilden, til utgangen fra det ene av de andre kippledd og til den negerte utgang fra det annet av de andre kippledd er der koblet et antivalens-overvåkningsledd som kan avspørres med testpulser fra takt-strømkilden, og som såvel ved statiske som ved dynamiske antivalente signaler avgir testpulsene for opprettholdelse av taktstrømforsyningen, og forsterkeren er tilkoblet minst ett av de to andre kippledd (DE-AS 2 651 314).

Denne innretning har imidlertid den ulempe at f.eks. forstyrrelser i taktstyringen ytrer seg likt på de to mikro- prosessorer. Likeledes kan systematiske feil i de to kanaler som er oppbygget av like komponenter, ytre seg på samme måte, så der eventuelt også kan bli gitt ut en falsk kommando.

Oppgaven består derfor i å skaffe en sikker databehandlingsinnretning hvor alle feil som ikke tilfeldigvis opptrer samtidig og i samme art på hver kanal, kan erkjennes, så utgivelsen av en falsk kommando kan forhindres. Oppgaven blir ifølge oppfinnelsen løst ved hjelp av de trekk som er angitt i patentkravene.

Oppfinnelsen vil i det følgende bli belyst nærmere ved et utførelseseksempel. I det utførelseseksempel som er vist på tegningen, består innretningen ifølge oppfinnelsen av to kanaler, men det er også mulig av sikkerhetsgrunner å benytte tre eller flere kanaler. Likeledes er det mulig å forbinde en slik innretning med en eller flere ytterligere,tilsvarende innretninger til et multiprocessingsystem.

I utførelseseksempelet er to kanaler I og II oppbygget med fullstendig identisk struktur, men kan også være forskjellige med hensyn til hardware, så det,er nok å beksrive bare den ene. Til en BUS er der koblet en digital innføringskob-ling DEP hvori informasjonene innmates bitparallelt,eller en digital innføringskobling DES hvori informasjonen innmates bitserielt, eller også en sikker innføringskobling SIE hvori informasjonen allerede innmates i sikret form (dette er allerede vist i BRD-patentsøknad P 24 02 880).

Som digital innføringskobling tjener for det første innføringskoblingen DEP for. bitparallell innlesning. Et slikt dataord med en bredde av f.eks. 8 bits blir opptelt via optokoblere og innlest i et mellomlager FIFO^En FIFO

på innføringsveien DEP er en komponent hvormed inngangsdata og utgangsdata kan avkobles fra hverandre. Det betyr at man kan utlese data samtidig med at data innleses i komponenten. De data som ble innlest først, blir også igjen utlest først.

En ytterligere innføringskobling DES er en bitseriell innføringskobling. Også her blir den innførte informasjon først galvanisk oppdelt via optokobler og derpå mellomlagret i en serie-parallellomsetter SPU. Resultatet fra serie-paral-lellomsetteren blir etter avsluttet innskrivningsoperasjon overtatt i et mellomlager ZSP og står så til rådighet for prosessen.

De bitparallelle resp. bitserielle innføringsveier DEP, DES er oppbygget dobbelt og må også påstyres dobbelt av prosessen. Bare derved er det mulig å fastslå ledningsavbrudd resp. EMC-forstyrrelser, som dermed ikke kan føre til noe feilaktig resultat.

Tredje innføringskobling SIE er en gruppe oppbygget av faste komponenter. Her kan der tilkobles sikre kontakter, relé- eller styrekontakter.

Inngangene blir kontrollert på antivalens eller valens og fordelt tilbakekoblingsfritt på de to BUSSER. Innførings-data blir enten innført syklisk eller styrt pr. program eller der tillates for et kort tidsrom et avbrudd, så det også er mulig å få spontane innføringsdata med.

Til BUSSEN er der videre koblet en mikroprosessor MP, et skrive-/leselager SPC, et fastverdilager SPF, en past-memory-komponent PME, en digital utgiverkobling DAP via hvilken utgivelsen av en kommando skjer bitparallelt, og en digital utgiverkobling DAS via hvilken utgivelsen av en kommando skjer bitserielt. De hittil nevnte komponenter er med unntagelse av den sikre innføringskobling SIE produkter som forekommer vanlig i handelen og ikke i og for seg er feilsikret.

Koordineringen av behandlingsforløpet og sikringen av de utgitte informasjoner skjer ved hjelp av en koordineringsenhet KOE som i seg selv er feilbeskyttet, samt ved hjelp av sikre sammenligner-byggegrupper VBP, VBS. Feilbeskyttet i seg selv er også en utleveringsvei LAP i den bitparallelle utgiverkobling samt en takt- og synkroniserings-byggegruppe TSY og en utgivelsesvei LAS i den digitale utgiverkobling for serielle kommandoer.

Begge mikroprosessorene arbeider med egne taktforsy-ninger og blir ikke tvangssynkronisert ut fra sin takt. Det fører til at ingen EMC-forstyrrelser som ikke konstateres ved sammenligningen, kan føre til samtidige forfalskninger. Inn-føringsinformasjonene kan også komme fra en kilde. Riktignok må forbindelsen alltid utføres tosidig for å gjøre det mulig å registrere og konstatere ledningsavbrudd, ledningsslut-ninger eller innstrålte forstyrrelser.

Tii prosessorene MP I, MP II hører lagringskomponentene, eksempelvis fastverdilagrene SPF I, SPF II og skrive-/lese-lagrene SPC I, SPC II. Prosessorene er galvanisk adskilt og uten innbyrdes kobling.

Styringen resp. overtagelsen av kontaktinformasjonene blir styrt av koordineringsenheten KOE.- Denne har til opp-gave å bringe programhastigheten for begge prosessorene på like tidsavsnitt, enn videre å synkronisere de digitale inn-føringsveier for at begge regnere får identiske informasjoner på samme tid, samt å styre den digitale utgivervei DASY, for at der ved sammenlignerene VBP, VBS til enhver tid skal opptre identiske informasjoner - enten det nå er bitparallelt eller bitserielt.

Et program blir oppdelt i mange enkeltsegmenter. Etter hvert kort programavsnitt skjer der en sammenligning, dvs.

at prosessoren gir vedkommende informasjoner til en eller annen utgiverenhet og derpå melder ved koordineringsenheten at data står til rådighet. Er den annen prosessor på dette tidspunkt ennå ikke ferdig med sin utlevering, blir første prosessor stanset og må vente så lenge til også den annen er ferdig med sin utlevering. Med denne forholdsregel kan man oppnå en tvungen synkronisering av de to prosessorer.

Videre blir det også ved hjelp av et tidsledd i koordineringsenheten kontrollert om de to prosessorer melder seg ved koordineringsenheten i bestemte tidsavstander. Er av-standen for stor, blir begge prosessorer stanset og en feil-melding gitt ut.

Hvis en mikroprosessor resp. begge mikroprosessorene har avgitt sine data til en digital utgiver-byggegruppe og begge har meldt seg ved koordineringsenheten, starter koordineringsenheten en puls som overfører resultatet av ladningen til et annet register. Takket være denne synkrone overtagelse av data i de lagre ved begge BUSSER, vil der ved sammenlignerene alltid opptre identiske informasjoner. Prosessorene kan avvikle neste programskritt uten ytterligere kommando. Inntrer et feiltilfelle, blir bare de feilaktige informasjoner undertrykket. Dette utsagn gjelder bare de bitparallelle utleveringer, ikke de bitserielle, for her blir hele telegrammet stoppet i tilfellet av en feil.

Systemet utmerker seg ved at de to prosessorer kan arbeide på samme måte eller på forskjellige måter. Videre er der mulighet for å la både identiske og innbyrdes forskjellige software-programmer avvikles i de to prosessorer eller også la to forskjellige software-programmer behandles etter tur i en og samme prosessor.

Det er også mulig å utvide.'systemet til et m- av n-system for foruten sikkerheten også å oppnå en økning av den disponible kapasitet.

Som utgiver-byggegrupper står to elementer til rådighet. For det første den parallelle utgiverkobling DAP. Her blir det 8 bits brede dataord innlest i et lager. Resultatet overtas i et annet mellomlager, styrt av koordineringsenheten. Dessuten foreligger der også en digital utgiverkobling DAS for serielle informasjoner. Denne serielle utgivergruppe består av et parallellregister som lades av prosessoren i samsvar med telegram- eller bit-lengde. Er registeret komp-lett ladet, blir informasjonen opptatt i et annet register ved hjelp av koordineringsenheten.

Utgangsinformasjonene fra de digitale utgiverkoblinger DAP, DAS blir ført til sammenlignerne VBP, VBS. Der blir informasjonene fra begge utgangene kontrollert. Resultatet blir for det første gjennomkoblet til utgivergruppen LAP/ som består av LOGISAFE-komponenter.

Ved den serielle utgivergruppe blir det serielle ord sammenlignet bit for bit. Uttaktingen av dette ord overtas av en byggegruppe takt resp. synkroniseringen TSY/ som bestemmer det serielle dataords overføringsrate. Datainfor-masjonen viderekobles via en sikret utgivervei LAS bestående av LOGISAFE-komponenter.

Utgangen fra den sikrede byggegruppe LAS benyttes til sikret fjernoverføring. Utgangene fra den sikrede byggegruppe LAP for et 8 bits bredt parallelt ord kan via sikrede forsterkere påstyre releer eller innstillingsledd.

Hele systemet er modulært oppbygget.. En enkelt koordi neringsenhet er tilstrekkelig. For service,, for oppsøkning av feil, finnes et past-memory PME. I dette fastholdes i tilfellet av en feil de siste 256 bits av programbehandlingen. Såvel data som adresser og også endel viktige kontrolled-ninger blir lagret. Denne byggegruppe finnes sepatat for hver prosessor, så man lett kan lokalisere ulikhet i informasjonene, altså feil.

Claims (8)

1. Sikker databehandlingsinnretning med koblingsverk som behandler de samme informasjoner i minst to kanaler og styres skrittvis, karakterisert ved følgende trekk: i hver kanal inneholdes en BUS-ledning (BUS I, BUS II), til hver BUS-ledning (BUS I, BUS II) er det koblet en uavhengig arbeidende mikroprosessor (MP I, MP II), et skrive-leselager (SPC I, SPC II), et fastverdilager (SPF I, SPF II) og en past-memory-komponent (PME I, PME II), til hver BUS-ledning (BUS I, BUS II) er der koblet en parallell data- og en seriell data-utgiverkobling (henholds-vis DAP I, DAP II, VBP, LAP og DAS I, DAS II, TSY, VBS, LAS), BUS-ledningene (BUS I, BUS II) er forbundet med hverandre ved hjelp av en feilsikker koordineringsenhet (KOE) som styrer overtagelse og utgivelse av informasjonene.

2. Databehandlingsinnretning som angitt i krav 1, karakterisert ved at der etter valg kan innføres parallelle, serielle eller allerede sikrede informasjoner.

3. Databehandlingsinnretning som angitt i krav 1 og 2, karakterisert ved at der etter valg kan gis ut sikrede parallelle eller serielle informasjoner.

4. Databehandlingsanlegg som angitt i krav 1-3, karakterisert ved at bare koordinerings enheten (KOE), sammenlignerene (VBP, VBS), takt- og synkro-niseringsenheten (TSY) og den bitparallelle resp. bitserielle utgiverenhet (LAP, LAS) er sikre komponenter i datautgiverkoblingene.

5. Databehandlingsinnretning som angitt i krav 1-4, karakterisert ved at hver mikroprosessor (MP I, MP II) for seg er uavhengige taktstyrt.

6. Databehandlingsinnretning som angitt i krav 1-5, karakterisert ved at koordineringsenheten (KOE) etter ankomst av sammenligningsresultatene gir ut en kommando for avvikling av neste programskritt eller for gjentagelse av et programskritt eller for stans.

7. Databehandlingsinnretning som angitt i krav 1-6, karakterisert ved at kanalene er modulært oppbygget.

8. Databehandlingsinnretning som angitt i krav 1-7, karakterisert ved at flere av de nevnte sikkerhets-utgiverkoblinger kan forbindes til et multiprocessingsystem.