DE2612100A1

DE2612100A1 - Digitale datenverarbeitungsanordnung, insbesondere fuer die eisenbahnsicherungstechnik

Info

Publication number: DE2612100A1
Application number: DE19762612100
Authority: DE
Inventors: Horst Dipl Ing Strelow
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 1976-03-22
Filing date: 1976-03-22
Publication date: 1977-10-06
Also published as: CH607142A5; FI762907A; JPS5438029B2; GB1548218A; IT1073043B; DK151652C; ZA766493B; DK151652B; ATA743976A; FI62795B; IN146293B; AT355093B; YU37239B; JPS52115141A; FR2345766B1; FR2345766A1; CA1078967A; LU75934A1; SE7611356L; NL7611317A

Description

SIEMENS AKTIENGESELLSCHAFT

Berlin und München _vpA 75 ρ

Digitale Datenverarbeitungsanordnung, insbesondere für die Eisenbahnsicherungstechnik

Die Erfindung bezieht sich auf eine digitale Datenverarbeitungsanordnung, insbesondere für die Eisenbahnsicherungstechnik, mit in zwei Kanälen vorgesehenen Baugruppen, die durch eine gemeinsame Taktstromversorgung schrittweise gesteuert werden, welche bei jedem Verarbeitungsschritt außer mehreren Steuersignalen einen Überwachungsimpuls ausgibt zum Abfragen von für je zwei vergleichbare Signale aus den beiden Kanälen in Reihenschaltung vorgesehenen Vergleichern, die beim Vorhandensein von ordnungsgerechten Signalpaaren den Überwachungsimpuls als Fehlerfreimeldung zum Auslösen der für den nächsten Verarbeitungsschritt erforderlichen Steuersignale und eines weiteren Überwachungsimpulses an die Taktstromversorgung gibt.

Datenverarbeitungsanlagen für die unmittelbare Steuerung von Eisenbahnen oder für die Überwachung von Kernreaktoren müssen nach einem anerkannten Sicherheitsprinzip arbeiten, bei dem bei eventuell auftretenden Fehlern in der Datenverarbeitungsanlage der Prozeß, also die zu steuernde Eisenbahn bzw. die überwachenden Kernraktoren, in einen für den Menschen ungefährlichen Zustand überführt werden. Dies kann beispielsweise dadurch geschehen, daß unter Berücksichtigung der auf dem Gebiete des Eisenbahnsicherungswesens seit langem anerkannten Sicherheitsphilosophie allen als gefährlich anerkannten Signalen hoher Signalpegel zugeordnet wird, der bei einer Störung der Datenverarbeitungsanlage auf allen Ausgabenkanälen abgeschaltet wird. Hierzu sind jedoch Einrichtungen erforderlich, die eine fehlerhafte Datenverarbeitung so rechtzeitig erkennen, daß die infolge der fehlerhaften Datenverarbeitung ermittelten Steuerbefehle noch nicht beim zu beeinflussenden Prozeß angelangt sind.

VPA 75 E 2632 BRD

HSH-14-Jd / 18.3.1976 709840/0063

.Z* " 2612OQ

Eine Möglichkeit zur Erhöhung der Verfügbarkeit einer Datenverarbeitung sanordnung kann dadurch erzielt werden, daß nach dem Auftreten eines Fehlers in einer ersten Datenverarbeitungsanlage auf eine zweite Datenverarbeitungsanlage umgeschaltet wird, die im Parallelbetrieb ständig mitarbeitet und von der angenommen wird, daß sie nicht zu dem Zeitpunkt ebenfalls defekt wird, bei dem die erstgenannte Datenverarbeitungsanlage fehlerhafte Signale ermittelt Die Verwendung von gleichzeitig parallel arbeitenden Datenverarbeitungsanlagen ist beispielsweise in der DT-AS 1 280 593 bzw. in den DT-OS 1 499 262 und 1 802 999 beschrieben.

Anstelle des Abschaltens einer gesamten Datenverarbeitungsanlage ist es auch denkbar, nur solche Anlagenteile einer Datenverarbeitungsanlage abzuschalten, die als defekt erkannt wurden.

Im Hinblick auf die erforderliche Sicherheit kann keine Beschränkung dahingehend erfolgen, daß nur bestimmte Anlagenteile eines verdoppelten Datenverarbeitungssystems abgeschaltet werden, weil hierfür kein genügend sicherer Fehlererkennungsmechanismus enthalten ist. Es hätte auch keinen Zweck, mit nur einem sicher als intak erkannten Rechner weiter zu arbeiten, weil dieser aus Mangel eines sicheren Fehlererkennungsmechanismus in Alleinarbeit Gefährdungen für den Menschen und das Material verursachen kann.

Bei bestimmten Anwendungsfällen, bei denen außer der Sicherheit eine besonders hohe Verfügbarkeit gefordert werden muß, reicht es nicht aus, einen Parallelbetrieb mit zwei Datenverarbeitungsanlagen durchzuführen, da beide Datenverarbeitungsanlagen abgeschaltet werden müssen, sobald ein Fehler erkannt worden ist. Das hat zur Folge daß mindestens eine Betriebshemmung eintritt. Um derartige Betriebs hemmungen zu unterbinden, ist es bekannt, (Zeitschrift "Elektro-. technische Rechenanlagen« 17-Jahrgang 1975 Heft 3, Seiten 118 bis 124) sichere Mehrrechnersysteme mit hoher Verfügbarkeit dadurch zu erzielen, daß digitale Datenverarbeitungsanordnungen mit drei gleichzeitig arbeitenden kompletten Datenverarbeitungsanlagen konzipiert werden. Durch den Drei-Rechner-Betrieb wird zwar insbeson-

VPA 75 E 2632 BRD 709 8 4 0/0063 ORIGINAL INSPECTED

dere die Verfügbarkeit in sinnvoller Weise erhöht und dadurch die durch Fehler bedingten Betriebsbehinderungen besonders niedrig gehalten, jedoch ist es nicht ganz einfach, den Drei-Rechner-Betrieb zu realisieren, da ohne einen ausreichenden Gleichlauf der Daten-Verarbeitungsanlagen in einem derartigen Rechnerverbund ein Vergleich der Speicherinhalte oder der an den Prozeß auszugebenden Verarbeitungsergebnisse nicht möglich ist. An dieser Stelle sei besonders erwähnt, daß die drei genannten Datenverarbeitungsanlagen über fest zugeordnete Taktstromversorgungen verfügen, die aus wartungsrechtlichen Gründen nicht verändert werden dürfen, und zwar etwa dahingehend, daß alle drei Datenverarbeitungsanlagen durch eine einzige gemeinsame Taktstromversorgung bedient werden, was zu einer zweckmäßigen Synchronisation in den drei Datenverarbeitungsanlagen beitragen würde. Die durch den Nachteil der getrennten Taktversorgung erforderliche Koordination der drei Datenverarbeitungsanlagen erfolgt bei den bekannten Anlagen durch eine spezielle Hardwareeinheit, das sogenannte Mehrrechnersystem-Koordinatorelement, das mit allen drei Datenverarbeitungsanlagen sternförmig verbunden ist. Durch die Anwendung des Mehrrechner-System-Koordinatorelementes erfolgt im wesentlichen eine Programmsynchronisation derart, daß die Rechner vor jedem Anwenderprogrammstart dem Mehrrechner-System-Koordinatorelement die Nummern aller startbereiten Programme mitteilen und von diesem nur für diejenigen Programmnummern eine Startfreigabe erhalten, für die von allen drei Rechnern eine Startbereitschaft vorlag. Zur Verringerung der Fehleroffenbarungsverzögerung werden im Mehrrechner-System-Koordinatorelement zusätzlich Zwischenergebnisse der Anwenderprogrammläufe miteinander verglichen und Ergebnisse, die aus zwischengeschobenen Rechnerprüfprogrammen (sogenannte Sicherungsprogramme) resultieren.

Zwischen diesem bekannten Dreirechnersystem und dem sicher zu steuernden Prozeß muß für die Ausgabe von gesicherten Kommandos für jeden Kommandokanal ein Voter vorgesehen werden, der das für die Sicherheit entscheidende Bindeglied darstellt. Dieser Voter vergleicht auf allen drei Ausgabekanälen für den betreffenden Kommandokanal die jeweils angebotenen Informationen im 2V3-Aus-

VPA 75 E 2632 BRD ₇₀9840/0063

wählverfahren und gibt stets diejenige Information an den zu steuernden Prozeß weiter, die auf mindestens zwei Ausgabekanälen von dem Dreirechnersystem angeboten wird. Dabei wird derjenige Ausgabekanal gesperrt und als ausgefallen gemeldet, der eine abweichende Information anbietet. Dasselbe gilt aber auch bei einem diesbezüglichen Steuersignal vom Mehrrechner-System-Koordinatorelement. Der Voter hat ferner die Aufgabe, daß nach einem Übergang vom Dreirechnerbetrieb auf einen Zweirechnerbetrieb die Ausgabe von Informationen dann vollständig unterbunden wird, wenn in einem der verbliebenen beiden Datenverarbeitungsanlagen nochmals ein Fehler auftritt, wobei eine Informations-Differenz auf den bis dahin nicht abgeschalteten Ausgabekanälen entsteht. Dann sorgt der Voter dafür, daß zum Prozeß hin nur ein solches Signal ausgegeben wird, das dem energielosen, betriebshemmenden und damit dem ungefährlichen Zustand entspricht. Wesentlich ist dabei, daß der Voter mit digitalen Schaltkreisen aufgebaut werden muß, die signaltechnisch sichere Eigenschaften besitzen.

Der Aufwand, der bei einem derartigen Dreirechnersystem in Verbindung mit einem Mehrrechner-System-Koordinatorelement betrieben wird, um die nötige Sicherheit zu erzielen, ist nicht unerheblich wenn man bedenkt, daß für jede Stelle des zu steuernden Prozesses und den dafür vorzusehenden Datenkanal ein gesonderter Voter erforderlich ist.

Da die obengenannte Datenverarbeitungsanlagen, insbesondere die bekannten Mehrrechner-System, für sehr komplexe Aufgaben benutzt werden, die darin bestehen, Massendaten im kommerziellen Bereich zu verarbeiten, um beispielsweise die.kompliziertesten technischen Funktionen aus dem industriellen Sektor zu steuern und zu kontrollieren, sind derartige Datenverarbeitungsanlagen bisher nur als sehr voluminöse und teuere Einrichtungen zu haben gewesen. Eine Änderung dieser Situation ist durch die Weiterentwicklung der Halbleitertechnologie erzielt worden, wodurch es möglich wurde, Mikrocomputer zu erstellen. Derartige Mikrocomputer sind Geräte, welche die Großanlagen einerseits volumen- und kostenmäßig unter-

VPA 75 E 2632 BRD

bieten, dafür jedoch auf der anderen Seite weniger leistungsfähig und weniger komfortabel sind. Das Herzstück eines Mikrocomputers ist wie bei Großrechenanlagen eine Zentraleinheit, die beim Mikrocomputer mit Mikroprozessor bezeichnet wird und als integrierte Großschaltung als handelsübliches Bauteil zu kaufen ist. Für einen Mikrocomputer wird außer dem Mikroprozessor mindestens ein zusätzlicher Speicher und eine Ein-Ausgabesteuerung benötigt.

Für bestimmte Anwendungsfälle ist es nun nicht unbedingt erforderlieh, die obengenannten Großrechenanlagen einzusetzen; vielmehr würde es für das betreffende Aufgabengebiet reichen, einen oder einige Mikrocomputer einzusetzen, die entsprechend der Aufgabenstellung ebenfalls in einer digitalen Datenverarbeitungsanordnung mit Sicherheitsverantwortung arbeiten müssen. Bei der Erstellung einer Mehrrechner-Datenverarbeitungsanlage mit dem bekannten Mehrrechner-System-Koordinatorelement und einer Anzahl von Votern würde sich allerdings ein Aufwand zur Datensicherung ergeben, der weit über dem Aufwand für die Mikrocomputer selber läge. Ein derartiger Weg der Entwicklung von modernen, sicheren Mikrocomputerschaltwerken brächte also keine überraschend und vorteilhaft wirtschaftliche Lösung.

Die Erfindung geht von einer bekannten digitalen Datenverarbeitungsanordnung der eingangs genannten Art aus, die beispielsweise unter dem Titel "URTL-Schaltkreissystem U1 mit hoher Sicherheit und automatischer Fehlerdiagnose" in der Siemens-Zeitschrift 48.Jahrgang Heft 7 Juli 1974 auf den Seiten 490 bis 506 näher beschrieben ist. Dieses Schaltkreissystem garantiert eine hohe Fehlersicherheit, ohne daß die einzelnen Verknüpfungs- und Speichergleider nach dem Fail-Safe-Prinzip aufgebaut sein müssen. Bei dieser digitalen Datenverarbeitungsanordnung für Sicherheitsschaltwerke sind die einzelnen Verarbeitungseinheiten paarweise vorgesehen und bilden einen Originalverarbeitungskanal und einen synchron betriebenen Komplementärverarbeitungskanal. Dabei enthält sowohl der Originalverarbeitungskanal als auch der Komplementärverarbeitungskanal pro Verarbeitungseinheit je ein besonderes Verknüpfungsglied oder Speicherglied, wo-

VPA 75 E 2632 BRD ₇₀₉840/0063

bei die beiden Kanäle bei ordnungsrechtem Betrieb antivalente Signale führen. Wesentlich ist dabei, daß die Antivalenz unabhängig vom Datenfluß überwacht werden kann, wodurch die Sicherheit im Hinblick auf die rechtzeitige Fehlererkennung nicht vom allgemeinen Schaltzustand der beiden Kanäle dieser Datenverarbeitungsanordnung abhängig ist. Ein bedeutendes Merkmal des Schaltkreissystems ist ferner, daß als Schaltvariable Rechteckspannungen vorgegebener Folgefrequenz und Amplitude aus einer gemeinsamen Taktstromversorgung mit schrittweiser Auslösung der Steuersignale verwendet werden, wobei sich die beiden Werte NULL und EINS der Schaltvariablen durch eine Phasenverschiebung von 180° unterscheiden. Hierdurch sind auf dem Originalverarbeitungskanal und dem Komplementärverarbeitungskanal des Sicherheitsschaltwerkes unabhängig vom jeweiligen Wert der Schaltvariablen dynamische Signale. Durch die besondere Eigenart der Sicherheitsschaltung und der verwendeten Schaltglieder wirken die Verarbeitungseinheiten in den beiden Kanälen bei dynamischem Betrieb abwechselnd in positiver und negativer Logik. Die Antivalenz an den Ausgängen zweier vergleichbarer Schaltglieder wird durch einen speziellen Vergleicher auf jedem Verarbeitungsschritt der Datenverarbeitungsanordnung geprüft. Die Vergleicher bilden eine Reihenschaltung. Der in der Reihenschaltung letzte Vergleicher gibt bei bestehender Antivalenz einen im zugeführten Überwachungsimpuls als Fehlerfreimeldung zum Auslösen der für den nächsten Verarbeitungsschritt erforderlichen Steuersignale und eines weiteren Überwachungsimpulses an die gemeinsame Taktstromversorgung ab.

Mit einem derartigen Sicherheitskonzept wird ein hohes Maß an signal technischer Sicherheit erzielt. Ein Versagen der auf einen Vergleich beruhenden Fehlererkennung ist mit an Sicherheit grenzender Wahrscheinlichkeit verhindert.

Das vorstehend kurz erläuterte URTL-Schaltkreissystem U1 erfordert für die Erzielung der geforderten Sicherheit Spezialbausteine, wobei das in diesem Schaltkreissystem realisierte Sicherheitskonzept noch nicht in großintegrierten Schaltkreisen verwirklicht werden

VPA 75 E 2632 BRD _709840/0063

kann. Aus diesem Grunde würde eine Datenverarbeitungsanordnung im Leistungsvermögen eines Mikrocomputers einen relativ großen Aufwand an einzelnen Bauteilen und damit ein großes Volumen erfordern.

Der Erfindung liegt die Aufgabe zugrunde, eine digitale Datenverarbeitungsanordnung mit hoher Fehlersicherheit unter Verwendung von Mikrocomputern anzugeben, bei der der sonst bei Mehrrechneranlagen in den Ausgabekanälen vorzusehende Aufwand an komplizierten Vergleichern vermieden wird. Außerdem ist es erwünscht, die zu konzipierende Datenverarbeitungsanordnung mit handelsüblichen Baugruppen und Bauteilen bei kleinem Volumenbedarf aufzubauen.

Erfindungsgemäß wird die Aufgabe gelöst durch aus zwei voneinander unabhängigen Gleichspannungsquellen gespeisten Mikrocomputern, von deren Mikroprozessoren gleichwertige Anschlußstifte für Adressen, Daten und auszugebende Steuersignale paarweise mit je einem Vergleicher verbunden sind und ferner dadurch, daß in der Taktstromversorgung für die dynamischen Signale ein Überwacher vorgesehen ist, der beim Ausbleiben der Fehlerfreimeldung die Gleichspannungsquellen abschaltet.

Die zweikanalige Datenverarbeitungsanordnung bestht also aus zwei unabhängig voneinander, die gleichen Aufgaben bearbeitenden, nicht sicheren Steuerwerken, die vornehmlich als programmgesteuerte Mikrocomputer, jedoch aber auch in TTL-Technik mit fest verdrahteten logischen Funktionen ausgeführt werden kann. Der besondere Vorteil der erfindungsgemäßen Datenverarbeitungsanordnung wird in der universellen Verwendbarkeit bei geringstem Vergleicheraufwand gesehen, wobei die Vergleicher bereits durch einen relativ einfachen Aufbau realisiert werden können. Mit Hilfe der Datenverarbeitungsanordnung ist die Möglichkeit geschaffen worden, mit nahezu beliebig vielen Nachbarsystemen gesicherte Meldungen und/oder Befehle austauschen zu können, ohne daß hierfür - wie etwa bei vergleichsweise bekannten Systemen - ein zusätzlicher Mehraufwand an vergleichenden Baugruppen notwendig ist.

VPA 75 E 2632 BRD _709840/0063

Ein weiterer Vorteil wird darin gesehen, daß die Datenverarbeitungsanordnung nach der Erfindung eine extrem kurze Zeitspanne zwischen der datenflußabhängigen Defektauswirkung und dem Abschalten der gesamten Anordnung erfordert. Das liegt daran, daß nicht, wie es sonst üblich ist, die an den Prozeß auszugebenden Daten miteinander verglichen werden, sondern nach jedem Taktzyklus ein interner Vergleich vollzogen wird, der bei einem fehlerhaften Vergleichsergebnis unverzüglich das Abschalten einleitet. Eine weitere Zei'tverkürzung bezüglich des Abschaltens vom Zeitpunkt der datenflußabhängigen Defektauswirkung ist für ein aus handelsüblichen Mikroprozessoren aufgebautes Steuerwerk nicht möglich. Da während den Verarbeitungspausen sogenannte "Sicherungsprogramme¹' ablaufen müssen, bei denen alle Verarbeitungseinheiten zum Datenaustausch bzw. zur Datenverarbeitung angeregt werden, wird ein aufgetretener Defekt auch dann erkannt werden, wenn die Datenverarbeitungsanordnung mindestens bezüglich einiger Abschnitte nicht für den praktischen Betrieb benötigt wird. Durch diese Maßnahme wird die Zeitspanne zwischen dem Entstehen eines Fehlers und dessen datenflußabhängiger Auswirkung verkürzt.

Wenn angenommen werden muß, daß die Datenverarbeitungsanordnung in einem Bereich steht, in dem trotz umfangreicher Abschirmmaßnahmen elektrische Störungen auf gleichartige Schaltungsteile der Mikrocomputer in derselben Art einwirken können, so daß die durch sie unter Umständen hervorgerufenen gleichartig falschen Daten oder Befehle in beiden Kanälen durch die vorgesehenen Vergleicher nicht ohne weiteres als falsch erkannt werden können. Hierbei kann das aus Sicherheitsgründen erwünschte Abschalten der gesamten Datenverarbeitungsanordnung unterbleiben. Derartige negative Einflüsse sollen gemäß der Aufgabenstellung für eine Weiterbildung der Erfindung vermieden werden.

Die vorteilhafte Weiterbildung ist dadurch gekennzeichnet, daß in der gemeinsamen Takt stromversorgung für die beiden Kanäle voneinander unabhängig steuerbare Schaltungsteile zum Erzeugen von gegeneinander verschobenen Steuertakten vorgesehen sind, derart,

VPA 75 E 2632 BRD 709840/0063

daß die Ausführungsphasen der beiden Mikroprozessoren zeitlich gesehen gegeneinander verschoben sind.

Durch diese vorteilhafte Maßnahme ist die Auswirkung der obengenannten und eventuell trotz bestimmter Abschirmungen gleichzeitig auf ein Paar oder mehrere Baugruppen in beiden Kanälen der Datenverarbeitungsanordnung einwirkenden elektrischen Störungen von außen mit einiger Wahrscheinlichkeit unterschiedlich und somit in den betreffenden Vergleichern erkennbar.

Zur weiteren Erhöhung der geforderten Sicherheit kann noch berücksichtigt werden, daß unter Umständen die für die in den Mikrocomputern vorgesehenen Elemente angegebenen betrieblichen Zeittoleranzgrenzen überschritten werden können und erkennbar gemacht werden müssen.

Gemäß einer Weiterbildung der Erfindung wird der obengenannte Nachteil durch Vergleicher beseitigt, die je aus einem Transistorverstärker bestehen, dessen Schaltstrecke über eine Gleichrichterbrückenschaltung mit dem Ausgang eines ersten D-Flipflops und andererseits mit dem negierten Ausgang eines zweiten D-Flipflops verbunden ist, wobei den Eingängen der ersten und zweiten D-Flipflops die zu vergleichenden Signale zugeführt sind und die Takteingänge aller ersten und zweiten D-Flipflops über zwei gesonderte Leitungen mit der Taktstromversorgung verbunden sind, über die zeitlich jeweils nach den Ausführungsphasen der beiden Mikroprozessoren die Übernahmen der zu vergleichenden Signale in die D-Flipflops gesteuert werden.

Durch diese vorteilhafte Maßnahme werden nicht nur die sicherheitsgefährdenden Auswirkungen verhindert, die durch Überschreitungen der Zeittoleranzen in den Mikrocomputerelementen entstehen können, sondern zusätzlich die geringstmögliche Verlangsamung der Verarbeitungsgeschwindigkeit der zweikanaligen Datenverarbeitungsanordnung.

Das letztere beruht darauf, daß die pro Taktzyklus ausgeführte Ver-

VPA 75 E 2632 BRD _{7 0} 9 8 4 0 / 0 0 6.3

arbeitung in den Mikroprozessoren und der jeweilige Vergleich der in dem vorangegangenen Verarbeitungsschritt entstandenen und in den jeweiligen D-Flipflops gespeicherten Ausgangssignalzustände der Mikroprozessoren gleichzeitig abgewickelt werden.

Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden nachstehend näher erläutert. Es zeigen:

Fig. 1 eine zweikanalige Datenverarbeitungsanordnung mit Mikrocomputern und

Fig. 2 eine spezielle Ausführungsform eines vorteilhaften Vergleichers.

Die Datenverarbeitungsanordnung nach Fig. 1 ist zweikanalig aufgebaut und besteht im einen Kanal aus einem Mikroprozessor CPU1, der über einen 16-Bit breiten Adreßbus AS1, einen 8-Bit breiten Datenbus DB1 sowie über eine Anzahl von sechs Steuerleitungen STG1 mit Ergänzungsbausteinen EB1 verbunden ist. Die Ergänzungsbausteine können Festwertspeicher und/oder Schreib-Lesespeicher sowie Ein- und Ausgabeeinheiten enthalten. Über diese Ergänzungsbausteine, insbesondere deren Ein-Ausgabeeinrichtungen sowie die Leitungen L1 und L2 erfolgt der Datenaustausch mit dem zu steuernden Prozeß.

Im anderen Kanal ist ebenfalls ein Mikroprozessor CPU2 vorgesehen, der über einen Adreßbus AS2, einen Datenbus DB2 sowie Steuerleitungen STG2 mit den zugehörigen Ergänzungsbausteinen EB2 in Verbindung steht. Für beide Kanäle gilt, daß der Mikroprozessor in den betreffenden Kanal zusammen mit seinen Ergänzungsbausteinen einen Mikrocomputer bildet. Im Hinblick auf die Ergänzungsbausteine EB2 ist zu sagen, daß bei diesen die typischen Ausgabebausteine, wie sie bei den Ergänzungsbausteinen EB1 vorhanden sind, zum Teil nicht vorgesehen sind, da einige Ausgaben an den zu steuernden Prozeß einkanalig über die Ergänzungsbausteine EB1 erfolgen können. Bestimmte Steuersignale, die in der Literatur mit INT, READY und HOLD angegeben werden, und die die beiden Mikroprozessoren CPU1 und CPU2 steuern, werden zu ihrer Synchronisation auf beiden

VPA 75 E 2632 BRD ,_09840/0063

Kanälen und somit zur gleichzeitigen Ausgabe auf voneinander getrennten Leitungen L3 und L4 mittelbar von den Ergänzungsbausteinen EB1 und EB2 über eine Synchronisationsschaltung SG ausgegeben.

Aus Gründen der Sicherheit werden die beiden Mikroprozessoren CPU1 und CPU2 nicht aus einer gemeinsamen Gleichspannungsquelle gespeist, sondern aus voneinander unabhängigen Gleichspannungsquellen GE1 und GE2. Diese Gleichspannungsquellen werden im einen Kanal über einen Kontakt R1 bzw. im anderen Kanal über einen Kontakt R2 eines noch näher in seiner Funktion zu erläuternden Relais R im Schaltungszusammenhang mit einer Taktstromversorgung TG angeschaltet. In der dargestellten Grundstellung der Anlage werden die beiden Mikroprozessoren CPU1 und CPU2 nicht mit Strom versorgt. Dies erfolgt erst durch Starten der gesamten zweikanaligen Datenverarbeitungsanordnung, und zwar durch Betätigen des Tastenkontaktes TT, wonach das Relais R erregt wird und seine Kontakte R1 und R2 schließt. Nach der Beendigung der Betätigung des Tastenkontaktes TT bleibt das Relais R erregt, wenn beide Mikrocomputer übereinstimmend arbeiten.

Eine erste Voraussetzung für dieses synchrone Arbeiten ist für beide Mikroprozessoren die gemeinsame Taktstromversorgung TG, die aus einer gesonderten Gleichspannungsquelle GE3 mit Energie versorgt wird. Die Taktstromversorgung TG gibt über die Leitungen L5 und L6 für den Mikroprozessor CPU1 schrittweise die Steuertakte i|11 und §12 und über weitere gesonderte Leitungen L7 und L8 ebenfalls schrittweise die Steuertakte i21 und §22 für den Mikroprozessor CPU2 ab. Ebenfalls über voneinander unabhängige Leitungen L9 und L10, die bei der Taktstromversorgung TG an voneinander unabhängige Baugruppen entsprechend den Leitungen L5, L6 und L7, L8 angeschlossen sind, erfolgt die Ausgabe der für die Mikroprozessoren CPU1 und CPU2 vorgesehenen Steuersignale RESET1 und RESET2. Die Zuführung der obengenannten Signale zu den in den beiden Kanälen vorgesehenen Mikroprozessoren CPU1 und CPU2 erfolgt aus dem Grunde über voneinander unabhängige Anlagenteile, damit beim Defekt einer Steuerleitung oder beim Ausbleiben oder Verändern eines Signales eine gegenüber dem jeweils anderen Kanal geänderte Datenverarbeitung

VPA 75 E 2632 BRD _{7 0} 9 8 4 0 / 0 0 6 3

erfolgt, die erkannt werden kann.

Für Vergleichszwecke ist eine Anzahl von Vergleichern vorgesehen, die entsprechend den verschiedenen Signalgruppen aus beiden Kanälen funktionsmäßig zusammengefaßt sind. Die mit dem Bezugszeichen VGA versehene Baugruppe enthält 16 Vergleicher VGA1, VGA2 bis VGA16 für Signale auf gleichwertigen Adressenleitungen der Adreßbusse AS1 und AS2 der beiden Mikroprozessoren CPU1 und CPU2. Auf diese Art ist, mit anderen Worten ausgedrückt, der Vergleicher VGA1 mit gleichwertigen Anschluß stiften der beiden Mikroprozessoren CPU1 und CPU2 verbunden, über die ein bei ordnungsgerechter Datenverarbeitung zwei übereinstimmende gleichartige Adreßbits ausgegeben werden.

Unter dem Bezugszeichen VGD sich acht Vergleicher VGD1, VGD2 bis VGD8 für zu vergleichende Signale auf gleichartigen Datenleitungen der Datenbusse DB1 und DB2 der beiden Mikroprozessoren CPU1 und CPU2 vorgesehen. Die Vergleicher VGD1 bis VGD8 sind nicht unmittelbar mit den die zugeordneten Signale der Datenleitungen ausgebenden Anschluß stifte der Mikroprozessoren CPU1 und CPU2 verbunden, sondem im Verarbeitungskanal des Mikroprozessors CPU1 über UND-Glieder UD11, UD21 bis UD81 mit je einem negierten Eingang-. Im zweiten Verarbeitungskanal mit dem Mikroprozessor CPU2 erfolgt die Signalzuführung vom Datenbus DB2 über die UND-Glieder UD12, UD22 bis UD82.

Bezogen auf den ersten Verarbeitungskanal mit dem Mikroprozessor CPU1 sind die negierten Eingänge der UND-Glieder UD11 bis UD81 miteinander verbunden und an eine der sechs Steuerleitungen STG1 angeschlossen, die zu vorgegebenen Zeitpunkten ein Steuersignal DBIN1 insbesondere an die Ergänzungsbausteine EB1 ausgibt. Dieses Steuersignal DBIN1 besagt, daß über den bidirektionalen Datenbus DB1 des Mikroprozessors CPU1 zu verarbeitende Daten von einem Speicher der Ergänzungsbausteine EB1 in dem Mikroprozessor CPU1 eingegeben werden können.

Die in dem genannten Speicher der Ergänzungsbausteine EB1 vorhandenen Daten können beispielsweise vom Prozeß über die Leitung L2

VPA 75 E 2632 BRD 709840/0063

zu einem beliebigen Zeitpunkt eingegeben werden. Beim Vorhandensein des Signals DBIN1 prillen nun die auf dem Datenbus DB1 vorhandenen Daten den Vergleichern VGD1 bis VGD8 nicht angeboten werden. Dies erfolgt durch Sperrung der UND-Glieder UD11 bis UD81. Entsprechendes gilt sinngemäß beim Steuersignal DBIN2 im anderen Verarbeitungskanal des Mikroprozessors CPU2. Beim Vorhandensein des Steuersignals DBIN2 werden die UND-Glieder UD12 bis UD82 gesperrt, so daß die von den Ergänzungsbausteinen EB2 für den Mikroprozessor CPU2 zur Verfügung gestellten Daten ebenfalls nicht an die Vergleicher VGD1 bis VGD8 gelangen. Dies hat folgenden Grund:

Der Vergleich von Daten, die aus den Speichern der Ergänzungsbausteine EB1 und EB2 auf die zugeordneten Mikroprozessoren CPU1 und CPU2 übertragen werden, können trotz gleichzeitiger Adressierung der entsprechenden Speicherplätze zu geringfügig unterschiedlichen Zeitpunkten ausgegeben werden, so daß ein Vergleich nicht ohne weiteres möglich ist bzw. zu einem negativen Ergebnis führen kann. Aus diesem Grunde sollen nur solche Daten miteinander in den Vergleichern VGD1 bis VGD8 verglichen werden, die über die Datenbusse DB1 und DB2 zu bestimmten Zeitpunkten von den Mikroprozessoren CPU1 und CPU2 an die in den zugeordneten Ergänzungsbausteinen EB1 und EB2 vorgesehenen Speicher abgegeben werden. Zu den Zeitpunkten sind die Signale DBIN1 und DBIN2 nicht vorhanden und die in der Baugruppe VGD vorhandenen UND-Glieder nicht gesperrt.

Unter dem Bezugszeichen VGS sind sechs Vergleicher VGS1, VGS2 bis VGS6 für solche Steuersignale zusammengefaßt, die von den Mikroprozessoren CPU1 und CPU2 über deren Steuerleitungen STG1 bzw. STG2 ausgegeben werden. Eines dieser Steuersignale ist das Signal DBIN1 bzw. DBIN2, dessen spezielle Verwendung im Rahmen des Ausführungsbeispieles bereits erwähnt wurde. Die Eingänge jedes der Vergleicher VGS1 bis VGS6 sind mit gleichwertigen Anschluß stiften für gleichartige Steuersignale aus den Mikroprozessoren CPU1 und CPU2 angeschlossen.

Alle unter den Bezugszeichen VGA VGD und VGS vorgesehenen Vergleicher sind in Reihe geschaltet, derart, daß die Vergleichser-

VPA 75 E 2632 BRD ₇₀9840/0063

gebnisse konjunktiv verknüpft werden. Für diese Verknüpfung gibt die Taktstromversorgung TG, die auch für die Synchronisation in der Synchronisationsschaltung SG Sorge trägt, auf jedem Verarbei- · tungsschritt einen Überwachungsimpuls US aus, welcher dem in der Reihenschaltung an erster Stelle angeordneten Vergleicher VGA1 zugeführt wird. Beim Vorliegen es ordnungsgerechten Vergleichsergebnisses, also bei Übereinstimmung der an den Eingängen 1 VGA1 und 2 VGA1 des Vergleichers VGA1 anliegenden Signale, gibt dieser Vergleicher den ihm zugeführten Überwachungsimpuls US an den in der Reihenschaltung folgenden Vergleicher VGA2 weiter. Bei ordnungsgerechtem Arbeiten der zweikanaligen Datenverarbeitungsanordnung durchläuft der Überwachungsimpuls US somit alle Vergleicher und gelangt als Fehlerfreimeldung FG in die Taktstromversorgung TG, die aufgrund dieser Tatsache die für den nächsten Verarbeitungsschritt der zweikanaligen Datenverarbeitungsanordnung erforderlichen Steuerkontakte freigibt.

Aufgrund dieser zyklischen Überprüfung ergibt sich ein dynamischer Betrieb, wobei die Taktversorgung in der Art eines Selbsthaltekreises arbeitet, der sofort dann unterbrochen wird, wenn einer der beteiligten Vergleicher ein negatives Vergleichsergebnis feststellt und damit den ihm zugeführten Überwachungsimpuls nicht weiterleitet oder mindestens einer der Vergleicher defekt geworden ist. Als Folge hiervon werden nicht nur die für die weitere Datenverarbeitung erforderlichen Steuertak'te gesperrt , sondern das Relais R abgeschaltet, welches mit seinen Kontakten R1 und R2 die Gleichspannungsquellen GE1 und GE2 für die beiden Mikroprozessoren CPU1 und CPU2 abschaltet. Zu diesem Zweck ist in der Taktstromversorgung TG ein Überwacher UR für dynamische Signale vorgesehen, der das zyklische Eintreffen der Fehlerfreimeldungen FG überwacht und beim Ausbleiben die Stromversorgung für das Relais R unterbricht.

Es dürfte ohne weiteres klar sein, daß sich die Erfindung auch auf andere Mikroprozessoren anwenden läßt, die über breitere oder schmalere Busse und/oder eine andere Anzahl von Steuerleitungen für Steuersignale verfügt. Zu dem Zweck braucht lediglich die betreffende Anzahl von Vergleichern erhöht oder erniedrigt zu werden.

VPA 75 E 2632 BRD 709840/0063

Die Schaltungsanordnung nach Fig. 2 zeigt eine vorteilhafte Ausbildung eines Vergleichers VG, der Verwendung finden kann in der zweikanaligen Datenverarbeitungsanordnung nach Fig. 1. Der Vergleicher nach Fig. 2 besteht aus einem Transistorverstärker TR, dessen Schaltstrecke über eine Gleichrichterbrückenschaltung D1, D2, D3<und D4 sowie einen Ohmschen Widerstand WD gespeist wird. Die Gleichrichterbrückenschaltung ist einerseits mit dem Ausgang DF1A eines D-Flipflops DF1 und andererseits mit dem negierten Ausgang DF2AN eines zweiten D-Flipflops DF2 verbunden. Da bei ordnungsgerechtem Betrieb der Datenverarbeitungsanordnung nach Fig. 1 sich die beiden D-Flipflops DF1 und DF2 zum Zeitpunkt des durch den Überwachungsimpuls US (Fig. 1) gesteuerten Vergleiches übereinstimmend in der einen oder anderen Schaltlage befinden, erhält der Transistorverstärker TR stets eine ausreichende Versorgungsspannung, da die Gleichrichterbrückenschaltung an unterschiedlichen Potentialen liegt. Bei fehlerhaftem Arbeiten der Datenverarbeitungsanordnung nach Fig. 1 liegen die beiden D-Flipflops DF1 und DF2 in entgegengesetzten Schaltlagen, so daß sich für die beiden Anschlüsse der Gleichrichterbrückenschaltung übereinstimmende Potentiale, also zweimal tiefes oder zweimal hohes Versorgungspotential ergibt, wodurch die für den Transistorverstärker erforderliche Versorgungsspannung nicht zur Verfügung steht.

Den beiden Eingängen DF1E und DF2E der beiden D-Flipflops DF1 und DF2 werden die zu vergleichenden Signale zugeführt. Die beiden Eingänge DF1E und DF2E sind beispielsweise vergleichbar mit den Eingängen 1VGA1 und 2VGA1 des Vergleichers YGA1 in der Anordnung nach Fig. 1. Der Takteingang TDF1 des D-Flipflops DF1 ist über eine gesonderte Leitung LT1 mit der Taktstromversorgung TG (Fig. 1) verbunden. Entsprechendes gilt für den Takteingang TDF2 im Hinblick auf die gesonderte Leitung LT2 für das D-Flipflop DF2. Da» wie es die Anordnung nach Fig. 1 zeigt, mehrere Vergleicher erforderlich sind, werden alle dem einen Kanal zugeordneten D-Flipflops - wie DF1 - im Hinblick auf die Takteingänge - wie TDF1 - mit der einen Leitung LT1 verbunden. Alle dem zweiten Kanal zugeordneten D-Flipflops - wie DF2 - werden bezüglich ihrer Takteingänge - wie TDF2 -

VPA₇₅PaS₃₂BBD 709840/0063

mit der anderen gesonderten Leitung LT2 verbunden. Hierdurch ist gewährleistet, daß bei einem Defekt in der Taktzuführung für die D-Flipflops sich dieser Defekt nur in einem der beiden Verarbeitungskanäle auswirkt und somit erkannt werden kann. Die über die Leitungen LT1 und LT2 zugeführten Impulse werden durch die Takts-feromversorgung TG (Fig. 1) zeitlich gesehen so gelagert, daß die D-Flipflops DF1 und DF2 sowie weitere, nicht dargestellte D-Flipflops dann geschaltet werden, wenn die den beiden Kanälen zugeordneten Mikroprozessoren CPtH und CPU2 (Fig. 1) sich am Ende ihrer jeweiligen Ausführungsphase befinden, so daß die von den D-Flipflops zu übernehmenden Signalzustände sich auf den betreffenden Leitungen stabil eingestellt haben.

Die Basiselektrode BE des Transistorverstärkers TR im Vergleicher VG erhält über den Eingang EG den im Zusammenhang mit der Anordnung nach Fig. 1 beschriebenen Überwachungsimpuls US. Der Ausgang AG der Vergleichers VG ist mit der Kollektorelektrode KE des Transistorverstärkers TR verbunden und gibt nur bei positivem Vergleichsergebnis ein Signal aus, das dem in der Reihenschaltung folgenden Vergleicher (in Fig. 2 nicht dargestellt) zugeführt wird.

Die Erfindung kann zur Erhöhung der Verfügbarkeit der Datenverarbeitungsanordnung noch dahingehend in vorteilhafter Weise variiert werden, daß zur Prozeßsteuerung nicht nur eine zweikanalige Datenverarbeitungsanordnung verwendet wird, sondern zwei zweikanalige Datenverarbeitungsanordnungen vorgesehen sind, die mit Hilfe von Schaltkontakten der durch die Überwacher (UR in Fig. 1) gesteuerten Relais (R) wahlweise ausgangsseitig mit dem Prozeß verbunden werden können.

VPA 75 P 2632 709840/

Leerseite

Claims

Patentansprüche :

1. Digitale Datenverarbeitungsanordnung, insbesondere für die Eisenbahnsicherungstechnik, mit in zwei Kanälen vorgesehenen Baugruppen, die durch eine gemeinsame Taktstromversorgung schrittweise gesteuert werden, welche bei jedem Verarbeitungsschritt außer mehreren Steuersignalen einen Überwachungsimpuls ausgibt zum Abfragen von für je zwei vergleichbare Signale aus den beiden Kanälen in Reihenschaltung vorgesehenen Vergleichern, die beim Vorhandensein von ordnungsgerechten Signalpaaren den Überwachungsimpuls als Fehlerfreimeldung zum Auslösen der für den nächsten Verarbeitungsschritt erforderlichen Steuersignale und eines weiteren Überwachungsimpulses an die Taktstromversorgung gibt, gekennzeichnet durch aus zwei voneinander unabhängigen Gleichspannungsquellen (GE1, GE2) gespeisten Mikrocomputern, von deren Mikroprozessoren (CPU1, CPU2) gleichwertige Anschlußstifte für Adressen, Daten und auszugebende Steuersignale paarweise mit je einem Vergleicher (VGA1) verbunden sind und ferner dadurch, daß in der Taktstromversorgung (TG) für die dynamischen Signale ein Überwacher (UR, R) vorgesehen ist, der beim Ausbleiben der Fehlerfreimeldung (FG) die Gleichspannungsquellen (GE1, GE2) abschaltet (Fig. 1).

2. Datenverarbeitungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß in der gemeinsamen Taktstromversorgung für die beiden Kanäle voneinander unabhängig steuerbare Schaltungsteile zum Erzeugen von gegeneinander verschobenen Steuertakten vorgesehen sind, derart, daß die Ausführungsphasen der beiden Mikroprozessoren (CPU1, CPU2) zeitlich gesehen gegeneinander verschoben sind.

VPA 75 E 2632 BRD

709840/0083

3. Datenverarbeitungsanordnung nach Anspruch 1 oder 2, g e kennzeichnet durch Vergleicher, die je aus einem Transistorverstärker (TR) bestehen, dessen Schaltstrecke über eine Gleichrichterbrückenschaltung (D1, D2, D3, D4) mit dem Ausgang (DF1A) eines ersten D-Flipflops (DF1) und andererseits mit den negierten Ausgang (DF2AN) eines zweiten D-Flipflops (DF2) verbunden ist, wobei den Eingängen (DF1E, DF2E) der ersten und zweiten D-Flipflops (DF1, DF2) die zu vergleichenden Signale zugeführt sind und die Takteingänge (TDF1, TDF2) aller ersten und zweiten D-Flipflops (DF1, DF2) über zwei gesonderte Leitungen (LT1, LT2) mit der Taktstromversorgung (TG) verbunden sind, über die zeitlich jeweils nach den Ausführungsphasen der beiden Mikroprozessoren (CPU1, CPU2, Fig. 1) die Übernahmen der zu vergleichenden Signale in die D-Flipflops (DF1, DF2) gesteuert werden (Fig. 2).

4. Datenverarbeitungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß mehrere zweikanalige Datenverarbeitungsanordnungen vorgesehen sind, die gleichzeitig dieselben Daten parallel verarbeiten, wobei Schaltkontakte der Überwacher (UR) dazu verwendet sind, jeweils nur eine der ordnungsgerecht arbeitenden zweikanaligen Datenverarbeitungsanordnungen ausgangsseitig mit dem zu steuernden Prozeß zu verbinden.

VPA 75 E 2632 BRD

709840/0063