DE3621106A1 - Verfahren zur on-line-verarbeitung gleicher eingabegroessen mittels zweier prozessoren - Google Patents

Description

Die Erfindung bezieht sich auf ein Verfahren zur ON-LINE- Verarbeitung von Eingabegrößen, die in einem Prozeß erzeugt werden oder für diesen bestimmt sind, als gleiche Eingabegrößen mittels zweier Prozessoren, von denen einer als Zentralprozessor bei ungestörter Arbeitsweise Stellgrößen für Stellglieder des Prozesses und der andere als Sicherheitsprozessor Stellgrößen für den Vergleich mit den Stellgrößen des Zentralprozessors erzeugt.

Aus Sicherheitsgründen werden vielfach Prozessoren im Parallelbetrieb für Steuer- und Regelungsaufgaben eingesetzt. Beide Prozessoren verarbeiten die gleichen Eingangsdaten und erzeugen im störungsfreien Betrieb gleiche Ausgangsdaten. Wenn die Ausgangsgrößen beider Prozessoren gleich sind, werden die Ausgangsgrößen des einen Prozessors an Stellglieder des Prozesses weitergeleitet.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren der eingangs beschriebenen Gattung derart weiterzuentwickeln, daß die Sicherheit zur Erkennung von Fehlern bei der Verwendung von zwei Prozessoren vergrößert wird.

Die Aufgabe wird erfindungsgemäß dadurch gelöst, daß die Abtastzeit des Sicherheitsprozessors, dessen Abtastzyklen für die Eingabegrößen jeweils vom Zentralprozessor ausgelöst werden, kleiner als die vorgegebene Abtastzeit des Zentralprozessors ist, und daß bei Ausbleiben eines vom Zentralprozessor an den Sicherheitsprozessor angegebenen Auslösebefehls für den jeweiligen Abtastzyklus Stellgrößen den Stellgliedern des Prozesses zugeführt werden, die den Prozeß in einen unkritischen Zustand versetzen.

Bei diesem Verfahren ist es möglich, in den beiden Prozessoren verschiedene Progamme zur Verarbeitung der gleichen Eingangsgrößen und zur Erzeugung der gleichen Ausgangsgrößen einzusetzen. Damit können Software-Fehler, die in beiden Prozessoren zugleich auftreten und die zu falschen, als solche nicht erkennbaren Ergebnissen führen, vermieden werden. Insbesondere bei komplexen Programmen, bei denen vielfach nicht alle Einzelheiten überprüft werden oder überprüft werden können, ist hierdurch eine wesentliche Erhöhung der Sicherheit erreichbar.

Vorzugsweise werden Prozessoren mit unterschiedlichem Aufbau eingesetzt. Die Prozessoren können verschiedene Strukturen und verschiedene Taktfrequenzen aufweisen. Damit wird vermieden, daß die gleichen Fehler zugleich in beiden Prozessoren auftreten, was zu falschen Ausgangsgrößen führen würde, deren Fehlerhaftigkeit nicht erkannt werden könnte. Die Sicherheit der Verarbeitung der Eingangsgrößen wird damit erhöht.

Bei einer bevorzugten Ausführungsform werden die abgetasteten Eingabegrößen nach der Eingabe in beide Prozessoren gegenseitig ausgetauscht und in den Prozessoren miteinander verglichen. Damit ist es möglich, fehlerhafte Daten, die bei der Eingabe auftreten, festzustellen. Die Daten können nach der Feststellung von Fehlern, je nach der Art und Größe der Unterschiede, von der Weiterverarbeitung ausgeschlossen oder auch nach entsprechender Übernahme durch beide Prozessoren weiterverarbeitet werden. Unter Umständen kann auch eine Wiederholung eines Abtastzyklus zweckmäßig sein, um übereinstimmende Eingangsgrößen zu erhalten. Falls dies in wiederholten Abtastzyklen nicht erreichbar ist, wird zweckmäßigerweise der Prozeß in den unkritischen Zustand übergeführt, während zugleich ein Fehler, der sich auf den Eingabebereich bzw. auf den Vergleichsbereich bezieht, gemeldet wird.

Bei einer zweckmäßigen Ausführungsform werden die Stellgrößen aus dem Zentralprozessor und die Stellgrößen aus dem Sicherheitsprozessor miteinander verglichen, wobei die Stellgrößen aus dem Zentralprozessor nur bei Gleichheit an die Stellglieder des Prozesses ausgegeben und bei Ungleichheit Stellgrößen ausgegeben werden, durch die der Prozeß in einen unkritischen Zustand versetzt wird. Mit diesen Maßnahmen wird ein sehr hohes Maß an Sicherheit erreicht.

Nach einem Zurücksetzen der beiden Prozessoren werden zweckmäßigerweise beide Prozessoren initialisiert, worauf der Zentralprozessor Normierungsparameter erzeugt und diese auch dem Sicherheitsprozessor zuführt. Damit wird gewährleistet, daß beide Prozessoren in gleicher Weise eingestellt sind, bevor die Verarbeitung von Eingangsgrößen erfolgt.

Vorzugsweise arbeiten die beiden Prozessoren innerhalb eines Regelkreises als Regler, die aus Istwerten und vorgebbaren Sollwerten die Regelabweichungen bestimmen und hieraus die Stellgrößen für die Stellglieder berechnen. Die oben beschriebenen Verfahren lassen sich vorteilhafterweise für die Regelung der Drehzahl bzw. der Geschwindigkeit von Kraftfahrzeugen einsetzen. Ein Sollwert der Regelgröße ist z. B. durch die Stellung eines Gashebels oder Gaspedals gegeben. Der lstwert der Regelgröße ergibt sich durch den Stellwinkel einer Vergaserklappe. Die Stellung der Vergaserklappe wird dem Sollwert nachgeführt. Dieser Regelkreis kann noch insoweit verbessert werden, als auch die Drehzahl selbst in die Regelung einbezogen wird, d.h. es wird die Drehzahl als weiterer Istwert gemessen und mit einem Sollwert verglichen, der sich aus der Stellung des Gaspedals oder Gashebels ergibt. Zu berücksichtigen ist hierbei auch das Übersetzungsverhältnis des eingelegten Gangs.

Weitere Einzelheiten, Merkmale und Vorteile der Erfindung ergeben sich aus der folgenden Beschreibung eines zeichnerisch dargestellten Ausführungsbeispiels.

Es zeigen:

Fig. 1 ein Blockschaltbild eines Regelkreises mit zwei Prozessoren und

Fig. 2 ein Diagramm der Schritte eines mit den Prozessoren gemäß Fig. 1 ausgeführten Regelverfahrens.

Zwei Prozessoren, ein Zentralprozessor (1) und ein Sicherheitsprozessor (2), sind an einen externen Bus (3) angeschlossen, mit dem auch eine Eingabe-, Ausgabeschaltung (4) verbunden ist, die über Leitungen (5) mit Meßwertgebern und Stellgliedern einer Vorrichtung (6) verbunden ist, mit der ein Prozess durchgeführt wird. Es wird beispielsweise die Drehzahl eines Kraftfahrzeugmotors oder die Geschwindigkeit des Kraftfahrzeugs geregelt. Als Sollwert wird ein von der Stellung des Gaspedals abhängiger Meßwert erzeugt, der bereits in digitaler Form mittels einer Codierscheibe erzeugt werden kann. Der Istwert wird aus der Position einer Drosselklappe des Vergasers gebildet. Die Geschwindigkeit kann an einem Tachometer festgestellt werden. Die Drehzahl des Motors wird von einem Drehzahlmesser abgenommen.

In Fig. 2 sind in einem Diagramm die bei der Regelung mit dem Zentralprozessor (1) und dem Sicherheitsprozessor (2) durchgeführten Schritte dargestellt.

Ausgangspunkt ist ein Zustand, in dem sich sowohl der Zentralprozessor (1) als auch der Sicherheitsprozessor (2) in zurückgesetztem Zustand befinden, der mit (7) bezeichnet ist. Bei der Inbetriebnahme geschieht eine Initialisierung, die für den Zentralprozessor (1) mit (8) und für den Sicherheitsprozessor (2) mit (9) bezeichnet ist. Bei der Initialisierung werden beide Prozessoren in Zustände versetzt, die die Verarbeitung extern zugeführten Daten ermöglichen. Auf die Initialisierung (8) folgt beim Zentralprozessor (1) eine Selbstjustierung, die mit (10) bezeichnet ist. Bei der Selbstjustierung werden Parameter bestimmt, die für das jeweilige Regelverfahren maßgebend sind. Diese Parameter werden nach Abschluß der Selbstjustierung (10) über den Bus (3) dem Sicherheitsprozessor (2) zugeführt, der in einem Übernahmeschritt (11) diese Parameter in sein Programm einbaut. Damit wird gewährleistet, daß beide Prozessoren mit den gleichen Parametern arbeiten. Nach der Einstellung der Normierungsparameter befinden sich beide Prozessoren im Bereitschaftszustand für die Ausübung des Regelverfahrens.

Der Zentralprozessor (1) beginnt das Regelverfahren mit einem Abtastzyklus, der in Fig. 2 mit (12) bezeichnet ist. Der Abtastzyklus (12) bezieht sich auf das Einlesen von Meßgrößen aus dem Prozess. Mit Beginn des Abtastzyklus (12) veranlaßt der Zentralprozessor (1) durch einen entsprechenden Impuls den Beginn eines Abtastzyklus (13) des Sicherheitsprozessors (2). Die Abtastzyklen beider Prozessoren unterscheiden sich in ihrer Dauer.

Mit dem Abtastzyklus (12) beginnt das Einlesen von Eingangsgrößen, die Übertragung der eingelesenen Eingangsgrößen zum Sicherheitsprozessor (2), die Übernahme der vom Sicherheitsbprozessor (2) erhaltenen Eingabewerte und der Vergleich zwischen dem im Abtastzyklus (12) gewonnenen Eingangsgrößen mit den vom Sicherheitsprozessor (2) erhaltenen Eingangsgrößen. Dieser Verarbeitungsschritt ist in Fig. 2 mit (14) bezeichnet. Im Sicherheitsprozessor (1) werden in einem Verarbeitungsschritt (15) entsprechende Maßnahmen ausgeführt, d.h. die Eingangsgrößen werden eingelesen und danach zum Zentralprozessor (1) übertragen. Anschließend werden die durch den Abtastzyklus (13) und vom Zentralprozessor (1) empfangenen Eingangsgrößen miteinander verglichen. Bei den Eingangsgrößen handelt es sich insbesondere um Sollwerte und Istwert. Beispielsweise wird der Sollwert einer Geschwindigkeit, z. B. aus der Stellung eines Gaseinstellungselementes bestimmt. Der Istwert wird durch die Stellung einer Drosselklappe bestimmt.

Wenn die Vergleiche eine Übereinstimmung der Eingangsgrößen und der jeweils vom anderen Prozessor empfangenen Eingabewerte ergeben, wird auf den nächsten Verfahrensschritt übergegangen. Diese Schritte sind in Fig. 2 jeweils für den Zentral- und den Sicherheitsprozessor (1, 2) mit (16) und (17) bezeichnet. Ist das Vergleichsergebnis negativ, dann wird das Ausmaß der Abweichung überprüft. Bei geringfügigen Abweichungen, d.h. solchen in den niedrigsten Stellenwerten, werden für beide Prozessoren die jeweiligen Eingangsgrößen als gleiche Werte festgelegt, bevor die Weiterverarbeitung beginnt. Bei größeren Abweichungen werden neue Abtastzyklen eingeleitet. Falls diese nach mehrmaliger Wiederholung nicht zu übereinstimmenden Eingangsgrößen führen, werden Stellgrößen erzeugt, die den Prozess in einen vorgebbaren, unkritischen Zustand versetzen. Zugleich wird eine Fehlermeldung ausgegeben, die sich auf Eingabebefehle bezieht und damit eine Fehlerlokalisierung ermöglicht.

Auf die Schritte (16, 17) folgen in den beiden Prozessoren jeweils Rechenschritte (18, 19) zur Ermittlung der Ausgangsgrößen. Es werden z. B. aus den digitalen Ist- und Sollwerten die Regelabweichungen gebildet und diese werden mit als Parameter vorgegebenen Werten multipliziert. Beispielsweise wird eine der Drehzahl des Motors entsprechende Regelabweichung mit einem Verstärkungsfaktor multipliziert. Der mit dem Zentralprozessor (1) berechnete Werte wird in einem Schritt (20) dem Sicherheitsprozessor (2) zugeführt. Dieser übermittelt seinerseits den im Schritt (19) ermittelten Ausgangswert für die Drehzahl des Motors in einem Schritt (21) dem Zentralprozessor (1). In beiden Prozessoren werden die berechneten und vom jeweils anderen Prozessor empfangenen Werte miteinander verglichen. Stimmen die Werte überein, dann schließen sich in beiden Prozessoren jeweils die Schritte (22, 23) an, in denen die für das jeweilige Stellglied bestimmten Stellgrößen errechnet werden. Diese Stellgrößen werden dem jeweils anderen Prozessor mitgeteilt. Beide Prozessoren vergleichen nun die berechneten und empfangenen Stellgrößen miteinander. Bei Übereinstimmung gibt der Zentralprozessor (1) die Stellgrößen über den Bus (3) und die Eingabe-, Ausgabeschaltung (4) an die Stellglieder der Vorrichtung (6) aus. Anschließend geht der Zentralprozessor (1) in einen Warteschritt (24) über, der bis zum Ende der vorgegebenen Abtastzeit dauert. Die gesamte Abtastzeit des Sicherheitsprozessors (2) ist kürzer als die Abtastzeit des Zentralprozessors (1). Da der Sicherheitsprozessor (2) immer nur vom Zentralprozessor (1) zu einem Abtastzyklus veranlaßt wird, ergibt sich eine Synchronisation beider Prozessoren.

An den Schritt (23) schließt sich beim Sicherheitsprozessor (2) ein Warteschritt (25) an, der durch einen Startimpuls des Zentralprozessor (1) beendet wird und in den Schritt (13) übergeht.

Stimmen die Ausgangsgrößen und die Stellgrößen nicht überein, dann teilen sich dies die beiden Prozessoren mit. In diesem Fall erzeugt der Zentralprozessor (1) Stellgrößen, die den Prozess in einen unkritischen Zustand versetzen.

Beide Prozessoren sind vorzugsweise unterschiedlich ausgebildet. Dies kann bedeuten, daß die Prozessoren verschiedene Taktzeiten, verschiedene Befehle, verschiedene Operationszyklen und einen verschiedenen Aufbau der Bestandteile aufweisen. Auch die Halbleitertechnologie kann verschieden kann. Damit wird verhindert, daß gleiche Fehler in beiden Prozessoren auftreten, die zu gleichen, aber falschen Ergebnissen führen die nicht als falsch erkannt und daher dem Prozess zugeführt werden. Die unterschiedliche Ausbildung der Prozessoren erhöht also die Sicherheit.

Weiterhin sind die Programme zur Bestimmung der Ausgangsgrößen und der Stellgrößen in beiden Prozessoren zweckmäßigerweise unterschiedlich ausgebildet. Diese Maßnahme verhindert, daß gleiche Fehler in beiden Programmen auftreten, die zu gleichen aber falschen Ergebnissen führen, die nicht als falsch erkannt und daher dem Prozess zugeführt werden. Die unterschiedlichen Programme sind vorwiegend bei komplexen Programmen vorteilhaft, bei denen nicht immer alle möglichen Programmzustände überprüft werden oder überprüft werden können.

Im Sicherheitsprozesor (2) wird zweckmäßigerweise nach Ablauf des Warteschritts (25) ein Zeitgeber angestoßen, der nach Ablauf einer vorgegebenen Zeit beispielsweise über den Sicherheitsprozessor (2) dann die Ausgabe von Stellgrößen veranlaßt, die den Prozeß in einen unkritischen Zustand versetzen, wenn der Zentralprozessor (1) keinen Startimpuls mehr dem Sicherheitsprozessor (2) zuführt.

Die Abtastzeiten erstrecken sich für die beiden Prozessoren jeweils vom Beginn der Abtastzyklen (12) bzw. (13) an bis zu den Enden der Wartezyklen (24) bzw. (25).

Claims (8)

1. Verfahren zur ON-LINE-Verarbeitung von Eingabegrößen, die in einem Prozeß erzeugt werden oder für diesen bestimmt sind, als gleiche Eingabegrößen mittels zweier Prozessoren, von denen einer als Zentralprozessor (1) bei ungestörter Arbeitsweise Stellgrößen für Stellglieder des Prozesses und der andere als Sicherheitsprozessor (2) Stellgrößen für den Vergleich mit den Stellgrößen des Zentralprozessors (1) erzeugt, dadurch gekennzeichnet, daß die Abtastzeit des Sicherheitsprozessors, dessen Abtastzyklen für die Eingabegrößen jeweils vom Zentral­ prozessor (1) ausgelöst werden, kleiner als die vorgegebene Abtastzeit des Zentralprozessors (1) ist, und daß bei Ausbleiben eines vom Zentralprozessor (1) an den Sicherheits­ prozessor (2) angegebenen Auslösebefehls für den jeweiligen Abtastzyklus Stellgrößen den Stellgliedern des Prozesses zugeführt werden, die den Prozeß in einen unkritischen Zustand versetzen.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß Prozessoren mit unterschiedlichem Aufbau eingesetzt werden.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die abgetasteten Eingabegrößen nach der Eingabe in beide Prozessoren gegenseitig ausgetauscht und in den Prozessoren miteinander verglichen werden.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß bei Abweichungen der Eingabegrößen von den vom jeweils anderen Prozessor empfangenen Eingabegrößen, die einen vorgebbaren Betrag übersteigen, ein weiterer Abtastzyklus ausgelöst wird.

5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Stellgrößen aus dem Zentralprozessor (1) und die Stellgrößen aus dem Sicherheitsprozessor miteinander verglichen werden und daß die Stellgrößen aus dem Zentralprozessor nur bei Gleichheit an die Stellglieder des Prozesses ausgegeben und bei Ungleichheit Stellgrößen ausgegeben werden, durch die der Prozeß in einen unkritischen Zustand versetzt wird.

6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Prozessoren innerhalb eines Regelkreises als Regler arbeiten, die aus Istwerten und vorgebbaren Sollwerten die Regelabweichungen bestimmen und hieraus die Stellgrößen für die Stellglieder berechnen.

7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die beiden Prozessoren nach unterschiedlichen Programmen aus gleichen Eingangsgrößen die Stellgrößen bestimmen.

8. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß nach dem Zurücksetzen der beiden Prozessoren beide initialisiert werden, worauf der Zentralprozessor (1) Normierungsparameter erzeugt und diese auch dem Sicherheits­ prozessor (2) zuführt.