DE3751231T2

DE3751231T2 - Symmetriebildung für redundante Kanäle.

Info

Publication number: DE3751231T2
Application number: DE3751231T
Authority: DE
Inventors: Robert E Collins; Bhalchandra Ramchandra Tulpule
Original assignee: United Technologies Corp
Current assignee: RTX Corp
Priority date: 1986-10-02
Filing date: 1987-10-01
Publication date: 1995-08-24
Anticipated expiration: 2007-10-02
Also published as: EP0263773A2; EP0263773A3; DE3751231D1; JPS6395545A; US4774709A; EP0263773B1

Description

Querbezug auf verwandte Anmeldung

Bei der hier beschriebenen Erfindung können einige der Lehren benutzt werden, die in der der gleichen Inhaberin gehörenden, gleichzeitig anhängigen EP-Anmeldung offenbart und beansprucht sind, welche am gleichen Tag hiermit unter Nr. 87630200.1, Veröffentlichungsnummer 0 263 055, unter dem Titel AUTOEQUALIZATION IN REDUNDANT CHANNELS, angemeldet worden ist.

Technisches Gebiet

Die Erfindung bezieht sich auf redundante Steuersysteme, die zum Verbessern der Verfügbarkeit eines Systems benutzt werden, in welchem individuelle Übergangsvorgänge in den Kanälen manchmal ungewollte Abschaltungen verursachen.

Stand der Technik

Die US-A-3 783 250 ist auf eine adaptive Steueranordnung gerichtet, die in Verbindung mit mehreren selbsttestenden Datenverarbeitungscomputermoduln benützt wird, wodurch die betriebsfähigen Computermoduln der Datenverarbeitungscomputermoduln an einem Datenbus untereinander austauschbar sind und wodurch die ausgefallenen Computermoduln von der Kommunikation mit dem Datenbus gemäß einem betriebsfähigen Status der Computermoduln ausgeschlossen werden.
In kritischen Fällen von Steuerungscomputern ist die Verwendung von Hardwareredundanz zum Verbessern der Zuverlässigkeit des Systems üblich. Es sei angemerkt, daß hier die Verwendung des Wortes "redundant" nicht nur strikt identische Kanäle beinhaltet, bei denen identische Sensoren benutzt werden, sondern auch quasi-redundante Kanäle, in welchen entweder die benutzten Sensoren oder sogar die Kanäle selbst von Kanal zu Kanal etwas variieren können. Mit anderen Worten, einige Signale, die einem Kanal zugeordnet sind, brauchen nicht in anderen Kanälen zu erscheinen.
Eine Vielfalt von Redundanzmanagement(RM)-Techniken ist entwickelt worden, um zwei Ziele zu erreichen, nämlich einen hohen Grad an Ausfallerkennung, Isolation und Alarmschutz sowie das Vermeiden der Abschaltung eines Kanals in Gegenwart eines transienten Vorganges in diesem Kanal und Isolation desselben. Diese RM-Algorithmen bestehen invariabel aus Querkanalvotierebenen zur algorithmischen Ausfallerkennung und Isolation (Failure Detection and Isolation oder FDI), unterstützt durch in die Kanäle eingebaute Tests (Built-In-Tests oder BIT). Diese Votierebenen beinhalten die Verwendung von Vergleichsschwellenwerten für die querrangierten Signale auf verschiedenen Stufen der Steuerberechnungen zur Signalauswahl und FDI.
Die Fähigkeiten von FDI-Algorithmen hinsichtlich der Wahrscheinlichkeiten von Erkennung, Isolation und Alarmen sind eine Funktion des Erkennungsschwellenwertes. Es ist klar, daß der kleinste mögliche FDI-Schwellenwert, nämlich null, der Bit-für- Bit-Identität unter Kein-Ausfall-Bedingungen verlangt, am erwünschtesten ist, da er eine sehr leistungsfähige algorithmische FDI mit nahezu perfekter Abdeckung aufgrund der sofortigen Erkennung und Isolation irgendeines nichtidentischen Signals ergibt. In der Vergangenheit hat sich die Verwendung des Null- FDI-Schwellenwertes auf Zwischen- oder Ausgangsvotierebenen wegen der großen Fehlalarmrate als unpraktisch erwiesen. Die hohe Fehlalarmrate ist hauptsächlich auf den nichtidentischen Betrieb der redundanten Kanäle zurückzuführen, der seinerseits auf das Auftreten von asymmetrischen oder asynchronen Ereignissen einschließlich transienten Fehlern zurückzuführen ist. Ein übliches Beispiel eines asymmetrischen Ereignisses ist der vorübergehende Stromausfall bei einer Untergruppe von Kanälen in einem redundanten Steuersystem. Das Auftreten von permanenten Fehlern kann auch zu einem asymmetrischen oder asynchronen Kanalbetrieb führen, führt aber nicht zu einem Fehlalarm, weil die anhaltend fehlerhaften Signale permanent hinausvotiert werden und weil die Votierebenen so umkonfiguriert werden, daß sie nur die unbeeinflußten redundanten Kanäle bei anschließenden Abstimmungen beinhalten. In jedem Fall gibt es einen Bedarf an Techniken, die die hohen Fehlalarmraten eliminieren können, welche mit "engen" Schwellenwerten verbunden sind, und einen identischen Kanalbetrieb in Gegenwart von asymmetrischen oder asynchronen Ereignissen und transienten Fehlern garantieren.
Die Techniken der Betriebsblocksynchronisation, bei der synchronisierte Zeitblöcke gemeinsam allen Kanälen gegeben werden, und des Querkanalvotierens werden gegenwärtig als ausreichend betrachtet, einen identischen Betrieb von redundanten Kanälen zu garantieren. Es wird angenommen, daß wenigstens dann, wenn kein Fehler vorliegt, die redundanten Kanäle die redundanten Eingangssignale auf synchrone Weise sammeln, querrangieren und abstimmen und identische Datenbasen in allen Kanälen erzeugen können. Bei diesem Drehbuch wird das Auftreten von asymmetrischen Ereignissen und von transienten Vorgängen durch Errichten von zusätzlichen Votierebenen gehandhabt.

Darstellung der Erfindung

Das Problem bei der obigen Denkweise ist, daß sie nicht die Tatsache berücksichtigt, daß Redundanzmanagementvotierebenen nicht nur durch die Signaldatenbasen (redundante Gruppen von Eingangssignalen) beeinflußt werden, sondern auch durch die Konfigurationsdatenbasen. Die Konfigurationsdatenbasen enthalten Information über die Fehler- und Redundanzwerte von Signalen und Kanälen.
Typisch sind diese Konfigurationsdatenbasen von historischer Natur, denn dann, wenn sich Fehler akkumulieren, werden sie zu den Datenbasen addiert und nicht entfernt, bis es durch einen Benutzer des Systems speziell verlangt wird. Das Auftreten von solchen Ereignissen und transienten Vorgängen beeinflußt asymmetrisch und permanent die Kanalkonfigurationsdatenbasen, welche die Fehlerfreiheits-, Status- und FDI-Information über die redundanten Kanäle enthalten. Wenn z.B. ein Kanal ungleiche Daten aufgrund eines transienten Fehlers in seinen Datenverbindungen empfängt, kann das zu einem ungleichen Ausgangssignal auf der nächsten oder irgendeiner anschließenden Votierebene führen, das aufgrund von historischen Wirkungen von Filtern usw. für eine lange Zeit andauern kann. Das wiederum kann zu einer Ausfallbestätigung in dem beeinflußten Kanal oder in den beeinflußten Kanälen führen. Dasselbe gilt für ungleiche externe Ereignisse wie Stromausfall in einer Untergruppe von Kanälen oder Vorhandensein von Simplexbusnachrichten, z.B. MIL- STD-1553-Nachrichten, die das Aktualisieren der Konfigurationsdatenbasis eines Kanals verzögern und es dazu bringen können, daß seine Datenbasis "außer Synchronismus" mit den anderen erscheint.
In jedem Fall führen diese divergenten Konfigurationsdatenbasen zu Ausgangssignalungleichheiten und Kanalabschaltungen und werden als Fehlalarme klassifiziert, weil diese "ausgefallenen" Kanäle in Wirklichkeit "rückgesetzt" und funktionsfähig gemacht werden können. Es ist eine zentrale Lehre der vorliegenden Erfindung, daß das Problem von hohen Fehlalarmen, das mit "engen" Schwellenwerten verbunden ist, eng mit dem Problem von asymmetrische Konfigurationsdatenbasen verknüpft ist und daß das Problem gelöst werden kann, indem diese Konfigurationsdatenbasen symmetrisch gemacht werden und dadurch die Auswirkungen von asymmetrischen Ereignissen und von transienten Vorgängen bei identischen Kanaloperationen und Ausgangssignalen eliminiert werden.
Es ist deshalb Aufgabe der vorliegenden Erfindung, ein Verfahren und eine Anordnung zu schaffen, durch welche redundante Systeme zuverlässiger oder verfügbarer gemacht und weniger Fehlalarmen ausgesetzt werden, welche durch nichtsymmetrische Ereignisse verursacht werden, die in einem Kanal oder in mehreren Kanälen eines solchen redundanten Systems auftreten.
Dieses Ziel wird durch das Symmetrierungsverfahren erreicht, das im Anspruch 1 beansprucht ist, und durch die Symmetrierungsanordnung, die im Anspruch 9 beansprucht ist. Ausführungsformen der Erfindung sind in den abhängigen Ansprüchen beansprucht.
Gemäß der vorliegenden Erfindung kann die Signalfehlerfreiheit-, Status- und FDI-Information, die auf allen Abstimmebenen in jedem Kanal eines Mehrkanalsystems erzeugt wird, als eine eine lokale Kanalkonfigurationsdatenbasis (channel configuration data base oder CCDB) de finierende Information angesehen werden, die zu allen anderen Kanälen digital übertragen wird, z.B. über Querkanaldatenverbindung(en) (Cross Channel Data Link(s) oder CCDL). Jeder Kanal hat einen Speicherbereich zum Speichern von Duplikaten von sämtlichen anderen CCDBs in dem System. Jeder Kanal hat außerdem einen Speicherbereich zum Speichern eines Duplikats seiner eigenen CCDB. Jede lokale CCDB wird nach Belieben mit Signaldaten aus ihrem zugeordneten Kanal aktualisiert. Die fremden CCDBs und die lokale Duplikat-CCDB, die in jedem Kanal resident sind, werden mit Signaldaten periodisch aktualisiert, welche aus den entsprechenden lokalen CCDBs in jedem der anderen Kanäle einschließlich sich selbst erzielt werden. Das ergibt eine beständige Datenbasis für die mehreren Kanäle, die in allen Kanälen identisch ist, bei Nichtvorhandensein von asymmetrischen Ausfällen und Ereignissen, und die ihrerseits symmetriert werden kann, d.h. zum Bilden von identischen Systemkonfigurationsdatenbasen (system configuration data bases oder SCDBs) benutzt werden kann. Somit können alle fremden CCDBs, die sich in einem Kanal befinden, und die lokale Duplikat-CCDB dann mehrheitsvotiert werden, um eine Systemkonfigurationsdatenbasis (SCDB) zu erzeugen, die für jede redundante Signalgruppe die Mehrheit der Kanäle angibt, in welchen die Signalkonfigurationsdaten identisch sind und diese Signale deshalb als gültig betrachtet werden. Wenn einer oder mehrere schlechte Kanäle erkannt werden, wird das Mehrkanalsystem umkonfiguriert, um nur diejenige Mehrheit von Kanälen zu umfassen, die sowohl früher gültig waren als auch gegenwärtig gültig sind.
Bevor ein nichtidentisches Signal oder ein falsch arbeitender Kanal ausgeschlossen wird, kann dieses Signal oder dieser Kanal mit dem entsprechenden Signal "egalisiert" werden, das gültig ist oder aus der Mehrheit von Signalen oder CCDBs CCDB-bestimmt wird. Wenn das fehlerhafte Signal oder der fehlerhafte Kanal sich weiterhin fehlverhält, nachdem bei einer ausgewählten Anzahl von periodischen Bestimmungen Ungleichheit festgestellt worden ist, wird das System dann umkonfiguriert, um das Signal oder den Kanal auszuschließen, in welchem das nichtidentische Signal oder die nichtidentische CCDB anhaltend unterschiedlich ist.
Weiter erfolgt gemäß der vorliegenden Erfindung das periodische Aktualisieren jeweils der fremden CCDBs als auch der lokalen Duplikat-CCDB in jedem Kanal im wesentlichen zu derselben relativen Zeit innerhalb jedes Blockes einer sich wiederholenden Serie von synchronisierten Rechenzeitblöcken, die allen Kanälen gemeinsam ist.
Weiter erfolgt gemäß der vorliegenden Erfindung der periodische Vergleich der Signalkonfigurationsdaten, die in den verschiedenen CCDBs innerhalb eines Kanals enthalten sind, im wesentlichen zu derselben relativen Zeit innerhalb jedes Blockes einer wiederholten Serie von synchronisierten Rechenzeitblöcken, die allen Kanälen gemeinsam ist.
Weiter wird gemäß der vorliegenden Erfindung die lokale Duplikat-CCDB in jedem Kanal aus seiner eigenen lokalen CCDB heraus aktualisiert, indem der gegenwärtige Signalkonfigurationsdateninhalt derselben extern über eine Route und eine Umgebung übertragen wird, die denen gleichen, welche zum Übertragen des gegenwärtigen lokalen Signaldatenkonfigurationsgehalts zu fremden Kanälen benutzt werden.
Weiter wird gemäß der vorliegenden Erfindung ein Stromausfallsignal aus einem Kanal, in welchem ein Stromausfall auftritt, zu sämtlichen Kanälen in dem System gesendet, damit die dadurch nicht beeinflußten Kanäle das Verwenden der dem beeinflußten Kanal zugeordenten fremden CCDBs darin stoppen können.
Ausgenommen in einem Fall von mehreren gleichzeitigen Ereignissen erzeugt die vorliegende Erfindung garantiert eine identische SCDB in jedem Kanal, die dann benutzt wird, um sämtliche Votierebenen und Steuerberechnungen zu steuern und identische ausgewählte Signale und Ausgangsbefehle zu erzeugen.
Die Realisierung des Datenbasissymmetrierungskonzepts, das hier offenbart ist, zentriert sich um einen autonomen, synchronen Regler, der in jeden Kanal eines Mehrkanalcomputersystems eingebettet ist. Ein solcher Kanalregler kann so aufgebaut sein, wie es hier angegeben ist, und er wird durch einen Synchronisierer blocksynchronisiert. Diese autonomen Regler können als eingebettete Prozessoren oder als programmierbare Zustandsmaschinen realisiert werden, die durch den lokalen Taktgeber in jedem Kanal angesteuert werden und die digitale Übertragung von Information zwischen Verbindungssendern und -empfängern ausführen können.
Ein Schlüsselelement der vorliegenden Erfindung ist die "Block"-synchrone Übertragung von Daten in alle redundanten Kanäle und aus allen redundanten Kanälen über die CCDL. Die resultierenden Querkanaldatenbasen sind in allen Kanälen blocksynchron und architektonisch symmetrisch und liefern garantiert identische Berechnungen und Ausgangssignale in Gegenwart von asymmetrischen Ereignissen und transienten Ausfällen.
Die Trennung der Datenbasis eines lokalen Kanals in eine lokale CCDB und eine lokale Duplikat-CCDB ergibt eine besondere Architektur, welche die potentielle Zeitversetzung zwischen dem Empfang von Daten durch andere Kanäle über eine serielle CCDL und einem viel schnelleren Empfang durch einen lokalen Kanal über serielle oder parallele Datenflußwege eliminiert. Jeder lokale Kanal wird dann, wie hier angegeben, eine identische SCDB erzeugen und sie auf den Votierebenen benutzen, und dadurch wird die Symmetrie in den Steuerberechnungen und Ausgangssignalen gewährleistet.
Die räumliche Trennung der kontinuierlich aktualisierten CCDB des lokalen Kanals von ihrem globalen Bild, d.h. seine lokale Duplikat-CCDB löst ein potentielles Konfliktproblem, das mit der gemeinsamen Benutzung von CCDBs verbunden ist. Das potentielle Konfliktproblem wird architektonisch gelöst und ist eine Schlüssellehre der vorliegenden Erfindung.
Die symmetrische Datenbasisarchitektur, die hier offenbart ist, enthält auch ein eindeutiges Merkmal zum Schutz der globalen Datenbasen durch ein gemeinsames asymmetrisches Ereignis, nämlich den Stromausfall. Wenn bei einer Untergruppe von Kanälen in einem redundanten System der Strom ausfällt, werden die betroffenen Kanäle natürlich von den steuernden Systemausgängen abgeschaltet. Es ist jedoch im allgemeinen sehr wichtig, zu gewährleisten, daß dieses nichtsymmetrische Ereignis die eigene Datenbasis des Kanals in den anderen Kanälen nicht verfälscht. Weiter, es ist absolut notwendig, die anderen Kanäle augenblicklich und auf unmißverständliche Weise über däs asymmetrische Ereignis zu informieren, so daß ihre CCDBs und SCDBs nicht verfälscht werden. Es ist wichtig, zu beachten, daß nicht garantiert werden kann, daß das entweder explizit durch die beeinflußten stromlosen Kanäle oder implizit durch die unbeeinflußten Kanäle über irgendeinen Überwachungsmechanismus erfolgt. Es muß gemäß der vorliegenden Erfindung über ein autonomes, guerrangiertes Sperrsignal erfolgen, das als Stromverlust (loss of power oder LOP) bezeichnet wird und die Operationen der Prozessoren von anderen Kanälen unterbricht und das CCDB-Bild des beeinflußten Kanals in den unbeeinflußten Kanälen einfriert. Dieses querrangierte LOP-Signal wird dann durch die unbeeinflußten Kanäle benutzt, um die Signalkonfigurationsdatenbasen ohne Verlust an Symmetrie umzukonfigurieren und so die Signale der beeinflußten Kanäle symmetrisch zu beseitigen, so daß sie bei zukünftigen Votier- und Steuerberechnungen nicht benutzt werden können. Das ist eine weitere Schlüssellehre der vorliegenden Erfindung.
Diese und andere Ziele, Merkmale und Vorteile der vorliegenden Erfindung werden im Lichte der ausführlichen Beschreibung einer besten Ausführungsform derselben, die in der beigefügten Zeichnung dargestellt ist, deutlicher werden.

Kurze Beschreibung der Zeichnung

Fig. 1 ist eine vereinfachte symmetrische Systemarchitektur nach der vorliegenden Erfindung und veranschaulicht einen symmetrierten Datenfluß in einem Mehrkanalsystem;
Fig. 2 ist eine vereinfachte Blockschaltbildübersicht über den Symmetrierungsprozeß in einem einzelnen Kanal;
Fig. 3 ist eine vereinfachte Flußdiagrammdarstellung eines Symmetrierungsprozesses in einem Kanal gemäß der vorliegenden Erfindung.

Bester Weg zur Ausführung der Erfindung

Fig. 1 veranschaulicht einen symmetrierten Datenfluß in einem Mehrkanalsystem mit einer symmetrischen Systemarchitektur gemäß der vorliegenden Erfindung. Jeder Kanal 10 eines redundanten Mehrkanalsystems erzeugt auf der Basis von FDI- und anderen Routinen eine lokale Konfigurationsdatenbasis 14, die als Kanalsignalkonfigurationsdatenbasis (CCDB) bezeichnet wird, wobei jede aus mehreren Statuswörtern besteht. Jedes Statuswort gibt den Fehler- und Redundanzkonfigurationswert von einem Signal oder von mehreren Signalen in dem zugeordneten Kanal an. Eines oder mehrere der Signale können den Redundanzstatus oder die "Fehlerfreiheit" der Kanäle in dem System anzeigen. Jede lokale CCDB empfängt Daten von verschiedenen Votierebenen innerhalb ihres Kanals, was allgemein durch ein Eingangssignal auf einer Leitung 16 gezeigt ist. Jede lokale CCDB empfängt außerdem Daten von asymmetrischen Ereignissen, die in ihrem Kanal auftreten, z.B. MIL-STD-1553-Nachrichten, LOP usw., was symbolisch durch eine Signalleitung 18 dargestellt ist. Jeder Kanal sendet diese lokale Datenbasis über einen Sender 20 über Querkanaldigitaldatenverbindungen 22 zu allen Kanälen in dem Mehrkanalsystem. Mehrere Empfänger 24 sind in jedem Kanal vorgesehen und können sich in einem blocksynchronen E/A-Regler 26 befinden, der auch den Sender 20 umfassen kann. Die Empfänger sprechen auf die Daten an, die über die Querkanaldatenverbindungen (CCDLs) gesendet werden, und liefern die aktualisierten empfangenen Daten an einen globalen Speicherraum 28, welcher mehrere CCDBs enthält, die gemeinsam ein globales Bild von allen jeweiligen lokalen CCDBs in dem System darstellen. Es sei angemerkt, daß jedes der globalen Bilder 28 ein Duplikat seiner eigenen lokalen CCDB 14 enthält, die zu ihm selbst über eine Route und eine Umgebung ähnlich denen der fremden Kanalbilder oder Kopien gesendet worden ist, z.B. über die CCDLs. Dieses Verfahren zum Erzeugen von Bildern oder Kopien von CCDBs in allen Kanälen für jede CCDB, die erzeugt wird, indem dasselbe Medium für jede benutzt wird, ist eine Schlüssellehre der vorliegenden Erfindung. Diese Lösung steigert die Wahrscheinlichkeit, daß die Datenbasiskopien, die benutzt werden, um die Systemdatenbasen (SCDBs) wie unten definiert, zu erzeugen, identisch sein werden.
Die globalen CCDB-Bilder 28 werden jeweils periodisch symmetriert, wie es symbolisch in einem Symmetrierungsblock 30 in jedem der Kanäle gezeigt ist. Der Symmetrierungsprozeß findet in jedem Kanal im wesentlichen zu derselben Zeit statt, zu der er in allen Kanälen stattfindet. Nach der Symmetrierung ist eine Systemkonfigurationsdatenbasis (SCDB), wie sie durch einen SCDB-Block 32 gezeigt ist. in jedem Kanal vorhanden, die ihrerseits die Gruppe oder Untergruppe von Signalen und Kanälen definiert, welche für den Kanal zum Ausführen von identischen Berechnungen und zur Ausfallerkennung und Isolation verfügbar sind, wie es durch einen Block 33 angegeben ist. Nur der Symmetrierungsroutine wird gestattet, in die SCDB einzuschreiben, und alle anderen Routinen sind lediglich in der Lage, die SCDB zu lesen.
Der Symmetrierungsprozeß besteht zum Teil aus einem Votieren über die lokalen Datenbasen (CCDBs), die aus allen Kanälen empfangen werden. Die SCDB definiert den Status und die Konfiguration von Systemresourcen wie Sensorgruppen und Stellantrieben. Darüber hinaus enthält die SCDB Konfigurationsinformation, die zusammen mit der alten SCDB Egalisierungs- und/oder Rekonfigurationsroutinen freigibt, um Softwareverstärkungen, Schaltereinstellungen, eine Signalmanagementkonfiguration usw. für diejenigen Kanäle zu ändern, bei denen festgestellt worden ist, daß ausgewählte Signale, Schalter usw. Egalisierung und/oder Rekonfiguration verlangen.
Fig. 2 veranschaulicht die Mechanisierung der Symmetrierung. Die Darstellung in Fig. 2 gilt für einen einzelnen Kanal, zum Beispiel den Kanal Nr. 1 in einem Vierkanalsystem. Mehrere Kanalsignalkonfigurationsdatenbasis(CCDB)-Signale auf Leitungen 40, 42, 44, 46 aus den Kanälen 1, 2, 3 bzw. 4 werden über die Querkanaldatenverbindungen 22 nach Fig. 1 empfangen und werden einem Kanal-1-CCDB-Votum präsentiert, wie es durch einen Votierblock 50 dargestellt ist. Vor dem Votieren muß jedoch ein Systemkonfigurationswort (System Configuration Word oder SCW) oder ein votiertes Konfigurationswort (Voted Configuration Word oder VCW) zum Auswählen der Kanäle, deren Daten gültig sind, berechnet werden. Das erfolgt durch Votieren über die Kanalkonfigurationswörter (channel configuration words oder CCWs), welche des Kanals Perzeption der Systemkonfiguration angeben. Die CCWs sind ein integraler Bestandteil der entsprechenden CCDBs und werden jeder empfangenen CCDB entnommen, wie es auf Leitungen 52, 54, 56, 58 dargestellt ist, und einem Systemkonfigurationswortvotum in einem Votierblock 60 dargeboten werden. Das resultierende votierte Konfigurationswort wird mit dem vorhergehenden votierten Konfigurationswort (VCW1n-1) verglichen oder durch dasselbe maskiert, wie es durch ein Signal auf einer Leitung 61 gezeigt ist, um zu verhindern, das irgendem Kanal, der zuvor als "schlecht" erkannt worden ist, "wiederholt" oder ungewollt für "gut" gehalten wird. Daher produziert jeder Kanal ein vorausgehendes votiertes Konfigurationswort (VCW), wie es in Fig. 2 durch ein VCW1 Signal auf einer Leitung 62 gezeigt ist, das an eine ODER-Schaltung 64 angelegt wird. Das VCW-Signal auf der Leitung 62 basiert auf der präsenten "Kenntnis" des Systemstatus des Kanals 1. Der Zweck der ODER-Schaltung 64 ist es, sicherzustellen, daß das vorhandene VCW keine Statusinformation enthält, die ungewollt eine wiederhergestellte "Fehlerfreiheit" für einen Kanal anzeigen könnte, der zuvor in Abwesenheit eines extern erzeugten RESET-Signals für schlecht gehalten worden ist. Eine UND-Schaltung 65 spricht auf das Signal VCWn-1 auf der Leitung 61 und auf ein Nicht-RESET-Signal auf einer Leitung 65a an, was dem alten VCW-Signal auf der Leitung 61 gestattet, durch die ODER-Schaltung 64 in Abwesenheit einer extern erzeugten Resetanforderung hindurchzugehen. Wenn eine Resetanforderung vorhanden ist, wird allen Kanälen gestattet, an dem Upgrading des VCW1 des Blockes 60 zu dem VCW1n des Blockes 64 über ein Mehrheitsvotum ohne die Maskierung des Blockes 64 zu partizipieren. Somit wird das vorherige VCW, welches durch ein Signal auf einer Leitung 66 gezeigt ist (unter der Annahme, daß keine Resetanforderung vorhanden ist), mit dem VCW auf der Leitung 62 ODER-verknüpft. Das resultierende VCW1n- Signal auf einer Leitung 68 ist deshalb ein Resultat des maskierten SCW-Votums, das in dem Votierblock 60 ausgeführt wird, d.h. unter Berücksichtigung des VCW aus dem letzten Zyklus in Verbindung mit dem Vorhandensein oder Nichtvorhandensein einer Resetanforderung, um festzustellen, welche Kanäle in das CCDB- Votum in dem Votierblock 50 einbezogen werden sollen.
Bei dem Empfang des VCWn-Signals auf der Leitung 68 kann das Votieren in einem Votierblock 50 von statten gehen, um ein Votierte-Systemkonfigurationsdatenbasis (VSCDB) -Signal auf einer Leitung 70 zu erzeugen. Die VSCDB auf der Leitung 70 wird mit der Systemkonfigurationsdatenbasis des vorherigen Zyklus auf eine Art und Weise ODER-verknüpft, die der Operation des Blockes 64 gleicht, und ist durch ein Signal auf einer Leitung 72 gezeigt, welches an eine ODER-Schaltung 74 angelegt wird, die ebenfalls auf die VSCDB auf der Leitung 70 anspricht. Das Signal SCDBn-1 auf der Leitung 72 ist mit einem ähnlichen Signal auf einer Leitung 72a nur identisch, wenn kein externes Reset verlangt worden ist, wie es durch ein Nicht-RESET-Signal auf einer Leitung 73 gezeigt ist. Das resultierende Ausgangssignal aus der ODER-Schaltung 74 ist das präsente SCDBn auf einer Leitung 76. Wenn es eine Verschlechterung in dem Kanal seit dem letzten Zyklus gegeben hat, muß der Kanal rekonfiguriert werden, wie es durch einen Rekonfigurationsblock 78 gezeigt ist. Dieser wird die präsente SCDB mit der des vorherigen Zyklus vergleichen, und, wenn eine Anderung erkannt wird, werden notwendige Änderungen an den Verstärkungen, Schaltern usw. in den übrigen "fehlerfreien" Kanälen vorgenommen. Wenn es ein vierfachreduntantes System gibt und einer der Kanäle als schlecht erkannt wird, werden daher nur drei Kanäle sich nun die Ausgangsbelastung gemeinsam teilen, und die Ausgangsverstärkungen müssen entsprechend eingestellt werden, um die Reduktion von vier Kanäle auf drei wiederzugeben. Zum Beispiel, wenn jeder Kanal 25% des elektrischen Stroms beigetragen hat, mit dem ein Stellantrieb gespeist wird, müssen nun die übrigen Kanäle jeweils 33 1/3% beitragen. Selbstverständlich müssen die Schalter, die dem schlechten Kanal zugeordnet sind, geöffnet werden, um die Isolation des schlechten Kanals zu gewährleisten.
Es ist natürlich vorteilhaft, einem Kanal, der als "schlecht" erkannt worden ist, eine oder mehrere zusätzliche "Chancen" zu geben, um sich selbst "zu heilen", so daß die Rekonfiguration nicht notwendig ist. Ein Egalisierungsblock 80 ist in Fig. 2 für diesen Zweck gezeigt. Wenn erkannt wird, daß ein Kanal in einem "schlechten" Zustand ist, werden die Daten dieses Kanals gleich denjenigen des guten Kanals gemacht, und ihm wird erlaubt, mit Berechnungen an den vermutlich guten Daten wieder zu beginnen. Wenn er nach einer ausgewählten Zahl von Zyklen weiterhin divergiert, wird dem Rekonfigurationsprozeß, der durch den Block 78 angegeben ist, gestattet, weiterzugehen, um den schlechten Kanal zu eliminieren.
Allgemein, es ist möglich, daß die SCDBn, die durch das Mehrheitsvotum der Daten in den SCDBs erzeugt wird, welche aus allen autorisierten Kanälen empfangen werden, wie sie durch das laufende VCWn definiert sind, gewisse Statusinformation enthalten kann, die für die einzelnen Kanäle eigentümlich ist und deshalb nicht symmetriert wird. Sie kann einfach an die SCDB angehängt sein (nicht dargestellt).
Der Votieralgorithmus, der für jedes Wort in den CCDBs zu verwenden ist, kann z.B. ein (n-1)/n-Votum sein, das in Abhängigkeit von der Zahl der reduntanten Kanäle variieren wird. Zum Beispiel, bei einem Quadraplex-System, bei dem VCWn gleich 0000 ist (was angibt, daß alle Kanäle gegenwärtig gut sind), würde das Votum die vier CCDB-Wörter (bezeichnet mit A, B, C, D) kombinieren, indem diese in der folgenden Kombination ODER-verknüpft werden:
ABC + BCD + ACD + ABD.
Für ein Quadraplexsystem, in welchem einer der Kanäle schlecht geworden ist (VCWn=0001 oder 0010 oder 0100 oder 0010 oder 1000), könnte das Votum folgendermaßen lauten (unter der Annahme, daß D schlecht ist):
AB + BC + AC.
Im Falle einer Verschlechterung herunter auf ein Duplexniveau (VCWn=0011 oder 0101 oder 0110 oder 1001 oder 1010 oder 1100) könnten die CCDBs folgendermaßen votiert werden (unter der Annahme, daß C und D schlecht sind):
A + B.
Für einen Fall, in welchem drei Kanäle schlecht geworden sind (VCWn=0111 oder 1011 oder 1101 oder 1110), könnte die Votierung folgendermaßen lauten (unter der Annahme, das B, C und D schlecht sind):
Für den Fall, wo alle Kanäle off-line sind (VCW=1111), wird die SCDB in jedem Kanal gleich dem entsprechenden Statuswort in der CCDB gesetzt.
Fig. 3 ist eine Blockschaltbildflußdiagrammdarstellung einer Serie von logischen Schritten, die gemäß der Erfindung ausgeführt werden können, um ein Mehrkanalsystem zu symmetrieren. Das Flußdiagramm nach Fig. 3 gleicht dem in Fig. 2 beschrieben Prozeß. Nach dem Ausführen des Eintrittsschrittes 90 werden die Signalwerte, die in jeder der CCDBs enthalten sind, in einem Schritt 92 in einen Kanal eingegeben. Es erfolgt dann eine Auswahl in einem Schritt 94, welche der CCWs aus jeder der CCDBs bei dem CCW-Votum benutzt werden sollen. Nachdem die CCWs auf den Leitungen 52, 54, 56, 58 in Fig. 2 zum Votieren ausgewählt worden sind, können sie in einem Schritt 96 votiert werden. Danach stellt ein Schritt 98 fest, ob ein Reset betätigt worden ist. Wenn nicht, wird anschließend ein Schritt 100 ausgeführt, in welchem das VCW mit dem alten VCW (aus dem vorherigen Zyklus) ODER-verknüpft wird, um das gegenwärtige VCW zu erhalten. Wenn dem so ist, wird ein Schritt 102 direkt ausgeführt, in welchem die CCDBs, die gemäß dem VCWn ausgewählt worden sind, in einem Votierblock 50 votiert werden, wie es in Fig. 2 gezeigt ist.
Wenn ein Reset nicht betätigt worden ist, wie es in einem Schritt 106 angegeben ist, wird die VSCDB in einem Schritt 108 mit der SCDB aus dem vorherigen Zyklus ODER-verknüpft, um das gegenwärtige SCDB zu erzielen. Wenn ein Reset betätigt worden war, wird ein Upgrading der SCDB gestattet, die durch ein Mehrheitsvotum der ausgewählten CCDBs bestimmt worden ist. Im Falle eines Resetzustands wird weder der Schritt 100 noch der Schritt 108 ausgeführt, wie sie normalerweise ausgeführt werden, da es erwünscht ist, ab einem gewissen vordefinierten Anfangszustand zu beginnen, der von der unmittelbar vergangenen Geschichte verschieden ist. Die Schritte 100 und 108 werden daher umgangen, so daß aus diesem gewünschten Anfangszustand heraus gestartet wird.
Danach wird in einem Schritt 110 festgestellt, ob eine Rekonfiguration erforderlich ist. Wenn nicht, erfolgt eine Rückkehr in einem Schritt 114, und wenn dem so ist, wird die Rekonfiguration in einem Schritt 116 ausgeführt, bevor in einem Schritt 114 zurückgekehrt wird.
Die Egalisierung ist in Fig. 3 nicht dargestellt, kann aber leicht vor dem Schritt 108 eingefügt werden, so daß der verdächtige Kanal mit den "fehlerfreien" Kanälen egalisiert werden kann, und eine ausgewählte Zahl von zusätzlichen Zyklen kann gestattet werden, bevor die Rekonfiguration in den Schritten 110 und 116 erzwungen wird.

Claims

1. Symmetrierungsverfahren, beinhaltend die Schritte:

Speichern einer zugeordneten lokalen Kanalkonfigurationsdatenbasis (CCDB) (14) in jedem Kanal eines Mehrkanalsystems, die sowohl einen Fehler als auch einen Redundanzstatus von Signalen und Kanälen in dem System angibt;

Aktualisieren jeder lokalen CCDB nach Belieben mit Konfigurationsdaten aus ihrem zugeordneten Kanal;

Speichern von mehreren fremden CCDBs (28) in jedem Kanal, von denen jede zugeordneten lokalen CCDBs in jedem der anderen Kanäle entspricht, wobei der Schritt des Speicherns den Schritt beinhaltet, in jedem Kanal ein Duplikat seiner zugeordneten lokalen CCDB zu speichern;

periodisches Aktualisieren jeder der mehreren fremden CCDBs einschließlich des Duplikats der zugeordneten lokalen CCDB in jedem Kanal aus Konfigurationsdaten, die aus entsprechenden lokalen CCDBs in den anderen Kanälen erzielt werden, wobei das periodische Aktualisieren jeder Duplikat-CCDB in jedem Kanal aus ihrer zugeordneten lokalen CCDB über eine Route, unter Verwendung einer Querkanaldatenverbindung (CCDL) (22), ähnlich der, die zum Übertragen der Konfigurationsdaten seiner zugeordneten lokalen CCDB zu der zugeordneten fremden CCDB in jedem anderen Kanal benutzt wird, erfolgt;

in jedem Kanal periodisches Votieren (30) der Konfigurationdaten, die gegenwärtig in jeder fremden und in jeder lokalen Duplikat-CCDB in dem Kanal enthalten sind;

Als-gültig-betrachten (30) nur derjenigen Signale, in welchen die votierten Fremd- und Lokal-CCBD-Signaldaten identisch sind und welche sowohl in dem letzten als auch in dem gegenwärtigen Votierzyklus für gültig votiert wurden und werden;

Als-gültig-betrachten (30) nur derjenigen Kanäle, die sowohl in dem letzten als auch in dem gegenwärtigen Votierzyklus jeweils für gültig votiert worden sind; und

in jedem Kanal Bereitstellen einer Systemkonfigurationsdatenbasis (SCDB) (32), die die Identität von fremden CCDBs und der lokalen Duplikat-CCDB als gültig sowohl in dem letzten als auch in dem gegenwärtigen Votierzyklus angibt, wobei die SCDB im wesentlichen zu allen Zeiten mit jeder SCDB in jedem anderen Kanal identisch ist, die in dem gegenwärtigen Votierzyklus für gültig erachtet wird.

2. Verfahren nach Anspruch 1, weiter beinhaltend den Schritt, das Mehrkanalsystem zu rekonfigurieren, damit es nur diejenigen Kanäle enthält, die sowohl in dem letzten als auch in dem gegenwärtigen Votierzyklus für gültig votiert worden sind.

3. Verfahren nach Anspruch 1, weiter beinhaltend den Schritt Egalisieren von einem oder mehreren der Signale in dem Mehrkanalsystem, wobei der Schritt des Egalisierens ausgeführt wird, nachdem festgestellt worden ist, daß ein Kanal oder mehrere Kanäle als ungültig erachtete Signaldaten haben, wobei der Schritt des Egalisierens beinhaltet, die für ungültig erachteten Signaldaten mit denjenigen reduntanten Signalen zu egalisieren, die als gültig erachtet werden, und, nach einer ausgewählten Anzahl von periodischen Voten und Egalisierungen, bei denen die Signaldaten in dem einen Kanal oder den mehreren Kanälen weiterhin für ungültig erachtet werden, Rekonfigurieren des Mehrkanalsystems, damit es nur die redundanten Signale umfaßt, die für gültig erachtet werden.

4. Verfahren nach Anspruch 1, wobei der Schritt des periodischen Aktualisierens jeder der mehreren fremden CCDBs einschließlich des Duplikats der zugeordneten lokalen CCDB in jedem Kanal im wesentlichen zu derselben relativen Zeit innerhalb jedes Blockes einer wiederholten Serie von synchronisierten Berechnungszeitblöcken, die allen Kanälen gemeinsam sind, ausgeführt wird.

5. Verfahren nach Anspruch 1, wobei der Schritt des periodischen Votierens in jedem Kanal im wesentlichen zu derselben relativen Zeit innerhalb jedes Blockes einer wiederholten Serie von synchronisierten Berechnungszeitblöcken, die allen Kanälen gemeinsam sind, ausgeführt wird.

6. Verfahren nach Anspruch 1, wobei der Schritt des periodisuchen Aktualisierens in jedem Kanal ausgeführt wird, indem der gegenwärtige Signaldateninhalt seiner lokalen CCDB extern zu allen anderen Kanälen zur Speicherung in den fremden CCDBs übertragen wird und außerdem der Inhalt der lokalen CCDB zurück in seinen Ausgangskanal über eine Route geleitet wird, die der gleicht, welche zum Übertragen des gegenwärtigen Signaldateninhalts von lokalen CCDBs zu fremden Kanälen benutzt wird.

7. Verfahren nach Anspruch 1, weiter beinhaltend den Schritt, aus jedem Kanal, in welchem ein Stromverlust auftritt, ein Stromverlustsignal an alle Kanäle in dem System abzugeben, damit die dem beeinflußten Kanal zugeordnete fremde CCDB in den unbeeinflußten Kanälen dabei gestopt werden kann, die CCDBs der unbeeinflußten Kanäle zu beeinflussen.

8. Verfahren nach Anspruch 1, weiter beinhaltend den Schritt, ein extern betätigtes Resetsignal zum Upgrading des Mehrkanalsystems zu liefern, damit es ausgewählte Kanäle umfaßt, die früher als ungültig erachtet worden sind.

9. Symmetrierungsanordnung mit:

einer Einrichtung, um in jedem Kanal eines Mehrkanalsystems eine zugeordnete lokale Kanalkonfigurationsdatenbasis (CCDB) (14) zu speichern, die den gegenwärtigen Fehler- und Redundanzstatus von Signalen und Kanälen in dem System angibt;

einer Einrichtung zum Aktualisieren jeder lokalen CCDB nach Belieben mit Konfigurationsdaten aus ihrem zugeordneten Kanal;

einer Einrichtung, um in jedem Kanal mehrere fremde CCDBs (28) zu speichern, von denen jede zugeordneten lokalen CCDBs in jedem der anderen Kanäle entspricht, wobei die Einrichtung zum Speichern von mehreren fremden CCDBs eine Einrichtung umfaßt, um in jedem Kanal ein Duplikat seiner zugeordneten lokalen CCDB zu speichern;

einer Einrichtung zum periodischen Aktualisieren jeder der mehreren fremden CCDBs einschließlich des Duplikats der zugeordneten lokalen CCDB in jedem Kanal aus Konfigurationsdaten, welche aus entsprechenden lokalen CCDBs in den anderen Kanälen erzielt werden, wobei die Einrichtung zum periodischen Aktualisieren der mehreren fremden CCDBs eine Einrichtung umfaßt zum Aktualisieren des Duplikats der zugeordneten lokalen CCDB in jedem Kanal, was von ihrer zugeordneten lokalen CCDB aus über eine Route unter Verwendung einer Querkanaldatenverbindung (CCDL) (22) ähnlich derjenigen, die zum Aktualisieren der zugeordneten fremden CCDB in jedem anderen Kanal benutzt wird, erfolgt;

einer Einrichtung (30), um in jedem Kanal die Konfigurationsdaten, die gegenwärtig in jeder fremden CCDB und in jeder lokalen Duplikat-CCDB vorhanden sind, periodisch zu votieren;

einer Einrichtung (30) zum Gültigerachten von nur denjenigen Signalen, in denen die periodisch votierten Fremd- und Lokal-CCDB-Signaldaten identisch sind und welche sowohl in dem letzten als auch in dem gegenwärtigen Votierzyklus für gültig erachtet wurden und werden;

einer Einrichtung zum Gültigerachten von nur denjenigen Kanälen, die sowohl in dem letzten als auch in dem gegenwärtigen Votierzyklus für gültig erachtet worden sind; und

einer Einrichtung, um in jedem Kanal eine Systemkonfigurationsdatenbasis (SCDB) (32) zu schaffen, welche die Identität der fremden CCDBs und der lokalen Duplikat-CCDB sowohl in dem letzten als auch in dem gegenwärtigen Votierzyklus als gültig angibt, wobei die SCDB im wesentlichen zu allen Seiten mit jeder SCDB in jedem anderen Kanal identisch ist, die in dem gegenwärtigen Votierzyklus für gültig erachtet wird.

10. Anordnung nach Anspruch 9, weiter mit einer Einrichtung zum Rekonfigurieren des Mehrkanalsystems, damit es nur diejenige Mehrheit von Kanälen umfaßt, welche für gültig erachtet werden.

11. Anordnung nach Anspruch 9, weiter mit einer Einrichtung zum Egalisieren von einem oder mehreren der Signale in dem Mehrkanalsystem, wobei das Egalisieren ausgeführt wird, nachdem festgestellt worden ist, daß einer oder mehrere Kanäle für ungültig erachtete Signaldaten haben, wobei das Egalisieren beinhaltet, die Signaldaten, die für ungültig erachtet werden, mit den redundanten Signalen, die für gültig erachtet werden, zu egalisieren, und, nachdem eine ausgewählte Zahl von periodischen Voten und Egalisierungen erfolgt ist, bei denen die Signaldaten in dem einen Kanal oder in mehreren Kanälen weiterhin für ungültig erachtet werden, Rekonfigurieren des Mehrkanalsytems, damit es nur die für gültig erachteten redundanten Signale umfaßt.

12. Anordnung nach Anspruch 9, wobei die Einrichtung zum Aktualisieren eine Einrichtung umfaßt, um im wesentlichen zu derselben relativen Zeit in jedem Kanal innerhalb jedes Blockes einer wiederholten Serie von synchronisierten Berechnungszeitblöcken, die allen Kanälen gemeinsam ist, zu aktualisieren.

13. Anordnung nach Anspruch 9, wobei die Einrichtung zum Votieren in jedem Kanal das Votieren im wesentlichen zu derselben relativen Zeit innerhalb jedes Blockes einer wiederholten Serie von synchronisierten Berechnungszeitblöcken, die allen Kanälen gemeinsam sind, ausführt.

14. Anordnung nach Anspruch 9, wobei die Einrichtung zum periodischen Aktualisieren in jedem Kanal eine Einrichtung aufweist zum Übertragen des gegenwärtigen Signaldateninhalts seiner lokalen CCDB auf einer externen Signaldatenroute zu allen anderen Kanälen zur Speicherung in den fremden CCDBs und außerdem zum Hinausleiten des Signaldateninhalts der lokalen CCDB und zurück in ihren Ursprungskanal über eine Signaldatenroute, die der gleicht, welche benutzt wird, um den gegenwärtigen Dateninhalt von lokalen CCDBs zu fremden Kanälen zu übertragen.

15. Anordnung nach Anspruch 9, weiter mit einer Einrichtung zum Liefern eines Stromausfallsignals (LOP) aus irgendeinem Kanal, bei dem der Strom ausfällt, an alle anderen Kanäle in dem System, so daß die anderen Kanäle nicht die dem beeinflußten Kanal zugeordnete fremden CCDB in jedem anderen Kanal zu benutzen brauchen.

16. Anordnung nach Anspruch 9, weiter mit einer Einrichtung, die auf ein extern betätigtes Resetsignal anspricht, um ein Upgrading des Mehrkanalsystems vorzunehmen, damit es ausgewählte Kanäle umfaßt, die zuvor für ungültig erachtet worden sind.