DE3751231T2 - Symmetriebildung für redundante Kanäle. - Google Patents
Symmetriebildung für redundante Kanäle.Info
- Publication number
- DE3751231T2 DE3751231T2 DE3751231T DE3751231T DE3751231T2 DE 3751231 T2 DE3751231 T2 DE 3751231T2 DE 3751231 T DE3751231 T DE 3751231T DE 3751231 T DE3751231 T DE 3751231T DE 3751231 T2 DE3751231 T2 DE 3751231T2
- Authority
- DE
- Germany
- Prior art keywords
- channel
- channels
- ccdb
- local
- foreign
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
- 230000015572 biosynthetic process Effects 0.000 title 1
- 238000000034 method Methods 0.000 claims description 20
- 230000001360 synchronised effect Effects 0.000 claims description 13
- 230000000737 periodic effect Effects 0.000 claims description 5
- 238000001514 detection method Methods 0.000 description 6
- 238000002955 isolation Methods 0.000 description 6
- 230000008569 process Effects 0.000 description 6
- 238000004364 calculation method Methods 0.000 description 5
- 230000001052 transient effect Effects 0.000 description 5
- 238000010586 diagram Methods 0.000 description 3
- 230000008859 change Effects 0.000 description 2
- 230000000694 effects Effects 0.000 description 2
- 230000036541 health Effects 0.000 description 2
- 238000012545 processing Methods 0.000 description 2
- 238000012360 testing method Methods 0.000 description 2
- 238000012546 transfer Methods 0.000 description 2
- 230000003044 adaptive effect Effects 0.000 description 1
- 238000013459 approach Methods 0.000 description 1
- 230000015556 catabolic process Effects 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 238000006731 degradation reaction Methods 0.000 description 1
- 230000001419 dependent effect Effects 0.000 description 1
- 230000006866 deterioration Effects 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- 230000000873 masking effect Effects 0.000 description 1
- 230000007246 mechanism Effects 0.000 description 1
- 238000012544 monitoring process Methods 0.000 description 1
- 230000008447 perception Effects 0.000 description 1
- 230000002085 persistent effect Effects 0.000 description 1
- 230000009467 reduction Effects 0.000 description 1
- 238000000926 separation method Methods 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
- G06F11/181—Eliminating the failing redundant component
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/16—Error detection or correction of the data by redundancy in hardware
- G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
- G06F11/182—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits based on mutual exchange of the output between redundant processing components
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Quality & Reliability (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Hardware Redundancy (AREA)
- Safety Devices In Control Systems (AREA)
Description
- Bei der hier beschriebenen Erfindung können einige der Lehren benutzt werden, die in der der gleichen Inhaberin gehörenden, gleichzeitig anhängigen EP-Anmeldung offenbart und beansprucht sind, welche am gleichen Tag hiermit unter Nr. 87630200.1, Veröffentlichungsnummer 0 263 055, unter dem Titel AUTOEQUALIZATION IN REDUNDANT CHANNELS, angemeldet worden ist.
- Die Erfindung bezieht sich auf redundante Steuersysteme, die zum Verbessern der Verfügbarkeit eines Systems benutzt werden, in welchem individuelle Übergangsvorgänge in den Kanälen manchmal ungewollte Abschaltungen verursachen.
- Die US-A-3 783 250 ist auf eine adaptive Steueranordnung gerichtet, die in Verbindung mit mehreren selbsttestenden Datenverarbeitungscomputermoduln benützt wird, wodurch die betriebsfähigen Computermoduln der Datenverarbeitungscomputermoduln an einem Datenbus untereinander austauschbar sind und wodurch die ausgefallenen Computermoduln von der Kommunikation mit dem Datenbus gemäß einem betriebsfähigen Status der Computermoduln ausgeschlossen werden.
- In kritischen Fällen von Steuerungscomputern ist die Verwendung von Hardwareredundanz zum Verbessern der Zuverlässigkeit des Systems üblich. Es sei angemerkt, daß hier die Verwendung des Wortes "redundant" nicht nur strikt identische Kanäle beinhaltet, bei denen identische Sensoren benutzt werden, sondern auch quasi-redundante Kanäle, in welchen entweder die benutzten Sensoren oder sogar die Kanäle selbst von Kanal zu Kanal etwas variieren können. Mit anderen Worten, einige Signale, die einem Kanal zugeordnet sind, brauchen nicht in anderen Kanälen zu erscheinen.
- Eine Vielfalt von Redundanzmanagement(RM)-Techniken ist entwickelt worden, um zwei Ziele zu erreichen, nämlich einen hohen Grad an Ausfallerkennung, Isolation und Alarmschutz sowie das Vermeiden der Abschaltung eines Kanals in Gegenwart eines transienten Vorganges in diesem Kanal und Isolation desselben. Diese RM-Algorithmen bestehen invariabel aus Querkanalvotierebenen zur algorithmischen Ausfallerkennung und Isolation (Failure Detection and Isolation oder FDI), unterstützt durch in die Kanäle eingebaute Tests (Built-In-Tests oder BIT). Diese Votierebenen beinhalten die Verwendung von Vergleichsschwellenwerten für die querrangierten Signale auf verschiedenen Stufen der Steuerberechnungen zur Signalauswahl und FDI.
- Die Fähigkeiten von FDI-Algorithmen hinsichtlich der Wahrscheinlichkeiten von Erkennung, Isolation und Alarmen sind eine Funktion des Erkennungsschwellenwertes. Es ist klar, daß der kleinste mögliche FDI-Schwellenwert, nämlich null, der Bit-für- Bit-Identität unter Kein-Ausfall-Bedingungen verlangt, am erwünschtesten ist, da er eine sehr leistungsfähige algorithmische FDI mit nahezu perfekter Abdeckung aufgrund der sofortigen Erkennung und Isolation irgendeines nichtidentischen Signals ergibt. In der Vergangenheit hat sich die Verwendung des Null- FDI-Schwellenwertes auf Zwischen- oder Ausgangsvotierebenen wegen der großen Fehlalarmrate als unpraktisch erwiesen. Die hohe Fehlalarmrate ist hauptsächlich auf den nichtidentischen Betrieb der redundanten Kanäle zurückzuführen, der seinerseits auf das Auftreten von asymmetrischen oder asynchronen Ereignissen einschließlich transienten Fehlern zurückzuführen ist. Ein übliches Beispiel eines asymmetrischen Ereignisses ist der vorübergehende Stromausfall bei einer Untergruppe von Kanälen in einem redundanten Steuersystem. Das Auftreten von permanenten Fehlern kann auch zu einem asymmetrischen oder asynchronen Kanalbetrieb führen, führt aber nicht zu einem Fehlalarm, weil die anhaltend fehlerhaften Signale permanent hinausvotiert werden und weil die Votierebenen so umkonfiguriert werden, daß sie nur die unbeeinflußten redundanten Kanäle bei anschließenden Abstimmungen beinhalten. In jedem Fall gibt es einen Bedarf an Techniken, die die hohen Fehlalarmraten eliminieren können, welche mit "engen" Schwellenwerten verbunden sind, und einen identischen Kanalbetrieb in Gegenwart von asymmetrischen oder asynchronen Ereignissen und transienten Fehlern garantieren.
- Die Techniken der Betriebsblocksynchronisation, bei der synchronisierte Zeitblöcke gemeinsam allen Kanälen gegeben werden, und des Querkanalvotierens werden gegenwärtig als ausreichend betrachtet, einen identischen Betrieb von redundanten Kanälen zu garantieren. Es wird angenommen, daß wenigstens dann, wenn kein Fehler vorliegt, die redundanten Kanäle die redundanten Eingangssignale auf synchrone Weise sammeln, querrangieren und abstimmen und identische Datenbasen in allen Kanälen erzeugen können. Bei diesem Drehbuch wird das Auftreten von asymmetrischen Ereignissen und von transienten Vorgängen durch Errichten von zusätzlichen Votierebenen gehandhabt.
- Das Problem bei der obigen Denkweise ist, daß sie nicht die Tatsache berücksichtigt, daß Redundanzmanagementvotierebenen nicht nur durch die Signaldatenbasen (redundante Gruppen von Eingangssignalen) beeinflußt werden, sondern auch durch die Konfigurationsdatenbasen. Die Konfigurationsdatenbasen enthalten Information über die Fehler- und Redundanzwerte von Signalen und Kanälen.
- Typisch sind diese Konfigurationsdatenbasen von historischer Natur, denn dann, wenn sich Fehler akkumulieren, werden sie zu den Datenbasen addiert und nicht entfernt, bis es durch einen Benutzer des Systems speziell verlangt wird. Das Auftreten von solchen Ereignissen und transienten Vorgängen beeinflußt asymmetrisch und permanent die Kanalkonfigurationsdatenbasen, welche die Fehlerfreiheits-, Status- und FDI-Information über die redundanten Kanäle enthalten. Wenn z.B. ein Kanal ungleiche Daten aufgrund eines transienten Fehlers in seinen Datenverbindungen empfängt, kann das zu einem ungleichen Ausgangssignal auf der nächsten oder irgendeiner anschließenden Votierebene führen, das aufgrund von historischen Wirkungen von Filtern usw. für eine lange Zeit andauern kann. Das wiederum kann zu einer Ausfallbestätigung in dem beeinflußten Kanal oder in den beeinflußten Kanälen führen. Dasselbe gilt für ungleiche externe Ereignisse wie Stromausfall in einer Untergruppe von Kanälen oder Vorhandensein von Simplexbusnachrichten, z.B. MIL- STD-1553-Nachrichten, die das Aktualisieren der Konfigurationsdatenbasis eines Kanals verzögern und es dazu bringen können, daß seine Datenbasis "außer Synchronismus" mit den anderen erscheint.
- In jedem Fall führen diese divergenten Konfigurationsdatenbasen zu Ausgangssignalungleichheiten und Kanalabschaltungen und werden als Fehlalarme klassifiziert, weil diese "ausgefallenen" Kanäle in Wirklichkeit "rückgesetzt" und funktionsfähig gemacht werden können. Es ist eine zentrale Lehre der vorliegenden Erfindung, daß das Problem von hohen Fehlalarmen, das mit "engen" Schwellenwerten verbunden ist, eng mit dem Problem von asymmetrische Konfigurationsdatenbasen verknüpft ist und daß das Problem gelöst werden kann, indem diese Konfigurationsdatenbasen symmetrisch gemacht werden und dadurch die Auswirkungen von asymmetrischen Ereignissen und von transienten Vorgängen bei identischen Kanaloperationen und Ausgangssignalen eliminiert werden.
- Es ist deshalb Aufgabe der vorliegenden Erfindung, ein Verfahren und eine Anordnung zu schaffen, durch welche redundante Systeme zuverlässiger oder verfügbarer gemacht und weniger Fehlalarmen ausgesetzt werden, welche durch nichtsymmetrische Ereignisse verursacht werden, die in einem Kanal oder in mehreren Kanälen eines solchen redundanten Systems auftreten.
- Dieses Ziel wird durch das Symmetrierungsverfahren erreicht, das im Anspruch 1 beansprucht ist, und durch die Symmetrierungsanordnung, die im Anspruch 9 beansprucht ist. Ausführungsformen der Erfindung sind in den abhängigen Ansprüchen beansprucht.
- Gemäß der vorliegenden Erfindung kann die Signalfehlerfreiheit-, Status- und FDI-Information, die auf allen Abstimmebenen in jedem Kanal eines Mehrkanalsystems erzeugt wird, als eine eine lokale Kanalkonfigurationsdatenbasis (channel configuration data base oder CCDB) de finierende Information angesehen werden, die zu allen anderen Kanälen digital übertragen wird, z.B. über Querkanaldatenverbindung(en) (Cross Channel Data Link(s) oder CCDL). Jeder Kanal hat einen Speicherbereich zum Speichern von Duplikaten von sämtlichen anderen CCDBs in dem System. Jeder Kanal hat außerdem einen Speicherbereich zum Speichern eines Duplikats seiner eigenen CCDB. Jede lokale CCDB wird nach Belieben mit Signaldaten aus ihrem zugeordneten Kanal aktualisiert. Die fremden CCDBs und die lokale Duplikat-CCDB, die in jedem Kanal resident sind, werden mit Signaldaten periodisch aktualisiert, welche aus den entsprechenden lokalen CCDBs in jedem der anderen Kanäle einschließlich sich selbst erzielt werden. Das ergibt eine beständige Datenbasis für die mehreren Kanäle, die in allen Kanälen identisch ist, bei Nichtvorhandensein von asymmetrischen Ausfällen und Ereignissen, und die ihrerseits symmetriert werden kann, d.h. zum Bilden von identischen Systemkonfigurationsdatenbasen (system configuration data bases oder SCDBs) benutzt werden kann. Somit können alle fremden CCDBs, die sich in einem Kanal befinden, und die lokale Duplikat-CCDB dann mehrheitsvotiert werden, um eine Systemkonfigurationsdatenbasis (SCDB) zu erzeugen, die für jede redundante Signalgruppe die Mehrheit der Kanäle angibt, in welchen die Signalkonfigurationsdaten identisch sind und diese Signale deshalb als gültig betrachtet werden. Wenn einer oder mehrere schlechte Kanäle erkannt werden, wird das Mehrkanalsystem umkonfiguriert, um nur diejenige Mehrheit von Kanälen zu umfassen, die sowohl früher gültig waren als auch gegenwärtig gültig sind.
- Bevor ein nichtidentisches Signal oder ein falsch arbeitender Kanal ausgeschlossen wird, kann dieses Signal oder dieser Kanal mit dem entsprechenden Signal "egalisiert" werden, das gültig ist oder aus der Mehrheit von Signalen oder CCDBs CCDB-bestimmt wird. Wenn das fehlerhafte Signal oder der fehlerhafte Kanal sich weiterhin fehlverhält, nachdem bei einer ausgewählten Anzahl von periodischen Bestimmungen Ungleichheit festgestellt worden ist, wird das System dann umkonfiguriert, um das Signal oder den Kanal auszuschließen, in welchem das nichtidentische Signal oder die nichtidentische CCDB anhaltend unterschiedlich ist.
- Weiter erfolgt gemäß der vorliegenden Erfindung das periodische Aktualisieren jeweils der fremden CCDBs als auch der lokalen Duplikat-CCDB in jedem Kanal im wesentlichen zu derselben relativen Zeit innerhalb jedes Blockes einer sich wiederholenden Serie von synchronisierten Rechenzeitblöcken, die allen Kanälen gemeinsam ist.
- Weiter erfolgt gemäß der vorliegenden Erfindung der periodische Vergleich der Signalkonfigurationsdaten, die in den verschiedenen CCDBs innerhalb eines Kanals enthalten sind, im wesentlichen zu derselben relativen Zeit innerhalb jedes Blockes einer wiederholten Serie von synchronisierten Rechenzeitblöcken, die allen Kanälen gemeinsam ist.
- Weiter wird gemäß der vorliegenden Erfindung die lokale Duplikat-CCDB in jedem Kanal aus seiner eigenen lokalen CCDB heraus aktualisiert, indem der gegenwärtige Signalkonfigurationsdateninhalt derselben extern über eine Route und eine Umgebung übertragen wird, die denen gleichen, welche zum Übertragen des gegenwärtigen lokalen Signaldatenkonfigurationsgehalts zu fremden Kanälen benutzt werden.
- Weiter wird gemäß der vorliegenden Erfindung ein Stromausfallsignal aus einem Kanal, in welchem ein Stromausfall auftritt, zu sämtlichen Kanälen in dem System gesendet, damit die dadurch nicht beeinflußten Kanäle das Verwenden der dem beeinflußten Kanal zugeordenten fremden CCDBs darin stoppen können.
- Ausgenommen in einem Fall von mehreren gleichzeitigen Ereignissen erzeugt die vorliegende Erfindung garantiert eine identische SCDB in jedem Kanal, die dann benutzt wird, um sämtliche Votierebenen und Steuerberechnungen zu steuern und identische ausgewählte Signale und Ausgangsbefehle zu erzeugen.
- Die Realisierung des Datenbasissymmetrierungskonzepts, das hier offenbart ist, zentriert sich um einen autonomen, synchronen Regler, der in jeden Kanal eines Mehrkanalcomputersystems eingebettet ist. Ein solcher Kanalregler kann so aufgebaut sein, wie es hier angegeben ist, und er wird durch einen Synchronisierer blocksynchronisiert. Diese autonomen Regler können als eingebettete Prozessoren oder als programmierbare Zustandsmaschinen realisiert werden, die durch den lokalen Taktgeber in jedem Kanal angesteuert werden und die digitale Übertragung von Information zwischen Verbindungssendern und -empfängern ausführen können.
- Ein Schlüsselelement der vorliegenden Erfindung ist die "Block"-synchrone Übertragung von Daten in alle redundanten Kanäle und aus allen redundanten Kanälen über die CCDL. Die resultierenden Querkanaldatenbasen sind in allen Kanälen blocksynchron und architektonisch symmetrisch und liefern garantiert identische Berechnungen und Ausgangssignale in Gegenwart von asymmetrischen Ereignissen und transienten Ausfällen.
- Die Trennung der Datenbasis eines lokalen Kanals in eine lokale CCDB und eine lokale Duplikat-CCDB ergibt eine besondere Architektur, welche die potentielle Zeitversetzung zwischen dem Empfang von Daten durch andere Kanäle über eine serielle CCDL und einem viel schnelleren Empfang durch einen lokalen Kanal über serielle oder parallele Datenflußwege eliminiert. Jeder lokale Kanal wird dann, wie hier angegeben, eine identische SCDB erzeugen und sie auf den Votierebenen benutzen, und dadurch wird die Symmetrie in den Steuerberechnungen und Ausgangssignalen gewährleistet.
- Die räumliche Trennung der kontinuierlich aktualisierten CCDB des lokalen Kanals von ihrem globalen Bild, d.h. seine lokale Duplikat-CCDB löst ein potentielles Konfliktproblem, das mit der gemeinsamen Benutzung von CCDBs verbunden ist. Das potentielle Konfliktproblem wird architektonisch gelöst und ist eine Schlüssellehre der vorliegenden Erfindung.
- Die symmetrische Datenbasisarchitektur, die hier offenbart ist, enthält auch ein eindeutiges Merkmal zum Schutz der globalen Datenbasen durch ein gemeinsames asymmetrisches Ereignis, nämlich den Stromausfall. Wenn bei einer Untergruppe von Kanälen in einem redundanten System der Strom ausfällt, werden die betroffenen Kanäle natürlich von den steuernden Systemausgängen abgeschaltet. Es ist jedoch im allgemeinen sehr wichtig, zu gewährleisten, daß dieses nichtsymmetrische Ereignis die eigene Datenbasis des Kanals in den anderen Kanälen nicht verfälscht. Weiter, es ist absolut notwendig, die anderen Kanäle augenblicklich und auf unmißverständliche Weise über däs asymmetrische Ereignis zu informieren, so daß ihre CCDBs und SCDBs nicht verfälscht werden. Es ist wichtig, zu beachten, daß nicht garantiert werden kann, daß das entweder explizit durch die beeinflußten stromlosen Kanäle oder implizit durch die unbeeinflußten Kanäle über irgendeinen Überwachungsmechanismus erfolgt. Es muß gemäß der vorliegenden Erfindung über ein autonomes, guerrangiertes Sperrsignal erfolgen, das als Stromverlust (loss of power oder LOP) bezeichnet wird und die Operationen der Prozessoren von anderen Kanälen unterbricht und das CCDB-Bild des beeinflußten Kanals in den unbeeinflußten Kanälen einfriert. Dieses querrangierte LOP-Signal wird dann durch die unbeeinflußten Kanäle benutzt, um die Signalkonfigurationsdatenbasen ohne Verlust an Symmetrie umzukonfigurieren und so die Signale der beeinflußten Kanäle symmetrisch zu beseitigen, so daß sie bei zukünftigen Votier- und Steuerberechnungen nicht benutzt werden können. Das ist eine weitere Schlüssellehre der vorliegenden Erfindung.
- Diese und andere Ziele, Merkmale und Vorteile der vorliegenden Erfindung werden im Lichte der ausführlichen Beschreibung einer besten Ausführungsform derselben, die in der beigefügten Zeichnung dargestellt ist, deutlicher werden.
- Fig. 1 ist eine vereinfachte symmetrische Systemarchitektur nach der vorliegenden Erfindung und veranschaulicht einen symmetrierten Datenfluß in einem Mehrkanalsystem;
- Fig. 2 ist eine vereinfachte Blockschaltbildübersicht über den Symmetrierungsprozeß in einem einzelnen Kanal;
- Fig. 3 ist eine vereinfachte Flußdiagrammdarstellung eines Symmetrierungsprozesses in einem Kanal gemäß der vorliegenden Erfindung.
- Fig. 1 veranschaulicht einen symmetrierten Datenfluß in einem Mehrkanalsystem mit einer symmetrischen Systemarchitektur gemäß der vorliegenden Erfindung. Jeder Kanal 10 eines redundanten Mehrkanalsystems erzeugt auf der Basis von FDI- und anderen Routinen eine lokale Konfigurationsdatenbasis 14, die als Kanalsignalkonfigurationsdatenbasis (CCDB) bezeichnet wird, wobei jede aus mehreren Statuswörtern besteht. Jedes Statuswort gibt den Fehler- und Redundanzkonfigurationswert von einem Signal oder von mehreren Signalen in dem zugeordneten Kanal an. Eines oder mehrere der Signale können den Redundanzstatus oder die "Fehlerfreiheit" der Kanäle in dem System anzeigen. Jede lokale CCDB empfängt Daten von verschiedenen Votierebenen innerhalb ihres Kanals, was allgemein durch ein Eingangssignal auf einer Leitung 16 gezeigt ist. Jede lokale CCDB empfängt außerdem Daten von asymmetrischen Ereignissen, die in ihrem Kanal auftreten, z.B. MIL-STD-1553-Nachrichten, LOP usw., was symbolisch durch eine Signalleitung 18 dargestellt ist. Jeder Kanal sendet diese lokale Datenbasis über einen Sender 20 über Querkanaldigitaldatenverbindungen 22 zu allen Kanälen in dem Mehrkanalsystem. Mehrere Empfänger 24 sind in jedem Kanal vorgesehen und können sich in einem blocksynchronen E/A-Regler 26 befinden, der auch den Sender 20 umfassen kann. Die Empfänger sprechen auf die Daten an, die über die Querkanaldatenverbindungen (CCDLs) gesendet werden, und liefern die aktualisierten empfangenen Daten an einen globalen Speicherraum 28, welcher mehrere CCDBs enthält, die gemeinsam ein globales Bild von allen jeweiligen lokalen CCDBs in dem System darstellen. Es sei angemerkt, daß jedes der globalen Bilder 28 ein Duplikat seiner eigenen lokalen CCDB 14 enthält, die zu ihm selbst über eine Route und eine Umgebung ähnlich denen der fremden Kanalbilder oder Kopien gesendet worden ist, z.B. über die CCDLs. Dieses Verfahren zum Erzeugen von Bildern oder Kopien von CCDBs in allen Kanälen für jede CCDB, die erzeugt wird, indem dasselbe Medium für jede benutzt wird, ist eine Schlüssellehre der vorliegenden Erfindung. Diese Lösung steigert die Wahrscheinlichkeit, daß die Datenbasiskopien, die benutzt werden, um die Systemdatenbasen (SCDBs) wie unten definiert, zu erzeugen, identisch sein werden.
- Die globalen CCDB-Bilder 28 werden jeweils periodisch symmetriert, wie es symbolisch in einem Symmetrierungsblock 30 in jedem der Kanäle gezeigt ist. Der Symmetrierungsprozeß findet in jedem Kanal im wesentlichen zu derselben Zeit statt, zu der er in allen Kanälen stattfindet. Nach der Symmetrierung ist eine Systemkonfigurationsdatenbasis (SCDB), wie sie durch einen SCDB-Block 32 gezeigt ist. in jedem Kanal vorhanden, die ihrerseits die Gruppe oder Untergruppe von Signalen und Kanälen definiert, welche für den Kanal zum Ausführen von identischen Berechnungen und zur Ausfallerkennung und Isolation verfügbar sind, wie es durch einen Block 33 angegeben ist. Nur der Symmetrierungsroutine wird gestattet, in die SCDB einzuschreiben, und alle anderen Routinen sind lediglich in der Lage, die SCDB zu lesen.
- Der Symmetrierungsprozeß besteht zum Teil aus einem Votieren über die lokalen Datenbasen (CCDBs), die aus allen Kanälen empfangen werden. Die SCDB definiert den Status und die Konfiguration von Systemresourcen wie Sensorgruppen und Stellantrieben. Darüber hinaus enthält die SCDB Konfigurationsinformation, die zusammen mit der alten SCDB Egalisierungs- und/oder Rekonfigurationsroutinen freigibt, um Softwareverstärkungen, Schaltereinstellungen, eine Signalmanagementkonfiguration usw. für diejenigen Kanäle zu ändern, bei denen festgestellt worden ist, daß ausgewählte Signale, Schalter usw. Egalisierung und/oder Rekonfiguration verlangen.
- Fig. 2 veranschaulicht die Mechanisierung der Symmetrierung. Die Darstellung in Fig. 2 gilt für einen einzelnen Kanal, zum Beispiel den Kanal Nr. 1 in einem Vierkanalsystem. Mehrere Kanalsignalkonfigurationsdatenbasis(CCDB)-Signale auf Leitungen 40, 42, 44, 46 aus den Kanälen 1, 2, 3 bzw. 4 werden über die Querkanaldatenverbindungen 22 nach Fig. 1 empfangen und werden einem Kanal-1-CCDB-Votum präsentiert, wie es durch einen Votierblock 50 dargestellt ist. Vor dem Votieren muß jedoch ein Systemkonfigurationswort (System Configuration Word oder SCW) oder ein votiertes Konfigurationswort (Voted Configuration Word oder VCW) zum Auswählen der Kanäle, deren Daten gültig sind, berechnet werden. Das erfolgt durch Votieren über die Kanalkonfigurationswörter (channel configuration words oder CCWs), welche des Kanals Perzeption der Systemkonfiguration angeben. Die CCWs sind ein integraler Bestandteil der entsprechenden CCDBs und werden jeder empfangenen CCDB entnommen, wie es auf Leitungen 52, 54, 56, 58 dargestellt ist, und einem Systemkonfigurationswortvotum in einem Votierblock 60 dargeboten werden. Das resultierende votierte Konfigurationswort wird mit dem vorhergehenden votierten Konfigurationswort (VCW1n-1) verglichen oder durch dasselbe maskiert, wie es durch ein Signal auf einer Leitung 61 gezeigt ist, um zu verhindern, das irgendem Kanal, der zuvor als "schlecht" erkannt worden ist, "wiederholt" oder ungewollt für "gut" gehalten wird. Daher produziert jeder Kanal ein vorausgehendes votiertes Konfigurationswort (VCW), wie es in Fig. 2 durch ein VCW1 Signal auf einer Leitung 62 gezeigt ist, das an eine ODER-Schaltung 64 angelegt wird. Das VCW-Signal auf der Leitung 62 basiert auf der präsenten "Kenntnis" des Systemstatus des Kanals 1. Der Zweck der ODER-Schaltung 64 ist es, sicherzustellen, daß das vorhandene VCW keine Statusinformation enthält, die ungewollt eine wiederhergestellte "Fehlerfreiheit" für einen Kanal anzeigen könnte, der zuvor in Abwesenheit eines extern erzeugten RESET-Signals für schlecht gehalten worden ist. Eine UND-Schaltung 65 spricht auf das Signal VCWn-1 auf der Leitung 61 und auf ein Nicht-RESET-Signal auf einer Leitung 65a an, was dem alten VCW-Signal auf der Leitung 61 gestattet, durch die ODER-Schaltung 64 in Abwesenheit einer extern erzeugten Resetanforderung hindurchzugehen. Wenn eine Resetanforderung vorhanden ist, wird allen Kanälen gestattet, an dem Upgrading des VCW1 des Blockes 60 zu dem VCW1n des Blockes 64 über ein Mehrheitsvotum ohne die Maskierung des Blockes 64 zu partizipieren. Somit wird das vorherige VCW, welches durch ein Signal auf einer Leitung 66 gezeigt ist (unter der Annahme, daß keine Resetanforderung vorhanden ist), mit dem VCW auf der Leitung 62 ODER-verknüpft. Das resultierende VCW1n- Signal auf einer Leitung 68 ist deshalb ein Resultat des maskierten SCW-Votums, das in dem Votierblock 60 ausgeführt wird, d.h. unter Berücksichtigung des VCW aus dem letzten Zyklus in Verbindung mit dem Vorhandensein oder Nichtvorhandensein einer Resetanforderung, um festzustellen, welche Kanäle in das CCDB- Votum in dem Votierblock 50 einbezogen werden sollen.
- Bei dem Empfang des VCWn-Signals auf der Leitung 68 kann das Votieren in einem Votierblock 50 von statten gehen, um ein Votierte-Systemkonfigurationsdatenbasis (VSCDB) -Signal auf einer Leitung 70 zu erzeugen. Die VSCDB auf der Leitung 70 wird mit der Systemkonfigurationsdatenbasis des vorherigen Zyklus auf eine Art und Weise ODER-verknüpft, die der Operation des Blockes 64 gleicht, und ist durch ein Signal auf einer Leitung 72 gezeigt, welches an eine ODER-Schaltung 74 angelegt wird, die ebenfalls auf die VSCDB auf der Leitung 70 anspricht. Das Signal SCDBn-1 auf der Leitung 72 ist mit einem ähnlichen Signal auf einer Leitung 72a nur identisch, wenn kein externes Reset verlangt worden ist, wie es durch ein Nicht-RESET-Signal auf einer Leitung 73 gezeigt ist. Das resultierende Ausgangssignal aus der ODER-Schaltung 74 ist das präsente SCDBn auf einer Leitung 76. Wenn es eine Verschlechterung in dem Kanal seit dem letzten Zyklus gegeben hat, muß der Kanal rekonfiguriert werden, wie es durch einen Rekonfigurationsblock 78 gezeigt ist. Dieser wird die präsente SCDB mit der des vorherigen Zyklus vergleichen, und, wenn eine Anderung erkannt wird, werden notwendige Änderungen an den Verstärkungen, Schaltern usw. in den übrigen "fehlerfreien" Kanälen vorgenommen. Wenn es ein vierfachreduntantes System gibt und einer der Kanäle als schlecht erkannt wird, werden daher nur drei Kanäle sich nun die Ausgangsbelastung gemeinsam teilen, und die Ausgangsverstärkungen müssen entsprechend eingestellt werden, um die Reduktion von vier Kanäle auf drei wiederzugeben. Zum Beispiel, wenn jeder Kanal 25% des elektrischen Stroms beigetragen hat, mit dem ein Stellantrieb gespeist wird, müssen nun die übrigen Kanäle jeweils 33 1/3% beitragen. Selbstverständlich müssen die Schalter, die dem schlechten Kanal zugeordnet sind, geöffnet werden, um die Isolation des schlechten Kanals zu gewährleisten.
- Es ist natürlich vorteilhaft, einem Kanal, der als "schlecht" erkannt worden ist, eine oder mehrere zusätzliche "Chancen" zu geben, um sich selbst "zu heilen", so daß die Rekonfiguration nicht notwendig ist. Ein Egalisierungsblock 80 ist in Fig. 2 für diesen Zweck gezeigt. Wenn erkannt wird, daß ein Kanal in einem "schlechten" Zustand ist, werden die Daten dieses Kanals gleich denjenigen des guten Kanals gemacht, und ihm wird erlaubt, mit Berechnungen an den vermutlich guten Daten wieder zu beginnen. Wenn er nach einer ausgewählten Zahl von Zyklen weiterhin divergiert, wird dem Rekonfigurationsprozeß, der durch den Block 78 angegeben ist, gestattet, weiterzugehen, um den schlechten Kanal zu eliminieren.
- Allgemein, es ist möglich, daß die SCDBn, die durch das Mehrheitsvotum der Daten in den SCDBs erzeugt wird, welche aus allen autorisierten Kanälen empfangen werden, wie sie durch das laufende VCWn definiert sind, gewisse Statusinformation enthalten kann, die für die einzelnen Kanäle eigentümlich ist und deshalb nicht symmetriert wird. Sie kann einfach an die SCDB angehängt sein (nicht dargestellt).
- Der Votieralgorithmus, der für jedes Wort in den CCDBs zu verwenden ist, kann z.B. ein (n-1)/n-Votum sein, das in Abhängigkeit von der Zahl der reduntanten Kanäle variieren wird. Zum Beispiel, bei einem Quadraplex-System, bei dem VCWn gleich 0000 ist (was angibt, daß alle Kanäle gegenwärtig gut sind), würde das Votum die vier CCDB-Wörter (bezeichnet mit A, B, C, D) kombinieren, indem diese in der folgenden Kombination ODER-verknüpft werden:
- ABC + BCD + ACD + ABD.
- Für ein Quadraplexsystem, in welchem einer der Kanäle schlecht geworden ist (VCWn=0001 oder 0010 oder 0100 oder 0010 oder 1000), könnte das Votum folgendermaßen lauten (unter der Annahme, daß D schlecht ist):
- AB + BC + AC.
- Im Falle einer Verschlechterung herunter auf ein Duplexniveau (VCWn=0011 oder 0101 oder 0110 oder 1001 oder 1010 oder 1100) könnten die CCDBs folgendermaßen votiert werden (unter der Annahme, daß C und D schlecht sind):
- A + B.
- Für einen Fall, in welchem drei Kanäle schlecht geworden sind (VCWn=0111 oder 1011 oder 1101 oder 1110), könnte die Votierung folgendermaßen lauten (unter der Annahme, das B, C und D schlecht sind):
- Für den Fall, wo alle Kanäle off-line sind (VCW=1111), wird die SCDB in jedem Kanal gleich dem entsprechenden Statuswort in der CCDB gesetzt.
- Fig. 3 ist eine Blockschaltbildflußdiagrammdarstellung einer Serie von logischen Schritten, die gemäß der Erfindung ausgeführt werden können, um ein Mehrkanalsystem zu symmetrieren. Das Flußdiagramm nach Fig. 3 gleicht dem in Fig. 2 beschrieben Prozeß. Nach dem Ausführen des Eintrittsschrittes 90 werden die Signalwerte, die in jeder der CCDBs enthalten sind, in einem Schritt 92 in einen Kanal eingegeben. Es erfolgt dann eine Auswahl in einem Schritt 94, welche der CCWs aus jeder der CCDBs bei dem CCW-Votum benutzt werden sollen. Nachdem die CCWs auf den Leitungen 52, 54, 56, 58 in Fig. 2 zum Votieren ausgewählt worden sind, können sie in einem Schritt 96 votiert werden. Danach stellt ein Schritt 98 fest, ob ein Reset betätigt worden ist. Wenn nicht, wird anschließend ein Schritt 100 ausgeführt, in welchem das VCW mit dem alten VCW (aus dem vorherigen Zyklus) ODER-verknüpft wird, um das gegenwärtige VCW zu erhalten. Wenn dem so ist, wird ein Schritt 102 direkt ausgeführt, in welchem die CCDBs, die gemäß dem VCWn ausgewählt worden sind, in einem Votierblock 50 votiert werden, wie es in Fig. 2 gezeigt ist.
- Wenn ein Reset nicht betätigt worden ist, wie es in einem Schritt 106 angegeben ist, wird die VSCDB in einem Schritt 108 mit der SCDB aus dem vorherigen Zyklus ODER-verknüpft, um das gegenwärtige SCDB zu erzielen. Wenn ein Reset betätigt worden war, wird ein Upgrading der SCDB gestattet, die durch ein Mehrheitsvotum der ausgewählten CCDBs bestimmt worden ist. Im Falle eines Resetzustands wird weder der Schritt 100 noch der Schritt 108 ausgeführt, wie sie normalerweise ausgeführt werden, da es erwünscht ist, ab einem gewissen vordefinierten Anfangszustand zu beginnen, der von der unmittelbar vergangenen Geschichte verschieden ist. Die Schritte 100 und 108 werden daher umgangen, so daß aus diesem gewünschten Anfangszustand heraus gestartet wird.
- Danach wird in einem Schritt 110 festgestellt, ob eine Rekonfiguration erforderlich ist. Wenn nicht, erfolgt eine Rückkehr in einem Schritt 114, und wenn dem so ist, wird die Rekonfiguration in einem Schritt 116 ausgeführt, bevor in einem Schritt 114 zurückgekehrt wird.
- Die Egalisierung ist in Fig. 3 nicht dargestellt, kann aber leicht vor dem Schritt 108 eingefügt werden, so daß der verdächtige Kanal mit den "fehlerfreien" Kanälen egalisiert werden kann, und eine ausgewählte Zahl von zusätzlichen Zyklen kann gestattet werden, bevor die Rekonfiguration in den Schritten 110 und 116 erzwungen wird.
Claims (16)
1. Symmetrierungsverfahren, beinhaltend die Schritte:
Speichern einer zugeordneten lokalen
Kanalkonfigurationsdatenbasis (CCDB) (14) in jedem Kanal eines Mehrkanalsystems, die
sowohl einen Fehler als auch einen Redundanzstatus von Signalen
und Kanälen in dem System angibt;
Aktualisieren jeder lokalen CCDB nach Belieben mit
Konfigurationsdaten aus ihrem zugeordneten Kanal;
Speichern von mehreren fremden CCDBs (28) in jedem Kanal, von
denen jede zugeordneten lokalen CCDBs in jedem der anderen
Kanäle entspricht, wobei der Schritt des Speicherns den Schritt
beinhaltet, in jedem Kanal ein Duplikat seiner zugeordneten
lokalen CCDB zu speichern;
periodisches Aktualisieren jeder der mehreren fremden CCDBs
einschließlich des Duplikats der zugeordneten lokalen CCDB in
jedem Kanal aus Konfigurationsdaten, die aus entsprechenden
lokalen CCDBs in den anderen Kanälen erzielt werden, wobei das
periodische Aktualisieren jeder Duplikat-CCDB in jedem Kanal
aus ihrer zugeordneten lokalen CCDB über eine Route, unter
Verwendung einer Querkanaldatenverbindung (CCDL) (22), ähnlich
der, die zum Übertragen der Konfigurationsdaten seiner
zugeordneten lokalen CCDB zu der zugeordneten fremden CCDB in jedem
anderen Kanal benutzt wird, erfolgt;
in jedem Kanal periodisches Votieren (30) der
Konfigurationdaten, die gegenwärtig in jeder fremden und in jeder lokalen
Duplikat-CCDB in dem Kanal enthalten sind;
Als-gültig-betrachten (30) nur derjenigen Signale, in welchen
die votierten Fremd- und Lokal-CCBD-Signaldaten identisch sind
und welche sowohl in dem letzten als auch in dem gegenwärtigen
Votierzyklus für gültig votiert wurden und werden;
Als-gültig-betrachten (30) nur derjenigen Kanäle, die sowohl in
dem letzten als auch in dem gegenwärtigen Votierzyklus jeweils
für gültig votiert worden sind; und
in jedem Kanal Bereitstellen einer
Systemkonfigurationsdatenbasis (SCDB) (32), die die Identität von fremden CCDBs und der
lokalen Duplikat-CCDB als gültig sowohl in dem letzten als auch
in dem gegenwärtigen Votierzyklus angibt, wobei die SCDB im
wesentlichen zu allen Zeiten mit jeder SCDB in jedem anderen
Kanal identisch ist, die in dem gegenwärtigen Votierzyklus für
gültig erachtet wird.
2. Verfahren nach Anspruch 1, weiter beinhaltend den Schritt,
das Mehrkanalsystem zu rekonfigurieren, damit es nur diejenigen
Kanäle enthält, die sowohl in dem letzten als auch in dem
gegenwärtigen Votierzyklus für gültig votiert worden sind.
3. Verfahren nach Anspruch 1, weiter beinhaltend den Schritt
Egalisieren von einem oder mehreren der Signale in dem
Mehrkanalsystem, wobei der Schritt des Egalisierens ausgeführt wird,
nachdem festgestellt worden ist, daß ein Kanal oder mehrere
Kanäle als ungültig erachtete Signaldaten haben, wobei der
Schritt des Egalisierens beinhaltet, die für ungültig
erachteten Signaldaten mit denjenigen reduntanten Signalen zu
egalisieren, die als gültig erachtet werden, und, nach einer
ausgewählten Anzahl von periodischen Voten und Egalisierungen, bei
denen die Signaldaten in dem einen Kanal oder den mehreren
Kanälen weiterhin für ungültig erachtet werden, Rekonfigurieren
des Mehrkanalsystems, damit es nur die redundanten Signale
umfaßt, die für gültig erachtet werden.
4. Verfahren nach Anspruch 1, wobei der Schritt des
periodischen Aktualisierens jeder der mehreren fremden CCDBs
einschließlich des Duplikats der zugeordneten lokalen CCDB in
jedem Kanal im wesentlichen zu derselben relativen Zeit innerhalb
jedes Blockes einer wiederholten Serie von synchronisierten
Berechnungszeitblöcken, die allen Kanälen gemeinsam sind,
ausgeführt wird.
5. Verfahren nach Anspruch 1, wobei der Schritt des
periodischen Votierens in jedem Kanal im wesentlichen zu derselben
relativen Zeit innerhalb jedes Blockes einer wiederholten Serie
von synchronisierten Berechnungszeitblöcken, die allen Kanälen
gemeinsam sind, ausgeführt wird.
6. Verfahren nach Anspruch 1, wobei der Schritt des
periodisuchen Aktualisierens in jedem Kanal ausgeführt wird, indem der
gegenwärtige Signaldateninhalt seiner lokalen CCDB extern zu
allen anderen Kanälen zur Speicherung in den fremden CCDBs
übertragen wird und außerdem der Inhalt der lokalen CCDB zurück
in seinen Ausgangskanal über eine Route geleitet wird, die der
gleicht, welche zum Übertragen des gegenwärtigen
Signaldateninhalts von lokalen CCDBs zu fremden Kanälen benutzt wird.
7. Verfahren nach Anspruch 1, weiter beinhaltend den Schritt,
aus jedem Kanal, in welchem ein Stromverlust auftritt, ein
Stromverlustsignal an alle Kanäle in dem System abzugeben,
damit die dem beeinflußten Kanal zugeordnete fremde CCDB in den
unbeeinflußten Kanälen dabei gestopt werden kann, die CCDBs der
unbeeinflußten Kanäle zu beeinflussen.
8. Verfahren nach Anspruch 1, weiter beinhaltend den Schritt,
ein extern betätigtes Resetsignal zum Upgrading des
Mehrkanalsystems zu liefern, damit es ausgewählte Kanäle umfaßt, die
früher als ungültig erachtet worden sind.
9. Symmetrierungsanordnung mit:
einer Einrichtung, um in jedem Kanal eines Mehrkanalsystems
eine zugeordnete lokale Kanalkonfigurationsdatenbasis (CCDB)
(14) zu speichern, die den gegenwärtigen Fehler- und
Redundanzstatus von Signalen und Kanälen in dem System angibt;
einer Einrichtung zum Aktualisieren jeder lokalen CCDB nach
Belieben mit Konfigurationsdaten aus ihrem zugeordneten Kanal;
einer Einrichtung, um in jedem Kanal mehrere fremde CCDBs (28)
zu speichern, von denen jede zugeordneten lokalen CCDBs in
jedem der anderen Kanäle entspricht, wobei die Einrichtung zum
Speichern von mehreren fremden CCDBs eine Einrichtung umfaßt,
um in jedem Kanal ein Duplikat seiner zugeordneten lokalen CCDB
zu speichern;
einer Einrichtung zum periodischen Aktualisieren jeder der
mehreren fremden CCDBs einschließlich des Duplikats der
zugeordneten lokalen CCDB in jedem Kanal aus Konfigurationsdaten, welche
aus entsprechenden lokalen CCDBs in den anderen Kanälen erzielt
werden, wobei die Einrichtung zum periodischen Aktualisieren
der mehreren fremden CCDBs eine Einrichtung umfaßt zum
Aktualisieren des Duplikats der zugeordneten lokalen CCDB in jedem
Kanal, was von ihrer zugeordneten lokalen CCDB aus über eine
Route unter Verwendung einer Querkanaldatenverbindung
(CCDL) (22) ähnlich derjenigen, die zum Aktualisieren der
zugeordneten fremden CCDB in jedem anderen Kanal benutzt wird,
erfolgt;
einer Einrichtung (30), um in jedem Kanal die
Konfigurationsdaten, die gegenwärtig in jeder fremden CCDB und in jeder lokalen
Duplikat-CCDB vorhanden sind, periodisch zu votieren;
einer Einrichtung (30) zum Gültigerachten von nur denjenigen
Signalen, in denen die periodisch votierten Fremd- und
Lokal-CCDB-Signaldaten identisch sind und welche sowohl in dem
letzten als auch in dem gegenwärtigen Votierzyklus für gültig
erachtet wurden und werden;
einer Einrichtung zum Gültigerachten von nur denjenigen
Kanälen, die sowohl in dem letzten als auch in dem gegenwärtigen
Votierzyklus für gültig erachtet worden sind; und
einer Einrichtung, um in jedem Kanal eine
Systemkonfigurationsdatenbasis (SCDB) (32) zu schaffen, welche die Identität der
fremden CCDBs und der lokalen Duplikat-CCDB sowohl in dem
letzten als auch in dem gegenwärtigen Votierzyklus als gültig
angibt, wobei die SCDB im wesentlichen zu allen Seiten mit jeder
SCDB in jedem anderen Kanal identisch ist, die in dem
gegenwärtigen Votierzyklus für gültig erachtet wird.
10. Anordnung nach Anspruch 9, weiter mit einer Einrichtung zum
Rekonfigurieren des Mehrkanalsystems, damit es nur diejenige
Mehrheit von Kanälen umfaßt, welche für gültig erachtet werden.
11. Anordnung nach Anspruch 9, weiter mit einer Einrichtung zum
Egalisieren von einem oder mehreren der Signale in dem
Mehrkanalsystem, wobei das Egalisieren ausgeführt wird, nachdem
festgestellt worden ist, daß einer oder mehrere Kanäle für ungültig
erachtete Signaldaten haben, wobei das Egalisieren beinhaltet,
die Signaldaten, die für ungültig erachtet werden, mit den
redundanten Signalen, die für gültig erachtet werden, zu
egalisieren, und, nachdem eine ausgewählte Zahl von periodischen
Voten und Egalisierungen erfolgt ist, bei denen die Signaldaten
in dem einen Kanal oder in mehreren Kanälen weiterhin für
ungültig erachtet werden, Rekonfigurieren des Mehrkanalsytems,
damit es nur die für gültig erachteten redundanten Signale
umfaßt.
12. Anordnung nach Anspruch 9, wobei die Einrichtung zum
Aktualisieren eine Einrichtung umfaßt, um im wesentlichen zu
derselben relativen Zeit in jedem Kanal innerhalb jedes Blockes einer
wiederholten Serie von synchronisierten Berechnungszeitblöcken,
die allen Kanälen gemeinsam ist, zu aktualisieren.
13. Anordnung nach Anspruch 9, wobei die Einrichtung zum
Votieren in jedem Kanal das Votieren im wesentlichen zu derselben
relativen Zeit innerhalb jedes Blockes einer wiederholten Serie
von synchronisierten Berechnungszeitblöcken, die allen Kanälen
gemeinsam sind, ausführt.
14. Anordnung nach Anspruch 9, wobei die Einrichtung zum
periodischen Aktualisieren in jedem Kanal eine Einrichtung aufweist
zum Übertragen des gegenwärtigen Signaldateninhalts seiner
lokalen CCDB auf einer externen Signaldatenroute zu allen anderen
Kanälen zur Speicherung in den fremden CCDBs und außerdem zum
Hinausleiten des Signaldateninhalts der lokalen CCDB und zurück
in ihren Ursprungskanal über eine Signaldatenroute, die der
gleicht, welche benutzt wird, um den gegenwärtigen Dateninhalt
von lokalen CCDBs zu fremden Kanälen zu übertragen.
15. Anordnung nach Anspruch 9, weiter mit einer Einrichtung zum
Liefern eines Stromausfallsignals (LOP) aus irgendeinem Kanal,
bei dem der Strom ausfällt, an alle anderen Kanäle in dem
System, so daß die anderen Kanäle nicht die dem beeinflußten
Kanal zugeordnete fremden CCDB in jedem anderen Kanal zu benutzen
brauchen.
16. Anordnung nach Anspruch 9, weiter mit einer Einrichtung,
die auf ein extern betätigtes Resetsignal anspricht, um ein
Upgrading des Mehrkanalsystems vorzunehmen, damit es ausgewählte
Kanäle umfaßt, die zuvor für ungültig erachtet worden sind.
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US06/914,697 US4774709A (en) | 1986-10-02 | 1986-10-02 | Symmetrization for redundant channels |
Publications (2)
Publication Number | Publication Date |
---|---|
DE3751231D1 DE3751231D1 (de) | 1995-05-18 |
DE3751231T2 true DE3751231T2 (de) | 1995-08-24 |
Family
ID=25434677
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
DE3751231T Expired - Fee Related DE3751231T2 (de) | 1986-10-02 | 1987-10-01 | Symmetriebildung für redundante Kanäle. |
Country Status (4)
Country | Link |
---|---|
US (1) | US4774709A (de) |
EP (1) | EP0263773B1 (de) |
JP (1) | JPS6395545A (de) |
DE (1) | DE3751231T2 (de) |
Families Citing this family (31)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5093910A (en) * | 1986-10-29 | 1992-03-03 | United Technologies Corporation | Serial data transmission between redundant channels |
CA2003338A1 (en) * | 1987-11-09 | 1990-06-09 | Richard W. Cutts, Jr. | Synchronization of fault-tolerant computer system having multiple processors |
AU616213B2 (en) * | 1987-11-09 | 1991-10-24 | Tandem Computers Incorporated | Method and apparatus for synchronizing a plurality of processors |
JPH0616617B2 (ja) * | 1987-12-07 | 1994-03-02 | 富士通株式会社 | 初期条件設定方法 |
US4965879A (en) * | 1988-10-13 | 1990-10-23 | United Technologies Corporation | X-wing fly-by-wire vehicle management system |
AU625293B2 (en) * | 1988-12-09 | 1992-07-09 | Tandem Computers Incorporated | Synchronization of fault-tolerant computer system having multiple processors |
US4965717A (en) * | 1988-12-09 | 1990-10-23 | Tandem Computers Incorporated | Multiple processor system having shared memory with private-write capability |
US4984240A (en) * | 1988-12-22 | 1991-01-08 | Codex Corporation | Distributed switching architecture for communication module redundancy |
US5295258A (en) * | 1989-12-22 | 1994-03-15 | Tandem Computers Incorporated | Fault-tolerant computer system with online recovery and reintegration of redundant components |
US5203004A (en) * | 1990-01-08 | 1993-04-13 | Tandem Computers Incorporated | Multi-board system having electronic keying and preventing power to improperly connected plug-in board with improperly configured diode connections |
US5274554A (en) * | 1991-02-01 | 1993-12-28 | The Boeing Company | Multiple-voting fault detection system for flight critical actuation control systems |
US5365516A (en) * | 1991-08-16 | 1994-11-15 | Pinpoint Communications, Inc. | Communication system and method for determining the location of a transponder unit |
JPH05191388A (ja) * | 1992-01-14 | 1993-07-30 | Fujitsu Ltd | 通信処理システム |
US5349654A (en) * | 1992-02-20 | 1994-09-20 | The Boeing Company | Fault tolerant data exchange unit |
US5428769A (en) * | 1992-03-31 | 1995-06-27 | The Dow Chemical Company | Process control interface system having triply redundant remote field units |
US5533188A (en) * | 1992-10-19 | 1996-07-02 | The United States Of America As Represented By The Administrator Of The National Aeronautics And Space Administration | Fault-tolerant processing system |
DE59307083D1 (de) * | 1993-11-18 | 1997-09-11 | Siemens Ag | Rechnergestütztes Entwurfsverfahren für ein programmierbares Automatisierungssystem |
US5864654A (en) * | 1995-03-31 | 1999-01-26 | Nec Electronics, Inc. | Systems and methods for fault tolerant information processing |
US6928606B2 (en) * | 2001-12-20 | 2005-08-09 | Hyperchip Inc | Fault tolerant scan chain for a parallel processing system |
US7181644B2 (en) * | 2002-01-11 | 2007-02-20 | Delphi Technologies, Inc. | Method for synchronizing data utilized in redundant, closed loop control systems |
US7093168B2 (en) | 2002-01-22 | 2006-08-15 | Honeywell International, Inc. | Signal validation and arbitration system and method |
EP1468337A1 (de) * | 2002-01-22 | 2004-10-20 | Honeywell International Inc. | Verfahren und system zur signalbestätigung und arbitrierung |
EP1629636B1 (de) * | 2003-05-20 | 2008-03-05 | Nxp B.V. | Zeitgesteuertes kommunikationssystem und verfahren für den synchronisierten start eines zweikanal netzes |
JP2006529072A (ja) * | 2003-05-20 | 2006-12-28 | コーニンクレッカ フィリップス エレクトロニクス エヌ ヴィ | 二重チャネルネットワークの同期化に関する時間トリガ型通信システムおよび方法 |
CN101048752A (zh) * | 2004-10-25 | 2007-10-03 | 罗伯特·博世有限公司 | 在拥有至少两个执行单元的计算机***中切换的装置和方法 |
US20070294237A1 (en) * | 2006-06-13 | 2007-12-20 | Mariam John | Enterprise-Wide Configuration Management Database Searches |
IT1391785B1 (it) * | 2008-11-21 | 2012-01-27 | St Microelectronics Srl | Sistema elettronico per il rilevamento di un guasto |
CN103336425B (zh) * | 2013-07-04 | 2016-02-10 | 北京新航智科技有限公司 | 一种应用于工业自动化冗余模拟量输出设备的主动放弃式无扰切换方法 |
CN104714406B (zh) * | 2014-12-31 | 2017-06-09 | 重庆川仪自动化股份有限公司 | 输入输出模块冗余切换方法 |
FR3093829B1 (fr) * | 2019-03-12 | 2021-02-26 | Safran Aircraft Engines | Localisation de panne dans un système d’acquisition redondant |
US11656594B2 (en) | 2019-10-22 | 2023-05-23 | Fisher-Rosemount Systems, Inc. | Technologies for configuring voting blocks associated with a process control system |
Family Cites Families (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US3882456A (en) * | 1972-01-26 | 1975-05-06 | Nippon Electric Co | Fault-detecting system for a multi-channel relay system |
US3783250A (en) * | 1972-02-25 | 1974-01-01 | Nasa | Adaptive voting computer system |
US3805235A (en) * | 1972-12-26 | 1974-04-16 | Collins Radio Co | Equalization means for multi-channel redundant control system |
US4347563A (en) * | 1980-06-16 | 1982-08-31 | Forney Engineering Company | Industrial control system |
US4497059A (en) * | 1982-04-28 | 1985-01-29 | The Charles Stark Draper Laboratory, Inc. | Multi-channel redundant processing systems |
US4661310A (en) * | 1983-10-27 | 1987-04-28 | Westinghouse Electric Corp | Pulsed multichannel protection system with saturable core magnetic logic units |
EP0148297B1 (de) * | 1984-01-09 | 1993-12-15 | Hitachi, Ltd. | Synchrones dezentralisiertes Verarbeitungssystem |
US4658359A (en) * | 1984-12-31 | 1987-04-14 | The United States Of America As Represented By The Secretary Of The Navy | Method for managing redundant resources in a complex avionics communication system |
-
1986
- 1986-10-02 US US06/914,697 patent/US4774709A/en not_active Expired - Lifetime
-
1987
- 1987-10-01 JP JP62249049A patent/JPS6395545A/ja active Pending
- 1987-10-01 EP EP87630199A patent/EP0263773B1/de not_active Expired - Lifetime
- 1987-10-01 DE DE3751231T patent/DE3751231T2/de not_active Expired - Fee Related
Also Published As
Publication number | Publication date |
---|---|
EP0263773A2 (de) | 1988-04-13 |
EP0263773A3 (en) | 1990-03-28 |
DE3751231D1 (de) | 1995-05-18 |
JPS6395545A (ja) | 1988-04-26 |
US4774709A (en) | 1988-09-27 |
EP0263773B1 (de) | 1995-04-12 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
DE3751231T2 (de) | Symmetriebildung für redundante Kanäle. | |
DE69427875T2 (de) | Verfahren und vorrichtung zur inbetriebnahme eines datenbuswählers zur auswahl der steuersignale einer redundanten asynchronen digitalen prozessoreinheit aus einer vielzahl davon | |
DE3751230T2 (de) | Selbstgleichsetzung in redundanten Kanälen. | |
DE2908316C2 (de) | Modular aufgebaute Multiprozessor-Datenverarbeitungsanlage | |
DE69120168T2 (de) | System für das Überwachen und Steuern einer Anlage | |
DE69018286T2 (de) | Gerät für Verwaltung, Vergleich und Korrektur redundanter digitaler Daten. | |
DE2640756C2 (de) | Einrichtung zur gesicherten Datenübertragung bei spurgebundenen Fahrzeugen | |
DE2202231A1 (de) | Verarbeitungssystem mit verdreifachten systemeinheiten | |
DE2225841C3 (de) | Verfahren und Anordnung zur systematischen Fehlerprüfung eines monolithischen Halbleiterspeichers | |
DE69433468T2 (de) | Logischer Schaltkreis mit Fehlernachweisfunktion | |
EP0658257B1 (de) | Kommunikationskontrolleinheit und verfahren zur übermittlung von nachrichten | |
DE69223990T2 (de) | Auch gegen mehrfachfehler sicherer, fehlertoleranter taktgeber | |
EP2169882A1 (de) | Schiffsruder-Steuerung mit einem CAN-Bus | |
DE69317507T2 (de) | Fehlertolerantes Rechnersystem mit einem in jedem Prozessormodul vorgesehenen Fehlerdetektor | |
DE69625953T2 (de) | Methode und Vorrichtung zum Erreichen hoher Unversehrtheit und Verfügbarkeit in einem mehrkanaligen System | |
DE19811864B4 (de) | Redundante Steuervorrichtung und Fehlerbehebungsverfahren dafür | |
EP0325318B1 (de) | Vermittlungsanlage | |
EP1358554A1 (de) | Automatische inbetriebnahme eines clustersystems nach einem heilbaren fehler | |
DE3639609A1 (de) | Einrichtung zur ueberpruefung von datenuebertragungsfehlern, insbesondere bei elektronischen registrierkassen | |
EP3273352B1 (de) | Computerisiertes system | |
DE69635664T2 (de) | Redundanzstruktur in einer digitalen vermittlungsstelle | |
DE4233837A1 (de) | Rechenanlage | |
DE2647367B2 (de) | Redundante Prozeßsteueranordnung | |
EP3457232B1 (de) | Verfahren zum betrieb eines hochverfügbaren automatisierungssystems | |
EP2250560B1 (de) | Verfahren zur erhöhung der robustheit von computersystemen sowie computersystem |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
8364 | No opposition during term of opposition | ||
8339 | Ceased/non-payment of the annual fee |