DE3882537T2

DE3882537T2 - Verfahren und Vorrichtung für eine sichere und diagnostizierbare, Signalverwaschungen vermeidende Übertragung.

Info

Publication number: DE3882537T2
Application number: DE89903545T
Authority: DE
Inventors: Paul Gerhart
Original assignee: Honeywell Inc
Current assignee: Honeywell Inc
Priority date: 1987-11-17
Filing date: 1988-11-16
Publication date: 1993-12-16
Anticipated expiration: 2008-11-17
Also published as: WO1989005076A2; WO1989005076A3; AU3285789A; CA1331645C; EP0388441B1; SG111393G; ATE91833T1; AU617788B2; EP0388441A1; US4860280A; NO902115D0; NO902115L; JPH0646737B2; JPH03502035A; DE3882537D1

Description

Hintergrund der Erfindung

1. Gebiet der Erfindung

Die Erfindung bezieht sich generell auf Netzwerke, die Gruppen logischer Signale von entfernten Stationen empfangen und zu diesen senden und insbesondere auf eine Einrichtung zum Sichern der Genauigkeit der zwischen der lokalen und den entfernten Stationen übertragenen Information.

2. Beschreibung des Standes der Technik

Im Symposiumbericht des IEE International Symposium on Electromagnetic Compatibility, vom 15. bis 27.08.1987, Seiten 290 bis 296, in Atlanta, Georgia, beschreibt A. Partyka ein fehlertolerantes Bus-Transceiver-System mit Mitteln zum Vermeiden von Fremdsenderstörungen und Hochfrequenzstörungen. Das System weist eine Mehrschleifen-Struktur auf, in welcher jedes Element periodisch und automatisch geprüft wird und bei dem der Ausfall irgendeiner einzelnen Komponente nicht zu einer unkontrollierten Trägerübertragung führt. Das System ermöglicht die Isolation und die Meldung eines Einzelelementenfehlers, ehe ein fataler Vielfachfehler auftreten kann. Das System umfaßt Mittel und Verfahrensschritte, wie sie im Oberbegriff der unabhängigen Ansprüche beschrieben sind. Jedesmal, wenn der Mikroprozessor Daten absenden möchte, muß er bestimmte, relativ komplexe Operationen der Umschaltung der zwei oder mehr Eingangssignale einer Zeitfolgeschaltung durchführen, deren Ausgang nur in einem einzigen Zustand aktiv ist. In der einfachsten Ausführungsform kann die Zeitfolgeschaltung ein Zähler sein. Bei gescheiterem Betrieb kann der Prozessor veranlassen, daß die Zeitfolgeschaltung die Zustandszahl N-1 erreicht. Damit kann nur eine Änderung des Prozessorausgangs den Hochfrequenzschalter aktivieren, während der nächste ihn schon deaktivieren würde. Die Grundidee besteht darin, daß der Prozessor Zugriff zum Hochfrequenzschalter nur hat, wenn er intelligent genau entsprechend dem Programm arbeitet. Jegliche zufälligen Eingangssignale an der Zeitfolgeschaltung werden ignoriert. Ein zusätzlicher Sicherheitspegel kann dadurch hinzugefügt werden, daß man den Betrieb der Zeitfolgeschaltung mit dem Betrieb von zwei Zeitgebern koppelt, von denen der erste vom Ausgangssignal der Zeitfolgeschaltung aktiviert wird. Ist eine vorgegebene Zeitspanne verstrichen und ist der Ausgang der Zeitfolgeschaltung immer noch aktiv, so setzt dieser Zeitgeber die Zeitfolgeschaltung zurück. Somit wird der Hochfrequenzschalter auch dann abgeschaltet, wenn es der Prozessor nach Übertragung einer Nachricht unterläßt den Zustand der Zeitfolgeschaltung zu ändern. Sobald ein Fehlverhalten eines Prozessors entweder vom Aktivitätsdetektor des Prozessors oder vom erstgenannten Zeitgeber festgestellt wird, erfolgt eine Aktivierung des zweiten Zeitgebers, und die Stromversorgung wird mit Hilfe eines Versorgungsspannungsschalters für eine relativ lange Zeitdauer vom Verstärker abgeschaltet.
Bei der automatischen Regelung von Prozessen werden Prozeßregelnetzwerke dazu verwendet, um Zustandsinformationen durch wenigstens eine Zentralstation zu sammeln und Steuersignale an die mit dem Netzwerk verbundenen Geräte zu liefern. In Figur 1 ist ein Teil eines solchen Prozeßsteuernetzwerks wiedergegeben. Das Prozeßsteuernetzwerk umfaßt einen Systembus 5, der wenigstens eine hieran angeschlossene zentrale Steuereinheit 6 und wenigstens einen auch damit verbundenen Busschnittstellenmodul 9 aufweist. Die zentrale Steuereinheit 6 empfängt Signale vom Systembus 5, welche üblicherweise den Zustand von an das Prozeßsteuernetzwerk angeschlossenen Benutzergeräten meldet und Signale an das Netzwerk liefert, welche als Steuersignale den Betrieb der Benutzergeräte bestimmen. Die Busschnittstelleneinheit 9 gibt Zustandssignale auf den Systembus und empfängt Signale vom Systembus 5, welche sich auf eine Untergruppe von Netzwerkbenutzergeräten 10 beziehen, die mit der zentralen Steuereinheit 6 über die Busschnittstelleneinheit 9 kommuniziert. Auf Digitalsignale ansprechende Benutzergeräte 10, wie Motoren, Lampen und Heizer, empfangen Steuersignale über die Geräteschnittstelleneinheit 16 und den digitalen Ausgangsmodul 12 von der Busschnittstelleneinheit 9. Auf Analogsignale ansprechende Benutzergeräte 10, wie Steuerventile, empfangen mit Hilfe eines Ausgangs- Analogmoduls 14 und einer Geräteschnittstelleneinheit 18 Signale von der Busschnittstelleneinheit 9. Benutzergeräte 10, welche analoge Zustandsinformation liefern, beispielsweise Strömungsmesser, Pegeldetektoren, Druckmesser und dergleichen, liefern die Zustandssignale über den Schnittstellenmodul 19 und analoge Eingangsmodule 15 an die Busschnittstelleneinheit. Die Geräteschnittstelleneinheiten 16, 17, 18 und 19 wandeln die von den Benutzergeräten empfangenen und zu denen zu übertragenden Signale in ein für die digitalen Ausgangs - und Eingangsmodule bzw. die analogen Ausgangs- und Eingangsmodule geeignetes Format um. Die digitalen Eingangs- und Ausgangsmodule 13 und 12 sowie die analogen Eingangs- und Ausgangsmodule 15 und 14 koppeln die durch die Geräteschnittstelleneinheit transformierten Signale der Benutzergeräte mit Hilfe eines lokalen Busses 11 an die Busschnittstelleneinheit 9.
Im Zuge der Kommunikation zwischen der Busschnittstelleneinheit 9 und den digitalen und analogen Eingangs- und Ausgangsgeräten haben die Nachrichten üblicherweise eine Obergrenze für die Zeit, während der eine einzelne Nachricht aktiv sein kann (im bevorzugten Ausführungsbeispiel beträgt die Obergrenze 10 ms), jedoch kann dieses Intervall beliebig gewählt werden. Ein Fehler im Netzwerk kann zu einer unkontrollierten Kommunikation von Informationen führen, was üblicherweise als Informationsverwaschung oder Jabber bezeichnet wird, wobei sich die Nachricht über die 10ms-Grenze hinaus erstrecken kann. Da die Signalverwaschung Ergebnis eines Fehlers ist, muß ein solcher Zustand festgestellt und das Netzwerk repariert oder deaktiviert werden. Die Feststellung eines Verwaschungszustandes erfolgt üblicherweise durch einen Antijabber-Zeitgeber, der die Länge der Nachricht mißt. Jedoch kann die Antijabber- Schaltung selbst gestört sein und den Verwaschungszustand nicht bemerken. Darüber hinaus kann in Prozeßsteuernetzwerken bekannter Art ein Verwaschungszustand das Ergebnis des Ausfalls einer einzelnen Komponente sein. Es hat sich deshalb ein Bedarf für ein Gerät und ein Verfahren ergeben, welche die Betriebsweise des Antijabberzeitkreises ohne eine normale Kommunikationsoperation verifizieren können und zur Isolation eines Fehlers beitragen, der zu einem Verwaschungseffekt führen könnte. Dabei führt der Verwaschungseffekt zu einer Unterbrechung der Kommunikation im Netzwerk, welche über die unmittelbaren Folgen des Fehlers hinausgeht.
Es ist Aufgabe der vorliegenden Erfindung, ein verbessertes Prozeßsteuernetzwerk sowie ein verbessertes Verfahren zum Signalaustausch in einem Prozeßsteuernetzwerk vorzuschlagen, wobei der Ausfall einer einzelnen Komponente im zugeordneten Prozeßsteuerwerk nicht zu einem Verwaschungseffekt führt.
Diese Aufgaben werden durch die in den unabhängigen Ansprüchen beschriebene Erfindung gelöst.
Die Erfindung offenbart ferner ein Prozeßsteuernetzwerk mit einem Antijabber-Schaltkreis und der Fähigkeit, einen Antijabber-Schaltkreis zu prüfen. Bevorzugte Einzelheiten des neuen Verfahrens und Ausführungsbeispiele der neuen Einrichtung sind in den abhängigen Ansprüchen beschrieben.

Zusammenfassung der Erfindung

Die vorgenannten und weiteren Merkmale werden gemäß der Erfindung durch Verwendung einer Mikroprozessoreinheit erreicht, welche ein Zeitsignal an die Antijabber- Zeitgebereinheit liefert. Das Zeitsignal ist länger als die maximal zulässige Nachrichtendauer. Arbeitet der Antijabber-Schaltkreis ordnungsgemäß, so wird ein Fehlersignal an den Mikroprozessor übertragen. Im Falle einer Fehlfunktion des Antijabber-Schaltkreises stellt der Mikroprozessor fest, daß als Ergebnis des Zeitsignals kein Fehlersignal empfangen wurde, und geeignete Maßnahmen können ergriffen werden. Ein Signal wird dem ordnungsgemäß arbeitenden Antijabber-Schaltkreis zugeführt, um das Fehlersignal abzuschalten, und eine Einrichtung ist vorgesehen, welche sicherstellt, daß die Wegnahme des Fehlersignals die Netzwerkkommunikation nicht gefährdet. Der Antijabberschaltkreis wird auch für die Bereitstellung eines zweiten Aktivierungssignals für das Netzwerk benutzt, um die Möglichkeit zu verringern, daß ein Einzelkomponentenfehler zu einem Verwaschungszustand führt.
Diese und andere Merkmale der Erfindung werden beim Lesen der nachfolgenden Beschreibung zusammen mit den Zeichnungen offenkundig.

Kurze Beschreibung der Zeichnung

Figur 1 ist ein Blockschaltbild eines für die Nutzung der Erfindung geeigneten Prozeßsteuernetzwerks;
Figur 2 ist ein Blockschaltbild der wesentlichen Komponenten der Einrichtung zum Überprüfen der Antijabber-Zeitgebereinheit;
Figur 3 ist ein Zeitdiagramm, welches die Beziehungen zwischen den wesentlichen für die Überprüfung der Antijabber- Zeitgebereinheit benutzten Signale zeigt.

Beschreibung des bevorzugten Ausführungsbeispiels

1. Detailbeschreibung der Figuren

Figur 1 wurde im Hinblick auf den Stand der Technik bereits beschrieben.
Figur 2 zeigt die Einrichtung zum Überprüfen des Antijabber-Schaltkreises. Gruppen von Logiksignalen werden zwischen der Mikroprozessoreinheit 21 und den Sender/Empfängern 22 und 23 des Kommunikationssignals ausgetauscht, sobald die Sender/Empfänger 22 oder 23 des Kommunikationskanals aktiviert sind. Die Mikroprozessoreinheit 21 legt ein Entsperrungssignal an die Antijabber-Zeitgebereinheit 24 sowie an einen zweiten Eingang eines UND-Gatters 25 und gibt ein Anforderungssignal an die Antijabber-Zeitgebereinheit 24 sowie an den ersten Eingang eines UND-Gatters 27, einen ersten Eingang des UND-Gatters 26 und an einen ersten Anschluß eines UND-Gatters 25. Der Mikroprozessor empfängt ein Sperrsignal von der Antijabber- Zeitgebereinheit 24 sowie ein Rücksetzsignal vom Ausgang des UND-Gatters 25. Ein Ausgangsfenstersignal der Antijabberzeitgebereinheit 24 wird einem zweiten Eingang des UND-Gatters 27 sowie einem zweiten Eingang des UND- Gatters 26 zugeleitet. Das UND-Gatter 27 gibt ein Aktivierungssignal an den Kommunikationskanal- Sender/Empfänger 22, und das UND-Gatter 26 liefert ein Aktivierungssignal an den Kommunikationskanal- Sender/Empfänger 23. Die Kommunikationskanal- Sender/Empfänger 22 und 23 tauschen mit dem Rest des Prozeßsteuernetzwerks Signalgruppen aus.
In Figur 3 ist die Beziehung der wesentlichen Signale im bevorzugten Ausführungsbeispiel wiedergegeben. Ein Zeitgabe- oder Anforderungssignal wird von der Mikroprozessoreinheit 21 erzeugt und der Antijabber- Zeitgebereinheit 24 zugeleitet. Nach einer Zeitspanne, welche die für eine Nachricht maximal zulässige Dauer überschreitet, liefert die Antijabber-Zeitgebereinheit ein Sperrsignal, welches anzeigt, daß die Antijabber- Zeitgebereinheit eine Nachricht festgestellt hat, welche die maximal zulässige Länge überschreitet. Als Folge des dem Mikroprozessor zugeführten Sperrsignals gibt der Mikroprozessor ein Entsperrungssignal an die Antijabber- Zeitgebereinheit 24. Obwohl das ursprüngliche Anforderungssignal vor der Erzeugung des Entsperrungssignals deaktiviert wird, kann ein laufendes, zu einer aktuellen Nachrichtenübertragung gehöriges Anforderungssignal vorhanden sein. Die Kombination eines Anforderungssignals und eines Entsperrungssignals bewirkt die Rücksetzung des Mikroprozessors durch ein Rücksetzsignal unabhängig vom Zustand des Sperrsignals.

2. Arbeitsweise des bevorzugten Ausführungsbeispiels

Die vorliegende Erfindung nutzt die Verarbeitungsfähigkeit einer für die Übertragung von Nachrichten über ein Netzwerk verwendeten Mikroprozessoreinheit aus, um ein Zeitgebersignal zu erzeugen und festzustellen, ob als Ergebnis des Zeitgebersignals die Antijabber-Zeitgebereinheit ordnungsgemäß arbeitet. Da das Zeitgebersignal die maximal zulässige Nachrichtendauer überschreitet, spricht die Mikroprozessoreinheit auf eine Fehlfunktion der Antijabber-Zeitgebereinheit an, falls als Ergebnis des Zeitgebersignals kein Sperrsignal (Fehler) erzeugt wird. Wird von der Antijabber-Zeitgebereinheit ein Sperrsignal erzeugt, so antwortet der Mikroprozessor mit einem Entriegelungssignal an die Antijabber-Zeitgebereinheit, welches das Sperrsignal deaktiviert. Da das Zeitgebersignal entfernt wurde, kann ein Nachrichtenanforderungssignal an die Antijabber- Zeitgebereinheit gegeben werden. Um zu verhindern, daß das Sperrsignal den Betrieb der Nachrichtenübertragung beeinflußt, ergibt die gleichzeitige Anwesenheit eines Entsperrungssignals und eines Nachrichtenanforderungssignals ein Rücksetzen der Mikroprozessoreinheit, d.h. jegliche, in Arbeit befindliche Aktivität wird unterbrochen und neu gestartet.
Mit erneutem Bezug auf Figur 2 läßt sich ein wichtiges Merkmal der Erfindung darstellen. Das Aktivierungssignal für den Kommunikationskanal-Sender/Empfänger 22 vom UND- Gatter 27 sowie das Aktivierungssignal für den Kommunikationskanal-Sender/Empfänger 23 vom UND-Gatter 26 werden durch zwei Signale aktiviert, nämlich eines von der Mikroprozessoreinheit 21 und eines (dem Fenstersignal) von der Antijabber-Zeitgebereinheit. Ein Komponentenausfall, der normalerweise zu einem Verwaschungszustand führen würde, wird daran somit wegen der Anwesenheit der zweiten Aktivierungskomponente gehindert. Das Fenstersignal steht an, wenn das Sperrsignal nicht anwesend ist, ein Anforderungssignal vorhanden ist und das Anforderungssignal für eine Zeitspanne ansteht, die kürzer ist als die maximale Signalübertragungszeit.
Es ist deutlich, daß obwohl das bevorzugte Ausführungsbeispiel die Verarbeitungsfähigkeit einer Mikroprozessoreinheit anwendet, die gleiche Überprüfung der Antijabber-Zeitgebereinheit durch eine besondere Einrichtung durchgeführt werden kann.
Die vorangehende Beschreibung dient der Veranschaulichung der Betriebsweise des bevorzugten Ausführungsbeispiels und ist nicht als Einschränkung der Reichweite der Erfindung anzusehen. Der Umfang der Erfindung wird nur durch die nachfolgenden Ansprüche bestimmt.

Claims

1. Einrichtung zum Verhindern unkontrollierter Kommunikation in einem Kommunikationsnetzwerk (22, 23) mit

a) einer ersten Einheit (21) zum Erzeugen eines ersten Signals (ANFORDERUNG), welches normalerweise die Übertragung von Datensignalen im Netzwerk bezeichnet;

b) einer zweiten Einrichtung (24) mit einem an die erste Einheit angeschlossenen Zeitgeber zum Empfang des ersten Signals, welche auf das erste Signal anspricht und bei ordnungsgemäßem Betrieb ein zweites Signal (SPERRUNG) erzeugt, sobald das erste Signal eine vorgegebene Dauer überschreitet;

gekennzeichnet durch

c) Mittel zum Ankoppeln des zweiten Signals an die erste Einheit (21), um dieser mitzuteilen, daß das erste Signal die vorgegebene Zeitdauer überschreitet;

d) auf das zweite Signal ansprechende Mittel in der ersten Einheit (21), um ein drittes Signal (ENTSPERRUNG) zu erzeugen und der zweiten Einheit (24) zuzuführen; und

e) auf das dritte Signal ansprechende Mittel in der zweiten Einheit (24), um das zweite Signal (SPERRUNG) zu beenden.

2. Einrichtung nach Anspruch 1, gekennzeichnet durch

a) die Ausbildung der ersten Einheit (21) als Mikroprozessor und der zweiten Einheit (24) als Antiverwaschungs- Zeitgeber;

b) Mittel im Mikroprozessor (21) zur Erzeugung des ersten Signals auch während eines Testvorgangs;

c) auf das zweite Signal (SPERRUNG) ansprechende Mittel zum Verhindern der Übertragung von Datensignalen durch den Mikroprozessor (21) und zur Zufuhr des dritten Signals (ENTSPERRUNG) durch den Mikroprozessor an die Antiverwaschungs-Zeitgebereinheit (24), nachdem das erste Signal (ANFORDERUNG) während des Testvorgangs entfernt wurde, wobei das dritte Signal (ENTSPERRUNG) die Antiverwaschungs- Zeitgebereinheit (24) veranlaßt, das zweite Signal (SPERRUNG) zu beseitigen; und

d) Mittel innerhalb des Mikroprozessors (21) zum Verhindern der Übertragung von Datensignalen, wenn das zweite Signal (SPERRUNG) nicht während des Testvorgangs erzeugt wird.

3. Einrichtung nach Anspruch 2, gekennzeichnet durch

a) ein auf eine gleichzeitige Anwesenheit des dritten Signals (ENTSPERRUNG) und des ersten Signals (ANFORDERUNG) ansprechendes Logikgatter (25) zur Erzeugung eines vierten Signals (RÜCKSTELLUNG); und

b) Mittel zur Zufuhr des vierten Signals an den Mikroprozessor (21) sowie zum Anhalten des Betriebs des Mikroprozessors und zur Rücksetzung.

4. Einrichtung nach einem der vorangehenden Ansprüche, gekennzeichnet durch zwischen den ersten (21) und zweiten (24) Einheiten einerseits und dem Kommunikationsnetzwerk (22, 23) andererseits angeordnete Isolierschaltungen (26, 27) zur Verringerung der Auswirkung eines Einzelkomponentenfehlers auf die Übertragung von Datensignalen über das Kommunikationsnetzwerk, in dem für jeden von mehreren Übertragungskanälen (22, 23) mehrere Aktivierungssignale erzeugt werden.

5. Einrichtung nach Anspruch 4, dadurch gekennzeichnet, daß die Antiverwaschungs- Zeitgebereinheit (24) zwei Signaleinrichtungen zur Erzeugung eines fünften Signals (FENSTER) umfaßt, wenn das zweite Signal (SPERRUNG) nicht ansteht, und wobei das erste Signal (ANFORDERUNG) sowie das fünfte Signal (FENSTER) die Kommunikation vom Mikroprozessor (21) zum Kommunikationsnetzwerk (22, 23) aktivieren.

6. Einrichtung nach einem der vorangehenden Ansprüche, gekennzeichnet durch eine Testeinrichtung zum Verifizieren des Betriebs der Antiverwaschungs-Zeitgebereinheit (24), wobei die Testeinrichtung erste Mittel innerhalb des Mikroprozessors (21) zum Erzeugen des ersten Signals (ANFORDERUNG) für eine Zeitspanne länger als die vorgegebene Zeitspanne während des Testvorgangs umfaßt, und wobei die Antiverwaschungs- Zeitgebereinheit (24) das zweite Signal (SPERRUNG) nach Ablauf der vorgegebenen Zeitspanne liefert; und durch zweite Mittel im Mikroprozessor (21) zum Identifizieren einer Fehlfunktion der Antiverwaschungs-Zeitgebereinheit, falls das zweite Signal (SPERRUNG) nicht während des Testvorgangs erzeugt wird.

7. Verfahren zum Verhindern unkontrollierter Kommunikation über ein Kommunikationsnetzwerk mit den Schritten:

a) Erzeugen eines ersten Signals (ANFORDERUNG), sobald ein Mikroprozessor (21) Datensignale an das Kommunikationsnetzwerk (22, 23) überträgt;

b) Anlegen des ersten Signals (ANFORDERUNG) an eine Zeitgebereinheit; und

c) Erzeugen eines zweiten Signals (SPERRUNG) durch die Zeitgebereinheit (24), wenn das den Datensignalen zugeordnete erste Signal (ANFORDERUNG) eine vorgegebene Zeitspanne überdauert;

gekennzeichnet durch die weiteren Schritte:

d) Anlegen des zweiten Signals (SPERRUNG) an den Mikroprozessor, wobei das zweite Signal einen Verwaschungsvorgang anzeigt;

e) periodisches Erzeugen eines ersten Testsignals (ANFORDERUNG), welches die vorgegebene Zeitspanne übersteigt und welches der Zeitgebereinheit (24) zugeleitet wird;

f) Erzeugen eines dritten Signals (ENTSPERREN) durch den Mikroprozessor (21), sobald ein zweites Signal als Antwort auf das erste Testsignal empfangen wird, sowie Zufuhr des dritten Signals an die Zeitgebereinheit, wobei das zweite Signal in Beantwortung des dritten Signals beseitigt wird; und

g) Verhindern der Übertragung von Datensignalen durch den Mikroprozessor (21) an das Kommuikationsnetzwerk, wenn das zweite Signal (SPERRUNG) nicht in Beantwortung des ersten Testsignals (ANFORDERUNG) erzeugt wird.

8. Verfahren nach Anspruch 7, gekennzeichnet durch den weiteren Schritt einer Wiederaktivierung der Übertragung von Datensignalen durch den Mikroprozessor (21), wenn das erste Testsignal (ANFORDERUNG) und das dritte Signal (ENTSPERRUNG) gleichzeitig anstehen.

9. Verfahren nach Anspruch 7 oder 8, gekennzeichnet durch den weiteren Schritt der Erzeugung eines fünften Signals (FENSTER) durch die Zeitgebereinheit (24), sobald das zweite Signal (SPERRUNG) nicht vorhanden ist, und wobei das fünfte Signal (FENSTER) ein getrenntes Signal für die Aktivierung der Übertragung von Datensignalen an das Kommunikationsnetzwerk liefert.

10. Verfahren nach Anspruch 7, 8 oder 9, dadurch gekennzeichnet, daß das erste Signal (ANFORDERUNG) ein Aktivierungssignal für die Zulassung der Übertragung von Datensignalen an das Kommunikationsnetzwerk (22, 23) ist.