Brevet FR2126272A1 — publié le 19721006

La présente invention concerne une disposition de circuit pour la détection permanente des erreurs dans les systèmes de traitement de l'information, en particulier dans les systèmes de signalisation à commande par ordinateur utilisés dans les chemins de fer, dans laquelle on utilise 5 plusieurs systèmes identiques de traitement de données et dans laquelle les informations sont délivrées sous la forme de messages constitués par une partie information et une partie contrôle. Selon une méthode connue, on assure la commande des centraux de télécommunication en doublant les équipements à tous les étages de commande 10 et en connectant la sortie d'un équipement de chaque étage aux entrées des deux équipements de l'étage suivant. Là, à chaque entrée d'équipement, les deux informations fournies sont comparées. Lorsqu'une faute est détectée, seule l'information de l'équipement non défaillant de l'étage précédent est traitée dans les deux équipements d'un étage. Par ce moyen, l'effet de 15 la défaillance d'un équipement se limite à un seul étage, tandis que dans tous les autres étages la duplication des équipements et la possibilité de contrôle sont maintenues. Ce dispositif connu a néanmoins l'inconvénient de nécessiter de nombreux comparateurs. De plus ces comparateurs ne sont pas vérifiés. Dans certains cas, un tel dispositif n'apporte pas une sécurité 20 suffisante, par exemple, dans les systèmes de signalisation à commande par ordinateur utilisés dans les chemins de fer, lesquels exigent un niveau très élevé de sécurité. On connaît encore une disposition de circuit pour superviser deux équipements de transmission identiques dans les centraux de télécommunication 25 par multiplexage dans le temps, dans laquelle, après détection d'une faute, il se produit un transfert sur un équipement de secours, ledit équipement de secours étant tout d'abord lui-même vérifié avant d'être mis en service. Si l'équipement de secours est trouvé en dérangement, il s'effectue un autre transfert et l'équipement de transmission initialement utilisé est à nouveau 30 vérifié. Ainsi, cette disposition de circuit connue n'utilise qu'un seul équipement. L'objet de la présente invention est de réaliser la supervision permanente, en fonctionnement, de plusieurs calculateurs électroniques exploités en parallèle, et d'assurer la sécurité d'émission des messages. 35 L'invention utilise dans ce but trois calculateurs identiques présentant les caractéristiques suivantes : chaque calculateur a au moins le même nombre de sorties qu'il y a de voies de transmission ; les messages associés aux différentes voies de transmission sont délivrés en parallèle sur les sorties correspondantes des calculateurs, les différentes parties des 40 messages étant appliquées en série aux sorties, sous la forme de bits ; les 72 05889 2 2126272 messages sont identiques aux sorties correspondantes respectives des trois calculateurs. De plus, pour comparer les bits apparaissant aux sorties respectives des trois calculateurs, les sorties des calculateurs sont reliées à un système 5 de supervision et de sortie qui, par décision majoritaire, constate la défaillance d'un calculateur, l'émission d'un message s'effectuant dans chaque cas en connectant sélectivement et en fonction d'un ordre prédéterminé les sorties de seulement deux calculateurs aux voies de transmission, au moyen d'un générateur d'impulsions d'horloge associé en commun aux trois 10 calculateurs et au système de supervision et de sortie. Sous ce rapport, il est intéressant, pour la distribution des messages aux voies de transmission, que les sorties d'un seul calculateur sélectionné soient connectées aux voies de transmission pendant l'intervalle de temps où apparaissent les parties information en série aux sorties des 15 calculateurs, et que les sorties de 1'autre calculateur sélectionné soient connectées aux voies de transmission pendant l'intervalle de temps où apparaissent les parties contrôle en série aux sorties des calculateurs. Suivant une autre caractéristique de l'invention, un dispositif de connexion, trois dispositifs de comparaison et un dispositif de commande 20 constituent un système de supervision et de sortie, les sorties de chaque calculateur étant connectées, d'une part, aux entrées du dispositif de connexion et, d'autre part, à un groupe correspondant d'entrées dans deux dispositifs de comparaison, de façon que les bits respectivement associés à une voie de transmission et apparaissant simultanément sur les sorties 25 correspondantes des trois calculateurs puissent être comparés pour vérifier qu'ils sont identiques. Pour réaliser ce qui précède, les sorties des comparateurs sont connectées, chacune par l'intermédiaire d'un circuit, au dispositif de commande. Ainsi, par l'intermédiaire de circuits de commande associés à chaque 30 calculateur, les sorties des deux calculateurs sélectionnés sont connectées aux voies de transmission dans le dispositif de connexion, en fonction des signaux émis par les comparateurs. Dans le but de détecter à temps tout dérangement dans le système de supervision et de sortie, une autre caractéristique de l'invention réside 35 dans le fait que, pour le contrôle en fonctionnement du dispositif de comparaison et du dispositif de commande, des parties de message intentionnellement fausses sont transmises par les sorties des calculateurs à des intervalles de temps déterminés. Pour que la distribution des messages aux voies de transmission ne 40 soit pas entravée par le contrôle, une autre caractéristique de l'invention 72 05889 3 2126272 réside dans le fait que les bits intentionnellement faux fournis pour la vérification des comparateurs n'apparaissent sur les sorties correspondantes d'un calculateur que si ce dernier n'a pas été sélectionné par le dispositif de commande pour fournir ladite partie de message aux voies de transmission. 5 L'invention sera mieux comprise à la lecture de la description qui va suivre, donnée à titre d'exemple non limitatif, en se reportant aux figures annexées qui représentent : - la figure la, le schéma de la disposition de circuit conforme à l'invention ; 10 - la figure lb, la composition d'un message ; - la figure 2, le schéma de principe du système de supervision et de sortie conforme à l'invention. Les calculateurs RI, R2 et R3 représentés par la figure la fonctionnent en parallèle. Ils reçoivent les mêmes données d'entrée DE. 15 Etant donné qu'ils ont des programmes identiques,ils doivent aboutir aux mêmes résultats. Les sorties des calculateurs sont reliées à un système de supervision et de sortie UAV par l'intermédiaire duquel les voies de transmission Kl à Kn peuvent être sélectivement connectées aux sorties des calculateurs. Un générateur d'impulsions d'horlogerommun T permet aux trois 20 calculateurs de délivrer simultanément des données au système de supervision et de sortie UAV et met ce dernier en liaison avec lesvaies de transmission correspondantes. Chaque calculateur RI, R2 et R3 comporte au moins le même nombre de sorties RI/al à RI/an, R2/al â R2/an et R3/al à R3/an qu'il y a de voies 25 de transmission Kl à Kn. Les messages sont délivrés en parallèle sur toutes les sorties des calculateurs mais en série, c'est-à-dire bit par bit sur chaque sortie. La fréquence d'horloge commune permet aux trois calculateurs de délivrer simultanément des données, sous la forme de bits, au système de supervision et de sortie UAV. Ce dernier compare les informations de sortie 30 des trois calculateurs et, éventuellement, vérifie par décision majoritaire quel est le calculateur défectueux. Ce calculateur est alors déconnecté des voies de transmission Kl à Kn. Les décisions prises par le système de supervision et de sortie UAV sont envoyées aux calculateurs sur les circuits de supervision U1, U2 et 35 U3. Les messages identiques DT délivrés par les trois calculateurs sont constitués par la partie information "adresse AD+ instruction B" et par la partie contrôle R, comme indiqué sur la figure lb. On peut utiliser comme messages à adresser aux voies de transmission Kl à Kn, la partie information, telle que J/Rl, d'un calculateur, tel que RI, ainsi que la partie contrôle 40 R/R2 d'un autre calculateur, tel que R2. 72 05889 4 2126272 Le calculateur dont on prend la partie information des messages sera appelé dans ce qui suit "calculateur information", tandis que le calculateur dont on prend la partie contrôle du message sera appelé "calculateur redondant". Les fonctions "calculateur information" ou "calculateur 5 redondant" ne sont pas assignées en permanence aux calculateurs RI, R2, R3 ; elles sont déterminées par le système de supervision et de sortie UAV en fonction de l'ordre de succession sélectionné réel ou de l'état de dérangement de l'ensemble des trois calculateurs. La figure 2 représente un exemple de réalisation du système de 10 supervision et de sortie UAV de l'invention. Il comporte un dispositif de connexion AE, trois dispositifs de comparaison V12, V23 et V31 et un dispositif de commande St. Les trois dispositifs de comparaison comparent, bit par bit, les messages délivrés par les trois calculateurs RI, R2 et R3 sur leurs sorties respectives RI/al à RI/an, R2/al à R2/an et R3/al à R3/an. Le dispositif VI2 15 compare les bits des messages des calculateurs RI et R2, et le dispositif V23 compare les bits des messages des calculateurs R2 et R3, tandis que le dispositif V31 compare les bits des messages des calculateurs R3 et RI. Chaque comparaison est effectuée simultanément pour les bits apparaissant en série aux sorties des calculateurs à ce moment. Dans le cas d'un signal erroné 20 délivré à l'une des sorties d'un calculateur, du calculateur RI par exemple, deux dispositifs de comparaison, c'est-à-dire les dispositifs V12 et V31, indiquent une faute. Le dispositif de commande St détermine au moyen des signaux de comparaison transmis sur les circuits VI, V2 et V3 quel est le calculateur en défaut. Un calculateur est considéré en défaut lorsque le 25 rapport bits/erreurs de l'une de ses sorties excède une certaine limite, par exemple, quatre erreurs par message. Suivant les signaux des dispositifs de comparaison, le dispositif de commande St délivre à ses sorties des ordres de connexion pour deux calculateurs. Ensuite, si c'est le calculateur RI qui est défectueux, les sorties des calculateurs R2 et R3 sont connectées dans 30 le dispositif de connexion AE aux voies de transmission Kl à Kn, par "l'intermédiaire des circuits S2 à S3. La connexion du calculateur RI par l'intermédiaire du circuit SI n'est pas ordonnée. Les signaux de commande présents sur les circuits SI, S2 et S3 sont appliqués, par les circuits de supervision US1, US2 et US3, aux calculateurs associés RI, R2 et R3. De même, les signaux de 35 comparaison des dispositifs de comparaison V12, V23 et V31 sont appliqués aux calculateurs RI, R2 et R3 par l'intermédiaire des circuits correspondants UV1, UV2 et UV3. Le dispositif de connexion AE détermine la connexion des sorties des calculateurs marqués par le dispositif de commande St, des calculateurs RI et 40 R2 par exemple, aux voies de transmission Kl à Kn., assurant ainsi qu'aucun 72 05889 5 2126272 calculateur en défaut ne puisse se connecter aux voies de transmission. Pour superviser et vérifier les dispositifs de comparaison VI2, V23 et V31 ainsi que le dispositif de commande St, de fausses données sont intentionnellement envoyées sous la forme de bits par les calculateurs, à certains 5 intervalles de temps. Afin que les informations de sortie ne soient pas altérées, le calculateur information émet de faux bits de vérification et le calculateur redondant transmet de faux bits d'information. Les messages de deux calculateurs étant compilés, les faux bits intentionnellement envoyés ne peuvent parvenir sur les voies de transmission. 10 Lorsqu'un calculateur envoie de faux bits de vérification, il doit reconnaître d'après les signaux de comparaison arrivant sur les circuits UV1, UV2 ou UV3 que les deux dispositifs de comparaison qui lui sont associés indiquent une faute. Pour vérifier le dispositif de commande St, chaque calculateur envoie à intervalles réguliers un si grand nombre de faux bits, 15 par exemple cinq faux bits par message, qu'il doit être déconnecté des voies de sortie. Par les circuits de supervision US1, US2 et US3 de retour du dispositif de commande St, le calculateur effectuant la vérification peut s'assurer s'il a été déconnecté. Dans l'éventualité d'une défaillance dans les dispositifs de comparaison VI2, V23 et V31ou bien dans le dispositif 20 de commande St, tous associés au calculateur vérificateur, ce dernier déconnecte sa sortie. Le dispositif de connexion AE est conçu de telle sorte qu'une défaillance électrique interrompt toujours l'envoi de données vers les voies de transmission Kl à Kn. 25 La disposition de circuit de l'invention permet d'obtenir la sécurité de transmission des messages entre les sorties des calculateurs et les voies de transmission, et de détecter à temps toute défaillance dans les divers dispositifs. Les fautes survenant dans les calculateurs sont immédiatement 30 détectées par les dispositifs de comparaison et de commande. Les calculateurs détectent toute défaillance éventuelle dans les dispositifs de comparaison au cours des opérations de contrôle. Les fautes dans le dispositif de commande sont également détectées par les calculateurs au cours des opérations de contrôle. 35 Toute défaillance dans le dispositif de connexion, essentiellement fiable, empêche les messages d'être délivrés sur les voies de transmission et est immédiatement détectée. Il est bien évident que la description qui précède n'a été donnée qu'à titre d'exemple non limitatif et que de nombreuses variantes peuvent 40 être envisagées sans sortir pour autant du cadre de l'invention. 72 05889 6 2126272 REVENDICATIONS 1. Disposition de circuit pour la détection permanente des erreurs dans les systèmes de traitement de l'information, en particulier dans les systèmes de signalisation à commande par ordinateur utilisés dans les chemins de fer, dans laquelle on utilise plusieurs systèmes identiques de traitement 5 de données et dans laquelle les informations sont fournies sous la forme de messages constitués par une partie information et une partie contrôle, caractérisée par le fait qu'elle utilise trois calculateurs identiques qui présentent les caractéristiques suivantes : chaque calculateur comporte un nombre de sorties au moins égal au nombre de voies de transmission ; les 10 messages associés aux différentes voies de transmission sont délivrés en parallèle sur les sorties correspondantes des calculateurs, les parties des messages respectifs étant appliquées en série aux sorties sous la forme de bits ; les messages sont identiques aux sorties correspondantes des trois calculateurs et les sorties des calculateurs sont reliées à un système de 15 supervision et de sortie qui, par décision majoritaire, constate la défaillance d'un calculateur, l'émission d'un message s'effectuant dans chaque cas en connectant sélectivement et selon un ordre prédéterminé les sorties de seulement deux calculateurs aux voies de transmission, au moyen d'un générateur d'impu ..ions d'horloge associé en commun aux trois calculateurs 20 et au système de supervision et de sortie. 2. Disposition de circuit conforme à la première revendication, caractérisée par le fait que, pour délivrer les messages aux voies de transmission, les sorties d'un calculateur sélectionné sont connectées aux voies de transmission au cours de l'intervalle de temps pendant lequel les parties 25 information des messages apparaissent en série aux sorties des calculateurs, et par le fait que les sorties de l'autre calculateur sélectionné sont connectées aux voies de transmission au cours de l'intervalle de temps pendant lequel les parties contrôle des messages apparaissent ai série aux sorties des calculateurs. 30 3. Disposition de circuit conforme aux revendications 1 et 2, caractérisée par le fait qu'un dispositif de connexion, trois dispositifs de comparaison et un dispositif de commande constituent le système de supervision et de sortie, les sorties de chaque calculateur étant connectées, d'une part, aux entrées du dispositif de connexion et, d'autre part,à un groupe correspondant 35 d'entrées dans deux dispositifs de comparaison, de façon que les bits respectivement associés à une voie de transmission et apparaissant simultanément sur les sorties correspondantes des trois calculateurs puissent être comparés 72 05889 7 2126272 pour vérifier qu'ils sont identiques, et par le fait que les sorties des comparateurs sont connectées, chacune par un circuit, au dispositif de commande grâce auquel, au moyen de circuits de commande associés à chaque calculateur, les sorties des deux calculateurs sélectionnés sont connectées aux voies de 5 transmission dans le dispositif de connexion, en fonction des signaux émis par les comparateurs. 4. Disposition de circuit conforme à l'une quelconque des revendications 1 à 3, caractérisée par le fait que, pour contrôler en cours de fonctionnement le dispositif de comparaison et le dispositif de commande, des parties de 10 message intentionnellement fausses sont délivrées sous la forme de bits par les sorties des calculateurs à des intervalles de temps déterminés. 5. Disposition de circuit conforme à la revendication 4, caractérisée par le fait que les bits intentionnellement faux délivrés pour la vérification des comparateurs n'apparaissent sur les sorties correspondantes d'un 15 calculateur que si ce dernier n'a pas été sélectionné par le dispositif de commande pour délivrer ladite partie de message aux voies de transmission.