Brevet FR2627607A1 — publié le 19890825

UNITE CENTRALE D'ORDINATEUR DE COMMANDE L'invention est relative a une unité centrale d'un ordinateur de commande. Dans le domaine industriel, les ordinateurs (ou calculateurs ) sont souvent utilisés pour la commande et la gestion d'installations industrielles ou analogues. Ils ont alors le même rôle que les automates programmables. Un tel ordinateur comprend une unité centrale à processeur, notamment un microprocesseur, qui est en liaison avec les organes à contrôler et à commander par l'intermédiaire d'un bus Le plus souvent, l'unité centrale est dotée d'un circuit de surveillance appelé "chien de gardez qui délivre un signal d'alarme et/ou d'arrêt en cas d'incident du processeur. Ce circuit de surveillance comporte en général un monostable qui est réarmé en permanence par le processeur si ce dernier fonctionne correctement. Lors d'une défaillance, qui se traduit par un défaut de réarmement du monostable; la sortie de ce dernier change d'état, ce qui actionne une alarme Pour augmenter la fiabilité du fonctionnement d'un ordinateur, on a déjà proposé de doter un tel appareil de deux unités centrales identiques, dont une seule fonctionne en condition normale, alors que l'autre est mise en service quand la première présente un défaut de fonctionnement. L'inventeur a constaté qu'avec les calculateurs connus, en cas de mise en service de l'unité centrale de secours, le fonctionnement de ce calculateur reste malgré tout perturbé. L'invention remédie à cet inconvénient. Elle est caractérisée en ce que l'unité centrale est reliée au bus par l'intermédiaire de tampons dont chacun présente une entrée de commande d'inhibition reliée à la sortie qui, en cas d'incident du processeur, détectée par le circuit de surveillance, amène la sortie de chacun de ces tampons à un état de haute impédance. De cette manière, le processeur défectueux est complètement isolé du bus et les signsux qu'il engendre ne risquent donc pas de perturber le fonctionnement du calculateur alors que l'unité centrale de secours est mise en service. Cette mise en service de l'unité centrale de secours s'effectue grâce à une liaison du circuit de surveillance de l'unité centrale principale avec l'unité centrale de secours. Par ailleurs, on a constaté que dans les calculateurs connus (à une ou deux unités centrales) des incidents fugitifs pouvaient provoquer des déclenchements intempestifs du circuit de surveillance, ce qui est particulièrement gênant quand le calculateur ne comporte qu une seule unité centrale. Ainsi, selon un autre de ses aspects, l'invention concerne une unité centrale à circuit de surveillance qui est caractérisée en ce que ce circuit de surveillance comporte deux monostables montés de façon telle qu en cas de défaut le premier monostable déclenche, d'une part, un programme de contrôle dans le processeur et, d'autre part, le second monostable, un signal de défaut n'étant engendré que si, à l'issue de la période du second monostable, la sortie du premier monostable indique encore un défaut. Un tel circuit de surveillance augmente la durée qui sépare l'incident de l'arrêt de fonctionnement de l'unité centrale et met à profit cette augmentation de durée pour faire fonctionner un programme de contrôle qui peut remédier à l'incident perturbateur. D'autres caractéristiques et avantages de l'invention apparaîtront avec la description de certains de ses modes de réalisation, celle-ci étant effectuée en se référant aux dessins ci-annexés sur lesquels - la figure 1 est un schéma sous forme de blocs d'une unité centrale selon l'invention, - la figure 2 est un schéma d'un circuit de surveillance selon l'invention, et - les figures 3a à 3d sont des diagrammes expliquant le. fonctionnement du circuit de la figure 2. L'unité centrale comporte un microprocesseur 10, par exemple un microprocesseur à 16 bits, qui, de façon classique, est relié à un circuit d'horloge il et à un générateur 12 de signaux de commande. Le bus 13 de données sortant du microprocesseur 10 est relié à une ligne 14 par l'intermédiaire d'un tampon 15 dont la sortie -152, à laquelle est connectée la ligne 14, peut présenter trois états : les deux états binaires classiques et, en plus, un état à haute impédance Ce tampon est, par exemple, le circuit de référence 74 LS 645 de la Société TEXAS INSTRUMENTS. Le bus d'adresses 16 sortant du microprocesseur 10 est connecté à une autre ligne 17 par l'intermédiaire d'un mémorisateur 20 dont la sortie 171 peut, comme la sortie 152 du tampon 15, présenter trois états dont un état de haute impédance. Ce mémorisateur 20 est, par exemple, le circuit de type 74 LS 373 de la Société TEXAS INSTRUMENTS. La sortie 121 du générateur 12 est également connectée à une ligne 18 par l'intermédiaire d'un autre tampon 19 dont la sortie 192, comme les sorties 152 et 171, est susceptible d'occuper trois états dont un état de haute impédance. Le tampon 15, le mémorisateur 20 et le tampon 19 présentent chacun une entrée d'inhibition respectivement 151, 201 et 191. Les lignes 14, 17 et 18 sont connectées, de façon classique, à un bus auquel sont raccordées, notamment, les cartes d'entrée-sortie et de mémoire. Le bus d'adresses 16 est par ailleurs connecté à l'entrée 221 d'un circuit programmable 22 assurant le décodage des adresses d'éléments périphériques parmi lesquels un circuit 23 de gestion de huit niveaux d'interruption et un circuit 24 de surveillance. Le circuit de survefflance 24 est un circuit à un ou à deux monostables comme on le décrira plus loin en relation avec la figure 2. Ce circuit 24 comporte une sortie 241 qui est connectée, d'une part, aux entrées d'inhibition 151, 191, 201 des tampons 15 et 19 et du mémorisateur 20 et, d'autre part, à l'entrée du microprocesseur d'une unité centrale Identique (non représentée) qui est connecté su même. bus. Le microprocesseur 10 est programmé pour engendrer périodiquement les adresses des éléments périphériques 23, 24.... Quand le circuit 22 de décodage détecte l'adresse du circuit 24 il lui fournit, sur son entrée 242, une impulsion qui permet de maintenir le signal sur la sortie 241 à un état déterminé, par exemple ltétat haut. Ce signal représente le fonctionnement normal du microprocesseur 10: Un incident se traduira généralement par un défaut du programme générateur d'adresses. Dans ces conditions le monostable ne sera pas réarmé et le signal sur la sortie 24 tombera à l'état bas, ce qui déclenchera, d'une part, l'inhibition des tampons 15 et 19 et du mémorisateur 20 et, d'autre part, la mise en service de la seconde unité centrale. Ainsi les signaux perturbateurs que pourrait produire le microprocesseur 10 ne seront pas transmis vers le bus, les sorties 152, 17 sorties 152, 171 et 192 des tampons et du mémorisateur étant à haute impédance. Autrement dit le microprocesseur 10 en défaut se trouve isolé du bus. En même temps la seconde unité centrale, ou unité centrale de secours, est mise en service, ce qui permet un fonctionnement sans interruption du calculateur. Dans le mode de réalisation représenté sur la figure 2 le circuit de surveillance 24 comporte deux monostables 30 et 31 séparés par une bascule 32. L'entrée 242 est l'entrée A du monostable 30. La sortie Q de ce monostable 30 est reliée à l'entrée d'horloge H de la bascule 32. La sortie Q de cette bascule 32 est connectée å l'entrée B du second monostable 31. La sortie Q de la bascule 32 est aussi reliée, par l'intermédiaire d'un inverseur 34, à la première entrée d'une porte ET 33 dont la seconde entrée 332 est connectée à la sortie Q du monostable 31 La sortie de la porte ET 33 constitue la sortie 241 du circuit de surveillance 24. Le fonctionnement est le suivant En l'absence d'incident la sortie Q du premier monostable 30 est à l'état bas 40 (figure 3a). Les impulsions sur l'entrée 242 permettent de maintenir cette sortie Q à l'état bas. Dans ces conditions, la sortie Q de la bascule 32 est également à l'état bas (figure 3b) et, de même, la sortie Q du monostable 31 est à l'état bas. Le signal sur l'entrée 331 de la porte 33 est alors à l'état haut (figure 3d) du fait de la présence de l'inverseur 34. En cas d'incident, c'est-à-dlre si l'entrée 241 du premier monostable 30 ne reçoit pas d'impulsion de réenclenchement pendant la période de ce monostable, sa sortie Q passe à l'état haut 41 (figure 3a). Il en résulte que les sorties Q de la bascule 32 (figure 3b) et du second monostable 31 (figure 3c) passent à l'état haut et l'entrée de la porte 33 passe à l'état bas (figure 3d). A l'issue de sa période T (figure 3c) le second monostable 31 voit sa sortie Q passer à ltétat bas. Si, à ce moment, la sortie Q du premier monostable 30 est encore à l'état haut 41, l'entrée 331 de la porte ET 33 est encore à l'état bas (figure 3d), les deux entrées de cette porte ET sont alors au même niveau, ce qui entraîne un signal sur la sortie de cette porte. Ce signal de sortie constitue un signal de défaut qui commande l'isolement du microprocesseur 10 du bus et le fonctionnement de la seconde carte d'unité centrale. Avant l'écoulement de la période T du second monostable, les entrées de la porte ET 33 sont ê des niveaux différents. Il n'y a alors pas de signal de défaut sur la sortie 241. La sortie Q du monostable 30 est reliée, par une connexion 50 (figure 2), au microprocesseur 10 qui déclenche un programme de contrôle mettant en route des procédures, sous forme de logiciels, pouvant mettre fin. à l'incident. L'incident peut ainsi être réparé avant l'écoulement de la période T. Une telle situation a été représentée par les diagrammes en traits interrompus sur les figures 3a à 3d. On voit que, dans ce cas, la sortie Q du monostable 30 passe à l'état bas 42 (figure 3a) avant l'écoulement du temps T. Il en résulte que, de même, la sortie Q de la bascule 32 passe, au même moment, à l'état bas et l'entrée 331 de la porte ET passe aussi à cet Instant à l'état haut. Ainsi lorsque la sortie Q (figure 3c) du second monostable 31 repasse à l'état bas les deux entrées de la porte ET sont à des niveaux différents, ce qui empêche l'émission d'un signal de défaut sur #la sortie 241. Le circuit de surveillance à deux monostables qui est représenté sur la figure 2 peut être utilisé indépendamment de la disposition qui, en cas d'incident, consiste à isoler le microprocesseur du bus. REVENDICATIONS 1. Ordinateur comprenant une unité centrale à processeur (10) et un circuit de surveillance (24) qui émet un signal de défaut en cas de mauvais fonctionnement du processeur (10), l'unité centrale étant reliée à un bus, caractérisé en ce que qu'il comporte des moyens pour isoler, par établissement d'une haute impédance, le processeur (10) du bus quand le circuit de surveillance (24) émet un signal de défaut. 2. Ordinateur selon la revendication 1, caractérisé en ce que le processeur (10) est relié au bus par l'intermédiaire de circuits (15, 19, 20) tels que tampon(s) et/ou inémorisateur(s) dont chacun présente une entrée (151, 191, 201) d'inhibition commandée par le circuit de surveillance (24) de façon à présenter sur sa sortie une haute impédance en cas de défaut. 3. Ordinateur selon la revendication 1, caractérisé en ce qu'il comporte deux unités centrales identiques et en ce que le circuit de surveillance (24) de l'une commande la mise en fonctionnement de l'autre en cas de défaut. 4. Ordinateur selon l'une quelconque des revendications précédentes, caractérisé en ce que le circuit de surveillance (24) comporte deux monostables (30, 31), le premier monostable déclenchant, en cas de défaut, d'une part, un contrôle dans le processeur 10) et, d'autre part, le second monostable (31), un signal de défaut n'étant engendré par le circuit de surveillance que si, à l'issue de la période (T) du second monostable (31), la sortie du premier monostable indique encore un défaut. 5. Ordinateur selon la revendication 4, caractérisé en ce que la sortie (Q) du premier monostable (30) est reliée à l'entrée d'horloge (H) d'une bascule (32) dont la sortie (Q) est connectée à l'entrée (B) du second monostable (31), cette sortie de la bascule (32) étant reliée à la première entrée (331) d'une porte ET (33) par l'intermédiaire d'un inverseur (34), la seconde entrée (332) de cette porte ET (33) étant connectée å la sortie (Q) du second monostable (31). 6. Ordinateur selon l'une quelconque des revendications précédentes, caractérisé en ce que le circuit de surveillance (24) est connecté à la sortie d'adresses du processeur (10).