TWO-CHANNELS FAIL-SAFE MICROCOMPUTER SWITCHING NETWORK, IN PARTICULAR FOR RAILWAY SECURITY SYSTEMS

Abstract: 1. Two-channel fail-safe microcomputer switching network, in particular for railway security systems, having microcomputers (MC1, MC2) processing the same information in two channels, the data buses (DB1, DB2) of which microcomputers are connected via two coupling circuits (EV1, EV2) to each of two external data buses (DB10, DB20), to which input signal converters (E1, E2) and output signal converters (A1, A2) are connected which are selected with the aid of adresses given via an adress bus (ADB1, ADB2) of the associated microcomputer and can be activated by means of read or write signals (lOR1, lOR2, lOW1, lOW2) given via control lines (ST11, ST12, ST21, ST22) of the respective microcomputer, the two external data buses (DB10, DB20) being activated temporally staggered during the input phases in such a manner that the input signal converters (E1, E2) present in pairs on the two external data buses only become effective after one another with respect to the same information, characterized in that there is provided in each of the two channels between the control lines (ST11, ST12, or ST21, ST22) and the converters (E1, A1 or E2, A2) a control circuit (SG1, SG2), to which and to the respective coupling circuit (EV1 or EV2) in each case there are connected a first and a second address line (AL71, AL81 or AL72, AL82) of the associated address bus (ADB1 or ADB2), in conjunction with a channel-specific identifier ("L", "H), the control line (ST11 or ST21) carrying the read signal (lOR1 or lOR2) being additionally connected to the coupling circuit (EV1 or EV2) of the respective channel in such a manner that, per channel, the external data buses are switched off by the internal data buses (DB10/DB1 ; DB20/DB2) and the control circuit is switched off by the converters (SG1/E1, A1 ; SG2/A2) in the case of one value ("L") of the address bit (2**7) output via the first address line (AL71 or AL72), and in the case of the other value ("H") of this address bit (2**7), upon the presence of read signals (lOR1 or lOR2) by means or equivalence combination of the respective value ("L" or "H"), of the address bit (**8) of the second address line (AL81 or AL82) with the channel-specific identifier ("L" or "H"), an alternating data input takes place from one or the other external data bus (DB10 or DB20) to in each case both internal data buses (DB1, DB2).

Description: Zweikanaliges Fail-Safe-Mikrocomputerschaltwerk, insbesondere für Eisenbahnsicherungsanlagen Die Erfindung bezieht sich auf ein zweikanaliges Fail Safe-Mikrocomputerschaltwerk, insbesondere für Eisenbahnsicherungsanlagen, mit in zwei Kanälen dieselben Informationen verarbeitenden Mikrocomputern, deren Datenbusse über zwei Koppel schaltungen mit jedem zweier externer Datenbusse in Verbindung stehen, an die Eingangs- und Ausgangssignalumsetzer angeschlossen sind, die mit Hilfe von über einen Adressbus des zugeordneten Mikrocomputers gegebenen Adressen selektiert und durch über Steuerleitungen des betreffenden Mikrocomputers gegebene Schreibbzw.Lesesignale aktiviert werden können. Bei einer Anzahl von technischen Prozessen, beispielsweise bei der Überwachung von Kernreaktoren oder bei der Steuerung von Eisenbahnanlagen, wird nach einem anerkannten sicherungstechnischen Prinzip gearbeitet, wodurch bei technischen Fehlern, mit denen beim Betrieb von nicht eigensicheren Datenverarbeitungsanlagen gerechnet werden muss, der zu steuernde Prozess in einen für den Menschen und das Material unkritischen Zustand überführt wird. Dies kann dadurch erreicht werden, dass allen prozessaktivierenden Signalen ein hoher Signalpegel zugeordnet wird, der bei einer technischen Störung der Datenverarbeitungsanlage auf allen Ausgabekanälen abgeschaltet wird. Ein Mikrocomputersystemder eingangs genannten Art, welches der erläuterten Sicherheitsphilosophie genügt, ist beispielsweise in der Zeitschrift Elektronische Rechenanlagen" 22. Jahrgang 1980, Heft 5, Seite 229 bis 236 und auch in der Siemens-Druckschrift F500/137 beschrieben. Dieses bekannte Mikrocomputerschaltwerk ist aus zwei parallel dieselben Informationen verarbeitenden Mikrocomputern aufgebaut und wird so betrieben, dass nach einer festgestellten Ungleichheit beider Kanäle die Aktivitäten der Mikrocomputer direkt unterdrückt werden. Dies wird durch ein Zurückhalten der die beiden Mikroprozessoren treibenden Taktimpulse realisiert. Das zweikanalige Fail-Safe-Mikrocomputerschaltwerk erfüllt die Forderung nach einer kurzen Defekt-Offenbarungszeit zum einen dadurch, dass in ihm nach jedem Taktschritt die Zustände beider Computerzweige, also beider Kanäle, miteinander verglichen werden; zum anderen sorgen spezielle Prüfprogramme für eine kurze, vom Prozessdatenfluss unabhängige Defektoffenbarung. Dieses Mikrocomputerschaltwerk hat den Vorteil, dass es vollständig aus handelsüblichen Digitalbausteinen aufgebaut werden kann. Im Verhältnis zu bisherigen Rechnersystemen wird auch ein höheres Mass an Sicherheit erzielt, da die Zustandsgleichheit beider Einzelschaltwerke nach jedem Taktschritt geprüft wird. Für diese Prüfung wird im Gegensatz zu anderen Mehrrechnersystemen eine innere Computerschnittstelle verwendet. Auf ihr sind die Aktivitäten der Prozessoren und damit auch alle zum Prozess hin eingeleiteten Aktivitäten am frühesten erkennbar. Da der gesamte Datenfluss der beiden Mikrocomputer über diese Schnittstelle läuft, unterliegen auch alle von aussen zugeführten Informationen bereits vor ihrer Ablage in den Speichern jedes Mikrocomputers einem automatischen Vergleich. Voraussetzung ist natürlich eine taktsynchrone Dateneingabe in beide Mikrocomputer. Hierzu dienen die Koppel schaltungen des zweikanaligen Mikrocomputerschaltwerkes. Die taktsynchrone Verzweigung der einzugebenden Informationen auf beide interne Datenbusse erfolgt derart, dass beispielsweise zunächst eine Information vom externen ersten Datenbus über eine erste Koppelschaltung auf beide interne Datenbusse und dann dieselbe Information vom zweiten externen Datenbus über die zweite Koppelschaltung ebenfalls auf die beiden internen Datenbusse gegeben wird. Eine Aufteilung in einen internen und einen externen Datenbus je Kanal durch die jeweilige Koppelschaltung sowie die zeitlich gestaffelte Aktivierung der externen Datenbusse während der Eingabephasen, bei welchen die paarweise an den beiden externen Datenbussen vorhandenen Eingangssignalumsetzer bezüglich derselben Informationen nur nacheinander wirksam werden dürfen, erfordert bisher einen hohen Adressdecodieraufwand. Der Erfindung liegt somit die Aufgabe zugrunde, ein zweikanaliges Fail-Safe-Mikrocomputerschaltwerk der eingangs genannten Art so weiter zu bilden, dass eine steuerbare Trennung der internen von den externen Datenbussen mit Hilfe der Koppel schaltungen sowie eine zeitlich getrennte Belegung der externen Datenbusse während der Informa tionseingaben in das Mikrocomputerschaltwerk ermöglicht werden, und zwar ohne den bisherigen hohen Adressdecodieraufwand. Erfindungsgemäss wird die Aufgabe dadurch gelöst, dass in jedem der beiden Kanäle zwischen den Steuerleitungen und den Umsetzern eine Steuerschaltung vorgesehen ist, an die und die betreffende Koppelschaltung jeweils eine erste und eine zweite Adressleitung des zugeordneten Adressbusses angeschlossen sind in Verbindung mit einer kanalspezifischen Kennung, wobei die das Lesesignal führende Steuerleitung zusätzlich mit der Koppelschaltung des betreffenden Kanals verbunden ist, derart, dass je Kanal die externen von den internen Datenbussen und die Steuerschaltung von den Umsetzern bei dem einen Wert des über die erste Adressleitung ausgegebenen Adressbits abgeschaltet sind und bei dem anderen Wert dieses Adressbits beim Vorliegen von Lesesignalen durch gleichzeitige Verknüpfung mit dem jeweiligen Wert des Adressbits der zweiten Adressleitung und mit der kanalspezifischen Kennung eine abwechselnde Dateneingabe vom einen bzw. anderen externen Datenbus auf jeweils beide internen Datenbusse erfolgt. Das erfindungsgemässe Mikrocomputerschaltwerk bietet infolge der unterschiedlichen adressengesteuerten Betriebsweisen der externen Datenbusse jeweils in Abhängigkeit von der Informationsrichtung auch die Ausgabe von Informationen gleichzeitig über beide externe Datenbusse. So ist es beispielsweise möglich, an die externen Datenbusse Zähler anzuschliessen, die gleichzeitig programmgesteuert gestartet werden können. Ein Ausführungsbeispiel der Erfindung ist in der Zeichnung dargestellt und wird nachfolgend näher erläuert. Die Darstellung zeigt im Blockschaltbild ein zweikanaliges Fail-Safe-Mikrocomputerschaltwerk, dessen wesentliche Baugruppen zwei Mikrocomputer MCI und MC2 sind. Beiden gemeinsam zugeordnet ist eine Taktstromversorgung TG mit integriertem Abschaltteil, der mit einer Anzahl von Vergleichern, die lediglich durch ein Rechtecksymbol VG dargestellt sind, derart zusammenarbeitet, dass bei einer ausfallbedingten Fehlfunktion innerhalb des gesamten Mikrocomputerschaltwerkes die Taktstromversorgung abgeschaltet wird. Dies hat zur Folge, dass keine den Prozess aktivierende Signale abgegeben werden, so dass für den Menschen und das Material keine Gefährdung eintritt. Da beispielsweise Stellglieder über spezielle Wechselstromausgangssignalumsetzer (nicht dargestellt) angesteuert werden, unterbleibt im festgestellten Fehlerfall grundsätzlich deren Ansteuerung. So werden Fehlsteuerungen dieser Stellglieder sicher verhindert. In Verbindung mit jedem der Mikrocomputer MC1 bzw. MC2, die praktisch je für sich in Verbindung mit noch zu beschreibenden weiteren Baugruppen einen kompletten Verarbeitungskanal darstellen, sind ein Adressbus ADB1 bzw. ADB2, interne Datenbusse DB1 bzw. DB2 sowie je Kanal zwei Steuerleitungen ST11, ST12 und ST21, ST22 vorgesehen. Die internen Datenbusse DB1 und DB2, die Adressbusse ADB1 und ADB2 sowie die beiden Steuerleitungspaare ST11, ST12 und ST21, ST22 sind auf die Vergleicher VG geführt, derart, dass fortlaufend ein Vergleich sämtlicher Daten beider Verarbeitungskanäle möglich ist und im Fehlerfall der beschriebene Abschaltvorgang durch den Abschaltteil der Taktstromversorgung TG erfolgt. Zwischen den beiden internen Datenbussen DB1 und DB2 und zwei entsprechenden externen Datenbussen DB10 und DB20 sind zwei Koppel schaltungen EVI und EV2 vorgesehen. Die Koppelschaltung EV1 hat die Aufgabe, die zu bestimmten Zeiten auf dem externen Datenbus DB10 vorhandenen Informationen auf die beiden internen Datenbusse D31 und DB2 und damit in die Mikrocomputer MC1 und MC2 zu übertragen. Entsprechendes gilt sinngemäss für die Koppelschaltung EV2 zur anschliessenden Übertragung der gleichen Informationen, jedoch vom externen Datenbus DB20, ebenfalls über die beiden internen Datenbusse DB1 und DB2 in die Mikrocomputer MC1 und MC2. Die Informationsausgabe auf die beiden externen Datenbusse DB10 und DB20 erfolgt über die Koppel schaltungen EV1 und EV2 gleichzeitig. In einem anderen Betriebsfall sind die Koppel schaltungen EV1 und EV2 abgeschaltet, und zwar an den Ein- und Ausgängen hochohmig geschaltet, so dass eine exakte Trennung zwischen internen und externen Datenbussen DB1 und DB10 bzw. DB2 und DB20 gewährleistet ist. Zu Steuerzwecken ist die Koppelschaltung EV1 bzw. EV2 mit der Steuerleitung ST11 bzw. ST21 verbunden. Zu gegebener Zeit wird über die Steuerleitungen ST11 und ST21 gleichzeitig je ein Lesesignal IOR1 bzw. IOR2 geleitet. Weiterhin erhält jede der beiden Koppelschaltungen EV1 bzw. EV2 über eine Leitung L1 bzw. L2 ständig eine kanalspezifische Kennung, die beispielsweise im Falle der Leitung L1 aus tiefem Potential L und bei der Leitung L2 aus hohem Potential H bestehen kann. Ferner ist die Koppelschaltung EV1 bzw. EV2 mit zwei Adressleitungen AL71, AL81 bzw. AL72, AL82 des Adressbusses ADB1 bzw. ADB2 verbunden. Über die genannten Leitungen werden, ausgelöst# durch die Mikrocomputer MCI und MC2, der eine oder andere Wert der Adressbits 27 und 28 übertragen. Stellvertretend für eine Vielzahl von Eingangssignalumsetzern ist pro Kanal jeweils ein einziger dargestellt und mit EI bzw. E2 bezeichnet. Diese Eingangssignalumsetzer El und E2 sind jeweils mit dem zugehörigen Adressbus ADB1 bzw. ADB2 und dem externen Datenbus DB10 bzw. DB20 verbunden und können somit per Adresse angewählt werden. Die Adressleitungen AL71, AL81 bzw. AL72 und AL82 brauchen, da deren Informationen anderweitig zu Steuerzwecken verwendet sind, nicht unbedingt mit an die Eingangssignalumsetzer EI und E2 angeschlossen zu werden. Die beiden dargestellten Eingangssignalumsetzer EI und E2 sind dafür vorgesehen, die Lage zweier Kontakte Kl und K2 zu melden. Die gestrichelte Doppellinie S soll dabei andeuten, dass es sich beispielsweise um zwangsgeführte Kontakte K1, K2 eines einzigen Relais (nicht dargestellt) handelt. Zu Steuerzwecken erhalten die Eingangssignalumsetzer El und E2 schliesslich noch das bereits erwähnte Lesesignal IOR1 bzw. IOR2, das jeweils mittelbar über die Steuerleitung ST11' bzw. ST21' zugeführt wird. Zu Ausgabezwecken ist pro Kanal an den externen Datenbus DB10 bzw. DB20 je ein Ausgangssignalumsetzer A1 bzw. A2 angeschlossen, der bei einem entsprechenden Auswahlkriterium über den Adressbus ADB1 bzw. ADB2 und gleichzeitig vorhandenem, ebenfalls mittelbar über die Steuerleitung ST12' bzw. ST22' zugeführten Schreibsignal IOW1 bzw. IOW2 eine Lampe LEI bzw. LE2 anschaltet. Wie bei den Eingangssignalumsetzern El und E2 brauchen auch bei den Ausgangssignalumsetzern zwei Adressleitungen AL71,AL81 bzw. AL72, AL82 nicht mit den Ausgangssignalumsetzern verbunden zu werden, da die Informationen dieser Adressleitungen andere Aufgaben - wie nachfolgend noch näher erläutert wird - erfüllen. In der Praxis ist natürlich an jeden der externen Datenbusse DB10 bzw. DB20eine weitaus höhere Anzahl von Eingangs- und Ausgangasignalumsetzern angeschlossen. Für bestimmte Informationsausgaben ist es nicht unbedingt erforderlich, den dafür notwendigen Ausgangssignalumsetzer zweikanalig vorzusehen wie beim Ausführungsbeispiel. In dem Fall reicht auch ein einziger Ausgangssignalumsetzer, der entweder am externen Datenbus DB10 oder am anderen externen Detnbus DB20 angeschlossen ist. Wesentlich ist nun für das erfindungsgemässe Fail-Safe Mikrocomputerschaltwerk, dass die Steuerleitungen STl 1, ST12 bzw. ST21 und ST22 zum Übertragen des Lesesignals IOR1 bzw. IOR2 oder des Schreibsignals IOW1 bzw. IOW2 auf die an die externen Datenbusse DB10 und DB2O angeschlossenen Eingangs- und Ausgangssignalumsetzer über jeweils eine pro Kanal vorgesehene Steuerschaltung SGl bzw. SG2 geführt sind. Wie die Koppelschaltung EV1 bzw. EV2 ist die Steuerschaltung SG1 bzw. SG2 mit den Adressleitungen AL71 und AL81 bzw. AL72 und AL82 verbunden. Ausserdem erhält die Steuerschaltung SGl bzw. SG2 über die Leitung L10 bzw. L20 dieselbe kanalspezifische Kennung wie die Koppelschaltung EV1 bzw. EV2 über die Leitung L1 bzw. L2. Die Steuerschaltungen SOl und SG2 können jeweils aus zwei handelsüblichen Treiberbausteinen mit Tristateausgang aufgebaut sein, wobei diese beiden Treiberbausteine eingangsseitig mit den Steuerleitungen ST11 und ST12 bzw. ST21 und ST22 verbunden sind. Der eine Treiberbaustein zum Durchschalten des Schreibsignals IOW1 bzw. IOW2 wird steuerseitig mit der Adressleitung AL71 bzw. AL72 verbunden, derart, dass beim Vorhandensein des Wertes H des Adressbits 27 auf der Adressleitung AL71 bzw. AL72 die Steuerleitung ST12 bzw. ST22 durchgeschaltet ist. Durch diese Gestaltung der Steuerschaltungen SGI und SG2 wird erreicht, dass bei allen über den Adressbus ADB1 bzw. ADB2 übertragenen Adressen, in denen die Adressleitung AL71 bzw. AL72 hohen Signalpegel H führt, Ausgangssignalumsetzer, im Beispiel die Ausgangssignalumsetzer Al und A2, gleichzeitig per Adresse aktiviert werden können. Bei allen anderen Adressen, bei denen die Adressleitungen AL71 und AL72 tiefes Potential ¯L" führen, sind die Steuerschaltungen SG1 und SG2 gesperrt, so dass sich diese Adressen ausschliesslich auf eine "innere" Datenverarbeitung bei den beiden Mikrocomputern MC1 und MC2 und deren periphere Einrichtungen (nicht dargestellt) auswirken. Der zweite Treiberbaustein jeder Steuerschaltung SG1 bzw. SG2 zum Schalten des jeweils über die Steuerleitung STIl bzw. ST21 zugeführten Lesesignals IOR1 bzw. IOR2 erhält seine Steuerinformation über ein UND-Glied, an welches einerseits die bei Steuerschaltung SG1 die Adressleitung AL71 und in der anderen Steuerschaltung SG2 die Adressleitung AL72 angeschlossen ist. Die Adressleitung AL81 bzw. AL82 wird zusammen mit der Leitung L10 bzw. L20 an ein Äquivalenzglied angeschlossen, das ausgangsseitig mit dem jeweiligen UND-Glied verbunden ist. Durch eine derartige Verknüpfung in der Steuerschaltung SGl bzw. SG2 wird hinsichtlich des Durchschaltens der angeschlossenen Steuerleitung STIl bzw. ST21 bezüglich des Lesesignals IOR1 bzw. IOR2 erreicht, dass unter der Voraussetzung von hohem Potential ¯H" auf der Adressleitung AL71 bzw. AL72 das Lesesignal IOR1 oder das Lesesignal IOR2 in Abhängigkeit vom Wert L oder "H" des Adressbits 28 auf der Leitung AL81 bzw. AL82 für den Eingangssignalumsetzer El oder den Eingangssignalumsetzer E2 zur Verfügung steht. Die beiden Werte "L" und "H" des Adressbits 28 erscheinen für die Informationseingabe abwechselnd nacheinander auf den Adressleitungen AL81 und AL82. Da die Koppelschaltung EV1 bzw. EV2 ebenfalls mit den Adressleitungen AL71, AL81 bzw. AL72 und AL82 verbunden sind und jeweils über die Steuerleitung ST11 bzw. ST21 das Lesesignal IOR1 bzw. IOR2 unmittelbar erhalten, wird durch eine entsprechende Verknüpfung dieser Grössen bezüglich der angeschlossenen Datenbusse erreicht, dass beim Wert "H" des Adressbits 27 auf der Adressleitung AL7' bzw. AL72 und vorhandenem Lesesignal IOR1 bzw. IOR2 auf der Steuerleitung ST11 bzw. ST21 beim einen Wert "L" bzw. H des auf der Adressleitung AL81 bzw. auf der anderen Adressleitung AL82 vorhandenen Adressbits 28 eine Eingabe vom externen Datenbus DB10 über die Koppelschaltung EV1 auf die internen Datenbusse DB1 und DB2 und nachfolgend beim anderen Wert "H" bzw. "L" des auf der Adressleitung AL81 bzw. AL82 vorhandenen Adressbits 28 eine Eingabe vom externen Datenbus DB20 über die Koppelschaltung EV2 auf die beiden internen Datenbusse DB1 und DB2 erfolgt. Die Koppelschaltungen EV1 und EV2 können ebenfalls Treiberbausteine mit Tristateausgang enthalten, die jeweils beim Wert L des Adressbits 27 auf der Adressleitung AL71 bzw. AL72 hochohmig sind. Die Ansteuerung der Treiberbausteine in den Eingabeverdopplern EV1 und EV2 erfolgt zur Datenausgabe so, dass beim Wert "H" des Adressbits 27 auf den Adressleitungen AL71 und AL72 und fehlenden Lesesignalen - jedoch vorhandenen Schreibsignalen IOW1, IOW2 auf den Steuerleitungen So12', ST22' - der interne Datenbus DBI bzw. DB2 mit dem externen Datenbus DB10 bzw. DB20 verbunden ist. Diese logische Verknüpfung erfolgt ebenfalls über handelsübliche Schaltglieder der Digitaltechnik. 1 Figur 1 Patentanspruch

Claims: Patentanspruch Zweikanaliges Fail-Safe-Mikrocomputerschaltwerk, insbesondere für Eisenbahnsicherungsanlagen, mit in zwei Kanälen dieselben Informationen verarbeitenden Mikrocomputern, deren Datenbusse über zwei Koppelschaltungen mit jedem zweier externer Datenbusse in Verbindung stehen, an die Eingangs- und Ausgangssignalumsetzer angeschlossen sind, die mit Hilfe von über einen Adressbus des zugeordneten Mikrocomputers gegebenen Adressen selektiert und durch über Steuerleitungen des betreffenden Mikrocomputers gegebene Schreib- bzw. Lese signale aktiviert werden können, d a d u r c h g e k e n n z e i c h n e t, dass in jedem der beiden Kanäle zwischen den Steuerleitungen (ST11, ST12 bzw. ST21, ST22) und den Umsetzern (El, Al bzw. E2, A2) eine Steuerschaltung (SGl, SG2) vorgesehen ist, an die und die betreffende Koppelschaltung (EV1 bzw. EV2) jeweils eine erste und eine zweite Adressleitung (AL71, AL81 bzw. AL72, AL82) des zugeordneten Adressbusses (ADB1 bzw. ADB2) angeschlossen sind, in Verbindung mit einer kanal spezifischen Kennung, (¯L", "H") wobei die das Lesesignal (IOR1 bzw. IOR2) führende Steuerleitung (STIl bzw. ST21) zusätzlich mit der Koppelschaltung (EV1 bzw. EV2) des betrefenden Kanals verbunden ist, derart, dass je Kanal die externen von den internen Datenbussen (DB10/DB1; DB20/ DB2) und die Steuerschaltung von den Umsetzern (SG1/E1, Al; SG2/E2, A2) bei dem einen Wert ("in) des über die erste Adressleitung (AL71 bzw. AL72) ausgegebenen Adressbits (27) abgeschaltet sind und bei dem anderen Wert ("H") dieses Adressbits (27) beim Vorliegen von Lesesignalen (IOR1 bzw. IOR2) durch gleichzeitige Verknüpfung mit dem jeweiligen Wert (¯L", ¯H") des Adressbits (28) der zweiten Adressleitung (AL81 bzw. AL82) und mit der kanalspezifischen Kennung ("L" bzw. ¯H") eine abwechselnde Dateneingabe vom einen bzw. anderen externen Datenbus (DB10 bzw. DB20) auf jeweils beide internen Datenbusse (DB1, DB2) erfolgt.

Inventors: STRELOW, HORST, DIPL.-ING., ZELLER, CHRISTOPH, ING.GRAD.
Applicants: SIEMENS AKTIENGESELLSCHAFT BERLIN UND MUNCHEN
Application year: 1983
Main classification: G06F11
IPC codes: G06F11