CIRCUIT ARRANGEMENT FOR THE VERIFICATION OF THE IN-SEQUENCE START-UP OF A DUAL-CHANNEL FAIL-SAFE MICROCOMPUTER SEQUENTIAL LOGIC SYSTEM, IN PARTICULAR FOR RAILWAY SECURITY EQUIPMENT

Abstract: 1. Circuit arrangement for testing the in-sequence start-up of a duel-channel fail-safe microcomputer sequential logic system, in particular for railway security equipment, having microcomputers which process the same information on two channels, the signals of which microcomputers are tested bit by bit in a plurality of comparators, no switch-off being triggered only in the event of complete, continuous correct sequencing of all bit pairs, and memories for test programmes being provided which are used at least during the time of the start-up of the microcomputer sequential logic system for test purposes, characterized in that after the start-up of the microcomputer sequential logic system at least the information provided by the one channel (MC2) for a comparator (VRn) is fed in a fixed predetermined number of successive processing steps per test programme, inverted by means of a controllable inverter (ER), and in that switching means (ZR) are provided which, at the beginning of the predetermined number of processing steps, activate the inverter (ER) and deactivate it again after the predetermined number of processing steps.

Description: Schaltungsanordnung zum Prüfen des ordnungsgerechten Anlaufens eines zweikanaligen Fail-Safe-Mikrocomputerschaltwerkes, insbesondere für Eisenbshnsicherungsan lagen Die Erfindung bezieht sich auf eine Schaltungsanordnung zum Prüfen des ordnungsgerechten Anlaufens eines zweikanaligen Fail-Safe-Mikrocomputerschaltwerkes, insbesondere für Eisenbahnsicherungsanlagen, mit in zwei Kanälen dieselben Informationen verarbeitenden Mikrocomputern, deren Signale Bit für Bit in einer Vielzahl von Vergleichern geprüft werden, wobei nur bei vollständiger, dauernder Ordnungsmässigkeit aller Bit-Paare kein Abschaltvorgang ausgelöst wird, und Speicher für Prüfprogramme vorgesehen sind, die mindestens im Zeitraum des'Anlau- fens des Mikrocomputerschaltwerkes zu Testzwecken eingesetzt sind. Bei technischen Prozessen mit Sicherheitsverantwortung, beispielsweise bei der Überwachung und Steuerung von Kernreaktoren oder bei Eisenbahnsicherungsanlagen, wird nach einem anerkannten sicherungstechnischen Prinzip gearbeitet, wodurch bei technischen Fehlern, mit denen beim Betrieb von nichtsicheren Datenverarbeitungsanlagen gerechnet werden muss, der zu steuernde Prozess in einen für den Menschen und für das Material unkritischen Zustand überführt wird. Dies kann dadurch erreicht werden, dass allen prozessaktivierenden Informationen spezielle Signale, z.B. hoher Signalpegel, Wechselsignale, zugeordnet werden, die bei einer erkannten technischen Störung der Datenverarbeitungsanlage auf allen Ausgabe kanälen in ein unkritisches Signal, z.B. null Volt, überführt werden. Ein Mikrocomputerschaltwerk der oben angegebenen Art, welches der erläuterten Sicherheitsphilosophie genügt, ist aus der Fachzeitschrift "Elektronische Rechenanlagen" 22. Jahrgang 1980, Heft 5, Seiten 229 bis 236 bekannt. Dieses bewährte Mikrocomputerschaltwerk ist aus zwei parallel dieselben Informationen verarbeitenden Mikrocomputern aufgebaut und wird so betrieben, dass nach einer festgestellten Ungleichheit beider Kanäle die Aktivitäten der Mikrocomputer unterdrückt werden. Dies kann entweder durch ein Zurückhalten der die beiden Mikroprozessoren treibenden Taktpulse oder durch unmittelbares Abschalten von Ausgangssignalumsetzern erfolgen. Das zweikanalige Fail-Safe-Mikrocomputerschaltwerk erfüllt in vorteilhafter Weise die Forderung nach einer kurzen Defekt-Offenbarungszeit zum einen dadurch, dass in dem Schaltwerk nach jedem einen Verarbeitungsschritt charakterisierenden Taktimpuls die Zustände beider Computerzweige miteinander verglichen werden, so dass der nächste Verarbeitungsschritt nur in Abhängigkeit vom positiven Gesamtergebnis dieses Vergleichsvorganges ausgelöst werden kann; zum anderen sind spezielle Prüfprogramme vorgesehen. Eingehende Uberlegungen haben jedoch im Ergebnis gezeigt, dass die gewünschte Fehleroffenbarung unter bestimmten Voraussetzungen in der Anlaufphase des zweikanaligen Mikrocomputerschaltwerkes u.U. nicht gewährleistet sein kann. Der Erfindung liegt somit die Aufgabe zugrunde, ein zweikanaliges Mikrocomputerschaltwerk der eingangs genannten Art durch eine Zusatz schaltung so weiterzubilden, dass im Falle des Anlaufens des Mikrocomputerschaltwerkes mit identisch falschen Daten und/oder Adressen auch dieser Fehler im Rahmen der gewünschten kurzen Defekt-Offenbarungszeit erkannt wird und zu einem Abschaltvorgang führt. Erfindungsgemäss wird die Aufgabe dadurch gelöst, dass nach dem Anlaufen des Mikrocomputerschaltwerkes mindestens die für einen Vergleicher von dem einen Kanal vorgesehene Information auf einer fest vorgegebenen Anzahl aufeinanderfolgender Verarbeitungsschritte per Prüfprogramm invertiert über einen steuerbaren Inverter zugeführt sind, und dass Schaltmittel vorgesehen sind, die zu Beginn der vorgegebenen Anzahl von Verarbeitungsschritten den Inverter wirksam schalten und nach der vorgegebenen Anzahl von Verarbeitungsschritten wieder unwirksam schalten. Hiermit ist es in vorteilhafter Weise möglich, den richtigen Anlauf des Mikrocgmputerschaltwerkes mit ordnungsgerechten Anfangsadressen für die beiden Mikroprozessoren sicherzustellen, wobei der Vergleich beispielsweise an mindestens einem Datenbitpaar der beiden Datenbusse erfolgen kann. Zu dem Zweck wird ein Datenbit der ersten verglichenen Daten z.B. im Speicher per Prüfprogramm eines Kanals invertiert, und zwar auf einer vorgegebenen Anzahl aufeinanderfolgender Verarbeitungsschritte. Da die Realisierung der zusätzlichen Hardware-Schaltung ebenfalls ausschliesslich mit handelsüblichen Bausteinen der Digitaltechnik erfolgen kann und die zusätzliche Schaltung besonders aufwandsarm ist, bereichert die er findungsgemässe Lösung das Mikrocomputerschaltwerk in besonders hohem Masse. Eine bevorzugte Ausbildung der erfindungsgemässen Schaltungsanordnung sieht vor, dass dem Vergleicher als steuerbarer Inverter ein Exclusiv-ODER-Glied zugeordnet ist, von dem ein Eingang mit dem Ausgang eines die vorgegebene Anzahl von Verarbeitungsschritten bestimmenden Zah- lers verbunden ist, der bei einem für mehrere Schaltungs- teile des Mikrocomputerschaltwerkes vor dem Anlaufen vorgesehenen Rücksetzsignal einschaltbar und durch die die Verarbeitungsschritte charakterisierenden Taktimpulse fortschaltbar ist. Ein Ausführungsbeispiel der Erfindung ist in der Zeichnung dargestellt und wird nachfolgend erläutert. Die Zeichnung zeigt im Blockschaltbild ein zweikanaliges Fail-Safe-Mikrocomputerschaltwerkmit zwei Mikrocomputern MCI und MC2. Dieses Mikrocomputerschaltwerk möge zur Steuerung des Betriebes bei Eisenbahnsicherungsanlagen eingesetzt werden. Symbolisch für eine Vielzahl von Eingängen ist ein Eingangssignalumsetzer EGR dargestellt, der ausgangsseitig mit beiden Mikrocomputern MCI und NC2 verbunden ist.Da es für die Erläuterung der erfindungsgemässen Zusatzschaltung unerheblich ist, in welcher Art die Mikrocomputer MCI, MC2 aufgebaut sind, ist im Hinblick auf eine bessere Übersichtlichkeit der Zeichnung auf die Darstellung näherer Einzelheiten verzichtet worden. Für eine Vielzahl von Ausgängen ist ein Ausgangssignalumsetzer AR dargestellt. Dieser hat die Aufgabe, eine bestimmte, vom Mikrocomputer MC1 ausgegebene Information über eine Leitung L1 an den zu steuernden Prozess weiterzugeben. Die Weitergabe darf nur dann erfolgen, wenn kein Abschaltsignal AL vorliegt. Dieses wird stets dann ausgelöst, wenn im RÅahmen von Prüfvorgängen, für die eine Vielzahl von Vergleichern VR1, VR2 usw. bis VRn vorgesehen ist, festgestellt wurde, dass ein Informationspaar, beispielsweise auf den Leitungen L2 und L3 nicht ordnungsgemäss ist. Je nach Vergleichertyp wird auf Äquivalenz oder aber auf Antivalenz geprüft. Zur Weiterleitung des Abschaltsignals AL sind die Aus- und Eingänge der Vergleicher VR1, VR2 usw. bis VRn in Reihe geschaltet. Das Abschaltsignal AL kann auch dazu verwendet werden, eine für die Mikrocomputer MC 1 und MC2 erforderliche Taktstromversorgungseinrichtung (nicht dargestellt) abzuschalten bzw. zusätzlich zum Unwirksamschalten des Ausgangsaignalumset- zers AR einen anderen weiteren Abschaltvorgang auslösen. Ein Rücksetzsignalgeber RR, der nach dem Schliessen eines Tastenkontaktes TT ein Rücksetzsignal RL auslöst, ist erforderlich zum Vorbereiten des ordnungsgerechten Anlaufens des zweikanaligen Mikrocomputerschaltwerkes. Zu dem Zweck wird das Rücksetzsignal RL mindestens den beiden Mikrocomputern MCI und MC2 zugeführt; unter Umständen ggf. auch den Vergleichern VRi, VR2 usw. bis VRn. Zum Prüfen des ordnungsgerechten Anlaufens des zweikanaligen Fail-Safe-Mikrocomputerschaltwerkes ist eine Leitung L4 des Mikrocomputers MC2 mittelbar über ein Exclusiv-ODER-Glied ER mit dem zugehörigen Vergleicher VRn verbunden. Das Exclusiv-ODER-Glied ER arbeitet als steuerbarer Inverter dahingehend, dass eine Invertierung einer über die Leitung L4 zugeführten Information nur auf einer fest vorgegebenen Anzahl von Verarbeitungsschritten des Mikrocomputerschaltwerkes erfolgt. Diese schaltungstechnische Massnahme könnte zusätzlich oder anstelle auch bei der Leitung L5 des Mikrocomputers MC2 vorgesehen werden oder aber im Zusammenhang mit einem der Ausgänge des Mikrocomputers MCI. Wesentlich ist, dass die erläuterte Invertierung für mindestens einen Vergleicher einseitig in nur einem Verarbeitungskanal erfolgt. Während das Exclusiv-ODER-Glied ER über seinen Eingang ER1 die zeitlich begrenzt invertierte Information erhält, ist der Eingang ER2 mit dem Ausgang A eines Zählers ZR verbunden. Ein Fortschalteingang m dieses Za¯h- lers ZR ist mit dem Mikrocomputer MC2 verbunden zwecks Zuführung von Taktimpulsen T, welche die einzelnen Verarbeitungsschritte des Mikrocomputerschaltwerkes charak terisieven. Ein Rücksetzeingang R des Zählers ZR ist schliesslich mit dem Ausgang des Rücksetzsignalgebers RR verbunden, so dass das Rücksetzsignal RL den Zähler ZR in eine definierte Grundstellung einstellen kann. Weiterhin weist der Zähler ZR einen Freigabeeingang F auf, der mit dem Ausgang A verbunden ist. In dieser Schaltung bewirkt der Zähler ZR beim Exclusiv-ODER-Glied ER, dass dieses zu Beginn einer fest vorgegebenen Anzahl von Verarbeitungsschritten während des Anlaufens des Mikrocom puterschaltwerkes als Inverter wirksam ist und nach der vorgegebenen Anzahl son Yerarbeitungsschritten für den weiteren Betrieb keine Invertierung der über den Eingang ER1 zugeführten Informationen vornimmt. In nicht weiter dargestellten Funktionsgruppen des Mikrocomputers MC2 gespeicherte Prtifprogramme bewirken nun für die Zeit des Anlaufens des Mikrocomputerschaltwerkes, dass die über die Leitung L4 ausgegebenen Informationen auf der genannten fest vorgegebenen Anzahl von Verarbeitungsschritten eine Invertierung vorgenommen wird, die jedoch durch den Betrieb des Exclusiv-ODER-Gliedes ER wieder aufgehoben wird. Somit macht sich die zeitweili ge wertmässige Änderung der Information in einem Kanal beim Vergleicher VRn nicht bemerkbar, solange nicht unzulässige Startbedingungen in beiden Mikrocomputern MC1 und MC2 vorliegen. Zu diesen unzulässigen Startbedingungen gehören unter anderem ein identisch fehlerhafter Verarbeitungsstart beider Mikrocomputer MC1 und MC2 in einem unzulässigen Programmteil. Wenn nun infolge einer Unregelmässigkeit beim Anlaufen des zweikanaligen Fail-Safe-Mikrocomputerschaltwerkes auf mindestens einem Verarbeitungsschritt die über die Leitung L4 ausgegebene Information durch den Mikrocomputer MC2 nicht invertiert wird, wird dies durch den auf Äquivalenz prüfenden Vergleicher VRn bemerkt, da die diesem zugeführte Information ja durch das Exclusiv ODER-Glied ER invertiert wird; die entsprechende Information des Mikrocomputers MCI jedoch nicht. Das Erkennen der aufgezeigten Diskrepanz führt unweigerlich zur Ausgabe des Abschaltsignals AL. Anstelle des Zählers ZR kann durchaus in vorteilhafter Weise auch ein analog arbeitendes Zeitglied eingesetzt werden, welches entsprechend der Dauer der fest vorgegebenen Anzahl aufeinanderfolgender Verarbeitungsschritte dimensioniert wird. 2 Patentansprüche 1 Figur

Claims: Patentanspriiche 1. Schaltungsanordnung zum Prüfen des ordnungsgerechten Anlaufens eines zweikanaligen Fail-Safe-Mikrocomputerschaltwerkes, insbesondere für Eisenbahnsicherungsanlagen, mit in zwei Kanälen dieselben Informationen verarbeitenden Mikrocomputern, deren Signale Bit für Bit in einer Vielzahl von Vergleichern geprüft werden, wobei nur bei vollständiger, dauernder Ordnungsmässigkeit aller Bit-Paare kein Abschaltvorgang ausgelöst wird, und Speicher für Prüfprogramme vorgesehen sind, die mindestens im Zeitraum des Anlaufens des Mikrocomputerschaltwerkes zu Testzwecken eingesetzt sind, d a d u r c h g e k e n n z e i c h n e t , dass nach dem Anlaufen des Mikrocomputerschaltwerkes mindestens die für einen Vergleicher (VRn) von dem einen Kanal (MC2) vorgesehene Information auf einer fest vorgegebenen Anzahl aufeinanderfolgender Verarbeitungsschritte per Prüfprogramm invertiert über einen steuerbaren Inverter (ER) zugeführt sind, und dass Schaltmittel (ZR) vorgesehen sind, die zu Beginn der vorgegebenen Anzahl von Verarbeitungsschritten den Inverter (ER) wirksam schalten und nach der vorgegebenen Anzahl von Verarbeitungsschritten wieder unwirksam schalten. 2. Schaltungsanordnung nach Anspruch 1, d a d u r c h g e k e n n z e i c h n e t , dass dem Vergleicher (VRn) als steuerbarer Inverter ein Exclusiv-ODER-Glied (ER) zugeordnet ist, von dem ein Eingang (ER2) mit dem Ausgang CA) eines die vorgegebene Anzahl von Verarbeitungsschritten bestimmenden Zählers (ZR) verbunden ist, der bei einem für mehrere Schaltungsteile des Mikrocomputerschaltwerkes vor dem Anlaufen vorgesehenen RUcksetzsi- gnal (RL) einschaltbar und durch die die Verarbeitungsschritte charakterisierenden Taktimpulse (T) fortschaltbar ist.

Inventors: GRONEMEYER, MICHAEL, DIPL.-ING., SCHARFENBERG, GEORG, DIPL.-ING.
Applicants: SIEMENS AKTIENGESELLSCHAFT
Application year: 1984
Main classification: G06F11
IPC codes: G06F11, B61L1