DE3502387A1 - Verfahren zur ueberwachung von mikroprozessorsystemen und speicherprogrammierbaren steuerungen - Google Patents

Description

• Verfahren zur Überwachung von speicherprogrammierbaren
• Steuerungen Die Erfindung bezieht sich auf ein Verfahren zur Überwachung von Mikroprozessorsystemen und speicherprogrammierbaren Steuerungen.
• Derartige Systeme bestehen aus einer oder mehreren Zentraleinheiten, die nach Vorschrift des Betriebs- oder Anwenderprogramms über ein Bussystem Komponenten ansteuern.
• Für den richtigen Ablauf eines programmierten Prozesses ist die einwandfreie Funktionsweise jeder Zentraleinheit eine notwendige Voraussetzung. Fehlerhafte Funktionen oder Zustände können, je nach Anwendung, zu gefahrvollen Situationen an dem zu steuernden Gerät für Mensch und Maschine führen. Derartige Fehlfunktionen müssen deshalb erkannt werden und zu einer sicheren Haltestellung des Gesamtsystems führen oder den Prozess durch eine weitere Einheit fortführen lassen.
• Zur Erfüllung dieser Sicherheitsanforderungen sind bereits Systeme bekannt, die mit zwei oder r .. genau parallel geschalteten Schreib-Lese-Speichern ausgestattet sind, so daß alle Daten, die in den ersten Speicher geschrieben werden, auch in den folgenden Speichern enthalten sind. Beim Lesen werden die Daten der zusätzlichen Speicher auf einen Vergleicher geschaltet, der die gelesenen Daten mit denen des ersten Speichers vergleicht und bei Ungleichheiten eine Fehlermeldung gibt. Damit auch bei gleichartiger Verfälschung der Daten in den Speichern ein Fehler erkannt wird, sind die Daten in den zusätzlichen Speichern invertiert abgelegt und werden auch beim Lesen wieder invertiert. Daher werden bei derartigen Sicherheitssystemen sowohl der Schaltungsaufbau als auch die Programmgestaltung sehr aufwendig.
• Der Erfindung liegt die Aufgabe zugrunde, mit relativ geringem Hardwareaufwand ein Verfahren zur Überwachung von Mikroprozessorsystemen und speicherprogrammierbaren Steuerungen zu schaffen, mit dem man in der Lage ist, fehlerhafte Programmsprünge oder fehlerhafte Verzweigungen, Adressierungen falscher Bereiche, fehlerhafte Busaktivitäten und Aussetzer der Zentraleinheit zu erkennen.
• Diese Aufgabe wird erfindungsgemäß durch die kennzeichnenden Merkmale des Anspruchs 1 gelöst, während in den Ansprüchen 2 bis 6 besonders vorteilhafte Weiterbildungen des Verfahrens gekennzeichnet sind.
• Damit systematische Fehler ausgeschaltet werden, ist der Schaltungsaufbau der zur Realisierung des Verfahrens verwendeten Kontrolleinheit unterschiedlich zur zu überprüfenden Zentraleinheit. Ebenso ist das Prüfprogramm unterschiedlich zum Betriebs- oder Anwenderprogramm aufgebaut, damit gleichartige Fehler im Prüfprogramm und im Betriebs- oder Anwenderprogramm sofort erkannt werden. Auf diese Weise prüft die Kontrolleinheit den richtigen Ablauf der Zentraleinheit, während umgekehrt die Zentraleinheit die laufende Aktivität der Kontrolleinheit testet, so daß jeder Fehler oder Ausfall einer Einheit sicher erkannt wird. Das Aussetzen führt durch die interne Sicherung mittels einer Uhr ebenfalls zu einer Fehlermeldung.
• Anhand der Zeichnungen sei das Verfahren und eine mögliche Ausführungsform der Kontrolleinheit näher erläutert.
• Es zeigen: Fig. 1 ein Beispiel für den Programmablauf der Zentraleinheit Fig. 2 den Informationsaufbau in einer Kontrolleinheit für den Programmablauf nach Fig. 1 Fig. 3 die Struktur einer Kontrolleinheit zur Realisierung des Verfahrens.
• In Fig. 1 ist das Beispiel eines Programmablaufs der Zentraleinheit dargestellt. Das Programm ist in einzelne Programmpfade aufgeteilt, die in einer bestimmten Reihenfolge durchlaufen werden. In dem Programm sind die Kontrollpunkte 0.0 bis 8.0 in einem bestimmten Schema, das vom Anwenderprogramm und dessen Sicherheitsanforderungen bestimmt wird, angeordnet. Die Kontrollpunkte und die Kontrollpunktsituationen sind durch das Koordinatensystem genau zu definieren. Eine andere Kennung beispielsweise durch laufende Numerierung ist ebenso möglich.
• Das erfindungsgemäße Verfahren besteht nun darin, daß eine Kontrolleinheit das richtige Überlaufen der Kontrollpunkte in der vorgegebenen Zeit (oder der Maximalzeit) kontrolliert und mit einem gespeicherten Abbild vergleicht. Dafür erhält sie für jeden Kontrollpunkt die folgenden Informationen: a) Kennung aller Kontrollpunkte, die auf den aktuellen Kontrollpunkt folgen können; b) die maximale Zeit, die bis zum Erreichen des nächsten Kontrollpunktes verstreichen darf.
• Die Zentraleinheit gibt beim Überlaufen eines Kontrollpunktes dessen Kennung an die Kontrolleinheit weiter Diese vergleicht die gemeldete aktuelle Kennung mit den (unter der letzten Kennung abgespeicherten) erlaubten Kennungen entsprechend dem Informationsaufbau, wie er in Fig. 2 dargestellt ist. Als Beispiel seien hier die auf die Aktualkennung 0.0 folgenden Kontrollpunkte 2.0, 2.5, 2.10 herausgegriffen. Liegt nach 0.0 im Programmpfad als nächster Punkt 2.0 fest, so muß dieser Punkt in der Zeit t2#0 erreicht sein; bei 2.5 ist die Zeit t 2.5 und bei 2.10 gehört zur Information die Zeit t2 10 Für die Zeitüberwachung enthält die Kontrolleinheit eine Uhr, die mit dem Erreichen eines Kontrollpunktes jeweils neu geladen wird.
• Die Kontrolleinheit erkennt einen Fehlerfall, wenn: a. die gemeldete Kennung (hier die Koordinaten des Kontrollpunktes) nicht unter den abgespeicherten erlaubten Kennungen zu finden ist, und b. wenn die unter der letzten Kennung gespeicherte Zeit abgelaufen ist, ohne daß sich die im korrekten Ablauf folgende Kennung gemeldet hat.
• Zur gegenseitigen Überprüfung sowohl der Zentraleinheit als auch der Kontrolleinheit kann beim Erreichen jeder Position von den betroffenen Einheiten eine Quersummenrechnung oder eine andere fehlersignifikante Berechnung durchgeführt und verglichen werden. Hierdurch kann die Zentraleinheit des Mikroprozessorsystems oder der speicherprogrammierbaren Steuerung immer wieder die korrekte Arbeitsweise der Kontrolleinheit überprüfen.
• Fig. 3 zeigt ein Blockschaltbild eines möglichen Aufbaus einer Kontrolleinheit zur Durchführung des erfindungsgemäßen Verfahrens.
• Die Kontrolleinheit 1 besteht aus dem Koordinatenspeicher, einem speziellen Halbleiterspeicher, der unter den Adressen die jeweils möglichen Folgepositionen enthält. Dieser Speicher wird vor dem Programmablauf geladen. Die Informationen vom Systembus erhält der Koordinatenspeicher über den Zwischenspeicher, der auch gleichzeitig die erforderlichen Informationen vom Systembus an den Kontrollprozessor liefert. Dieser hat die Aufgabe, das eigentliche Kontrollprogramm abzuarbeiten.
• Bei Feststellung eines Fehlers im Programmablauf und Vergleich mit den Kontrollpunkten erfolgt vom Kontrollprozessor eine Fehlersteuerung über den Systembus an die ZentraleinheitZ.Diese Fehlersteuerung kann aus einer Mitteilung des Fehlers bestehen.
• Sie kann aber auch je nach Art des Fehlers eine Diagnose enthalten. Der Kontrollprozessor gibt noch ein zweites Fehlersignal, das beispeilsweise auf ein zweites System umschaltet, wenn das kontrollierte System ausfällt.
• Zur Überwachung des zeitlichen Ablaufs ist eine unabhängige Uhr vorgesehen. In der Kontrolleinheit 1 ist noch ein Datenseparator, der eine Schalterfunktion ausübt, zwischen Koordinatenspeicher und Systembus angeordnet. Dieser Datenseparator regelt die Abfrage der Kontrollpunkte.
• Damit die Kontrolleinheit von der Stromversorgung des Systems unabhängig ist, erfolgt eine separate Stromversorgung, die auch bei Spannungsausfall eine ausreichend lange Pufferung erlaubt.
• Die vorliegene Erfindung ist durch die voranstehende Beschreibung des Anwendungsbeispiels keinesfalls auf den dargestellten Schaltungsaufbau der Kontrolleinheit beschränkt. Sie läßt sich auch durch weitere im Rahmen der Erfindung liegende Abwandlungen realisieren.
• - Leerseite -

Claims (6)

1. Patentansprüche 1. Verfahren zur Überwachung von Mikroprozessorsystemen und speicherprogrammierbaren Steuerungen, dadurch gekennzeichnet, daß mittels einer Kontrolleinheit (1), die direkt an dem Systembus des Mikroprozessorsystems (20) oder der speicherprogrammierbaren Steuerung ange-# schlossen ist, der richtige Ablauf der Zentraleinheit oder mehrerer Zentraleinheiten kontrolliert wird, indem in dem sicherheitsrelevanten Bereich der durchlaufenen Programmpfade eingebrachte, vernetzte Kontrollpunkte mit einem gespeicherten Abbild verglichen werden und bei Abweichungen der aktuellen Position und der Zeit von der gespeicherten Soll-Position und Soll-Zeit Fehlersignal gegeben wird.
2. 2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Kontrolleinheit (1) hardwaremäßig unterschiedlich zur Zentraleinheit aufgebaut ist.
3. 3. Verfahren nach den Ansprüchen 1 und 2, dadurch * k. zeichnet, daß die Kontrolleinheit (1) mit einem zum Programm der Zentraleinheit unterschiedlichen Programm arbeitet.
4. 4. Verfahren nach den Ansprüchen 1 bis 3, dadurch gekennzeichnet, daß bei der Kontrollüberwachung mittels einer in der Kontrolleinheit (1) vorhandenen Uhr der zeitliche Ablauf limitiert wird.
5. 5. Verfahren nach den Ansprüchen 1 bis 4, dadurch gekennzeichnet, daß die fehlerfreie Arbeitsweise der Kontrolleinheit selbst durch die Zentraleinheit überwacht wird.
6. 6. Verfahren nach den Ansprüchen 1 bis 5, dadurch gekennzeichnet, daß die Kontrolleinheit (1) eine eigene Stromversorgung aufweist, die bei Stromausfall eine ausreichende Pufferung erlaubt.