DE69610877T2

DE69610877T2 - Netzwerkknoten mit Auswähler für ein verteiltes Steuerungssystem

Info

Publication number: DE69610877T2
Application number: DE69610877T
Authority: DE
Inventors: Martin R. Batten; Brian D. Morrison; Michael N. Robillard; Creig E. Wienke
Original assignee: CBL Systems LLC
Current assignee: Parker Hannifin Corp
Priority date: 1995-07-20
Filing date: 1996-07-19
Publication date: 2001-06-21
Anticipated expiration: 2016-07-20
Also published as: JPH09251394A; EP0754990A3; EP0754990A2; US5796935A; JP3827772B2; DE69610877D1; EP0754990B1

Description

Die vorliegende Erfindung betrifft eine Prioritätswahlschaltung. Gemäß dem Stande der Technik dienen Dreifachwählsysteme zum Erzielen von Fehlertoleranz, zur Verbesserung der Verfügbarkeit einer Funktion und der Sicherheitsgarantie und zur Verbesserung der Genauigkeit des Ergebnisses einer Entscheidung. Wenn drei redundante Prozessoren parallel betrieben werden, um drei Befehlssignale zu erzeugen, und drei Befehlssignale in einer Majoritätswahlschaltung kombiniert werden, dann resultiert die Identität von zweien aus den drei der Befehlssignale in einem Ausgangs- Befehlssignal, welches erzeugt und einem Betätigungsgerät zugeführt wird, selbst wenn einer der Prozessoren ein falsches Befehlssignal erzeugt hat. Dies wird als ein Majoritätswahlausgang der drei Prozessorelemente bezeichnet. Dreifachwahlsysteme weisen eine Schwäche an dem Punkt auf, wo die drei unabhängigen Funktionen zu einer Zusammenführung zu einem Strang veranlaßt werden, um die Betätigung zu bewirken. Das Zusammenführen der drei Schaltungen geschieht auf mehrerlei Weise:
Zum einen geschieht das Zusammenführen auf einem logischen Niveau vor einem Leistungsgerät. Dies bewirkt, daß das Leistungsgerät ein Einzelpunkt für einen Fehler ist, was die Verfügbarkeit und die Sicherheitsgarantie verschlechtert. Auch gestattet es eine Mehrweg-Fehlerausbreitung zurück in die Dreifachschaltungsanordnung hinein, was die Sicherheitsgarantie weiter verschlechtert.
Zum anderen sind Mehrfachantriebseinrichtungen oder Mehrfach- Leistungseinrichtungen im allgemeinen so angeordnet, daß ein unabhängiges Schalten der Geräte möglich ist, um die Fehlertoleranz zu erhöhen. Während dies die Verfügbarkeit erhöhen kann, machen die Fehlermechanismen dieses System in gleicherweise verletzbar bezüglich des Auftretens unsicherer Zustände.
Zum Dritten wird das Zusammenführen durch Wahl am Ort des Betätigungsantriebs durchgeführt. Dies ist außerordentlich erwünscht, wenn der Betätigungsantrieb so konstruiert ist, daß er elektromechanisch den am meisten vorherrschenden Antriebszustand (zwei von drei) herbeiführt. Hierbei kann eine Schaltungsisolation bewirkt werden, was sowohl die Sicherheitsgarantie als auch die Verfügbarkeit optimal macht. Unglücklicherweise ist dieses System bezüglich Kosten, Raumbedarf und Gewicht aufwendig und typischerweise nicht in Nachrüstprogrammen verfügbar. Die vorliegende Erfindung überwindet diese Probleme.
In einer Anwendung für die Steuerung von Flugzeugen oder in anderen kritischen Steueranwendungen ist es notwendig sicherzustellen, daß Befehle zur Steuerung elektromechanischer Geräte fehlerfrei ausgegeben werden. Beispielsweise muß ein Knotenpunkt sicherstellen, daß eine Schubumkehr, beispielsweise bei einem Strahltriebwerk, nicht ausgelöst wird, außer es tritt hierfür ein Befehl auf, und daß dann, wenn Schubumkehrbefehle benötigt werden, diese auch tatsächlich ausgegeben werden.
Auch bei Majoritätswahlknotenpunkten ist immer noch zu besorgen, daß Mehrfachfehler nicht durch eine Majoritätswahlschaltung zurückgewiesen werden, um die Erzeugung eines schlechten Befehls zu verhindern.
Die DE-U-91 12 152 beschreibt eine digitale Auswahlschaltung mit vier optischen Kopplern und einer Diode. Jeder optische Koppler besteht aus einer Photodiode und einem Phototransistor. Die Anode der Photodiode des ersten der Koppler ist mit einem Eingangsanschluß für ein erstes logisches Befehlssignal verbunden und ihre Kathode ist geerdet. Der Kollektor des Phototransistors des ersten Kopplers ist mit einem Speisespannungsanschluß verbunden und sein Emitter ist mit dem Kollektor des Phototransistors eines zweiten der Koppler verbunden. Der Emitter des Phototransistors des zweiten Kopplers ist mit einer Last verbunden. Die Photodiode des zweiten Kopplers ist mit ihrer zweiten Kathode geerdet und ihre Anode ist mit der Kathode der Photodiode eines dritten der Koppler verbunden. Die Anode der Photodiode des dritten Kopplers ist mit einem Eingangsanschluß für einen zweites logisches Befehlssignal gekoppelt, welches demgemäß die Photodioden sowohl des zweiten als auch des dritten Kopplers treibt. Der Kollektor des Phototransistors des dritten Kopplers ist mit dem Speisespannungsanschluß verbunden und sein Emitter ist mit dem Kollektor des Phototransistors des vierten der Koppler verbunden. Der Emitter des Phototransistors des vierten Kopplers ist gemeinsam mit dem Emitter des Phototransistors des zweiten Kopplers mit der Last verbunden. Die Photodiode des vierten Kopplers ist mit ihrer Kathode geerdet und ihre Anode ist mit einem Eingangsanschluß für ein drittes logisches Befehlssignal gekoppelt. Die Diode der Schaltung ist mit ihrer Anode an den Emitter des Phototransistors des ersten Kopplers angeschlossen und mit ihrer Kathode an den Kollektor des Phototransistors des vierten Kopplers angeschlossen. Die Phototransistoren sind NPN-Bipolartransistoren und die Speisespannung, die an den Speisespannungsanschluß angelegt wird, ist positiv. Die Schaltungsdiode liefert einen Leitungsweg für Strom von dem Speisespannungsanschluß zu der Last hin, wenn der erste Koppler und der vierte Koppler durch das erste und das dritte logische Befehlssignal leitfähig gemacht sind. Strom von dem Speisespannungsanschluß fließt auch dann zu der Last, wenn das erste und das zweite logische Befehlssignal den ersten, zweiten und dritten Koppler leitend machen, wobei der Laststrom durch die Phototransistoren des ersten und zweiten Kopplers fließt, und wenn das zweite und dritte logische Befehlssignal den zweiten, dritten und vierten Koppler leitend machen, dann fließt der Laststrom durch die Phototransistoren des dritten und vierten Kopplers. Gemäß der vorliegenden Erfindung wird eine Majoritätswahlschaltung geschaffen, wie sie in Anspruch 1 nachfolgend definiert ist, worauf nun Bezug genommen wird.
Ausführungsformen der Erfindung umfassen folgendes:
eine fehlertolerante, kostengünstige Wählerschaltung mit optisch isolierten Festkörpergeräten zum Erzielen einer Unempfindlichkeit gegenüber elektrischen Störungen und einer Fehlereindämmung;
eine Majoritätswahlschaltung an einem Betätigungsgerät und nicht vor diesem, wodurch die Wahrscheinlichkeit für Einzelpunktfehler herabgesetzt wird; Teile von drei Majoritätswahlschaltungen, die unter drei gemeinsamen Wähler- Schaltungsknotenpunktmodulen verteilt sind;
eingebaute Selbstprüfeinrichtungen (BIST) mit optisch isolierten Geräten zum Detektieren von latenten Fehlerproblemen und zum Verhindern einer Empfindlichkeit gegenüber elektromagnetischen Störungen und Strahlungsfeldern hoher Intensität in der betreffenden Umgebung;
einen fehlertoleranten, intelligenten Wahl-Knotenpunkt in einem fehlertoleranten Steuersystem mit verteilter Intelligenz, welches eine Mehrzahl von intelligenten Knotenpunkten aufweist, die durch mindestens ein Kommunikationsmedium miteinander verbunden sind, wobei der Wahl-Knotenpunkt eine Fehlerisolation und Fehlereindämmung durch Verwendung optisch isolierter Relais ermöglicht.
In einem fehlertoleranten Steuersystem mit verteilter Intelligenz, welches eine Anzahl von intelligenten Knotenpunkten aufweist, die durch mindestens ein Kommunikationsmedium verbunden sind, enthält einer der intelligenten Knotenpunkte mindestens drei redundante Prozessorelemente, von denen jedes jeweils mit dem Kommunikationsmedium verbunden ist und Nachrichten zwischen den Knotenpunkten von dem Kommunikationsmedium aufgenommen und von jedem der redundanten Prozessorelemente verarbeitetet werden, welche direkte Betätigungsbefehle erzeugen. Eine erste Wahleinrichtung ist mit ersten Geräte-Betätigungsbefehlen von jedem der redundanten Prozessorelemente zur Erzeugung eines ersten Betätigungssignals gekoppelt bzw. beaufschlagt, wenn mindestens zwei der ersten Geräte- Betätigungsbefehle von der ersten Wähleinrichtung als äquivalent bestimmt worden sind. Eine zweite Wähleinrichtung ist so geschaltet, daß sie mit zweiten Geräte- Betätigungsbefehlen von jedem der redundanten Prozessorelemente beaufschlagt wird, um ein zweites Betätigungssignal zu erzeugen, wenn mindestens zwei der zweiten Geräte-Betätigungsbefehle von der zweiten Wähleinrichtung als äquivalent festgestellt worden sind, und eine dritte Wähleinrichtung ist so geschaltet, daß sie mit dritten Geräte-Betätigungsbefehlen von jedem der redundanten Prozessorelementen beaufschlagt wird, um ein drittes Betätigungssignal zu erzeugen, wenn mindestens zwei der dritten Betätigungsbefehle von der dritten Wähleinrichtung als äquivalent festgestellt worden sind. Jede der drei Wähleinrichtungen, nämlich der ersten Wähleinrichtung, der zweiten Wähleinrichtung und der dritten Wähleinrichtung, enthält optisch isolierte Schaltmittel zur Erzielung einer Fehlerisolation und einer Fehlereindämmung. Jedes der redundanten Prozessorelemente enthält einen Transceiver oder eine Sende- /Empfangseinrichtung zur Kommunikation mit dem Kommunikationsmedium, wobei der Transceiver oder die Sende-/Empfangseinrichtung mit Steuerprozessormitteln gekoppelt ist, um Information zu oder von einem der Wahl-Knotenpunkte zu verarbeiten. Jede der drei Wahleinrichtungen enthält eine Ausführungsform der Erfindung mit eingebauten Selbstprüfeinrichtungen zur Prüfung der Arbeitsweise der optisch isolierten Schaltmittel. Die optisch isolierten Schaltmittel enthalten eine Mehrzahl von optisch isolierten Festkörperrelais. Die eingebauten Selbstprüfeinrichtungen enthalten eine Mehrzahl von optisch isolierten Empfangseinrichtungen, wobei jede der Empfangseinrichtungen zur Fehlerüberwachung über ein jeweils anderes der optisch isolierten Relais hinweg geschaltet ist. Die Fehlerüberwachung der optisch isolierten Schaltmittel liefert eine Fehlerinformation zur Verarbeitung durch die Prozessorelemente. Das Kommunikationsmedium enthält einen einzelnen optischen Zweirichtungs-Faserbus. Jede der Wahleinrichtungen, nämlich die erste, die zweite und die dritte Wahleinrichtung, enthält die optisch isolierten Schaltkreise verteilt auf drei gemeinsame Wahl-Knotenpunkte mit den Wahl-Knotenpunkten A, B und C.
Ein intelligenter Wahl-Knotenpunkt eines Fehlertoleranten Steuersystems mit verteilter Intelligenz, welches eine Mehrzahl von intelligenten Knotenpunkten aufweist, welche drei oder mehr redundante Prozessorelemente enthalten, von denen jedes einen mit einem Prozessor verbundenen Transceiver oder eine Sende-/Empfangseinrichtung enthält, wobei ein erstes Kommunikationsmedium mit einer ersten Sende- /Empfangseinrichtung der redundanten Prozessorelemente verbunden ist, ein zweites Kommunikationsmedium mit einer zweiten Sende-/Empfangseinrichtung der redundanten Prozessorelemente verbunden ist, und ein drittes Kommunikationsmedium mit einer dritten Sende-/Empfangseinrichtung der redundanten Prozessorelemente verbunden ist und zwischen den Knoten ausgetauschte Nachrichten, die von den Interkommunikationsmedien aufgenommen werden, von den die Nachrichten empfangenden Prozessorelemente verarbeitet werden, wobei die Prozessoren der Prozessorelemente Geräte-Betätigungsbefehle erzeugen, hat, eine erste Wahleinrichtung, die mit ersten Geräte-Betätigungsbefehlen von jedem der redundanten Prozessorelemente beaufschlagt wird, um ein erstes Betätigungssignal zu erzeugen, wenn mindestens zwei der ersten Geräte-Betätigungsbefehle von der ersten Wahleinrichtung als äquivalent bestimmt worden sind, und ferner eine zweite Wahleinrichtung, die von zweiten Betätigungsbefehlen von jedem der redundanten Prozessorelemente beaufschlagt ist, um ein zweites Betätigungssignal zu erzeugen, wenn mindestens zwei der zweiten Geräte-Betätigungsbefehle von der zweiten Wahleinrichtung als äquivalent festgestellt worden sind, eine dritte Wahleinrichtung, die mit dritten Geräte-Betätigungsbefehlen von jedem der redundanten Prozessorelemente beaufschlagt ist, um ein drittes Betätigungssignal zu erzeugen, wenn mindestens zwei der dritten Geräte-Betätigungsbefehle von der dritten Wahleinrichtung als äquivalent festgestellt worden sind. Jede der ersten, der zweiten und der dritten Wähleinrichtungen enthält eine Ausführungsform der Erfindung, bei der optisch isolierte Schaltmittel zum Erzielen einer Fehlerisolation und einer Fehlereindämmung eingesetzt sind. Jede der ersten, zweiten und dritten Wahleinrichtungen enthält eingebaute Selbstprüfeinrichtungen zur Prüfung der Arbeitsweise der optisch isolierten Schaltmittel. Die optisch isolierten Schaltmittel enthalten eine Mehrzahl von optisch isolierten Festkörperrelais. Die eingebauten Selbstprüfeinrichtungen enthalten eine Mehrzahl von optisch isolierten Empfängern zur Prüfung der optisch isolierten Relais, wobei jede der Empfangseinrichtungen über ein jeweils anderes der optisch isolierten Relais hinweg geschaltet ist, um eine Fehlerüberwachung durchzuführen. Die Fehlerüberwachung der optisch isolierten Schaltmittel liefert eine Fehlerinformation zur Verarbeitung durch die Prozessorelemente. Die Kommunikationsmittel umfassen einen einzelnen optischen Zweirichtungs-Faserbus oder andere Medien. Jede der ersten, zweiten und dritten Wahleinrichtungen enthalten die optisch isolierten Schaltkreise in Verteilung auf drei gemeinsame Wahl-Knotenpunkte mit den Knotenpunkten A, B und C. Die erste Wahleinrichtung enthält einen ersten Teil des Wahl-Knotenpunktes A, einen zweiten Teil des Wahl-Knotenpunktes B und einen dritten Teil des Wahl- Knotenpunktes C. Die zweite Wahleinrichtung enthält einen zweiten Teil des Wahl- Knotenpunktes A, einen dritten Teil des Wahl-Knotenpunktes B und einen ersten Teil des Wahl-Knotenpunktes C. Die dritte Wahleinrichtung enthält einen dritten Teil des Wahl-Knotenpunktes A, einen ersten Teil des Wahl-Knotenpunktes B und einen zweiten Teil des Wahl-Knotenpunktes C.

Kurze Beschreibung der Zeichnungen

Andere und weitere Merkmale und Vorteile der Erfindung ergeben sich in Verbindung mit den begleitenden Zeichnungen, in welchem:
Fig. 1 ein Blockschaltbild eines fehlertoleranten, verteilten Systems für die Steuerung mit Licht (Control-by-lightTM) ist;
Fig. 2 ein Blockschaltbild einer Sende-/Empfangseinrichtung ist, die an einem digitalen Steuer- und Kommunikationsprozessor gemäß Fig. 1 angekoppelt ist;
Fig. 3 eine Darstellung der Zeitschlitzanordnung des deterministischen Protokolls innerhalb einer Steuersignalperiode wiedergibt;
Fig. 4 ein detailliertes Blockschaltbild des deterministischen Steuerteiles der Sende-/Empfangseinrichtung gemäß Fig. 2 ist;
Fig. 5 ein Blockschaltbild der Signalzustandsmaschine gemäß Fig. 3 zeigt;
Fig. 6 ein Flußdiagramm des Medienzugriffsalgorithmus wiedergibt, der in dem PROM-Speicher des digitalen Steuer- und Kommunikationsprozessors von Fig. 2 verwirklicht ist;
Fig. 7 ein schematisches Diagramm eines Wahlschaltkreises zeigt, wie er in der vorliegenden Erfindung verwirklicht und in dem System von Fig. 1 verwendet ist; und
Fig. 8 eine schematische Wiedergabe eines optisch isolierten Empfängers gemäß Fig. 7 darstellt.

Beschreibung der bevorzugten Ausführungsform

Es sei nun auf Fig. 1 Bezug genommen. Diese zeigt ein Blockschaltbild eines fehlertoleranten Steuersystems 10 mit verteilter Intelligenz nach dem Control-bylightTM-Prinzip mit einem deterministischen Netzwerkprotokoll zur Verbindung mit einer Mehrzahl intelligenter Kontenpunkte 12, 14, 16, 18 und 20. Diese Knotenpunkte 12-20 sind mit einem Zweirichtungs-Serienbus oder mit mehreren Zweirichtungs- Serienbussen 21, 22 und 23 verbunden, von welchen jeder in der bevorzugten Ausführungsform ein einzelner faseroptischer Ring ist. Die Zahl der Knotenpunkte gemäß Fig. 1 ist nur für ein bestimmtes System repräsentativ und der Fachmann erkennt, daß viele Knotenpunktkonfigurationen abhängig von der jeweiligen bestimmten Systemanwendung möglich sind. Das System 10 ist insbesondere für die Flugzeugsteuerung vorteilhaft, indem es ein billiges fehlertolerantes System mit verteilter Intelligenz nach dem Control-by-lightTM-Prinzip zur Detektierung und Steuerung über fehlertolerante faseroptische Netzwerke zur Verfügung stellt. Das System 10 verwendet die verteilten örtlichen intelligenten Knotenpunkte 12-20 zum Detektieren und/oder zum Steuern physikalischer Parameter bzw. von Stelltrieben, wobei Nachrichten über die redundanten Serienbusse 21, 22 und 23 geleitet werden, immer wenn sich die Detektorinformation oder Steuerinformation ändert. Um eine fehlertolerante Wirkungsweise zu erreichen, werden zwei, drei oder vier oder mehr redundante Datenbusse abhängig von der kritischen Qualität verwendet und die Redundanz wird auch in bestimmten intelligenten Knotenpunkten, die kritische Funktionen erfüllen, eingesetzt, beispielsweise Detektorfunktionen bzw. Stelltriebfunktionen in einem Flugzeugsteuersystem. Die Kopplung der Knotenpunkte 12-20 an die Serien-Datenbusse geschieht mittels Sende-/Empfangsmitteln oder Transceivern 261-N und jeder Transceiver 261-N ist mit einem digitalen Steuer- und Kommunikationsprozessor (DCCP) 281-N verbunden. Jede Kombination eines Transceivers und eines DCCP-Prozessors kann als Prozessorelement bezeichnet werden. Das System 10 in der Verwendung in einem Flugzeug ersetzt mechanische, hydraulische und elektrische Steuerungen, wie sie gegenwärtig von Flugzeugpiloten verwendet werden, um primäre und sekundäre Flugsteuerfunktionen zu steuern, zu überwachen und darzustellen und das System bietet wesentliche Vorteile bzgl. Gewicht, Kosten, Sicherheit und Arbeitsqualität gegenüber gegenwärtig verwendeten Techniken. Das System 10 ist neben der Anwendung im Flugzeug auch zur Steuerung anderer Systeme verwendbar, beispielsweise im Landtransportwesen, in Schiffen und Unterseebooten, Raumfahrzeugen, bestimmten Einrichtungen und Industrieprozeßsteuerungen. Zwar ist das Datenbusmedium in der bevorzugten Ausführungsform vorliegend durch Faseroptik verwirklicht, doch ist das deterministische Netzwerkprotokoll auch auf andere Medien anwendbar, beispielsweise verdrillte Drahtpaare und leistungsführende Leitungen.
Der Knotenpunkt 12 ist ein Beispiel für einen einfachen Steuerknotenpunkt, der Knoten 14 ist repräsentativ für einen dualen Steuerknotenpunkt und der Knotenpunkt 16 enthält Dreifach-Steuerknoten mit fehlertoleranten intelligenten Wahleinrichtungen, die nachfolgend beschrieben werden. Der Knotenpunkt 18 ist ein fehlertoleranter, fehlerfester, einfacher digitaler Knotenpunkt zur Schnittstellenbildung mit digitalen Sensoren bzw. Stelltrieben und der Knotenpunkt 20 ist ein fehlertoleranter, fehlerfester analoger Dreifach-Knotenpunkt zur Schnittstellenbildung mit analogen Sensoren bzw. Stelltrieben. Die in den Knotenpunkten 18 und 20 gezeigte Funkverbindung ist ein Zweirichtungs-Serienbus ähnlich den Bussen 21, 22 und 23. Die bevorzugte Ausführungsform der Funkverbindung oder Übertragungsverbindung ersetzt die Zweirichtungs-Photodioden 68 und 70 und die analoge Einzelfaser-Schnittstelle 66 von Fig. 2 durch eine optisch isolierte elektrische Schnittstelle. Dies führt zu einer Verminderung der Knotenpunktkosten und eignet sich für die Verwendung innerhalb eines einzigen Einrichtungsgehäuses, wie es typischerweise für einen Knotenpunkt verwendet wird, beispielsweise für den Knotenpunkt 18 oder den Knotenpunkt 20. Durch Verteilung der Systemintelligenz auf jeden Knotenpunkt werden die Kommunikationsvorgänge auf dem Netzwerk vermindert, die Autonomie bzgl. die Fehlerheilung wird erhöht und die Zuverlässigkeit wird verbessert.
Im Anwendungsfall des Control-by-ligthTM-Systems 10 auf ein Flugzeug kann der Informationsfluß zwischen den Knotenpunktrechnern durch Verteilung des Steueralgorithmus über das Flugzeug hin minimal gemacht werden. Es wird möglich, eine Gruppe von globalen Datennachrichten zu schaffen, die über das Kommunikationsnetzwerk laufen und dem Flugzeugzustand, den physikalischen Parametern und den Piloten-Steuerbefehlen entsprechen. Einzelne Knotenpunkte 12-20 können sich einen bestimmten Satz von Nachrichten bestellen, je nachdem, welche Funktion sie erfüllen. Beispielsweise bestellt sich ein Rechner für die Schubumkehrsteuerung Nachrichten, die anzeigen, ob sich das Flugzeug im Flug befindet, die den Zustand des Triebwerks anzeigen, den Zustand des Schubsteuerhebels, den Zustand des Landefahrwerks, und weiter, ob der Pilot den Einsatz der Schubumkehr befohlen hat. Der Rechner für die Schubumkehrsteuerung gibt Datennachrichten entsprechend dem Zustand des Schubumkehrsystems aus. Ein Besatzungs- Alarmierungsrechner oder -untersystem holt sich dann die Zustandsnachrichten, welche von dem Rechner für die Schubumkehrsteuerung, sowie von anderen Rechnern und Untersystemen ausgegeben werden, die über das Netzwerk verteilt sind. Für kritische Steuerfunktionen müssen Nachrichten über redundante Netzwerke hin empfangen und einem Wahlvorgang unterzogen werden, bevor an dem Punkt der Betätigung Maßnahmen ergriffen werden.
Ein Knotenpunktrechner, beispielsweise der digitale Steuer- und Kommunikationsprozessor oder DCCP-Prozessor 281-N kann so programmiert sein, daß er einen örtlichen Schleifenschluß an einem Stelltrieb bildet. Durch Zuordnung der für die Steuerung des Stelltriebs erforderlichen Software zu dem Stelltrieb und durch Standardisierung eines Netzwerkprotokolls wird es bedeutend einfacher, Schnittstellen zu Komponenten hin über das Flugzeug zu bilden, während gleichzeitig die Flexibilität und Konfigurierbarkeit erhöht werden. Das Aufteilen der Software begünstigt auch eine Minimalhaltung der Wartungskosten und Überprüfungskosten.
Das Control-by-lightTM-System 10 verwendet faseroptische Serien-Datenbusse 21, 22 und 23, die Vielfach-Nachrichtenübertrager beliefern. Das Bus-Netzwerk verwendet eine verteilte Medien-Zugriffstechnik zur Vermeidung von Kollisionen, während gleichzeitig nicht irgendwelche isolierten Fehlerpunkte eingeführt werden. Die Vorteile eines kollisionsfreien Netzwerkprotokolls sind wohlbekannt und sind besonders wünschenswert für Flugzeugsteuersysteme oder andere kritische Steuersystemanwendungsfälle.
Die das Busnetzwerk abdeckenden Transceiver 261-N und die Busse 21, 22 und 23 führen Zweirichtungs-Übertragungen über eine einzelne Faser durch Begrenzung der Kommunikation auf eine Duplexhälfte. Dies hat den offensichtlichen Vorteil einer Verminderung der Kosten zur Verbindung der arbeitenden Knotenpunkte mit einer einzelnen Faser. Jeder Faseroptik-Transceiver 26 hat zwei Zweirichtungs- Duplexhälftenanschlüsse. Dies gestattet den Aufbau großer Netzwerke durch Zusammenschluß von Prozessorelementen in Ringen. Jeder Knotenpunkt in dem Netzwerk oder Ring ist mit seinen Nachbarn durch eine Zweirichtungs-Duplexhälften- Punkt-zu-Punkt-Faserverbindung gekoppelt. Wenn sich eine Nachricht um das Netzwerk herum ausbreitet, so wird die Nachricht an jedem der Knotenpunkte 12-20 regeneriert. Um zu verhindern, daß ein Fehler an einem einzigen Knotenpunkt oder einer einzigen Verbindung das Netzwerk außer Betrieb setzt, wird jede Nachricht über den Ring in beiden Richtungen übertragen und wird aus dem Ring durch denjenigen Knotenpunkt entfernt, welcher die Nachricht aus beiden Richtungen empfängt. Dieses Verfahren der Übertragung garantiert die Zustellung sämtlicher Nachrichten an alle arbeitenden Knotenpunkte im Falle des Ausfalles einer einzelnen Hardware oder des Bruches einer Faser.
Das Control-by-lightTM. System verwendet Kombinationen herkömmlicher fehlertoleranter Techniken einschließlich Hardwareredundanz, Softwareredundanz, Zeitredundanz und Informationsredundanz. Kritische Flugfunktionen werden unter Verwendung von Knotenpunkten implementiert, welche sich aus mehrfachen Prozessorelementen zusammensetzen. Hardware- und Software-Wahleinrichtungen dienen zur Sicherstellung der Gültigkeit von Befehlen. Mehrfache, unabhängige Datenbusse 21, 22 und 23 dienen dazu, die Richtigkeit der Daten zu sichern. Synchrone Tastungsverfahren ermöglichen die Verminderungen der Einflüsse von transienten Verstimmungen oder Störungen. Der Softwareaufbau umfaßt Techniken wie Wiederherstellungsblöcke und Vemünftigkeitsprüfung, die dem Fachmann auf dem Gebiet von Software-Fehlertoleranz bekannt sind. Die DCCP-Prozessoren 281-N in den Knotenpunkten 12-20 werden von mehrfachen Stromquellen aus gespeist, um dem System 10 den Betrieb zu ermöglichen, während ein Flugzeug oder ein anderes System sich in einem Notfall-Folgezustand befindet. Intern verwenden die DCCP-Prozessoren 281-N mehr als eine Leistungsquelle, um einen ununterbrochenen Betrieb nach einem einzelnen Hardwarefehler zu ermöglichen. Abhängig vom Anwendungsfall und der kritischen Qualität der Funktion, welche verwirklicht werden soll, können Stelltriebe und Sensoren mehrfach vorgesehen sein.
Ein Control-by-lightTM-System bedingt die Aufteilung von Software über mehrfache Prozessorelemente und bildet daher unabhängige Software- Ausführungsorgane, die eine leicht definierbare Funktion implementieren. Sämtliche unabhängigen Routinen sind über wohl definierte Schnittstellen angeschlossen. Die Softwareaufteilung gestattet eine erschöpfende Prüfung der Software und vermittelt ein Niveau des Vertrauens in die Zuverlässigkeit, welches bei stärker zentralisierten Systemen oft schwierig und mit großem Aufwand zu erreichen ist.
In der nun betrachteten Fig. 2 sind Blockschaltbilder des digitalen Steuer- und Kommunikationsprozessors (DCCP) 28 und des Transceivers 26 gezeigt, welche ein Prozessorelement bilden. Der DCCP-Prozessor 28 nimmt die netzwerkspezifische und anwendungsspezifische Verarbeitung innerhalb eines Knotenpunktes vor, um Eingänge von Sensoren und Steuergeräten intelligent zu verarbeiten und Steuerinformationen über ein Netzwerk, beispielsweise das in Fig. 1 gezeigte Netzwerk; zu verbreiten. Der DCCP- Prozessor 28 enthält ein VLSI-Chip 50 mit drei Steuereinrichtungen 52, die einen Medienzugriffs-Steuerprozessor (MAC), einen Netzwerkprozessor und einen Anwendungsprozessor umfassen. Sämtliche drei Steuereinrichtungen 52 haben über einen gemeinsamen Adreß- und Datenbus 60 Verbindung mit einem Speicher wahlfreien Zugriff (RAM) 56 und einem nichtflüchtigen, programmierbaren Festwertspeicher (PROM) 58. Die drei Steuereinrichtungen 52 sind an einen Netzwerkkommunikationsanschluß 54 angekoppelt, der eine Schnittstelle zu der Einzelfaser-Steuereinrichtung 64 des Transceivers 26 hin hat. Der Transceiver 26, im einzelnen seine deterministische Steuereinrichtung 72, ist über einen Verlängerungsbus 62 mit dem Bus 60 verbunden. Der RAM-Speicher 56 bildet den Allzweckspeicher für Netzwerknachrichten und Programmvariable. Der PROM-Speicher 58 speichert Programme und Konfigurationsdaten für die drei Steuereinrichtungen 52 einschließlich einer Medienzugriffs-Steuersystemroutine, wie sie nachfolgend beschrieben wird, um eine prioritätsbegünstigte oder eine nichtprioriätstbegünstigte Nachricht auf den Netzwerkbus 21, 22 und 23 zu geben. Die Arbeitsweise des VLSI-Chip 50 ist in einem Neuron® Datenhandbuch, Februar 1995, für das 3150-Chip, veröffentlicht von Echelon Corporation, Palo Alto, Kalifornien, beschrieben. Das VLSI-Chip 50 kann ein Teil Nr. MC143150 sein, das von Firma Motorola Inc., Phoenix, Arizona, hergestellt wird. Andere ähnliche Mikrokontroller mit Netzwerkanschlußmöglichkeiten können ebenfalls als VLSI-Chip 50 verwendet werden. Der RAM-Speicher kann von einem Teil Nr. CY7C199 gebildet sein, das von Firma Cypress Semiconductor, San Jose, Kalifornien, hergestellt wird. Der PROM-Speicher 58 kann durch ein Teil Nr. AT29C256 verwirklicht werden, welches von Firma Atmel Corporation, San Jose, Kalifornien, hergestellt und von Firma Raytheon Company, Marlborough, Massachusetts, programmiert ist.
Es sei nun auf die Fig. 1 und 2 Bezug genommen. Die Sende- /Empfangseinrichtung oder der Transceiver 16 empfängt und sendet Daten über den Zweirichtungs-Datenbus 21 (und die Busse 22 und 23). Datenpakete von oder zu dem faseroptischen Datenbus 21 laufen über Zweirichtungs-Photodioden 68, 70, die bei der bevorzugten Ausführungsform an eine einzelne analoge Faser-Schnittstelle (SFAI) 66 angekoppelt sind, oder die Datenpakete laufen bei einer alternativen Ausführungsform über ein verdrilltes Paar oder ein anderes Transceivermedium oder über gesonderte Sende-Photodioden und Empfänger-Photodioden oder Laserdioden, die zwei optische Faserkabel zwischen jedem Knotenpunkt und duale analoge Faser-Schnittstellen erfordern, obwohl zwei faseroptische Kabel erforderlich sind. Die EinrRichtungsdioden sind kostengünstiger. Die einzelne analoge Faser-Schnittstelle (SFAI) 66 wandelt die Analogsignale niedrigen Pegels von den Zweirichtungs-Photodioden 68, 70 in CMOS- oder TTL-Signalpegel um, und umgekehrt. Die Zweirichtungsdioden 68 und 70 arbeiten im "ping-pong"-Betrieb, wobei sie entweder als Empfänger oder Sender tätig sind. Die Photodioden 68 und 70 können auch in einer Richtung betrieben werden, wobei der Betrieb entweder nur ein Empfangsbetrieb oder nur ein Sendebetrieb ist. Durch Vorsehen von zwei ping-pong-Dioden ist es möglich, daß ein Datentransfer in unterschiedlichen Verbindungstopologien geschieht, beispielsweise in Ringkonfiguration oder Sternkonfiguration. Die SFAI-Schnittstelle 66 ermöglicht ein rasches Ansprechen auf Paketübertragungsbetrieb von einem Netzwerkruhezustand zur Paketdetektierung, und die SFAI-Schnittstelle 66 ermöglicht eine minimale Umschaltzeit vom Sendebetrieb in den Empfangsbetrieb oder vom Empfangsbetrieb in den Sendebetrieb. Die SFAI-Schnittstelle 66 wandelt die Eingänge zu den Photodioden 68 und 70 in Digitalsignale um, wenn Empfangsbetrieb herrscht, und wandelt die Digitalsignale im Sendebetrieb in Treibersignale um, welche von den Zweirichtungs- Photodioden 68 und 70 benötigt werden. Die SFAI-Schnittstelle 66 kann von einem Teil Nr. G641848-1 gebildet sein, daß von Firma Raytheon Company, Marlborough, Massachusetts, hergestellt wird. Die Zweirichtungs-Photodioden 68 und 70 können durch ein Teil mit der Bezeichnung Model 1A212-SMA2A verwirklicht werden, das von Firma ABB Hafo Inc., San Diego, Kalifornien, hergestellt wird. Die faseroptischen Busse 21, 22 und 23 können die Gestalt eines faseroptischen Kabels haben, beispielsweise eines Teils Nr. BF04499, welches durch Firma Spectran Corp., Avon, Connecticut, hergestellt wird. Die SFAI-Schnittstelle 66 ist mit einer Einfaser- Steuereinrichtung 64 verbunden, die mit einer deterministischen Steuereinrichtung (DC) 72 verbunden ist. Die Einfaser-Steuereinrichtung SFC 64 hat eine Schnittstelle zu einem Kommunikationsanschluß 54 des DCCP-Prozessors 28, und die deterministische Steuereinrichtung DC 72 hat Schnittstellen zu den Bussen 60 und 62 des DCCP- Prozessors 28. Die Kombination aus der Einfaser-Steuereinrichtung 64 und der deterministischen Steuereinrichtung 72 wird als Einfaser-Steuerdeterministik (SFC-D) 74 bezeichnet. Die SFC-D Einheit 74 hat Zweirichtungsverbindung (halb-duplex) über die faseroptischen Datenbusse. Sie ermöglicht die Steuerung für den Betrieb des deterministischen Netzwerkprotokolls unter Einschluß eines widerstreitartigen Protokolls des DCCP-Prozessors 28. Da die Sende- Empfangseinrichtungen oder Transceiver 261 N gemäß Fig. 1 in einer kreisförmigen oder ringförmigen Topologie betrieben werden, bildet die SFC-Steuereinrichtung 64 einen Antizirkulationszeitgeber, um automatisch Datenpakete daran zu hindern, daß sie wieder in den Kreis eingespeist werden, indem solche Datenpakete aus dem Netzwerk beseitigt werden, wenn sie einmal an allen Knotenpunkten 14 bis 20 empfangen worden sind. Die SFC- Steuereinrichtung 64 stellt die Signalqualität an jedem Knotenpunkt 14 bis 20 wieder her und ermöglicht eine Kompensation von Impulsbreitenverzerrungen, die aus nicht symmetrischen hochtief- und tiefhoch- Ausbreitungsverzögerungen resultieren. Ferner ermöglicht die Einrichtung 64 eine optische Leistungsüberwachung durch Messung der Größe einer Impulsbreitenverzerrung, welche ein relatives Maß für die optische Leistungsgröße ist. Die SFC-Steuereinrichtung 64 stellt die Signalimpulsbreite wieder her, bevor sie das Signal zu dem DCCP-Prozessor 28 sendet oder das Signal zurücksendet.
Nunmehr seien die Fig. 2 und 3 betrachtet. Fig. 2 zeigt, daß die deterministische Steuereinrichtung 72 mit der Einfaser-Steuereinrichtung 64 verbunden ist und auch eine Schnittstelle zu dem DCCP-Prozessor 28 hin aufweist. Die deterministische Steuereinrichtung 72 ermöglicht die Steuerung für ein Ansprechen des Netzwerkes in einem garantierten Zeitabschnitt durch die besondere Kombination von Zeitfenster oder Zeitschlitz und widerstreitenden Übertragungen. Die Verwendung des deterministischen Netzwerkprotokolls gestattet es den vielfachen Knotenpunkten 10 bis 20 von Fig. 1, daß Daten übertragen werden, ohne daß die Möglichkeit für eine Nachrichtenkollision auftritt. Nachrichtenkollisionen sind unerwünscht, da sie die Folge haben, daß das Netzwerk nicht in der Lage ist, diese Nachrichten in prägnanter und vorherbestimmbarer Weise auszugeben. Eine Kollisionsdetektierung und/oder Nachrichtenbestätigungsprotokolle könnten dazu verwendet werden, Fehler der Nachrichtenausgabe festzustellen, doch diese Verfahren liefern keine Garantie bezüglich der Ansprechzeit des Systems. Das deterministische Netzwerkprotokoll ermöglicht es dem Konstrukteur des Systems, eine präzise obere Grenze der Nachrichtenübertragungszeit festzulegen. Fig. 3 zeigt eine Mehrzahl von Zeitschlitzen 82, die für Nachrichtenübertragungen und Datenpaketübertragungen zur Verfügung stehen. Im vorliegenden Ausführungsbeispiel wird ein Manchester-kodierter Datenstrom verwendet. Es können aber auch andere Leitungsprotokolle verwendet werden, wie der Fachmann auf diesem Gebiete erkennt. Jeder Zeitschlitz hat eine Länge von einem Vielfachen von 12,8 us, doch ändert sich diese Länge entsprechend den Netzwerk- Übertragungsvorgaben. Die Begrenzung der Schlitze 82 für jeden Knotenpunkt 12 bis 20 muß auf eine Gesamt-Netzwerkzeit abgestimmt sein, die von einem Konstrukteur eines Systems vorgegeben wird. Einem Knotenpunkt kann mehr als nur ein Zeitschlitz zugeordnet werden. Die Zeitschlitze oder Zeitfenster # 1 bis # N sind prioritätsbegünstigte Zeitschlitze 83, bis 83 N, bei denen aufgrund einer Hardwaresynchronisation zwischen Netzwerkknotenpunkten 12-20 mit periodischer Neusynchronisation unter Verwendung eines Bakensignals ein Widerstreit verhindert wird. Der nächste Zeitschlitz ist ein nichtprioritätsbegünstigter Schlitz 84, bei dem ein auf Konkurrenz basierendes Protokoll arbeiten kann. Um eine Synchronisation zu erreichen, ist es notwendig, ein Synchronisationssignal über das Netzwerk zu transportieren. Jeder Knotenpunkt 12-20 ermöglicht eine Aussendung des Synchronisationssignales, ein Detektieren des Synchronisationssignales, und kann bestimmen, welcher Knotenpunkt die Aufgabe hat, das Synchronisationssignal auszugeben. Das Synchronisationssignal wird als das Bakensignal bezeichnet und kann an den Zeitschlitzen 81 und 86 von Fig. 3 auftreten. Das Bakensignal wird über dasselbe Medium transportiert, wie der folgende Datenstrom, und benötigt keine gesonderte Leitung. Der Knotenpunkt, welcher der Ursprung für das Bakensignal ist, wird als Bakensignal-Hauptknoten bezeichnet. Die Zeitschlitze 82 werden von der Zeit aus gemessen, zu der an den Ring-Netzwerkbussen 21, 22, 23 ein Bakensignal detektiert wird. Dies hat die Folge, daß sämtliche Knotenpunkte 12-20 genau synchronisiert werden, mit Ausnahme von Abweichungen aufgrund von Ausbreitungsverzögerungen des Bakensignals um das Netzwerk herum und in Abhängigkeit von der Oszillatorgenauigkeit. Der Sicherheitsband-Zeitschlitz 85 gibt irgendeiner spät gestarteten Netzwerknachricht in dem nicht prioritätsbegünstigten Zeitschlitz 84 noch die Zeit, vervollständigt zu werden. Auf den Sicherheitsabstand-Zeitschlitz 85 folgt ein Bakensignal-Zeitschlitz 86, der für die Aussendung des Netzwerk-Bakensignales 80 vorgesehen ist. Der Bakensignal-Zeitschlitz 86 ist innerlich vorgegeben und wird automatisch durch die Zustandsmachine des Transceivers 26 hinzu addiert. Das Netzwerk-Bakensignal wird von einem Knotenpunkt periodisch ausgesendet, um sämtliche Knotenpunkte 12-20 des Netzwerkes lose zu synchronisieren.
Das Bakensignalmuster ist so gewählt, daß es folgende Anforderungen erfüllt:
(a) das Bakensignalmuster muß unterscheidbar sein, d. h., es muß sich um ein Muster handeln, das während der Übertragung einer Netzwerknachricht nicht auftreten kann;
(b) das Bakensignalmuster darf den Betrieb des digitalen Steuer- und Kommunikationsprozesors (DCCP) nicht nachteilig beeinflussen; und
(c) das Bakensignalmuster sollte verhältnismäßig kurz sein, so daß es die Zeit nicht wesentlich vermindert, die für Netzwerknachrichten zur Verfügung steht.
Für den Manchester-Leitungscode, der in der vorliegenden Ausführungsform Verwendung findet, ist ein Bakensignalmuster, das so gewählt ist, daß es die vorgenannten Anforderungen erfüllt, folgendermaßen definiert:
1. TTL high (LED ein) für 2000 ns.
2. TTL low (LED aus) für 400 ns.
3. TTL high (LED ein) für 400 ns.
4. TTL low (LED aus) für 400 ns.
5. TTL high (LED ein) für 400 ns.
6. TTL low (LED aus) für 400 ns.
7. TTL high (LED ein) für 2400 ns.
Dieses Signalmuster verletzt die Standards eines gültig Manchester-codierten Datenstroms und ist als eine Manchester-ungültig-codierte Folge zu bezeichnen. Es handelt sich daher um eine Folge, die nicht mit einer normalen Nachrichtenübertragung verwechselt wird. Da das Signalmuster Manchester-ungültig-codierte Daten sind, interpretiert der DCCP-Prozessor 28 ein Bakensignal nicht als Beginn einer Nachricht, sondern ignoriert es. Die 6,4 Mikrosekunden Dauer des Bakensignales (diejenige Zeit, die erforderlich ist, um das obige Signalmuster bei einer Bitrate von 1,25 Megabit je Sekunde zu erzeugen) ist im Vergleich zu Netzwerknachrichten kurz und repräsentieren 8 Bitperioden bei einem Netzwerk mit 1,25 Megabit je Sekunde. Bei Netzwerken mit anderen Bitgeschwindigkeiten sind die genannten Zeiten entsprechend zu bemessen.
Es sei nun Fig. 4 betrachtet. Hier ist ein Blockschaltbild der deterministischen Steuereinrichtung 72 des Transceivers 26 gezeigt. Ein Bakensignaldetektor 90 überwacht ankommende Netzwerkdaten und erzeugt ein Bakensignal-Detektionssignal 91, wenn die ankommenden Daten auf das Bakensignalmuster passen, wie es zuvor definiert wurde. Der Bakensignaldetektor 90 enthält ein Schieberegister und einen Vergleicher, wie dies dem Fachmann auf diesem Gebiet bekannt ist. Das Bakensignal- Detektionssignal 91 wird einer Zustandsmaschine 92 zugeführt, welche den Gesamtbetrieb des deterministischen Netzwerkprotokolls steuert. Die Zustandsmaschine 92 arbeitet in der nachfolgend beschriebenen Weise. Wenn die Zustandsmaschine 92 ein Bakensignal-Anforderungssignal bei 93 erzeugt, dann erzeugt ein Bakensignalgenerator 95 die Daten mit dem bestimmten Bakensignalmuster auf dem Netzwerk oder dem Bus 21. Der Bakensignalgenerator 95 enthält einen Zähler und logische Gatter, wie sie dem Fachmann bekannt sind. Die deterministische Steuereinrichtung 72 enthält einen Beaufschlagungs-Versatzzeitgeber 94, einen Bakensignal-Wächter-Zeitgeber 96, einen Schlitzzähler 98 und einen Zähler 100 zur Bestimmung der Zeit seit dem Bakensignal. Der Beaufschlagungs-Versatzzeitgeber 94 enthält einen 16-Bit-Abwärtszähler, der unter Steuerung der Zustandsmaschine 92 jedesmal dann, wenn ein Bakensignal empfangen wird, aufgeladen wird. Der Aufladungswert wird von einem 16-Bit-Register 110 für die Beaufschlagungs-Versatzzeitkonstante in der Schnittstelle 102 des DCCP-Prozessors geliefert. Dieses Register wird während der Knotenpunktinitialisierung durch den DCCP-Prozessor 28 geladen. Die DCCP-Schnittstelle 102 enthält ein 1-Bit- Beaufschlagungs-Versatzzustandregister 112, das es dem DCCP-Prozessor 28 erlaubt, festzustellen, wann der Beaufschlagungs-Versatzzeitgeber abgelaufen ist. Dies dient in Verbindung mit der Anwendungssoftware des DCCP-Prozessors 28 zur Sicherstellung, daß Nachrichten nur einmal je Bakensignalperiode ausgegeben werden. Die Bakensignalperiode ist die Summe sämtlicher prioritätsbegünstigter Zeitschlitze 83, bis 83N zuzüglich dem nichtprioritätsbegünstigten Zeitschlitz 84, dem Sicherheitsband- Zeitschlitz 85 und dem implizit vorliegenden Bakensignal-Zeitschlitz 81, wie aus Fig. 3 zu ersehen ist.
Der Bakensignal-Wächter-Zeitgeber ist ein 8-Bit-Abwärtszähler, der unter Steuerung der Zustandsmaschine 92 jedesmal dann aufgeladen wird, wenn ein Bakensignal vom dem Bakensignaldetektor 90 empfangen wird. Der eingegebene Wert wird von einem 8-Bit-Register 116 für die Bakensignal-Wächter-Zeitkonstante in der DCCP-Schnittstelle 102 geliefert. Dieses Register wird durch den DCCP-Prozessor 28 während der Knotenpunktinitialisierung eingegeben. Die Schnittstelle 102 des DCCP- Prozessors 28 enthält ein 1-Bit-Bakensignal-Wächter-Zustandregister 118, das es dem DCCP-Prozessor ermöglicht, festzustellen, wann der Bakensignal-Wächter-Zeitgeber 96 abgelaufen ist. Dies gestattet dem DCCP-Prozessor 28 die Feststellung eines Verlustes von Bakensignalen auf dem Netzwerk. Eine Synchronisation unter den Knotenpunkten und das Vorsehen von Sicherheitsräumen zwischen den Übertragungsperioden reichen dazu aus, daß Knotenpunkte während mehreren Bakensignalperioden synchronisiert bleiben, falls der Bakensignal-Haupterzeugungsknotenpunkt ausfällt. In diesem Falle wählt die Software in dem DCCP-Prozessor 28 einen neuen Bakensignal- Hauptknotenpunkt aus, der die Verantwortung für die Bakensignalerzeugung übernimmt.
Der Zeitschlitzzähler 98 enthält einen 5-Bit-Aufwärtszähler, der von der Zustandsmaschine 92 jedesmal dann auf Null zurückgestellt wird, wenn ein Bakensignal empfangen wird. Er dient zur Auswahl eines von 32 Plätzen in einem Zeitschlitz-RAM- Speicher 106, und wird um eins vorgestellt, wenn dies die Zustandsmaschine 92 befiehlt. Der Zähler 100 zur Zählung der Zeit seit einem Bakensignal enthält einen 16- Bit-Aufwärtszähler, der von der Zustandsmaschine 92 jedesmal dann auf Null zurückgestellt wird, wenn ein Bakensignal empfangen wird. Dieser Zähler 100 zählt mit einer Geschwindigkeit von 78 kHz (12,8 us) bei dem bevorzugten Ausführungsbeispiel, doch erkennt der Fachmann, daß diese Zählrate abhängig von der verwendeten Datenrate variieren kann.
Der Zeitschlitz-RAM-Speicher 106 enthält einen statischen Speicher wahlfreien Zugriffs mit 32 Wörtern a 16 Bit, der zur Bestimmung der Zuordnung von Netzwerk- Zeitschlitzen 82 innerhalb einer Bakensignalperiode dient. Dieser RAM-Speicher wird während der Knotenpunktinitialisierung durch den DCCP-Prozessor 28 aufgeladen. Bei den meisten Eintragungen zeigt das höchstwertige Bit an, ob der Zeitschlitz dem betreffenden Knotenpunkt zugeordnet ist oder nicht. Die 15 niedrigerwertigen Bits zeigen den Zeitablauf des Zeitschlitzes an, wobei das niedrigstwertige Bit 12,8 us repräsentiert. Für den Zeitablauf des nichtprioritätsbegünstigten Zeitschlitzes und des Sicherheitsband-Zeitschlitzes gemäß Fig. 3 dienen alle 16 Bits zur Darstellung des Zeitablaufes des Zeitschlitzes. Folgendes sind die Eintragungen im Zeitschlitz-RAM- Speicher:
1) Eine Serie von 16-Bit-Wörtern, welche die Zeitabläufe bzw. Endzeiten und die Zugehörigkeit sämtlicher prioritätsbegünstigter Zeitschlitze 83&sub1; bis 83N definieren;
2) ein 16-Bit-Wert, der die Startzeit des nichtprioritätsbegünstigten Zeitschlitzes 84 definiert; dieser sollte identisch zu der Ablaufzeit des letzten prioritätsbegünstigten Zeitschlitzes sein;
3) ein 16-Bit-Wert, der die Ablaufzeit oder den Zeitablauf des nicht prioritätsbegünstigten Zeitschlitzes definiert; und
4) ein 16-Bit-Wert, der die Ablaufzeit des Sicherheitsband-Zeitschlitzes definiert.
Ein Multiplexer 104 bietet einen Weg, über welchen der DCCP-Prozessor 28 während der Initialisierung unmittelbar Zugriff auf den Zeitschlitz-RAM-Speicher 106 nehmen kann. Ein Steuerregister 120 für die deterministische Betriebsweise in der Schnittstelle 102 des DCCP-Prozessors gestattet es dem DCCP-Prozessor 28, den Eintritt in die deterministische Betriebsweise zu befehlen. Herrscht nicht die deterministische Betriebsweise, so hat der DCCP-Prozessor 28 Zugriff zu dem Zeitschlitz-RAM-Speicher 106 zur Durchführung der Initialisierung.
Eine Vergleichs-Funktionseinheit 108 enthält einen 16-Bit-Vergleicher zusammen mit einer Schaltlogik und stellt fest und zeigt an, wenn die Zeitschlitz-Ablaufzeit von dem Zeitschlitz-RAM-Speicher 106 mit der Zeit seit dem letzten Bakensignal übereinstimmt. Wie oben beschrieben ist dies entweder ein 15-Bit-Vergleich oder ein 16-Bit-Vergleich, je nach Art des anstehenden Zeitschlitzes.
Die DCCP-Schnittstelle 102 bietet dem DCCP-Prozessor 28 Zugriff zu den Funktionselementen der deterministischen Steuereinrichtung 72. Enthalten sind Adressendecodierungs-Einrichtungen und eine Datenweglogik, welche es dem DCCP- Prozessor 28 ermöglichen, Register abzulesen und zu beschreiben, um das deterministische Netzwerkprotokoll zu steuern und zu überwachen. Dies umfaßt:
die Fähigkeit, den Beaufschlagungs-Versatzzeitgeber 94 und den Bakensignal- Wächter-Zeitgeber 96 abzulesen und aufzuladen,
die Fähigkeit, den Eintritt in die deterministische Betriebsweise zu befehlen,
die Fähigkeit den Zeitschlitz-RAM-Speicher 104 (wenn nicht in der deterministischen Betriebsweise) abzulesen und zu beschreiben, und
die Fähigkeit, die Zustandsregister abzulesen, welche anzeigen, wenn ein Zeitgeber abgelaufen ist, oder welches die gegenwärtige Zeitschlitztype ist.
Die deterministische Steuereinrichtung 72, die sich in jedem der Knotenpunkte 12 bis 20 befindet, wird durch den Beaufschlagungscode initialisiert, der in dem DCCP- Prozessor 28 läuft. Dieser Code bewirkt die Einschreibung im Register, welche die Intervalle des Beaufschlagungs-Versatz-Zeitgebers 94 und des Bakensignal-Wächter- Zeitgebers 96 definieren. Der Betriebsmodus und Aussagen, etwa, ob der betreffende Knotenpunkt ein Bakensignal-Hauptknotenpunkt oder Bakensignal-Hilfsknotenpunkt ist, werden ebenfalls zu dieser Zeit eingeschrieben. Der Code schreibt dann eine Folge von Werten in den Zeitschlitz-RAM-Speicher 104 ein, welche die Zuordnung der Netzwerk-Zeitschlitze 82 bestimmen. Ist dann die Initialisierung einmal vervollständigt, so befiehlt der DCCP-Prozessor 28 den Eintritt in die deterministische Betriebsweise. Während der deterministischen Betriebsweise kann die DCCP-Schnittstelle 102 den Zeitschlitz-RAM-Speicher 106 nicht mehr modifizieren. Die Einfaser-Steuereinrichtung 64 und die deterministische Steuereinrichtung 72 können als ein einzelnes Chip ausgeführt werden, das als deterministische Einfaser-Steuereinheit 74 zu bezeichnen ist und als Teilnummer G 649806-1 von Firma Raytheon Company, Marlborough, Massachusetts, hergestellt wird.
Es sei nun auf die Fig. 4 und 5 Bezug genommen. Fig. 5 zeigt ein Flußdiagramm der Zustandsmaschine 92 von Fig. 4, wobei jeder Zustand durch eine hexadezimale Zahl identifiziert ist. Die Zustandsmaschine 92 steuert den Betrieb des deterministischen Netzwerkprotokolls. Wenn in die deterministische Betriebsweise eingetreten ist, so nimmt die Zustandsmaschine 92 den Zustand 0 oder den Eintrittszustand an. Der Bakensignal-Hauptpunkt begibt sich in den Zustand D und gibt ein Bakensignal- Anforderungssignal an den Bakensignalgenerator 95 ab und geht dann zu dem Zustand 6 weiter. Sämtliche anderen Knotenpunkte (die Bakensignal-Hilfsknotenpuntke) gehen direkt von dem Zustand 0 zu dem Zustand 6. Im Zustand 6 warten sämtliche Knotenpunkte auf eine Bakensignaldetektierungsanzeige. Mittels Software wird der Fall gehandhabt, in dem der Bakensignal-Hauptknotenpunkt eine Initialisierung verfehlt und ein Reserve-Bakensignal-Hauptknotenpunkt eingesetzt wird, um die Bakensignale auszugeben. Die Feststellung des Bakensignales hat die folgenden Effekte:
a) die Zustandsmaschine 92 wird dazu veranlaßt, in den Zustand 7 zu gehen (Eintritt in den ersten Zeitschlitz);
b) der Zeitschlitzzähler 98 wird freigemacht,
c) der Zähler 100 zur Zählung der Zeit seit dem Bakensignal wird freigemacht und beginnt aufwärts zu zählen;
d) der Beaufschlagungs-Versatzzeitgeber 94 wird mit seinem Maximalintervall geladen und beginnt abwärts zu zählen; und
e) der Bakensignal-Wächter-Zeitgeber 96 wird mit seinem maximalen Intervall aufgeladen und beginnt abwärts zu zählen.
Die Zustandsmaschine schreitet von dem Zustand 7 zu dem Zustand 9 (wirksamer prioritätsbegünstigter Zeitschlitz) fort, wenn der nächste (erste) Zeitschlitz dem betreffenden Knotenpunkt zugeordnet ist, und schreitet zu dem Zustand A (nicht wirksamer oder gesperrter prioritätsbegünstigter Zeitschlitz) fort, wenn dieser Zeitschlitz nicht dem betreffenden Knotenpunkt zugeordnet ist. In den Zuständen 9 und A wird die Zeitschlitzart so festgelegt, daß sie je nach Zustand entweder "synchronisierter Zeitschlitz" oder "Synchronisationssperrung" anzeigt. Die Zustandsmaschine 92 schreitet dann zu dem Zustand 2 fort (Zeitverzögerung).
In dem Zustand 2 wartet die Zustandsmaschine 92 bei der bevorzugten Ausführungsform bis zu einem Ablauf eines Zeitintervalls von 12,8 us. Jedes mal dann, wenn dieses Zeitintervall abläuft, schreitet die Zustandsmaschine 92 zu dem Zustand 3 fort (Zeitschlitzendprüfung), an welchem sie die Zeit seit dem letzten Bakensignal mit der Ablaufzeit des gegenwärtigen Zeitschlitzes vergleicht. Wenn die beiden Zeiten nicht übereinstimmen, so kehrt die Zustandsmaschine 92 zu dem Zustand 2 zurück und wartet weitere 12,8 us. Wenn die beiden Zeiten übereinstimmen, so ist der gegenwärtige Zeitschlitz zu ende. Von dem Zustand 3 aus nimmt die Zustandsmaschine 92 einen der folgenden Wege:
a) wenn der Zeitschlitz, der zu Ende gegangen ist, ein prioritätsbegünstigter Zeitschlitz war und der nächste Zeitschlitz ebenfalls ein prioritätsbegünstigter Zeitschlitz ist, so geht die Zustandsmaschine 92 über den Zustand 4 (Prüfung, ob Sicherheitsband) zu dem Zustand 5 (nächste Zeitschlitzdarstellung, wobei der Zeitschlitzzähler inkrementiert wird), und dann in den Zustand B (Prüfung, ob nichtprioritätsbegünstigt). Da der neue Speicherplatz im Zeitschlitz-RAM- Speicher 106 einen unterschiedlichen zeitlichen Wert gegenüber dem vorherigen Speicherplatz enthält, bewegt sich die Zustandsmaschine 92 zu dem Zustand F (Eingang eines neuen Zeitschlitzes). Der Zustand F ist ähnlich dem Zustand 7. Vom Zustand F bewegt sich die Zustandsmaschine 92 zum Zustand 9 oder zum Zustand A je nach Inhaberschaft des Zeitschlitzes und der oben beschriebene Vorgang wiederholt sich.
b) Wenn der Zeitschlitz, der zu Ende gekommen ist, ein prioritätsbegünstigter Zeitschlitz war, und der nächste Zeitschlitz ein nichtprioritätsbegünstigter Zeitschlitz ist, so geht die Zustandsmaschine über den Zustand 4 in den Zustand 5 (in welchem der Zeitschlitzzähler inkrementiert wird), und dann in den Zustand B. Da der nächste Speicherplatz im RAM-Speicher denselben Zeitwert wie der vorausgehende Speicherplatz aufweist, geht die Zustandsmaschine 92 in den Zustand C (Eintritt eines nichtprioritätsbegünstigten Zeitschlitzes). Im Zustand C wird die Zeitschlitzart eingestellt, welche anzeigt "Synchronisation frei". Die Zustandsmaschine 92 geht dann zu dem Zustand 2 und beginnt auf das Ende des nichtprioritätsbegünstigten Zeitschlitzes zu warten.
c) Wenn der Zeitschlitz, der zu Ende gekommen ist, ein prioritätsbegünstigter Zeitschlitz war, dann geht die Zustandsmaschine 92 von dem Zustand 4 in den Zustand 5 (wo der Zeitschlitzzähler inkrementiert wird), und dann in den Zustand E (Eintritt des Sicherheitsband-Zeitschlitzes). Im Zustand E wird eine Flagge gesetzt, um anzuzeigen, daß in das Sicherheitsband eingetreten wurde, und dann wird die Zeitschlitzart eingestellt, um "Synchronisationssperre" anzuzeigen. Die Zustandsmaschine 92 bewegt sich dann von dem Zustand 2 und beginnt auf das Ende des Sicherheitsband-Zeitschlitzes zu warten.
d) Wenn der Zeitschlitz, der zu Ende gegangen ist, das Sicherheitsband war, dann geht die Zustandsmaschine 92 von dem Zustand 4 in den Zustand 1 (Bakensignal-Zeitschlitzverzögerung). Im Zustand 1 wartet die Zustandsmaschine 92 eine feste Zeitdauer ab. Diese Zeit beträgt 12,8 us für einen Hilfs-Knotenpunkt, oder beträgt die volle Länge des Bakensignal- Zeitschlitzes. Hilfs-Knotenpunkte oder Unter-Knotenpunkte schreiten dann über den Zustand 8 (Bakensignal-Knotenpunkt-Prüfung) zum Zustand 7 fort, wobei angenommen ist, daß ein Bakensignal zu dem erwarteten Zeitpunkt eingetroffen ist. Wenn eine Bakensignal früh oder spät eingetroffen ist, würde die Zustandsmaschine 92 dazu veranlaßt, in den Zustand 7 zu gehen und würde neu synchronisiert. Ein Haupt-Knotenpunkt wartet annähernd 6,4 us im Zustand 1 und schreitet dann über die Zustände 8 und D in den Zustand 6 fort, wo er auf das Bakensignal wartet. Hierdurch wird der Tatsache Rechnung getragen, daß der Haupt-Knotenpunkt 6,4 us benötigt, um ein Bakensignal zu erzeugen. Wenn eine Bakensignal erzeugt wird, und von sämtlichen Knotenpunkten festgestellt wird, werden alle z. Zt. der Feststellung des Bakensignales in den Zustand 7 resynchronisiert. Jedweder Knotenpunkt, der das Bakensignal aus irgendeinem Grunde versäumt, hat einen Versuch gemacht, sich selbst zu synchronisieren, und sollte lediglich aufgrund von Oszillatorgenauigkeitsdifferenzen fehlerbehaftet sein. Auf diese Weise treten sämtliche Knotenpunkte etwa zur selben Zeit in den Zustand 7 ein.
Wie bei der obigen Beschreibung der Zustandsmaschine 92 ausgeführt, liefert die deterministische Steuereinrichtung 72 eine Zeitschlitzart, welche für den DCCP- Prozessor 28 über ein in der DCCP-Schnittstelle 102 befindliches 3-Bit-Steuerregister zugänglich gemacht ist. Dieses Register, welches das Synchronisationszustandsregister 114 genannt wird, dient dazu, sicherzustellen, daß Nachrichten nur zu den richtigen Zeitschlitzen, wie sie in Fig. 3 gezeigt sind, übertragen werden. Zwei Bits dienen zur Definition von vier Zeitschlitzarten in der folgenden Weise:
Das dritte Bit gestattet es dem DCCP-Prozessor 28, aufeinanderfolgende Zeitschlitze der selben Art festzustellen. Der Grund hierfür wird nachfolgend angegeben.
Die Verwendung des deterministischen Netzwerkprotokolls geht davon aus, daß der Konstrukteur des Systems eine feste (oder zumindest begrenzte) Anzahl von Nachrichtenübertragungen durch jeden Knotenpunkt innerhalb einer einzigen Bakensignalperiode und eine maximale Ausführungszeit für die Verarbeitung festlegt, die in einer Bakensignalperiode nötig ist. Jeder Knotenpunkt erhält genügend Zeitschlitze, um die maximale Übertragungsarbeit leisten zu können. Der Anwendungscode oder Beaufschlagungscode wird für den Anwendungssteuerprozessor des DCCP-Prozessors 28 geschrieben, um sicherzustellen, daß diese Grenze nicht überschritten wird. Zu diesem Zwecke ist der Beaufschlagungs-Versatzzeitgeber 94 vorgesehen. Dieser Zeitgeber wird mit einer Zeitkonstanten nach Eingang eines Bakensignals aufgeladen (oder wenn ein Bakensignal erwartet wird und nicht eintrifft), und zählt dann auf Null herunter. Die DCCP-Schnittstelle 102 enthält ein Register 112, in welchem der Anwendungscode oder Beaufschlagungscode feststellen kann, wann der Beaufschlagungs-Versatz-Zeitgeber 94 abgelaufen ist. Die bevorzugte Verwirklichung besteht darin, daß der Beaufschlagungs-Versatz-Zeitgeber 94 auf einen Wert eingestellt wird, der länger ist als die maximale Bearbeitungszeit, und kürzer als die Bakensignalperiode. Nach Ausführung der während einer Periode erforderlichen Verarbeitung wählt der Anwendungscode oder Beaufschlagungscode das Beaufschlagungs-Versatz-Zustandsregister 112 und wartet darauf, daß der Zeitgeber 94 abläuft. Ist der Beaufschlagungs-Versatz-Zeitgeber 94 abgelaufen, dann aktualisiert der Anwendungscode diejenigen Netzwerkvariablen, welche er während der nächsten Bakensignalperiode zu übertragen wünscht. Der Vorgang des Aktualisierens der Netzwerkvariablen bewirkt, daß sie in Anwendungspuffer gesetzt werden, die von dem Netzwerkprozessor des DCCP-Prozessors 28 bedient werden. Der Netzwerkprozessor ist für die Übertragung dieser Netzwerkvariablen an das Netzwerk verantwortlich. Der Beaufschlagungs-Versatz-Zeitgeber 94 wird bezüglich seines Zustandes gelöscht, um Sicherzustellen, daß dieser Vorgang nur einmal je Bakensignalperiode stattfindet. Durch Sicherstellen, daß der Anwendungscode seine Nachrichtengrenzen kennt, und durch Veranlassung, daß er eine bekannte Zahl von Nachrichten einmal je Bakensignalperiode ausgibt, wird verhindert, daß der Anwendungsprozessor oder Beaufschlagungsprozessor des DCCP-Prozessors 28 zuviele Nachrichten ausgibt, was möglicherweise zum Überfließen der Anwendungspuffer oder Beaufschlagungspuffer des DCCP 28 führen könnte.
Der Anwendungs- oder Beaufschlagungscode kann Nachrichten entweder innerhalb des prioritätsbegünstigten Zeitschlitzes oder der prioritätsbegünstigten Zeitschlitze 83&sub1; bis 83N senden, welche einem Knotenpunkt zugeordnet sind, oder innerhalb des nichtprioritätsbegünstigten, einen Widerstreit zulassenden Zeitschlitzes 84, der auf die prioritätsbegünstigten Zeitschlitze folgt. Netzwerknachrichten, welche als prioritätsbegünstigte Nachrichten definiert sind, werden während der prioritätsbegünstigten Zeitschlitze gesendet, während andere Nachrichten während des nichtprioritätsbegünstigten Zeitschlitzes gesendet werden.
Der Bakensignal-Wächter-Zeitgeber 96 ist vorgesehen, um den Verlust der Bakensignale, welche das Netzwerk synchronisieren, festzustellen. Dieser Zeitgeber wird mit einer Zeitkonstanten nach Empfang eines Bakensignales aufgeladen und zählt dann auf Null herunter. Die DCCP-Schnittstelle 102 enthält ein Register 118, an welchem der Anwendungscode feststellen kann, wann der Bakensignal-Wächter- Zeitgeber 96 abgelaufen ist. Wenn die Bakensignale fortwährend wie erwartet eintreffen, so wird dieser Zeitgeber kontinuierlich wieder aufgeladen und läuft nie ab. Bei der bevorzugten Ausführungsform wird der Bakensignal-Wächter-Zeitgeber 96 auf einen Wert eingestellt, der wesentlich größer als eine Bakensignalperiode ist. Da die Knotenpunkte bestrebt sind, die Synchronisation in Abwesenheit des Bakensignales aufrechtzuerhalten, kann eine bestimmte Anzahl von ausbleibenden Bakensignalen toleriert werden. Es liegt an dem Konstrukteur des Systems, die Anzahl aufeinanderfolgender, ausbleibender Bakensignale, welche toleriert werden kann, festzulegen. Einige der Faktoren, auf welchen diese Grenzwertfestlegung basiert, sind folgende:
1) die Genauigkeit der Taktsignalquellen an den Knotenpunkten;
2) die Zeitdauer, welche der Konstrukteur des Systems in jedem Zeitschlitz für einen Synchronisationsdrift vorsehen will;
3) die Wahrscheinlichkeit, mit der ein ordnungsgemäß ausgesendetes Bakensignal nicht von allen Knotenpunkten empfangen wird (aufgrund von Faktoren wie der Umgebung des Systems); und
4) die Geschwindigkeit, mit welcher nach dem Wunsch des Konstrukteurs des Systems ein Ausfall des Bakensignal-Hauptknotenpunktes detektiert und durch Auswahl eines neuen Bakensignal-Hauptknotenpunktes korrigiert wird.
In der bevorzugten Ausführungsform prüft der Anwendungscode oder Beaufschlagungscode den Zustand des Bakensignal-Wächter-Zeitgebers immer dann, wenn der Beaufschlagungs-Versatz-Zeitgeber 94 abgelaufen ist und veranlaßt notwendigenfalls eine Korrekturmaßnahme, um einen neuen Bakensignal- Hauptknotenpunkt auszuwählen. Wenn der Bakensignal-Wächter-Zeitgeber 96 abläuft, wird durch die Software die Auswahl eines neuen Bakensignal-Hauptknotenpunktes durchgeführt. Es ist von Wichtigkeit, daß ein Bakensignal-Hauptknotenpunkt überhaupt ausgewählt wird. Das Verfahren der Auswahl ist nicht kritisch.
Es sei nun auf Fig. 6 Bezug genommen, in welcher ein Flußdiagramm der Softwareroutine 130 für die Medienzugriffssteuerung (MAC) zum Initiieren einer Prioritätsnachricht oder einer nichtprioritätsbegünstigten Nachricht gezeigt ist. Diese Medienzugriffssteuerungsroutine befindet sich in dem PROM-Speicher 58 des DCCP- Prozessors 28 von Fig. 2. Die Medienzugriffsroutine beginnt bei 131 durch Prüfung der Nachrichtenfolgen auf eine prioritätsbegünstigte Nachricht 132 oder eine nichtprioritätsbegünstigte Nachricht 133. Wenn eine Nachricht zur Übertragung ansteht, so überprüft die MAC-Routine die Synchronisationszustandsregister 134, 137 und bestätigt, daß die Übertragung der verfügbaren Nachricht zugelassen wird, was bei 135 bzw. 138 geschieht. Wenn die Übertragung zugelassen wird, so wird, wie bei 136 und 139 angezeigt, die Nachricht abgesandt. Wird die Übertragung nicht zugelassen, so überprüft die MAC-Routine die andere Reihe und kehrt später auf die vorliegende zurück. Um es dem Konstrukteur des Systems zu ermöglichen, aufeinanderfolgende prioritätsbegünstigte Zeitschlitze demselben Knotenpunkt zuzuordnen, ist das geringstwertige Bit des Zeitschlitzzählers 98 auch in dem Synchronisationszustandsregister 114 ablesbar, so daß die MAC-Routine einen neuen Zeitschlitz mit derselben Knotenpunktzuordnung detektieren kann. Da die MAC- Routine das Synchronisationszustandsregister 114 wählt, kann eine veränderliche Verzögerung zwischen dem Beginn einer Schlitzzeit und dem Beginn der Nachrichtenübertragung auftreten. Die Länge eines prioritätsbegünstigten Zeitschlitzes muß so eingestellt werden, daß sie sowohl die Nachrichtenlänge als auch einen Spielraum für diese Verzögerung umfaßt.
Über die Netzwerkbusse 21, 22 und 23 können Nachrichten zu jeder Zeit während des nicht prioritätsbegünstigten Zeitschlitzes übertragen werden. Das Sicherheitsband 85 gemäß Fig. 3 ist innerhalb einer Bakensignalperiode vorgesehen, um sicherzustellen, daß eine Nachricht, die ziemlich am Ende des nicht prioritätsbegünstigten Zeitschlitzes 84 begonnen wurde, beendet wird, bevor der Bakensignal-Zeitschlitz 86 beginnt. Die Sicherheitsband-Zeitschlitzlänge muß die größte nichtprioritätsbegünstigte Nachricht in dem System aufnehmen können.
Es sei jetzt wieder Fig. 1 betrachtet. Der Knotenpunkt 16 enthält drei Prozessoreinheiten, die jeweils aus einem DCCP-Prozessor 28 und einem Transceiver 26 bestehen, wobei jeder Transceiver 26 mit einem der Datenbusse 21, 22 und 23 gekoppelt ist. Im Einzelnen ist der Transceiver 262 mit dem Datenbus 21 gekoppelt, der Transceiver 263 ist mit dem Datenbus 22 gekoppelt, und der Transceiver 264 ist mit dem Datenbus 23 gekoppelt. Die Ausgänge von den drei DCCP-Prozessoren 282, 283 und 284 werden an jeweils einen von drei intelligenten Wahleinrichtungen 31, 32 und 33 geführt. Jede der Wahleinrichtungen 31 bis 33 ist so ausgebildet, daß sie ein Betätigungssignal erzeugt, wenn zwei der drei Eingänge zu den Wahleinrichtungen übereinstimmen. Das Betätigungssignal von jeder Wahleinrichtung 31 bis 33 dient zur Steuerung eines entsprechenden Gerätes 36, bzw. 362 bzw. 363, wobei jedes der Geräte in der bevorzugten Ausführungsform ein zu betätigendes, elektrisch gesteuertes hydraulisches Ventil umfaßt.
Es sei jetzt auf Fig. 1 und 7 Bezug genommen. Fig. 7 zeigt ein schematisches Schaltbild einer Wähleinrichtung, welche drei Schaltungsabschnitte 142, 146 und 144 enthält. Bezüglich der Aufteilung der Schaltungsträgerplatten ist zu sagen, daß jede von drei Schaltungsträgerplatten einen Transceiver 26, einen DCCP-Prozessor 28 und einen der Abschnitte der Wähleinrichtung 142 bzw. 144 bzw. 146 enthält. Jede Wähleinrichtung ist so aufgebaut, daß ein Schaltungsabschnitt 142 von einer ersten Schaltungsträgerplatte, ein Schaltungsabschnitt 144 von einer zweiten Schaltungsträgerplatte und ein Schaltungsabschnitt 146 von einer dritten Schaltungsträgerplatte zusammengenommen werden. Die drei unabhängigen Wähleinrichtungen können durch jeweilige Zusammenfassung von drei Schaltungsträgerplatten gebildet werden. Irgendwelche zwei von drei DCCP- Prozessoren 28&sub2;, 28&sub3;, 28&sub4; müssen übereinstimmen, so daß dann die Wähleinrichtung eine Spannung V an das Solenoid 154 legt. Die Wähleinrichtung wird unter Verwendung von vier optisch isolierten Relais 148 bis 151 und einer Überbrückungsdiode 152 verwirklicht, wie dies in Fig. 7 gezeigt ist. Dioden 147 und 153 bilden einen Strompfad für Abschalttransienten induktiver Verbraucher und stellen sicher, daß die Spannung an dem Solenoid 154 nicht über die Speisespannung hinausspringt. Wenn irgendwelche zwei der drei Schaltungsabschnitte 142, 144, 146 ein Schließen ihrer optisch isolierten Relais 148 bis 151 vornehmen, so wird eine Verbindung zwischen der Speisespannung V und dem Solenoid 154 hergestellt. Die Überbrückungsdiode 152 bildet einen Verbindungsweg für die Speisespannung V, so daß sie an das Solenoid 154 gelangt, wenn die Relais 148 und 151 geschlossen sind. Die Überbrückungsdiode 152 verhindert die Vervollständigung eines Verbindungsweges, wenn die Relais 149 und 150, welche durch einen einzigen DCCP-Prozessor 28 gesteuert werden, geschlossen sind.
Alle Verbindungen zu und von den drei Schaltungsabschnitten 142, 146 und 144 werden unter Verwendung optisch isolierter Relais geschaffen. Die Isolation dieser Art schützt jeden DCCP-Prozessor 282, 283, 284 vor Fehlern in der Speisespannung V, welche durch die Wahleinrichtung geschaltet wird, und schützt die DCCP-Prozessoren vor einander. In dieser Weise können Fehler außerhalb eines DCCP-Prozessors, selbst solche, welche die betreffende Wähleinrichtung beschädigen oder sie unwirksam machen, nicht den DCCP-Prozessor beschädigen oder ihn daran hindern, andere Funktionen zu erfüllen. Die Isolation ermöglicht ferner, daß diese Wahleinrichtung entweder als Schalter auf der Oberseite oder als Schalter auf der Unterseite verwendet wird. Wenn andere Überlegungen dies erfordern, kann die Wahleinrichtung entweder zwischen die Speisespannung V und das Solenoid oder zwischen das Solenoid und Masse oder Erde gelegt werden. Die optisch isolierten Relais 148 bis 151 können durch ein Bauteil mit der Nummer PVDZ172 gebildet sein, daß von Firma International Rectifiers of El Segundo, Kalifornien, hergestellt wird.
Nunmehr seien die Fig. 7 und 8 betrachtet. Zusätzlich zu den optisch isolierten Relais 148 bis 151 und der Überbrückungsdiode 152, welche die Wahlfunktion erfüllen, enthält die verteilte Wahleinrichtung Mittel zur Betriebsüberwachung und für die eingebaute Prüfung. Dies geschieht durch optische isolierte Empfänger 1561 bis 1566, welche die Spannung an jedem optisch isolierten Festkörperrelais 148 bis 151 überwachen. Diese optisch isolierten Empfänger sind in der aus Fig. 7 ersichtlichen Weise angeordnet. Der optisch isolierte Empfänger 1561 ist zwischen die Anschlüsse 160 und 161 des optisch isolierten Relais A 148 geschaltet. Der optisch isolierte Empfänger 156, ist zwischen die Anschlüsse 168 und 169 des optisch isolierten Relais C 151 geschaltet. Der optisch isolierte Empfänger 1563 ist zwischen die Anschlüsse 166 und 167 des optisch isolierten Relais B1 149 geschaltet. Der optisch isolierte Empfänger 1564 ist zwischen die Anschlüsse 162 und 163 des optisch isolierten Relais B2 150 geschaltet. Der optisch isolierte Empfänger 1565 ist zwischen die Anschlüsse 168 und 169 des optisch isolierten Relais C 151 geschaltet. Der optisch isolierte Empfänger 1566 ist zwischen die Speisespannungsquelle V und den Verbindungsanschluß 162 des optisch isolierten Relais B2, des Anschlusses 164 der Diode 152 und des Anschlusses 161 des optisch isolierten Relais A 148 geschaltet. Diese optisch isolierten Empfänger benützen die Tatsache, daß eine wesentliche Größe des Stroms zur Aktivierung des Solenoids 154 erforderlich ist. Die kleinen Ströme (in der Größenordnung einiger weniger Milliampere), die von den optisch isolierten Empfängern 1561 bis 1566 benötigt werden, können durch das Solenoid geleitet werden, ohne das irgend ein Einfluß auf das System genommen wird. Eine schematische Wiedergabe jedes der optische isolierten Empfänger 156, bis 1566 findet sich in Fig. 8. Die Werte des Widerstandes 157 und der Diode 158 sind so gewählt, daß der Leckstrom durch den Empfänger nicht dazu ausreicht, den Empfänger zu betätigen. Die optisch isolierten Empfänger 1561-1566 werden nur betätigt, wenn ein geschlossenes Relais 148-151 einen Teil des Strompfades ausmacht.
Die häufigste Fehlerart bei den optisch isolierten Relais 148-151 ist das Fehlerhaftwerden im Kurzschlußzustand. Die optisch isolierten Empfänger 1561-1566 sind so ausgebildet, daß das Schließen eines von einem der DCCP-Prozessoren 282, 283 und 284 gesteuerten Relais von jedem der anderen beiden DCCP-Prozessoren festgestellt werden kann, wozu eingebaute Prüfsoftware verwendet wird, welche die Empfänger 1561-1566 überwacht. Die Empfänger 1561 bis 1566 können auch dazu verwendet werden, eine Prüfung der Relais durchzuführen, was durch einen der DCCP- Prozessoren 28 koordiniert wird, welcher Zugriff zu sämtlichen drei DCCP-Prozessoren 282, 283, 284 hat, etwa in dem intelligenten Knotenpunkt 20 von Fig. 1. Dieser Test kann off-line durchgeführt werden, oder, wenn die Systemanforderungen es gestatten, als ein online-Hintergrunddiagnosentest.
Die nachfolgende Tabelle beschreibt, wie jeder der möglichen Fehler in der Wähleinrichtung von den Überwachungsfunktionen der vorgesehenen optisch isolierten Empfänger 1561-1566 detektiert werden kann. Diejenigen Fehlerfälle, welche "zu jeder Zeit" geprüft werden können, können durch Prüfung der Überwachungspunkte zu einer Zeit behandelt werden, wenn sämtliche Relais offen sein sollten. Diejenigen Fehlerfälle, die während einer eingebauten Selbstprüfung (Built-In-Self-Test oder "BIST") prüfbar sind, können nur behandelt werden, wenn ohne Sicherheitsrisiko bestimmte Relais geschlossen werden können und die Wahleinrichtung überwacht wird, was eine koordinierte Maßnahme ist, welche sämtliche drei Schaltungsabschnitte 142, 144 und 146 umfaßt. Dies geschieht erwartungsgemäß entweder als Teil einer Selbstprüfung und Selbstdiagnose vor dem Flug oder bei einer Wartung. TABELLE

Claims

1. Majoritätswahlschaltung, welche folgende Merkmale enthält:

erste Relaismittel (148) zur Vervollständigung eines Stromkreises zwischen einem ersten Anschluß (160) und einem zweiten Anschluß (161) in Abhängigkeit von einem ersten Befehlssignal, wobei der erste Anschluß (160) mit einem Betätigungssignal beaufschlagt ist;

zweite Relaismittel (150) zur Vervollständigung eines Stromkreises zwischen einem dritten Anschluß (162) und einem vierten Anschluß (163) in Abhängigkeit von einem zweiten Befehlssignal, wobei der dritte Anschluß (162) mit dem zweiten Anschluß (161) der ersten Relaismittel (148) verbunden ist und der vierte Anschluß (163) mit einem Verbrauchergerät (154) Verbindung hat;

dritte Relaismittel (149) zur Vervollständigung eines Stromkreises zwischen einem fünften Anschluß (166) und einem sechsten Anschluß (176) in Abhängigkeit von einem dritten Befehlssignal, wobei der fünfte Anschluß (166) mit dem genannten Betätigungssignal beaufschlagt ist;

vierte Relaismittel (151) zur Vervollständigung eines Stromkreises zwischen einem siebten Anschluß (168) und einem achten Anschluß (169) in Abhängigkeit von einem vierten Befehlssignal, wobei der siebte Anschluß (168) mit dem genannten sechsten Anschluß (167) der dritten Relaismittel (149) verbunden ist, und der genannte achte Anschluß (169) mit dem Verbrauchergerät (154) Verbindung hat; und

Diodenmittel (152) zur Bereitstellung eines Leitungsweges für das genannte Betätigungssignal zur Zuleitung zu dem Verbrauchergerät (154) entsprechend einer bestimmten Aussage des ersten Befehlssignals und des vierten Befehlssignals, wobei ein Anodenanschluß der Diodenmittel (52) an eine Verbindung des zweiten Anschlusses (161) der ersten Relaismittel (148) und des dritten Anschlusses (162) der zweiten Relaismittel (150) gelegt ist, und ein Kathodenanschluß der genannten Diodenmittel (152) an eine Verbindung des genannten sechsten Anschlusses (167) der dritten Relaismittel (149) und des siebten Anschlusses (168) der vierten Relaismittel (151) gelegt ist, und wobei die ersten Relaismittel (148), die zweiten Relaismittel (150), die dritten Relaismittel (149) und die vierten Relaismittel (151) jeweils ein optisch isoliertes Festkörperrelais enthalten;

gekennzeichnet durch eingebaute Selbstprüfeinrichtungen (156) zur Prüfung der Funktion eines jeden der ersten Relaismittel (148), der zweiten Relaismittel (150), der dritten Relaismittel (149) und der vierten Relaismittel (151), sowie weiter dadurch gekennzeichnet, daß die eingebauten Selbstprüfungseinrichtungen eine Mehrzahl von optisch isolierten Empfängern (156) enthalten, um die optisch isolierten Relais zu prüfen, wobei jeder der genannten Empfänger (156) an ein jeweils zugehöriges der optisch isolierten Relais zur Fehlerüberwachung gelegt ist und nur dann aktiviert wird, wenn ein jeweils in Schließstellung befindliches der Relaismittel (148, 149, 150, 151) Teil eines Strompfades durch den genannten betreffenden Empfänger (156) zu dem Verbrauchergerät (154) bildet, so daß im Betrieb jeder Empfänger (150) entweder einen aktivierten Zustand oder einen nicht aktivierten Zustand einnimmt und jeweils ein hierfür repräsentatives Signal erzeugt.

2. Fehlertolerantes Steuersystem mit verteilter Intelligenz, welches eine Anzahl von intelligenten Knotenpunkten (12, 14, 16, 18, 20) aufweist, die durch mindestens ein Kommunikationsmedium (21, 22, 23) verbunden sind, wobei einer der intelligenten Knotenpunkte folgende Merkmale aufweist:

mindestens drei redundante Prozessorelemente (26, 28), von denen jedes jeweils mit dem Kommunikationsmedium (21, 22, 23) verbunden ist;

wobei jedes der redundanten Prozessorelemente so ausgebildet ist, daß es Geräte- Betätigungsbefehle in Abhängigkeit von Nachrichten zwischen den Knotenpunkten erzeugt, die von dem Kommunikationsmedium empfangen werden;

eine erste Wahleinrichtung (31), welche so geschaltet ist, daß sie erste Geräte-Betätigungsbefehle von jedem der redundanten Prozessorelemente (26, 28) zur Erzeugung eines ersten Betätigungssignales empfängt, wenn mindestens zwei der genannten ersten Geräte-Betätigungsbefehle von den genannten Wahleinrichtungen (31) als äquivalent bestimmt worden sind;

eine zweite Wahleinrichtung (32), welche so geschaltet ist, daß sie zweite Geräte- Betätigungsbefehle von jedem der genannten redundanten Prozessorelemente (26, 28) zur Erzeugung eines zweiten Betätigungssignales empfängt, wenn mindestens zwei der zweiten Geräte-Betätigungsbefehle von den zweiten Wahleinrichtungen (32) als äquivalent bestimmt worden sind;

eine dritte Wahleinrichtung (33), welche so geschaltet ist, daß sie dritte Geräte- Betätigungsbefehle von jedem der genannten redundanten Prozessorelemente (26, 28) zur Erzeugung eines dritten Betätigungssignales empfängt, wenn mindestens zwei der dritten Betätigungsbefehle von den dritten Wahleinrichtungen (33) als äquivalent bestimmt worden sind; und

wobei jede der Wahleinrichtungen (31, 32, 33) eine Majoritätswahlschaltung nach Anspruch 1 enthält.

3. Steuersystem nach Anspruch 2, dadurch gekennzeichnet, daß jedes der redundanten Prozessorelemente (26, 28) Sende-/Empfangsmittel (26) zur Kommunikation mit dem Kommunikationsmedium (21, 22, 23) sowie einen Steuerprozessor (28) enthält, mit welchem die Sende-/Empfangsmittel (26) gekoppelt sind, um Informationen zu und nach einer der Wahleinrichtungen (31, 32, 33) zu verarbeiten.

4. Intelligenter Wahl-Knotenpunkt eines fehlertoleranten Steuersystems mit verteilter Intelligenz, welches eine Mehrzahl von intelligenten Knotenpunkten aufweist, die folgendes enthalten:

drei redundante Prozessorelemente (26, 28), welche jeweils eine mit einem Prozessor (28) verbundene Sende-/Empfangseinrichtung (26) enthalten;

ein erstes Kommunikationsmedium (21), welches mit einer ersten Sende-/ Empfangseinrichtung (262) der redundanten Prozessorelemente verbunden ist;

ein zweites Kommunikationsmedium (22), welches mit einer zweiten Sende-/ Empfangseinrichtung (263) der redundanten Prozessorelemente verbunden ist;

ein drittes Kommunikationsmedium (23), welches mit einer dritten Sende-/ Empfangseinrichtung (264) der genannten redundanten Prozessorelemente verbunden ist;

wobei die Prozessoren (28) der genannten Prozessorelemente so ausgebildet sind, daß sie Geräte-Betätigungsbefehle in Abhängigkeit von zwischen den Knotenpunkten laufenden Nachrichten erzeugen, die von den genannten Kommunikationsmedien empfangen und von den redundanten Prozessorelementen verarbeitet werden, welche die genannten Nachrichten aufnehmen;

eine erste Wahleinrichtung (31), die so geschaltet ist, daß sie erste Geräte- Betätigungsbefehle von jedem der genannten redundanten Prozessorelemente (26, 28) aufnimmt, um ein erstes Betätigungssignal zu erzeugen, wenn mindestens zwei der ersten Geräte-Betätigungsbefehle von den genannten ersten Wahleinrichtungen (31) als äquivalent bestimmt worden sind;

eine zweite Wahleinrichtung (32), welche so geschaltet ist, daß sie zweite Geräte- Betätigungsbefehle von jedem der redundanten Prozessorelemente (26, 28) aufnimmt, um ein zweites Betätigungssignal zu erzeugen, wenn mindestens zwei der genannten zweiten Geräte-Betätigungsbefehle von den zweiten Wahleinrichtungen (32) als äquivalent festgestellt worden sind;

eine dritte Wahleinrichtung (33), welche so geschaltet ist, daß sie dritte Geräte- Betätigungssignale von jedem der genannten redundanten Prozessorelemente (26, 28) aufnimmt, um ein drittes Betätigungssignal zu erzeugen, wenn mindestens zwei der genannten dritten Geräte-Betätigungsbefehle von den dritten Wahleinrichtungen (33) als äquivalent festgestellt worden sind; und