DE102006042131B4

DE102006042131B4 - computer system

Info

Publication number: DE102006042131B4
Application number: DE200610042131
Authority: DE
Inventors: Wolfgang Grabe; Kathrin Hustedt; Grit KÄRST
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2006-09-04
Filing date: 2006-09-04
Publication date: 2008-12-11
Anticipated expiration: 2026-09-05
Also published as: DE102006042131A1; WO2008028819A3; CN101512494A; EP2059875A2; WO2008028819A2

Abstract

Rechnersystem für die Ansteuerung von Bahn-Applikationen (BA) mit zwei redundanten Rechnern (ZLR1, ZLR2), die über zwei redundante Busse (BUS1, BUS2) miteinander verbunden sind und untereinander Datentelegramme austauschen, welche eine Sequenznummer beinhalten und jeweils über beide Busse (BUS1, BUS2) übertragen werden, wobei ein Datentelegramme empfangender Rechner (ZLR1, ZLR2) anhand der Sequenznummer bei Funktionsfähigkeit beider Busse (BUS1, BUS2) doppelt empfangene identische Datentelegramme und bei Ausfall eines Busses (BUS1, BUS2) nicht identische oder nicht empfangene Datentelegramme erkennt und zu jeder Sequenznummer ein vollständiges Datentelegramm ausfiltert und einer Weiterverarbeitung zuführt, dadurch gekennzeichnet, dass der Datentelegramme empfangende Rechner (ZLR1, ZLR2) die Sequenznummer eines vollständig empfangenen Datentelegramms um 1 inkrementiert und die Sequenznummer eines über den anderen Bus (BUS1, BUS2) erwarteten, aber nicht oder nicht vollständig empfangenen Datentelegramms beibehält und nicht um 1 inkrementiert, wobei nach einer vorgegebenen Anzahl doppelt empfangener Datentelegramme, deren Sequenznummern nicht übereinstimmen, die nicht inkrementierte Sequenznummer an die inkrementierte Sequenznummer angepasst...computer system for the Control of rail applications (BA) with two redundant computers (ZLR1, ZLR2) over two redundant buses (BUS1, BUS2) are interconnected and exchange data telegrams with each other, which is a sequence number include and over each transmit both buses (BUS1, BUS2) be, with a data telegrams receiving computer (ZLR1, ZLR2) on the basis of the sequence number when two buses (BUS1, BUS2) twice received identical data telegrams and in case of failure of a bus (BUS1, BUS2) not identical or not received Data telegrams recognizes and for each sequence number a complete data telegram filters out and for further processing, characterized that the data telegrams receiving computer (ZLR1, ZLR2) the sequence number of a Completely received data telegram incremented by 1 and the sequence number one over expected the other bus (BUS1, BUS2), but not or not completely received Data telegram maintains and not incremented by 1, wherein after a predetermined number doubly received data telegrams whose sequence numbers do not match, the non-incremented sequence number to the incremented sequence number customized...

Description

Die Erfindung betrifft ein Rechnersystem für die Ansteuerung von Bahn-Applikationen mit zwei redundanten Rechnern, die über zwei redundante Busse miteinander verbunden sind und untereinander Datentelegramme austauschen, welche eine Sequenznummer beinhalten und jeweils über beide Busse übertragen werden, wobei ein Datentelegramme empfangender Rechner anhand der Sequenznummer bei Funktionsfähigkeit beider Busse doppelt empfangene identische Datentelegramme und bei Ausfall eines Busses nicht identische oder nicht empfangene Datentelegramme erkennt und zu jeder Sequenznummer ein vollständiges Datentelegramm ausfiltert und einer Weiterverarbeitung zuführt.The The invention relates to a computer system for the control of web applications with two redundant computers connected via two redundant buses are connected and exchange data telegrams among each other, which include a sequence number and transmitted over both buses be a data telegrams receiving computer based on the Sequence number for functionality Both busses received twice identical data telegrams and in case of failure a bus not identical or not received data telegrams recognizes and filters out a complete data telegram for each sequence number and supplies a further processing.

Für sicherheitstechnische Bahnbetriebsprozesse müssen besonders hohe Sicherheits- und Verfügbarkeitsbedingungen erfüllt sein. Deshalb ist die Datenverarbeitung für die Ansteuerung von Bahn-Applikationen üblicherweise redundant ausgeführt. Dazu dienen zwei Rechner, die das gleiche Programm verarbeiten und untereinander Datentelegramme austauschen. Auf diese Weise ist beim Ausfall eines Rechners sichergestellt, dass die Daten weiter korrekt verarbeitet werden, ohne dass es zu Störungen des Bahnbetriebsprozesses kommt. Der intakte Rechner übernimmt dabei für die Dauer des Ausfalls des anderen Rechners die gesamte Datenverarbeitung. Ein Verfügbarkeitsproblem tritt jedoch auf, wenn die Verbindung zwischen den beiden Rechnern nicht redundant ist, wie beispielsweise bei redundanten Zuglenkrechnern. Bei einfacher Verbindung zwischen den redundanten Rechnern führt ein zweifacher Ausfall, beispielsweise Ausfall eines Rechners und der Verbindung zwischen den Rechnern, unweigerlich zu Betriebsstörungen, da der intakte Rechner über die ausgefallene Verbindung keine Daten empfängt und somit die zugeordnete Bahn-Applikation nicht ansteuern kann. Die Verfügbarkeit bei einem zweifachen Ausfall ist nicht mehr gegeben. Deshalb ist es unabdingbar, dass unmittelbar nach dem ersten Ausfall sofort ein Servicetechniker das Problem behebt, bevor es zu einem zweiten Ausfall kommt.For safety-related Railway operating processes must especially high safety and availability conditions. Therefore, the data processing for the control of rail applications is common redundant. This is done by two computers that process the same program and exchange data telegrams with each other. This way is at Failure of a computer ensures that the data continues to be correct be processed without causing disruption of the railway operating process comes. The intact computer takes over for the duration of the failure of the other computer all the data processing. An availability problem However, this occurs when the connection between the two computers is not redundant, such as in redundant Zuglenkrechnern. A simple connection between the redundant computers leads to a double Failure, for example failure of a computer and the connection between the computers, inevitably to breakdowns, because the intact computer over the failed connection receives no data and thus the associated lane application can not drive. The availability with a double failure is no longer given. Therefore it is imperative that immediately after the first failure immediately A service technician fixes the problem before there is a second outage comes.

Gemäß der EP 1 657 888 A1 ist vorgesehen, dass die Rechner über zwei redundante Busse miteinander verbunden sind und dass die Datentelegramme eine Sequenznummer beinhalten und jeweils über beide Busse übertragen werden, wobei zum Austausch von Datentelegrammen zwischen den Rechnern des Rechnersystems ein Datentelegramme empfangender Rechner anhand der Sequenznummer bei Funktionsfähigkeit beider Busse doppelt empfangene identische Datentelegramme und bei Ausfall eines Busses nicht identische oder nicht empfangene Datentelegramme erkennt und zu jeder Sequenznummer ein vollständiges Datentelegramm ausfiltert und einer Weiterverarbeitung zuführt.According to the EP 1 657 888 A1 is provided that the computer via two redundant buses are connected to each other and that the data telegrams include a sequence number and are transmitted via both buses, wherein the exchange of data telegrams between the computers of the computer system, a data telegrams receiving computer based on the sequence number in functionality of both buses twice received identical data telegrams and in case of failure of a bus does not recognize identical or not received data telegrams and for each sequence number filters out a complete data message and feeds a further processing.

Um die Verfügbarkeit auch auf den Ausfall der Verbindung zwischen den beiden Rechnern zu erstrecken, genügt es nicht, diese Verbindung redundant auszuführen. Zusätzlich muss dafür gesorgt werden, dass die zu übertragenden Datentelegramme bei Ausfall eines Busses durch das Umschalten von dem ausgefallenen Bus auf den zweiten Bus nicht verloren gehen. Aus diesem Grund werden die Datentelegramme doppelt versendet, und zwar sowohl über den ersten Bus als auch über den redundanten Bus. Beide Datentelegramme werden zusätzlich mit einer fortlaufenden Sequenznummer erweitert, anhand derer der empfangende Rechner einerseits die doppelten Telegramme ausfiltern und andererseits verlorene oder unvollständige Telegramme erkennen kann. Durch das doppelte Senden der Datentelegramme ist sichergestellt, dass beim Ausfall eines Busses kein Datentelegramm verloren geht. Auf Grund der doppelten Versendung der Datentelegramme muss der sendende Rechner keine Prüfung durchführen, um festzustellen, welcher der beiden Busse unter Umständen ausgefallen ist und über welchen Bus die Datentelegramme nunmehr zu versenden sind. Vorteilhaft ist darüber hinaus, dass beim Ausfall eines Busses während des Sendens eines Datentelegramms dieses Datentelegramm trotzdem empfangen wird, da das doppelte, aber gleichartige Telegramm über den intakten Bus empfangen wird. Wenn ein Datentelegramm durch Ausfall eines Busses während des Sendens nur bruchstückhaft beim empfangenden Rechner eingeht, ist auch dieses empfängerseitig erkennbar. Dieses fehlerhafte Datentelegramm wird verworfen und das zweite gleichartige Telegramm, das über den anderen Bus empfangen wurde, wird zur Weiterverarbeitung zugelassen.Around the availability also on the failure of the connection between the two computers to extend is enough it does not do this connection redundantly. In addition, care must be taken that to be transferred Data telegrams in case of failure of a bus by switching from The failed bus on the second bus will not get lost. For this reason, the data telegrams are sent twice, and though both over the first bus as well over the redundant bus. Both data telegrams are additionally included a sequential sequence number by which the recipient Calculator on the one hand filter out the double telegrams and on the other hand lost or incomplete Can recognize telegrams. By double sending the data telegrams it is ensured that no data telegram occurs when a bus fails get lost. Due to the double sending of the data telegrams the sending computer does not have to perform a check to determine which one of the two buses under circumstances has failed and over Which bus the data telegrams are now to be sent. Advantageous is about it in addition, that when a bus fails during the transmission of a data telegram this data telegram is nevertheless received, since the double, but similar telegram about the intact bus is received. If a data telegram due to failure a bus during of sending only fragmentary received at the receiving computer, this is also the receiver side recognizable. This erroneous data telegram is discarded and the second similar telegram received over the other bus has been approved for further processing.

Aus der EP 0 854 610 A2 und der US 2003/0147377 A1 sind Verfahren zur Synchronisation redundanter Ethernet-Kanäle bekannt.From the EP 0 854 610 A2 and the US 2003/0147377 A1 are known methods for the synchronization of redundant Ethernet channels.

Der Erfindung liegt die Aufgabe zu Grunde, ein Rechnersystem mit zwei redundanten Rechnern, die untereinander über zwei redundante Busse Datentelegramme austauschen, anzugeben, dessen Verfügbarkeit auch bei Ausfall eines Busses gegeben ist.Of the The invention is based on the object, a computer system with two redundant computers that communicate with each other via two redundant buses data telegrams indicate its availability even in the event of a failure Bus is given.

Zur Feststellung eines Busausfalls und dessen Behebung ist erfindungsgemäß vorgesehen, dass der Datentelegramme empfangende Rechner die Sequenznummer eines vollständig empfangenen Datentelegramms um 1 inkrementiert und die Sequenznummer eines über den anderen Bus erwarteten, aber nicht oder nicht vollständig empfangenen Datentelegramms beibehält und nicht um 1 inkrementiert, wobei nach einer vorgegebenen Anzahl doppelt empfangener Datentelegramme, deren Sequenznummern nicht übereinstimmen, die nicht inkrementierte Sequenznummer an die inkrementierte Sequenznummer angepasst wird. Empfangsseitig ist die jeweils erwartete Sequenznummer bekannt. Wird ein Da tentelegramm mit dieser Sequenznummer empfangen, wird dieses weitergeleitet bzw. weiter verarbeitet und die erwartete Sequenznummer wird um 1 erhöht. Bei Empfang des doppelten Telegramms entspricht dessen Sequenznummer nicht mehr der neuen erwarteten Sequenznummer und dieses Datentelegramm wird verworfen. Das gleiche Prinzip wirkt auch, wenn ein Datentelegramm nicht übertragen wurde. Um sicherzustellen, dass bei Nichtempfang oder nicht vollständigem Empfang eines Datentelegramms, aber nachfolgender korrekter Datentelegrammübertragung nicht generell alle folgenden Datentelegramme verworfen werden, ist vorgesehen, dass nach einer vorgegebenen Anzahl doppelt empfangener Datentelegramme, deren Sequenznummern nicht übereinstimmten, die vorher nicht inkrementierte Sequenznummer an die inkrementierte Sequenznummer angepasst wird. Der empfangende Rechner führt dazu einen Zähler, in den die Anzahl der bereits verworfenen Datentelegramme eingeschrieben wird. Diese Anzahl kann projektiert werden. Bei Überschreitung einer bestimmten Anzahl erfolgt die Übernahme der Sequenznummer des zur Weiterverarbeitung zugelassenen Datentelegramms, sodass der empfangende Rechner mit dieser Sequenznummer weiterarbeitet. Auf diese Weise ist sichergestellt, dass nach einer definierten Anzahl von verworfenen Datentelegrammen wieder doppelte Datentelegramme zur Verarbeitung zur Verfügung stehen. Damit entfällt auch eine zusätzliche Kommunikation zwischen dem sendenden und dem empfangenden Rechner, bei der der sendende Rechner dem empfangenden Rechner seinen Neustart mitteilen müsste, damit der empfangende Rechner seine nächste erwartete Sequenznummer zurücksetzen kann.To determine a bus failure and its elimination, the invention provides that the data telegrams receiving computer, the sequence number of a fully received data telegram increments by 1 and the sequence number of a bus expected over the other bus, but not or not completely received data telegram and not incremented by 1, after a given number doubly received data telegrams whose sequence numbers do not match, the non-incremented sequence number is adapted to the incremented sequence number. At the receiving end, the respectively expected sequence number is known. If a data telegram is received with this sequence number, it is forwarded or further processed and the expected sequence number is increased by 1. When the double telegram is received, its sequence number no longer corresponds to the new expected sequence number and this data telegram is discarded. The same principle also works if a data telegram has not been transmitted. In order to ensure that in the event of non-receipt or incomplete reception of a data telegram, but subsequent correct data telegram transmission, generally not all subsequent data telegrams are discarded, it is provided that after a predetermined number of doubly received data telegrams whose sequence numbers do not match, the previously uncrimped sequence number is incremented to the incremented one Sequence number is adjusted. The receiving computer leads to a counter in which the number of already discarded data telegrams is written. This number can be configured. If a certain number is exceeded, the sequence number of the data telegram permitted for further processing is adopted so that the receiving computer continues to work with this sequence number. In this way, it is ensured that after a defined number of discarded data telegrams again duplicate data telegrams are available for processing. This also eliminates additional communication between the sending and the receiving computer, in which the sending computer would have to notify the receiving computer of its restart so that the receiving computer can reset its next expected sequence number.

Die Erfindung wird nachfolgend anhand figürlicher Darstellungen näher erläutert. Es zeigen:The The invention will be explained in more detail with reference to figurative representations. It demonstrate:

1 eine Prinzipdarstellung einer Rechnerkommunikation bekannter Bauart, 1 a schematic diagram of a computer communication of known type,

2 ein beanspruchtes Rechnersystem und 2 a claimed computer system and

3 einen Ablaufplan für ein beanspruchtes Kommunikationsverfahren 3 a flowchart for a claimed communication method

Die 1 und 2 veranschaulichen ein Zugbussystem ZB, an das eine Bahn-Applikation BA angeschlossen ist, die mittels eines Zuglenkrechners ZLR1 und bei Ausfall dieses Rechners mittels eines zweiten redundanten Zuglenkrechners ZLR2 ange steuert wird. Beide Zuglenkrechner ZLR1 und ZLR2 müssen ständig an den aktuellen Prozesszustand angepasst werden. Dazu ist ein Datenaustausch zwischen den beiden Zuglenkrechnern ZLR1 und ZLR2 erforderlich.The 1 and 2 illustrate a train bus system ZB, to which a train application BA is connected, which is controlled by means of a Zuglenkrechners ZLR1 and in case of failure of this computer by means of a second redundant Zuglenkrechners ZLR2. Both tension calculators ZLR1 and ZLR2 must be constantly adapted to the current process status. For this purpose, a data exchange between the two Zuglenkrechnern ZLR1 and ZLR2 is required.

Bei der bekannten Lösung gemäß 1 werden Datentelegramme zwischen den Zuglenkrechnern ZLR1 und ZLR2 über eine einfache Verbindung V ausgetauscht. Das führt dazu, dass zwar der Ausfall eines der beiden Zuglenkrechner ZLR1 oder ZLR2 toleriert werden kann, nicht aber ein zusätzlicher Ausfall der Verbindung V. Letztere führt zu einem Totalausfall der Bahn-Applikation BA, da diese mangels aktueller Daten auf dem noch funktionsfähigen Zuglenkrechner ZLR1 oder ZLR2 nicht mehr angesteuert werden kann.In the known solution according to 1 Data telegrams are exchanged between the Zuglenkrechnern ZLR1 and ZLR2 via a simple connection V. This leads to the fact that although the failure of one of the two Zuglenkrechner ZLR1 or ZLR2 can be tolerated, but not an additional failure of the connection V. The latter leads to a total failure of the web application BA, as this lack of current data on the still functional Zuglenkrechner ZLR1 or ZLR2 can no longer be controlled.

Um einem derartigen Totalausfall vorzubeugen und die Verfügbarkeit des Rechnersystems zu erhöhen, ist gemäß 2 eine redundante Kopplung der beiden Zuglenkrechner ZLR1 und ZLR2 über eine redundante Busverbindung mit zwei Bussen BUS1 und BUS2 vorgesehen. Beide Busse BUS1 und BUS2 werden parallel zueinander für die Datentelegrammübertragung zwischen den Zuglenkrechnern ZLR1 und ZLR2 verwendet. Beispielsweise ein von dem ersten Zuglenkrechner ZLR1 generiertes Datentelegramm wird über beide Busse BUS1 und BUS2 quasi doppelt versendet und auch von dem empfangenden Zuglenkrechner ZLR2 doppelt empfangen. Damit der empfangende Zuglenkrechner ZLR2 die doppelten gleichartigen Datentelegramme erkennen und jeweils ein Datentelegramm zur Weiterverarbeitung ausfiltern kann, sind die Datentelegramme mit Sequenznummern versehen, die für jedes neue Datentelegramm um 1 inkrementiert werden. Bei korrekter Arbeitsweise beider Busse BUS1 und BUS2 stimmen die Sequenznummern der an den beiden Bussen BUS1 und BUS2 anstehenden Datentelegramme überein.In order to prevent such a catastrophic failure and to increase the availability of the computer system is according to 2 a redundant coupling of the two Zuglenkrechner ZLR1 and ZLR2 provided via a redundant bus connection with two buses BUS1 and BUS2. Both buses BUS1 and BUS2 are used in parallel to each other for the data telegram transmission between the Zuglenkrechnern ZLR1 and ZLR2. For example, a data telegram generated by the first Zuglenkrechner ZLR1 is quasi double sent via both buses BUS1 and BUS2 and also received twice by the receiving Zuglenkrechner ZLR2. So that the receiving Zuglenkrechner ZLR2 recognize the double similar data telegrams and each one data telegram can filter out for further processing, the data telegrams are provided with sequence numbers, which are incremented by 1 for each new data telegram. With correct operation of both buses BUS1 and BUS2, the sequence numbers of the pending on the two buses BUS1 and BUS2 data telegrams match.

3 veranschaulicht ein Ablaufschema für den Umgang mit korrekter Datentelegrammübertragung und gestörter Datentelegrammübertragung. Wenn ein Datentelegramm von einem Zuglenkrechner ZLR1 oder ZLR2 empfangen wird 1, wird zunächst festgestellt, ob die aktuelle Sequenznummer Akt_TZ im empfangenen Datentelegramm der nächsten erwarteten Sequenznummer NEXT_TZ entspricht 2. Ist dies der Fall, wird ein Zähler der verworfenen Datentelegramme ResetCounter = 0 auf den Zählerstand Null gesetzt oder belassen 3. Die Sequenznummer wird um 1 inkrementiert NEXT_TZ++ und als nächste erwartete Sequenznummer abgespeichert 4. Das Datentelegramm wird zur Verarbeitung freigegeben 5. 3 illustrates a flow chart for dealing with correct data telegram transmission and disturbed data telegram transmission. When a data telegram is received from a Zuglenkrechner ZLR1 or ZLR2 1 , it is first determined whether the current sequence number Akt_TZ in the received data telegram corresponds to the next expected sequence number NEXT_TZ 2 , If this is the case, a counter of the discarded data telegrams ResetCounter = 0 is set to zero or zero 3 , The sequence number is incremented by 1 NEXT_TZ ++ and stored as the next expected sequence number 4 , The data telegram is released for processing 5 ,

Für den Fall, dass die Übereinstimmung zwischen der aktuellen Sequenznummer und der erwarteten Sequenznummer 2 verneint werden muss, wird zunächst festgestellt, ob die Anzahl der verworfenen Datentelegramme bereits eine vorgegebene Anzahl, hier 3, ResetCounter >= 3 überschritten hat 6. Wenn das bejaht wird, wird die erwartete Sequenznummer NEXT_TZ = Akt_TZ derart angepasst 7, dass der Rückstand der aktuellen Sequenznummer von der erwarteten Sequenznummer beseitigt wird. Nur wenn noch nicht drei Datentelegramme verworfen wurden 6, wird der Zähler der verworfenen Datentelegramme ResetCounter++ um einen Wert hochgesetzt 8 und das entsprechende Datentelegramm wird verworfen 9. Auf diese Weise ergibt sich ein weitgehend fehlerfreies und automatisches Datentelegrammmanagement.In the event that the match between the current sequence number and the expected sequence number 2 has to be denied First determined whether the number of discarded data telegrams already a predetermined number, here 3 , ResetCounter> = 3 has exceeded 6 , If that is affirmative, the expected sequence number NEXT_TZ = Akt_TZ is adjusted 7 in that the residue of the current sequence number is eliminated from the expected sequence number. Only if not three data telegrams have been rejected 6 , the counter of the discarded data telegrams ResetCounter ++ is incremented by one value 8th and the corresponding data telegram is discarded 9 , In this way, results in a largely error-free and automatic data telegram management.

Claims

Computer system for the control of rail applications (BA) with two redundant computers (ZLR1, ZLR2), which are connected to each other via two redundant buses (BUS1, BUS2) and exchange data telegrams, which contain a sequence number and in each case via both buses (BUS1 , BUS2) are transmitted, wherein a data telegrams receiving computer (ZLR1, ZLR2) based on the sequence number in the operability of both buses (BUS1, BUS2) double received identical data telegrams and in case of failure of a bus (BUS1, BUS2) does not recognize identical or not received data telegrams and to each sequence number filters out a complete data message and feeds a further processing, characterized in that the data telegrams receiving computer (ZLR1, ZLR2) the sequence number of a fully received data telegram increments by 1 and the sequence number one on the other bus (BUS1, BUS2) expected, but not or not completely received data telegram and not incremented by 1, wherein after a predetermined number of double received data telegrams whose sequence numbers do not match, the uncremented sequence number is adapted to the incremented sequence number.