DE3502387C2

DE3502387C2 -

Info

Publication number: DE3502387C2
Application number: DE19853502387
Authority: DE
Inventors: Reinhold Ing.(Grad.) 5200 Siegburg De Grewe; Peter Dipl.-Phys. Dr. 5060 Bergisch Gladbach De Wratil
Original assignee: Kloeckner-Moeller Elektrizitaets 5300 Bonn De GmbH
Current assignee: Eaton Industries GmbH
Priority date: 1985-01-25
Filing date: 1985-01-25
Publication date: 1988-03-31
Also published as: DE3502387A1

Abstract

In this method, a control unit (1) is directly connected to the system bus of the microprocessor system (20) or of the stored-program control. The control unit compares checkpoints inserted in the safety-relevant area in the program paths with a stored map and outputs an error signal in the case of deviations. The control-unit (1) hardware construction differs from that of the central processing unit, which also operates with a different program. The checkpoints are determined by coordinates or other numbering and must be accurately defined by the control unit (1) by means of following information: a) identification of all checkpoints which follow the current checkpoint; b) the maximum time which may elapse until the next checkpoint is reached. The control unit compares this identification with the stored permissible identification and responds in the case of deviations. <IMAGE>

Description

Die Erfindung bezieht sich auf ein Verfahren zur Überwachung von Mikroprozessorsystemen und speicher programmierbaren Steuerungen, die zumindest eine Zentraleinheit enthalten, mittels einer Kontrollein heit, die einen Speicher aufweist, in dem entsprechen de Sollparameter gespeichert sind, die mit den Istwerten der im Programmablauf festpositionierten Kontrollpunkte verglichen werden, wobei die Kontrolleinheit mit direktem Zugriff auf den Sy stembus den Programmablauf einer oder mehrerer Zen traleinheiten überwacht und bei Abweichung des Istwertes von dem Sollwert die Zentraleinheit zu einer sicherheitsempfindlichen Reaktion veranlaßt.The invention relates to a method for Monitoring of microprocessor systems and memory programmable controls that have at least one Central unit included, by means of a control unit that has a memory in which correspond target parameters are saved, which can be used with the Actual values of those fixed in the program sequence Control points are compared, the Control unit with direct access to the sy stembus the program flow of one or more Zen tral units monitored and if the Actual value from the setpoint to the central unit a safety-sensitive reaction.

Derartige Systeme bestehen aus einer oder mehreren Zentraleinheiten, die nach Vorschrift des Betriebs- oder Anwenderprogramm über ein Bussystem Komponen ten ansteuern.Such systems consist of one or more Central units, which according to the regulations of the or user program via a components bus system control.

Für den richtigen Ablauf eines programmierten Pro zesses ist die einwandfreie Funktion jeder Zentral einheit eine notwendige Voraussetzung. Fehlerhafte Funktionen oder Zustände können, je nach Anwendung, zu gefahrvollen Situationen an dem zu steuernden Gerät für Mensch und Maschine führen. Derartige Fehlfunktionen müssen deshalb erkannt werden und zu einer sicheren Haltestellung des Gesamtsystems füh ren oder den Prozeß durch eine weitere Einheit fortführen lassen.For the correct execution of a programmed pro zesses is the perfect function of every central unity is a necessary requirement. Faulty Depending on the application, functions or states can to dangerous situations on the one to be controlled Operate device for man and machine. Such Malfunctions must therefore be recognized and closed a safe stop of the entire system or the process by another unit let continue.

Zur Erfüllung dieser Sicherheitsanforderungen sind bereits Systeme bekannt, die mit zwei oder mehreren genau parallel geschalteten Schreib-Lese-Speichern ausgestattet sind, so daß alle Daten, die in den ersten Speicher geschrieben werden, auch in den folgenden Speichern enthalten sind. Beim Lesen wer den die Daten der zusätzlichen Speicher auf einen Vergleicher geschaltet, der die gelesenen Daten mit dem ersten Speicher vergleicht und bei Ungleichhei ten eine Fehlermeldung gibt. Damit auch bei gleich artiger Verfälschung der Daten in den Speichern ein Fehler erkannt wird, sind die Daten in den zusätz lichen Speichern invertiert abgelegt und werden auch beim Lesen wieder invertiert. Daher werden bei der artigen Sicherheitssystemen sowohl der Schaltungs aufbau als auch die Programmgestaltung sehr aufwen dig.To meet these security requirements are already known systems with two or more read-write memories connected in parallel are equipped so that all data in the first memory can be written, even in the following memories are included. When reading who which the data of the additional memory on one Switched comparator, which the read data with compares to the first memory and in the case of inequality there is an error message. So even with the same like falsification of the data in the memories If errors are detected, the data in the additional stored memories inverted and are also inverted again when reading. Therefore at like security systems of both the circuit construction as well as the program design dig.

Aus der DE-OS 29 39 194 ist ein Verfahren zum Über wachen des ordnungsgemäßen Ablaufs eines Programms bekannt, welches lediglich an den Übergabestellen der Unterprogramme ein Prüfbefehlswort aufweist, das benutzt wird, um die ihm zugehörige Parameterangabe als aktuellen Prüf-Ist-Befehl mit einer vorgegebenen Soll-Befehlsfolge in der Kontrolleinheit zu verglei chen. Nachteilig ist es hierbei, daß nur eine sta tische Positionskontrolle durchgeführt wird, bei der im Zuge des Programmablaufs lediglich festbestimmte Positionen, nämlich die Übergangsstellen von einem Unterprogramm zum folgenden Unterprogramm, überprüft werden. Dieses Verfahren ist nicht in der Lage eine verzweigte Pfadkontrolle in einem sicherheitsrele vanten Bereich, im Zuge der Programmabwicklung der aktuellen Unterprogramme durchzuführen, da die Kon trollpunkte nicht frei wählbar und vernetzt positio niert werden können. Fehlererkennung im zeitlichen Ablauf der Programmabwicklung sowie eine Kennung aller Kontrollpunkte, die auf den aktuellen Kon trollpunkt folgen können, ist bei dem Verfahren nach der DE-OS 29 39 194 nicht möglich.From DE-OS 29 39 194 is a method for over monitor the proper running of a program known, which is only at the transfer points the subroutines have a test command word that is used to specify the associated parameter as the current test / actual command with a predefined one Compare target command sequence in the control unit chen. The disadvantage here is that only one sta table position control is carried out at only determined in the course of the program Positions, namely the transition points from one Subroutine for the following subroutine, checked will. This procedure is unable to do so branched path control in a security area vanten area, in the course of the program execution of the current subroutines, because the Kon troll points not freely selectable and networked positio can be renated. Error detection in time Program execution process and an identifier of all checkpoints based on the current con troll point can follow in the procedure DE-OS 29 39 194 not possible.

In der Veröffentlichung "IBM Technical Disclosure Bulletin", April 1984, S. 6217 bis 6220 wird ein Verfahren beschrieben, das eine Aufzeichnung, der von der Zentraleinheit durchlaufenden Programmpfade und eine Ausgabe der im adressierten Speicher abge legten Informationen ermöglicht. Hierfür enthält der Speicher ein festes Bitmuster, das in Abhängigkeit von einem Steuerbit über eine Output Control-Logic an einen Hardware-Monitor ausgegeben werden kann. Die Kontrollpunkte liegen in den von der Zentralein heit zu durchlaufenden Programmpfaden. Nachteilig ist es bei diesem Verfahren, daß lediglich festbe stimmte Informationen an den Hardware-Monitor gege ben werden, die dann zu einem späteren Zeitpunkt analysiert werden können. Fehler im zeitlichen Ab lauf oder eine Ablaufunterbrechung zwischen den Kontrollpunkten, werden nicht erkannt.In the publication "IBM Technical Disclosure Bulletin ", April 1984, pp. 6217 to 6220 Method described, which is a record of program paths running through the central unit and an output of the in the addressed memory information. For this, the Store a fixed bit pattern that depends from a control bit via an output control logic can be output to a hardware monitor. The checkpoints are in the central one to run through program paths. Disadvantageous it is in this process that only festbe agreed information to the hardware monitor be used at a later date can be analyzed. Error in the temporal Ab run or an interruption of the process between the Control points are not recognized.

In der EP-OS 01 30 467 wird ein Aufzeichnungsverfah ren für Mikroprozessoren vorgestellt. Hierbei er folgt, nach dem Programmdurchlauf, eine Zusammen führung der für den chronologischen Ablauf angeleg ten Aufzeichnungstabellen für jede Zentraleinheit in einem Mikroprozessorsystem. Hier wird lediglich eine Methode zur späteren Diagnose aufgezeigt. Dieses Verfahren bietet keine Fehlererkennung und ent sprechende Sicherheitsreaktion während des aktuellen Programmdurchlaufs.In EP-OS 01 30 467 a recording procedure microprocessors. Here he follows after the program has run through a team management of the chronological process record tables for each central unit in a microprocessor system. Here is just one Method for later diagnosis shown. This The method offers no error detection and ent speaking security response during the current Program run.

Der Erfindung liegt die Aufgabe zugrunde, ein Ver fahren zur Überwachung von Mikroprozessorsystemen und speicherprogrammierbaren Steuerungen zu schaf fen, das in der Lage ist, den fehlerfreien Ablauf einer oder mehrerer Zentraleinheiten, synchron zum Prozeßablauf, zu kontrollieren, wobei die Kon trollpunkte frei wählbar und vernetzt in die Pro grammpfade eingebracht werden können und Fehlverhal ten, insbesondere, die sich im zeitlichen Ablauf ergeben oder Ablaufunterbrechungen im Zuge des Programmdurchlaufs, zu erkennen und mittels einer Fehlermeldung eine sofortige sicherheitsspezi fische Reaktion einleitet.The invention has for its object a Ver drive to monitor microprocessor systems and programmable logic controllers fen that is able to run properly one or more central units, synchronized to Process flow to control, the Kon troll points freely selectable and networked in the Pro gram paths can be introduced and misconduct ten, in particular, which are in the temporal Process results or process interruptions in the course of the program run, to be recognized and by means of an error message an immediate security spec initiates fish reaction.

Diese Aufgabe wird erfindungsgemäß durch die kenn zeichnenden Merkmale des Patentanspruchs 1 gelöst, während in den Ansprüchen 2 bis 5 besonders vorteil hafte Weiterbildungen des Verfahrens gekennzeichnet sind.This object is achieved by the kenn characterizing features of claim 1 solved, while in claims 2 to 5 particularly advantageous marked further developments of the method are.

Damit systematische Fehler ausgeschaltet werden, ist der Schaltungsaufbau der zur Realisierung des Ver fahrens verwendeten Kontrolleinheit unterschiedlich zu dem der zu überprüfenden Zentraleinheit. Ebenso ist das Prüfprogramm unterschiedlich zum Betriebs- und Anwenderprogramm aufgebaut, damit gleichartige Fehler im Prüfprogramm und im Betriebs- oder Anwen dungsprogramm sofort erkannt werden. Auf diese Weise prüft die Kontrolleinheit den richtigen Ablauf der Zentraleinheit, während umgekehrt die Zentraleinheit die laufende Aktivität der Kontrolleinheit testet, so daß jeder Fehler oder Ausfall einer Einheit si cher erkannt wird.So that systematic errors are eliminated the circuit structure of the realization of Ver control unit used differently to that of the central unit to be checked. As well is the test program different from the operational and user program set up so that they are similar Errors in the test program and in the operating or application program can be recognized immediately. In this way the control unit checks the correct process of the Central unit, while vice versa the central unit tests the current activity of the control unit, so that any failure or failure of a unit cher is recognized.

Anhand der Zeichnung sei das Verfahren und eine beispielhafte Ausführungsform der Kontrolleinheit näher erläutert. Es zeigtBased on the drawing, the procedure and one exemplary embodiment of the control unit explained in more detail. It shows

Fig. 1 ein Beispiel für den Programmablauf der Zentraleinheit mit den in die Pfadverzwei gungen eingebrachten Kontrollpunkten nach dem erfindungsgemäßen Verfahren, Fig. 1 shows an example of the program flow of the central unit with the conditions in the Pfadverzwei introduced control points according to the inventive method,

Fig. 2 den Informationsaufbau in einer Kontroll einheit für den Programmablauf nach Fig. 1, Fig. 2 shows the information structure in a control unit for program execution according to Fig. 1,

Fig. 3 das Blockschaltbild eines beispielhaften Aufbaus einer Kontrolleinheit zur Durch führung des erfindungsgemäßen Verfahrens. Fig. 3 shows the block diagram of an exemplary structure of a control unit for implementing the method according to the invention.

In Fig. 1 ist ein Beispiel eines Programmablaufs der Zentraleinheit mit den in den Pfadverzweigungen eingebrachten Kontrollpunkten nach dem erfindungsge mäßen Verfahren dargestellt. Das Programm ist in einzelne verzweigte Programmpfade aufgeteilt, die in einer bestimmten Reihenfolge durchlaufen werden. In dem Programm sind die Kontrollpunkte 0.0 bis 8.0 in einem bestimmten Schema, das vom Anwenderprogramm und dessen Sicherheitsanforderungen bestimmt wird, angeordnet. Die Kontrollpunkte und die Kontroll punktsituation sind durch das Koordinatensystem genau zu definieren. Eine andere Kennung, beispiels weise durch laufende Nummerierung, ist ebenso mög lich.In Fig. 1 an example of a program flow of the central unit is shown with the control points introduced in the path branches according to the inventive method. The program is divided into individual branched program paths, which are run through in a specific order. In the program, the control points 0.0 to 8.0 are arranged in a specific scheme, which is determined by the user program and its security requirements. The control points and the control point situation are to be precisely defined by the coordinate system. Another identifier, for example by consecutive numbering, is also possible.

Das erfindungsgemäße Verfahren besteht nun darin, daß eine Kontrolleinheit das richtige Anlaufen und Überlaufen der Kontrollpunkte in der vorgegebenen Zeit (oder Maximalzeit) kontrolliert und mit einem gespeicherten Sollabbild vergleicht. Dafür erhält sie für jeden Kontrollpunkt die folgenden Informa tionen:The method according to the invention now consists in that a control unit makes the correct start and Overflow the control points in the given Time (or maximum time) controlled and with a compares the saved target image. For that gets the following information for each checkpoint ions:

a) Identification of all checkpoints that refer to the current len checkpoint can follow;
b) the maximum time to reach the next checkpoint.

Die Zentraleinheit gibt beim Überlaufen eines Kon trollpunktes dessen Kennung an die Kontrolleinheit weiter. Diese vergleicht die gemeldete Aktualkennung mit den, unter der letzten Kennung abgespeicherten, erlaubten Kennungen entsprechend dem Informations aufbau, wie er in Fig. 1 dargestellt ist.When a control point overflows, the central unit forwards the identifier to the control unit. This compares the reported current identifier with the permitted identifiers stored under the last identifier in accordance with the information structure as shown in FIG. 1.

Als Beispiel seien hier die auf die Aktualkennung 0.0 folgenden Kontrollpunkte 2.0, 2.5, 2.10 heraus gegriffen. Liegt nach 0.0 im Programmpfad als nächster Punkt 2.0 fest, so mit dieser Punkt in der Zeit t _2.0 erreicht sein; bei 2.5 ist die Zeit t _2.5 und bei 2.10 gehört zur Information die Zeit t _2.10. As an example, the control points 2.0, 2.5, 2.10 following the current identifier 0.0 are selected here. If the next point is 2.0 after 0.0 in the program path , this point should be reached in time t _2.0 ; at 2.5 the time t is _2.5 and at 2.10 the time t _2.10 belongs to the information.

Für die Zeitüberwachung enthält die Kontrolleinheit eine Uhr, die mit dem Erreichen eines Kontroll punktes jeweils neu aufgezogen wird.The control unit contains for time monitoring a clock that with reaching a control point is raised again.

Die Kontrolleinheit erkennt einen Fehlerfall, wenn:The control unit detects an error if:

a) the reported identifier, here the coordinates of the Checkpoint, not among the stored and permitted identifiers can be found, and
b) if the one saved under the last identifier Time has elapsed without being correct Has reported the following identifier.

Zur gegenseitigen Überprüfung sowohl der Zentralein heit wie auch der Kontrolleinheit kann beim Errei chen jeder Kontrollpunktposition von den betroffenen Einheiten eine Quersummenrechnung oder eine andere fehlersignifikante Berechnung durchgeführt werden. Hierdurch kann die Zentraleinheit des Mikroprozes sorsystems oder der speicherprogrammierbaren Steue rung immer wieder die korrekte Arbeitsweise der Kontrolleinheit überprüfen.For mutual verification of both the central office unit as well as the control unit can each checkpoint position from those concerned Units a cross-sum calculation or another error-significant calculation can be performed. This allows the central unit of the microprocess sorsystems or the programmable logic controller correct operation of the Check control unit.

Fig. 3 zeigt ein Blockschaltbild eines beispielhaf ten Aufbaus einer Kontrolleinheit zur Durchführung des erfindungsgemäßen Verfahrens. Fig. 3 shows a block diagram of an exemplary structure of a control unit for performing the method according to the invention.

Die Kontrolleinheit 1 besteht aus dem Koordinaten speicher, einem speziellen Halbleiterspeicher, der unter den Adressen die jeweils möglichen Folgeposi tionen enthält. Dieser Speicher wird vor dem Pro grammablauf geladen. Die Informationen vom Systembus erhält der Koordinatenspeicher über den Zwischen speicher, der auch gleichzeitig die erforderlichen Informationen vom Systembus an den Kontrollprozessor liefert. Dieser hat die Aufgabe, das eigentliche Kontrollprogramm abzuarbeiten. Bei Feststellung eines Fehlers im Programmablauf erfolgt vom Kon trollprozessor eine Fehlersteuerung über den System bus an die Zentraleinheit 2. Diese Fehlersteuerung kann aus der Mitteilung des Fehlers bestehen. Sie kann aber auch, je nach Art des Fehlers, eine Feh lerdiagnose enthalten. Der Kontrollprozessor gibt noch ein zweites Fehlersignal, das beispielsweise auf ein zweites System umschaltet, wenn das kon trollierte System ausfällt.The control unit 1 consists of the coordinate memory, a special semiconductor memory that contains the possible subsequent positions under the addresses. This memory is loaded before the program runs. The coordinate memory receives the information from the system bus via the intermediate memory, which also simultaneously delivers the required information from the system bus to the control processor. This has the task of working through the actual control program. If an error is found in the program sequence, the control processor carries out an error control via the system bus to the central unit 2 . This error control can consist of the notification of the error. However, depending on the type of error, it can also contain an error diagnosis. The control processor issues a second error signal, which switches, for example, to a second system if the controlled system fails.

Zur Überwachung des zeitlichen Ablaufs ist eine unabhängige Uhr vorgesehen, welche bei Überlaufen eines Kontrollpunktes neu aufgezogen wird und zwar auf den Wert, der maximal zum Erreichen der nächsten Kontrollpunktposition erforderlich ist. In der Kon trolleinheit 1 ist noch ein Datenseparator, der eine Schalterfunktion ausübt, zwischen Koordinatenspei cher und Systembus angeordnet. Dieser Datenseparator regelt die Abfrage der Kontrollpunkte.To monitor the timing, an independent clock is provided, which is rewound when a control point is overrun, to the maximum value that is required to reach the next control point position. In the control unit 1 is still a data separator, which performs a switch function, arranged between coordinate memory and system bus. This data separator controls the query of the control points.

Damit die Kontrolleinheit von der Stromversorgung des Systems unabhängig ist, erfolgt eine separate Stromversorgung, die auch bei Spannungsabfall eine ausreichend lange Pufferung erlaubt.So that the control unit from the power supply the system is independent, a separate one takes place Power supply, even in the event of a voltage drop sufficient buffering allowed.

Claims

1.Method for monitoring microprocessor systems and programmable logic controllers, which contain at least one central unit, by means of a control unit which has a memory in which corresponding target parameters are stored, which are compared with the actual values of the control points fixed in the program sequence, where the Control unit with direct access to the system bus monitors the program sequence of one or more central units and, if the actual value deviates from the target value, causes the central unit to react in a safety-specific manner, characterized in that in a safety-relevant area, the program paths traversed by the central unit ( 2 ) are free Selectably networked control points are introduced, the position and time parameters of which are stored in the memory of the control unit ( 1 ) as a target image and that the central unit ( 2 ), when a control point is reached, the current position and time itpa parameters to the control unit ( 1 ), which there are compared with the correspondingly stored target image for agreement by

a) it is checked whether the current checkpoint was approached from the logically correct previous checkpoint and
b) a clock is started in the control unit ( 1 ) which indicates the period in which the next control point must have started.

2. The method according to claim 1, characterized in that the control unit ( 1 ) is constructed in terms of hardware differing from the central unit ( 2 ).

3. The method according to claims 1 and 2, characterized in that the control unit ( 1 ) with a program to the central unit ( 2 ) different program works.

4. The method according to claims 1 to 3, characterized in that the error-free operation of the control unit ( 1 ) itself is monitored by the central unit ( 2 ).

5. The method according to claims 1 to 4, characterized in that the control unit ( 1 ) has its own power supply, which allows sufficient buffering in the event of a power failure.