Die Erfindung bezieht sich auf eine Schaltungsanordnung zum Prüfen des ordnungsgerechten Anlaufens eines zweikanaligen Fail-Safe-Mikrocomputerschaltwerkes, insbesondere für Eisenbahnsicherungsanlagen, mit in zwei Kanälen dieselben Informationen verarbeitenden Mikrocomputern, deren Signale Bit für Bit in einer Vielzahl von Vergleichern geprüft werden, wobei nur bei vollständiger, dauernder Ordnungsmäßigkeit aller Bit-Paare kein Abschaltvorgang ausgelöst wird, und Speicher für Prüfprogramme vorgesehen sind, die mindestens im Zeitraum des Anlaufens des Mikrocomputerschaltwerkes zu Testzwecken eingesetzt sind.

Bei technischen Prozessen mit Sicherheitsverantwortung, beispielsweise bei der Überwachung und Steuerung von Kernreaktoren oder bei Eisenbahnsicherungsanlagen, wird nach einem anerkannten sicherungstechnischen Prinzip gearbeitet, wodurch bei technischen Fehlern, mit denen beim Betrieb von nichtsicheren Datenverarbeitungsanlagen gerechnet werden muß, der zu steuernde Prozeß in einen für den Menschen und für das Material unkritischen Zustand überführt wird. Dies kann dadurch erreicht werden, daß allen prozeßaktivierenden Informationen spezielle Signale, z.B. hoher Signalpegel, Wechselsignale, zugeordnet werden, die bei einer erkannten technischen Störung der Datenverarbeitungsanlage auf allen Ausgabekanälen in ein unkritisches Signal, z.B. null Volt, überführt werden.

Ein Mikrocomputerschaltwerk der oben angegebenen Art, welches der erläuterten Sicherheitsphilosophie genügt, ist aus der Fachzeitschrift "Elektronische Rechenanlagen" 22. Jahrgang 1980, Heft 5, Seiten 229 bis 236 bekannt. Dieses bewährte Mikrocomputerschaltwerk ist aus zwei parallel dieselben Informationen verarbeitenden Mikrocomputern aufgebaut und wird so betrieben, daß nach einer festgestellten Ungleichheit beider Kanäle die Aktivitäten der Mikrocomputer unterdrückt werden. Dies kann entweder durch ein Zurückhalten der die beiden Mikroprozessoren treibenden Taktpulse oder durch unmittelbares Abschalten von Ausgangssignalumsetzern erfolgen.

Das zweikanalige Fail-Safe-Mikrocomputerschaltwerk erfüllt in vorteilhafter Weise die Forderung nach einer kurzen Defekt-Offenbarungszeit zum einen dadurch, daß in dem Schaltwerk nach jedem einen Verarbeitungsschritt charakterisierenden Taktimpuls die Zustände beider Computerzweige miteinander verglichen werden, so daß der nächste Verarbeitungsschritt nur in Abhängigkeit vom positiven Gesamtergebnis dieses Vergleichsvorganges ausgelöst werden kann; zum anderen sind spezielle Prüfprogramme vorgesehen.

Eingehende Überlegungen haben jedoch im Ergebnis gezeigt, daß die gewünschte Fehleroffenbarung unter bestimmten Voraussetzungen in der Anlaufphase des zweikanaligen Mikrocomputerschaltwerkes u.U. nicht gewährleistet sein kann.

Der Erfindung liegt somit die Aufgabe zugrunde, ein zweikanaliges Mikrocomputerschaltwerk der eingangs genannten Art durch eine Zusatzschaltung so weiterzubilden, daß im Falle des Anlaufens des Mikrocomputerschaltwerkes mit identisch falschen Daten und/oder Adressen auch dieser Fehler im Rahmen der gewünschten kurzen Defekt-Offenbarungszeit erkannt wird und zu einem Abschaltvorgang führt.

Erfindungsgemäß wird die Aufgabe dadurch gelöst, daß nach dem Anlaufen des Mikrocomputerschaltwerkes mindestens die für einen Vergleicher von dem einen Kanal vorgesehene Information auf einer fest vorgegebenen Anzahl aufeinanderfolgender Verarbeitungsschritte per Prüfprogramm invertiert über einen steuerbaren Inverter zugeführt sind, und daß Schaltmittel vorgesehen sind, die zu Beginn der vorgegebenen Anzahl von Verarbeitungsschritten den Inverter wirksam schalten und nach der vorgegebenen Anzahl von Verarbeitungsschritten wieder unwirksam schalten.

Hiermit ist es in vorteilhafter Weise möglich, den richtigen Anlauf des Mikrocomputerschaltwerkes mit ordnungsgerechten Anfangsadressen für die beiden Mikroprozessoren sicherzustellen, wobei der Vergleich beispielsweise an mindestens einem Datenbitpaar der beiden Datenbusse erfolgen kann. Zu dem Zweck wird ein Datenbit der ersten verglichenen Daten z.B. im Speicher per Prüfprogramm eines Kanals invertiert, und zwar auf einer vorgegebenen Anzahl aufeinanderfolgender Verarbeitungsschritte.

Da die Realisierung der zusätzlichen Hardware-Schaltung ebenfalls ausschließlich mit handelsüblichen Bausteinen der Digitaltechnik erfolgen kann und die zusätzliche Schaltung besonders aufwandsarm ist, bereichert die erfindungsgemäße Lösung das Mikrocomputerschaltwerk in besonders hohem Maße.

Eine bevorzugte Ausbildung der erfindungsgemäßen Schaltungsanordnung sieht vor, daß dem Vergleicher als steuerbarer Inverter ein Exclusiv-ODER-Glied zugeordnet ist, von dem ein Eingang mit dem Ausgang eines die vorgegebene Anzahl von Verarbeitungsschritten bestimmenden Zählers verbunden ist, der bei einem für mehrere Schaltungsteile des Mikrocomputerschaltwerkes vor dem Anlaufen vorgesehenen Rücksetzsignal einschaltbar und durch die die Verarbeitungsschritte charakterisierenden Taktimpulse fortschaltbar ist.

Ein Ausführungsbeispiel der Erfindung ist in der Zeichnung dargestellt und wird nachfolgend erläutert.

Die Zeichnung zeigt im Blockschaltbild ein zweikanaliges Fail-Safe_-Mikrocomputerschaltwerkmit zwei Mikrocomputern MC1 und MC2. Dieses Mikrocomputerschaltwerk möge zur Steuerung des Betriebes bei Eisenbahnsicherungsanlagen eingesetzt werden. Symbolisch für eine Vielzahl von Eingängen ist ein Eingangssignalumsetzer EGR dargestellt, der ausgangsseitig mit beiden Mikrocomputern MC1 und MC2 verbunden ist.Da es für die Erläuterung der erfindungsgemäßen Zusatzschaltung unerheblich ist, in welcher Art die Mikrocomputer MC1, MC2 aufgebaut sind, ist im Hinblick auf eine bessere Übersichtlichkeit der Zeichnung auf die Darstellung näherer Einzelheiten verzichtet worden. Für eine Vielzahl von Ausgängen ist ein Ausgangssignalumsetzer AR dargestellt. Dieser hat die Aufgabe, eine bestimmte, vom Mikrocomputer MC1 ausgegebene Information über eine Leitung L1 an den zu steuernden Prozeß weiterzugeben. Die Weitergabe darf nur dann erfolgen, wenn kein Abschaltsignal AL vorliegt. Dieses wird stets dann ausgelöst, wenn im-Rähmen von Prüfvorgängen, für die eine Vielzahl von Vergleichern VR1, VR2 usw. bis VRn vorgesehen ist, festgestellt wurde, daß ein Informationspaar, beispielsweise auf den Leitungen L2 und L3 nicht ordnungsgemäß ist. Je nach Vergleichertyp wird auf Äquivalenz oder aber auf Antivalenz geprüft. Zur Weiterleitung des Abschaltsignals AL sind die Aus- und Eingänge der Vergleicher VR1, VR2 usw. bis VRn in Reihe geschaltet. Das Abschaltsignal AL kann auch dazu verwendet werden, eine für die Mikrocomputer MC1 und MC2 erforderliche Taktstromversorgungseinrichtung (nicht dargestellt) abzuschalten bzw. zusätzlich zum Unwirksamschalten des Ausgangssignalumsetzers AR einen anderen weiteren Abschaltvorgang auslösen. Ein Rücksetzsignalgeber RR, der nach dem Schließen eines Tastenkontaktes TT ein Rücksetzsignal RL auslöst, ist erforderlich zum Vorbereiten des ordnungsgerechten Anlaufens des zweikanaligen Mikrocomputerschaltwerkes. Zu dem Zweck wird das Rücksetzsignal RL mindestens den beiden Mikrocomputern MC1 und MC2 zugeführt; unter Umständen ggf. auch den Vergleichern VR1, VR2 usw. bis VRn.

Zum Prüfen des ordnungsgerechten Anlaufens des zweikanaligen Fail-Safe-Mikrocomputerschaltwerkes ist eine Leitung L4 des Mikrocomputers MC2 mittelbar über ein Exclusiv-ODER-Glied ER mit dem zugehörigen Vergleicher VRn verbunden. Das Exclusiv-ODER-Glied ER arbeitet als steuerbarer Inverter dahingehend, daß eine Invertierung einer über die Leitung L4 zugeführten Information nur auf einer fest vorgegebenen Anzahl von Verarbeitungsschritten des Mikrocomputerschaltwerkes erfolgt. Diese schaltungstechnische Maßnahme könnte zusätzlich oder anstelle auch bei der Leitung L5 des Mikrocomputers MC2 vorgesehen werden oder aber im Zusammenhang mit einem der Ausgänge des Mikrocomputers MC1. Wesentlich ist, daß die erläuterte Invertierung für mindestens einen Vergleicher einseitig in nur einem Verarbeitungskanal erfolgt.

Während das Exclusiv-ODER-Glied ER über seinen Eingang ER1 die zeitlich begrenzt invertierte Information erhält, ist der Eingang ER2 mit dem Ausgang A eines Zählers ZR verbunden. Ein Fortschalteingang +m dieses Zählers ZR ist mit dem Mikrocomputer MC2 verbunden zwecks Zuführung von Taktimpulsen T, welche die einzelnen Verarbeitungsschritte des Mikrocomputerschaltwerkes charakterisieren. Ein Rücksetzeingang R des Zählers ZR ist schließlich mit dem Ausgang des Rücksetzsignalgebers RR verbunden, so daß das Rücksetzsignal RL den Zähler ZR in eine definierte Grundstellung einstellen kann. Weiterhin weist der Zähler ZR einen Freigabeeingang F auf, der mit dem Ausgang Ä verbunden ist. In dieser Schaltung bewirkt der Zähler ZR beim Exclusiv-ODER-Glied ER, daß dieses zu Beginn einer fest vorgegebenen Anzahl von Verarbeitungsschritten während des Anlaufens des Mikrocomputerschaltwerkes als Inverter wirksam ist und nach der vorgegebenen Anzahl von'Verarbeitungsschritten für den weiteren Betrieb keine Invertierung der über den Eingang ER1 zugeführten Informationen vornimmt.

In nicht weiter dargestellten Funktionsgruppen des Mikrocomputers MC2 gespeicherte Prüfprogramme bewirken nun für die Zeit des Anlaufens des Mikrocomputerschaltwerkes, daß die über die Leitung L4 ausgegebenen Informationen auf der genannten fest vorgegebenen Anzahl von Verarbeitungsschritten eine Invertierung vorgenommen wird, die jedoch durch den Betrieb des Exclusiv-ODER-Gliedes ER wieder aufgehoben wird. Somit macht sich die zeitweilige wertmäßige Änderung der Information in einem Kanal beim Vergleicher VRn nicht bemerkbar, solange nicht unzulässige Startbedingungen in beiden Mikrocomputern MC1 und MC2 vorliegen. Zu diesen unzulässigen Startbedingungen gehören unter anderem ein identisch fehlerhafter Verarbeitungsstart beider Mikrocomputer MC1 und MC2 in einem unzulässigen Programmteil.

Wenn nun infolge einer Unregelmäßigkeit beim Anlaufen des zweikanaligen Fail-Safe-Mikrocomputerschaltwerkes auf mindestens einem Verarbeitungsschritt die über die Leitung L4 ausgegebene Information durch den Mikrocomputer MC2 nicht invertiert wird, wird dies durch den auf Äquivalenz prüfenden Vergleicher VRn bemerkt, da die diesem zugeführte Information ja durch das Exclusiv-ODER-Glied ER invertiert wird; die entsprechende Information des Mikrocomputers MC1 jedoch nicht. Das Erkennen der aufgezeigten Diskrepanz führt unweigerlich zur Ausgabe des Abschaltsignals AL.

Anstelle des Zählers ZR kann durchaus in vorteilhafter Weise auch ein analog arbeitendes Zeitglied eingesetzt werden, welches entsprechend der Dauer der fest vorgegebenen Anzahl aufeinanderfolgender Verarbeitungsschritte dimensioniert wird.