DE4041062A1 - Ueberwachungsschaltung fuer eine multiprozessoreinrichtung eines geraetes oder einer anlage - Google Patents

Description

Die Erfindung betrifft eine Überwachungsschaltung für eine Multiprozessoreinrichtung, die bei Geräten oder Anlagen einge­ setzt wird, um sicherheitsrelevante Überwachungen vorzunehmen. Überwacht wird beispielsweise der Betriebszustand und die ein­ wandfreie Funktion von Funktionselementen, wie Stellglieder und Generatoren. Ein sicheres Arbeiten der Prozessoren ist nur dann gewährleistet, wenn sich alle, an einer Kommunikation beteiligten Prozessoren zu einem bestimmten Zeitpunkt in einem gleichen Zustand befinden. Eine entsprechende Überwachung ist sehr aufwendig und wird derart vorgenommen, daß sich mindestens zwei der Prozessoren gegenseitig überwachen.

Aufgabe der Erfindung ist es, eine Überwachungsschaltung für eine Multiprozessoreinrichtung so auszuführen, daß diese wenig aufwendig bei mindestens gleicher Sicherheit der Überwachung ist.

Die Aufgabe wird erfindungsgemäß durch eine Überwachungsschal­ tung für eine Multiprozessoreinrichtung eines Gerätes oder einer Anlage gelöst, wobei das Gerät oder die Anlage wenigstens ein Funktionselement aufweist, wobei wenigstens ein Prozessor eine sicherheitsrelevante Überwachung des Funktionselementes übernimmt, wobei der Prozessor an einem Ausgang ein Fehlfunk­ tionssignal beim Auftreten einer Fehlfunktion des Funktions­ elementes erzeugt und wobei die Überwachungsschaltung auf das Fehlfunktionssignal anspricht, woraufhin wenigstens das Funk­ tionselement in einen Ruhezustand und alle Prozessoren in den gleichen Zustand geschaltet werden.

Vorteil der Erfindung ist, daß die Überwachungsschaltung das Auftreten eines Fehlfunktionssignals der vorhandenen Prozes­ soren überwacht. Der schaltungstechnische Aufwand ist gering, da sich die Prozessoren nicht gegenseitig überwachen müssen. Beim Auftreten eines Fehlfunktionssignals wird wenigstens das eine Funktionselement in einen Ruhezustand und alle Prozesso­ ren in einen gleichen Zustand versetzt. Hierdurch wird also ein sicheres Arbeiten der Geräte und Anlagen herbeigeführt.

Besonders vorteilhaft ist es, wenn beim Auftreten des Fehl­ funktionssignals ein erstes Signal zum Bewirken des höchst­ prioren Interrupts und ein zweites Signal zum Bewirken des Hardware Resets aller Prozessoren erzeugt wird.

Ein besonders einfacher Aufbau ergibt sich, wenn das Fehl­ funktionssignal einen Schalter in einem Überwachungskreis der Überwachungsschaltung über einen zweiten Zustand, zur Erzeugung des ersten Signales, in den ursprünglichen Zustand, zur Erzeugung des zweiten Signales, schaltet.

Besonders störungsunempfindlich ist eine Überwachungsschaltung, wenn der Überwachungskreis als Ruhestromkreis ausgeführt ist und wobei das Fehlfunktionssignal einen Schalter öffnet und somit das erste Signal erzeugt wird und wonach der Schalter geschlossen wird zur Erzeugung des zweiten Signales.

In weiterer Ausgestaltung ist vorteilhaft eine Stromüber­ wachungsschaltung vorgesehen, wobei die Stromüberwachungsschal­ tung bei einer Stromunterbrechung das erste Signal und einer nachfolgenden Stromdetektion das zweite Signal erzeugt. Die Störempfindlichkeit der Überwachungsschaltung ist reduziert, da es sich hierbei um eine aktive Überwachung handelt.

Besonders vorteilhaft wird die Überwachungsschaltung einge­ setzt, wenn die Prozessoren sicherheitsrelevante Funktionen bei einem medizinischen Gerät überwachen. Hierbei sind be­ sonders hohe Anforderungen an die Sicherheit der Überwachung gestellt.

Weitere Vorteile und Einzelheiten der Erfindung ergeben sich aus der nachfolgenden Beschreibung eines Ausführungsbeispiels anhand der Zeichnung.

In der Figur ist eine Überwachungsschaltung einer Multipro­ zessoreinrichtung gezeigt, wie sie beispielsweise bei Geräten und Anlagen eingesetzt wird, um sicherheitsrelevante Funktionen zu überwachen. Die gezeigte Überwachungsschaltung weist eine Konstantstromquelle 1 und einen Konstantstromkreis 2 auf. In diesen Konstantstromkreis 2 ist in Reihe ein erster Schalter 3 eines Relais 4, das Relais 4, eine erste, zweite und dritte Stromüberwachungsschaltung 5, 6, 7 und ein erster, zweiter und dritter Schalter 8, 9, 10 geschaltet. Der Schalter 8 ist von einem Fehlfunktionssignal eines ersten Prozessors 11, der zweite Schalter 9 von einem Fehlfunktionssignal eines zweiten Prozessors 12 und der dritte Schalter 10 von einem Fehlfunk­ tionssignal eines dritten Prozessors 13 ansteuerbar. Die Pro­ zessoren 11, 12, 13 überwachen die Funktion von Funktionsele­ menten des Gerätes oder der Anlage, wie beispielsweise eines Motors 14 als Stellglied, einer Röntgenröhre 15 als Strahlenge­ nerator sowie einer Steuer-/Regeleinrichtung 16 auf ihre Funktionsfähigkeit und in Hinsicht auf die Erfüllung der vor­ bestimmten Funktion.

Wird beispielsweise eine Fehlfunktion des Motors 14 durch den, den Motor 14 überwachenden Prozessor 11 festgestellt, so er­ zeugt dieser ein Fehlfunktionssignal an einem Ausgang, so daß der Schalter 8 angesteuert und im Ausführungsbeispiel geöffnet wird. Damit wird der Konstantstromkreis 2 unterbrochen, wodurch das Relais 4 geschaltet wird. Der Schalter 3 des Relais 4 und ein weiterer Schalter 17 des Relais 4, der in einem Sicher­ heitskreis 18 mit einem Versorgungsteil 19 der Funktionselemen­ te eingeschaltet ist, wird somit geöffnet, so daß zumindest der Motor 14 und im Ausführungsbeispiel die Röntgenröhre 15 sowie die Steuer-/Regeleinrichtung 16 in einen Ruhezustand geschal­ tet werden. Selbstverständlich können auch weitere, nicht ge­ zeigte Funktionselemente in den Ruhezustand geschaltet werden. Die Unterbrechung des Konstantstromkreises 2 wird von den Stromüberwachungsschaltungen 5, 6, 7 detektiert, die daraufhin an ihren Ausgängen 20, 21, 22 ein erstes Signal 23 erzeugen, welches den höchstprioren Interrupt aller Prozessoren 11, 12, 13 bewirkt. Ein zweites Signal 24, welches ebenfalls von den Stromüberwachungsschaltungen 5, 6, 7 durch das Schließen der Schalter 8, 9, 10 erzeugt wird, bewirkt den Hardware Reset aller Prozessoren 11, 12, 13. Die Funktionselemente werden also beim Auftreten einer Fehlfunktion in einen Ruhezustand und die Prozessoren 11, 12, 13 in einen gleichen Zustand geschal­ tet. Es erfolgt somit eine Zwangssynchronisation, die ein sicheres Arbeiten beispielsweise einer medizinischen Einrich­ tung gewährleistet. Im Ausführungsbeispiel überwacht der Pro­ zessor 12 die Röntgenröhre 15 und der Prozessor 13 die Steuer-/ Regeleinrichtung 16. Beim Auftreten einer Fehlfunktion der Röntgenröhre 15 und/oder der Steuer-/Regeleinrichtung 16 wird ebenfalls die oben beschriebene Zwangssynchronisation herbeige­ führt.

Soll der Betrieb wieder aufgenommen werden, so ist ein Reset­ schalter 25, der dem ersten Schalter 3 des Relais 4 parallel geschaltet ist, zu betätigen. Dies kann beispielsweise durch einen Hardware-Befehl oder einen Software-Befehl erfolgen, der durch den Bediener ausgelöst wird. Das Relais 4 wird geschal­ tet, so daß der Schalter 3 und der Schalter 17 geschlossen werden. Die Überwachungsschaltung ist somit aktiv und die Funktionselemente nehmen ihre Funktion auf.

Selbstverständlich ist es im Rahmen der Erfindung auch möglich, nur eine Stromüberwachungsschaltung und einen Schalter vorzu­ sehen, die beim Auftreten eines Fehlfunktionssignals wenigstens eines Prozessors angesteuert werden. In einer besonders ein­ fachen Ausführungsform kann auch nur das Fehlfunktionssignal am Ausgang der Prozessoren überwacht werden. Beim Auftreten eines Fehlfunktionssignals wird dann der höchstpriore Interrupt und der "Hardware Reset" aller Prozessoren sowie die Überfüh­ rung der Funktionselemente in den Ruhezustand bewirkt.

Claims (7)

1. Überwachungsschaltung für eine Multiprozessoreinrichtung eines Gerätes oder einer Anlage, wobei das Gerät oder die Anlage wenigstens ein Funktionselement (14, 15, 16) aufweist,
wobei wenigstens ein Prozessor (11, 12, 13) eine sicherheits­ relevante Überwachung des Funktionselementes (14, 15, 16) über­ nimmt,
wobei der Prozessor (11, 12, 13) an einem Ausgang ein Fehl­ funktionssignal beim Auftreten einer Fehlfunktion des Funk­ tionselementes (14, 15, 16) erzeugt und
wobei die Überwachungsschaltung auf des Fehlfunktionssignal anspricht, woraufhin wenigstens das Funktionselement (14, 15, 16) in einen Ruhezustand und alle Prozessoren (11, 12, 13) in den gleichen Zustand geschaltet werden.

2. Überwachungsschaltung nach Anspruch 1, wobei beim Auftreten des Fehlfunktionssignals ein erstes Signal (23) zum Bewirken des höchstprioren Interrupt und ein zweites Signal (24) zum Bewirken des Hardware Reset aller Prozessoren (11, 12, 13) erzeugt wird.

3. Überwachungsschaltung nach Anspruch 1 oder 2, wobei das Fehlfunktionssignal einen Schalter (8, 9, 10) in einem Über­ wachungskreis (2) der Überwachungsschaltung über einen zweiten Zustand, zur Erzeugung des ersten Signals (23) in den ursprüng­ lichen Zustand, zur Erzeugung des zweiten Signals (24) schal­ tet.

4. Überwachungsschaltung nach einem der Ansprüche 1 bis 3, wobei der Überwachungskreis (2) als Ruhestromkreis ausgeführt ist und wobei das Fehlfunktionssignal einen Schalter (8, 9, 10) öffnet und somit das erste Signal (23) erzeugt wird und wonach der Schalter (8, 9, 10) geschlossen wird zur Erzeugung des zweiten Signals (24).

5. Überwachungsschaltung nach einem der Ansprüche 1 bis 4,
wobei eine Stromüberwachungsschaltung (5, 6, 7) vorgesehen ist,
wobei die Stromüberwachungsschaltung (5, 6, 7) bei einer Strom­ unterbrechung das erste Signal (23) und bei einer nachfolgen­ den Stromdetektion das zweite Signal (24) erzeugt.

6. Überwachungsschaltung nach einem der Ansprüche 1 bis 5, wobei beim Auftreten einer Fehlfunktion eines Funktionselemen­ tes (14, 15, 16) alle Funktionselemente (14, 15, 16) in einen Ruhezustand und wobei allen Prozessoren (11, 12, 13) zur zwangsweisen Synchronisation ein RESET-Signal zugeführt wird.

7. Überwachungsschaltung nach einem der Ansprüche 1 bis 6, wobei die Prozessoren (11, 12, 13) sicherheitsrelevante Funk­ tionen bei einem medizinischen Gerät überwachen.