DE2153830C3 - Schaltungsanordnung mit verdreifachten Systemeinheiten - Google Patents

Description

daß die dreifach vorhandenen Verarbeitungs- und Speichereinheiten jeweils mit Zweifachnormanschlüssen versehen und in der Weise miteinander verbunden sind, daß jeweils eine der identischen V;rarbeitungseinheiten an jeweils zwei der identischen Speichereinheiten angeschlossen ist, wobei jede identische Verarbeitungseinheit eine Verbindung zu einer unterschiedlichen Kombination von zwei identischen Speichereinheilen besitzt, daß zwischen den beiden Normanschlüssen einer Verarbeitungseinheit und zwischen den beiden jeweils mit identischen Verarbeitungscinheiten verbundenen Normanschlüssen einer Speichereinheit Vergleicher geschalte! sind, die im Falle eines nicht identischen Datenflusses ein Fehlersignal an die mil ihr verbundenen Systemeinheiten senden, und daß in den einzelnen Systemeinheiten zwischen den Normanschlüssen, die jeweils einem Vcrgleicher zugeordnet sind, eine Bewertereinrichtung geschaltet ist, an deren Ausgang im Falle des Empfangs eines Fehlersjgnals von den beiden anderen Systemeinheiten, ein Kriterium gebildet wird, das jeweils die eigene Systemeinheit als fehlerhaft identifiziert.

Eine ausführliche Erläuterung eines Ausführungsbeispiels der Erfindung wird im folgenden anhand der Zeichnung gegeben.

Dort ist ein Verarbeitungssystem mit drei identischen Speichereinheilen SEI, SE2, SE 3 und drei identischen Verarbeitungseinheiten VEi;i, VEIb, VE\cdargestellt. Von der Verarbeitungseinheit VEX sind nur zwei identische Verarbeitungseinheiten VE2a und VE 2b dargestellt, um einen Hinweis auf die einfache Erweiterungsmöglichkeit von einer verdoppelten zu einer verdreifachten Anordnung zu geben.

Es besteht die Möglichkeit, je nach Bedarf weitere verdreifachte oder verdoppelte Verarbeitungseinheiten vorzusehen, die in der gleichen, im folgenden beschriebenen Weise wie die dargestellten Verarbeitungseinheiten an die Speichereinheiten angeschlossen werden.

In einem programmgesteuerten Verarbeitungssystem stehen alle zum Betrieb des Systems erforderlichen Daten und Programme in einem zentralen Speicher. Da infolgedessen die einzelnen Verarbeitungseinheiten nur über den zentralen Speicher ihren Betrieb realisieren können, sind bei mehrfach ausgeführten Systemeinheiten zunächst die Speichereinheiten in der höchst vorgesehenen Anzahl, also hier dreifach, vorhanden. Die Verarbeitungseinheiten können je nach Bedarf dreifach oder zweifach vorhanden sein. Die Verbindung zwischen den Verarbeitungseinheiten und den Speichereinheiten wird über die Normanschlüsse an den Speichereinheiten einerseits und an den Verarbeitungseinheiten andererseits hergestellt. Da die einzelnen Verarbeitungseinheiten bei einem bisher gebräuchlichen verdoppelten Systemaufbau jeweils zwei Normanschlüsse für eine Verbindung mit jeder der beiden Speichereinheiten besitzen, ergibt sich bei einer nachträglichen Verdreifachung der Systemeinheiten das Problem, die mit jeweils zwei Normanschlüssen ausgerüsteten Verarbeitungseinheiten ohne großen Redundanzverlust in das Dreifachsystem einzufügen. Dazu sind die Verarbeitungseinheiten, sei es, daß diese dreifach VEIa bis VEIc oder zweifach VE2a, VE2b vorhanden sind, zyklisch in der Art an die drei identischen Speichereinheiten SEI, SE2, 5E3 angeschlossen, daß eine der drei Speichereinheiten maximal mit zwei identischen Verarueitungsiiinhcitcn verbunden ist. Ist also beispielsweise die dreifach vorhandene Verarbeitungseinheit VEl mit ihrem ersten Teil VEIa an die erste und zweite Speichereinheit 5El und SE2 angeschlossen, so ist die Verarbeitungseinheit VEl mii ihrem zweiten Teil VE1£> an die zweite und dritte Speichereinheit SE2 und .9E3 angeschlosser, usw. Dabei ist noch zu beachten, daß die Speichereinheiten SE, wie bei den verdoppelten Systemeinheiten jeweils mehrere Zweifach-Parallel-Normanschlüsse besitzen und der Datenfluß durch diese Pardlel-Normanschlüsse durch Vergleicher auf Identität hin überwacht wird. Die parallelen identischen Verarbeitungseinheiten werden dabei nicht an beliebige Normanschlüsse der Speichereinheiten sondern nur an die genannten Parallel-Normanschlüsse der Speichereinheiten angeschlossen. Diese Forderung ist bei verdreifachten Verarbeitungseinheiten stets vollständig zu erfüllen, während bei verdoppelten Verarbeitungseinheiten nur an einer Speichereinheit, und zwar wie in der Figur dargestellt, nur an der zweiten Speichereinheit SE2 ein Parallel-Normanschluß vollständig belegt ist und an den anderen beiden Speichereinheiten jeweils ein Parallel-Normanschluß nur zur Hälfte belegt ist. Demzufolge kann der Datenfluß von den verdoppelten Verarbeitungseinheiten VE2n, VE2b zu den .Speichereinheiten nur an einer Speichereinheit, und zwar wie in der Figur dargestellt, an der zweiten Speichereinheit SE2 im Rahmen eines Vergleichs bewertet werden. Um umgekehrt auch den Datenfluß von den Speichereinheiten zu der. Verarbeitungseinheiten überwachen zu können, sind ebenfalls zwischen den beiden Parallel-Normanschlüssen der Verarbeilungseinheiten Vergleicher angebracht.

Dieser Vergleich des Daten- und Signalflusses durch die Parallel-Normanschlüsse an den Speicher- und Verarbeitungseinheiten ist zur Erkennung und zur Lokalisierung fehlerhafter Systemeinheiten wichtig. Dabei können grundsätzlich die Fälle unterschieden weiden,daß in einer dreifach oder zweifach betriebenen Verarbeitungseinheit oder in einer Speichereinheit ein Fehler auftritt. Eine Systemeinheit ist immer dann als fehlerhaft identifiziert, wenn dieser von zwei anderen identischen Systemeinheiten jeweils eine Reaktion des Vergleichers, also ein Fehler gemeldet wird. Tritt z. B. in der Verarbeitungseinheil VE 1 a eine Störung auf, so daß die Verarbeitungseinheit VEIa an die beiden Speichereinheiten SE 1 und SE2 Signale abgibt, die nicht mit den Signalen der parallel arbeitenden Verarbeitungseinheiten VEXb und VEIc übereinstimmen, so sprechen jeweils die zugeordneten Vergieicher in den beiden Speichereinheiten SEI und SE2 an und geben eine Fehlermeldung ab, während der Vergleicher in der dritten Speichereinheit SE3 nicht reagiert. Die durch die Vergleicher in der ersten und zweiten Speichereinheit SEI und SE2 erzeugte Fehlermeldung wird an die angeschlossenen Verarbeitungseinheiten VEIa, VEIb und VEIc signalisiert, so daß die Verarbeitungseinheit VEIa, die von zwei Speichereinheiten eine Fehlermeldung empfangt, als fehlerhaft abgeschaltet werden kann, während die beiden anderen Verarbeitungseinheiten VE1£> und VEIc betriebsbereit bleiben. Arbeitet dagegen eine zweifach betriebene Verarbeitungseinheit, beispielsweise VE2a fehlerhaft, so spricht nur der entsprechende Vergleicher in der Speichereinheit SE2 an, und die beiden Verarbeitungseinheiten VE2a und VE2Ö erhalten von der Speichereinheit SE2 eine Fehlermeldung. Infolgedessen ist eine Lokalisierung einer fehlerhaften zweifach betriebenen Verarbeitungseinheit nicht möglich. Doppelt vorhandene Systemeinheiten müssen daher im Fehlerfall jeweils insgesamt abgeschaltet werden.

Umgekehrt wird eine gestörte Speichereinheit durch die Vergleicher und entsprechenden Fehlermeldungen der Verarbeitungseinheiten in der gleichen Weise lokalisiert wie eine gestörte verdreifachte Verarbeitungseinheit, falls gerade von einer verdreifachten Verarbeitungseinheit ein Speicherzyklus angefordert wurde.

Wird dagegen beim Eintritt eines Fehlers in einer Speichereinheit ein von einer verdoppelten Verarbeitungseinheit VE2 angeforderter Speicherzyklus bearbeitet, so kann die fehlerhafte Spcichcreinheit nur dann als solche in der beschriebenen Weise erkannt werden, wenn es sich um diejenige handelt, die mit jeder der beiden Verarbeilungseinhciten VEIa und VE2b eine Verbindung besitzt. Sendet eine der beiden anderen Speichcreinheiten, beispielsweise SEi, fehlerhafte Daten oder Signale an die verdoppelte Verarbeitungscinheit VE2a, so erhalten die Speichereinheiten SEi und SE2 jeweils nur eine Fehlermeldung von der Verarbeitungseinheit VE2a. Die fehlerhafte Speichcreinheit SE 1 kann daher in diesem Falle nicht in der bisherigen Weise erkannt werden. Um dennoch auch bei der Bearbeitung einer Zyklusanforderung von einer verdoppelten Verarbeitungseinheit eine fehlerhafte Speichcreinheit, beispielsweise die erste Speichercinhcit SEI, lokalisieren zu können, besteht vorteilhaft die Möglichkeit, daß in diesem Falle die zweite Speichereinheit SE2 die Vcrgleichcrmeldung der zweiten Verarbeitungseinheit VE2b(kein Fehler) an die erste Verarbeitungseinheit VE2a weitergibt, so daß daraufhin die fehlerhafte Speichereinheit SEI erkannt und von der Vcrarbeitungscinheit VE2a abgeschaltet werden kann.

Um im Falle einer Störung in einer Systemeinheit das intakte Restsystem betriebsfähig zu halten, sind besondere dem erfindungsgemäßen System entsprechende Maßnahmen erforderlich.

Fällt eine von drei parallel betriebenen Verarbeitungseinheiten, beispielsweise die Vcrarbcitungscinheit VEia aus, so besteht die Gefahr, daß in die an die Verarbeitungseinheit VE la angeschlossenen Speichereinheiten SEI und SE2 falsche Daten eingespeichert werden, falls die entsprechenden Vcrgleicher in diesen Speichereinheiten SEi und SE2 nicht schnell genug reagieren. In diesem Fall enthält nur die dritte Speichereinheit SE3 mit Sicherheit fehlerfreie Daten. Daraufhin werden die ersten beiden Speichercinhciten SE 1 und SE2 und infolgedessen jede Verarbeitungseinheit, die nur mit den ersten beiden Speichereinheiten SEI und SE2 eine Verbindung besitzt, also auch die defekte Verarbeitungseinheit VEl,-) in den Prüfzustand gesetzt und somit vom intakten Restsystem isoliert. Anschließend kann die defekte Verarbekungscinheit VEIa mit Hilfe des im Prüfzustand befindlichen Teilsystems diagnostiziert werden, während das intakte Restsystem weiterhin betriebsfähig bleibt.

Ist dagegen eine der zweifach betriebenen Verarbcitungseinheitcri, beispielsweise die Vcrarbeitungseinheit VE2/1 gestört, so kann diese gestörte Einheit VE2a, wie schon beschrieben, nicht lokalisiert werden. Durch die Fehlermeldung des den beiden Verarbeitungscinhcitcn VE2.1 und VE2i> zugeordneten Vergleichen in der zweiten Speichercinhcit SE2 werden infolgedessen die beiden Verarbeitungscinhcitcn VE2a und VE¹Zb in den Prüfzustand gesetzt. Da nun keine Möglichkeit besteht, die Speichcreinheit mit fehlerfreier Information zu erkennen, ist für diesen Fall vorgesehen, daß der den beiden Vcrarbeitungseinhcilen VE2a und VE2b zugeordnete Vcrgleicher in der zweiten Speichereinheit SE2 so schnell reagiert und somit so schnell den Informationsfluß von der gestörten Verarbeitungseinheit VE2.1 sperrt, daß der Informationsinhalt der zweiten Speichercinhcit SE2 sicher fehlerfrei bleibt.

Unter dieser Voraussetzung werden die beiden anderen Speichereinheiten SEI und SE3 in den Prüfzusland gesetzt und die beiden Verarbeitungseinheiten VE2a und VE2b durch das im Prüfzustand befindliche Teilsystem diagnostiziert, während das intakte Restsystern mit der zweiten Speichcreinheit SE2 weiter betrieben wird.

Kommt es andererseits zu einer Störung in einer Speichereinheit, so ist hinsichtlich des weiteren Betriebs des Verarbeilungssystems wieder zu berücksichtigen, ob bei Erkennung der Störung von einer verdreifachten oder von einer verdoppelten Vcrarbeitungseinheit eine Zyklusanforderung bearbeitet wird. Im ersten Fall gehen die beiden Vcrarbeitungscinheiten in den Prüfzustand, die von einer Speichcreinheit fehlerhafte Information empfangen und sie daraufhin ihrerseits die gestörte Speichcreinheit in den Prüfzustand setzen. Dabei können gegebenenfalls zur Diagnostizicrung der gestörten Speichereinheit noch weitere Systemeinheiten in den Prüfzustand gesetzt werden. Im zweiten Fall bestehen wieder zwei Möglichkeiten. Zum ersten erhalten beide Vcrarbeitungscinheiten VE2,jund VE2£> von einer Speichercinhcit SE2 fehlerhafte Information. Infolgedessen werden sowohl beide Verarbeitungscinhciten VE2a und VE2i> als auch die Spcichercinheii SE2 in den Prüfzustand versetzt. Zum anderen erhält nur eine Verarbcitungscinhcit, beispielsweise die Vcrarbeitungseinheit VE2;i fehlerhafte Information. In diesem Fall wird die fehlerhafte Speichcreinheit SEI in der beschriebenen Weise abgeschaltet und zusammen mit der Verarbcitungscinheit VE 2u in den Prüfzustand gesetzt.

Zweckmäßig erfolgt die Inbetriebnahme des Verarbeitungssystems stufenweise. Eine Möglichkeit hierzu soll im folgenden erläutert werden. Durch eine Verarbeitungseinheit, beispielsweise Verarbcitungscinheit VE la, werden identische Daten und Programme in die zwei Speichercinhciten SEI und SE2 eingeschrieben. Anschließend nehmen zwei von drei nicht dargestellten Programmsteucrungseinhcitcn ein Koor

dinierungsprogramm für den Dreifach-Speicher-Bctrict auf. Dabei ist darauf zu achten, daß jede der beider Programmsteucrungseinheiten eine Verbindung zu dci dritten noch nicht angeschlossenen Speichcreinhei SE3 besitzt. Diese Speichcreinheit SE3 wird sodann ir einen Wiedcreinschaltezustand gesetzt. In diesen Zustand wird nur aus den ersten beiden im Betricl befindlichen Speichereinheiten SEI und SE2 informa tion gelesen, während diese Information in alle dre Speichcreinheiten geschrieben wird, so daß die drc Speichercinhciten, also auch die dritte mit identische Information geladen werden. Nach Beendigung diese Vorgangs wird die dritte Speichereinheit SE3 in dei Betriebszustand gebracht. Anschließend wird die dritt Programmstcucrungscinheil durch Setzen einer Ablauf

anfordcrung in den Spcichereinhcitcn durch die andere zwei Programmsteucrungseinheiten in Betrieb gcsetz Mit Aufnahme dieser Ablaufanforderung beginnen all drei Programmstcuerungseinhciten ein identische Programm. Andere Verarbeitungseinheiten könne verdreifacht oder vcrzweifachl zum Verarbcitungssj sicm hinzugeschaltct werden. In der gleichen Weis können Systemeinheiten nach einer Störung wicdc betriebsfähig geschaltet werden.

Ilii'izu 1 HIaIt /xkiinimgcn

Claims (1)

1. Patentanspruch:

   Schaltungsanordnung zur Verbindung von Systemeinheiten eines programmgesteuerten, aus Verarbeitungseinheiten und einer zentralen Speichereinheit bestehenden Verarbeitungssystems über an Nortnanschlüsse der einzelnen Systemeinheiten angeschlossenen Verbindungsleitungen, bei dem zur Erhöhung der Betriebssicherheit sowohl die zur Durchführung gleicher Aufgaben vorgesehenen identischen Verarbeitungseinheiten als auch die zur Speicherung gleicher Informationen vorgesehenen identischen Speichereinheiten jeweils dreifach vorhanden sind, dadurch gekennzeichnet, daß die dreifach vorhandenen Verarbeitungs- und Speichereinheiten jeweils mit Zweifachnormanschlüssen versehen und in der Weise miteinander verbunden sind, daß jeweils eine der identischen Verarbeitungseinheiten (VEXa, VE\b, VEIc,- VE2a, VE2b. VE2c) an jeweils zwei der identischen Speichereinheiten (SEi, SE2, SE3) angeschlossen ist, wobei jede identische Verarbeitungseinheit eine Verbindung zu einer unterschiedlichen Kombination von zwei identischen Speichereinheiten besitzt (VEia, SEI, SE2; VEib, SE2, SE3; VE\c, SEi. SE3), daß zwischen den beiden Normanschlüssen einer Verarbeitungseinheit (VEia, VEib, VE ic) und zwischen den beiden jeweils mit identischen Verarbeitungseinheiten verbundenen Norman-Schlüssen einer Speichereinheit (SEi, SE2, SE3) Vergleicher geschaltet sind, die im Falle eines nicht identischen Datenflusses ein Fehlersignal an die mit ihr verbundenen Systemeinheiten senden, und daß in den einzelnen Systemeinheiten zwischen den Normanschlüssen, die jeweils einem Vergleicher zugeordnet sind, eine Bewertereinrichtung geschaltet ist, an deren Ausgang im Falle des Empfangs eines Fehlersignals von den beiden anderen Systemeinheiten, ein Kriterium gebildet wird, das jeweils die eigene Systemeinheit als fehlerhaft identifiziert.

   Die Erfindung bezieht sich auf eine Schaltungsanordnung gemäß Oberbegriff des Patentanspruches.

   In einem programmgesteuerten Verarbeitungssystem, das mit besonderem Vorteil als programmgesteuertes Vermittlungssystem eingesetzt wird, sind eine Reihe von Systemeinheiten als Verarbeitungseinheiten vorhanden, in denen programmgesteuert Verarbeitungsabläufe durchführbar sind. Die dazu notwendigen Programme und Daten sind in einer zentralen Speichereinheit enthalten, die ihrerseits gleichfalls als Systemeinhftit betrachtet werden kann. Die Verarbeitungseinheiten treter· untereinander stets über die zentrale Speichereinheit in Verkehr. Das geschieht in der Weise, daß eine Verarbeitungseinheit, in der ein Ablauf durchzuführen ist, entsprechend den von ihr durchzuführenden Aufgaben von der Speichereinheit Speicherzyklen anfordert. Ein Informationsaustausch mit dem zentralen Speicher findet dann stets mit einem zugeteilten Zyklus statt. Sowohl die Anforderung als auch die Zuteilung von Speicherzyklen geschieht über eine zentrale Steuerung im Speicher, von der die Zyklusanforderungen, beispielsweise entsprechend den Prioritäten der durchzuführenden Aufgaben, den anfordernden Verarbeitungseinheiten zugeteilt werden. Eine eingehende Beschreibung der Zykluszuteilung und der zentralen Steuerung im Spe.cher findet sich ί sp eisweise in der DT-OS 19 44 483.

   Zur Erhöhung der Sicherheit und der Zuverlässigkeit eines solchen Verarbeitungssystems ist es bekannt, die einzelnen Systemeinheiten jeweils zweifach, vorzusehen. Dieser Aufbau, der als modularer Aufbau bekannt ist, bietet aufgrund der Austauschbarkeit einzelner Systemeinheiten die Möglichkeit, bei fehlerhaftem Arbeiten einer Systemeinheit, deren Aufgaben durch die jeweils andere ausführen zu lassen. Die Verdopplung von Systemeinheiten erstreckt sich dabei sowohl auf die als Verarbeitungseinheiten als auch aiii die als Speichereinheiten vorhandenen Systemeinheiten. Dabei sind die Verarbeitungseinheiten über jeweils zwei sogenannte Normanschlüsse an jede der beiden Speichereinheiten angeschlossen. Es besteht auch die: Möglichkeit, fehlerhafte Systemeinheiten in einen Prufzustand zu setzen und vom inlakten Restsystem diagnostizieren zu lassen (Vgl. DT-OS 20 12 052.)

   Die Betriebssicherheit eines solchen Verarbeitungssvstems kann dadurch weiter erhöht werden, daß statt einer Verdopplung eine Verdreifachung der einzelnen Systemeinheiten vorgesehen wird. Eine Anordnung mit dreifach vorgesehenen Speicherc.nhe.ten ,st aus „The BeIl System Technical Journal«, Vol. 43, Sept. 1964, Seiten 1966 bis 1970 und Seiten 2123 bis 2125, bekannt. Die Zusammenarbeit der verdreifachten Speichereinheiten mit zwei Programmsteucreinheiten erfolgt hier allerdings über ein Busleitungssystem

   Eine Anordnung, in der jeweils mehrfach vorgesehene Systemeinheiten über Einzelleitungen miteinander in Verkehr treten, ist aus der Zeitschrift »Elektronische Rechenanlage«, II. 1969. Heft 5, Seiten 284 bis 291, bekannt. Allerdings sind hier zur Steuerung des Informationsflusses zusätzliche Schalteinrichtungen, sogenannte Mehrfachzugriff-Adapter erforderlich. Um bei einem verdreifachten System ohne den Einsatz von Mehrfachzugriff-Adaptern die einzelnen Systemeinheiten in analoger Weise zu dem verdoppelten System über Normanschlüsse miteinander zu verbinden, mußten an den Verarbeitungseinheiten jeweils drei Normanschlüsse vorgesehen sein, über die jede Verarbeitungseinheit an jede der drei Speichereinheiten einzeln angeschlossen werden könnte. Dies würde aber voraussetzen, daß jede Verarbeitungseinheit mit drei Normanschlussen ausgestattet wäre. Dabei wäre der Nachteil beachtlich, daß zur Umrüstung eines bisher eingesetzten verdoppelten Systems in ein verdreifachtes System alle Verarbeitungseinheiten in schwieriger Weise jeweils mit einem zusätzlichen dritten Normanschluß versehen werden müßten oder daß vorhandene Verarbeitungseinheiten durch neue zu ersetzen wären. Zugleich würde damit aber auch die Feststellung eines fehlerhaften Verhaltens und die Lokalisierung einer fehlerhaft arbeitenden Systemeinheit bedeutend erschwert werden.

   Die Aufgabe der Erfindung hegt dann, eine Möglichkeit aufzuzeigen, bei Verwendung von Verarbeitungseinheiten mit jeweils zwei Normanschlüssen in einfacher Weise sowohl eine Umrüstung eines Verarbeitungssystems mit verdoppelten Systemeinheiten in ein Verarbeitungssystem mit verdreifachten Systemeinheiten zu erreichen, als aber auch die Fehlerfeststellung und die Lokalisierung einer fehlerhaften Systemeinheit mit einfachen Vergleichs- und Bpwcrtcrschaltmitteln zu gewährleisten.

   Diese Aufgabe wird erfindungsgemäß dadurch gelöst,