DE2153830B2 - Schaltungsanordnung mit verdreifachten systemeinheiten - Google Patents

Description

Die Erfindung be/ieht sich auf eine Schaltungsanordnung gemäß Oberbegriff des Patentanspruches.

In einem programmgesteuerten Verarbeitungssystem, das mit besonderem Vorteil als programmgesteuertes Vermittlungssystem eingesetzt wird, sind eine Reihe von Systemeinheiten als Verarbeitungseinheuen vorhanden, in denen programmgesteuert Verarbeitungsabläufe durchführbar sind. Die dazu notwendigen Programme und Daten sind in einer zentralen Speichereinheit enthalten, die ihrerseits gleichfalls als Systemeinheit betrachtet werden kann. Die Verarbeitungseinheiten treten untereinander stets über die «entrale Speichereinheit in Verkehr. Das geschieht in der Weise, daß eine Verarbeitungseinheit, in der ein Ablauf durchzuführen ist, entsprechend den von ihr durchzuführenden Aufgaben von der Speichereinheit Speicherzyklen anfordert. Ein Informationsaustausch mit dem zentralen Speicher findet dann stets mit einem «ugeteilten Zyklus statt. Sowohl die Anforderung als tuch die Zuteilung von Speicherzyklen geschieht über eine zentrale Steuerung im Speicher, von der die Zyklusanforderungen, beispielsweise entsprechend den Prioritäten der durchzuführenden Aufgaben, den ■nfordernden Verarbeitungseinheiten zugeteilt werden.

Eine eingehende Beschreibung der Zykluszuteilung und der zentralen Steuerung im Speicher findet sich beispielsweise in der DT-OS19 44 483.

Zur Erhöhung der Sicherheit und der Zuverlässigkeit eines solchen Verarbeitungssystems ist es bekannt, die einzelnen Systemeinheiten jeweils zweifach vorzusehen. Dieser Aufbau, der als modularer Aufbau bekannt ist, bietet aufgrund der Austauschbarkeit einzelner Systemeinheiten die Möglichkeit, bei fehlerhaftem Arbeiten einer Systemeinheit, deren Aufgaben durch die jeweils andere ausführen zu lassen. Die Verdopplung von Systemeinheiten erstreckt sich dabei sowohl auf die als Verarbeitungseinheiten als auch auf die als Speichereinheiten vorhandenen Systemeinheiten. Dabei sind die Verarbeitungseinheiten über jeweils zwei sogenannte Nonnanschlüsse an jede der beiden Speichereinheiten angeschlossen. Es besteht auch die Möglichkeit, fehlerhafte Systemeinheiten in einen Prüfzustand zu setzen und vom intakten Restsystem diagnostizieren zu lassen. (Vgl. DT-OS 20 12 052.)

Die Betriebssicherheit eines solchen Verarbeitungssystems kann dadurch weiter erhöht werden, daß statt einer Verdopplung eine Verdreifachung der einzelnen Systeireinheiten vorgesehen wird. Eine Anordnung mit dreifach vorgesehenen Speichereinheiten ist aus »The Bell System Technical Journal«, Vol. 43, Sept. 1964, Seiten 1966 bis 1970 und Seiten 2123 bis 2125. bekannt. Die Zusammenarbeit der verdreifachten Speichereinheiten mit zwei Programmsteuereinheiten erfolgt hier allerdings über ein Busleitungssystem.

Eine Anordnung, in der jeweils mehrfach vorgesehene Systemeinheiten über Einzelleitungen miteinander in Verkehr treten, ist aus der Zeitschrift »Elektronische Rechenanlage«. Ii. 1969. Heft 5. Seiten 284 bis 291, bekannt. Allerdings sind hier zur Steuerung des Informationsflusses zusätzliche Schalteinrichtungen, sogenannte Mehrfachzugriff-Adapter erforderlich. Um bei einem verdreifachten System ohne den Einsatz von Mehrfachzugriff-Adaptern die einzelnen Systemeinheiten in analoger Weise zu dem verdoppelten System über Normanschlüsse miteinander zu verbinden, müßten an den Verarbeitungseinheiten jeweils drei Normanschlüsse vorgesehen sein, über die jede Verarbeitungseinheit an jede der drei Speichereinheiten einzeln angeschlossen werden könnte. Dies würde aber voraussetzen, daß jede Verarbeitungseinheit mit drei Normanschlüssen ausgestattet wäre. Dabei wäre der Nachteil beachtlich, daß zur Umrüstung eines bisher eingesetzten verdoppelten Systems in ein verdreifachtes System alle Verarbeitungseinheiten in schwieriger Weise jeweils mit einem zusätzlichen dritten Normanschluß versehen werden müßten oder daß vorhandene Verarbeitungseinheiten durch neue zu ersetzen wären. Zugleich würde damit aber auch die Feststellung eines fehlerhaften Verhaltens und die Lokalisierung einer fehlerhaft arbeitenden Systemeinheit bedeutend erschwert werden.

Die Aufgabe der Erfindung liegt darin, eine Möglichkeit aufzuzeigen, bei Verwendung von Verarbeitungseinheiten mit jeweils zwei Normanschlüssen in einfacher Weise sowohl eine Umrüstung eines Verarbeitungssystems mit verdoppelten Systemeinheiten in ein Verarbeitungssystem mit verdreifachten Systemeinheiten zu erreichen, als aber auch die Fehlerfeststellung und die Lokalisierung einer fehlerhaften Systemeinheit mit einfachen Vergleichs- und Bewerterschaltmitteln zu gewährleisten.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst,

daß die dreifach vorhandenen Verarbeitungs- und Speichereinheiten jeweils mit Zweifachnormanschlüssen versehen und in der Weise miteinander verbunden sind, daß jeweils eine der identischen Verarbeitungseinheiten an Jeweils zwei der identischen Speichereinheiten angeschlossen ist, wobei jede identische Verarbeitungseinheit eine Verbindung zu einer unterschiedlichen Kombination von zwei identischen Spaichereinheiten besitzt, daß zwischen den beiden Normanschlüssen einer Verarbeitungseinheit und zwischen den beiden jeweils mit identischen Verarbeitungseinheiten verbundenen Normanschkässen einer Speichereinheit Vergleichet geschaltet sind, die im Falle eines nicht identischen Datenfhisses ein Fehlersignal an die mit ihr verbundenen Systemeinheiten senden, und daß in den einzelnen Systemeinheiten zwischen den Normanschlüssen, die jeweils einem Vergleicher zugeordnet sind, eine Bewertereinrichtung geschaltet ist, an deren Ausgang im Falle des Empfangs eines Fehlersignals von den beiden anderen Systemeinheiten, ein Kriterium gebildet wird, das jeweils die eigene Systemeinheit als fehlerhaft identifiziert.

Eine ausführliche Erläuterung eines Ausführungsbeispiels der Erfindung wird im folgenden anhand der Zeichnung gegeben.

Dort ist ein Verarbeitungssystem mit drei identischen Speichereinheiten SEI, SEZ SE3 und drei identischen Verarbeitungseinheiten VE ta, VEXb, VE Ic dargestellt Von der Verarbeitungseinheit VE 2 sind nur zwei identische Verarbeitungseinheiten VE2a und VE2b dargestellt, um einen Hinweis auf die einfache Erweiterungsmöglichkeit von einer verdoppelten zu einer verdreifachten Anordnung zu geben.

Es besteht die Möglichkeit, je nach Bedarf weitere verdreifachte oder verdoppelte Verarbeitungseinheiten 3s vorzusehen, die in der gleichen, im folgenden beschriebenen Weise wie die dargestellten Verarbeitungseinheiten an die Speichereinheiten angeschlossen werden.

In einem programmgesteuerten Verarbeitungssystem stehen alle zum Betrieb des Systems erforderlichen Daten und Programme in einem zentralen Speicher. Da infolgedessen die einzelnen Verarbeitungseinheiten nur über den zentralen Speicher ihren Betrieb realisieren können, sind hei mehrfach ausgeführten Systemeinheiten zunächst die Speichereinheiten in der höchst vorgesehenen Anzahl, also hier dreifach, vorhanden. Die Verarbeitungseinheiten können je nach Bedarf dreifach oder zweifach vorhanden sein. Die Verbindung zwischen den Verarbeitungseinheiten und 1en Speichereinheiten wird über die Normanschlüsse an den Speichereinheiten einerseits und an den Verarbeitungseinheiten andererseits hergestellt. Da die einzelnen Verarbeitungseinheiten bei einem b'sher gebräuchlichen verdoppelten Systemaufbau jeweils zwei Normanschlüsse für eine Verbindung mit jeder der beiden Speichereinheiten besitzen, ergibt sich bei einer nachträglichen Verdreifachung der Systemeinheiten das Problem, die mit jeweils zwei Normanschlüssen ausgerüsteten Verarbeitungseinheiten ohne großen Redundanzverlust in das Dreifachsystem einzufügen. Dazu sind die Verarbeitungseinheiten, sei es, daß diese dreifach VFIa bis VEIc oder zweifach VE2a, VE26 vorhanden sind, zyklisch in der Art an die drei identischen Speichereinheiten SEi, SE2, SE3 angeschlossen, daß eine der drei Speichereinheiten maximal mit zwei identischen Verarbeitungseinheiten verbunden ist 1st also beispielsweise die dreifach vorhandene Verarbeituneseinheit VE t mit ihrem ersten Teil VE I a an die erste und zweite Speichereinheit SEI und SE? angeschlossen, so ist die Verarbeitungseinheit VE 1 mit ihrem zweiten Teil 'Elfe an die zweite und dritte Speichereinheit SE2 und SE3 angeschlossen usw. Dabei ist noch zu beachten, daß die Speichereinheiten SE, wie bei den verdoppelten Systemeinheiten jeweils mehrere Zweifach-Parallel-Normanschlüsse besitzen und der Datenfluß durch diese Parallel-Normanschlüsse durch Vergleicher auf Identität hin überwacht wird. Die parallelen identischen Verarbeitungseinheiten werden dabei nicht an beliebige Normanschlüsse der Speichereinheiten sondern nur an die genannten Parallel-Normanschlüsse der Speichereinheiten angeschlossen. Diese Forderung ist bei verdreifachten Verarbeitungseinheiten stets vollständig zu erfüllen, während bei verdoppelten Verarbeitungseinheiten nur an einer Speichereinheit, und zwar wie in der Figur dargestellt, nur an der zweiten Speichereinheit SE2 ein Parallel-Normanschluß vollständig belegt ist und an den anderen beiden Speichereinheiten jeweils ein Parallel-Normanschluß nur zur Hälfte belegt ist Demzufolge kann der Datenfluß von den verdoppelten Verarbeitungseinheiten VE 2a, VE 26 zu den Speichereinheiten nur an einer Speichereinheit, und zwar wie in der Figur dargestellt, an der zweiten Speichereinheit 5E2 im Rahmen eines Vergleichs bewertet werden. Um umgekehrt auch den Datenfluß von den Speichereinheiten zu den Verarbeitungseinheiten überwachen zu können, sind ebenfalls zwischen den beiden Parallel-Normanschlüssen der Verarbeitungseinheiten Vergleicher angebracht.

Dieser Vergleich des Daten- und Signalflusses durch die Parallel-Normanschlüsse an den Speicher- und Verarbeitungseinheiten ist zur Erkennung und zur Lokalisierung fehlerhafter Systemeinheiten wichtig. Dabei können grundsätzlich die Fälle unterschieden werden, daß in einer dreifach oder zweifach betriebenen Verarbeitungseinheit oder in einer Speichereinheit ein Fehler auftritt. Eine Systemeinheit ist immer dann als fehlerhaft identifiziert, wenn dieser von zwei anderen identischen Systemeinheiten jeweils eine Reaktion des Vergleichers, also ein Fehler gemeldet wird. Tritt z. B. in der Verarbeitungseinheit VE la eine Störung auf. so daß die Verarbeitungseinheit VEIa an die beiden Speichereinheiten .SEI und SE2 Signale abgibt, die nicht mit den Signalen der parallel arbeitenden Verarbeitungseinheiten VE 16 und VEIc übereinstimmen, so sprechen jeweils die zugeordneten Vergleicher in den beiden Speichereinheiten SEI und SE2 an und geben eine Fehlermeldung ab, während der Vergleicher in der dritten Speichereinheit SE3 nicht reagiert. Die durch die Vergleicher in der ersten und zweiten Speichereinheit SEI und SE2 erzeugte Fehlermeldung wird an die angeschlossenen Verarbeitungseinheiten VEIa. VEXb und VEIt" signalisiert, so daß die Verarbeitungseinheit VE la. die von zwei Speichereinheiten eine Fehlermeldung empfängt, als fehlerhaft abgeschaltet werden kann, während die beiden anderen Verarbeitungseinheiten VEXb und VEIc betriebsbereit bleiben. Arbeitet dagegen eine zweifach betriebene Verarbeitungseinheit, beispielsweise VE 2a fehlerhaft, so spricht nur der entsprechende Vergleicher in der Speichereinheit SE 2 an, und die beiden Verarbeitungseinheiten VE2a und VE 26 erhalten von der Speichereinheit SE 2 eine Fehlermeldung. Infolgedessen ist eine Lokalisierung einer fehlerhaften zweifach betriebenen Verarbeitungseinheit nicht möglich. Doppelt vorhandene Systemeinheiten müssen daher im Fehlerfall jeweils insgesamt abgeschaltet werden.

Umgekehrt wird eine gestörte Speichereinheit durch die Vergleicher und entsprechenden Fehlermeldungen der Verarbeitungseinheiten in der gleichen Weise lokalisiert wie eine gestörte verdreifachte Verarbeitungseinheit, falls gerade von einer verdreifachten Verarbeitungseinheit ein Speicherzyklus angefordert wurde.

Wird dagegen beim Eintritt eines Fehlers in einer Speichereinheit ein von einer verdoppelten Verarbeilungseinheit Vf 2 angeforderter Speicherzyklus bearbeitet, so kann die fehlerhafte Speichereinheit nur dann als solche in der beschriebenen Weise erkannt werden, wenn es sich um diejenige handelt, die mit jeder der beiden Verarbeitungseinheiten Vf 2a und VE 2b eine Verbindung besitzt Sendet eine der beiden anderen Speichereinheiten, beispielsweise SEi, fehlerhafte Daten oder Signale an die verdoppelte Verarbeitungseinheit VE 2a. so erhalten die Speichereinheiten SEi und SE2 jeweils nur eine Fehlermeldung von der Verarbeitungseinheit VE 2a. Die fehlerhafte Speichereinheit SE i kann daher in diesem Falle nicht in der bisherigen Weise erkannt werden. Um dennoch auch bei der Bearbeitung einer Zyklusanforderung von einer verdoppelten Verarbeitungse-nheit eine fehlerhafte Speichereinheit, beispielsweise die erste Speichereinheit SEi. lokalisieren zu können, besteht vorteilhaft die Möglichkeit daß in diesem Falle die zweite Speichereinheit Sf 2 die Vergleichermeldung der zweiten Verarbeitungseinheit Vf 26 (kein Fehler) an die erste Verarbeitungseinheit VE 2a weitergibt so daß daraufhin die fehlerhafte Speichereinheit SEi erkannt und von der Verarbeitungseinheit VE2a abgeschaltet werden kann.

Um im Falle einer Störung in einer Systemeinheit das intakte Restsystem betriebsfähig zu halten, sind besondere dem erfindungsgemäßen System entsprechende Maßnahmen erforderlich.

Fällt eine von drei parallel betriebenen Verarbeitungseinheiten, beispielsweise die Verarbeitungseinheit VEi a aus. so besteht die Gefahr, daß in die an die Verarbeitungseinheit VE la angeschlossenen Speichereinheiten SfI und Sf 2 falsche Daten eingespeichert werden, falls die entsprechenden Vergleicher in diesen Speichereinheiten SfI und Sf 2 nicht schnell genug reagieren. In diesem Fall enthält nur die dritte Speichereinheit Sf 3 mit Sicherheit fehlerfreie Daten. Daraufhin werden die ersten beiden Speichereinheiten Sf 1 und Sf 2 und infolgedessen jede Verarbeitungseinheit, die nur mit den ersten beiden Speichereinheiten Sf! und Sf 2 eine Verbindung besitzt also auch die defekte Verarbeitungseinheit VE Xa in den Prüf zustand gesetzt und somit vom intakten Restsystem isoliert Anschließend kann die defekte Verarbeitungseinheit VfIa mit Hilfe des im Prüf zustand befindlichen Teilsystems diagnostiziert werden, während das intakte Restsystem weiterhin betriebsfähig bleibt

1st dagegen eine der zweifach betriebenen Verarbeitungseinheiten, beispielsweise die Verarbeitungseinheit VE 2a gestört, so kann diese gestörte Einheit Vf 2a. wie schon beschrieben, nicht lokalisiert werden. Durch die Fehlermeldung des den beiden Verarbeitungseinheiten Vf 2a und Vf 2A zugeordneten Vergleichers in der zweiten Speichereinheit Sf 2 werden infolgedessen die beiden Verarbeitungseinheiten Vf 2a und VE22>inden Prüfzustand gesetzt Da nun keine Möglichkeit besteht die Speichereinheit mit fehlerfreier Information zu erkennen, ist für diesen Fall vorgesehen, daß der den beiden Verarbeitungseinheiten Vf 2a und VE 2b zugeordnete Vergleicher in der zweiten Speichereinheit Sf 2 so schnell reagiert und somit so schnell der Informationsfluß von der gestörten Verarbeitungsein heil Vf2a sperrt, daß der Informationsinhalt dei zweiten Speichereinheit Sf 2 sicher fehlerfrei bleibt Unter dieser Voraussetzung werden die beiden anderer Speichereinheiten SEX und Sf3 in den Prüfzustanc gesetzt und die beiden Verarbeitungseinheiten Vf 2i und Vf 2b durch das im Prüfzustand befindliche Teilsystem diagnostiziert, während das intakte Restsy stern mit der zweiten Speichereinheit Sf 2 weiter betrieben wird.

Kommt es andererseits zu einer Störung in einer Speichereinheit, so ist hinsichtlich des weiteren Betriebs des Verarbeitungssystems wieder zu berücksichtigen, ob bei Erkennung der Störung von einer verdreifachten oder von einer verdoppelten Verarbeitungseinheit eine Zyklusanforderung bearbeitet wird. Im ersten Fall gehen die beiden Verarbeitungseinheiten in den Prüfzustand, die von einer Speichereinheit fehlerhafte

ία Information empfangen und sie daraufhin ihrerseits die gestörte Speichereinheit in den Prüfzustand setzen Dabei können gegebenenfalls zur Diagnostizierung der gestörten Speichereinheit noch weitere Systemeinhei ten in den Prüfzustand gesetzt werden. Im zweiten Fall bestehen wieder zwei Möglichkeiten. Zum ersten erhalten beide Verarbeitungseinheiten Vf 2a und Vf 2b von einer Speichereinheit Sf 2 fehlerhafte Information Infolgedessen werden sowohl beide Verarbeitungsein heiten Vf 2a und Vf 2b als auch die Speichereinheit

Sf 2 in den Prüfzustand versetzt Zum anderen erhält nur eine Verarbeitungseinheit, beispielsweise die Verarbeitungseinheit Vf 2a fehlerhafte Information. In diesem Fall wird die fehlerhafte Speichereinheit Sf 1 in der beschriebenen Weise abgeschaltet und zusammen mit der Verarbeitungseinheit Vf 2a in den Prüfzustand gesetzt.

Zweckmäßig erfolgt die Inbetriebnahme des Verarbeitungssystems stufenweise. Eine Möglichkeit hierzu soll im folgenden erläutert werden. Durch eine Verarbeitungseinheit, beispielsweise Verarbeitungseinheit VfIa. werden identische Daten und Programme in die zwei Speichereinheiten SfI und Sf 2 eingeschrieben. Anschließend nehmen zwei von drei nicht dargestellten Programmsteuerungseinheiten ein Koordinierungsprogramm für den Dreifach-Speicher-Betrieb auf. Dabei ist darauf zu achten, daß jede der beiden Programmsteuerungseinheiten eine Verbindung zu der dritten noch nicht angeschlossenen Speichereinheit Sf 3 besitzt Diese Speichereinheit Sf 3 wird sodann in einen Wiedereinschaltezustand gesetzt In diesem Zustand wird nur aus den ersten beiden im Betrieb befindlichen Speichereinheiten SfI und Sf 2 Information gelesen, während diese information in alle drei Speichereinheiten geschrieben wird, so daß die drei Speichereinheiten, also auch die dritte mit identischer Information geladen werden. Nach Beendigung dieses Vorgangs wird die dritte Speichereinheit Sf 3 in den Betriebszustand gebracht Anschließend wird die dritte Programmsteuerungseinheit durch Setzen einer Ablauf anforderung in den Speichereinheiten durch die anderen zwei Programmsteuerungseinheiten in Betrieb gesetzt. Mit Aufnahme dieser Ablaufanforderung beginnen alle drei Programmsteuerungseinheiten ein identisches Programm. Andere Verarbeitungseinheiten können

6$ verdreifacht oder verzweifacht zum Verarbeitungssystem hn.iugeschaltet werden. In der gleichen Weise können Systemeinheiten nach einer Störung wieder betriebsfähig geschaltet werden

llkr/ii 1 Blatt Zeichnungen

Claims (1)

1. Patentanspruch:

   von

   Schaltungsanordnung zur Verbindung
   Systemeinheiten eines programmgesteuerten, aus Verarbeitungseinheiten und einer zentralen Speichereinheit bestehenden Verarbeitungssystems ober an Nonnanschlüsse der einzelnen Systemeinheiten angeschlossenen Verbindungsleitungen, bei dem zur Erhöhung der Betriebssicherheit sowohl die to zur Durchführung gleicher Aufgaben vorgesehenen identischen Verarbeitungseinheiten als auch die zur Speicherung gleicher Inform.*lionen vorgesehenen identischen Speichereinheiten jeweils dreifach vorhanden sind, dadurch gekennzeichnet, daß die dreifach vorhandenen Verarbeitungs- und Speichereinheiten jeweils mit Zweifachnormanschlüssen versehen und in der Weise miteinander verbunden sind, daß jeweils eine der identischen Verarbeitungseinheiten (VE 1 a, VE 1 b, VE 1 tv Vf 2a. VE 2b. VE 2c) an jeweils zwei der identischen Speichereinheiten (SEi, SE 2, SE 3) angeschlossen ist, wobei jede identische Verarbeitungseinheit eine Verbindung zu einer unterschiedlichen Kombination von zwei identischen Speichereinheiten besitzt (VEXa. SEX, SE2; VEXb. SE2, SE3; VEIc. SEX. SE 3), daß zwischen den beiden Normanschlüssen einer Verarbeitungseinheit (VEXa, VEXb, VEXc) und zwischen den beiden jeweils mit identischen Verarbeitungseinheiten verbundenen Norman-Schlüssen einer Speichereinheit (SEX. SE2. SE3) Vergleicher geschaltet sind, die im Falle eines nicht identischen Datenflusses ein Fehlersignal an die mit ihr verbundenen Systemeinheiten senden, und daß in den einzelnen Systemeinheiten zwischen den Normanschlüssen, die jeweils einem Vergleicher zugeordnet sind, eine Bewertereinrichtung geschaltet ist, an deren Ausgang im Falle des Empfangs eines Fehlersignals von den beiden anderen Systemeinheiten, ein Kriterium gebildet wird, das jeweils die eigene Systemeinheit als fehlerhaft identifiziert.