DE3328405C2 - - Google Patents

Description

Die Erfindung betrifft ein Mehrrechnersystem gemäß dem Oberbegriff des Patentanspruchs 1.

Insbesondere wenn solche Mehrrechnersysteme für den zentralen Steuer­ rechner eines Fernsprech-Vermittlungssystems eingesetzt sind, werden besonders hohe Anforderungen an einen sicheren Betrieb, die Wahrung der Datenintegrität und die Fehlertoleranz gestellt.

Bei einem bekannten Mehrrechnersystem (US-Patent 42 45 344) wird diesen Anforderungen dadurch Rechnung getragen, daß ein gedoppelter vieladriger Systembus vorgesehen ist, und daß die Informations­ übertragung auf diesem Bus paritätsgesichert erfolgt.

Ein aus Standardkomponenten aufgebautes Mehrrechnersystem mit gedoppeltem Bus ist ferner aus "Elekctro­ nics", January 27, 1983, Seiten 94 bis 97 bekannt.

Bei einem anderen bekannten Mehrprozessorsystem (NTG-Berichte Band 80, März 1982, VDE-Verlag, Seiten 94 bis 104) sind zum Zwecke der Bearbeitungssicherheit Rechnerpaare gebildet, deren ordnungsgemäßer Betrieb durch Vergleich der Ausgangssignale überwacht wird.

Die Aufgabe der Erfindung besteht darin, ein Mehrrechnersystem anzu­ geben, das den genannten Anforderungen entspricht, obwohl es aus Einzelrechnern aufgebaut ist, die für sich hierzu nicht sicher genug sind, und daß es darüber hinaus in seinem sicherungstechni­ schen Verhalten an unterschiedliche Anforderungen angepaßt werden kann.

Diese Aufgabe wird durch die im Kennzeichen des Patentanspruchs 1 angegebenen Merkmale gelöst.

Weitere Ausgestaltungen der Erfindung sind in den Unteransprüchen angegeben.

Die Erfindung und deren Weiterbildungen werden anhand der in den Figuren gezeigten Beispiele weiter erläutert, wobei es zeigt

Fig. 1 einen Überblick über das Mehrrechnersystem zusammen mit dem zentralen Systembus,

Fig. 2 andere Aspekte des in Fig. 1 gezeigten Beispiels,

Fig. 3 einen Datenprozessor,

Fig. 4 einen Interface-Prozessor,

Fig. 5 einen Speicher mit gedoppeltem Array,

Fig. 6 einen Speicher mit ungedoppeltem Array,

Fig. 7 eine mögliche Signalführung am zentralen Systembus,

Fig. 8 Signale an der zentralen Systembus-Entkoppelbaugruppe,

Fig. 9 eine Tabelle über Varianten des BIC-Status,

Fig. 10 ein Prinzipschaltbild des BIC,

Fig. 11 ein Prinzipschaltbild der einen Hälfte des BAS (rechte Hälfte),

Fig. 12 eine mögliche Arbitrations-Logik,

Fig. 13 ein Zeitdiagramm hinsichtlich der Buszuteilung,

Fig. 14 ein Zeitdiagramm hinsichtlich eines Schreibzyklusses,

Fig. 15 ein Zeitdiagramm hinsichtlich eines Lesezyklusses bei ungedoppelten Teilnehmern,

Fig. 16 ein Zeitdiagramm für modifizierten Lese-Schreib- Zyklus, sowie

Fig. 17 ein Zeitdiagramm für einen Schreib-Zyklus eines TWIN- Paares zu einem anderen TWIN-Paar.

Die Fig. 1 zeigt also ein Beispiel für das Konzept des erfindungsgemäßen Mehrrechnersystems. Mehrere Rechner PROC arbeiten über einen vieladrigen Systembus CSB zusammen, eventuell auch mit einer an den Systembus CSB ange­ schlossenen zentralen Speichereinheit MU. Der System­ bus CSB ist für sich gedoppelt, er bildet also ein Systembuspaar, wobei zur Sicherung der Übertragung auf jedem Systembus CSB die Steuerleitungen für sich noch­ mals gedoppelt sind, vergl. auch Fig. 7 und 8. Zusätz­ lich zu den Informationsleitungen werden hierbei auch noch Paritätsleitungen zur Erhöhung der Sicherheit ver­ wendet.

Die Rechner PROC - und im allgemeinen bevorzugt auch die zentralen Speicher MU - sind für sich jeweils gedoppelt, vergl. Fig. 1, und bilden also jeweils ein parallel ar­ beitendes Rechnerpaar, bzw. auch Speicherpaar, wobei sie jeweils über einen eigenen lokalen Bus LB an eine Bus- Interface-Schaltung BIC/BIC angeschlossen sind.

Die jeweils aus zwei gleichartigen Teilen BIC bestehende Bus-Interface-Schaltung BIC/BIC überprüft zur Sicherheit ihrerseits die von dem Rechnerpaar bzw. Speicher(paar) PROC, MU erhaltenen Informationen sowie die eigenen auf den Systembus CSB zu sendenden Signale durch einen Ver­ gleich. Bei Ungleichheit schaltet die Bus-Interface- Schaltung BIC/BIC sich und damit auch das angeschlos­ sene Rechnerpaar bzw. Speicher(paar) PROC, MU vom System­ bus CSB ab und meldet diese Abschaltung der Bus-Zen­ trale BAS als Alarm.

Die von jedem einzelnen Systembus CSB empfangenen Steu­ erungs- und Informationssignale werden überdies von der Bus-Interface-Schaltung BIC/BIC überprüft, wobei die In­ formationen nur dann an das empfangene Rechnerpaar bzw. Speicher(paar) PROC, MU weitergegeben werden, wenn zumindest auf einem der beiden Systembusse CSB die Übertragung fehlerfrei war.

Auf eine Anforderung der Bus-Interface-Schaltung BIC/BIC hin teilt die Bus-Zentrale BAS über in jedem Systembus CSB gedoppelte Leitungen dieser Bus-Interface-Schaltung BIC/BIC den betreffenden Systembus CSB zu, wobei die Bus-Freigabe innerhalb einer maximalen Belegungszeit er­ folgt.

Beim Betrieb beider Systembusse CSB erfolgt eine Zutei­ lung nur dann, wenn auf beiden Systembussen CSB eine An­ forderung gestellt wurde. Bei Ausfall eines der beiden Systembusse CSB genügt aber die Anforderung auf dem ver­ bleibenden intakten Systembus CSB.

Die Bus-Zentrale BAS nimmt über eigene Leitungen zu den Bus-Interface-Schaltungen BIC zentrale Sicherheitsfunk­ tionen auf vielfältige Weise wahr, nämlich z. B. durch die Sammlung der Alarme von den Bus-Interface-Schaltun­ gen BIC/BIC, durch das An- und Abschalten von Bus-In­ terface-Schaltungen BIC/BIC und damit von Rechnerpaaren und Speicher(paaren) PROC, MU, durch das An- und Ab­ schalten von einem der beiden Systembusse CSB, durch Testaufträge an die Bus-Interface-Schaltungen BIC/BIC, womit Systembus-Fehler lokalisiert werden können und durch Abschalten eines Rechnerpaares oder Speicher(paa­ res) PROC, MU die Systembus-Redundanz erhalten werden kann, ferner z. B. durch System-Start und durch die Kommunikation mit sicherungstechnischen Prozessen, die auf irgendwelchen der Rechnerpaare PROC ablaufen.

Die Bus-Zentrale BAS besteht aus zwei gleichen Teilen, die jedes für sich den beiden Systembussen CSB zuge­ ordnet sind, wobei alle zu sendenden Signale verglichen werden und wobei die Registrierung einer Ungleichheit zu einer Abschaltung der Bus-Zentrale BAS führt, was einer Ersatz-Bus-Zentrale BAS gemeldet wird. Die Er­ satz-Bus-Zentrale BAS wird durch den Zustand der Bus­ signale sowie durch Meldungen der aktiven Bus-Zentrale BAS stets auf Stand gehalten. Falls diese Meldung eine bestimmte Zeit ausbleibt, oder bei einer Ausfallmeldung der aktiven Bus-Zentrale BAS, oder bei routinemäßigem Tausch der Funktionen der beiden Bus-Zentralen BAS kann die bisherigen Ersatz-Bus-Zentrale BAS die Aufgabe der aktiven Bus-Zentrale BAS lückenlos übernehmen.

Die IO-Organe sind bevorzugt über zwei Standard-IO- Busse an eine IO-Interface-Schaltuing CIC/CIC ange­ schlossen. Die IO-Interface-Schaltung CIC/CIC kann über die beiden lokalen Busse LB mit dem parallellaufenden Rechnerpaar PROC und der Bus-Interface-Schaltung BIC/ BIC kommunizieren, vergl. Fig. 1 und 2.

Die IO-Interface-Schaltung CIC/CIC besteht aus zwei gleichen Teilen, die den beiden lokalen Bussen zuge­ ordnet sind. In ihnen werden ebenfalls alle auf dem IO- Bus zu sendenden Signale verglichen. Bei Ungleichheit schaltet sich die Bus-Interface-Schaltung BIC/BIC vom System-Bus CSB ab und meldet den Alarm an die Bus-Zen­ trage BAS.

Die IO-Interface-Schaltung CIC/CIC sendet bei einem IO-Transfer in der Regel nur auf einen einzigen IO-Bus, wobei sie aber die in der Regel über einen einzigen IO- Bus empfangenen Informationen jeweils an beide lokale Busse LB des parallel arbeitenden Rechnerpaares PROC bzw. der Bus-Interface-Schaltung BIC/BIC weiterleitet.

Die Bus-Zentrale BAS, die Bus-Interface-Schaltung BIC/BIC und die IO-Interface-Schaltungen CIC/CIC überwachen ihre eigene Funktionsfähigkeit in der Regel jeweils selbst. Sie registrieren dabei selber Fehler, z. B. Spannungs­ fehler, Taktausfall und Watch-Dog-Ablauf, wobei sie sich wie bei einem Vergleicherfehler selbst abschalten und den Alarm melden.

Eine Weiterbildung der Erfindung enthält, für einen fehlertoleranten Betrieb wobei bei Ausfall eines Rech­ ners PROC bzw. zentralen Speichers MU der Programmab­ lauf im System nicht gestört wird, zwei Rechnerpaare und zwei Speicherpaare PROC, MU, die jeweils parallel arbeiten. Bei Ausfall eines Rechners PROC eines der Rechnerpaare führt das andere intakte Rechnerpaar PROC die laufende Aufgabe zunächst alleine fort. Bei Ausfall eines Speichers MU eines der Speicherpaare führt das intakte Speicherpaar MU die laufende Aufgabe zunächst alleine fort. Dadurch stehen im intakten Speicherpaar MU weiterhin korrekte Daten zur Verfügung.

Auf denselben Systembus CSB können gleichzeitig zwei Bus-Interface-Schaltungen BIC/BIC senden, wobei auf dem Systembus CSB ein aktives Potential ausgezeichnet ist, das sich dann durchsetzt, wenn verschiedene Potentiale angelegt werden.

Die Bus-Zentrale BAS teilt dem Systembus CSB die zu den beiden Rechnerpaaren PROC gehörende Bus-Interface-Schal­ tung BIC/BIC nur dann zu, wenn beide Bus-Interface-Schal­ tungen BIC/BIC des sendewilligen Rechnerpaares PROC eine Anforderung gestellt haben, um fehlerhaft un­ gleich arbeitende Rechner, also den Ausfall eines der Rechnerpaare, schon in diesem Zeitpunkt zu erkennen. Die Bus-Zentrale BAS registriert die im fehlertoleranten Betriebsmode zusammengehörigen Bus-Interface-Schaltungen BIC/BIC, die im Prinzip beliebig ausgewählt werden kön­ nen, und hebt bei Ausfall eines Rechnerpaares PROC die Verdopplung auf, so daß das verbleibende Rechnerpaar PROC den Systembus SCB zugeteilt bekommen kann.

Die IO-Organe sind jeweils an ein IO-Interface-Schal­ tungspaar CIC/CIC angeschlossen, das über die lokalen Busse mit zwei parallellaufenden Rechnerpaaren PROC und zwei Bus-Interface-Schaltungen BIC/BIC kommunizieren kann. In der Regel sendet zwar jeweils nur eine IO-Inter­ face-Schaltung CIC/CIC des IO-Interface-Schaltungspaares CIC/CIC auf einen IO-Bus- Die von einem IO-Bus empfange­ nen Informationen werden bevorzugt über Auskreuzleitun­ gen von einer IO-Interface-Schaltung CIC/CIC zur ande­ ren IO-Interface-Schaltung CIC/CIC eines IO-Interface- Schaltungspaares CIC/CIC übermittelt. Die Bus-Zentrale BAS stellt die im fehlertoleranten Betriebsmode zusam­ mengehörigen IO-Interface-Schaltungen CIC/CIC als IO- Interface-Schaltungspaar CIC/CIC ein und schaltet bei Ausfall einer IO-Interface-Schaltung CIC/CIC oder eines dazugehörigen Rechners PROC oder der dazugehörigen Bus- Interface-Schaltung BIC/BIC in der IO-Interface-Schal­ tung CIC/CIC den fehlertoleranten Betriebsmode ab.

Die Erfindung kann so weitergebildet werden, daß sie einen asynchronen Betrieb gestattet der nicht mit den Problemen eines vollsynchronen Systems belastet ist und der es erlaubt, beliebige handelsübliche Rechner und Speicher zu verwenden. Dazu werden die den Datentrans­ fer steuernden Busleitungen "Adress Valid" AV, "Data Valid" DV und "Transfer Aknowledge" TK von den am Transfer beteiligten Bus-Interface-Schaltungen BIC/BIC sobald wie möglich in den aktiven Zustand versetzt. Die Bus-Interface-Schaltungen BIC/BIC - auch die ge­ rade sendende BIC/BIC - bewerten die Pegelübergänge aktiv nach passiv der den Datentransfer steuernden Bus­ leitungen, so daß fehlertolerante Paare durch diese Über­ gänge der Steuersignale am Systembus CSB synchron ge­ halten werden. Die Signale der den Datentransfer steuern­ den Busleitungen werden von der Bus-Interface-Schaltung BIC/BIC auf den eigenen Takt synchronisiert. Wenn aber nach einer Wartezeit von z. B. 1 oder 2 Takten auf dem anderen Systembus CSB dieses Signal nicht auch empfan­ gen wird, dann ignoriert die Bus-Interface-Schaltung BIC/BIC für den laufenden Transfer den anderen System­ bus CSB, um eine völlige Unterbrechung zu vermeiden.

Zur Erhaltung der Befehlsfolge in parallel arbeitenden Rechnern PROC können zusätzlich die Interrupts - z. B. vom Timer - maskiert sein, bis auf einen Interrupt, der sich von einem Zähler ableitet, dessen Zählerstand fest mit der Befehlsfolge gekoppelt ist wie beim Zählen der Address-Latch-Enable-Impulse. Bei einem Interrupt dieses Zählers werden alle am Interrupt-Controller anliegenden Interrupts von Rechnern PROC der Bus-Interface-Schaltung BIC/BIC mitgeteilt. Anschließend liest der Rechner PROC wieder sowohl die Interrupts ein, die von beiden zu einer Bus-Interface-Schaltung BIC/BIC gehörenden Rech­ nern PROC mitgeteilt werden, als auch jene Interrupts, die über den Systembus CSB für den Rechner PROC gemel­ det werden; ferner liest er, wenn noch eine IO-Interface- Schaltung CIC/CIC an die lokale Busse angeschaltet ist, noch die hier für den Rechner PROC gesammelten Interrupts ein. Die vom Rechner PROC aus seiner Bus-Interface-Schal­ tung BIC/BIC und - falls vorhanden - IO-Interface-Schal­ tung CIC/CIC gelesenen Interrupts werden dabei in diesen Schaltungen BIC/BIC, CIC/CIC gelöscht, wobei eine Zeit­ überwachung in der Bus-Interface-Schaltung BIC/BIC darüber wacht, daß nicht nur einer der beiden parallel arbeitenden Rechner PROC einen Interrupt meldet, was nämlich sonst von der Bus-Interface-Schaltung BIC/BIC als Fehler angesehen wird, der zum Abschalten des Rechnerpaares PROC vom Systembus CSB führt. Die beiden Bus-Interface-Schaltungen BIC/BIC, die zu zwei fehler­ tolerant betriebenen Rechnern PROC gehören, tauschen, nachdem die Rechner PROC ihnen die Interrupts mitge­ teilt haben, über den Systembus CSB diese Interrupt- Meldungen aus, wobei nur diejenigen Interrupts von den Rechnern PROC wieder eingelesen werden, die von allen hier beteiligten Rechnern PROC und von den zugehörigen CIC/CIC mitgeteilt wurden.

Wenn die Bus-Interface-Schaltung bzw. IO-Interface- Schaltung BIC/BIC, CIC/CIC eine Meldung auf einem lo­ kalen Bus empfängt und wenn diese Schaltung BIC/BIC, CIC/CIC nach einer vorgegebenen maximalen Wartezeit vom anderen lokalen Bus LB aber immer noch keine Meldung empfangen hat, veranlaßt die Bus-Interface-Schaltung BIC/BIC das Abschalten des Rechner- bzw. Speicherpaares PROC, MU vom Systembus CSB, weil dann ein Fehler vor­ liegt.

Beispielhaft werden nun Funktionen der Leitungen jedes Systembusses CSB anhand der Fig. 7 und 8 erläutert: Auf z. B. 32 Informationsleitungen werden Adressen und Ope­ rationscode, letztere auf z. B. 4 Leitungen, und an­ schließend auf denselben Leitungen Daten gesendet, wo­ bei die Informationen z. B. mit zusätzlichen, z. B. vier bis sieben, Paritätsleitungen gesichert werden. Solange eine Bus-Interface-Schaltung BIC/BIC die für jeden Systembus CSB gedoppelte Leitung LOCK im aktiven Zustand hält, können mehrere Datentransfers auf dem Systembus CSB hintereinander durchgeführt werden, ohne daß, bzw. bevor, die Bus-Zentrale des Systembus CSB von Neuem zu­ teilt.

Zur seriellen Kommunikation stehen verschiedene Lei­ tungen zur Verfügung: Über die gemeinsame serielle Leitung gibt die Bus-Zentrale BAS eine an eine Bus- Interface-Schaltung BIC/BIC adressierte Meldung ab, über individuelle serielle Leitungen ISC gelangen Mel­ dungen von den einzelnen Bus-Interface-Schaltungen BIC/ BIC an die aktive Bus-Zentrale BAS; und über zwei zen­ trale serielle Leitungen SAC kommunizieren die aktive Bus-Zentrale und die Ersatz-Bus-Zentrale miteinander. Die aktive Bus-Zentrale BAS kann jede Bus-Interface- Schaltung BIC/BIC durch Aussenden des Aktiv-Pegels auf deren Resetleitung im vom Systembus CSB abgeschalteten Zustand halten, während die aktive Bus-Zentrale BAS durch die Potentialänderung vom aktiven in den passiven Pegel ein Rücksetzen der Bus-Interface-Schaltung BIC/BIC und das dazugehörigen Rechner- bzw. Speicherpaares PROC, MU, sowie ein Anschalten der Bus-Interface-Schaltung BIC/BIC an den Systembus CSB veranlaßt.

Jeder Systembus CSB besteht dabei z. B. aus einer mehrla­ gigen Platine, an die über Stecker mehrere, z. B. sech­ zehn, Busabkoppelbaugruppen der Bus-Interface-Schaltungen BIC/BIC und die beiden Bus-Zentralen BAS anschließbar sind. Die Informations- und Steuerleitungen sind an den beiden Leitungsenden mit Leitungsabschlüssen versehen, die auch die Funktion haben, im passiven Zustand das zugehörige Potential hochohmig anzulegen. Die Bus-Interface-Schal­ tung BIC/BIC kann über Kabel an die Busabkoppelbaugrup­ pen, welche die Leitungstreiber enthalten, angeschlos­ sen sein und diese elektrisch versorgen.

Die serielle Kommunikation am Systembus CSB soll nun näher erläutert werden. Eine serielle Meldung besteht aus Paketen, die außer dem Start- und Stop-Bit weitere, z. B. acht, Informationsbit und ein Zusatzbit enthalten, wobei das Zusatzbit nur beim ersten Paket einer Meldung der Bus-Zentrale BAS auf der gemeinsamen seriellen Lei­ tung GSI gesetzt ist, während das Zusatzbit sonst zur Paritätssicherung verwendet wird. Die Bus-Interface- Schaltung BIC/BIC, die stets bereit ist Meldungen auf der gemeinsamen seriellen Leitung zu empfangen, re­ gistriert zunächst nur ein Paket, wenn das Zusatzbit gesetzt ist, wobei dieses Paket in den ersten, z. B. vier, Bits die Adresse der angesprochenen Bus-Interface-Schal­ tung BIC/BIC enthält und wobei nur der Adressat das er­ ste Paket und die weiteren Pakete einer Meldung regi­ striert. Die Ersatz-Bus-Zentrale BAS ist stets bereit, Meldungen auf einer der beiden zentralen seriellen Leitungen SAC zu empfangen. Die Bus-Interface-Schaltung BIC/BIC bzw. die Ersatz-Bus-Zentrale BAS dürfen von sich aus nur ein Dauersignal auf einer individuellen seriel­ len Leitung ISC bzw. auf einer der beiden zentralen se­ riellen Leitungen SAC senden, um der aktiven Bus-Zen­ trale BAS einen Kommunikationswunsch anzuzeigen. So­ lange die aktive Bus-Zentrale mit einer intakten Bus- Interface-Schaltung BIC/BIC kommuniziert, wird auf der individuellen seriellen Leitung kein Dauersignal, son­ dern es werden dort Antwort-Pakete zur aktiven Bus- Zentrale BAS gesendet, während bei Ausfall einer Bus- Interface-Schaltung BIC das Dauersignal statisch an­ liegt. Die aktive Bus-Zentrale BAS unterrichtet nach der Erledigung eines Auftrags einer Bus-Interface-Schal­ tung BIC/BIC zunächst die Ersatz-Bus-Zentrale BAS und anschließend die Bus-Interface-Schaltung BIC/BIC, die daraufhin das Dauersignal zurücknimmt, wenn nicht noch weitere Aufträge vorliegen. Bei Ausfall der aktiven Bus-Zentrale BAS während der Bearbeitung eines Auftra­ ges einer Bus-Interface-Schaltung BIC/BIC findet die bisherige Ersatz-Bus-Zentrale BAS, die nun aktiv wird, das Dauersignal wieder vor und bearbeitet damit den Auf­ trag von Neuem, wobei zur Sicherung der Übertragung noch Quittungen, zusätzliche Paritäts-Bits und eine Zeitüber­ wachung des Transfers vorgesehen sein können.

Einen sicheren Speicher MU, aber ohne Dopplung des Speichers MU bzw. des Speicherinhalts erhält man, wenn die Information im Speicher MU durch eine ausrei­ chende Anzahl von Paritätsbits gesichert ist, so daß Ein-Bit-Fehler korrigiert werden und Zwei-Bit-Fehler erkannt werden können. Die Speichersteuerung besteht bevorzugt aus zwei gleichen, synchron betriebenen Steu­ erungen MCU, die jeweils an ihren lokalen Bus LB ange­ schlossen sind. Der Speicher MU wird zwar nur von einer einzigen Steuerung aktiv beschrieben, aber beim Lesen führen beide Steuerungen die Fehlerkorrektur und -prüfung durch, wobei die Erkennung eines nicht korrigierbaren Fehlers in wengistens einer der beiden Steuerungen als Speicherausfall interpretiert werden kann.

Das Konzept der Erfindung gestattet also, aus "normalen" Rechnern und Speichern ein fehlertolerantes Mehrrechner­ system aufzubauen. Besondere Bedeutung hat die Weiter­ verwendbarkeit der dann eventuell bereits bestehenden Systemsoftware zur Anwendung der Rechner als Steuer­ rechner, insbesondere von hochkomplexen Systemen, z. B. von Fernsprech-Vermittlungssystemen. Durch genormte Schnittstellen ist es dann sogar möglich, Fortschritte bei der Entwicklung der Systemteilnehmer ohne Rückwir­ kung auf das Gesamtkonzept zu nutzen.

Wesentliche Teile des Konzeptes werden nochmals anhand von Fig. 1 - nun aus anderer Sicht - erläutert. Demnach besteht das Konzept aus dem Systembus CSB und verschie­ denen Teilnehmern. Sicherungstechnische Funktionen wer­ den insbesondere durch die strichliert gekennzeichneten Bestandteile erfüllt. Dazu gehören der CSB, die Buszen­ trale BAS, die beiden gleichartigen Teile BIC der Bus- Interfaceschaltung BIC/BIC und IO-Interface-Schaltung CIC/CIC, die ihrerseits aus den gleichartigen Teilen CIC besteht.

Jeder Teilnehmer ist intern gekoppelt. Die Dopplung dient nicht der Erhöhung der Verfügbarkeit - im Gegen­ teil, diese nimmt sogar ab - sondern der Fehlererken­ nung; eine zuverlässige Fehlererkennung wird als un­ erläßliche Bestandteil eines jeden brauchbaren Mehr­ rechnersystems betrachtet. Unerkannte, womöglich über mehrere Rechner verschleppte Fehler können, falls sie überhaupt bemerkt werden, nachträglich nicht lokalisiert und damit auch nicht repariert werden.

Setzt man jedoch voraus, daß jeder Fehler sicher sofort bemerkt wird und in seiner Wirkung auf jeden Teilnehmer begrenzt bleibt, in dem er aufgetreten ist, können un­ terschiedliche Anforderungen bezüglich Rechensicherheit, Verfügbarkeit und Fehlertoleranz erfüllt werden.

Ist lediglich eine hohe Rechensicherheit erforderlich, genügt es an sich, nach einem (teilnehmerinternen) Ver­ gleicheralarm anzuhalten und das abgebrochene Programm nach der Reparatur erneut zu starten. Werden aber hohe Anforderungen an die Verfügbarkeit des Systems gestellt, kann ein redundanter Teilnehmer oder ein mit anderen Aufgaben betrauter Teilnehmer einspringen. Wenn ein Programmabbruch zulässig ist, darf das gestörte Programm neu aufgesetzt werden.

Werden aber eigentliche fehlertolerante Eigenschaften gefordert, wenn nämlich ein einmal gestartetes Programm nicht wieder abgebrochen werden darf, dann bietet die Erfindung die Möglichkeit, zwei Teilnehmer so zu synchro­ nisieren, daß beim Ausfall des einen Teilnehmers der andere Teilnehmer die gemeinsame Aufgabe alleine weiter­ führt, und zwar derart, daß die Umgebung davon nichts be­ merkt (Twin-Betrieb). Die Erfindung bietet ein solches hohes Maß an sicherungstechnischer Modularität dadurch, daß unterschiedliche Anforderungen an das sicherungs­ technische Verhalten nicht nur statisch erfüllt werden können, sondern daß die Konfiguration sogar dynamisch und individuell für unterschiedliche Programme einstell­ bar gemacht werden kann.

Sieht man von der internen Dopplung der Teilnehmer ab, ergibt sich eine Rechnerarchitektur bzw. eine Anordnung ihrer Schaltorgane, für die ein Beispiel durch Fig. 1 gegeben ist.

Diese Struktur erlaubt, die Aufgaben auf alle Prozessoren gleich, oder aber prozessorgebunden, zu verteilen. Daten und Programme können sowohl in den lokalen Speichern der Prozessoren, als auch in gemeinsamen Speichern gehalten werden. Die erforderliche Leistung bestimmt die Zahl der Prozessoren, jedenfalls solange keine Sättigungser­ scheinungen am CSB oder im gemeinsamen Speicher CM auf­ treten.

Teilnehmer am Systembus CSB sind Datenprozessoren DP, Interface-Prozessoren IP, die zusätzlich zu den Daten­ prozessoren DP über aus zwei gleichen Teilen CIC beste­ hende IO-Interface-Schaltung CIC/CIC Anschlüsse an die IO-Busse haben, an denen IO-Prozessoren IOP angeschlos­ sen sein können, ferner gemeinsame Speicher CM. Die Teilnehmer sind an den Systembus über aus zwei gleichen Teilen BIC bestehende Bus-Interface-Schaltungen BIC/BIC angeschlossen. Zwei Bus-Zentralen BAS sind für zentrale Aufgaben vorgesehen.

Ein Beispiel für ein Mehrrechnersystem ist in Fig. 2 an­ gegeben. Hier sind zwei Interface-Prozessoren IP vorhan­ den, die Zugriff zu den verschiedenen IO-Prozessoren IOP, die z. B. eine vermittlungstechnische Peripherie VT bedienen, und zu IO-Bus-Erweiterungen BEU haben. Sowohl die Datenprozessoren DP als auch die Speicher CM können - dynamisch wählbar - als fehlertolerant arbeitende Paare (TWINs) betrieben werden.

Der CSB kann z. B. maximal 16 Teilnehmer miteinander ver­ binden; dies können dann z. B. 16 Prozessoren sein, wenn kein gemeinsamer Speicher benötigt wird, oder aber jede beliebige Mischung aus Prozessoren und Speichern.

Welcher Prozessor für IP bzw. DP gewählt wird, ist zu­ nächst für das Konzept der Erfindung ohne Bedeutung. Wichtig ist der Aufbau der Schnittstelle zum BIC. Siehe dazu den Datenprozessor DP in Fig. 3 und den Interface- Prozessor IP in Fig. 4. Diese Figuren zeigen beispiels­ haft den Aufbau unter Mitverwendung eines Taktgenera­ tors C, von lokalen Speichereinheiten LMU, Prozessorein­ heiten PU zusammen mit dem gedoppelten Systembus CSB0, CSB1. Alle Prozessoren, die denselben lokalen Bus LB be­ sitzen, können vom BIC bzw. CIC bedient werden. Will man handelsübliche Rechner und Speicher verwenden, dürfen außer der Festlegung des lokalen Busses LB keine weiteren Forderungen an die Teilnehmer gestellt werden. Deshalb muß, jedenfalls bei Weiterbildungen der Erfindung, auf Taktsynchronismus der teilnehmerinternen Prozessoren verzichtet werden.

Fig. 5 zeigt ein Speicherbeispiel mit gedoppeltem und Fig. 6 mit ungedoppeltem Memory Array AY. Die Speicher­ steuerung ist stets gedoppelt. Wie aus Fig. 5 und 6 er­ sichtlich ist, besitzt in diesem Beispiel auch das Com­ mon Memory CM einen internen Bus, der zweckmäßigerweise mit dem LB der Prozessoren identisch ist. Das CM kann, je nach Größe des Speichermediums, verschieden aufgebaut werden. Wenn nur ein Array vorhanden ist, sollte die MCU möglichst auch sicherungstechnische Funktionen be­ reitstellen.

Der Aufbau des Mehrrechnungssystems sollte möglichst wenig An­ forderungen sicherungstechnischer Art an die jeweilige Hardware und Software der Teilnehmer stellen.

Die Bussignale sind aufbautechnisch in verschiedene Leitungsbereiche des CSB unterteilt, nämlich in die Leitungen im Multilayer und in die Leitungen des Band­ kabels zwischen Bus-Entkopplungsbaugruppe AK und BIC des Teilnehmers. Von der Funktion her kann z. B. unter­ schieden werden in gemeinsame Busleitungen, zu denen jeder Teilnehmer Zugriff hat, und in individuelle Lei­ tungen, welche von jedem Teilnehmer zum linken BAS BASl und rechten BAS BASr führen, bzw. welche die beiden BAS miteinander verbinden, vergl. Fig. 7 und 8. Fig. 7 zeigt die Signalführung am CSB, wobei wegen der Über­ sichtlichkeit die Dopplung des CSB nicht gezeigt wurde. Gezeigt sind ferner Multilayersignale MLS und Signale am Teilnehmerkabel STK zu den Teilnehmern TLN. Die Fig. 8 zeigt Signale an einer CSB-Entkoppelbaugruppe mit indi­ viduellen Leitungen IndL und "echten" Bussignalen EBS am Teilnehmerkabel STK und Multilayer ML, mit Leitungen im Multilayer, darunter die gemeinsamen Busleitungen, z. B. 32 Adreß/Datenleitungen/bidirektional (bd), 4 Pa­ ritätsleitungen/bd, 3 Reserveleitungen zur eventuellen Erweiterung der Paritätsbits für ECC/bd, 2 Reservelei­ tungen für eventuelle Interrupts/bd, ferner 8 Steuer­ leitungen, nämlich 2 Address Valid (AV)/bd, 2 Data Valid (DV)/bd, 2 Transfer Acknowledge (TK)/bd; 2 Lock (LOCK)/bd, zusätzlich 1 serielle Kommunikationsleitung mit 1 Global Serial Interface (GSI)/unidirektional: BAS - TLN; sowie die individuellen Leitungen, z. B. 1 Request (RQ)/uni­ direktional (ud): TLN - BAS, 2 Grant (GT)/ud: BAS-TLN, 1 Individual Serial Channel (ISC)/ud: TLN - BAS, 1 Res (RS)/ud: BAS - TLN und 2 Serial Arbiter Communication (SAS)/ud: BASl - BASr.

Die Leitungen im Kabel zwischen Bus-Abkopplung und BIC sind z. B.: 32 Adreß/Datenleitungen, 4 Paritätsleitungen, 5 Reserveleitungen, 12 Steuerleitungen mit 2 AVH/ud, 2 AVZ/ud, 2 DVH/ud, 2 DVZ/ud, 2 TKH/ud, 2 TKZ/ud und 2 Lock/bd, ferner 1 Global Serial Interface GSI/ud: BAS-TLN, 1 Request/ud: TLN - BAS, 2 Grant/ud: BAS - TLN, 1 Individual Serial Channel ISC/ud: TLN - BAS, 1 Reset RS/ud: BAS - TLN, 1 Sendersperre/ud: TLN - Busabkopplung, 2 Stromversorgungsleitungen SV (zur Gewährleistung des Tri-State-Ausgangs beim Stecken der Abkoppelbaugruppe), 3 Sender-Steuer-Signale SST/ud: TLN - Bus-Abkopplung mit 1 Sendersperre ADR/DAT-Leitungen, 1 Sendersperre Steuerleitungen und 1 Richtungsumschaltung: Senden/ Empfangen.

Wie aus Fig. 1 ersichtlich ist, bildet der BIC jeweils die Schnittstelle zwischen Teilnehmer und Systembus. Fig. 10 zeigt das Prinzipschaltbild eines BIC-Beispieles. Dabei ist der Datenfluß und Steuerungsablauf abhängig von der Bus-Operation und dem BIC-Status gemäß der in Fig. 9 gezeigten Tabelle. Zur Erklärung der prinzipiel­ len Funktionen beim Empfang vom CSB soll besonders die Aktion PW näher erläutert werden:

Ein Teilnehmer sendet Daten auf dem CSB. Jeder nicht aktive Teilnehmer übernimmt mit AV bzw. DV diese Daten in das CADR- bzw. CDAT-Register. Gleichzeitig mit dem Latchen in das CADR wird beim Adreßschub durch CSB- CONTROL CCT geprüft, ob es sich um eine für den Empfän­ ger relevante Adresse handelt. Ist dies nicht der Fall, werden keine weiteren Aktivitäten eingeleitet. Erkennt die CCT aber die Adresse als in den eigenen Bereich gehörig, dann stößt sie die BIC-CONTROLL BCT an. Diese schaltet, sobald der I-Bus frei ist, die Adresse zur Paritätsprüfung durch. Der Ablauf in den BCTs der BICs (eines Teilnehmers) wird durch Auskreuzung aller rele­ vanten Ereignissignale synchronisiert. Nur wenn beide BCTs keinen Paritätsfehler erkannt haben, werden die geprüften Adressen in das MADR-Register übernommen. An­ schließend wird in analoger Weise mit den Daten verfah­ ren; sie werden von CDAT- in das MDAT-Register übertragen.

Schließlich veranlaßt die BCT die Multibus-Steuerung MCT, die in MADR und MDAT bereitgestellten Daten ent­ sprechend dem Multibus Protokoll an den Teilnehmer weiterzuleiten.

Wurde von einer BCT bei der Paritätsprüfung ein Fehler festgestellt, bleiben beide BCTs auf der Alarmabfrage stehen. Dies führt in beiden BICs zu einem Time Out Alarm, der als Interrupt an den Steuerprozessor CP ge­ leitet wird. Dieser sperrt zunäçhst die Command-Leitun­ gen der BCT und bewertet die Alarm- und Status-Signale. Im BIC, in dem der Paritätsalarm erkannt wurde, erfolgt die Durchschaltung des X-Bus auf den I-Bus und die Übernahme in das entsprechende Multibus Register durch den CP, sofern der Partner-BIC mit richtiger Parität empfangen hat und am eigenen I-Bus kein erneuter Pari­ tätsalarm aufgetreten ist. Anschließend gibt der CP die Command-Leitungen der BCT wieder frei und löscht den Paritätsalarm. Im BIC, der fehlerfrei empfangen hat, gibt der CP die Steuerung an die BCT zurück, ohne eigene Maßnahmen durchzuführen. Sobald dabei der Paritätsalarm gelöscht ist, setzen beide BCT die Steuerung des Ab­ laufs fort. Beide Teilnehmerhälften erhalten dadurch die fehlerfrei empfangene Information. Haben beide BICs mit falscher Parität empfangen, oder tritt beim Über­ kreuzen der einseitig korrekt empfangenen Information erneut Paritätsalarm auf, werden die empfangenen Daten nicht an den Teilnehmer weitergeleitet. In allen Störungs fällen überträgt der CP über den individuellen seriellen Kanal ISC eine entsprechende Alarmmeldung an den BAS.

Der Sendevorgang im Rahmen der Aktion AW läuft dann z. B. folgendermaßen ab:

Die MCT-Control hört die auf dem Multibus gesendeten Adressen mit. Zeigt eine Adresse auf den gemeinsamen Speicher oder in den BIC-individuellen IO-Raum, akti­ viert die MCT die BIC-CONTROL. Diese veranlaßt über die CCT das Senden eines REQUEST auf dem CSB. Trifft der GRANT vom BAS ein, bewirkt dieser zunächst die asynchrone Durchschaltung der MB-Adresse durch MADR und CADR auf den CSB, die Umschaltung des Paritätsnetzes auf "Generieren Parität" und das Scharfmachen des AV-Signals. Gleichzeitig wird die MCT veranlaßt, den MB-Zyklus ab­ zuschließen. Das GRANT-Signal wird aufsynchronisiert; beide BCT laufen mit dem gleichen Takt los und schalten die am eigenen I-Bus anliegende Adresse auf den X-Bus, wo sich die Information beider BICs überlagert (Wired or). Die so überlagerte Adresse wird mit der auf dem eigenen I-Bus liegenden verglichen; im Gutfall sendet die BCT an die CCT die Aufforderung, das AV-Signal wegzunehmen und damit die Adresse für gültig zu erklären. Die CCT prüft nach, ob das AV-Signal auch auf dem CSB verschwin­ det und sendet, sobald dies der Fall ist, die Quittung an die BCT, daß die Adresse für gültig erklärt wurde. Im Anschluß daran wird in analoger Weise mit den Daten verfahren. Schließlich wird der Zyklus am CSB mit dem Wegnehmen des TK-Signals abgeschlossen.

Tritt beim Vergleichen ein Alarm auf, bleibt die BCT auf der Alarmabfrage stehen. Dadurch kommt es zu einem Time Out Alarm, der am CP einen Interrupt verursacht. Der CP übernimmt die Steuerung und veranlaßt zunächst das Sper­ ren der Adreß- bzw. Datensender zum CSB. Mit einer Verzö­ gerung werden dann die Steuersignale abgeschaltet, so daß im Falle einer Twin-Konfiguration keine Fehlerüber­ nahme beim empfangenen Teilnehmer entstehen kann.

Das serielle Interface zum BAS wird z. B. wie folgt be­ trieben: Sendet der BAS über die serielle Leitung GSI, entsteht im CP ein Interrupt, falls dieser seine eigene Adresse erkannt hat. Da nicht sichergestellt werden kann, daß beide BIC (von beiden CSB) die Nachricht empfangen haben, muß diese vor der weiteren Verarbeitung ausge­ kreuzt werden. Dies geschieht bevorzugt durch den CP, gesteuert über den X-Bus.

Beim Senden des BIC über den seriellen Kanal ISC (zum BAS) müssen zwei Zustände unterschieden werden:

• - Alarmzustand (Anklopfen beim BAS):
  An die Leitung ISC wird statisch aktives Potential ge­ legt. Dies führt im BAS zu einem Interrupt und im Zu­ ge der Interrupt-Behandlung zur Empfangsauswahl des alarmierenden BIC.
• - Informationszustand (Datenübertragung zum BAS):
  wird der BIC über den GSI-Kanal aufgefordert, Nach­ richten zu senden, wird ein anstehendes Anklopf-Si­ gnal (Alarm) von der ISC-Leitung genommen und die Übertragung der Daten aus dem CP durchgeführt:

Besondere Bedeutung kommt in diesem Falle der Synchroni­ sation von Unterbrechungszuständen zu. Interrupts müssen sowohl in den nicht synchron laufenden Rechnern eines Teilnehmers, als auch zwischen Teilnehmern im TWIN-Be­ trieb, synchronisiert werden. Interrupts sollen daher nur dann zugelassen werden, wenn alle betroffenen Rech­ ner denselben Befehlszählerstand haben; außerdem soll sichergestellt werden, daß alle Rechner dieselben In­ terrupts erhalten. Innerhalb eines Teilnehmers kann die Interrupt-Synchronisation z. B. auf folgende Weise re­ alisiert werden:

• - Lokale Interrupts:
  Diese treten innerhalb eines Rechners auf, z. B. wenn der internere Timer abläuft. Im Interrupt Controller der beiden Rechner des Teilnehmers sind bis auf einen Level alle Interrupts maskiert. Der nicht maskierte Interrupt wird von einem Zähler erzeugt, der eine be­ stimmte Anzahl, z. B. 10⁴, von Address-Latch-Enable (ALE)-Zyklen des PROC, z. B. 8086, abzählt. Dieser Zäh­ ler soll auf der Baugruppe, z. B. ISBC 86/12A der Fa. Siemens, eingebaut werden. Er wird beim Start eines Teilnehmers in beiden Rechnern rückgesetzt und erzeugt damit Signale, die befehlssynchron (nicht zeitsynchron!) in den beiden Rechnern eines Teil­ nehmers entstehen. In der dazugehörigen Interrupt- Routine werden die am Interrupt Controller anstehen­ den (maskierten) Interrupts mittels OUT-Befehl an den BIC übertragen. Dieser OUT-Befehl erzeugt einen Inter­ rupt im CP des BIC. Der Multibus-Zyklus des OUT-Be­ fehls wird vom BIC nicht sofort quittiert, damit der Teilnehmer-Rechner nicht mit dem Programm (= Inter­ rupt Routine) fortsetzen kann. Der CP im BIC kreuzt nun über den X-Bus die in den BICs vorliegenden Inter­ rupt-Bits aus und bildet die Schnittmenge der in bei­ den Teilnehmerhälften anliegenden Interrupts. An­ schließend quittiert der BIC (gesteuert vom CP) den Multibuszyklus, so daß nun beide Teilnehmerrechner befehlssynchron mit der Interrupt-Routine fortfahren. Der auf den OUT-Befehl folgende IN-Befehl überträgt die in den BICs anstehenden symmetrischen Interrupts in den Teilnehmerrechner, wo sie entsprechend ihrer Priorität abgearbeitet werden können. Hat der CP un­ gleiche Interrupts aus beiden Teilnehmerrechnern fest­ gestellt, prüft er nach, ob beim nächsten ALE-Zähler- Interrupt die vorher unterschiedlichen Interrupt- Bits gleichgeworden sind; ist dies nicht der Fall, liegt ein Teilnehmer-Hardwarefehler vor, der über einen Alarm an den BAS gemeldet wird.
• - Externe Interrupts (Interrupts aus dem BIC):
  Solche Interrupts entstehen aufgrund von "Inter Pro­ cessor Commands" (IPC). IPCs, die in einem BIC er­ kannt werden, erzeugen zunächst einen Interrupt im CP, der das empfangene Command analysiert und, falls es sich um eine Meldung an den Teilnehmerrechner handelt, ein Unterbrechungsbit setzt, das dann bei der nächsten ALE-Zähler-Interrupt-Behandlung mit den lokalen Inter­ rupts eingelesen und bearbeitet wird.

Laufen zwei Rechner im TWIN-Mode, müssen zusätzlich alle Interrupts in den beiden Teilnehmern synchronisiert werden. Dabei wird z. B. folgende Prozedur angewandt: Zunächst synchronisiert jeder Teilnehmer seine Interrupts im BIC wie schon vorhin beschrieben. Die CPs (in allen vier be­ teiligten BICs) erkennen durch Abfrage eines Ports, daß Twin-Betrieb vorliegt und beantragen durch Anlegen des RQ-Signals einen CSB-Zyklus. Dieser Zyklus läuft (als einziger) nicht symmetrisch in den Twins ab. Der durch ein Konfigurationsbit als "führend" bezeichnete Twin sendet zuerst seine Interrupts nach der BUS-Zuteilung zum "nicht führenden" Twin. Danach werden die am "nicht führenden" Twin anliegenden Interrupts zum "führenden Twin gesendet. Erst nach Abschluß des Austausches über den CSB quittieren die BICs den Empfang des OUT-Befehls auf dem Multibus, so daß jetzt alle vier Teilnehmer- Rechner befehlssynchron mit der Interruptbehandlung ein­ setzen können, welche nur die Interrupts berücksichtigt, die in beiden Twins anliegen.

Wie aus Fig. 1 hervorgeht, bildet die Bus-Zentrale BAS den Abschluß des CSB; d. h. CSB enthält immer einen "Lin­ ken BAS" BASl und einen "Rechten BAS" BASr. BASl und BASr sind in sich nochmals gedoppelt und durch Vergleich überwacht. Im laufenden System ist ein BAS aktiv, der andere steht im Hot Standby Mode und ist zu jeder Zeit in der Lage, die CSB-Steuerung unterbrechungsfrei zu übernehmen.

Der BAS hat z. B. folgende Aufgaben: Die CSB-Zuleitung, Konfigurationsbehandlung des CSB und der Teilnehmer, Routineprüfung des CSB, Steuerung der Prüfung in den Teilnehmern, Lokalisierung von Defekten am CSB bzw. in den Teilnehmern, Durchführung der Kernlaufs, sowie Pflege der Betriebssystem-Schnittstelle zur Sicherungstech­ nik.

Die Funktion des BAS lassen sich am besten anhand eines Beispieles für den Aufbau eines BAS in Fig. 11 be­ schreiben, welche der Einfachheit wegen nur die rechte Hälfte des BAS-Beispieles zeigt: Die Hardware kann z. B. in drei wesentliche Teile gegliedert werden, nämlich in die Arbitrierungseinheit, serielle Kommunikation und den BAS-Prozessor. Die Arbitrierungseinheit empfängt von z. B. maximal 16 Teilnehmern je einen Request RQ pro CSB. Jeder Request durchläuft zur Synchronisation auf den BAS-Takt zunächst ein Register, das gleichzeitig die Um­ setzung von ECL (CSB) auf TTL-Pegel durchführt. Die zwei­ te Synchronisierungsstufe befindet sich in der Arbitration Logic ABL bzw. AC, von der ein Beispiel in Fig. 12 ge­ zeigt ist; dort bedeuten: STE bzw. STD Single/Twin-Encoder bzw. -Decoder, PRE bzw. PRC Priority-Encoder bzw. -Coun­ ter, sowie ABC Arbitration Control.

Um die BAS-Hälften synchron zu halten, werden die RQ- Leitungen zwischen den Hälften ausgekreuzt. Die AC führt die CSB-Zuteilung für ungedoppelten (Single-) und gedoppelten (Twin-)Betrieb durch.

Die CSB-Vergabe ist durch die BP-Software einstellbar, und zwar unter der Bedingung: Feste Priorität mit Wahl des höchstprioren Teilnehmers, oder rotierende Priori­ tät für faire Zuteilung. Trifft ein RQ ein, führt dies synchron in beiden BAS-Hälften zum Start der Arbitra­ tion-Control ANY RQ. Ein neuer Request wird übernommen, wenn die Steuerung im Zustand IDLE ist. Die Arbitrierung erfolgt vorausschauend, d. h., während noch das Grant- Signal für den Vorgänger ansteht, wird das neue GT-Si­ gnal ermittelt-

Bei Vollausbau werden die in RQSYN gespeicherten RQs vom SINGLE-TWIN ENCODER RAM STE nur weitergegeben, wenn bei den einzelnen TWINS beide RQ-Signale anliegen. Der nach­ folgende mit rotierender Priorität arbeitende PRIORITY ENCODER PRE wählt den Teilnehmer mit höchster Priori­ tät aus. Schließlich sorgt das SINGLE/TWIN DECODER RAM STD dafür, daß bei einem ausgewählten TWIN beide zu­ sammengehörigen Teilnehmer ein GT-Signal bekommen. Bei kleiner Teilnehmer-Zahl genügt ein einzelner RAM-Bau­ stein, um die oben beschriebene Funktionen in einem Schritt durchzuführen. Die GTs werden auf den Systembus durchgeschaltet, wenn seit der RQ-Übernahme eine be­ stimmte Zeit verlief und - bei fortlaufender Arbitrie­ rung - das Ende des letzten Buszyklus mit TK (und LOCK) signalisiert wurde. Außerdem müssen zu diesem Zeitpunkt die in den BAS-Hälften intern ermittelten GTs überein­ stimmen (MP GT - sonst wird ein Alarm an den Prozessor BP gemeldet, und es darf auch kein anderer Alarm vor­ liegen, sonst wird die Weiterarbitrierung gestoppt).

Der Bustransfer wird z. B. mit einem BUS TIMEOUT COUNTER überwacht. Läuft dieser Zähler ab, wird sofort die Ar­ bitrierung gestoppt und ein entsprechender Alarm an den BP gemeldet.

Die Zuordnung von Twins ist an sich freizügig änderbar, da SINGLE/TWIN-ENCODER und -DECODER STE, STD an den Adreß- und Datenbus des BP angeschaltet sind und jeder­ zeit umprogrammiert werden können. Wird ein GT-Signal auf den CSB gelegt, erfolgt gleichzeitig die Speicherung im LAST-GT-Register. Das LAST-GT ist vom BP lesbar und dient im Fehlerfall der Ermittlung des Teilnehmers, der den CSB-Zyklus angefordert hat. Die GT-Signale werden aus Sicherheitsgründen gedoppelt zu jedem Teilnehmer ge­ führt, vergl. GT und GT*. Ein Senderfehler für ein GT-Bit könnte sonst bei Single-CSB-Betrieb zum Totalausfall führen.

Das Serial Channel Control SCHCONT steuert die Sende- bzw. Empfangsrichtung für die serielle Kommunikation: - Im Individual Serial Channel ISC z. B.: Jeder Teilnehmer sendet auf dieser Leitung zu jedem BAS. Zunächst meldet der Teilnehmer eine auszugebende Nachricht durch Anlegen eines Dauersignals, d. h. Alarm, an. Auf Anforderung des BAS hin sendet der Teilnehmer die Meldung. - Im Global Serial Interface GSI: Auf dieser Leitung sendet der BAS an einen durch die Adresse ausgewählten Teilnehmer-Nach­ richten. - Im Serial Arbiter Communication SAC: Die SAC besteht aus zwei Leitungen zur Kommunikation zwischen den beiden BAS. - Im Intra-BAS-Communication IBC: Die IBC besteht aus zwei Leitungen zur Verständigung der Hälften innerhalb des BAS.

Zum SCHCONT gehört der Vergleicher CMP SCH für die ab­ gehenden seriellen Leitungen GSI und SAC. Trifft auf einem der seriellen Kanäle aktives Potential ein, ent­ steht ein Alarm-Signal, das einen Interrupt hervorruft. Das Alarm-Signal ist statisch. Da es nicht sicherge­ stellt ist, daß eine Alarmmeldung auf beiden CSB empfan­ gen wird, kreuzt der BAS die in beiden Hälften vorhan­ denen Informationen ALC über die IBC-Schnittstelle aus, jedenfalls im Duplex-Betrieb. In der Regel fordert der BAS anschließend den alarmierenden Teilnehmer über GSI- bzw. SAC-Schnittstelle auf, detaillierte Informationen zu senden. Die Empfangsauswahl wird auf den entsprechenden Sender eingestellt. Nach Ablauf eines Timers für die maximale Wartezeit auf die Teilnehmer-Antwort wird das BP-interne Pufferregister der seriellen Schnittstelle ausgelesen und sein Inhalt gegenseitig über die IBC aus­ getauscht. Anschließend kann der Interrupt zurückgesetzt und gegebenenfalls der dazugehörige Alarm maskiert werden.

Der BAS-Prozessor BP stellt außer der Arbitrierung alle anderen BAS-Leitungsmerkmale zur Verfügung.

Er besitzt einen externen Programmspeicher PROM und einen Datenspeicher RAM. Über einen Adreß-Decoder werden fol­ gende IO-Ports angesteuert:

Status-Logic (STAT);
die STAT enthält Kippstufen, die die BAS-interne Konfiguration betreffen. So z. B. von welchem RQ-Empfänger synchronisiert werden soll, oder um welche BAS-Hälfte es sich handelt, etc. Die Status Logic ist über den BP-Bus les- und teilweise ladbar.
Alarm Collection (ALC);
in der ALC werden externe Alarme auf den BAS-Takt synchronisiert und mit den BAS internen Alarmen gespeichert. Ein ODER-Signal aus allen Alarmen führt nach einer zweiten Takt-Synchronisierkippstufe auf den Interrupt-Eingang des BP. Der Interrupt wird zwi­ schen den BAS-Hälften synchronisiert. Die externen Alar­ me sind individuell sperrbar. Zur Differenzierung der Unterbrechungsursache liest der BP den Inhalt der ALC auf seinen Bus aus.
Arbitration Logic (AC);
Serial Channel Control (SCHCONT);
Rest Logic (RSL);
die Reset-Logic enthält ein Port für z. B. 16 individuelle Leitungen zum Rücksetzen jedes Teilnehmers und einen Vergleicher für jede RS-Leitung. Nur bei positivem Vergleichsergebnis werden die Sender für dei RS-Signale freigeschaltet.

Jeder Datenzyklus auf dem CSB wird vom aktiven Teil­ nehmer mit dem REQUEST Signal angemeldet. Die Arbitrie­ rung erfolgt zentral mit BAS. Die Zuweisung des CSB wird durch das GRANT-Signal GT gegeben. Die GRANT-Leitung GT ist aus Sicherheitsgründen gedoppelt. Der anfordernde Teilnehmer greift nur dann auf den CSB zu, wenn beide GRANT-Leitungen aktives Potential haben. Der Teilnehmer, der einen CSB-Zyklus abschließt, meldet durch ein Quit­ tungssignal (TK) die Beendigung des Transfers an den BAS. Fig. 13 zeigt ein Beispiel für die Einleitung und den Abschluß des CSB-Zyklus, wobei n, m Bus-Zyklen, t_w Wartezeiten auf Buszuteilung (sie ist abhängig von der Priorität des Teilnehmers und der Anzahl der gleichzei­ tig anliegenden Requeste RQ), t_RQ,off Abschaltzeit für den Request nach der Buszuteilung, t_TK,del Delay, bis das Quittungssignal TACK (TK) vorbereitet wird, tk_TK,min Mindestdauer für TK, t_A Arbitrierungszeit, t_T Transfer­ zeit auf dem Bus und t_C Bus-Zykluszeit bedeuten.

Je nach Betriebsart der Teilnehmer kann man auch das CSB-Datenprotokoll unterscheiden in ein Protokoll für ungedoppelte Teilnehmer und in ein Protokoll für gedoppel­ te Teilnehmer (Twins). Beide Protokolle sind - was den oder die gedoppelten Teilnehmer betrifft - identisch; d. h., ein Teilnehmer braucht diesbezüglich nicht zu wissen, ob er einen Partner-Twin besitzt, oder nicht. Lediglich der BAS weiß über die Konfiguration Bescheid. Sendet ein Twin einen Request, wartet er ab, bis auch der Partner-Twin RQ sendet und teilt dann beiden das GRANT-Signal zu. Weitere Maßnahmen sind nicht notwendig.

Es gibt zwei verschiedene CSB-Zyklen für ungedoppelte Teilnehmer. Fig. 14 zeigt ein Beispiel für das Timing des Write-Zyklus, wobei (S) Sender, (R) Receiver, t_S,AD set up time Adresse, t_AD Adreß-Bereitstellungszeit, t_h,AD hold time Adresse, t_S,D set up time Daten, t_h,D hold time Daten, t_AR Adreß-Erkennungszeit im Empfänger und t_DP Daten-Verarbeitungszeit im Empfänger bedeuten.

Sobald GT (vom BAS) empfangen wird, werden (asynchron vom Teilnehmer) die Adressen angelegt und die Steuer­ signale AV und DV vorbereitet. Sind die Adressen einge­ schwungen und richtig (Vergleich), werden sie durch Weg­ nahme von AV als gültig erklärt. Nach der Hold Time wer­ den die Daten angelegt und nach der Einschwingzeit durch Wegnehmen von DV für gültig erklärt, falls der Vergleich positiv war. Wenn der empfangene Teilnehmer die Adres­ se erkannt hat, legt er das TK-Signal solange an, bis er die Daten gespeichert hat und für einen neuen CSB- Zyklus bereit ist. Damit ist der Write-Zyklus beendet. Der BAS nimmt das GT-Signal weg und vergibt gegebenen­ falls einen neuen Zyklus.

Wenn der Vergleich der Adressen oder Daten negativ war, werden die A/D- und Paritätssender gesperrt. Die Leitun­ gen gehen in den passiven Zustand, vgl. LOW in Fig. 14. Nach der Einschwingzeit werden AV und/oder DV passiv ge­ schaltet. Der Empfänger übernimmt damit Adressen bzw. Daten falscher Parität und sondert diese im BIC aus. Der Zyklus wird vom Empfägner wie gewöhnlich durch Wegnahme des TK-Signals beendet.

Fig. 15 zeigt ein Beispiel für das Timing des Read-Zyklus. Die Bezeichnung und Zeitangaben gelten sinngemäß wie in Fig. 14, wobei t_DA Daten-Bereitstellungszeit der Empfänger bedeutet. Wie beim Schreiben werden nach Bus­ zuteilung die Adressen auf die Leitungen gelegt. Gleich­ zeitig werden die Signale AV und TK vorbereitet. Sobald der angesprochene Empfänger die Adresse (und den Opera­ tionscode) erkannt hat, legt er das DV-Signal an. Nach der Datenzugriffszeit und der Daten-setup time wird DV weggenommen. Der BIC des lesenden Teilnehmers (S) über­ nimmt die Daten und quittiert den Empfang durch Wegnehmen des TK-Signals, sobald er die Daten an den Teilnehmer abgegeben hat und damit für den nächsten CSB-Zyklus frei ist. Für den Fall eines Vergleichsalarms gelten sinnge­ mäß die Aussagen zum Write-Zyklus gemäß Fig. 14.

Zur Realisierung von Read-Modify-Write-Zyklen kann der CSB reserviert werden. Dazu wird das im PROC iSBC86 er­ zeugte Signal LOCK bei der Buszuteilung auf den CSB ge­ legt. Solange das LOCK-Signal ansteht, ignoriert der BAS das TK-Signal. Als Ende-Kriterium gilt: TK und LOCK sind passiv. Fig. 16 zeigt ein Beispiel für das Timing eines Lese-Schreib-Zugriffs bei reserviertem Bus. Die Zahl der reservierten Buszyklen ist nur durch die Zeitüberwachung im Bus begrenzt. Der CSB bleibt solange reserviert bis der reservierende Teilnehmer das LOCK-Signal wieder weg­ nimmt.

Werden Teilnehmer im Twin-Mode betrieben, müssen sie sich gegenseitig synchronisieren. Außerdem soll es zu jedem Zeitpunkt eines Buszyklus möglich sein, nach Aus­ fall eines Twins das Protokoll mit dem verbleibenden Rechner fortzusetzen, ohne daß dies vom Partner-Teil­ nehmer (der ebenfalls ein Twin sein kann) bemerkt wird.

Die Synchronisierung des CSB-Datenprotokolls erfolgt über die Steuerleitungen, die auch für den ungedoppel­ ten Betrieb benötigt werden. Im Twin-Mode senden zwei Teilnehmer gleichzeitig auf dem CSB, d. h., Adressen bzw. Daten und Paritäten beider Twins überlagern sich auf dem Bus. Wie bereits in Zusammenhang mit Fig. 13 erläutert, teilt im vorliegenden Beispiel der BAS jedem Twin eines Paares das Grant-Signal zu, sobald er von beiden den Request empfangen hat. Das TK-Signal der Twins oderiert sich auf dem CSB; erst wenn TK passiv wird, nimmt der BAS beide GRANTs weg und vergibt den nächsten Zyklus.

Der Datenaustausch wird über AV bzw. DV synchronisiert. Auch die Steuersignale oderieren sich (aktiv high) auf dem CSB. Ein Twin setzt den CSB-Zyklus erst fort, wenn er durch Abhören der Steuersignale erkannt hat, daß sein zugehöriger Twin dieselbe Stelle im Protokoll erreicht hat. Um dies zu ermöglichen, muß jeder BIC Zugriff auf die Signale AV und DV unmittelbar am CSB haben. Deshalb sind Sende- und Empfangsweg für AV und DV zwischen Bus- Abkopplung und BIC getrennt ausgeführt, vergl. auch Fig. 8.

Fig. 17 zeigt ein Beispiel für das Timing für einen Weite-Zyklus mit Twins als Sender (Prozessor) und Twins als Empfänger (Speicher). Die mit * bezeichneten Signale liegen am jeweiligen Eingang des CSB-Treibers an. Da das Abhören von AV und DV auch im ungedoppelten Be­ trieb erfolgen kann, ergibt sich für die BIC-Steuerung kein Unterschied zwischen dem ungedoppelten Betrieb und dem Twin-Mode im vorliegenden Beispiel.

Claims (10)

1. Mehrrechnersystem mit mehreren, über einen gedoppelten viel­ adrigen Systembus (CSB) mit paritätsgesicherter Übertragung zu­ sammenarbeitenden Rechnern (PROC) dadurch gekennzeichnet, daß die Steuerleitungen des Systembusses (CSB) nochmals gedop­ pelt sind,

• - die Rechner (PROC), die für sich jeweils gedoppelt sind, je­ weils über einen lokalen Bus (LB) an eine Bus-Interface-Schal­ tung (BIC/BIC) angeschlossen sind,
• - die jeweils aus zwei gleichen Teilen (BIC) bestehende Bus-Interface- Schaltung (BIC/BIC), die von dem Rechnerpaar erhaltene Information und eigene auf dem Systembus (CSB) zu sendende Signale durch Ver­ gleich überprüft, wobei bei Ungleichheit die Bus-Interface-Schal­ tung (BIC/BIC) sich und damit auch das angeschlossene Rechner­ paar (PROC) abschaltet und dies einer Bus-Zentrale (BAS) als Alarm meldet,
• - die von jedem einzelnen Systembus (CSB) empfangenen Steuerungs- und Informationssignale von der Bus-Interface-Schaltung (BIC/ BIC) überprüft werden, wobei die Information nur dann an das Rechnerpaar (PROC) weitergegebenen werden darf, wenn zumindest auf einem Systembus (CSB) die Übertragung fehlerfrei war,
• - auf eine Anforderung der Bus-Interface-Schaltung (BIC/BIC) die Bus- Zentrale (BAS) über in jedem Systembus (CSB) gedoppelte Leitungen dieser Bus-Interface-Schaltung (BIC/BIC) den Systembus (CSB) zu­ teilt, wobei die Bus-Freigabe innerhalb einer maximalen Belegungs­ zeit erfolgt,
• - beim Betrieb beider Systembusse (CSB) eine Zuteilung nur erfolgt, wenn auf beiden Systembussen (CSB) eine Anforderung gestellt wurde, während beim Ausfall eines der beiden Systembusse (CSB) die An­ forderung auf dem verbleibenden intakten Systembus (CSB) genügt.

2. Mehrrechnersystem nach Patentanspruch 1, dadurch gekennzeichnet, daß an den Systembus (CSB) eine zentrale gedoppelte Speichereinheit (MU) angeschlossen ist.

3. Mehrrechnersystem nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß

• - die Bus-Zentrale (BAS) über eigene Leitungen zu den Bus-Interface- Schaltungen (BIC/BIC) zentrale Sicherungsfunktionen wahrnimmt durch die Sammlung der Alarme von den Bus-Interface-Schaltungen (BIC/BIC) durch das An- und Abschalten von Bus-Interface-Schaltungen (BIC/BIC) und damit von Rechnerpaaren und Speicherpaaren (PROC, MU), durch das An- und Abschalten von einem der beiden Systembusse (CSB), durch Testaufträge an die Bus-Interface-Schaltungen (BIC/BIC), womit Systembusfehler lokalisiert und durch Abschalten eines Rechner­ paares oder Speicherpaares (PROC, MU) die Systembus-Redundanz er­ halten werden kann, durch System-Start und durch die Kommunikation mit sicherungstechnischen Prozessen, die auf irgendwelchen der Rechnerpaare (PROC) ablaufen,
• - die Bus-Zentrale (BAS) aus zwei gleichen Teilen (BASl, BASr) besteht, die den beiden Systembussen (CSB) zugeordnet sind und alle zu sen­ denden Signale vergleichen, wobei die Registrierung einer Un­ gleichheit zu einer Abschaltung der Buszentrale (z. B. BASl) führt, was der Ersatz-Buszentrale (BaSr) gemeldet wird,
• - die Ersatz-Bus-Zentrale (BASr) durch den Zustand der Bussignale so­ wie durch Meldungen der aktiven Bus-Zentrale (BaSl) stets auf Stand gehalten wird, wobei, falls diese Meldung eine bestimmte Zeit ausbleibt oder bei Ausfallmeldung der aktiven Bus-Zentrale (BASl) oder bei routinemäßigem Tausch der Funktionen der beiden Bus-Zentralen (BAS), die bisherigen Ersatz-Bus-Zentrale (BASr) die Aufgabe der aktiven Bus-Zentrale (BASl) lückenlos übernehmen kann.

4. Mehrrechnersystem nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß

• - die IO-Organe über zwei Standard-IO-Busse an eine IO-Interface- Schaltung (BIC/BIC) angeschlossen sind, die über die beiden lokalen Busse (LB) mit dem parallel laufenden Rechnerpaar und mit der Bus-Interface-Schaltung (BIC/BIC) kommunizieren kann,
• - die IO-Interface-Schaltung (BIC/BIC) aus zwei gleichen Teilen (CIC) besteht, die den beiden lokalen Bussen (LB) zugeordnet sind und alle auf dem IO-Bus zu sendenden Signale vergleichen, wobei bei Ungleichheit die Bus-Interface-Schaltung (BIC/BIC) sich vom System-Bus (CSB) abschaltet und den Alarm der Bus­ zentrale (BAS) meldet.
• - die IO-Interface-Schaltung (CIC/CIC) bei einem IO-Transfer nur auf einen einzigen IO-Bus aktiv sendet und die von einem einzigen IO-Bus empfangene Information in beide lokale Busse dem parallel arbeitenden Rechnerpaar (PROC) bzw. der Bus-Inter­ face-Schaltung (BIC/BIC) weiterleitet,
• - die Bus-Zenrtrale (BAS), die Bus-Interface-Schaltungen (BIC/BIC) und die IO-Interface-Schaltungen (CIC/CIC) ihre eigene Funktionsfähig­ keit jeweils selbst überwachen, wobei sie Spannungs­ fehler, Taktausfall und Watch-Dog-Ablauf registrieren und, wie bei einem Vergleicherfehler, in diesem Falle sich selbst abschalten und den Alarm melden.

5. Mehrrechnersystem nach einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, daß

• - für einen fehlertoleranten Betrieb des Mehrrechnersystems, wobei bei Ausfall eines Rechners (PROC) bzw. zentralen Speichers (MU) der Programmablauf im System nicht gestört wird,
• - zwei Rechnerpaare und zwei Speicherpaare (PROC, MU) jeweils par­ allel arbeiten und bei Ausfall eines der Rechnerpaare das andere intakte Rechnerpaar (PROC) die laufende Aufgabe zunächst alleine fortführt bzw. bei Ausfall eines Speichers (MU) eines der Spei­ cherpaare das intakte Speicherpaar (MU) die laufende Aufgabe zu­ nächst alleine fortführt, wodurch im intakten Speicherpaar (MU) weiterhin korrekte Daten zur Verfügung stehen,
• - auf demselben Systembus (CSB) zwei Bus-Interface-Schaltungen (BIC/BIC) gleichzeitig senden können, indem auf dem Systembus (CSB) ein aktives Potential ausgezeichnet ist, das sich dann durchsetzt, wenn verschiedene Potentiale angelegt werden,
• - die Bus-Zentrale (BAS) den Systembus (CSB) den zu den beiden Rechnerpaaren (PROC) gehörenden Interface-Schaltungen (BIC/BIC) nur dann zuteilt, wenn beide Bus-Interface-Schaltungen (BIC/BIC) eine Anforderung gestellt haben,
• - die Bus-Zentrale (BAS) die im fehlertoleranten Betriebsmode zu­ sammengehörigen Bus-Interface-Schaltungen (BIC/BIC), die im Prin­ zip beliebig ausgewählt werden können, registriert und bei Aus­ fall eines Rechnerpaares (PROC) die Verdoppelung aufhebt, so daß das verbleibende Rechnerpaar (PROC) den Systembus zugeteilt bekommen kann,
• - die IO-Organe jeweils an ein IO-Interface-Schaltungspaar (BIC/BIC) angeschlossen sind, das über die lokalen Busse mit zwei parallel­ laufenden Rechnerpaaren (PROC) und zwei Bus-Interface-Schaltungen (BIC/BIC) kommunizieren kann,
• - jeweils nur eine IO-Interface-Schaltung (BIC/BIC) des IO-Interface- Schaltungspaares (BIC/BIC) auf einen IO-Bus sendet,
• - die von einem IO-Bus empfangene Information über Auskreuz­ leitungen von einer IO-Interface-Schaltung (BIC/BIC) zur anderen IO-Interface-Schaltung (BIC/BIC) eines IO-Schaltungspaares (BIC/ BIC) übermittelt wird,
• - die Bus-Zentrale (BAS) die im fehlertoleranten Betriebsmode zusam­ mengehörigen IO-Interface-Schaltungen (BIC/BIC) als IO-Interface- Schaltungspaar (BIC/BIC) einstellt und, bei Ausfall einer IO- Interface-Schaltung (BIC/BIC) oder eines dazugehörigen Rechners (PROC) oder der dazugehörigen Bus-Interface-Schaltung (BIC/BIC) den fehlertoleranten Betriebsmode abschaltet.

6. Mehrrechnersystem nach einem der vorhergehenden Patentansprüche, dadurch gekennzeichnet, daß

• - für einen asynchronen Betrieb des Mehrrechnersystems, der nicht mit den Problemen eines vollsynchronen Systems belastet ist und der es erlaubt, beliebige Rechner und Speicher zu verwenden,
• - die den Datentransfer steuernden Busleitungen "Address Valid" (AV), "Data Valid" (DV) und "Transfer acknowledge" (TK) von den am Trans­ fer beteiligten Bus-Interface-Schaltungen (BIC/BIC) so bald wie möglich in den aktiven Zustand versetzt werden,
• - die Bus-Interface-Schaltungen (BIC/BIC) die Pegelübergänge aktiv nach passiv der den Datentransfer steuernden Busleitungen bewerten, so daß fehlertolerante Paare durch diese Übergänge der Steuer­ signale am Systembus (CSB) synchron gehalten werden,
• - die Signale der den Datentransfer steuernden Busleitungen von der Bus-Interface-Schaltung (BIC/BIC) auf den eigenen Takt synchroni­ siert werden, wobei, wenn nach einer Wartezeit auf dem anderen Sy­ stembus (CSB) dieses Signal nicht auch empfangen wurde, die Bus- Interface-Schaltung (BIC/BIC] für den laufenden Transfer den anderen Systembus (CSB) ignoriert,
• - zur Erhaltung der Befehlsfolge in parallel arbeitenden Rechnern (PROC), die Interrupts maskiert sind bis auf einen Interrupt, der sich von einem Zähler ableitet, dessen Zöhlerstand fest mit der Befehlsfolge gekoppelt ist wie beim Zählen der Address-Latch-Enable- Impulse,
• - bei einem Interrupt dieses Zählers alle am Interrupt-Controller anliegenden Interrupt vom Rechner (PROC) der Bus-Interface-Schal­ tung (BIC/BIC) mitgeteilt werden, wobei anschließend der Rechner (PROC) wieder die Interrupts einliest, die von beiden zu einer Bus- Interface-Schaltung (BIC/BIC) gehörenden Rechnern (PROC) mitgeteilt werden, wobei dieser Rechner (PROC) zusätzlich die Interrupts ein­ liest, die über den Systembus (CSB) für den Rechnern (PROC) ge­ meldet werden, und, wenn noch eine IO-Interface-Schaltung (CIC/CIC) an die lokalen Busse angeschaltet ist, der Rechner (PROC) auch noch die hier für den Rechner (PROC) gesammelten Interrupt einliest,
• - die vom Rechner (PROC) aus seiner Bus-Interface-Schaltung (CIC/CIC) gelesenen Interrupts in diesen Schaltungen (BIC/BIC, CIC/CIC) gelöscht werden,
• - eine Zeitüberwachung in der Bus-Interface-Schaltung (BIC/BIC) darüber wacht, daß nicht nur einer der beiden parallel arbeitenden Rechner (PROC) einen Interrupt meldet, was von der Bus-Interface- Schaltung (BIC/BIC) als Fehler angesehen wird, der zum Abschalten des Rechnerpaares (PROC) vom Systembus (CSB) führt,
• - die beiden Bus-Interface-Schaltungen (BIC/BIC), die zu zwei fehler­ tolerant betriebenen Rechnern (PROC) gehören, nachdem die Rechner (PROC) ihnen (BIC/BIC) die Interrupts mitgeteilt haben, über den Systembus (CSB) diese Interrupt-Meldungen austauchen, und nur diejenigen Interrupts von den Rechnern (PROC) wieder eingelesen werden, die jeder der vier Rechner (PROC) mitgeteilt hat,
• - wenn die Bus-Interface-Schaltung bzw. IO-Interface-Schaltung (BIC/ BIC, CIC/CIC) eine Meldung auf einem lokalen Bus (LB) empfängt und wen diese Schaltung (BIC/BIC, CIC/CIC) nach einer vorgegebenen maximalen Wartezeit vom anderen lokalen Bus (LB) noch keine Mel­ dung empfangen hat, die Bus-Interface-Schaltung (BIC/BIC) das Ab­ schalten des Rechner- bzw. Speicherpaares (PROC, MU) vom Systembus veranlaßt.

7. Mehrrechnersystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß

• - zum Betrieb der Leitungen jedes Systembusses (CSB) des Mehrrechner­ systems,
• - auf Informationsleitungen Adressen und Operationscodes und anschlie­ ßend auf denselben Leitungen Daten gesendet werden, wobei die In­ formation mit zusätzlichen Paritätsleitungen gesichert wird,
• - solange eine Bus-Interface-Schaltung (BIC/BIC) die für jeden Sy­ stembus (CSB) gedoppelte Leitung (LOCK) im aktiven Zustand hält, mehrere Datentransfers auf dem Systembus (CSB) hintereinander durch­ geführt werden können, bevor die Bus-Zentrale (BAS) den Systembus (CSB) von neuem zuteilt,
• - zur seriellen Kommunikation verschiedene Leitungen zur Verfügung stehen, wobei
  • - über die gemeinsame serielle Leitung (GSI) die Bus-Zentrale (BAS) eine an eine Bus-Interface-Schaltung (BIC/BIC) adressierte Meldung abgibt,
  • - über individuelle serielle Leitungen (ISC) Meldungen von den ein­ zelnen Bus-Interface-Schaltungen (BIC/BIC) an die aktive Bus- Zentrale (BAS) gelangen, und
  • - über zwei zentrale serielle Leitungen (SAC) die aktive Bus-Zentrale (z. B. BASl) und die Ersatz-Bus-Zentrale (BASr) miteinander kom­ munizieren,
• - die aktive Bus-Zentrale (BAS) jede Bus-Interface-Schaltung (BIC) durch Aussenden des Aktiv-Pegels auf deren Resetleitung im vom Systembus (CSB) abgeschalteten Zustand halten kann, während die aktive Bus-Zentrale (BAS) durch die Potentialänderung vom akti­ ven in den passiven Pegel ein Rücksetzen der Bus-Interface-Schal­ tung (BIC/BIC) und des dazugehörigen Rechner- bzw. Speicherpaares (PROC, MU) und ein Anschalten der Bus-Interface-Schaltung (BIC/ BIC) an den Systembus (CSB) veranlaßt.

8. Mehrrechnersystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß

• - jeder Systembus (CSB) aus einer bevorzugt mehrlagigen Platine be­ steht, an die über Stecker mehrere Busabkoppelbaugruppen der Bus- Interface-Schaltungen (BIC/BIC) und die beiden Bus-Zentralen (BAS) anschließbar sind,
• - die Informations- und Steuerleitungen an den beiden Leitungsenden mit Leitungsabschlüssen versehen sind, die auch die Funktion haben, im passiven Zustand das zugehörige Potential anzulegen,
• - die Bus-Interface-Schaltung (BIC/BIC) über Kabel an die Busabkoppel­ baugruppen, welche die Leitungstreiber enthalten, angeschlossen ist und diese elektrisch versorgt.

9. Mehrrechnersystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß

• - zur seriellen Kommunikation an einem Systembus (CSB) des Mehrrechner­ systems
• - eine serielle Meldung aus Paketen besteht, die außer dem Start- und Stop-Bit weitere Informationsbits und ein Zusatzbit enthalten, wobei das Zusatzbit nur beim ersten Paket einer Meldung der Bus- Zentrale (BAS) auf der gemeinsamen seriellen Leitung (GSI) ge­ setzt ist, während das Zusatzbit auf den anderen seriellen Lei­ tungen zur Paritätssicherung verwendet wird,
• - die Bus-Interface-Schaltung (BIC/BIC), die stets bereit ist, Mel­ dungen auf der gemeinsamen seriellen Leitung zu empfangen, ein Paket zunächst nur registriert, wenn das Zusatzbit gesetzt ist, wobei dieses Paket in den ersten Bits die Adresse der angesprochenen Bus-Interface-Schaltung (BIC/BIC) enthält und wobei nur der Adres­ sat das erste Paket und die weiteren Pakete einer Meldung regi­ striert,
• - die Ersatz-Bus-Zentrale (BAS) stets bereit ist, Meldungen auf einer der beiden zentralen seriellen Leitungen (SAC) zu empfangen,
• - eine Bus-Interface-Schaltung (BIC/BIC) bzw. die Ersatz-Bus-Zentrale (BAS) von sich aus nur ein Dauersignal auf einer individuellen seriellen Leitung (ISC) bzw. auf einer der beiden zentralen seriel­ len Leitungen (SAC) senden darf, um der aktiven Bus-Zentrale (BAS) einen Kommunikationswunsch anzuzeigen,
  solange die aktive Bus-Zentrale (BAS) mit einer inaktiven Bus-Inter­ face-Schaltung (BIC/BIC) kommuniziert, auf der individuellen seriel­ len Leitung (ISC) kein Dauersignal sondern Antwort-Pakete zur aktiven Bus-Zentrale (BAS) gemeldet werden, während bei Ausfall einer Bus-Interface-Schaltung (BIC) das Dauersignal statisch anliegt,
• - die aktive Bus-Zentrale (BAS) nach der Erledigung eines Auftrages einer Bus-Interface-Schaltung (BIC/BIC) zunächst die Ersatz- Bus-Zentrale (BAS) und anschließend die Bus-Interface-Schaltung (BIC/BIC) unterrichtet, die daraufhin das Dauersignal zurücknimmt, wenn nicht noch weitere Aufträge vorliegen,
• - bei Ausfall der aktiven Bus-Zentrale (BAS) während der Bearbeitung eines Auftrages einer Bus-Interface-Schaltung (BIC/BIC) die bis­ herige Ersatz-Bus-Zentrale (BAS), die nun aktiv wird, das Dauer­ signal wieder vorfindet und damit den Auftrag von neuem bearbeitet,
• - zur Sicherung der Übertragung noch Quittungen, zusätzliche Paritäts- Bits und eine Zeitüberwachung des Transfers vorgesehen sind.

10. Mehrrechnersystem nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß

• - die Information im Speicher durch eine ausreichende Anzahl von Paritätsbits gesichert ist, so daß Ein-Bit-Fehler korrigiert wer­ den und Zwei-Bit-Fehler erkannt werden können,
• - die Speichersteuerung aus zwei gleichen, synchron betriebenen Steuerungen (BCU) besteht, die jeweils an ihren lokalen Bus (LB) angeschlossen sind,
• - der Speicher (MU) nur von einer einzigen Steuerung (MCU) aktiv be­ schrieben wird, während beim Lesen beide Steuerungen (MCU) die Fehlerkorrektur und -prüfung durchführen, wobei die Erkennung eines nicht korrigierbaren Fehlers in wenigstens einer der beiden Steuerungen (MCU) als Speicherausfall interpretiert wird.