CH652838A5

CH652838A5 - Redundant computer system

Info

Publication number: CH652838A5
Application number: CH151181A
Authority: CH
Inventors: Helmut Uebel
Original assignee: Int Standard Electric Corp
Priority date: 1980-03-12
Filing date: 1981-03-06
Publication date: 1985-11-29
Also published as: DE3009355C2; DE3009355A1; YU64281A; BE887906A; YU41455B; ES8201330A1; ES500296A0

Description

Erfindung den Einsatz einer wesentlich einfacheren und weni-

Die Erfindung betrifft ein redundantes Rechnersystem 35 ger leistungsfähigen Vergleichseinrichtung.

nach dem Oberbegriff des Anspruchs 1. Anhand einer Figur soll im folgenden ein Ausführungs-

Zur Steuerung von Schienenfahrzeugen, aber auch aus an- beispiel des erfindungsgemässen redundanten Rechnersy-deren Bereichen der Technik, in denen es auf höchstmögliche stems beschrieben werden. In der Figur ist dargestellt ein reSicherheit der Datenverarbeitung ankommt, sind redundante dundantes Zweirechnersystem, bestehend aus zwei Einzel-Mehrrechnersysteme bekannt, bei denen alle Ergebnisse in 40 rechner R1 und R2 mit Eingaberegistern El, E2 und Ausga-zwei oder mehr voneinander unabhängigen Rechnern parallel beregistern Al, A2, einer Auswahl- und Durchschalteeinrich-erarbeitet und miteinander verglichen werden. Bei Einsatz tung AD und zwei rückgekoppelten Schieberegistern SRI, von mehr als zwei voneinander unabhängigen Rechnern wird SR2, von denen jedes einem der Rechner zugeordnet ist. Die häufig ein Mehrheitsentscheid durchgeführt, wenn voneinan- zu verarbeitenden Daten werden den Rechnern über ihre Ein-der abweichende Ergebnisse festgestellt wurden. In einem in 45 gänge parallel zugeführt. Dies kann zeitversetzt oder syn-der DE-PS 21 08 496 beschriebenen Dreirechnersystem wer- chron erfolgen. Die an den Rechnerausgängen anstehenden den die den Vergleich und den Mehrheitsentscheid bewerk- Verarbeitungsergebnisse werden erst dann von derAuswahl-stelligenden Einrichtungen in regelmässigen Zeitabständen und Durchschalteeinrichtung AD zur weiteren Verwendung durch die Ausgabe absichtlich gefälschter Bits geprüft. freigegeben, wenn ihre Übereinstimmung geprüft worden ist.

Um die Empfindlichkeit solcher Mehrrechnersysteme ge- so Hierzu tauschen die Rechner bei einem Software-Vergleich genüber induktiven Einstreuungen herabzusetzen wird in ei- nach dem Stand der Technik ihre Verarbeitungsergebnisse nem in der DE-AS 27 25 922 beschriebenen Mehrrechnersy- untereinander aus und jeder Rechner vergleicht die vom stem von einer streng synchronen Arbeitsweise abgegangen Nachbarrechner erhaltenen Daten mit den von ihm selbst er-und ein zeitlicher Versatz im Ablauf der Rechnerprogramme mittelten. Er gibt ein besonderes Signal an die Auswahl- und herbeigeführt. Zum Vergleich und Mehrheitsentscheid müs- 55 Durchschalteeinrichtung ab, wenn der Vergleich Übereinsen die Rechner dann aufeinander warten, was zusätzliche Stimmung ergibt. Um nicht alle an den Rechnerausgängen Rechenzeit erfordert. In der DE-OS 28 13 079 schliesslich, ist anstehenden Daten austauschen zu müssen, was infolge der ein Mehrrechnersystem beschrieben, in dem diese zusätzliche grossen Datenmenge viel Zeit erfordern würde, werden beim Rechenzeit wesentlich reduziert ist. Rechnersystem nach der Erfindung die von jedem Rechner er-

Bei den zuletzt genannten Rechnersystemen erfolgt der 60 arbeiteten Daten seriell über Verbindungsleitungen 1,2 dem Vergleich der Verarbeitungsergebnisse bitparallel in einer be- zum jeweiligen Rechner gehörenden rückgekoppelten Schie-sonderen, signaltechnisch sicheren Vergleichsschaltung. Diese beregister SRI, SR2 zugeführt.

besondere, sichere Vergleichsschaltung (sicherer Hardware- Die rückgekoppelten Schieberegister sind identisch aufge-

Vergleich) kann eingespart werden, wenn ein sogenannter baut und führen eine modulo-2-Addition der seriell eintref-Software-Vergleich durchgeführt wird. Hier tauschen die Ein- «s fenden Daten durch. Mit zwei 16-Bit-Schieberegistern und ei-zelrechner die von ihnen ermittelten Ergebnisse untereinander ner Hamming-Distanz von H=4 der eingegebenen Daten aus und jeder Rechner vergleicht dann sein eigenes Ergebnis sind die in den Schieberegistern enthaltenen 16-Bit-Wörter, mit dem der Nachbarrechner. Bei einem solchen Software- auch Signaturen genannt, bei Unterschieden der eingegebe-

nen Daten auch nach bis zu 32 000 eingegebenen Bits noch unterschiedlich. Um Unterschiede der Rechnerergebnisse festzustellen, genügt es also, nach jeweils ca. 32 000 eingegebenen Bits die in beiden Schieberegistern enthaltenen Signaturen durch Abfrage über Datenleitungen 3 und 4 in den Rechnern miteinander zu vergleichen, sodass gegenüber einem direkten Bit- oder Wortvergleich die Rechnerzeit für den Vergleich um einen Faktor 2000 verringert wird. Eine solche Verwendung des Signaturvergleiches ist z.B. im Artikel «Hexadécimal signatures identify troublespots in |iP systems» von Gordon und Nadig, erschienen in Electronics 3/1977, S. 89-96, beschrieben.

Der Vergleich zur Datensicherung braucht sich selbstverständlich nicht auf die Verarbeitungsergebnisse der Rechner zu beschränken. Es können z.B. auch über Verbindungsleitungen 5 und 6 die in den Eingaberegistern El, E2 stehenden Daten den Schieberegistern zugeführt werden und es kann auf diese Weise überprüft werden, ob während der Dateneingabe - etwa durch induktive Einstreuung - eine Verfälschung der zu verarbeitenden Information erfolgt ist.

Die Daten aus den Eingaberegistern brauchen dabei nicht notwendig getrennt von den Verarbeitungsergebnissen der Rechner geprüft werden, sie können auch vermischt mit Ver-

3 652 838

arbeitungsergebnissen in die Schieberegister eingegeben werden. Die Eingabe muss lediglich bei beiden Schieberegistern in der gleichen Reihenfolge erfolgen und die maximal zulässige, zu reduzierende Datenmenge (32 000 Bit) darf nicht 5 überschritten werden.

Mit Hilfe der rückgekoppelten Schieberegister kann auch eine Prüfung der Information von im Rechnersystem enthaltenen, in der Figur nicht dargestellten Speichern vorgenommen werden. Die in Festwertspeichern enthaltenen Daten 10 werden hierzu von den Einzelrechnern ausgelesen und über deren Ausgaberegister den Schieberegistern zugeführt. Der Vergleich der reduzierten Daten erfolgt wie bei der Prüfung der Verarbeitungsergebnisse, durch die Rechner. Um die Funktionsfahigkeit von Schreib-Lese-Speichern (RAM's) zu i5 prüfen, werden diese nach einem Prüfprogramm geladen und der Inhalt anschliessend wie bei den Festwertspeichern geprüft. Bei Festwertspeichern besteht die Möglichkeit, zusätzlich zum Vergleich der reduzierten Datenmengen, wie bei der Signaturanalyse einen Vergleich dieser Datenmenge mit ei-20 nem fest abgespeicherten Prüfwert durchzuführen. Dies ist insbesondere dann von Vorteil, wenn defekte Festwertspeicher gegen lang gelagerte, vorprogrammierte Ersatzbauelemente ausgewechselt werden müssen.

C

1 Blatt Zeichnungen

Claims

652 838 2 PATENTANSPRÜCHE Vergleich kann die auszutauschende Datenmenge bei dichter

1. Redundantes Rechnersystem aus mindestens zwei mit Vergleichsfolge sehr gross werden. Insbesondere, wenn nicht Eingabe- und Ausgabe-Registern ausgestatteten Einzelrech- nur die Verarbeitungsergebnisse der Rechner, sondern auch nern und mehreren Speichern, bei dem die Einzelrechner alle andere wichtige Informationen, wie z.B. Rechnereingaben Ergebnisse parallel erarbeiten und bei dem eine Prüfung der 5 oder Speicherinhalte durch Vergleich geprüft werden sollen, Verarbeitungsergebnisse durch Datenvergleich erfolgt, da- kann die auszutauschende Datenmenge rasch so gross wer-durch gekennzeichnet, dass mit den Ausgaberegistern (A 1, den, dass der Datenaustausch einen beachtlichen Teil der A2) der Einzelrechner (RI, R2) rückgekoppelte Schieberegi- Rechnerkapazität in Anspruch nimmt.

ster (SRI, SR2) verbunden sind, in die die Verarbeitungser- In anderem Zusammenhang ist unter dem Stichwort «Si-

gebnisse seriell eingebaut sind, und dass nach Eingabe von je- 10 gnaturanalyse» ein Verfahren zur Funktionsprüfung komple-weils vorgegebenen, die Kapazität eines Schieberegisters xer digitaler Schaltungen bekannt - siehe z.B. Hewlett Pak

übersteigenden Datenmengen in die Schieberegister ein Ver- kard, Application Note 222-1 -, bei welchem einwandfreies gleich der in den Schieberegistern befindlichen Datenmengen Arbeiten der betreffenden Schaltungen durch Auswertung erfolgt. von an bestimmten Schaltungspunkten auftretenden Daten-

2. Redundantes Rechnersystem nach Anspruch 1, da- i5 strömen überprüft wird. Dabei wird eine während eines genau durch gekennzeichnet, dass Mittel vorhanden sind, um zu- definierten Arbeitszyklus an der Überwachungsstelle auftre-sätzlich in vorgegebenen Zeitabständen eine Prüfung der In- tende Datenmenge seriell in ein rückgekoppeltes Schieberegi-halte der Speicher des Rechnersystems durchzuführen, bei ster eingegeben und danach der im Schieberegister verblei-welcher die Speicherinhalte seriell in die rückgekoppelten bende Datenrest mit einem abgespeicherten Sollwert vergli-Schieberegister (SRI, SR2) eingegeben werden und die nach 20 chen. Die Verwendung rückgekoppelter Schieberegister zur Eingabe von vorgegebenen Datenmengen in die Schieberegi- Redundanzbildung und -prüfung (zyklische Codes) ist auch ster in diesen befindlichen Datenmengen durch die Rechner zum Zweck der Datensicherung auf Datenübertragungsstrek-(Rl, R2) mit in einem besonderen Speicher abgespeicherten, ken bekannt.

fest vorgegebenen Werten und/oder untereinander verglichen Die Erfindung, die im übrigen dem kennzeichnenden Teil werden. 25 des Anspruchs 1 zu entnehmen ist, ermöglicht nun durch Ein-

3. Redundantes Rechnersystem nach Anspruch 1 oder satz der für sich bekannten rückgekoppelten Schieberegister Anspruch 2, dadurch gekennzeichnet, dass auch die Eingabe- zur Datenreduktion einen Software-Vergleich bei Mehrrechregister (El, E2) der Einzelrechner (RI, R2) mit den Eingän- nersystemen in dichter zeitlicher Folge und unter Einbeziegen der rückgekoppelten Schieberegistern (SRI, SR2) ver- hung wichtiger, nicht an den Ausgaberegistern der Einzelbunden sind, um auch die den Rechnereingaberegistern zuge- 30 rechner anstehender Informationen ohne eine Erhöhung der führten Informationen in den Einzelrechner zu vergleichen. zwischen den Einzelrechner austauschenden Datenmengen.

Bei Mehrrechnersystemen, in denen ein Datenvergleich in ei-

ner externen Vergleichseinrichtung stattfindet, gestattet die