DD240457A1 - Informationsverarbeitungssystem mit hohem zuverlaessigkeits- und sicherheitsniveau - Google Patents

Abstract

Die Erfindung betrifft eine Schaltungsanordnung zur Prozessautomatisierung auf der Basis von (m v n)-Rechnermodulen. Ausgehend von dem Ziel, eine weitere Erhoehung der Zuverlaessigkeit von komplexen Automatisierungssystemen zu erreichen, stellt sich die Erfindung die Aufgabe, mit Hilfe einer Schaltungsanordnung eine bestimmte Klasse von Mehrfachfehlern in diesem Automatisierungssystem zu vermeiden, d. h. dass diese bestimmte Klasse von Mehrfachfehlern toleriert wird. Erfindungsgemaess wird die Aufgabe durch eine direkte Kopplung zwischen den Rechnern Rj (j1 bis n) der beteiligten (m v n)-Module mit zusaetzlichen Umschalteinrichtungen Sj an jeden der Ein-Ausgabeeinheiten E/A2 der Rechner Rj der Module geloest, wobei die Schaltstellung 1 der Umschalteinrichtungen Sj jeweils zyklisch vertauscht mit den Rechnern Rj des Moduls so verbunden sind, dass gilt, dass die Ein-Ausgabeeinheit E/A2 des Rechners Ri (i1 bis n-1) auch mit der Schalterstellung 1 der Umschalteinrichtung Si1 und letztlich der Rechner Rn ueber seine Ein-Ausgabeeinheit E/A2 mit der Schalterstellung 1 der Umschalteinrichtung S1 verbunden ist. Dabei wird die Umschaltung der Umschalteinrichtungen Sj auf die Schalterstellungen 0; 1; 2 durch die den Rechnern Rj zugeordneten Steuereinrichtungen SEj vorgenommen, in den ein (m v n)-Vergleich der als Stellbefehl ausgegebenen Adressen erfolgt. Fig. 1

Description

werden darf, da keine Unabhängigkeit der Informationsbereitstellung für den notwendigen Vergleich gewährleistet ist. Zu den gleichen Wirkungen, wie eben dargestellt, führen z. B. die Ausfallkombinationen R₁ (Modul I) und R₂ (Modul II), Ri (Modul I) und R₃ (Modul II) oder R₂ (Modul II) und Ll₁. In den dargestellten Ausfällen tritt die Auswirkung eines Zweifachfehlers besonders drastisch in Erscheinung, denn obwohl der Modul Il funktionsfähig und der Modul I im (2 ν 2)-Betrieb weiter arbeitsfähig ist, kann eine Kommunikation nicht erfolgen und das Automatisierungssystem müßte in einen definiert sicheren Zustand überführt werden. ...

Die angenommenen Fehlerkombinationen beeinträchtigen sowohl das Zuverlässigkeits- als auch das Sicherheitsniveau einer derartig realisierten Automatisierungsanlage.

Ziel der Erfindung

Das Ziel der Erfindung ist die Beseitigung der vorgenannten technischen Nachteile und somit eine weitere Erhöhung der Zuverlässikeit von komplexen Automatisierungssystemen, die auf der Basis von (m ν n)-Rechnermodulen (mit m < n) aufgebaut sind. .

Darlegung des Wesens der Erfindung

Der Erfindung liegt die Aufgabe zugrunde, eine Schaltungsanordnung zu schaffen, mit deren Hilfe eine bestimmte Klasse von Mehrfachfehlern in komplexer Automatisierungsanlagen vermieden werden können, d.h. das diese bestimmte Klasse von Mehrfachfehlern toleriert wird.

Erfindungsgemäß wird die Aufgabe durch eine direkte Kopplung zwischen den Rechnern R,(j = 1 bis n) der beteiligten (m ν n)-Module mit zusätzlichen Umschalteinrichtungen S, an jedem der Ein-Ausgabe-Einheiten E/A₂ der Rechner R, der Module gelöst. Die erfindungsgemäße Schaltungsanordnung besteht aus mindestens zwei (m ν n)-Modulen, wobei jedem Rechner der Module eine Zentrale Vergleichereinheit ZVGLE und zwei Ein-Ausgabe-Einheiten E/Ai und E/A₂ zugeordnet sind. Über die Ein-Ausgabe-Einheiten EM₁ wird die Modul-Interne-Kopplung MIKzwischen den Einzelrechnern realisiert, d. h. auf diesem Weg geschieht der Informationsaustausch zwischen den „n"-Rechnern eines (m ν n)-Moduls. Die Ein-Ausgabe-Einheit E/A₂ dient zum Empfangen bzw. Ausgeben der in den Zentralen Vergleichereinheiten ZVGLE, unter Nutzung der Ein-Ausgabeeinheiten EM₁ und der Modul-Internen Kopplung MlK, nach dem (m ν n)-Prinzip zu vergleichenden bzw. verglichenen Informationen. Die Informationen der Rechner R,- werden über der an der Ein-Ausgabe-Einheit E/A₂ angeschlossenen Umschalteinrichtung Sj und der dazugehörigen Übertragungsstrecke Üj ausgegeben und empfangen. Die Umschalteinrichtungen Sj können in Form von Multiplexern ausgebildet oder aus Schaltern aufgebaut sein. Die Umschalteinrichtungen S, besitzen drei Schalterstellungen, können aber auch aus zwei in Reihe geschalteten Schaltern mit zwei Schaltstellungen bestehen. Die erfindungsgemäße Schaltungsanordnung besteht aus mindestens zwei (m ν n)-Module, wobei in jedem Rechner Rj eines Models ein (m ν η)-Vergleich, hard- bzw. softwaremäßig realisiert, durchgeführt wird. Die Steuereinrichtungen SEj der Umschalteinrichtungen Sj werden über einen (m ν n)-Vergleich durch die Rechner des zugeordneten (m ν n)-Moduls mit Schaltbefehlen betätigt. An den Schaltstellungen 1 und 2 der Umschalteinrichtungen Sj werden zwei der „n "-Ein-Ausgabe-Einheiten E/A₂ der jeweiligen Rechner Rj so angeschlossen, daß an jeder Umschalteinrichtung Sj zwei voneinander unabhängige, durch die Zentrale Vergleichereinheit ZVGLE der Rechner Rj verglichene. Informationen anliegen, die dann entsprechend der Schalterstellung über die Übertragungsstrecke Uj zu den anderen (m vn)-Modul übertragen werden. Für den intakten Zustand der Rechner im Sendemodul gilt, daß die Rechner Rj des Sendemoduls über die Übertragungsstrecken Uj und den Rechnern Rj des Empfängermoduls verbunden sind. Im Fehlerfall d. h. beim Vorliegen einer bestimmten Klasse von Mehrfachfehlern erfolgt in beiden beteiligten Modulen eine entsprechende Betätigung der Umschalteinrichtungen Sj in der Art, daß mindestens „m" voneinander unabhängige Informationen vom Sendemodul zum Empfängermodul gelangen, wodurch der (m ν n)-Vergleich im Empfängermodul ermöglicht wird. Erfindungsgemäß werden die Schaltstellungen 1 der Umschalteinrichtungen Sj jeweils zyklisch vertauscht mit den Rechnern Rj des Moduls so verbunden, daß gilt, daß die Ein-Ausgabe-Einheit E/A₂ des Rechners Rj (i = 1 bis n-1) auch mit der Schaltestellung der Umschalteinrichtung S_i+1 und letztlich der Rechner R_n über seine Ein-Ausgabe-Einheit E/A₂ mit der Schalterstellung 1 der Umschalteinrichtung S₁ verbunden ist. Dabei wird die Umschaltung der Umschalteinrichtung Sj auf die Schalterstellungen 0; 1; 2 durch die den Rechnern R₁ zugeordneten Steuereinrichtungen SEj vorgenommen, in den ein (m ν n)-Vergleich der als Stellbefehl ausgegebenen Adressen erfolgt.

Ausführungsbeispiel

Nachstehend soll die Erfindung anhand eines Ausführungsbeispiels für (1 ν 3)-Rechnermodule erläutert werden.

Fig. 1: zeigt das Prinzip einer rechnergesteuerten direkten mehrkanaligen Verbindung von (2 ν 3)-Modulen.

Fig. 2: zeigt zwei Realisierungsvarianten (a und b).der Umschalteinrichtung Sj.

Fig.3: zeigt die Schaltungsanordnung zur Steuerung der Steuereinrichtungen SEj der Umschalteinrichtungen Sj. (In Fig. 1 sind

die aus Fig.3 ersichtlichen Verbindungen weggelassen) Fig.4: zeigt die Tabelle der zu tolerierenden Klasse von Zweifachfehlern.

Fig. 5 zeigt eine andere Ausführungsvariante der Zusammenschaltung der (2 ν 3)-Module.

Wie aus Fig. 1 zu entnehmen ist, sind in den Modulen die Ein-Ausgabe-Einheiten E/A₂des Rechners Rj am Eingang 2 der Umschalteinrichtung S₁ und an Eingang 1 der Umschalteinrichtung S₂, die Ein-Ausgabe-Einheiten EZa₂ des Rechners R₂ am Eingang 2 der Umschalteinrichtung S₂ und am Eingang 1 der Umschalteinrichtung S₃ und die Ein-Ausgabe-Einheiten E/A₂ des Rechners R₃ am Eingang 2 der Umschalteinrichtung S₁ angeschlossen. Die Umschalteinrichtungen Sj besitzen drei Schalterstellungen 1,2 und 0 (Fig.2). Im intakten Zustand der Rechner Rj des Sendemoduls erfolgt die Übertragung der verglichenen Informationen über die Schaltstellung 2 der Umschalteinrichtung Sj zum Empfängermodul in der Art„daß der Rechner R₁ des Sendemoduls mit dem Rechner Ri des Emofänaermoduls über die Übertragungsstrecke U₁ verbunden ist. (Fig. 1)

Es wird angenommen, daß beim Vergleich mittels der Zentralen Vergleichereinheit ZVGLE vorder Datenübertragung im (2 ν 3)-Sendemodul festgestellt wurde, daß der Rechner R-, ausgefallen ist. Damit arbeitet dieses (2 ν 3)-Modul im (2 ν 2)-Betrieb weiterund die Datenübertragung über die Übertragungsstrecken U₂ und L)₂ wird freigegeben, nachdem zunächst die Umschalteinrichtung'Si in die Schaltstellung 0 gebracht wurde. An jedem Datenübertragungstelegramm wird das Vergleichsergebnis in Form eines Summenfehlerwortes SFW angehängt, wodurch die Empfänger R₂ und R₃ im Empfängermodul über den Modulstatus der Sendemoduls (in diesem Fall Ri ausgefallen) informiert werden. Zusätzlich zum Ausfall des Rechners Ri wird jetzt als weiterer Fehler die Unterbrechung der Übertragungsstrecke U₂ angenommen, d. h., die Kombination dieser beiden Fehler ist Bestandteil der zu tolerierenden Teilmenge von Zweifachfehlern. Dieser Zweifachfehler wird von dem Informationsverarbeituangssystem auf zweierlei Wegen erkannt, die in ihrem Zusammenwirken die Fehlertoleranz erreichen und das Informationsverarbeitungssystem arbeitsfähig erhalten.

I.Weg: Der Rechner R₂ des Sendemoduls erhält kein Quittungssignal von seinem zugeordneten Rechner R₂ im Empfängermodul. Über diesen Sachverhalt wird der funktionsfähige Rechner R₃ im Sendemodul über die Modul-Interne Kopplung MIK vom Rechner R₂ informiert und es erfolgt in diesem Fall eine Umschaltung in die Schalterstellung 1 durch die Umschalteiririchtung S₁ und S₃ im Sendemodul, wenn zusätzliche Informationen zum Zweifachfehler über den 2. Weg vorliegen. Das Umschaltesignal ist das Ergebnis eines Mehrheitsentscheides im Sendemodul. Der Umschaltbefehl wird pro Rechner Rj in Form einer Adresse (Fig. 3) ausgegeben, die in einem jeweils den Rechner Rj zugeordneten Dekodierer entschlüsselt wird und nach Vergleich dieserlnformationen die jeweilige Umschaltung durch die Steuereinrichtung SEj bewirkt. Im vorliegenden Fall arbeiten die beiden intakten Rechner R₂ und R₃ zusammen, wobei die jeweiligen Adressen für die Umschaltung in jedem der Rechner Rj abgespeichert sind. Die Adressenausgabe der Rechner R₂ und R₃ wird durch fehlende Quittungsinformation im Rechner R₂ des Sendemoduls und durch das vom Empfängermodul (2. Weg) übertragene Summenfehlerwort SFWzum Rechner R3 des Sendemoduls initialisiert. Die ausgegebenen drei Adressen werden in den zugeordneten Festwertspeichern ADRVGL nach dem (2 ν 3)-Prinzip auf Übereinstimmung geprüft und führen somit zur Umschaltung auf die Schaltstellung 1 in den Umschalteinrichtungen Si und S₃. Es erfolgt die Ausgabe der Information des Rechners R₂ des Sendemoduls über die Umschalteinrichtung S₃ zur Übertragungsstrecke U₃ und die des Rechners R₃ über Umschalteinrichtung Si zur Übertragungsstrecke Üi zum Empfängermodul.

Auf der Grundlage des empfangenden Summenfehlerwortes SFW und der ausgebliebenen Quittungsinformation für den Rechner R₂ im Sendemodul erfolgt durch die Rechner R₂ und R₃ eine solche Adressenausgabe für die Umschalteinrichtung S₂ im Sendemodul, daß die Steuereinrichtung SE₂ die Schalterstellung 0 bewirkt. Damit wird trotz der angenommenen Fehlersituation dem Empfängermodul auf zwei voneinander unabhängigen Übertragungsstrecken die Informationen übermittelt. 2. Weg: Im angenommenen Fehlerfall empfängt der Rechner R₃ des Empfängermöduls als einzigen Rechner die Information mit dem Summenfehlerwort SFW vom Sendemodul, so daß er informiert ist, daß die zu vergleichende Information, die zur Signatur zusammengefaßt ist, vom Rechner R₁ des Empfängermoduls übergibt auf dem Wege der Modul-Internen Kopplung MIK dem Rechner R₂ des Empfängermoduls die auf der Basis des Inhalts der Information in der Zentralen Vergleichereinheit ZVGLE gebildete Signatur zum Vergleich in der Zentralen Vergleichereinheit ZVGLE des Rechners R₂ des Empfängermoduls. Der Rechner R₃ des Empfängermoduls erwartet die Signatur des Rechners R₂ (Empfängermodul) zum Vergleich in seiner Zentralen Vergleichereinheit ZVGLE. Da wegen der Unterbrechung der Übertragungsstrecke U₂ der Rechner R₂ des Empfängermoduls keine Informationen erhalten kann, wird die festgelegte Wartezeit überschritten. Diese Überschreitung führt zur Bildung des Summenfehlerwortes SFW, das vom Rechner R₃ des Empfängermoduls dem Rechner des Sendemoduls übergeben wird. (Quittungsinformation) Diese Quittungsinformation führt im Sendemodul, ausgelöst durch den Rechner R₃ und durch die fehlende Quittungsinformation im Rechner R₂ sowie durch den Modulstatus zur Umschaltung der Umschalteinrichtung Sj, wie im I.Weg beschrieben. Im Empfängermodul erfolgt über die Modul-Interne Kopplung MIK, vom Rechner R₃ aktiviert, die Information über die konkrete Fehlersituation an die zwei Rechner Ri und R₂. Für den Rechner R₂ des Empfängermoduls erfolgt auf der Basis des übertragenden Summenfehlerwortes SFW des Sendemoduls und des im Empfängermodul gebildeten Summenfehlerwortes SFW eine Umschaltung der zugehörigen Umschalteinrichtung auf die Schalterstellung 0. Die Informationsübertragung erfolgt nach der beiderseitigen Umschaltung in den Modulen erneut, wobei die Informationen des Rechners R₂ des Sendemoduls über die Schalterstellung 1 der Umschalteinrichtung S₃ zur Übertragungsstrecke U₃ und über die Schalterstellung 2 der Umschalteinrichtung S₃ zum Rechner R₃ des Empfängermoduls gelangen. Die Informationen des Rechners R₃ des Sendemöduls werden über die Schaltstellung 1 der Umschalteinrichtung Si zur Übertragungsstrecke Üi und über die Schaltstellung 2 der Umschalteinrichtung Si zum Rechner R₁ des Empfängermoduls übertragen. Somit liegen die zu vergleichenden Informationen des Sendemoduls (R₂ und R₃) an den Eingängen der Rechner R₁ und R₃ des Empfängermoduls unabhängig von einander an. Damit Unabhängigkeit gewährleistet ist, müssen die Umschalteinrichtungen S, und die zugehörigen Steuereinrichtungen SEj jeweils eine separate, von den Rechnern Rj unabhängige Stromversorgung besitzen. Analog zu dem dargestellten Fehlerfall wird bei der in Fig. 4 aufgelisteten Klasse von Zweifachfehlern verfahren. Verallgemeinert erfolgt in den Modulen stets dann eine Umschaltung der Umschalteinrichtungen, wenn im Empfängermodul nur eine Sendeinformation einschließlich des Summenfehlerwortes SFW eingetroffen ist und der Sendemodul vom Empfängermodul nur eine Quittungsinformation mit dem Summenfehlerwort SFW erhalten hat. Die einzunehmende Schalterstellung der Umschalteinrichtungen Sj ergibt sich jeweils aus der kokreten Fehlersituation. Jeder der genannten Module kann sowohl Sender als auch Empfänger sein. Ein weiteres Ausführuhgsbeispiel der Zusammenschaltung von Sende- und Empfängermodul ist in Fig. 5 dargestellt.

Claims (4)

Erfindungsanspruch:

1. Informationsverarbeitungssystem mit hohem Zuverlässigkeits- und Sicherheitsniveau auf der Basis von (m ν η)-Rechnermodulen (m < ^,gekennzeichnet dadurch, daß jeder Rechner (R₁) (j = 1 bis n) der Module einen (m ν n)-Vergleich realisiert und über zwei Ein-Ausgabe-Einheiten (EZA₁ und E/A₂) verfügt, wobei die Ein-Ausgabe-Einheit (E/Ai) eines Rechners (Rj) zur jeweils Modul-Internen Kopplung (MIK) dient und über die Ein-Ausgabe-Einheiten (E/A₂) der Rechner (Rj) eine Verbindung zwischen den Rechnern (R₁-) der (m ν n)-Module derart aufgebaut sit, daß jeweils die Rechner (Rj bis R_n) in den Modulen eine Umschalteinrichtung (S,) mit den Schalterstellungen 1,2 und 0 aufweisen, wobei über die Schaltstellung 2 und über die jeweils zugeordnete Übertragungsstrecke (Uj) eine direkte Verbindung zwischen den Rechnern (Rj) der (m ν η) Module besteht und zusätzlich eine Verbindung zwischen den Umschalteinrichtungen (Sj), die jeweils direkt mit einer Steuereinrichtung (SEj) gekoppelt sind, der Rechner (Rj) eines (m ν n)-Moduls so geschaltet ist, daß eine zyklisch vertauschte Verbindung zwischen den Schaltstellungen 1 und 2 verschiedener Umschalteinrichtungen (Sj) besteht, daß die Ein-Ausgabe-Einheit (E/A₂) der Rechner (Rj) (i = T bis n—1) gleichzeitig mit der Schalterstellung 2 in der dem Rechner (RJ zugeordneten Umschalteinrichtung (S₁), mit der Schalterstellung 1 der Umschalteinrichtung (Sj₊₁)¹ und der Rechner (R_n) über seine EinAusgabe-Einheit (E/A₂) mit der Schalterstellung 1 derUmschalteinrichtung (S₁) verbunden ist, wobei im Fall des zusätzlichen Ausfalls einer Übertragungsstrecke (Uj) bzw. eines Rechners (Rj) in dem einen (m ν n)-Modul zu einem bereits eingetretenen Ausfall eines der Rechner (Rj) in dem andern (m ν n)-Modul bzw. einer Übertragungsstrecke (Üj) eine Umschaltung der Umschalteinreichtungen (Sj) über die Steuereinrichtungen (SE,) derart erfolgt, daß durch die Schaltstellung 2,1 und 0 in den Umschalteinrichtungen (Sj) in Abhängigkeit der Art des Mehrfachfehlers mindestens m voneinander unabhängige Informationen gesendet und empfangen werden und die als ausgefallen erkannten Rechner (Rj) bzw. die Übertragungsstrecke (Üj) bezüglich der Informationsein- und -ausgabe, durch die Schalterstellung 0, die den potentialfreien Zustand darstellt, gesperrt werden.

2. Informationsverarbeitungssystem nach Punkt 1, gekennzeichnet dadurch, daß die Steuereinrichtung (SEj) aus mindestens einem Dekoder und einem Festwertspeicher (ADRVGL) besteht, wobei der Dekoder direkt mit dem Festwertspeicher (ADRVGL) verbunden ist und der Festwertspeicher (ADRVGL) gleichzeitig mit den Festwertspeicher (ADRVGL) der anderen η-Steuereinrichtungen (SEj) so gekoppelt ist, daß jeder Festwertspeicher (ADRVGL) über η-Eingänge und über drei Ausgangsleitungen verfügt, über die die zugehörige Umschalteinrichtung (Sj) an den Restwertspeicher (ADRVGL) angeschlossen ist, wobei in der Umschaiteinrichtung (Sj) die durch die Rechner (Rj) ausgegebene Adresse und in der Steuereinrichtung (SEj) verglichene Adresse als Stellbefehl für die Umschalteinrichtung (Sj) bereitgestellt wird und somit die Umschaltung in der Schalterstellung 0; 1 oder 2 veranlaßt, und wo in den Festwertspeicher (ADRVGL) ein Vergleich mach dem (m ν n)-Prinzip der von den Rechnern (Rj) ausgegebenen Adressen als Stellbefehle für alle Umschalteinrichtungen (Sj) bis (S_n) erfolgt.

3. Informationsverarbeitungssystem nach Punkt 1, gekennzeichnet dadurch, daß der Informationsvergleich mit einer intelligenten Zentralen Vergleichereinheit (ZVGLE), die über zwei Ein-Ausgabe-Kanäle (EM₁) und (E/A₂) verfügt, durchgeführt wird.

Hierzu

4 Seiten Zeichnungen .

Anwendungsgebiet der Erfindung

Die Erfindung betrifft eine Schaltungsanordnung zur Prozeßautomatisierung auf der Basis von (m ν n)-Rechnermodulen. Eine derartige Schaltungsanordnung ist überall dort einsetzbar, wo hohe Zuverlässigkeits- uns Sicherheitsforderungen existieren, wie bei der Prozeßsteuerung von Kraftwerken, Anlagen der Chemie und für sicherüngstechnische Abhängigkeiten beim schienengebundenen Verkehr.

Charakteristik der bekannten technischen Lösungen

Bei komplexen Automatisierungssystemen werden die Aufgaben im allgemeinen hierarchisch auf mehrere Rechnersysteme verteilt, die über Übertragungssysteme Daten zur gegenseitigen Kommunikation austauschen. Für hohe Zuverlässigkeits- und Sicherheitsforderungen sind die Rechnersysteme jeweils als (m ν n)-Rechnermodule (m < n) realisiert. Ein solch typisches Automatisierungssystem ist aus der DD-PS 160757 bekannt. Diesem hierarchisch aufgebauten Mehrfach-Rechnersystem haftet der Mangel an, daß beim Auftreten einer bestimmten Klasse von Mehrfachfehlern, ohne daß ein beteiligtes (2 ν 3)-Rechnermodul ausgefallen ist, das Gesamtsystem ausfällt.

Weist z. B. das in der PS 160757 angeführte Leitrechnersystem (2 v3)-Modul einen Einzelfehler auf (Rechner LR1 ist ausgefallen) und fällt zusätzlich die an den Rechner LR 2 bidirektional angeschlossene Leitsammelleitung aus, dann ist eine Datenübertragung nur noch über einen Weg zum (2 v3)-Modul des Bereichsrechners BR, in diesem Fall zu den E/A-Einheiten 4.7.1.1.1.; 4.7.1.2.1, und 4.7.1.3.1 möglich, d. h. diese E/A-Einheiten erhalten jeweils nur eine (anstatt der mindestens notwendigen zwei) Informationen, so daß der notwendige Vergleich der Information auf Übereinstimmung nicht mehr durchgeführt werden kann. Somit ist das Gesamtsystem (Leitrechnersystem und Bereichsrechnersystem) ausgefallen, da das Bereichsrechnersystem BR nicht mehr arbeitsfähig ist.

Aus der Technik sind weiterhin Lösungen bekannt, bei denen die (2 v3)-Module über eine Modul-Interne-Kopplung MIK verfügen, die es ermöglicht, Informationen an die Nachbarrechner des Moduls zu übertragen. Wird zwischen solchen Modulen eine Kommunikation auf der Grundlage von drei Übertragungsstrecken U₁; U₂; Ü3 aufgebaut, kommt es beim Eintreten des angenommenen Zweifachfehlers (z. B. Rechner R₁ in Modul I und U₂ ausgefallen) trotz der MIK zu einem Ausfall des Gesamtsystems (Modul I und Modul II). Dieser Ausfall ergibt sich, weil nur der Rechner R₃ (Modul II) im angenommenen Fehlerfall die Information vom Modul I erhält und er zwar diese Informationen Nachbarrechnern (Modul II) über die MIK zur weiteren Verarbeitung übergeben kann, jedoch dies für die Bearbeitung von sicherheitsrelevanten Aufgaben nicht akzeptiert