DE1499262A1

DE1499262A1 - Method and device for the parallel operation of two data processing systems

Info

Publication number: DE1499262A1
Application number: DE19651499262
Authority: DE
Inventors: Hans Eberding
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 1965-08-19
Filing date: 1965-08-19
Publication date: 1969-09-25
Also published as: DE1499262B2; NL6611665A

Description

Verfahren und Einrichtung zum Parallelbetrieb von zwei . Datenverarbeitungsanlagen Die Erhöhung der Zuverlässigkeit von Datenverarbeitungsanlagen ist eine der wichtigsten Aufgaben bei ihrer Entwicklung und Herstellung. Trotzdem reicht das erzielbare Maß an Sicherheit, vor allem wegen der Vielzahl von Bauelementen für die Bearbeitung mancher Aufgaben nicht aus.Process and device for parallel operation of two. Data processing systems Increasing the reliability of data processing systems is one of the most important Tasks in their development and manufacture. Nevertheless, the achievable level is sufficient in terms of safety, especially because of the large number of components for processing some tasks do not work out.

Es ist bekannt, zur Erhöhung der Sicherheit drei Datenverarbeitungsanlagen parallel zu betreiben und nach jedem Arbeitsgang ihre Rechenergebnisse miteinander zu vergleichen, um im Störungsfall die gestörte Anlage durch Mehrheitsentscheidung zu erkennen und Fehler zu unterdrücken. Nachteilig an dieser %ösung ist neben dem großen Aufwand die Tatsache, daß alle Datenverarbeitungsanlagen dauernd bereitsbereit sein müssen, da MehrheitsentwcheiduniKen mit zwei Anlagen nicht mehr möglich sind.It is known that three data processing systems are used to increase security to operate in parallel and after each work step their calculation results with each other to compare in the event of a fault, the disrupted system by majority decision to recognize and suppress errors. The disadvantage of this solution is besides the large one Expense the fact that all data processing systems are always ready must, as majority decisions with two systems are no longer possible.

Es ist ferner bekannt, eine. Rechenanlage mit einer nicht mitrechnenden zusätzlichen Recheneinheit auszustatten. Weiter- a hin besitzt sie zusätzliche Datenspeicher, etwa in Form von Endlos-Magnetbändern, welche die* Ein- und Ausgabedaten laufend mitspeichern. Bei Ausfall einer Recheneinheit wirken sie einerseits als Datengeber für die Reserverecheneinheit, andererseits ermöglichen die gespeicherten Ausgabedaten einen Vergleich mit den neu ermittelten Resultaten.It is also known to have a. Computing system with a non-counting to equip additional computing unit. It also has additional data storage, for example in the form of endless magnetic tapes, which the * input and output data continuously save as well. If a computing unit fails, they act as a data source on the one hand for the reserve arithmetic unit, on the other hand, enable the stored output data a comparison with the newly determined results.

Eire derartige Anlage sichert zwar- die Fortführung der Verarbeitung-und verhindert somit einen Stau von Eingabedaten, aber sie läßt Rechen- und Ausgabefehler nicht erkennen. Nur der Ausfall einer-Recheneinheit bewirkt die Umschaltung auf die Reserverecheneinheit. Bei Verwendung von zwei parallel arbeitenden Datenverarbeitungsanlagen kann dagegen durch Vergleich der Rechenergebnisse ein Störungsfall (z. B-. Rechenfehler) leicht festgestellt werden. Ergibt sich beim Vergleich keine Libereinstimmung, so versucht jede Anlage für sich durch Wiederholung, Prüfprogramme usw. festzubtbllep, ob das eigene Ergebnis richtig war. Das Resultat dieser UntersuchunL-cn wird %der anderen Anlage mitgeteilt, um schließlich eine Urwschaltungr auf die richtig arbeitende Anlage zu veranlassen. Da aber damit zu rechnen ist, daß eine gestörte Anlage auch die Fehlermeldungen falsch auswertet, darf eine Umschaltung auf den Einzelbetrieb einer Anlage .nur dann erfolgen, wenn eire Aufforderung von beiden Anlagen im gleichen oder wein eire Anlage keine Meld :ng mehr abgeben kann. Das kann aber auch dazu führen, da";; beide Anlagen stillgesetzt werden, insbesondere dann,.wenn Übermittlungsschwierigkeiten auftreten. Es ist Aufgabe der Erfindung, einen Weg zu-finden, um im Störungsfall die gestörte Anlage sicherer festzustellen bzw. die Umschaltung auf die richtig arbeitende Anlage zu erleichtern. Gemäß der Erfindung wird diese Aufgabe durch eine Auswahleinricht'tng,%gelöst, welche als übergeordnete Bnrichtung im Störungsfall die Meldungen beider Anlagen über deren jeveiliCen Zustand erhält und danach die Entscheidung über die Umschaltung auf Einzelbetrieb trifft. Die Entscheidungsmöglichkeit der erfindungsgemäßen Auswahleinrichtung kann noch verbessert vrerden, wenn im Störungsfall beide Anlagen Meldungen sowohl über deren eigenen Zustand als auch über den Zustand der anderen .Anlage liefern. insbesondere körnen dadurch auch Fehler in den gegenseitigen Ubermittlüngseimrichtungen zivicchen beiden Anlagen erkannt werden. -Die Pig. 1 zeigt ein Blockschaltbild einer derartigen Auswahleinrichtung, wobei angenommen wurde, daß beide Rechenanlagen jeweils(Ln eigenen Zustand und den durch Datenaustausch-mit der anderen Anlage ermittelten Zustand der zweiten Anlage der Auswahleinrichtung mitteilen. Die Zustandsmeldungen erfolgen im Beispiel nach Fig. 1 über insgesamt acht, `jeweils` paarweise zusammengefaßte.Zeitunäen 1 bis B. Über die Zeitungen 1 und 2 werden die Meldungen der (nicht dargestellten; Anlage I über den eigenen Zustand, über die Leitungen 3 und 4 die Meldungen der Anlage f-über-den Zustand der Anlage II und über die Zeitungen 4 bis 8 die entsprechenden Meldungen der Anlage.II übertragen. über jedes Zeitungspaar können vier Zustünde einer Anlage-gemeldet werden, die etwa folgende sein mögen: -a) die Anlage arbeitet vermutlich richtig, . b) die Anlage arbeitet falsch, c) der Zustand der Anlage ist nicht feststellbar, d) die Änlage kann überhaupt keine Aussage über den -Anlagenzustand machen. -Die über die Meldungsleitungen ankommenden Signale vierden in den Plip-Flop-Stufen 11 bis 18 zwischengespeichert, so daß sie alle gleichzeitig-zur Verfügung stehen, und von dort an die in bekannter Technik aufgebauten Decodierschaltungen 19 und 20 . weitergegeben. Dabei werden jeweils alle Meldungen einer Anlage zunächst in eine Gruppe zusammengefaßt und durch die zugehörige Decodierschaltung 19 bzw. 20 entsprechend den 16 Kombinationsmöglichkeiten in die Form 1 aus 16 umgewandelt. Die Ausgangsklemmen a1 bis a16 bzvr. a17 bis a32 der beiden Deoƒdierschaltungen werden in wählbarer (z. B. steckbarer) Zuordnung mit den Eingangsklemmen b1 bis b32 einer Codiersohaltung 21 verbunden, die aüs den Eingangssignalen die Umschaltbefehle ableitet und an ihren vier Ausgangsklemmen c1 bis c4 abgibt.Such a system ensures the continuation of the processing and thus prevents a jam of input data, but it does not allow calculation and output errors to be recognized. Only the failure of one processing unit causes the switch to the reserve processing unit. When using two data processing systems working in parallel, however, a malfunction (e.g. calculation error) can easily be determined by comparing the calculation results. If the comparison does not result in a match, each system tries to determine by repetition, test programs, etc. whether its own result was correct. The result of this investigation is communicated to the other system in order to finally initiate an initial switch on the system that is working properly. However, since it is to be expected that a disturbed system will also incorrectly evaluate the error messages, a switchover to individual operation of a system may only take place if a request from both systems in the same or from one system can no longer issue a message. However, this can also mean that ";; both systems are shut down, especially when transmission difficulties occur. It is the object of the invention to find a way to more reliably determine the faulty system in the event of a fault or to switch to the According to the invention, this object is achieved by a selection device, which, as a higher-level device, receives messages from both systems about their respective status in the event of a fault and then makes the decision about switching to individual operation The selection device according to the invention can be further improved if, in the event of a fault, both systems deliver messages about their own status as well as about the status of the other a block diagram of a Such a selection device, it being assumed that both computing systems each communicate (Ln their own status and the status of the second system determined by data exchange with the other system) to the selection device. In the example according to FIG. 1, the status reports are issued over a total of eight, `` each '' combined in pairs. Times 1 to B. 4 transmit the reports in Annex f-about the condition of Annex II and via newspapers 4 to 8 the corresponding reports from Annex II. Four states of a plant can be reported via each pair of newspapers, which may be about the following: -a ) the system is probably working properly,. b) the system is working incorrectly, c) the condition of the system cannot be determined, d) the system cannot make any statement about the system condition. The signals arriving via the message lines are temporarily stored in the plip-flop stages 11 to 18 so that they are all available simultaneously, and from there to the decoding circuits 19 and 20 constructed using known technology. passed on. In each case, all messages of a system are first combined into a group and converted into the form 1 from 16 by the associated decoding circuit 19 or 20 in accordance with the 16 possible combinations. The output terminals a1 to a16 or vr. a17 to a32 of the two deodorizing circuits are connected in a selectable (e.g. pluggable) assignment with the input terminals b1 to b32 of a Codiersohaltung 21, which derives the switching commands from the input signals and sends them to its four output terminals c1 to c4.

Je nach den Meldungskombinationen können Befehle zur Fortsetzung des Parallelbetriebes oder zur Umschaltung auf Einzelbetrieb der einen oder der anderen Anlage entstehen. Durch die vrö,hlbare Zuordnung der Ausgangsklemmen der beiden Decodierschaltengen 19 und 20 einerseits und der Eingangsklemmen der Codierschaltung 21 andererseits können die aus den Meldungskombinationen abgeleiteten Umschaltbefehle innerhalb gewisser sinnvoller Grenzen den speziellen Betriebsbedingungen angepaßt werden. Es sind jedoch auch Meldungskombinationen möglich, aus denen keine eindeutige Reaktion abgeleitet werden kann. In diesem Fall, d.er nachstehend mit "unbestimmt" bezeichnet -ist, müßten eigentlich beide Anlagen stillgesetzt werden.Depending on the message combinations, commands to continue the Parallel operation or to switch to individual operation of one or the other Plant arise. Due to the clear assignment of the output terminals of the two Decoding circuits 19 and 20 on the one hand and the input terminals of the coding circuit 21 on the other hand, the switching commands derived from the message combinations adapted to the special operating conditions within certain reasonable limits will. However, message combinations are also possible that are not unambiguous Reaction can be derived. In this case, i.e. the one below with "indefinite" is designated, both systems should actually be shut down.

Gemäß einer Weiterbildung der Erfindung kann jedoch in einer Vielzahl von derartigen Fällen durch eine Ergänzung der beschrieberen Auswahleinrichtung eine eindeutige Entscheidung getroffen vi erden. Beim Auftreten der Meldung "unbestiumt" am Ausgang der CodierschaltunZ- 21 werden in beiden Anlagen , Prüfprogramme gestartet, worauf die Anlagen innerhalb bestimmter Zeitintervalle vorher bekannte Ergebnisse an die Ergänzungsschaltung (Prüfanordnung) liefern. Treffen diese Ergebnisse von einer Anlage nicht zu den festgelegten Zeiten erkannt ein, so ist diese .Anlage als gestört /und es wird auf Einzel- betrieb der anderen Anlage umgeschaltet.According to a further development of the invention, however, a clear decision can be made in a large number of such cases by supplementing the selection device described. When the message "Unbestiumt" occurs at the output of CodierschaltunZ- 21, test programs are started in both systems, whereupon the systems deliver previously known results to the supplementary circuit (test arrangement) within certain time intervals. Meet this Results from a plant not at the specified times recognized one, then this .system is considered to be disturbed / and it is operation of the other system switched.

Ein einfaches Beispiel einer derartigen Ergänzungsschaltung (Prüfanordnung) gemäß der Erfindung ist in Fig. 2 dargestellt. Dabei ist zu beachten, daß bei gleichzeitiger Prüfung von zwei Anlagen die gezeigte Schaltungsanordnung für jede zu überprüfende Anlage einmal. vorhanden sein muß. Sind die zu prüfenden Anlagen gleich, so können allerdings die zur Herstellung des Zeitrasters dienenden Einrichtungen, das sind der Impulsgenerator JG uns die Flip-Flop-Stufen A, B und C und das Oder-llicht-Gatter G1 gemeinsam, verwendet werden. Selbstverständlich können auch beide Anlagen mit einer Ergänzungsschaltung nacheinander geprüft werden.A simple example of such a supplementary circuit (test arrangement) according to the invention is shown in FIG. It should be noted that with simultaneous Testing of two systems the circuit arrangement shown for each to be tested Plant once. must be present. If the systems to be tested are the same, then however, the facilities used to produce the time grid are the pulse generator JG us the flip-flop stages A, B and C and the OR-light gate G1 in common. Of course, both systems can also be used a supplementary circuit can be checked one after the other.

Durch einen Startimpuls auf der Zeitung Li, der beispielsweise durch die Meldung °'unbestirmt" ausgelöst wird, wird die Prüfanordnung gestartet und gleichzeitig über eine nicht dargestellte Verbindung die zu prüfende Anlage zur Abgabe bekannter, durch das ablaufende Prüfprogramm gebildeter Prüf<<aorte aufgefordert. Die n-stelligen prüfvorte werden über n-Leitungen hl bis hn parallel an die Decodierschaltung Dec mit mehreren Ausgängen übergeben. Die Anzahl der Ausgänge.hängt-von der i Anzahl der gebildeten Prüfworte ab.By a start impulse on the newspaper Li, for example by the message "unconfirmed" is triggered, the test setup is started and at the same time the system to be tested for the delivery of known, Test sites formed by the running test program are requested. the n-digit test words are sent in parallel to the decoding circuit via n-lines hl to hn Dec with several Passed outputs. The number of outputs depends-on the i number of test words formed.

Liegt ein Prüfwort richtig an, so wird an dem zugehörigen Auegang ein Signal gebildet. In fällen, in denen eine Parallelausgabe der Prizfvvorte nicht möglich ist, kann vor der Decodierschaltung Dec ein zusätzlicher (nicht dargestellter) Serien-Parallel-Umsetzer unter entsprechender Beachtung der Zeitbedingungen vorgesehen werden.If a check word is correct, the associated output a signal formed. In cases where a parallel edition of the Prizfvvorte is not is possible, an additional (not shown) Serial-parallel converter provided, taking the time conditions into account will.

Der Startimpuls löst in der Prüfanordnung den Impulsgenerator JG aus, dessen erster abgegebener Impuls die Flip-Flop-Stufe A setzt. Die Abstände zu den folgenden Impulsen iverden*durch den Impulsgenerator bestimmt und sind so bemessen, daß sie mit der Zeit für die Erzeugung und die Abgabe des nächsten Prüfwcrtec durch die Datenverarbeitungsanlage übereinstimmen. Bei Abgabe des zweiten Impulses soll also (falls die überprüfte Anlage richtig arbeitet) die MEIdung "Prüfviort a vorhanden" am Ausgang a der Decodierung stehen. Die Koinzidenz dieser Meldung mit dem "Eins-"Zustand der IIlip-Flop-Stufe A wird durch-das Und-Gatter Ga festgestellt. Am Ausgang des nachfolgenden Oder-Nicht-Gatters G2 entsteht dann das Signal "Null", so daf@3ie Flip-Flop-Stufe F ebenfalls im Nullzustand verbleibt.The start pulse triggers the pulse generator JG in the test arrangement, whose first output pulse sets flip-flop stage A. The distances to the The following impulses are determined * by the impulse generator and are dimensioned in such a way that that over time they will be able to generate and submit the next Prüfwcrtec match the data processing system. When the second impulse is given, should So (if the checked system works correctly) the message "Test location a available" are at the output a of the decoding. The coincidence of this message with the "one" state the IIlip-flop level A is determined by the AND gate Ga. At the exit of the Subsequent or-not gate G2 then produces the "zero" signal, so that @ 3ie Flip-flop stage F also remains in the zero state.

In entsprechender Weise wird beim dritten Impuls aVt das ". Prüfwort b geprüft usw. Die Anordnung kann im Prinzip auf beliebig viele sufeinanderfolgende Prütrorte erweitert werden. Sind keine Fehler aufgetreten, so ist gemäß Fig. 2 nach dem vierten Impuls die aus derir'#lip-Flop---Stufen A, B und C bestehende Kette wieder im Ruhezustand. Der Ausgang des Oder-Nicht-Gatters G1 führt also ein "Eins"-Signal, ebenso wie der mit dem Und-Gatter G3 verbundene Ausgang_der sich nach wie vor im Ruhezustand befindlichen Flip-Flop-Stufe F. G3 gibt ebenfalls ein "Eins"-Signal ab, das die Richtigkeit aller Prüfworte und deren Eintreffen in den vorgesehenen Zeitintervallen kennzeichnet. Durch dieses Signal kann auch der Impulsgenerator IU angehalten werden, wenn er nicht schon von sich aus nur eine vorbestimmte Anzahl von Impulsen. abgibt.In a corresponding manner, the "th test word b checked etc. The arrangement can in principle be based on as many successive test locations are expanded. If there were no errors, so is according to Fig. 2 after the fourth pulse from the # lip-flop --- stages A, B and C the existing chain is in the idle state again. The output of the or-not gate G1 thus carries a "one" signal, as does the output_der connected to the AND gate G3 flip-flop stage F. G3 is still in the idle state a "one" signal from the correctness of all check words and their arrival in indicates the intended time intervals. This signal can also be used by the Pulse generator IU can be stopped if it does not have just one of its own predetermined number of pulses. gives away.

Liegt dagegen z. B. beim zweiten Impuls des Impulsgenerators das Prüfwort a nicht vor, besteht also keine Koinzidenz mit dem "Eins"-Zustand der Flip-Plop-Stufe A,. so gibt das Gatter G2' ein "Eins "=Signal ab und das Fehler-Flip-Flop F wird gesetzt. Uber die Zeitung hf wird ein Fehlersignal zu einer nicht dargestellten Anzeigeeinrichtung (Lampe usw.) gegeben. Gleichzeitig wird der Impulsgenerator IG gestoppt.On the other hand, is z. B. the test word at the second pulse of the pulse generator a does not exist, so there is no coincidence with the "one" state of the flip-plop stage A ,. so the gate G2 'outputs a "one" = signal and the error flip-flop F becomes set. Via the newspaper hf, an error signal becomes one that is not shown Display device (lamp, etc.) given. At the same time, the pulse generator IG stopped.

Das Fehlersignal, bzw. das Signal, welches angibt, üaß die Prüfworte richtig und zum richtigen Zeitpunkt vorhanden waren, kann zusammen mit den entsprechenden Signalen der zweiten Anlege vom Bediener oder von einer Automatik ausgewertet und daraus die Umschaltbefehle abgeleitet vre,rden.The error signal or the signal which indicates the test words were available correctly and at the right time, along with the appropriate Signals of the second application evaluated and evaluated by the operator or by an automatic from it the switching commands are derived.

Für die Abgabe eineu Prüfwortes von der zu prüfenden Anlage ist bei dem angeführten Beispiel eine zeitliche.Toleranz entsprechend der Abstand zweier Schiebetakte zulässig. Können diese Toleranzen, etwa wegen der Eigenschaft des gewählten Prüfprogramms, nicht mehr eingehalten vierden, so muß entweder der Taktgeber so ausgelegt werden, daß der Schiebetakt in einer entsprechend ungleichmäßigen Folge ausgegeben wird, oder es muß die Schiebekette verlängert und. die Prüfung nur in bestimmten Stellungen der *hiebekette durchgeführt werden. Bei längeren Schiebeketten wird es zv";eckmäßig sein, sie nicht mehr in der in Fig. 2 dargestellten Form, sondern in bekannter Art als Binärzähler mit nachgeschalteten Gatterschaltungen aufzubauen.For the submission of a test word from the system to be tested is at In the example given, a temporal tolerance corresponding to the distance between two Shifting cycles permitted. Can these tolerances, for example because of the property of the chosen Test program, no longer complied with, so either the clock must be interpreted that the shift clock in a correspondingly uneven sequence is issued, or the sliding chain must be extended and. the exam only in certain positions of the chain can be carried out. For longer sliding chains it will be zv "; angular, it no longer in the form shown in Fig. 2, but to be built in a known way as a binary counter with downstream gate circuits.

Die beschriebene Auswahleinrichtung bietet u. a. den Vorteil, daß bei der Aufstellung geeigneter Prüfprogramme nicht darauf Rücksicht-. genommen Zierden muß, daß die gleiche, möglicherweise gestörte Anlage sowohl das Prüfergebnis bildet als auch dieses Ergebnis auswertet. Vielmehr erfolgt die Auswertung jetzt durch eire getrennte, von der gestörten Anlage unabhängige Auswahleinrichtung. Durch eine Erweiterung der Einrichtung kann auch die Prüfung selbst mindestens teilweise von dieser übernommen werden.The selection device described offers inter alia. the advantage that do not take this into account when setting up suitable test programs. taken ornaments must that the same, possibly disturbed system forms the test result as well as evaluating this result. Rather, the evaluation is now carried out a separate selection device that is independent of the faulty system. By a Extension of the facility can also include at least part of the exam itself this will be taken over.

Claims

P atent claims ----------------------------- 1. Procedure for selecting the correctly working system when two data processing systems are working in parallel a fault, characterized in that a selection device receives the messages from both systems about the respective system status and then makes the decision about switching to individual operation.

2. The method according to claim 1, characterized in that the selection device the messages from both systems both about their own status and practicing The status of the other system and then the decision via @ to switch over on individual operation.

3. Exceptional facility to carry out the procedure according to claims 1 or 2, characterized by two of the two data processing systems associated decoding circuitEn and a further decoding circuit common to both systems for deriving the switching commands.

4. Selection device according to claim 3, characterized in that the connections between the two first decoding circuits on the one hand and the further decoding circuit on the other hand are designed to be selectable. Selector device in particular according to one of the preceding claims, characterized in that, in the case of a message combination which does not allow a clear switchover decision, the timely correct arrival of certain previously known results I (test locations), which are supplied by the two systems after the start of a special test program, is checked will. 6. Selection device according to claim 5, characterized by an arrangement for producing a time grid, one decoding circuit per system for deriving from: n messages from the individual test borders and one set of AND circuits with which the timely arrival of the test words is determined : 7. Selection device according to claim 6, characterized by a shift register for producing a @ time grid. B. selection device according to claim 6, characterized by a binary counter for producing a time grid.