DE1499262C - Einrichtung zur Auswahl der richtigen von zwei parallel betriebenen Datenverarbei tungsanlagen - Google Patents

Description

Die Erfindung betrifft eine Einrichtung zur Aus- 1126 938 bekannt, jeder von zwei parallel bewahl der richtig arbeitenden Anlage bei der Parallel- triebenen, datenverarbeitenden Steuereinrichtungen arbeit von zwei Datenverarbeitungsanlagen im Fall 55 Codeprüfeinnchtungen zuzuordnen, welche die Weieiner durch das Auftreten unterschiedlicher Ergeb- tergabe von Daten jeweils von der Steuereinrichtung nisse erkannten Störung, die den Ablauf von Prüf- sperren, an deren Ausgang ein fehlerhafter Code festprogrammen in beiden Anlagen auslöst, wobei jede gestellt wurde. Diese Prüfeinrichtungen werten auf Anlage den Ablauf ihres eigenen Prüfprogramms Fehler hinweisende Informationen lediglich derund durch Datenaustausch mit der anderen Anlage 60 jenigen Anlage aus, der sie zugeordnet sind. Da nur den Ablauf des Prüfprogramms der anderen Anlage Codefehler in Betracht gezogen werden, ist das ausüberwacht und entsprechende Prüfergebnisse bildet. reichend, weil das Auftreten solcher Fehler eine

Die Erhöhung der Zuverlässigkeit von Daten- Anlage zweifelsfrei als zumindest vorübergehend Verarbeitungsanlagen ist eine der wichtigsten Auf- gestört kennzeichnet. Indes ist bei einer Datengaben bei ihrer Entwicklung und Herstellung. Trotz- 65 Verarbeitungsanlage aber auch mit der Entstehung dem reicht das erzielbare Maß an Sicherheit, vor von Fehlern zu rechnen, die ein objektiv falsches allem wegen der Vielzahl von Bauelementen für die Ergebnis zur Folge haben, ohne daß sich dies durch Bearbeitung mancher Aufgaben nicht aus. Codefehler äußert.

3 4

Es ist daher die Aufgabe der Erfindung, einen Weg Betriebsbedingungen angepaßt werden. Es sind

zu finden, um im Störungsfall die gestörte Anlage . jedoch auch Meldungskombinationen möglich, aus

sicherer festzustellen bzw. die Umschaltung auf die denen keine eindeutige Reaktion abgeleitet werden

richtig arbeitende Anlage zu erleichtern. kann. In diesem Fall, der nachstehend mit »unbe-

Gemäß der Erfindung wird diese Aufgabe bei einer 5 stimmt« bezeichnet ist, müßten eigentlich beide

Einrichtung der eingangs genannten Art dadurch ge- Anlagen stillgesetzt werden.

löst, daß jeder der beiden Anlagen eine erste Es kann jedoch in einer Vielzahl von derartigen Decodierschaltung zugeordnet ist, die die Meldungen Fällen durch eine Ergänzung der beschriebenen der Anlage über den eigenen Zustand und über den Auswähleinrichtung eine eindeutige Entscheidung durch sie ermittelten Zustand der anderen Anlage io getroffen werden. Beim Auftreten der Meldung erhält, und daß mit den Ausgängen der beiden ersten »unbestimmt« am Ausgang der Decodierschaltung 21 Decodierschaltungen die Eingänge einer weiteren, werden in beiden Anlagen Prüfprogramme gestartet, gemeinsamen Decodierschaltung zur Bildung der worauf die Anlagen innerhalb bestimmter Zeitder Auswahlentscheidung entsprechenden Umschalt- Intervalle vorher bekannte Ergebnisse an die Ergänbefehle nach Maßgabe der Meldungen der Anlagen 15 zungsschaltung (Prüfanordnung) liefern. Treffen verbunden sind. Weiterbildungen der Erfindung sind diese Ergebnisse von einer Anlage nicht zu den festin den Unteransprüchen gekennzeichnet. gelegten Zeiten ein, so ist diese Anlage als gestört

Ausführungsbeispiele der Erfindung werden nach- erkannt, und es wird auf Einzelbetrieb der anderen

folgend an- Hand der F i g. 1 und 2 näher erläutert. Anlage umgeschaltet.

Die F i g. 1 zeigt ein Blockschaltbild einer derarti- 20 Ein einfaches Beispiel einer derartigen Ergänzungsgen Auswahleinrichtung, wobei angenommen wurde, schaltung (Prüfanordnung) ist in F i g. 2 dargestellt, daß beide Rechenanlagen jeweils den eigenen Zu- Dabei ist zu beachten, daß bei gleichzeitiger Prüfung stand und den durch Datenaustausch mit der anderen von zwei Anlagen die gezeigte Schaltungsanordnung Anlage ermittelten Zustand der zweiten Anlage der für jede zu überprüfende Anlage einmal vorhanden Auswahleinrichtung mitteilen. Die Zustandsmeldun- 25 sein muß. Sind die zu prüfenden Anlagen gleich, so gen erfolgen im Beispiel nach F i g. 1 über insgesamt können allerdings die zur Herstellung des Zeitrasters acht, jeweils paarweise zusammengefaßte Leitungen 1 dienenden Einrichtungen, das sind der Impulsbis 8. Über die Leitungen 1 und 2 werden die MeI- generator /G und die Flipfiop-Stufen A, B und C düngen der (nicht dargestellten) Anlage I über den und das NOR-Glied G1, gemeinsam verwendet wereigenen Zustand, über die Leitungen 3 und 4 die 30 den. Selbstverständlich können auch beide Anlagen Meldungen der Anlage I über den Zustand der An- ' mit einer Ergänzungsschaltung nacheinander geprüft lage II und über die Leitungen 4 bis 8 die entspre- werden.

chenden Meldungen der Anlage II übertragen. Über Durch einen Startimpuls auf der Leitung Li, der

jedes Leitungspaar können vier Zustände einer An- beispielsweise durch die Meldung »unbestimmt« aus-

lage gemeldet werden, die etwa folgende sein mögen: 35 gelöst wird, wird die Prüfanordnung gestartet und

a) die Anlage arbeitet vermutlich richtig, gleichzeitig über eine nicht dargestellte Verbindung ' ^{6 &} die zu prüfende Anlage zur Abgabe bekannter, durch

b) die Anlage arbeitet falsch, . das ablaufende Prüfprogramm gebildeter Prüfworte

c) der Zustand der Anlage ist nicht feststellbar, aufgefordert. Die «-stelligen Prüfworte werden über ,.,..,, .... , . ... 40 η Leitungen Ll bis Ln parallel an die Decodier-

d) die Anlage kann überhaupt keine Aussage über schaltung Dec mit mehreren Ausgängen übergeben, den Anlagenzustand machen. _{Die Anzahl der} Ausgänge hängt von der Anzahl der

Die über die Meldungsleitungen ankommenden gebildeten Prüfworte ab.

Signale werden in den Flipfiop-Stufen 11 bis 18 Liegt ein Prüfwort richtig an, so wird an dem zuzwischengespeichert, so daß sie alle gleichzeitig zur 45 gehörigen Ausgang ein Signal gebildet. In Fällen, in Verfugung stehen, und von dort an die in bekannter denen eine Parallelausgabe der Prüfworte nicht Technik aufgebauten Decordierschaltungen 19 und möglich war, kann vor der Decodierschaltung Dec 20 weitergegeben. Dabei werden jeweils alle MeI- ein zusätzlicher (nicht dargestellter) Serien-Paralleldungen einer Anlage zunächst in eine Gruppe zu- Umsetzer unter entsprechender Beachtung der Zeitsammengefaßt und durch die zugehörige Decodier- 50 bedingungen vorgesehen werden, schaltung 19 bzw. 20 entsprechend den 16 Korn- Der Startimpuls löst in der Prüfanordnung den binationsmöglichkeiten in die Form 1 aus 16 umge- Impulsgenerator JG aus, dessen erster abgegebener wandelt. Die Ausgangsklemmen al bis a 16 bzw. Impuls die Flipflop-Stufe A setzt. Die Abstände zu all bis iz32 der beiden Decodierschaltungen werden den folgenden Impulsen werden durch den Impulsin wählbarer (z. B. steckbarer) Zuordnung mit den 55 generator bestimmt und sind so bemessen, daß sie Eingangsklemmen b\ bis 632 einer Decodierschal- mit der Zeit für die Erzeugung und die Abgabe des tung 21 verbunden, die aus den Eingangssignalen die nächsten Prüfwortes durch die Datenverarbeitungs-Umschaltbefehle ableitet und an ihren vier Ausgangs- anlage übereinstimmen. Bei Abgabe des zweiten klemmen el bis c4 abgibt. Je nach den Meldungs- Impulses soll also (falls die überprüfte Anlage richtig kombinationen können Befehle zur Fortsetzung des 60 arbeitet) die Meldung »Prüfwort α vorhanden« am Parallelbetriebes oder zur Umschaltung auf Einzel- Ausgang α der Decodierung stehen. Die Koinzidenz betrieb der einen oder der anderen Anlage entstehen. dieser Meldung mit dem »Eins«-Zustand der FHp-Durch die wählbare Zuordnung der Ausgangs- flop-Stufe A wird durch das UND-Glied Ga festklemmen der beiden Decodierschaltungen 19 und 20 gestellt. Am Ausgang des nachfolgenden NOR-einerseits und der Eingangsklemmen der Decodier- 65 Gliedes Gz entsteht dann das Signal »Null«, so daß schaltung 21 andererseits können die aus den MeI- die Flipflop-Stufe F ebenfalls im Nullzustand verdungskombinationen abgeleiteten Umschaltbefehle bleibt,
innerhalb gewisser sinnvoller Grenzen den speziellen In entsprechender Weise wird beim dritten Impuls

5 6

auf das Prüfwort b geprüft usw. Die Anordnung entsprechenden Signalen der zweiten Anlage vom

kann im Prinzip auf beliebig viele aufeinander- Bediener oder von einer Automatik ausgewertet und

folgende Prüfworte erweitert werden. daraus die Umschaltbefehle abgeleitet werden.

Sind keine Fehler aufgetreten, so ist gemäß F i g. 2 Für die Abgabe eines Prüfwortes von der zu prünach dem vierten Impuls die aus den Flipflop- 5 fenden Anlage ist bei dem angeführten Beispiel eine Stufen A, B und C bestehende Kette wieder im Ruhe- zeitliche Toleranz entsprechend dem Abstand zweier zustand. Der Ausgang des NOR-Gliedes Gl führt Schiebetakte zulässig. Können diese Toleranzen, etwa also ein »Eins«-Signal, ebenso wie der mit dem UND- wegen der Eigenschaft des gewählten Prüfprogramms, Glied G 3 verbundene Ausgang der sich nach wie nicht mehr eingehalten werden, so muß entweder der vor im Ruhezustand befindlichen Flipflop-Stufe F. io Taktgeber so ausgelegt werden, daß der Schiebetakt G 3 gibt ebenfalls ein »Eins«-Signal ab, das die in einer entsprechend ungleichmäßigen Folge ausRichtigkeit aller Prüfworte und deren Eintreffen in gegeben wird, oder es muß die Schiebekette verden vorgesehenen Zeitintervallen kennzeichnet. längert und die Prüfung nur in bestimmten Stel-Durch dieses Signal kann auch der Impulsgenerator lungen der Schiebekette durchgeführt werden. Bei JG angehalten werden, wenn er nicht schon von sich i₅ längeren Schiebeketten wird es zweckmäßig sein, sie aus nur eine vorbestimmte Anzahl von Impulsen nicht mehr in der in F i g. 2 dargestellten Form, sonabgibt. dem in bekannter Art als Binärzähler mit nach-

Liegt dagegen z. B. beim zweiten Impuls des geschalteten Gatterschaltungen aufzubauen.

Impulsgenerators das Prüfwort α nicht vor, besteht Die beschriebene Auswahleinrichtung bietet u. a.

also keine Koinzidenz mit dem »Eins«-Zustand dei zo den Vorteil, daß bei der Aufstellung geeigneter Prüf-

Flipflop-Stufe A, so gibt das NOR-Glied Gz ein programme nicht darauf Rücksicht genommen wer-

»Eins«-Signal ab, und das Fehler-Flipflop F wird ge- den muß, daß die gleiche, möglicherweise gestörte

setzt. Über die Leitung Lj wird ein Fehlersignal zu Anlage sowohl das Prüfergebnis bildet als auch

einer nicht dargestellten Anzeigeeinrichtung (Lampe dieses Ergebnis auswertet. Vielmehr erfolgt die Aus-

usw.) gegeben. Gleichzeitig wird der Impulsgenerator 25 wertung jetzt durch eine getrennte, von der gestörten

JG gestoppt. Anlage unabhängige Auswahleinrichtung. Durch eine

Das Fehlersignal bzw. das Signal, welches angibt, Erweiterung der Einrichtung kann auch die Prüfung

daß die Prüfworte richtig und zum richtigen Zeit- selbst mindestens teilweise von dieser übernommen

punkt vorhanden waren, kann zusammen mit den werden.

Hierzu 1 Blatt Zeichnungen

Claims (4)

Es ist bekannt, zur Erhöhung der Betriebssicher- Patentansprüche: heit drei Datenverarbeitungsanlagen parallel zu be treiben und nach jedem Arbeitsgang ihre Rechen-

1. Einrichtung zur Auswahl der richtig arbei- ergebnisse durch Datenaustausch miteinander zu tenden Anlage bei der Parallelarbeit von zwei 5. vergleichen, um bei einer auftretenden Störung die Datenverarbeitungsanlagen im Fall einer durch gestörte Anlage durch Mehrheitsentscheidung zu das Auftreten unterschiedlicher Ergebnisse er- erkennen und Fehler zu unterdrücken. Nachteilig an kannten Störung, die den Ablauf von Prüf- dieser Lösung ist neben dem großen Aufwand die Programmen in beiden Anlagen auslöst, wobei Tatsache, daß alle Datenverarbeitungsanlagen daujede Anlage den Ablauf ihres eigenen Prüf- io ernd betriebsbereit sein müssen, da Mehrheitsprogramms und durch Datenaustausch "mit der entscheidungen mit zwei Anlagen nicht mehr möganderen Anlage den Ablauf des Prüfprogramms , Hch sind.

der anderen Anlage überwacht und entspre- Durch die deutsche Äuslegeschrift 1152 278 ist es chende Prüfergebnisse bildet, dadurch ge- bekannt, eine Rechenanlage mit einer nicht mitkennzeichnet, daß jeder der beiden An- 15 rechnenden zusätzlichen Recheneinheit auszustatten, lagen eine erste Decodiefschaltung (19, 20) zu- Weiterhin besitzt sie zusätzliche Datenspeicher, etwa geordnet ist, die die Meldungen der Anlage über in Form von Endlos-Magnetbändern, welche die den eigenen Zustand und über den durch sie Ein- und Ausgabedaten laufend mitspeichern. Bei ermittelten Zustand der anderen Anlage erhält, Ausfall einer Recheneinheit wirken sie einerseits als und daß mit den Ausgängen der beiden ersten 20 Datengeber für die Reserverecheneinheit, anderer-Decodierschaltungen die Eingänge einer weite- seits ermöglichen die gespeicherten Ausgabedaten ren, gemeinsamen Decodierschaltung (21) zur einen Vergleich mit den neu ermittelten Resultaten. Bildung der der Auswahlentscheidung entspre- Eine derartige Anlage sichert zwar die Fortführung chenden Umschaltbefehle nach Maßgabe der der Verarbeitung und verhindert somit einen Stau Meldungen der Anlagen verbunden sind. 25 von Eingabedaten, aber sie läßt Rechen- und Aus-

2. Einrichtung nach Anspruch 1, dadurch ge- gabefehler nicht erkennen. Nur der Ausfall einer kennzeichnet, daß die Verbindungen zwischen Recheneinheit bewirkt die Umschaltung auf die den beiden ersten Decodierschaltungen (19, 20)- Reserverecheneinheit. Bei Verwendung von zwei einerseits und der weiteren Decodierschaltung parallel arbeitenden Datenverarbeitungsanlagen kann (21) andererseits wählbar ausgeführt sind. 30 dagegen durch Vergleich der Rechenergebnisse ein

3. Einrichtung nach Anspruch 1 oder 2, da- Störungsfall (z. B. Rechenfehler) leicht festgestellt . durch gekennzeichnet, daß bei einer Meldungs- werden. Ergibt sich beim Vergleich keine Überkombination, die keine eindeutige Umschalt- einstimmung, so versucht jede Anlage für sich durch entscheidung zuläßt, das zeitlich richtige Ein- Wiederholung, Prüfprogramme usw. festzustellen, ob treffen bestimmter vorher bekannter Ergebnisse 35 das eigene Ergebnis richtig war. Das Resultat dieser (Prüfworte), die von den beiden Anlagen nach Untersuchungen wird, wie schon durch die Literatur-Beginn eines besonderen Prüfprogramms gelie- stelle »Automatic Control«, Dez. 1959, S. 46 bis 52, ■ fert werden, geprüft wird. bekanntgeworden ist, jeweils der anderen Anlage

4. Einrichtung nach Anspruch 3, gekennzeich- mitgeteilt, um schließlich eine Umschaltung auf die net durch eine Anordnung (/G, A, B, C, Gl) 40 richtig arbeitende Anlage zu veranlassen. Da aber zur Herstellung eines Zeitrasters, je eine De- an der Entscheidungsbildung auch die gestörte, codierschaltung (Dec) pro Anlage zur Ab- jedoch zunächst noch nicht als solche identifizierte leitung von Meldungen aus den einzelnen Prüf- Anlage beteiligt ist, muß damit gerechnet werden, Worten und je einen Satz von UND-Gliedern daß diese auch die Meldungen falsch auswertet. Eine (Ga, Gb, Gc), mit denen das zeitgerechte Ein- 45 Umschaltung auf den Einzelbetrieb einer Anlage treffen der Prüfworte festgestellt wird. darf deshalb nur dann erfolgen, wenn eine Aufforderung von beiden Anlagen im gleichen Sinn kommt oder wenn eine Anlage keine Meldung mehr

abgeben kann. Das kann aber auch dazu führen, daß

50 beide Anlagen stillgesetzt werden, insbesondere dann, wenn Übermittlungsschwierigkeiten auftreten.

Es ist ferner durch die deutsche Auslegeschrift