DE2014729B2 - Datenverarbeitungssystem mit Einrichtungen zur Fehlerermittlung und zur Systemumkonfiguration unter Ausschluß fehlerhafter Systemeinheiten - Google Patents

Description

Die Erfindung betrifft ein Datenverarbeitungssystem nach dem Oberbegriff des Hauptanspruchs.

Bekanntermaßen werden Datenverarbeitungssysteme, an welche besondere Anforderungen hinsichtlich der Zuverlässigkeit gestellt werden, mit entsprechender Redundanz ausgelegt, ei. h. wichtige Systemeinheiten sind mehrfach vorhanden, so daß das Datenverarbeitungssystem auch beim Auftreten einer Fehlerfunktion einer Systemeinheit weiterarbeiten kann, indem eine redundante Systemeinheit innerhalb des Datenverarbeitungssystems die Funktion der fehlerhaften Systemeinheit übernimmt.

Aus der DT-AS 12 06 181 ist bereits ein Datenverarbeitungssystem der eingangs genannten Art mit mehreren Systemeinheiten bekannt. Bei dem bekannten Datenverarbeitungssystem ist ein zentrales Fehler- und Fehleradressenregister vorgesehen, in welches von den verschiedenen, jeweils mit einer eigenen Fehlerprüfschaltung versehenen Systemeinheiten der Datenverar-Ί beitungsanlage aufgedeckte Fehler mit Herkunftsangaben, d. h. mit Adresse der fehlermeldenden Systemeinheit, eingespeist werden können. Außerdem weist die bekannte Anordnung einen zentralen Fehlerzähler auf, dessen Zählerstand zwar beim Auftreten jeder Fehler-

H) meldung zunächst um Eins erhöht wird, der aber, sofern die Anlage den Fehler korrigieren konnte, wieder rückgestellt wird, so daß effektiv nur die von der Anlage nicht korrigierbaren aufgetretenen Fehler gezählt werden. Beim Erreichen einer bestimmten vorgegebe-

Ii nen Fehleranzahl erfolgt eine Meldung an der Konsole, um das Bedienungspersonal über die jeweilige Fehlersituation zu informieren. Die Anlage selbst trifft in diesem Falle keine weitergehenden Maßnahmen, sondern etwa vorzunehmende Maßnahmen sind in das Ermessen des Bedienungspersonals gestell L

Ferner ist es aus der Veröffentlichung »The Bell System Technical Journal«, September 1964, Seiten 1893 bis 1895 und 2005 bis 2009 bekannt, bei einem mehrere Systemeinheiten aufweisenden Datenverarbei-

r> tungssystem beim Auftreten von Fehlern die Fehlerquelle, d. h. die fehlerhafte Systemeinheit mit Hilfe von Testprogrammen zu lokalisieren. Dabei linden nacheinander mehrere Testprogrammdurchläufe mit jeweils modifizierter Systemkonfiguration statt, bis die fehler-

i» hafte Systemeinheit ermittelt ist. Nach Lokalisierung der fehlerhaften Systemeinheit erfolgt eine Systemumkonfiguration unter Ausschluß der fehlerhaften Systemeinheit.

Der Erfindung liegt die Aufgabe zugrunde, bei einem

r> Datenverarbeitungssystem der eingangs genannten Art jede einzelne Systemeinheit ständig hinsichtlich ihrer Zuverlässigkeit zu überwachen und, wenn sich irgendeine Systemeinheit als fehlerhaft oder unzuverlässig arbeitend herausstellt, selbsttätig Maßnahmen zu

■ι» treffen, die ein ordnungsgemäßes Weiterarbeiten des Gesamtsystems gewährleisten.

Diese Aufgabe wird gemäß der Erfindung durch die im kennzeichnenden Teil des Hauptanspruchs angegebene Anordnung gelöst.

■r> Bei dem erfindungsgemäßen Datenverarbeitungssystem ist die Möglichkeit gegeben, nicht nur beim Auftreten eines Fehlers den Ort der Fehlerquelle festzustellen, sondern ständig die Fehlerhäufigkeit in jeder einzelnen Systemeinheit gesondert festzustellen

)ii und zu überwachen.

Während bei der obenerwähnten, aus der DT-AS 12 06 181 bekannten Anordnung nur die nicht korrigierbaren Fehler gezählt werden, werden bei dem erfindungsgemäßen System in den Fehlerzählern die

Vi korrigierbaren Fehler gezählt und beim Auftreten eines nicht korrigierbaren Fehlers wird automatisch eine Umkonfiguration des Systems veranlaßt, so daß also die betreffende fehlerhafte Systemeinheit sofort beim ersten nicht korrigierbaren Fehler aus dem Gesamtsy-

i>ii stern ausgeschlossen wird. Während bei der eben genannten bekannten Anordnung davon ausgegangen wird, daß ein korrigierbarer Fehler im Endeffekt keine Beeinträchtigung der Arbeitsweise des Systems darstellt, wird bei dem erfindungsgemäßen System solchen

"■> korrigierbaren Fehlern insofern eine Bedeutung beigemessen, als deren Häufigkeit als Kriterium für die Zuverlässigkeit einer Systemeinheit ausgewertet wird. Obwohl ein einzelner korrigierbarer Fehler an sich die

Funktion des Systems nicht beeinträchtigt und auch das Arbeitsergebnis nicht nachteilig beeinflußt, findet bei der erfindungsgemäßen Anordnung bei jeder Fehlermeldung eine Auswertung dahingehend statt, ob in der betreffenden fehlermeldenden Systemeinheit solche Fehler mit normaler Häufigkeit oder mit ungewöhnlich hoher Häufigkeit auftreten, ob also die betreffende Systemeinheit als normal arbeitend angesehen werden kann oder ob sie so unzuverlässig arbeitet, daß ihr Ersatz innerhalb des Systems notwendig erscheint Im letzteren Falle, also bei zu großer Fehlerhäufigkeit, erfolgt dann ebenso wie beim Auftreten eines nicht zu reparierenden Fehlers eine Umkonfiguration des Systems.

Bevorzugte Ausgestaltungen der Erfindung sind Gegenstand der Unteransprüche.

Ein Ausführungsbeispiel der Erfindung wird nachstehend mit Bezug auf die Zeichnungen näher beschrieben. Es zeigt

Fig. 1 ein Blockschaltbild eines Datenverarbeitungssystems mit mehreren Systemeinheiten,

F i g. 2 ein die verschiedenen Fehlerauswerteeinrichtungen zeigendes detaillierteres Blockschaltbild des Systems nach Fig. 1,

F i g. 3 ein Blockschaltbild einer Moduswählschaltung zur Wahl des jeweiligen Fehlermeldemodus, und

Fig.4 ein Ablaufdiagramm zur Erläuterung des Fehlerauswertevorgangs bei dem in den F i g. 1 bis 3 gezeigten System.

F i g. 1 zeigt ein Datenverarbeitungssystem mit vier Systemeinheiten, nämlich zwei Verarbeitungseinheiten PO und Pl und zwei Speichereinheiten 50 und Sl, die durch ein Leitungssystem L miteinander verbunden sind, das zur Daten- und Steuerinformationsübermittlung zwischen den Systemeinheiten dient.

Jede Systemeinheit enthält eine Konfigurationssteuereinrichtung, die es gestattet, mit Hilfe von Konfigurationsbefehlen die einzelnen Systemeinheiten in oder außer Kommunikation mit anderen Systemeinheiten zu setzen. Dadurch lassen sich verschiedene Systemkonfigurationen herstellen, beispielsweise können die Verarbeitungseinheit PO und die Speichereinheit 50 oder die Verarbeitungseinheit Pl und die Speichereinheit 51 miteinander ein arbeitsfähiges System bilden.

Jede Systemeinheit enthält Einrichtungen zur Fehlerfeststellung und zur Korrektur bestimmter Fehler. In den Verarbeitungseinheiten bewirkt ein während der Datenverarbeitung auftretender Fehler eine Überprüfung der als fehlerhaft erkannten Information, bis entweder der Fehler korrigiert werden kann oder als unkorrigierbar bestimmt wird. Auftretende Fehler werden in jeder Systemeinheit registriert, was beispielsweise zur Bestimmung der Fehlerquelle in der betreffenden Systemeinheit oder zum Auffinden von Programmierungsfehlern von Nutzen sein kann. Außerdem werden auftretende Fehler in jeder Systemeinheit gezählt, da die Häufigkeit des Auftretens von Fehlern ein wesentliches Kriterium zur Beurteilung der Zuverlässigkeit einer Systemeinheit ist. Die Auswertung von auftretenden Fehlern erfolgt in einer Gruppe von miteinander zusammenarbeitenden Systemeinheiten durch die jeweilige Verarbeitungseinheit. Beim Auftreten eines nicht korrigierbaren Fehlers oder einer erheblichen Fehlerhäufigkeit in einer Systemeinheit erfolgt eine Systemumkonfiguration unter Ausschluß der betreffenden fehlerhaften Systemeinheit.

Die zur Registrierung, Zählung, Meldung und Auswertung von auftretenden Fehlern und zur Konfigurationssteuerung dienenden Einrichtungen des in F i g. 1 schematischen Systems werden nachstehend mit Bezug auf F i g. 2 mehr im einzelnen beschrieben.

"> Das, Leitungssystem L weist zwischen den Systemeinheiten PO und 50 vier Leitungen 1, 2, 3 und 4 und ein Leitungsbündel 5, weiter zwischen den Systemeinheiten PO und Sl verlaufende ähnliche Leitungsverbindungen und weitere, jedoch aus Gründen der Klarheit nicht

in dargestellte ähnliche Leitungsverbindungen zwischen der Systemeinheit Pl und den Systemeinheiten 50 und S1 auf. Die dargestellten und beschriebenen Leitungsverbindungen umfassen dabei der Einfachheit halber nur die der Fehierauswertung usw. dienenden Leitun- > gen.

Außer ihren sonstigen Funktionseinrichtungen enthält jede Speichereinheit SO und Sl eine Steuerschaltung 10, einen Fehlersignalgenerator 11, ein Fehlerdatenregister 12 und einen Fehlerzähler 13.

Die Steuerschaltung 10 steuert aufgrund von über die Leitungen 3 und 4 übertragenen Abfragesignalen die Abgabe der im Fehlerzähler 13 und im Fehlerdatenregister 12 der betreffenden Systemeinheit gesammelten Fehlerdaten über das Leitungsbündel 5 an die mit der

.'■> betreffenden Speichereinheit zusammenwirkende Verarbeitungseinheit. Das Leitungsbündel 5 besteht aus einer Mehrzahl von Leitungsadern zur Parallelbitübertragung der Fehlerdaten.
Jede Verarbeitungseinheit enthält eine Gruppe von

in UND-Schaltungen 14, 15, 16 und 17, die auf über die Leitungen 1 und 2 von den Fehlersignalgeneratoren 11 der Speichereinheiten übertragene Fehlermeldesignale ansprechen und deren Ausgangssignal die Abfragung der Fehlerdaten von der jeweils fehlermeldenden

j-> Systemeinheit durch über die Leitungen 3 und 4 zu übertragende Abfragesignale anfordern.

Von der Speichereinheit 50 über die betreffenden Leitungen 1 und 2 übertragene Fehlermeloesignale werden mit Hilfe eines über eine Leitung 18 an die

in UND-Schaltungen 14 und 15 angelegten Torsteuersignals getastet, das von einer Konfigurationssteuerschaltung 30 erzeugt wird, das die mit der betreffenden Verarbeitungseinheit jeweils zusammenarbeitenden übrigen Systemeinheiten bestimmt. Die von der Speicher-

r. einheit Sl kommenden Fehlermeldesignale werden mittels eines über eine Leitung 19 an die UND-Schaltungen 16 und 17 angelegten Torsteuersignals getastet.

Jede Verarbeitungseinheit enthält weiter eine Abfragewählschaltung 20, die durch die Ausgangssignale der

.ο UND-Schaltungen 14 bis 17 über eine ODER-Schaltung 21 angesteuert wird und über die Leitungen 3 und 4 Abfragesignale an die betreffende fehlermeldende Systemeinheit überträgt. Außerdem enthält jede Verarbeitungseinrichtung zwei Programmsteuerschaltungen

"·; 22 und 23, die beim Erhalt einer Fehlermeldung das laufende Programm unterbrechen und durch ein Fehlerabfrage- und -Auswerteprogramm ersetzen. Von diesen beiden Prograrnmsteuerschaltdngen 22 und 23 wird die Schaltung 22 angesteuert, wenn über eine

• ' Leitung 1 ein korrigierter Fehler gemeldet wird, und die Schaltung 23 wird angesteuert, wenn über eine Leitung 2 ein nicht korrigierbarer Fehler gemeldet wird.

Ferner weist jede Verarbeitungseinheit ebenso wie jede Speichereinheit eine Steuerschaltung 27, einen Fehlersignalgenerator 24, ein Fehlerdatenregister 26 und einen Fehlerzähler 25 auf. Schließlich enthält jede Verarbeitungseinheit einen Arbeitsspeicher 2Ö, in welchen jeweils abgefragte, über das jeweils betreffen-

de Leitungsbündel 5 von der fehlermeldenden Systemeinheit übertragene Fehlerdaten eingespeichert werden.

Die Feststellung eines Fehlers löst ein Fehlerkorrekturprogramm aus, während welchem versucht wird, den Fehler zu korrigieren, d. h. aus den als fehlerbehaftet erkannten Daten korrekte Daten zu gewinnen. Dieses Fehlerkorrekturprogramm führt entweder zu einer Korrektur oder bleibt ohne Erfolg, wobei in beiden Fällen der Fehlerzähler 13 bzw. 25 seinen Zählerstand erhöht. Der Fehlersignalgenerator 11 gibt eine Fehlermeldung über die Leitung 1 oder 2 ab, je nachdem, ob der Fehler korrigiert werden konnte oder nicht. Die Verarbeitungseinheit kann sodann, je nach den Bedingungen des gerade ablaufenden Programms, über die Leitungen 3 und 4 die Fehlerdaten abfragen. Normalerweise bestehen diese Fehlerdaten aus dem Inhalt des Fehlerdatenregisters 12 bzw. 26, jedoch kann auch die im Fehlerzähler 13 bzw. 25 jeweils gespeicherte Fehleranzahl übertragen werden. Im Fehlerdatenregister werden die Adresse derjenigen Stelle innerhalb der betreffenden Systemeinheit, an welcher der Fehler aufgetreten ist, und die jeweilige fehlerhafte Information registriert.

Die, die jeweilige Systemkonfiguration bestimmenden Konfigurationsdaten enthalten zwei Modusbits M1 und MI, welche den jeweils gewünschten Fehlermeldemodus angeben. Bei dem beschriebenen Ausführungsbeispiel kann hinsichtlich des Fehlermeldemodus zwischen zwei Möglichkeiten gewählt werden, nämlich zwischen der jeweils sofortigen Meldung jedes einzelnen auftretenden Fehlers oder einer Meldung jeweils erst nach dem Auftreten einer bestimmten Anzahl von Fehlern, d. h. jeweils beim Erreichen eines bestimmten Zählerstandes des Fehlerzählers 13. Dazu dient die in F i g. 3 gezeigte Moduswählschaltung.

Gemäß F i g. 3 werden die beiden in einem Konfigurationsbefehl enthaltenen Modusbits MX und M2 jeweils einer Verriegelungsschaltung 31 bzw. 32 zugeführt, die dadurch in einen entsprechenden Binärzustand gesetzt wird. Der Ausgang jeder der beiden Verriegelungsschaltungen 31 und 32 ist mit einem Eingang jeweils einer nachgeschalteten UND-Schaltung 33 bzw. 34 verbunden. Der jeweils zweite Eingang der UND-Schaltungen 33 und 34 ist an den Fehlerzähler 13 angeschlossen. Der Fehlerzähler legt an den zweiten Eingang der UND-Schaltung 33 jedesmal dann ein Torsignal an, wenn der Fehlerzählerstand ungleich Null ist (sofortige Fehlermeldung), und er legt an den zweiten Eingang der UND-Schaltung 34 jeweils dann ein Torsignal an, wenn der Fehlerzählerstand einen bestimmten Wert erreicht hat (Fehlermeldung nach Auftreten bestimmter Fehleranzahl). Die miteinander verbundenen Ausgänge der beiden UND-Schaltungen 33 und 34, über welche die Fehlermeldesignale abgegeben werden, sind an die Leitung 1 (F i g. 2) angeschlossen.

In Fig.4 ist die Fehlerauswertung in Form eines Ablaufdiagramms dargestellt.

Die linksseitige Dar: teilung in F i g. 4 betrifft den Fall einer Meldung eines korrigierbaren Fehlers über die Leitung 1. Die Verarbeitungseinheit veranlaßt aufgrund dieser Fehlermeldung die Registrierung des Fehlers und die Anforderung einer Programmunterbrechung zwecks Durchführung eines Fehlerabfrage- und -auswerteprogramms durch die Programmsteuerschaltung 22 (Schritt 1). Die Verarbeitungseinheit vervollständigt dann gegebenenfalls die noch laufende Instruktion des Problemprogramms (Schritt 2) und veranlaßt dann die Übertragung der in den Arbeitsspeicher eingespeicherten Fehlerdaten in einen der Verarbeitung zugänglichen Bereich, so daß sie anschließend ausgewertet werden können (Schritt 3). Die Verarbeitungseinheit führt dann anstelle des Problemprogramms das Fehlerabfrage- und -auswerteprogramm durch (Schritt 4). Dabei findet ein Vergleich der Fehlerdaten mit annehmbaren Fehlerraten statt (F i g. 5). Je nach dem Ergebnis der Fehlerauswertung kann eine Systemumkonfiguration erfolgen oder es kann ein anderer Fehlermeldemodus bestimmt werden (Schritt 6). Als letzter Schritt (Schritt 7) findet in jedem Falle der Rücksprung der Verarbeitungseinheit in das Problemprogramm statt.

Die rechtsseitige Darstellung in Fig.4 zeigt den verhältnismäßig einfachen Fall der Meldung eines nichl korrigierbaren Fehlers über die Leitung 2. Der Fehler wird registriert und die Programmsteuerschaltung 23 fordert eine Programmunterbrechung an (Schritt IA) damit die in diesem Falle unvermeidliche Systemumkonfiguration (Schritt 2A) unter Ausschluß der fehlerhaft arbeitenden Systemeinheit ausgeführt werden kann Danach wird das Problemprogramm unter Benutzung der neuen Systemkonfiguration erneut gestartet.

Hierzu 3 Blatt Zeichnungen

Claims (4)

Patentansprüche:

1. Datenverarbeitungssystem mit mehreren Systemeinheiten, die jeweils mit Fehlerermittlungseinrichtungen versehen sind, und mit Mitteln zur Fehlerzählung und zur Speicherung von Fehlerdaten, an welche die Systemeinheiten aufgetretene Fehler melden, dadurch gekennzeichnet, daß jede Systemeinheit (SO, Si, PO, Pi) einen eigenen Fehlerzähler (13, 25) und ein eigenes Fehlerdatenregister (12, 26) aufweist und daß mindestens eine Systemeinheit (PO) eine Abfrage- und Auswerteeinrichtung (20,21, 22,23, 28) enthält, welche die in den einzelnen Systemeinheiten aufgetretenen und dort bereits intern ausgewerteten und gegebenenfalls korrigierten Fehler jeweils beim Erhalt einer Fehlermeldung abfragt und beim Auftreten eines nicht korrigierbaren Fehlers oder beim Erreichen einer bestimmten Fehlerhäufigkeit in der jeweils fehlermeldenden Systemeinheit eine Umkonfiguration des Systems zum Ausschluß und Ersatz der jeweils fehlerhaft arbeitenden Systemeinheit veranlaßt

2. Datenverarbeitungssystem nach Anspruch 1, dadurch gekennzeichnet, daß die die Abfrage- und Auswerteeinrichtung (20,21, 22,23,28) enthaltende Systemeinheit eine programmverarbeitende Systemeinheit ist und daß die Abfrage- und Auswerteeinrichtung Programmsteuermittel (22,23) enthält, welche beim Erhalt einer Fehlermeldung das laufende Programm unterbrechen und durch ein Fehlerabfrage- und -auswerteprogramm ersetzen.

3. Datenverarbeitungssystem nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß jede Systemeinheit (SO, S1, PO, P1) eine derart setzbare Moduswählschaltung (Fig.3) aufweist, daß die betreffende Systemeinheit jeweils entweder beim Auftreten jedes einzelnen Fehlers oder nur beim Erreichen einer vorgegebenen Fehleranzahl eine Fehlermeldung abgibt.

4. Datenverarbeitungssystem nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß das System mindestens zwei jeweils mit einer Abfrage- und Auswerteeinrichtung (20, 21, 22, 23, 28) versehene Systemeinheiten (PO, Pl) enthält, von denen jede die jeweils andere durch Umkonfiguration des Systems aus dem System ausschließen kann, wenn sie feststellt, daß diese andere Systemeinheit fehlerhaft arbeitet.