DE2153830A1

DE2153830A1 - Verarbeitungssystem mit verdreifachten systemeinheiten

Info

Publication number: DE2153830A1
Application number: DE2153830A
Authority: DE
Inventors: Josef Dipl Ing Huber; Bernhard Dipl Ing Schaffer
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 1971-10-28
Filing date: 1971-10-28
Publication date: 1973-05-03
Also published as: FR2159040A5; IT969932B; LU66377A1; SE376101B; ZA726563B; CH551662A; DE2153830B2; GB1391216A; BE790654A; US3833798A; CA962782A; DK138566B; AU4722972A; DK138566C; NL7214378A

Description

Verarbeitungssystem mit verdreifachten Systemeinheiten

Die Erfindung besieht sich auf eine Schaltungsanordnung zur Verbindung von Systemeinheiten eines programmgesteuerten aus Verarbeitungseinheiten und einer zentralen Speichereinheit bestehenden Verarbeitungssyctems, bei dem die einzelnen Systemeinheiten zur Erhöhung <3er Betriebssicherheit mehrfach vorhanden sind und defekte Systemeinheiten in einen Prüfzustand setzbar und somit vom intakten Restsystem isolierbar sind.

In einem programmgesteuerten Verarbeitungssystem, das mit besonderem Vorteil als programmgesteuertes Vermittlungssystem eingesetzt wird, sind eine Reihe von Systemeinheiten als Verarbeitungseinheiten vorhanden, in denen programmgesteuert Verarbeitungsabläufe durchführbar sind. Die dazu notwendigen Programme und Daten sind in einer zentralen Speichereinheit enthalten, die ihrerseits gleichfalls als Systemeinheit betrachtet werden kann. Die Verarbeitungseinheiten treten untereinander stets über die zentrale Speichereinheit in Verkehr. Das geschieht in der Weise, daß eine Verarbeitungseinheit, in der ein Ablauf durchzuführenist, entsprechend den von ihr durchzuführenden Aufgaben von der Speichereinheit Speicherzyklen anfordert. Ein Informationsaustausch mit dem zentralen Speicher findet dann stets mit einem zugeteilten Zyklus statt. Sowohl die Anforderung als auch die Zuteilung von Speicherzyklen geschieht über eine zentrale

VPA 9/411/1373 Ws/Ram - 2 -

309818/0978

Steuerung im Speicher, von der die Zyklusanforder-ungen, beispielsweise entsprechend den Prioritäten der durchzuführenden Aufgaben, den anfordernden Verarbeitungseinheiten zugeteilt v/erden. Eine eingehende Beschreibung der Zykluszuteilung und der zentralen Steuerung im Speicher findet sich beispielsweise in der LOS 1 944 483.

Zur Erhöhung der Sicherheit und der Zuverlässigkeit eines solchen Verarbeitungssystens ist es bekannt, die einzelnen Systemeinheiten jeweils zweifach vorzusehen." Dieser Aufbau, der als modularer Aufbau bekannt ist, bietet aufgrund der Austauschbarkeit einzelner Systemeinheiten die I.Iöglichkeit, fe< bei fehlerhaften Arbeiten einer Systenieinheit, deren Aufgaben durch die jeweils andere ausführen ~u lassen. Die Verdopplung von Systemeinheiten erstreck": sich dabei sowohl auf die als Verarbeitungeeinheiten als auch auf die als Speichereinheiten vorhandenen Systemeiriheiten. Dabei sind die Verarbeitungseinhe:; ton über jev/eils zwei sogenannte Norraanschlüsse an jede der beiden, Speichereinheiten angeschlossen. Es besteht auch die Möglichkeit, fehlerhafte Systemeinheiten in einen Prüfzustand z\x setzen und von intakten Restsystem diagnostizieren au lassen. \Vgl, Patentanmeldung P 20 12 052.9-31)

Die Betriebssicherheit eines solchen Verarbeitungssystsms kann " dadurch weiter erhöht werden, daß statt einer Verdopplung eine Verdreifachung der einzelnen Systeneinhaiten vorgesehen wird. Um bei einem solchen verdreifachten System die einzelnen Systemeinheiten miteinander zu verbinden, körnten in analoger V/eise zu dem verdoppelten System an den Verarbeitnngseinheiten jeweils drei Uoriaanschlüsse vorgesehen sein, über die .jede Verarbeitungseinheit an jede der drei Speichereinheiten einsein angeschlossen werden könnte. Dies würde aber voraussetzen, daß jede Verarbeitungseinheit mit drei Normanschlüssen ausgestattet wäre. Dabei wäre der Ilachteil beachtlieh, daß zur Umrüstung eines bisher eingesetzten verdoppelten Systems in ein verdreifachtes System alle Verarbeitung einheiten in schwieriger r/eise jeweils mit einem zusätzlichen dritten liormanschluß versehen

309818/0978

VPA 9/411/1373 - 3 -

215-830

werden müßten oder daß vorhandene Verarbeitungseinheiten durch neue zu ersetzen wären.

Die Aufgabe der Erfindung liegt darin, diese Nachteile zu vermeiden und eine Möglichkeit aufzuzeigen, bei Verwendung von Verarbeitungseinheiten mit jeweils zwei ITormanschlüssen in einfacher Weise eine Umrüstung eines .Verarbeitungssystems mit verdoppelten Systemeinheiten in ein Verarbeitungssystem mit verdreifachten Systemeinheiten zu erreiche».

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, daß die dreifach oder zweifach vorhandenen und jeweils mit zwei Normanschlüssen versehenen Verarbeitungseinheiten zyklisch in der Art an die dreifach vorhandenen und jeweils mit mehreren Zweifach-Parallel-Normanschlüssen versehenen Speichereinheiten angeschlossen sind, daß jeweils maximal swei identische Verarbeitungseinheiten mit einer der drei Speichereinheiten eine . Verbindung besitzen.

In einem vorteilhaften Ausführungsbeispiel der Erfindung sind zur Erkennung und zur Lokalisierung von fehlerhaften Systemeinheiten zum einen jeweils zwischen den beiden Normanschiüssen der Verarbeitungseinheiten und zum anderen jeweils zwischen den beiden jeweils mit identischen Verarbeitungseinheiten verbundenen Normanschlüssen der Speichereinheiten Vergleicher geschaltet, die den Datenfluß durch die beiden Normanschlüsse auf Identität hin überwachen.

Eine ausführliche Erläuterung der Erfindung wird im folgenden anhand eines in der Zeichnung dargestellten Ausführungsbeispieles gegeben.

In der Figur ist ein Verarbeitungssystem mit drei identischen Speichereinheiten SEI, SE2, SE3, drei identischen Verarbeitungseinheiten VE1a, VE1b, VE1c und zwei identischen Verarbeitungs-

VPA 9/411/1373 - 4 -

309818/09 7 8

einheiten VE2a, VE2b dargestellt. Dabei ist wegen der besseren Übersichtlichkeit jeweils nur eine verdreifachte und eine verdoppelte Verarbeitungseinheit dargestellt. Es besteht die Möglichkeit, je nach Bedarf weitere verdreifachte oder verdoppelte Verarbeitungseinheiten vorzusehen, die in der gleichen, im folgenden beschriebenen Weise wie die dargestellten Verarbeitungseinheiten an die Speichereinheiten angeschlossen werden.

In einem programmgesteuerten Verarbeitungssystem stehen alle zum Betrieb des Systems erforderlichen Daten und Programme in einem zentralen Speicher. Da infolgedessen die einzelnen Verarbeitungseinheiten nur über den zentralen Speicher ihren Betrieb realisieren können, sind bei mehrfach ausgeführten Systemeinheiten zunächst die Speichereinheiten in der höchst vorgesehenen Anzahl, also hier dreifach, vorhanden. Die Verarbeitungssinheiten können je nach Bedarf dreifach oder zweifach vorhanden sein. Die Verbindung zwischen den Verarbeitungseinheiten und den Speichereinheiten wird über die Normanschlüsse an den Speichereinheiten einerseits und an den Verarbeitungseinheiten andererseits hergestellt. Da die einzelnen Verarbeitungseinheiten bei 'einem bisher gebräuchlichen verdoppelten Systemaufbau jeweils zwei Normanschlüsse für eine Verbindung mit jeder der beiden Speichereinheiten besitzen, ergibtlsich bei einer nachträglichen Verdreifachung der Systemeinheiten das Problem, die mit jeweils zwei Normanschlüssen ausgerüsteten Verarbeitungseinheiten ohne großen Redundanzverlust in das Dreifachsystem einzufügen. Dazu sind die Verarbeitungseinheiten, sei es, daß diese dreifach VE1a bis VE1c oder zweifach VE2a, VE2b vorhanden sind, zyklisch in der Art an die drei identischen Speichereinheiten SE1, SE2, SE3 angeschlossen, daß eine der drei Speichereinheiten maximal mit zwei identischen Verarbeitungseinheiten verbunden ist. Ist also beispielsweise die dreifach vorhandene Verarbeitungseinheit VE1 mit ihrem ersten Teil VE1a an die erste und zweite Speichereinheit SE1 und SE2 angeschlossen, so ist die Verarbeitungseinheit VE1 mit ihrem zweiten Teil VETb

VPA 9/411/1373 - 5 -

309818/0978

an die zweite und dritte Speiehereinheit SE2 und SE3 angeschlossen usw. Dabei ist noch zu beachten, daß die Speichereinheiten SE, wie bei den verdoppelten Systemeinheiten jeweils mehrere Zweifach-Parallel-Nornianschlüsse besitzen und der Datenfluß durch diese Parallel-lTormanschlüsse durch Vergleicher auf Identität hin überwacht wird. Die parallelen identischen Verarbeitungseinheiten werden dabei nicht an beliebige Normanschlüsse der Speichereinheiten sondern nur an die gekannten Parallel-Normanschlüsse der Speichereinheiten angeschlossen. Diese Forderung ist bei verdreifachten Verarbeitungseinheiten stets vollständig zu erfüllen, während bei verdoppelten Verarbeitungseinheiten nur an einer Speichereinheit, und zwar wie in der Figur dargestellt, nur an der zweiten Speichereinheit SE2 ein Parallel-Normanschluß vollständig belegt ist und an den anderen beiden Speichereinheiten jeweils ein Parallel-Normanschluß nur zur Hälfte belegt ist. Demzufolge kann der Datenfluß von den verdoppelten Verarbeitungseinheiten VE2a, VE2b zu den Speichereinheiten nur an einer Speichereinheit, und zwar wie in der Figur dargestellt, an der zweiten Speichereinheit SE2 im Rahmen eines Vergleichs bewertet werden. Um umgekehrt auch den Datenfluß von den Speichereinheiten zu den Verarbeitungseinheiten überwachen zu können, sind ebenfalls zwischen den beiden Parallel-lTormanschlüssen der Verarbeitungseinheiten Vergleicher angebracht.

Dieser Vergleich des Daten- und Signalflusses durch die Parallel-Normanschlüsse an den Speicher- und Verarbeitungseinheiten ist zur Erkennung und zur Lokalisierung fehlerhafter Systemeinheiten wichtig. Dabei können grundsätzlich die Falle unterschieden werden, daß in einer dreifach oder zweifach betriebenen Verarbeitung*inheit oder in einer Speichereinheit ein Fehler auftritt. Eine Systemeinheit ist immer dann als fehlerhaft identifiziert, wenn dieser von zwei anderen identischen Systemeinheiten jeweils eine Reaktion des Vergleichers, also ein Fehler gemeldet wird. Tritt z.B. in der Verarbeitungseinheit

VPA 9/411/1373 - 6 -

309818/0978

VE1a eine Störung auf, so daß die Verarbeitungseinheit VE1 a an die beiden Speichereinheiten SE1 und SE2 Signale abgibt, die nicht mit den Signalen der parallel arbeitenden Verarbeitungseinheiten VE1b und VE1c übereinstimmen, so sprechen jeweils die zugeordneten Vergleicher in den beiden Speichereinheiten SEI und SE2 an und geben eine Fehlermeldung ab, während der Vergleioher in der dritten Speichereinheit SE3 nicht reagiert. Die durch die Vergleicher in der ersten und zweiten Speichereinheit SE1 und SE2 erzeugte Fehlermeldung wird an die angeschlossenen Verarbeitungseinheiten VE1a, VE1b und VE1c signalisiert, so daß die Verarbeitungseinheit VE1a, die von zwei Speichereinheiten eine Fehlermeldung empfängt, als fehlerhaft abgeschaltet werden kann, während die beiden anderen Verarbeitungseinheiten VE1b und VE1c betriebsbereit bleiben. Arbeitet dagegen eine zweifach betriebene Verarbeitungseinheit, beispielsweise VE2a fehlerhaft, so spricht nur der entsprechende Vergleicher in der Speichereinheit SE2 an, und die beiden Verarbeitungseinheiten VE2a und •VE2b erhalten von der Speichereinheit SE2 eine Fehlermeldung. Infolgedessen ist eine Lokalisierung einer fehlerhaften zweifach betriebenen Verarbeitungseinheit nicht möglich. Doppelt vorhandene Systemeinheiten müssen daher im Fehlerfall jeweils insgesamt abgeschaltet werden.

Umgekehrt wird eine gestörte Speicher einheit durch die Vergleicher und entsprechenden Fehlermeldungen der Verarbeitungseinheiten in der gleichen Weise lokalisiert wie eine gestörte verdreifachte Verarbeitungseinheit, falls gerade- von einer verdreifachten Verarbeitungseinheit ein Speicherzyklus angefordert wurde.

Wird dagegen beim Eintritt eines Fehlers in einer Speichereinheit ein von einer verdoppelten Verarbeitungeeinheit VE2 angeforderter Speicherzyklus bearbeitet, so kann die fehlerhafte Speichereinheit nur dann als solche in der beschriebenen Weise erkannt werden, wenn es sich um diejenige handelt, die mit jeder

VPA 9/411/1373 - 7. -

3 0 9818/0978

der beiden Verarbeitung^einheiten VE2a und VE2b eine Verbindung besitzt. Sendet eine der beiden anderen Speichereinheiten, beispielsweise SE1, fehlerhafte Oaten oder Signale an die verdoppelte Verarbeitungseinheit VE2a, so erhalten die Speichereinheiten SE1 und SE2 jeweils nur eine Fehlermeldung von der Verarbeitungseinheit VE2a. Die fehlerhafte Speichereinheit SE1 kann daher in diesem Falle nicht in der bisherigen* Weise erkannt werden. Um dennoch auch bei der Bearbeitung einer Zyklusanforderung von einer verdoppelten Verarbeitungseinheit eine fehlerhafte Speichereinheit, beispielsweise die erste Speichereinheit SE1, lokalisieren zu können, besteht vorteilhaft die Möglichkeit, daß in diesem Falle die zweite Speichereinheit SE2 die Vergleichermeldung der zweiten Verarbeitungseinheit VE2b (kein Fehler) an die erste Verarbeitungseinheit VE2a weitergibt, so daß daraufhin die fehlerhafte Speichereinheit SE1 erkannt und von der Verarbeitungseinheit VE2a abgeschaltet werden kann.

Um im Falle einer Störung in einer Systemeinheit das intakte Restsystem betriebsfähig zu halten, sind besondere dem erfindungsgemäßen System entsprechende Maßnahmen erforderlich.

Fällt eine von drei parallel betriebenen Verarbeitungseinheiten, beispielsweise die Verarbeitungseinheit VE1a aus, so besteht die Gefahr, daß in die an die Verarbeitungseinheit VE1 a angeschlossenen Speichereinheiten SE1 und SE2 falsche Daten eingespeichert werden, falls die entsprechenden Vergleicher in diesen Speichereinheiten SE1 und SE2 nicht schnell genug reagieren. In diesem Fall enthält nur die dritte Speichereinheit SE3 mit Sicherheit fehlerfreie Daten. Daraufhin werden die ersten beiden Speichereinheiten SE1 und SE2 und infolgedessen jede Verarbeitungseinheit, die nur mit den ersten beiden Speichereinheiten SE1 und SE2 eine Verbindung besitzt, also auch die defekte Verarbeitungseinheit VE1a in den Prüfzustand gesetzt und somit vom intakten Restsystem isoliert. Anschließend

VPA 9/411/1373 - 8 -

309818/09 7 8

kann die defekte Verarbeitungseinheit YE1a mit Hilfe des im Prüfzustand befindlichen Teilsystems diagnostiziert werden, während das intakte Restsystem weiterhin betriebsfähig bleibt.

Ist dagegen eine der zweifach betriebenen Verarbeitungseinheiten, beispielsweise die Verarbeitungseinheit VE2a gestört, 00 kann diese gestörte Einheit VE2a, wie schon beschrieben, nicht lokalisiert v/erden. Durch die Fehlermeldung des den beiden Verarbeitungseinheiten VE2a und VE2b zugeordneten Vergleichers in der zweiten Speichereinheit SE2 werden infolgedessen die beiden Verarbeitungseinheiten VE2a und VE2b in den Prüfzustand gesetzt. Da nun keine Möglichkeit besteht, die Speichereinheit mit fehlerfreier Information zu erkennen, ist für diesen Fall vorgesehen, daß der den beiden Verarbeitung einheiten VE2a und VE2b zugeordnete Vergleicher in der zweixen Speichereinheit SE2 so schnell reagiert und somit so schnell den Informationsfluß von der gestörten Verarbeitungseinheit VE2a sperrt, daß der Informationsinhalt der zweiten Speichereinheit SE2 sicher fehlerfrei bleibt. Unter dieser Voraussetzung werden die beiden anderen Speichereinheiten SE1 und SE3 in den Prüfzustand gesetzt und die beiden Verarbeitungseinheiten VE2a und VE2b durch das im Prüfzustand befindliche Teilsystem diagnostiziert, während das intakte Restsystem mit der zweiten Speichereinheit SE2 weiter betrieben wird.

Kommt es andererseits zu einer Störung in einer Speichereinheit, so ist hinsichtlich des weiteren Betriebs des Verarbeitungssystems wieder zu berücksichtigen, ob bei Erkennung der Störung von einer verdreifachten oder von einer verdoppelten Verarbeitungseinheit eine Zyklusanforderung bearbeitet wird. Im ersten Fall gehen die beiden Verarbeitungseinheiten in den Prüfzustand, die von einer Speichereinheit fehlerhafte Information empfangen und die daraufhin ihrerseits die gestörte Speichereinheit in den Prüfzustand setzen. Dabei können gegebenenfalls zur Diagnostizierung der gestörten Speichereinheit

VPA 9/411/1373 - 9 -

309818/0978

noch weitere Systemeinheiten in den Prüfzustand gesetzt werden. Im zweiten Fall bestehen wieder zwei Möglichkeiten. Zum ersten erhalten beide Verarbeitungseinheiten VE2a und VE2b von einer Speichereinheit SE2 fehlerhafte Information. Infolgedessen werden sowohl beide Verarbeitungseinheiten VE2a und VE2b als auch die Speichereinheit SE2 in den Prüfzustand versetzt. Zum anderen erhält nur eine Verarbeitungeeinheit, beispielsweise die Verarbeitungseinheit VE2a fehlerhafte Information. In diesem Pail wird die fehlerhafte Speichereinheit SEI in der beschriebenen V/eise abgeschaltet und zusammen mit der Verarbeitungseinheit VE2a in den Prüfzustand gesetzt.

Zweckmäßig erfolgt die Inbetriebnahme des Verarbeitungssystems stufenweise. Eine Möglichkeit hierzu soll im folgenden erläutert werden. Durch eine Verarbeitungseinheit, beispielsweise Verarbeitungseinheit VEIa, werden identische Daten und Programme in die zwei Speichereinheiten SE1 und SE2 eingeschrieben. Anschließend nehmen zwei von drei nicht dargestellten Programmsteuerungseinheiten ein Koordinierungsprogramm für den Dreifach-Speicher-Betrieb auf. Dabei ist darauf zu achten, daß jede der beiden Programmsteuerungseinheiten eine Verbindung zu der dritten noch nicht angeschlossenen Speichereinheit SE3 besitzt. Diese Speichereinheit SE3 wird sodann in einen Wiedereinschaltezustand gesetzt. In diesem Zustand wird nur aus den ersten beiden im Betrieb befindlichen Speichereinheiten SE1 und SE2 Information gelesen, während diese Information in alle drei Speichereinheiten geschrieben wird, so daß die drei Speichereinheiten, also auch die dritte mit identischer Information geladen werden. Nach Beendigung dieses Vorgangs wird die dritte Speichereinheit SE3 in den Betriebszustand gebracht. Anschließend wird die dritte Programmsteuerungseinheit durch Setzen einer Ablaufanforderung in den Speichereinheiten durch die anderen zwei Programmsteuerungseinheiten in Betrieb gesetzt. Mit Aufnahme dieser Ablaufanforderung beginnen alle drei Programmsteuerungseinheiten ein identisches Programm. An-

VPA 9/411/1373 - 10 -

309818/0978

- ίο -

dere Verarbeitungseinheiten können verdreifacht oder verzweifacht zum Verarbeitungssystem hinzugeschaltet werden. In der gleichen Weise können Systemeinheiten nach einer
Störung wieder betriebsfähig geschaltet werden.

3 Patentansprüche
1 Figur

VPA 9/411/1373 - 11 -

309818/0978

Claims

Patentansprüche

,1I Schaltungsanordnung zur Verbindung von Systemeinheiten eines programmgesteuerten aus Verarbeitungseinheiten und einer zentralen Speichereinheit bestehenden Verarbeitungssystems, bei dem die einzelnen Systemeinheiten zur Erhöhung der Betriebssicherheit mehrfach vorhanden sind und defekte Systemeinheiten in einen Prüfzustand setzbar und somit vom intakten Restsystem isolierbar sind, dadurch gekennzeichnet, daß die dreifach oder zweifach vorhandenen und jeweils mit zwei Kormanschlüssen versehenen Verarbeitungseinheiten (VK) zyklisch in der Art an die dreifach vorhandenen und jeweils mit mehreren Zweifach-Parallel-Normanschlüssen versehenen Speichereinheiten (SE) angeschlossen sind, daß jeweils maximal zwei identische Verarbeitungseinhexten (VE) mit einer der drei Speichereinheiten (SE) eine Verbindung besitzen.

2» Schaltungsanordnung nach Anbruch 1 , dadurch gekennzeichnet, daß zum einen jeweils zwischen den "beiden Normanschlüssen der Verarbeitungseinheiten (VE) und zum anderen jeweils zwischen den beiden jeweils mit identischen Verarbeitungseinheiten (VE) verbundenen Normanschlüs- sen der Speichereinheiten (SE) Vergleicher geschaltet sind, die den Datenfluß durch die beiden verglichenen Normanschlüsse auf Identität hin überwachen und im Falle eines nicht identischen Datenflusses ein Fehlersignal an die beiden Systemeinheiten senden, die jeweils mit den beiden verglichenen Normanschlüssen verbunden sind.

3. Schaltungsanordnung nach Anspruch 1 und 2, dadurch gekennze ichnet, daß in den einzelnen Systemeinheiten zwischen den Normanschlüssen, die jeweils einem Vergleicher, zugeordnet sind, jeweils eine Einrichtung, beispiels-r weise eine Logikschaltung, geschaltet ist, an deren Ausgang

9/411/1373 - 12 -

309818/0978

im falle des Empfangs eines Pehlersignals von den beiden gegenüberliegenden Systemeinheiten, die jeweils mit der Einrichtung eine Verbindung besitzen, ein Kriterium gebildet wird, das jeweils die eigene Systemeinheit als fehlerhaft identifiziert.

VPA 9/411/1373

309818/0978