DE2319753A1

DE2319753A1 - Datenverarbeitungsanlage

Info

Publication number: DE2319753A1
Application number: DE2319753A
Authority: DE
Inventors: Spaeter Genannt Werden Wird
Original assignee: INTERNATIONALE POUR L' INFORMATIQUE LOUVECIENNES (FRANKREICH) Cie
Current assignee: INTERNATIONALE POUR L' INFORMATIQUE LOUVECIENNES (FRANKREICH) Cie
Priority date: 1972-04-24
Filing date: 1973-04-18
Publication date: 1973-11-08
Also published as: ES414009A1; NL159799B; US4012717A; BE797619A; FR2182259A5; DE2319753B2; JPS5247980B2; IT980879B; JPS4955248A; BR7302852D0; NL7305686A; GB1414095A

Description

GOMPAGNIE INTERNATIONALE
POUR L'INPORMATIQUE

68, Rte de Versailles
LOUVEOIENNES /Frankr e ich

Unser Zeichen: C 2948

Datenverarbeitungsanlage

Die Erfindung betrifft Anlagen zur Verarbeitung von Daten durch Prozessoren mit Mehrfachkopplung von Periphergeräten und anderen externen Einrichtung wie einem allgemeinen Speicher, einem Bedienungspult, einem Steuerpult und dergleichen. Jeder Prozessor besteht aus einer "Mikromaschine", d.h. der Kombination eines Steuerspeichers, der Mikrobefehle enthält, deren Zweck es allgemein ist, die Ausführung eines Befehls des externen Speichers zu zerlegen, eines Arbeitsspeichers für die Ausführung dieser Mikrobefehle und eines Rechenwerks wie einer Addier-Subtrahier-Einrichtung, das mit verschiedenen Prüforganen versehen ist. Diese Mikromaschine hat Steuerverbindungen und Verbindungen zum Austausch mit den externen Einrichtungen, insbesondere ausgehend von dem Schreib-Lese-Register des Arbeitsspeichers. Ein Beispiel für die Organisation eines derartigen Prozessors ist die Deutsche Patentanmeldung P 22 21 926.7-53.

309845/1079 .

Ein erhebliches Problem bei derartigen Anlagen ist die frühzeitige Erfassung von Störungen"und Fehlern, die während der Ausführung einer Arbeit auftreten können. Der Schutz, der gegen Störungen und Fehler dadurch gewährleistet werden kann, daß in bestimmten Fällen Struk-• türen mit Majoritäts- oder Redundanzlogik verwendet werden, ist, wie bekannt ist, nicht ausreichend. Die Ausführung der gleichen Arbeit durch zwei getrennte Prozessoren und der Vergleich der Ergebnisse dieser Arbeit hat bisher noch nicht zu einerfrühzeitigen Erfassung von Störungen und Fehlern geführt, da gewartet werden muß, bis die Prozessoren den gleichen fortgeschrittenen Zustand ihrer gemeinsamen Aufgabe erreicht haben und außerdem müssen die Ergebnisse am Ende einer Arbeit abgewartet werden. In der Praxis ist es daher nicht möglich, sehr schnell in weniger als 100 bis 200 Mikrosekunden z.B. die Anzeige einer Nichtübereinstimmung zwischen den beiden Prozessoren zu erhalten. Die Vergleichsmöglichkeiten beschränken sich auf programmierte, bei einer einzigen Unterbrechung neu gruppierte Verbindungen.

Der Erfindung liegt die Aufgabe zugrunde, dagegen eine Datenverarbeitungsanlage mit zwei Prozessoren eingangs definierter Art zu schaffen, um die frühzeitige Erfassung von Störungen und Fehlern und die schnelle Identifizierung des fehlerhaften der beiden Prozessoren, und, wenn möglich,die Fortführung der Aufgabe durch einen fehlerfreien Prozessor der Anlage sicherzustellen.

Gelöst wird diese Aufgabe gemäß der Erfindung durch zwei getrennte Prozessoren mit gleicher Organisation und Programmierung und mit Mehrfachkopplung mit der gleichen Gruppe externer Einrichtungen, die synchron die gleiche Aufgabe ausführen, eine Gruppe Verknüpfungsglieder, die die zu den externen Einrichtungen zu übertragenden Daten erhält und eine Organisation zur wahlweisen Zulassung dieser Übertragung durch eine dieser Verknüpfungsglieder-

309845/1079

gruppen hat, wenigstens einen Komparator für zugleich an zwei gleichen Stellen der Prozessoren während der Ausführung von Mikrobefehlen auftretenden Daten, und Steuereinrichtungen zur Aktivierung des Nicht-Konkordanzausganges des Komparators, zur Sperrung der beiden Verknüpfungsgliedergruppen und des Komparators selbst und zur Einleitung eines Identifizierungsverfahrens in jedem Prozessor, der einer Störung oder einem Fehler unterliegt, das in jedem Prozessor mit dem Ablauf eines Mikroprogramms zur Prüfung seiner Funktionseinrichtungen beginnt.

In der Praxis und in weiterer Ausgestaltung der Erfindung ist ein solcher Komparator einem jeden Prozessor zugeordnet und die Steuereinrichtungen werden nur bei gleichzeitiger Aktivierung der Nicht-Konkordanzausgänge dieser beiden Komparatoren ausgelöst.

Die Erfindung wird nachstehend anhand der anliegenden Zeichnung beispielsweise erläutert.

In der Zeichnung sind die Prozessoren bei 1 und 51 dargestellt. Sie haben gleiche Organisation und gleiche Programmierung in den Mikrobefehlen für die Erfordernisse der Anlage und ihr Austausch erfolgt mit den externen Einrichtungen 24, 25 und 26 bis 26ⁿ. Der Prozessor 1 hat eine Versorgungseinrichtung 2, einen Speicher 3, der die Steuer- und Arbeitsspeicher in dem durch die oben erwähnte Patentanmeldung definierten Sinn umfaßt, ein Rechenwerk 4 und seine zugehörigen Register und Kreise, eine Zeitbasiseinrichtung 5 mit einem Taktgeber, eine direkte Verbindung 6 zwischen der Ausgangssammelschiene 19 von Kopplern 21, 22 und 23 bis 23ⁿ der externen Einrichtungen und einem Eingang des Rechenwerks 4, eine Verbindung 7, die eine Verknüpfungsgliedergruppe 9 zwischen einem Ausgang dieses Rechenwerks 4 und der Eingangssammelschiene 20 der Koppler der externen Einrichtungen durchläuft, und einen Komparator 8, der von einem

309845/1079

Ausgang 47 des Oparators 4 alle Arbeitsdaten der Durchführung von Mikrobefehlen und Daten.erhält, die Adressen,Befehlen oder Oparanden entsprechen, die in einer mikroprogrammierten Struktur an einer gleichen Stelle wie einer Sammelschiene zugänglich sind, die dem Schreib-Lese-Register des Arbeitsspeichers der Mikromaschine zugeordnet ist. Der Prozessor 51 hat die gleichen Grundelemente, die mit den gleichen, um die Zahl 50 erhöhten Bezugsziffern versehen sind. Der andere Eingang des Komparators 8 erhält die bei 97 des Rechenwerks 54 des Prozessors 51 abgehenden Daten, die auch auf einen Eingang des Komparators 58 des Prozessors 51 gegeben werden, der an seinem anderen Eingang die bei 47 in dem Prozessor 1 abgehenden Daten erhält. Im normalen Betriebszustand der Anlage sind die beiden Zeitbasistaktgeber 5 und synchronisiert, was die zweiseitigen Verbindungen 33 angeben, und daher sind die auf die Eingänge der Komparator en 8 und 58 gegebenen Daten theoretisch gleich und haben keine zeitliche Verschiebung untereinander.

Die Steuerung des Austauschs der Daten zu den externen Einrichtungen ist im normalen Betriebszustand einem der Prozessoren 1 und 51 entsprechend dem Zustand eines einzigen Speichers 30 mit zwei Zuständen zugeordnet. Im einen dieser Zustände leitet die Verknüpfungsgliedergruppe 9 und die Verknüpfungsgliedergruppe 59 ist gesperrt, d.h., der Prozessor 51 stellt den Austausch sicher. Im anderen dieser Zustände ist die Verknüpfungsgliedergruppe 9 gesperrt und die Verknüpfungsgliedergruppe 59 leitet, d.h. der Prozessor 51 stellt diesen Austausch sicher. Der Speicher 30 ist in Form einer bistabilen Kippstufe mit zwei Steuereingängen 41 und 91 gezeigt, aus der er in der Praxis bestehen kann, feldern dargestellten Beispiel nimmt man an, daß die Aktivierung des Eingangs 41 die Steuerung dem Prozessor 1 überträgt, und daß die Aktivierung des Eingangs 91 dagegen

309845/1079

die Steuerung dem Prozessor 51 überträgt.

Bei diesem Beispiel verlangt ein Ausgang 36 des Rechenwerks 4 des Prozessors 1, der mit dem Eingang 41 der Kippstufe 30 verbunden ist, die Steuerung des Austauschs für diesen Prozessor, wenn dieser Ausgang aktiviert wird. Ein anderer Ausgang 35 dieses Rechenwerks 4 .sperrt dagegen, wenn er aktiviert wird, die Steuerung des Austauschs für den Prozessor 1, da er mit dem Eingang 91 der Kippstufe 30 verbunden ist. Umgekehrt verlangt ein Ausgang 86 des Rechenwerks 54 des Prozessors 51, wenn er aktiviert wird, die Steuerung des Austauschs für diesen Prozessor, da er mit dem Eingang 91 der Kippstufe 30 verbunden ist, und ein Ausgang 85 dieses Rechenwerks 54 sperrt dagegen die Steuerung des Austauschs, wenn er aktiviert wird, da er mit dem Eingang 41 der Kippstufe verbunden ist. In nor^· malem Betriebszustand muß der Zustand der Kippstufe bestimmt sein, was dem Zufall am Arbeitsbeginn überlassen werden kann, er wird jedoch vorzugsweise durch eine Polarisation des bevorzugten Zustands, mit der die Kippstufe 30 bei 31 z.B. durch den Ablauf eines Zustandswählmikroprogramms durch die Prozessoren beaufschlagt wird, gewählt. Es ist zweckmäßig, daß der Zustand der Kippstufe zu dem Operatorsteuerpult signalisiert wird. Zur Erläuterung ist bei 39 ein derartiger Signalabgang von einem Ausgang der Kippstufe angegeben. Man kann auch an dem Operatorsteuerpult eine "Weigerung" eines Prozessors zu wünschen wissen, die Steuerung des Austauschs zu den externen Einrichtungen zu übernehmen und derartige Weigerungssignalabgänge sind ebenfalls zur Erläuterung bei 49 für die Weigerungsmarkierungsleitung 35 des Preozes- , sors 1 und bei 99 für die Weigerungsmarkierungsleitung 85 des Prozessors 51 gezeigt.

Jeder Prozessor ist normalerweise mit einer Einrichtung zur Erfassung seiner internen Störungen und Fehler ausgestattet. Dies ist für den Prozessor 1 durch die Kreise

309845/1079

11 und 12 angegeben, die den Teilen 3 und 4 zugeordnet sind, und für den Prozessor 51 durch die ähnlichen Kreise 61 und 62, die den Teilen 53 und 54 zugeordnet sind. Diesen üblichen Kreisen sind ein Zeitbasisstörungserfassungskreis 14 für die Zeitbasiseinrichtung 5 und 64 für die Zeitbasiseinrichtung 55 ebenso wie Versorgungsstörungserfassungskreise 10 für die Versorgungseinrichtung 2 und 60 für die Versorgungseinrichtung 52 zugeordnet, da, wie erwähnt, die Versorgungseinrichtungen der Prozessoren 1 und 51 unabhängig, d.h. genauer autonom sind, ebenso wie die Zeitbasiseinrichtungen 5 und 55. Die Ausgänge der Kreise 10, 11, 12 und 14 sind bei 17 mit einem Umsteuere ing ang 28 des Prozessors 1 verbunden. Die Ausgänge der Kreise 60, 61, 62 und 64 sind ebenso bei 67 mit dem Umsteuereingang 78 des Prozessors 51 verbunden.

Jeder der Prozessoren der Anlage kann auch mit weiteren Eingängen zur Erfassung von Prograinmfehlern und/oder von Fehlern der Koppler und externen Einrichtungen ausgestattet sein. Die Aktivierung dieser Kreise bewirkt gleichzeitig die gleiche Umsteuerung in dem einen und anderen Prozessor und es tritt keine Unterbrechung der Synchronisierung in ihrer Funktion auf.

Das Auftreten einer Störung oder eines Fehlers eines der Prozessoren wirkt sich auf die Organisation der Anlage gemäß der Erfindung aus. Die Aktivierung eines Umsteuereingangs eines der beiden Prozessoren läßt ihn die im Ablauf befindliche Arbeit zugunsten der Durchführung eines besonderen Programms, auf jeden Fall wenigstens eines Mikroprogramms unterbrechen. Der andere Prozessor muß nun unbedingt die im Ablauf befindliche Arbeit durchführen, und insbesondere die Steuerung des Austauschs zu den externen Einrichtungen sicherstellen. Wenn der Umsteuereingang 28 des Prozessors 1 aktiviert wird, gibt er auf den Eingang 91 der Kippstufe 30 ein

309845/ 1079

Signal, das bestrebt ist, die Steuerung dem Prozessor zu übertragen und sie tatsächlich überträgt, wenn er sie nicht bereits hatte. Wenn umgekehrt der Umsteuereingang 78 des Prozessors 51 aktiviert wird, gibt er ein Signal auf den Eingang 41 der Kippstufe 30, das bestrebt ist, die Steuerung dem Prozessor 1 zu übertragen und das sie tatsächlich überträgt, wenn er sie nicht bereits hatte. Es wurde angegeben, daß die Aktivierung eines Umlenkeingangs eines der Prozessoren die Synchronisierung der Zeitbasistaktgeber 5 und 55 unterbricht. Hierzu sind die Ausgänge 28 und 78 der Verbindungseinrichtungen 17 und 67 der beschriebenen Kreise mit einem Entsynchronisierungssteuereingang 32 der Zeitbasiseinrichtungen verbunden. Wenn die beiden Prozessoren nicht mehr die gleiche Arbeit durchführen, ist es auch nötig, die Ausgänge der Komparatoren 8 und 58 zu sperren. Dies ist in einfacher Weise dadurch angegeben, daß jeder Umsteuereingang 28 und 78 mit einem Sperreingang eines jeden Komparator s verbunden ist.

Der Nicht-Konkordanzausgang der auf e'en Komparator 8 gegebenen Daten läuft über ein Verknüpfungsglied 27, bevor er auf einen besonderen Eingang 34 des Prozessors 1 gelangt. Der Nicht-Konkordanzausgang der auf den Komparator 58 gegebenen Daten läuft in gleicher Weise über ein Verknüpfungsglied 77, bevor er einen besonderen Eingang 84 des Prozessors 51 erreicht. Die gleichen Ausgänge sind auch mit dem Eingang eines Kreises 48 verbunden, der zwischen den beiden Signalen eine disjunktive ODER-Verknüpfung herstellt und der Ausgang dieses Kreises 48 ist mit dem Sperreingang der Verknüpfungsglieder 27 und 77 verbunden. Eine Störung eines der Komparatoren darf jedoch keine falschen Interpretationen bei der richtigen Funktion der Anlage hervorrufen und der Kreis 48 bildet tatsächlich einen Detektor für

309845/1079

"» 8 *■*

Störungen der Komparatoren. Wenn die Komparatoren nicht gleichzeitig ihre .Nicht-Konkordanzausgänge der Daten aktivieren, die ihnen zugeführt werden, sondern nur ein Komparator dies tut, bedeutet dies, daß eine interne Störung auftritt. In einem solchen Fall werden die Verknüpfungsglieder 27 und 77 gesperrt, wodurch die Komparatoren ohne Verursachung von Störungen abgeschaltet werden. Die Aktivierung des Ausgangs von 48 wird zweckmäßigerweise zu dem Operatorbedienungspult signalisiert, was zur Erläuterung der Abgang 100 zu diesem Steuerpult angibt. Wenn man jeden dieser Komparatoren mit einer internen Majoritätslogik ausbildet, ist es möglich, den Kreis 48 und die Verknüpfungsglieder 27 und 77 wegzulassen. Bei einer derartigen technologischen Ausführungsform mit Majoritätsstruktur kann man nur einen einzigen Komparator anstelle von zwei Komparatoren vorsehen. Die Anordnung von zwei Komparatoren hat vor allem den Zweck, interne Störungen zu beseitigen, die in einem einzigen Komparator auftreten könnten und die nur durch ungewollte und wiederholte Unterbrechungen der Arbeit der Anlage nachweisbar wären.

Wie erwähnt wurde, umfassen die am Ausgang 47 des Prozessors 1 und am Ausgang 97 des Prozessors 51 verfügbaren Daten nicht nur die Ergebnisse der Ausführung der Mikrobefehle, sondern auch alle Adressen, Operanden und Befehls- und Mikrobefehlscodes. Die Anordnung der Komparatoren sichert daher auch eine Überwachung der Arbeit der Prozessoren in einem zeitlich viel feineren Maßstab als die oben beschriebenen bekannten Überwachungseinrichtungen. Außerdem wird jede Störung oder jeder Fehler, die. bzw. der diesen überwachungseinrichtungen entgeht, durch eine Nicht-Konkordanzaktivierung der Daten übertragen, die auf die Komparatoren gegeben werden, und wird daher, was von Wichtigkeit ist, sofort erfaßt.

309845/1079

Wenn die beiden Komparatoren 8 und 58 über die Verknüpfungsglieder 27 und 77, die nun leiten, Nicht-Konkordanzsignale der zugeführten Daten, die von 47 und 97 ausgehen, abgeben, werden die beiden Eingänge 34 und 84 des Prozessors 1 bzw. 51 aktiviert und rufen in diesen Prozessoren eine Unterbrechung des Ablaufs des in der Durchführung befindlichen Mikroprogramms hervor. Zugleich werden die Verknüpfungsglieder 9 und 59 und die Komparatoren gesperrt, wie oben erwähnt wurde. Die beiden Prozessoren führen ein Verfahren durch, das mit einem Prüfmikroprogramm beginnt, und da dieses Programm für beide das gleiche'ist, ist es nicht notwendig, die Synchronisierung zu unterbrechen. Man kann in Betracht ziehen, daß die Unterbrechung des Ablaufs eines jeden Mikroprogramms automatisch eine Speicherung des Kontextes des unterbrochenen Mikroprogramms hervorruft, der. automatisch bei der Beseitigung der Unterbrechung wieder-hergestellt wird. Das Prüfmikroprogramm kontrolliert die Funktionseinrichtungen, die schnellen Register und die interne Speicherinterface eines jeden Prozessors. Einer jeden Operation entspricht zweckmäßigerweise ein zuvor bekanntes Ergebnis und jede Divergenz mit einem derartigen Ergebnis bewirkt, sobald sie festgestellt wird, die Aktivierung des Steuersperrausgangs 35 für den Prozessor 1 und 85 für den Prozessor 51, wodurch die Kippstufe 30 in den Zustand gebracht wird, in dem der andere Prozessor die Steuerung des Austauschs zu den externen Einrichtungen durchführen muß. Die Steuerungssperrung wird von einer Sperrung der Komparatoren und einer Entsynchronisierung der Zeitbasiseinrichtungen der Prozessoren begleitet.

Wenn einer der Prozessoren seinen Steuerungssperrausgang aktiviert hat, muß normalerweise der andere Prozessor seinen Steuerungsanforderungsausgang am Ende der Durchführung des Prüfmikroprogramms aktivieren und die Arbeit wird nun in diesem einzigen Prozessor wieder aufgenommen,

309845/1079

dessen Austauschverknüpfungsglieder zu den externen Einrichtungen nun geöffnet sind.

In dem zwar unwahrscheinlichen, dennoch jedoch möglichen Fall, in dem die beiden Prozessoren bis zum Ende ihres Prüfmikroprogramms gelangen und alle beide ihre Steuerungsanforderungsleitungen zum Austausch zu den externen Einrichtungen aktivieren, muß das Prüfmikroprogramm, das nur den Zustand der Funktionseinrichtungen der Prozessoren prüft, durch die Durchführung eines Prüfprogramms vervollständigt werden. Die Tatsache, daß die beiden Leitungen 36 und 86 zugleich aktiviert sind, wird durch eine Einrichtung 50, z.B. ein UND-Glied, geprüft, das jedoch nur aktiviert wird, wenn ein Prüfmikroprogramm in der Anlage abgerufen wird (z.B. wird dieser Kreis vom Ausgang einer Kippstufe geöffnet, die durch die gleichzeitige Aktivierung der Leitungen 34 und 84, oder einfacher 36 und 86 aktiviert und in den Ruhezustand zurückversetzt wird, wenn nur eine dieser Leitungen aktiviert wird). Der Ausgang dieser Einrichtung bewirkt in jedem der beiden Prozessoren, wenn er aktiviert wird, den Abruf eines Programms in einem externen Speicher. Wenn die Verknüpfungsglieder 9 und 59 gesperrt bleiben, kann jeder der Prozessoren über seine Eingangsleitung, 6 für den Prozessor 1 und 56 für den Prozessor 51, Daten erhalten. Die Sperrung der Verknüpfungsglieder kann nötigenfalls durch die Aktivierung des Ausgangs des Kreises 50 aufrecht erhalten werden. Die Sperrung der Verknüpfungsglieder 9 und 59 ist nicht unbedingt notwendig, wenn zugestanden wird, daß die Prozessoren während der Durchführung eines derartigen Prüfprogramms falsche Informationen abgeben können. Das Prüfprogramm prüft, ob die Befehle in den beiden Prozessoren richtig ausgeführt wurden. Nach der Durchführung wird die Wahrscheinlichkeit einer doppelten Austauschsteuerungsanforderung zu den externen Einrichtungen praktisch Null.

309845/1079

Selbst wenn dies dennoch der Fall wäre, würde die Arbeit mit Zuordnung des Austausches zu den externen Einrichtungen zu einem der Prozessoren wieder aufgenommen werden, sei es willkürlich, wie erwähnt wurde, durch Beaufschlagung der Kippstufe 30, sei es auch gewünschtenfalls durch Abruf eines Programms zur Wahl des Zustandes der Austauschsteuerung, basierend z.B. auf der "Vergangenheit" des Prozessors.

In allen Fällen bleiben die Komparatoren nach einer Unterbrechung einer Arbeit für die Weiterverfolgung dieser Arbeit gesperrt.

Sobald eine Störung festgestellt und dann in einem der Prozessoren beseitigt wurde, kann die Anlage wieder im normalen Arbeitszustand durch erneute Betätigung des reparierten Prozessors durch den anderen, z.B. durch Mikroprogramme betrieben werden, die die Daten des zweiten in dem ersten in den Arbeitsintervallen des zweiten copieren und dann eine erneute Synchronisierung der Zeitbasiseinrichtungen der beiden Prozessoren bewirken. Diese Mikroprogramme enden durch die Entsperrung der Komparatoren.

309845/1079

Claims

Patentansprüche

Anlage zur Verarbeitung von Daten mittels Prozessoren mit Mikroprogrammierung und Mehrfachkopplung externer Geräte, gekennzeichnet durch zwei getrennte Prozessoren mit gleicher Organisation und Programmierung und mit Mehrfachkopplung mit der gleichen Gruppe externer Einrichtungen, die synchron die gleiche Aufgabe ausführen, eine Gruppe Verknüpfungsglieder, die die zu den externen Einrichtungen zu übertragenden Daten erhält und eine Organisation zur wahlweisen Zulassung dieser Übertragung durch eine dieser Verknüpfungsgliedergruppen hat,eine Komparatoranordnung für zugleich an zwei gleichen Stellen der Prozessoren während der Ausführung von Mikrobefehlen auftretenden Daten, und Steuereinrichtungen zur Aktivierung des Nicht-Konkordanzausganges des Komparators, zur Sperrung der beiden Verknüpfungsgliedergruppen und des Komparators selbst und zur Einleitung eines Identifizierungsverfahrens in jedem Prozessor, der einer Störung oder einem Fehler unterliegt, das in jedem Prozessor mit dem Ablauf eines Mikroprogramms zur Prüfung seiner Funktionseinrichtungen beginnt.

»Anlage nach Anspruch 1, dadurch gekennzeichnet, dass diese.Koraparatoranordnung einen Komparator pro Prozessor, dessen Nicht-Konkordanzausgang mit einem Eingang zur Aktivierung des Identifizierungsverfahrens in diesen Prozessor verbunden ist, und eine Vergleichseinrichtung der Zustände der Nicht-Konkordanzausgänge der Komparatoren und zur Sperrung des Zugriffs zur Aktivierung des Betriebs der Kömparatoren bei Nichtübereinstimmung der Zustände dieser Ausgänge aufweist.

309845/1079

3. Anlage nach Anspruch 1, dadurch gekennzeichnet, daß die Einrichtung zur wahlweisen Zulassung der Übertragung von Daten zu den externen Einrichtungen einen Speicher mit zwei Zuständen aufweist, dessen Ausgänge jeweils die Zustände der beiden Verknüpfungsgliedergruppen steuern, und daß jeder Prozessor einen Ausgang zur Anforderung der Steuerung dieser Übertragung und einen Ausgang zur Sperrung der Steuerung dieser Übertragung hat, die jeweils mit den Eingängen zur Steuerung des Zustands dieses Speichers verbunden sind, wobei diese Verbindungen von dem einen zum anderen Prozessor umgekehrt sind.

4. Anlage nach Anspruch 3, dadurch gekennzeichnet, daß jeder Prozessor mit Einrichtungen zum Erfassen von internen Störungen und einer bei Betätigung einer ist,um dieser Einrichtungen auslösbaren Anordnung versehen die Komparator anordnung und die Verknüpfungsgliedergruppe, die diesem Prozessor zugeordnet ist, zu sperren, ein Umsteuerprogramm in diesem Prozessor durchzuführen, die Synchronisierung der Prozessoren zu beseitigen und diesem Speicher ein Steuersignal zuzuführen, um die Steuerung der Übertragung von Daten zu den externen Einrichtungen auf den anderen Prozessor zu übertragen.

5. Anlage nach Anspruch 4, dadurch gekennzeichnet, daß jeder Prozessor mit einer getrennten Versorgungseinrichtung und einer getrennten Taktgeberzeitbasiseinrichtung ausgestattet ist, und daß die Einrichtungen zur Erfassung von Störungen außerdem diesen Versorgungs- und Zeitbasiseinrichtungen zugeordnete Organe aufweisen.

309845/1079

6. Anlage nach Anspruch 3, dadurch gekennzeichnet, daß die Aktivierung eines Ausgangs zum Sperren der Steuerung durch einen der Prozessoren zugleich die Entsynchronisierung der Prozessoren und die Sperrung der KomparatoraJiordnung steuert.

7. Anlage nach Anspruch 1 und 3, dadurch gekennzeichnet, daß das Identifizierungsverfahren normalerweise zur Aktivierung des Steuerungssperrausgangs eines der Prozessoren führt, und daß die Anlage eine ergänzende Einrichtung aufweist, die durch einen Aktiv!erungszustand der Ausgänge zur Anforderung der Steuerung durch die Prozessoren nach Durchführung dieses Prüfmikroprogramms aktiviert wird, um nun ein Programm zur Kontrolle der richtigen Durchführung von Befehlen durch die Mikroprogrammierung der Prozessoren abzurufen.

8. Anlage nach Anspruch 3, dadurch gekennzeichnet, daß die Ausgänge zur Anforderung der übertragungssteuerung von Daten zu den externen Einrichtungen normalerweise beide am Beginn einer Aufgabe aktiviert werden und am Ende des Identifizierungsverfahrens eines gestörten oder fehlerhaften Prozessors aktiviert werden können, und daß Einrichtungen vorgesehen sind, um die Steuerung einem der Prozessoren zuzuordnen und den anderen zu sperren.

309845/1079