DE2407241A1

DE2407241A1 - Verfahren und anordnung zur erhoehung der verfuegbarkeit eines digitalrechners

Info

Publication number: DE2407241A1
Application number: DE19742407241
Authority: DE
Inventors: Arnold Dipl Ing Blum; Fritz Dipl Ing Irro; Guenther Dipl Ing Sonntag
Original assignee: IBM Deutschland GmbH
Current assignee: IBM Deutschland GmbH
Priority date: 1974-02-15
Filing date: 1974-02-15
Publication date: 1975-08-21
Also published as: GB1466488A; JPS546467B2; JPS50116154A; IT1027872B; US3959638A

Description

Böblingen, den 7. Februar 1974 jo/se-sn

Anmelderin: IBM Deutschland GmbH

Pascalstr. 100 7000 Stuttgart 80

Amtliches Aktenzeichen: Neuanmeldung Aktenzeichen der Anmelderin: GE 973 021

Verfahren und Anordnung zur Erhöhung der Verfügbarkeit eines Digitalrechners

Die Erfindung betrifft ein Verfahren und eine Anordnung zur Erhöhung der Verfügbarkeit einer modular aufgebauten Digitalrechenanlage nach dem Oberbegriff des Anspruchs 1.

Zur Sicherung zuverlässiger Resultate besitzen elektronische Datenverarbeitungsanlagen ausnahmslos Fehlerprüfschaltungen zur überwachung der in ihnen durchgeführten arithmetischen und logischen Operationen. Zu den bekanntesten Einrichtungen zählen hierbei die Paritätsprüfschaltungen, die davon ausgehen, daß sie auf der Basis einer festen Datenlänge ein zusätzliches Bit, das sogenannte Paritätsbit, erzeugen, das die Anzahl der Bits innerhalb dieser festen Datenlänge zu einer geraden oder ungeraden Zahl macht. Dieses Paritätsbit wird im allgemeinen am Ende von übertragungsabschnitten von Paritätsprüfschaltungen geprüft ob es sich verändert hat.

Verarbeitungsschritte, die die Ursprungsinformation verändern, erfordern eine Neuerzeugung des .Paritätsbits, das nun diese Information weiterhin begleitet. Wenn bei der überprüfung des Paritätsbits Abweichungen festzustellen sind, dann handelt es sich in aller Regel um einen Fehler, der, je nach Gewicht, zu einem Maschinenstop führen kann.

509834/04*4

Derartige Maschinenstops verringern die Verfügbarkeit einer Digitalrechenanlage, so daß sie für die Durchführung von Arbeiten in Realzeitbetrieb nicht besonders geeignet ist.

Nun sind keineswegs alle festgestellten Fehler in einem Digitalrechner auf defekte Schaltkreise zurückzuführen, wobei es sich im Falle defekter Schaltkreise um permanente Fehler handeln würde, sondern sie werden vielmehr auch durch andere Ursachen, wie beispielsweise Entladung hoher statischer Spannungen verursacht, die zu fehlerhaften Impulsen auf den Übertragungsleitungen führen können, so daß beispielsweise eine Leitung, die zum Zeitpunkt des Auftretens eines solchen Impulses eine binäre Null in Form eines Signales mit niedrigem Pegel führen sollte, nun aufgrund des Impulses ein Signal mit hohem Pegel führt, was analog der binären Eins entsprechen würde. Der nachfolgende Paritätsprüfkreis würde also für die zu diesem Zeitpunkt übertragene Information einen Fehler feststellen. Bei einer Operationswiederholung, die bei bekannten Datenverarbeitungssystemen (vgl. Deutsche Offenlegungsschrl,ften 1 901 036 und 1 901 297) in einem solchen Falle verordnet wird, tritt dann der Fehler, ggf. nach weiteren Wiederholungen, nicht mehr auf. Der Digitalrechner ist also im Falle intermittierender Fehler Im allgemeinen in der Lage, doch noch ein richtiges Resultat zu errechnen, so daß seine Verfügbarkeit im Grunde genommen durch solche Fehler nicht beeinträchtigt wird.

Liegen in einer elektronischen Digitalrechenanlage sogenannte permanente Fehler vor, d. h.. Fehler die durch schadhafte Schaltkreise oder Bauelemente verursacht werden, dann kann durch die Wiederholung einer fehlerhaften Funktion oder Operation das richtige Resultat nicht mehr errechnet werden; es muß also ein Maschinenstop vorgenommen werden. Das System bleibt dann so lange still gesetzt, bis ein Austausch der schadhaften Systemkomponenten vorgenommen wurde.

Es ergibt sich also hierbei der Nachteil, daß wertvolle Maschinen Zeit verlorengeht, was insbesondere bei der Durchführung dringlicher Arbeiten störend ist. Die Verfügbarkeit der Anlage

609834/0484 .

GE 973 021

.3 - 2^07241

wird also durch permanente Fehler stark beeinträchtigt.

Da es Anwendungsfälle für elektronische Datenverarbeitungsanlagen gibt, in denen eine Unterbrechung in keinem Fall auftreten darf, ist auch schon vorgeschlagen worden, ein Datenverarbeitungssystem vorzusehen, das aus zwei synchronisierten Datenverarbeitungseinheiten besteht, die gleiche Arbeitsfunktionen mit den Eingangsdaten durchführen, wobei jede Verarbeitungseinheit eine Vielzahl von Datenquellen enthält, die einer Vielzahl von Datenquellen in einer anderen Verarbeitungseinheit entsprechen (vgl. Deutsche Auslegeschrift 1 280 593) . Die beiden genannten Datenverarbeitungseinheiten dieses Systems sind hierbei so geschaltet, daß sie sich gegenseitig selbst kontrollieren und im Fehlerfalle die fehlerhaft arbeitende Datenverarbeitungseinheit vom System abschalten.

Dieses System gestattet bei der hohen Zuverlässigkeit heutiger Datenverarbeitungsanlagen einen weitgehend unterbrechungsfreien Betrieb. Von der Kostenbetrachtung her ist aber ein solches Datenverarbeitungssystem sehr unwirtschaftlich, da es für die Ausführung der Aufgaben etwa den doppelten Aufwand benötigt.

Es wurde aus diesem Grunde auch schon vorgeschlagen (vgl. Deutsche Offenlegungsschrift 2 048 473) ein Hauptverarbeitungssystem und ein Fehlerverarbeitungssystem über ein Sammelleitungsnetz miteinander zu verbinden, wobei das Fehlerverarbeitungssystem die Prüfschaltungen des Hauptverarbeitungssystems mittels einer Aufrufanordnung überwacht und im Fehlerfalle die entsprechende Prüfschaltung idendifiziert und die Ursprungsdaten aus den an der fehlerhaften Operation beteiligten Registern und Funktionseinheiten übernimmt, speichert und dann die fehlerhafte Funktion im eigenen Verarbeitungswerk selbst errechnet und über ein selektionsfähiges übertragungssystem in ein der auszuführenden Funktion entsprechendes Resultatregister des Hauptverarbeitungssystems überttägt und dieses schließlich durch Einstellung eines Schalters für die Ausführung der nächsten Funktionen startet.

GE 973 021

609834/0464

2A07241

Dieses System ist zwar von der Kostenseite her insgesamt günstiger als das zuvor erläuterte, es stellt aber noch immer nicht eine optimale Lösung hinsichtlich der Kosten und des Zeitaufwandes dar, denn immerhin müssen für jede Funktion und Operation Datenübertragungen von dem Hauptverarbeitungssystem in das Fehlerverarbeitungssystem und wieder zurück vorgenommen werden.

Die Aufgabe der vorliegenden Erfindung besteht deshalb darin, ein Verfahren und eine Anordnung anzugeben, mit denen eine hohe Verfügbarkeit elektronischer Rechenanlagen bei minimalen Kosten und Zeitverlusten erreicht wird.

Gelöst wird diese Aufgabe durch die in den Patentansprüchen angegebenen Merkmale.

Die Erfindung bezieht ihre Vorteile bezüglich des Kostenaufwandes daher, daß die Steuereinheit, die eine Umschaltung des Steuerspeichers eines defekten Prozessors auf einen intakten Prozessor vornimmt, für viele Prozessoren verwendet werden kann, d. h., daß sie viele Prozessoren für eine Steuerspeicherumschaltung bedienen kann. Dadurch erhöht sich die Zuverlässigkeit und die Kosten verringern sich mit der Zahl der angeschlossenen Prozessoren.

Der Geschwindigkeitsverlust, der in jedem Falle durch solche Umschal tvorgänge eintreten, kann aber dadurch gering gehalten werden, daß UmIadungsvorgänge zwischen den beteiligten Steuerspeichern vermieden werden. Außerdem kann der Geschwindigkeitsverlust weiter dadurch verringert werden, daß die ZyklusZuteilung dynamisch den momentanen Verhältnissen angepaßt werden kann, die durch Leistungsmesser ermittelt werden können, wobei es für die Erfindung ohne Belang ist, ob diese Leistungsmesser schaltkreisorientierte oder programmorientierte Einheiten sind.

Im folgenden wird die Erfindung anhand eines durch Zeichnungen erläuterten Ausführungsbeispieles beschrieben.

GE 973 021

609834/0464

-s- 2A07241

Es zeigen:

Fig. 1 das Blockschaltbild eines Schaltkreisausschnittes einer elektronischen Digitalrechenanlage, in der die Umschalteinrichtung nach der Erfindung verwendet wird,

Fig. 2 ein ausführliches Blockschaltbild der an der

Umschaltung beteiligten Register, Übertragungswege und Schalter,

Fig. 3 ein Impulsdiagramm zur Erläuterung des Betriebs

der Schalter und der den Schaltern zugeordneten Steuereinrichtung und

Fig. 4 ein ausführlicheres Blockschaltbild der Steuereinheit für die Umschaltung.

Wie an früherer Stelle bereits erwähnt wurde, zählt es zu den Aufgaben .der Erfindung, die Verfügbarkeit einer elektronischen Datenverarbeitungsanlage im Fehlerfall eines Teiles des Systems zu verbessern.

Modular aufgebaute elektronische Datenverarbeitungsanlagen können aus mehreren Prozessoren (Verarbeitungseinheiten PUi) bestehen, die untereinander eine im wesentlichen gleiche Schaltkreisstruktur, jedoch unterschiedlichen Aufgaben angepaßte Steuerprogramme besitzen. Fig. 1 zeigt einen Teil einer solchen elektronischen Datenverarbeitungsanlage, die beispielsweise auf einem Wafer 20 in integrierter Technik hoher Dichte aufgebrachte Prozessoren (PUl) 21 und (PU2) 21a enthält. Jedem Prozessor ist ein eigener Steuerspeicher (CSl) 1 und (CS2) la zugeordnet, der das jeweilige Steuerprogramm des Prozessors enthält. Die unterschiedlichen Steuerprogramme, die in den Steuerspeichern 1 und la gespeichert sind, befähigen jeden Prozessor zur Durchführung eigener Aufgaben, die zur Gesamtaufgabenlösung der elektronischen Datenverar-

GE 973 021

_₆_ 2^07241

beitungsanlage beitragen.

Wie Fig. 1 weiter zeigt, sind jedem Steuerspeieher 1 bzw. la eigene Adressierungsschaltungen zugeordnet. Diese sind die Adressenregister (AD-REG) 3 bzw. 3a sowie die Adressenspeicher (AS) 14 bzw. 14a, die über das D-Register 13 bzw. 13a, das insbesondere mit der arithmetischen und logischen Einheit (ALU) 12 bzw.

Ξΐηφ 12a Akkumulator-Funktionen wahrnimmt, verbundene Der Verkehr mit den Steuerspeichern 1 bzw. la wird von dem Operationsregister (OP-REG) 9 bzw. 9a wahrgenommen, das auch die Funktion eines Datenregisters wahrnehmen kann, wenn in dem Steuerspeicher nicht nur Befehlsinformation, sondern auch Daten, wie Konstanten, Operanden und dergleichen gespeichert sind. Der jeweilige Ausgang des Operationsregisters 9 bzw. 9a führt zu den Eingängen der A- und B-Register (A-, B-REG) 10, 11 bzw. 10a, lla. In diesen beiden Registern können die in der arithmetischen und logischen Einheit (ALU) 12 bzw. 12a zu verknüpfenden Werte (Operanden, Adressen, Indexwerte) temporär gespeichert werden. Die Ergebniswerte der Verknüpfung werden dann über ein weiteres Register (D-REG) 13 bzw. 13a bereitgestellt. Im Falle der Verknüpfung von Adressenwerten werden diese vom Register 13 bzw. 13a in einem Adressenspeicher (AS) 14 bzw. 14a zwischengespeichert. Von dort werden sie den Adressierungssehaitungeη 3 bzw. 3a für die Durchführung von Speicherzugriffen zur Verfügung gestellt.

Soweit die Ergebniswerte keine Adressen sondern im wesentlichen Steuerdaten sind, werden sie zu in den Prozessor 21 bzw. 21a an verschiedenen verteilten Stellen befindlichen Schaltkreisen für die Steuerung der verschiedenen Funktionen übertragen, wobei diese Schaltkreise in der Figur symbolisch durch die Anordnung (DISTR-LOG) 15 bzw. 15a und 17 bzw. 17a dargestellt sind.

Ohne die Zusatzeinrichtung, die neben dem Betriebsverfahren die Erfindung beinhaltet, ist jeder Speicher 1 bzw. la mit seinem Prozessor 21 bzw. 21a über eine Speieherdatensammelleitung 25 bzw. 25a und mit einer Adressensammelleitung 5 bzw. 5a verbun-

ge 973 021 6 0 98 3 4/0464

2Α072Λ1

den. über die Speicherdatensammelleitung 25 bzw. 25a werden Instruktionen und Daten aus dem Speicher 1 ausgelesen und ggf. auch wieder in diesen eingeschrieben.

Im folgenden werden die Verhältnisse, soweit sie den internen Ablauf eines Prozessors betreffen, zur Vereinfachung der Beschreibung anhand des Prozessors 21 erläutert. Für den Prozessor 21a ergeben sich analoge Verhältnisse.

Die Adressierung der Speicherplätze, aus denen Informationen ausgelesen oder in die Information eingeschrieben werden soll, erfolgt über die Adressensammelleitung 5, die das Adressenregister 3 mit dem Speicher 1 verbindet.

Der prinzipielle Aufbau eines Prozessors und seines zugehörigen Speichers 1 kann beliebig sein. Für die folgende Beschreibung der Erfindung ergeben sich relativ einfache Verhältnisse dann, wenn alle Prozessoren 21, 21a, 21b ... 21c (21b ... 21c nicht dargestellt) einen im wesentlichen gleichen Aufbau besitzen.

Es wurde eingangs bereits ausgeführt, daß die hohe Verfügbarkeit eines elektronischen Digitalrechners bei dem Entwurf seiner Architektur ein wichtiges Kriterium ist. Eine Verbesserung der Verfügbarkeit wird bei der in Fig. 1 ausschnittsweise gezeigten Datenverarbeitungsanlage dadurch erreicht, daß die Sammelleitungen für den Speicherverkehr, nämlich die Adressensammelleitung 5 und die Speicherdatensammelleitung 25 jeweils um eine Sammelleitung des gleichen Typs erweitert wurden, wobei die zusätzliche Sammelleitung zu der entsprechenden Funktionseinheit des jeweils anderen Prozessors führt. So führt beispielsweise die Adressensammelleitung 5 von dem Adressenregister 3 des Prozessors 21 über einen Schalter 23 zu dem eigenen Steuerspeicher 1 und die Adresensammelleitung 6 vom Adressenregister 3 des Prozessors 21 zu dem Steuerspeicher la des Prozessors 21a über den Schalter 24. In analoger Weise führt die Adressensammelleitung 5a des Prozessors 21a von ihrem Adressenregister 3a zu

^GE973021 609834/0464

ihrem Steuerspeicher la. Die Adressenleitung 6a überträgt dagegen die im Adressenregister 3a befindliche Adresseninformation des Prozessors 21a zum Steuerspeicher 1 des anderen Prozessors 21. Die Auswahl der Übertragungswege für die Adresseninformation wird also mit den Schaltern 23, 23a, 24 und 24a vorgenommen, die von einer Steuereinheit (CU) 16 über die Steuerleitungen c, d, e und f betätigt werden.

In analoger Weise sind auch die Speicherdaten-Sammelleitungen 25 und 25a um jeweils eine weitere Sammelleitung erweitert. So wird beispielsweise über den Schalter 7 die Information des ausgelesenen Steuerspeichers 1 des Prozessors 21 in das Operationsregister 9, das auch die Funktion des Speicherdatenregisters wahrnehmen kann, übertragen, über den Schalter 7a wird dagegen diese Information in das Operationsregister 9a des anderen Prozessors 21a übertragen, über die Schalter 8 und 8a kann die über die Speicherdatensammelleitung 25a aus dem Speicher la ausgelesene Information sowohl zu dem Operationsregister 9a des eigenen Prozessors 21a, als auch zu dem Operationsregister 9 des anderen Prozessors 21 übertragen werden. Die Schalter 7, 8, 7a und 8a werden von der Steuereinheit 16 über die Steuerleitungen a, b, g und h betätigt.

Auf diese Weise kann erreicht werden, daß beispielsweise bei einem Komponentenfehler, der nicht mehr durch Diagnose- und Korrekturroutinen behoben werden kann, der fehlerhafte Prozessor, beispielsweise 21a, vom übrigen System isoliert werden kann, wobei aber sein Steuerspeicher la an einen intakten Prozessor, beispielsweise 21/ angeschlossen werden kann, der dann die Aufgaben des isolierten Prozessors mitübernimmt. Hierbei wird zwangsläufig die Verarbeitungsgeschwindigkeit des Systems geringfügig verringert, da der Prozessor 21, während der Zeit, in der er Aufgaben des Prozessors 21a übernimmt, die eigenen Aufgaben ruhen bzw. warten lassen muß.

In der einfachsten Weise der Aufgabenverteilung zwischen den bei-GE 973 021

5Ö9834/Ö464

den Prozessoren 21 und 21a wird dem intakten Prozessor für die Verarbeitung der eigenen Aufgaben genau so viel Zeit zur Verfügung gestellt, wie für die Verarbeitung der Aufgaben des fehlerhaften Prozessors. Bei dieser Verfahrensweise ist der Geschwindigkeitsverlust größer, als wenn die Steuereinheit 16, die mit den entsprechenden logischen Schaltkreisen beider Prozessoren verbunden ist, die jeweiligen Belastungsverhältnisse, die durch das Programm und die jeweilige Schaltkreisstruktur eines Prozessors bestimmt sind, feststellt und abhängig von den festgestellten Werten dynamisch dem Prozessor mehr Verarbeitungszyklen zur Verfügung stellt, der den höheren momentanen Leistungsbedarf besitzt.

Eine weitere Verbesserung der Arbeitsgeschwindigkeit im Störungsfalle kann dadurch erreicht werden, daß beispielsweise mit Hilfe von Diagnoseroutinen die fehlerhaften Funktionen eines Prozessors ermittelt werden, deren Fehler auf nicht heilbaren Komponentendefekten beruhen und nur diese Funktionen von dem intakten Prozessor für eine Ausführung übernommen werden. Die Steuereinheit 16 ist zu diesem Zwecke über die Sammelleitung 26 mit der (nicht dargestellten) Diagnoseeinrichtung der Datenverarbeitungsanlage verbunden.

Diese Diagnoseeinrichtung kann einen bekannten Aufbau besitzen, der sie befähigt, fehlerhafte Funktionen der einzelnen Prozessoren festzustellen. Sie überträgt dann lediglich die Kennzeichnung einer fehlerhaften Funktion und die Kennzeichnung des fehlerhaften Prozessors zu der Steuereinheit 16. Diese nimmt dann die gezielten Umschaltungen der Datenübertragungswege in den vorstehend erwähnten Sammelleitungen vor.

Auf diese Weise ergibt sich eine geringere Anzahl von Umschaltungen, die stets mit Datenübertragungen verbunden sind, so daß sich insgesamt eine günstigere Verarbeitungsgeschwindigkeit ergibt. Im folgenden wird nun anhand der Fign. 2 und 3 erläutert, wie eine solche Umsteuerung im Fehlerfalle eines Prozessors im einzelnen vor sich geht. In Fig. 2 ist derjenige Teil der elek-

GE 973 021 609834/0464

tronischen Datenverarbeitungsanlage, die in Fig. 1 dargestellt ist, ausführlicher gezeigt, der im wesentlichen die Übertragungswege von den Speichern der einzelnen Prozessoren zu deren an diesem Obertragungsverkehr beteiligten Registern zeigt. Die Eingabe von Information in beispielsweise den Speicher 201 des Prozessors (PUl) 221 erfolgt über seine Dateneingangsleitung DIL 1. Mit Hilfe der Schalter 225 und 226 sowie des ODER-Tores 223 wird entweder die im Dateneingangsregister (DI-REG) 227 des eigenen Prozessors 221 bereitgestellte Information oder die in dem Dateneingangsregister 227a zur Verfügung gestellte Information des Prozessors 221a auf diese Dateneingangsleitung DIL 1 übertragen.

Die Eingabe von Information in den Speicher 201a des Prozessors 221a erfolgt über die Schalter 225a und 226a sowie über das ODER-Tor 233a. Diese Schalter treffen in analoger Weise die Auswahl, ob die in dem eigenen Dateneingangsregister 227a oder die in dem Dateneingangsregister 227 des anderen Prozessors 221 bereitgestellte Information in den Speicher eingegeben werden soll. Die Ausgabe von Informationen erfolgt aus den Speichern über die Datenausgangsleitungen DOL 1 bzw. DOL 2, die ebenfalls als Sammelleitungen ausgebildet sind.

Die Ausgabeinformation der Speicher wird über die Datenausgangsleitung DOL 1 bzw. DOL 2 über die Schalter 207, 208, 207a 208a sowie über die ODER-Tore 232 bzw. 232a zu den gewünschte Registern 209 bzw. 209a übertragen. Diese Register sind, im Falle der Fig. 2 das kombinierte Operations-/Datenausgaberegister (OP-/DO-REG) der beiden Prozessoren 221 bzw. 221a. Der Speicherzugriff, d. h., die Speicheradressierung erfolgt über die Adressensammelleitungen AL 1 bzw. AL 2, über welche die Adressen aus den Adressenregistern (AD-REG) 203 bzw. 203a übertragen werden. Die Richtung der Adressenübertragung d. h., die Übertragung der Adressen aus dem eigenen Adressenregister zu dem eigenen Speicher eines Prozessors oder zu dem Speicher des fremden, im vorliegenden Falle fehlerhaften Prozessors, erfolgt über die Schalter 223 bzw. 223a, 224 bzw. 224a sowie die ODER-Tore 234 bzw. 234a. Gesteuert werden

GE 973 O21

609834/0464

2A07241

diese Schalter, wie bereits im Zusammenhang mit der Fig. 1 erläutert wurde von der Steuereinheit (CU) 216/ die mit den Logikschaltungen 217 bzw. 217a der beiden Prozessoren (PUl) 221 und (PU2) 221a, die symbolisch auf der linken bzw. auf der rechten Seite der Fig. 2 dargestellt sind.

Fig. 2 zeigt ferner die Steuereinheit 216, die über ihre Leitungen 219 bzw. 219a mit den Logikkreisen (LOG) 217 bzw. 217a der Prozessoren 221 bzw. 221a verbunden ist. Die Steuerleitung 219 besteht aus den Leitungsgruppen 238, 239 und 240. Die Steuerleitungen 219a besitzen einen analogen Aufbau, über die Leitungen 238 fühlt die Steuereinrichtung 218 über die Logikschaltungen 217 die jeweiligen Prüfschaltungen eines Prozessors ab. Diese Prüfschaltungen geben immer dann ein Fehlersignal ab, wenn die von ihnen überwachten Anlagenelemente mit Fehler behaftete Informationen führen. Im Zusammenhang mit der übrigen Information, wie beispielsweise durch eine Fehlerdiagnoseeinrichtung gewonnen werden kann, wird dann festgestellt, ob der betreffende Prozessor ganz oder teilweise nur für die Durchführung bestimmter Funktionen abgeschaltet werden soll. Wenn die Steuereinheit 216 entscheidet, daß ein Prozessor gestoppt werden soll, erzeugt sie ein entsprechendes Steuersignal auf der Leitung 240. Die Aktivierung der Umschaltung eines Prozessors wird über ein Signal auf der Leitung 239 und über die Logikschaltung 217 des Prozessors 221 wirksam gemacht.

Im folgenden wird die Durchführung der Abschaltung eines fehlerhaften Prozessors und die Umschaltung seines Steuerspeichers auf den intakten Prozessor im Zusammenhang mit dem Zeitdiagramm der Fig. 3 erläutert.

Beschrieben wird der Fall, daß der Normalbetrieb, in dem der Prozessor 221 mit dem Steuerspeicher 201 und der Prozessor 221a mit dem Prozessor 201a zusammenarbeitet, durch einen Maschinenfehler des Prozessor 221 beendet wird. Der weiterhin aktive Prozessor 221a wird nun in wenigen 100 Nanosekunden die Aufgaben des Prozessors 221 übernehmen, indem die Steuereinheit 216 GE 973 021

509834/0464

die entsprechenden Signale zu den Prozessoren aussendet.

In Fig. 3 sind die Maschinenzyklen durch vertikale Linien angedeutet, wobei die Zeile A die Nummer des jeweiligen Maschinenzyklus angibt. Es sei der Einfachheit wegen angenommen, daß beide Prozessoren synchron arbeiten. Beide Prozessoren können aber auch asynchron arbeiten, wobei dann lediglich einige zusätzliche Synchronisationszeiten verlorengehen, wenn im Fehlerfalle ein Prozessor auf zwei Steuerspeicher geschaltet werden muß.

Es sei angenommen, daß der Prozessor 221 zu irgend einem Zeitpunkt im Maschinenzyklus O ein Fehlersignal CHKl zu der Steuereinheit 216 aussendet, was in Fig. 3 in der Zeile B dargestellt ist. Die Steuereinheit 216 antwortet unmittelbar mit dem Stopsignal STOP PUl, dargestellt in Zeile C in Fig. 3, das über die Leitung 240 zu den Logikkreisen 217 des Prozessors (PUl) 221 übertragen wird. Dieser Prozessor beendet sofort die Ausführung seiner Aufgaben und bleibt am Ende des Maschinenzyklus 0 stehen (vgl. Zeile D in Fig. 3). Durch die Beschriftung des Signalzuges ist mnemonisch angedeutet, daß die Bearbeitung des im Steuerspeicher CSl befindlichen Programms durch den Prozessor PUl gestoppt wird.

Danach folgen etwa zwei Maschinenzyklen, in denen Statusinformation des gestörten Prozessors 221 in einen festen Bereich 230 seines Steuerspeiehers 201 übertragen wird. Bei dieser Statusinformation handelt es sich um Programmadressen, Bedingungscodes, Unterbrechungs- bzw. Prüfinformation und dergleichen. Wie Fig. 3 in Zeile E zeigt, erfolgt die Übertragung der Statusinformation in den reservierten Bereich 230 des Steuerspeichers 201 während der Maschinenzyklen 1 und 2.

Irgendwann im Maschinenzyklus 2 reagiert die Steuereinheit 216 auf den Empfang des Fehlersignals CHK 1 mit der Erzeugung des Umschalt-Aktivierungssignals SW2, das in Fig. 3 in Zeile F dargestellt ist. Dieses Signal wird über die Leitung 239a zu den

^GE973021 509834/0464

Logikschaltkreisen 217a des intakten Prozessors 221a übertragen. Dieses ist für den intakten Prozessor die Aufforderung, die Durchführung seiner eigenen Aufgaben zu beenden.

Das Signal SW2 sowie die Steuersignale für die Betätigung der Schalter SW, die die eigentliche kombinatorische Umschaltlogik der Datenverarbeitungsanlage darstellen und über die Steuerleitungen ab, cd, ef, gh, i und k übertragen werden, werden entweder in der Steuereinheit 216 von dem Mikroprogramm dieser Steuereinheit oder direkt durch Steuerschaltkreise dieser Einheit erzeugt.

Wie Fig. 3 in der Zeile H zeigt, wird während der Maschinenzyklen 3 und 4 die Statusinformation des intakten Prozessors (PU2) 221a durch eine übertragung in den festen Speicherbereich 23Oa (Fig. 2) des eigenen Steuerspeichers 201a, gerettet.

Daran an schließt sich während der Maschinenzyklen 5 und 6, wie in Zeile I der Fig. 3 dargestellt ist, die übertragung der Statusinformation des defekten Prozessors aus seinem festen Speicherbereich 230 zu dem intakten Prozessor 1. Die Statusinformation des defekten Prozessors wird also in den intakten Prozessor geladen.

Das Retten der Statusinformation des einen Prozessors und das übertragen der Statusinformation des anderen Prozessors, zweier Vorgänge also, die sich während der Maschinenzyklen 3 bis 6 einschließlich und auch 32 und 35 einschließlich abspielen, sind in Fig. 3 in Zeile N als Umschaltzeit SWT dargestellt. Diese Umschaltzeit wird immer dann benötigt, wenn ein Prozessor von dem einen auf den anderen Steuerspeicher umgeschaltet wird.

Vom Beginn des Maschinenzyklus 7 an übernimmt dann der intakte Prozessor, wie in Fig. 3 in Zeile K dargestellt ist die Bearbeitung der Aufgaben des defekten Prozessors. Im vorliegenden Beispiel verarbeitet der intakte Prozessor die fremden Aufgaben bis

GE 973 021 ,. _{A A A Λ} , , , ~ ,

509834/0464

zum Beginn des Maschinenzyklus 32.

Fig. 3 zeigt in den Zeilen P und S, daß mit Beginn des Maschinenzyklus 5 das Schalterbetätigungssignal auf den Leitungen cd und gh aktiviert wird. Das Schalterbetätigungssignal cd öffnet den Schalter 224, so daß die im Adressenregister 203a gespeicherte Adresseninformation zur Durchführung eines Speicherzugriffs zu dem Stuerspeicher 201 des defekten Prozessors übertragen wird. Auf diese Weise kann die Statusinformation des defekten Prozessors aus dem festen Speicherbereich 230 ausgelesen und in den intakten Prozessor im gewählten Beispiel in den Prozessor 221a geladen werden. Dieses setzt allerdings voraus, daß die Logikschaltung 217a in dem intakten Prozessor Vorkehrungen dafür trifft, daß die Anfangsadresse des festen Bereichs 230 im Steuerspeicher des defekten Prozessors in das Adressenregister 203a des intakten Prozessors geladen wird. Hierzu sind mehrere Lösungen denkbar, eine davon ist beispielsweise, daß das auf 0 gelöschte Adressenregister 203 mit diesem Nullwert die erste Speicherstelle des festen Bereichs ansteuert. Durch automatische Erhöhung des Adressenwertes nach jedem Zugriff kann auf diese Weise der gesamte feste Speicherbereich ausgelesen werden.

Das Schalterbetätigungssignal auf der Leitung gh, das ebenfalls zu Beginn des Maschinenzyklus 5 synchron mit dem Schalterbetätigungssignal auf der Leitung cd auf seinen oberen Pegelwert springt, öffnet den Schalter 207a, so daß die aus dem Speicher 201 ausgelesene Information über die Datenausgangssammelleitung DOL 1 in das kombinierte Operations-/Datenausgangsregister 209a des intakten Prozessors 221a übertragen werden kann. Auf diese Weise wird zunächst die Statusinformation des defekten Prozessors von dem Intakten übernommen, so daß dieser die Aufgaben des intakten Prozessors an der unterbrochenen Stelle aufnehmen kann. Hierzu ist der intakte Prozessor mit dem Beginn des Maschinenzyklus in der Lage.

In Zeile R der Fig. 3 ist im Maschinenzyklus 8 angedeutet, daß ge 973 021 509834/0464

2A07241

der intakte Prozessor auch Daten in den Steuerspeicher des defekten Prozessors übertragen kann. Diese übertragung wird durch ein Schalterbetätigungssignal auf der Leitung i ermöglicht, das den Schalter 226 öffnet. Dadurch kann eine im Dateneingangsregister 227a befindliche Information über den erwähnten Schalter und die Dateneingangsleitung DIL 1 in den Steuerspeicher 201 des defekten Prozessors eingegeben werden.

Dieses waren also die für eine Datenverarbeitung wesentlichen Übertragungswege zwischen dem Steuerspeicher des defekten Prozessors und den entsprechenden Registern des intakten Prozessors.

Die in Fig. 3 in den Zeilen 0 und T dargestellten Schalterbetätigungssignale ef und ab nehmen bei dem der Erläuterung zugrundegelegten Beispiel ihren unteren Pegelwert ein, so daß sie die entsprechenden, mit einem Inverter versehenen Schalter betätigen. In Fig. 2 sind die beiden Typen von Schaltern 207 und 208 näher bezeichnet. Der Schalter 207 besteht aus einem UND-Tor 236, das zwei Eingänge besitzt. Der eine Eingang ist direkt mit der Datenausgangsleitung DOL 1 des Steuerspeichers 201 verbunden, der andere Eingang ist über den Inverter (I) 237 mit der Schalterbetätigungsleitung ab verbunden. Der Schalter 208 dagegen besteht dagegen nur aus einem UND-Tor 235, dessen einer Eingang mit der Datenausgangsleitung DOL 2 des Steuerspeichers 201a und dessen anderer Eingang mit der Steuerleitung ab verbunden ist. Die Ausgänge der genannten UND-Tore 235 und 236 werden über ein ODER-Tor 232 zusammengefaßt, dessen Ausgang direkt mit dem Eingang des kombinierten Operations-/Datenausgangsregister 209 verbunden ist.

Die Schater 207a und 208a besitzen, ebenso wie die übrigen Schalter 223, 223a, 224, 224a, 225, 225a, 226 und 226a einen analogen Aufbau. Auch hier sind die Ausgänge der entsprechenden UND-Tore über ODER-Tore 232a, 234, 234a, 233 und 233a zusammengefaßt, deren Ausgänge mit den entsprechenden Eingängen der Register und Speicher verbunden sind.

GE 973 021

509834/0484

— ± O —

Die Zeitsteuerung des Informationsaustauschs in den verschiedenen Registern erfolgt über Zeittaktsignale, die über die Zeittaktleitungen CLKL zu den Registern übertragen werden. Während, wie Fig. 2 zeigt, die kombinierten Register 209 und 209a über ihre Ausgangsleitungen 228 bzw. 228a eine Informationsübertragung in den eigenen Prozessor vornehmen, führen die Register 227 und 227a über ihre Eingangsleitung 229 bzw. 229a eine Informationsübertragung aus dem eigenen Prozessor in den Speicher durch.

Die Register 203 und 203a dienen zur übertragung der Adressen zu den Steuerspeichern, wobei sie diese Adressen über Leitungen bzw. 231a beispielsweise aus dem Adressenspeicher (vgl. 14 in Fig. 1) des eigene Prozessors empfangen.

Mit Hilfe der vorstehend genannten Steuersignal, Übertragungswege, Schaltelemente, Speicher und Register ist also ein Prozessor in der Lage, die Aufgaben eines anderen Prozessors auf Zeitteilerbasis zu übernehmen.

Bei dem zuvor erläuterten Operationsbeispiel war angenommen worden, daß der Prozessor 221a die Operation des defekten Prozessors 221 mit der zuvor sichergestellten Statusinformation mit Beginn des Maschinenzyklus 7 übernimmt. Prozessor 221a bearbeitet die Aufgaben des Prozessors 221, wie Fig. 3 zeigt, bis zum Ende des Maschinenzyklus 31. In Zeile F in dem Impulsdiagramm der Fig. 3 ist dargestellt, daß das Umschaltesignal SW2 kurz vor dem Ende des Maschinenzyklus 32 auf seinen Nullpegel abfällt. Dadurch wird, wie in Zeile K dargestellt ist, der Betrieb des Prozessors (PU2) 221a mit dem Steuerspeicher (CSl) 201 beendet. In den nun folgenden Maschinenzyklen 32 bis Ende 33 wird die Statusinformation des Prozessors 221a in den festen Bereich 230 des Steuerspeichers 201 gerettet. Vom Maschinenzyklus 34 bis Ende 35 wird dann aus dem festen Speicherbereich 23Oa die Statusinformation in den Prozessor 221a geladen. Die soeben aus dem festen Bereich 23Oa ausgelesene Statusinformation ist diejenige Information, die der Prozessor 221a zum Zeitpunkt

509834/0464

der Unterbrechung an den für die Wiederaufnahme der Operation spezifischen Punkten enthielt. Er kann also nun wieder seine eigenen unterbrochenen Aufgaben weiterbearbeiten und zwar mit Beginn des Maschinenzyklus 36, wie Fig. 3 in Zeile G angibt.

Bei der nächsten Unterbrechung wiederholen sich die bereits beschriebenen Arbeitsspiele und es ergeben sich die analogen Verhältnisse, wenn beispielsweise der Prozessor 221 als intakter Prozessor die Aufgaben eines defekten Prozessors 221a übernehmen würde.

Fig. 4 zeigt nun die Steuereinheit 16 in Fig. 1 bzw. 216 in Fig. 2 in ihren wesentlichen Systemelementen ausführlicher. Das zentrale Systemelement dieser Steuereinheit ist ein Prozessor (CU-PROC) 401, der einen den Prozessoren 21 bzw. 21a in Fig. 1 ähnlichen Aufbau haben kann, und der auch einen eigenen Steuerspeicher nach Art des Steuerspeichers 1 bzw. la besitzt. Dieser Prozessor 401 ist über die Leitung 426 mit besonderen Einrichtungen der Digitalrechenanlage verbunden, wie beispielsweise den Prozessor für die Fehlerprüfung- und Diagnose und einer Meßeinrichtung, die den jeweiligen Leitungsbedarf einiger wesentlicher oder aller Prozessoren (Moduln) in Abhängigkeit von ihren durchzuführenden Aufgaben feststellt. Nach diesem Leistungsbedarf richtet sich dann auch beim Ausfall eines Prozessors infolge eines nicht reparablen Defektes die Verteilung der Verarbeitungszyklen zwischen diesem Prozessor und dem intakten Prozessor, der die Aufgaben des defekten mit tibernimmt. Wie bereits erwähnt, kann aber auch mit fester Zyklusverteilung gearbeitet werden.

Für die Verteilung der Verarbeitungszyklen zwischen beiden Prozessoren ist ein Instruktionszähler (IC) 402 vorgesehen, der die Anzahl der verarbeiteten Befehle eines Prozessors zählt und, wenn diese Zahl einen vorgegebenen Wert erreicht hat, einen Umschaltevorgang einleitet, so daß die Aufgaben des anderen Prozessors für eine vorgegebene Anzahl von Befehlen verarbeitet

werden. Wie Fig. 4 zeigt, wird der Befehlszähler 402 von dem Prozessor 401 hochgezählt und bei Erreichen eines vorgegebenen festen Wertes wieder gelöscht. Die Information über die Zahl der verarbeiteten Befehle empfängt der Prozessor 401 über die Steuerleitung 45O von dem Prozessor 421 und über die Leitung 45Oa von dem Prozessor 412a. Diese Information wird von ihm verarbeitet und über die Leitung 452 zu dem Instruktionszähler 402 übertragen. Dieser hat zwei Ausgänge 453 und 453a, die jeweils mit einem Eingang des UND-Tores 407 bzw. 407a verbunden sind und Einfluß nehmen auf das Signal, welches eine Umschaltung aktiviert und in Fig. 3 in der Zeile F dargestellt ist. Diese Zusammenhänge werden aber später noch im einzelnen erläutert.

Der eigentliche Operationsablauf in der Steuereinheit 416 wird aber dadurch bestimmt, daß mit einem durch den Prozessor 401 vorgegebenen Takt die Register 402 bzw. 402a über die Leitungen 451 bzw. 451a mit einem mikrobefehlähnlichem Wort geladen werden. Dieses Wort besteht aus den Bits 1 bis 8 und einem Paritätsbit P. In Bitposition 1 befindet sich stets dann eine binäre 1, wenn während desjenigen Zeitabschnittes, für den das gerade im Register 402 bzw. 402a befindliche Steuerwort die Steuerung übernommen hat, der zugehörige Prozessor 421 bzw. 421a unterbrochen werden kann. Dieses heißt, daß während der Verarbeitung eines Befehls bereits ein Punkt erreicht wurde, an dem der entsprechende Prozessor unterbrochen werden kann. Ist dieses Bit eine 0, dann heißt das, daß während der Verweilzeit des Steuerwortes im Register 402 bzw. 402a ein solcher Unterbrechungspunkt bei der Verarbeitung eines Befehles in dem zugehörigen Prozessor noch nicht erreicht ist. Der Ausgang der Bitposition 1 ist über die Leitungen 454 bzw. 454a mit einem Eingang des UND-Tores 405 bzw. 405a verbunden. Der andere Eingang ist mit der Leitung 438 bzw. 438a verbunden, über die das Ausgangssignal CHKl bzw. CHK2 aller Prüfschaltungen des angeschlossenen Prozessors zu dem genannten UND-Tor übertragen wird. Das Ausgangssignal dieses UND-Tores wird über die Leitung 440 (für den Prozessor 421a gilt das Analoge) für den Prozessor 421 übertragen. Dieses Signal

GE 973 021

509834/0464

ist in Fig. 3 in Zeile C dargestellt. Wie Fig. 3 weiter zeigt, wird das genannte Signal auch zu einem Eingang des UND-Tores 404 übertragen, dessen anderer Eingang mit dem Ausgang der Bitposition 2 des Registers 402 verbunden ist.

In Bitposition 3 des Registers 402 befindet sich stets dann eine binäre 1, wenn eine Arbeitezyklenverteilung aufgrund von Meßwerten vorgenommen werden soll. Dieses setzt voraus, daß der Ausgang des Instruktions Zählers 402 über die Leitung 453 ein Signal an das UND-Tor 407 liefert. Dieses Ausgangssignal wird beispielsweise dann erzeugt, wenn der Zähler 402 einen vorgegebenen Wert erreicht hat. Da über die Leitung 452 nicht nur Werte zur Weiterschaltung des Zählers , sondern auch zur Voreinstellung dieses Zählers übertragen werden, kann eine dynamische Zyklusverteilung vorgenommen werden, indem variable den momentanen Verhältnissen entsprechende Vorgabewerte zur Voreinstellung des Zählers 402 zu diesem übertragen werden.

Die UND-Bedingung für das Tor 407 ist also dann erfüllt, wenn der Zähler 490 seinen vorgegebenen Wert erreicht hat und außerdem der Meßbetrieb zugelassen ist, indem eine binäre 1 in die Bitstelle 3 des Registers 402 eingegeben wurde. Das Ausgangssignal des UND-Tores 407 wird über den einen Eingang des ODER-Tores 408 zu dem einen Eingang eines weiteren ODER-Tores 406 übertragen, dessen Ausgangesignal schließlich das Signal zur Aktivierung der Umschaltung erzeugt, das über die Leitung zu dem entsprechenden Prozessor 421 übertragen wird.

In den Bitpositionen 4, 5 und 6 des Steuerwortregisters 402 sind die Steuersignale für die Betätigung der Schalter 2O7, 208, 223, 224, 225 und 226 gespeichert. Diese Signale werden über die Leitungen ab, i und cd übertragen. Die Steuersignale für die Betätigung der restlichen Schalter in Fig. 2 sind in den gleich numerierten Bitpositionen des Registers 402a gespeichert.

Das in der Position 7 gespeicherte Bit wird über die Taktleitung

^GE973on 509834/0464

403 zur Erzeugung des Steuertaktes im Rhythmus der Ladung des Steuerwortregisters 402 zu dem angeschlossenen Prozessor übertragen. Mit jedem neuen Wort, das in das Register 402 geladen wird, wird also aus der Stufe 7 ein Impuls abgeleitet, dessen Breite gleich der Verweilzeit der binären 1 in der Registerstufe 7 ist. Die Impulsfolge entspricht dem Takt, mit dem das Register 402 jeweils mit einem neuen Steuerwort aus dem Prozessor 401 geladen wird. Es handelt sich hierbei also um eine sehr einfache Erzeugung eines Zeittaktes, der zumindest die Vorgänge der Umschaltung der Steuerspeicher in den einzelnen Prozessoren steuert.

Ein Steuerwort im Register 208 ist so auch beispielsweise in der Lage, mit Hilfe des Bits in der Position 8 die Umschaltvorgänge direkt einzuleiten. So bewirkt beispielsweise die übertragung eines 1-Bits aus der Position 8 des Registers 402 über die Leitungen 455 zu dem ODER-Tor 408a und das ODER-Tor 406a die Erzeugung des Aktivierungssignals für die Umschaltung SW2, das bereits im Zusammenhang mit der Fig. 3 ausführlich erläutert wurde. Das 1-Bit in Position 8 des Registers 402a bewirkt die Aktivierung der Umschaltung über die Leitung 455a und die ODER-Tore 408 und 406 und die Erzeugung des Signales SWl, was über die Leitung 439 zu dem Prozessor 421 übertragen wird und dort die Umschalt vorgänge auslöst. Wie bereits erwähnt, enthält die Stufe P das Paritätsbit des Steuerwortes.

Es ist schließlich in Fig. 4 auch angedeutet, daß der Inhalt des Statusregisters für den Prozessor 421 über die Leitung 410 auch an dem UND-Tor 409 zur Verfügung steht. Das Statusregister, das die Statusinformation enthält, kann beispielsweise Bestandteil des Prüf- und Diagnoseprozessors sein, der im allgemeinen einmal je Rechenanlage vorhanden ist. Dieser Prozessor hält auch die Statusinformation in diesem Register auf dem laufenden.

Die auf der Leitung 110 an dem UND-Tor 409 anliegende Statusinformation wird von dem Aktivierungssignal für die Umschaltung

⁹⁷³ °²¹ 509834/0464

SWl übertragen und gelangt über die Leitung 229, die in Fig.

dargestellt ist, zu dem Dateneingangsregister 227, von wo sie in den festen Bereich 230 des Steuerspeichers 201 übertragen wird.

Analoge Verhältnisse gelten bezüglich des Prozessors 421a, dessen Statusinformation über das Dateneingangsregister 227a in den festen Bereich 23Oa des Steuerspeichers 201a eingegeben wird.

50983470464

Claims

PATENTANSPRÜCHE

(l. Verfahren zur Erhöhung der Verfügbarkeit einer modular aufgebauten Digitalrechenanlage, bei der jeweils mehrere Prozessoren (Moduln) einen im wesentlichen gleichen Aufbau, aber zur Durchführung unterschiedlicher Aufgaben auch unterschiedliche Steuerprogramme besitzen, dadurch gekennzeichnet, daß in den Sammelleitungen (25, 25a; Fig. 1) für Daten/Befehle und für Adressen (5, 5a; 6, 6a) zwischen dem Speicher (1, la) und den Daten-/Befehlsein- und Ausgangsregistern (9, 9a; 22, 22a) und dem Adressenregister (3, 3a) eines Prozessors (21, 21a) steuerbare Umschalter (7, 7a; 8, 8a; 23, 23a; 24, 24a) angeschlossen sind, die von einer Steuereinheit (16) nach dem Feststellen eines Fehlers betätigt werden und den Speicher (z.B. 1) des einen Prozessors (z.B. 21) auf die genannten Register des anderen Prozessors (z.B. 21a) umschalten, so daß letzterer nach der vor der Umschaltung erfolgten Rettung der Statusinformation des eigenen und des fremden Prozessors (21) nach Übernahme der Statusinformation des fremden Prozessors, anstelle der eigenen die Aufgaben des fremden Prozessors ausführt.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß bei der im Anspruch 1 angegebenen Betriebsweise dem intakten Prozessor (z.B. 21a; Fig. 1) für die Bearbeitung der eigenen und der Aufgaben des fremden Prozessors jeweils eine feste Anzahl von Zyklen zugeteilt wird.
3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß zur Feststellung der vorgegebenen Anzahl von Verarbeitungszyklen die Zahl der durchgeführten Befehle gezählt, bei Erreichen der vorgegebenen Zahl die Steuerspeicherumschaltung eingeleitet, der Befehlszähler auf O zurückgesetzt und nun mit der Zählung der ausgeführten Befehle des anderen Prozessors beauftragt wird.

^GE973021 509834/0464
4. Verfahren nach Anspruch 2, und/oder 3, dadurch gekennzeichnet, daß die vorgebbare feste Anzahl der Verarbeitungszyklen des einen Prozessors zu der des anderen i'n ihrem Verhältnis in weiten Grenzen wählbar ist, insbesondere das Verhältnis 50 % : 50 % aufweist.
5. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Zyklusverteilung dynamisch in Abhängigkeit von dem jeweiligen Leistungsbedarf der Prozessoren vorgenommen wird.
6. Verfahren nach einem oder mehreren der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß von dem intakten Prozessor nicht generell für die Durchführung der Aufgaben des defekten Prozessors alle Funktionen übernommen werden, sondern nur die als defekt festgestellten.
7. Verfahren nach einem oder mehreren der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß drei oder mehr Prozessoren an die ümschalteinrichtung angeschlossen sind und die Aufgaben eines defekten Prozessors nur derjenige intakte Prozessor übernimmt, der momentan den geringsten eigenen Leistungsbedarf aufweist.
8. Verfahren nach einem oder mehreren der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß die Prozessoren (21, 21a; Fig. 1), steuerbaren Umschaltern (7, 7a; 8, 8a; 23, 23a; 24, 24a) und die Steuereinheit (16) mit hoher Packungsdichte auf einem einzigen Wafer integriert sind.
9. Einrichtung zur Durchführung des Verfahrens nach einem oder mehreren der Ansprüche 1 bis 8, dadurch gekennzeichnet, daß in die Adressen- und Datensammelleitungen (5, 5a; 6, 6a; Fig. 1), die den Speicher (1, la) mit dem Adressenregister (3, 3a) und den Datenregistern (z.B. 9, 9a; 22, 22a) des zugehörigen Prozessors (21, 21a) verbinden, steuerbare Umschalter (7, 7a; 8, 8a; 23, 23a; 24, 24a) eingeschaltet

GE 973 021

509834/0464

sind, welche die einander entsprechenden Sammelleitungen des eigenen Prozessors (z.B. 21) auf diejenigen eines weiteren (z. B. 21a) umschalten und daß eine Steuereinheit (16) vorgesehen ist, die über Signalleitungen (19, 19a) mit den Logikkreisen (17, 17a) der Prozessoren und über weitere Signalleitungen (26) mit der Diagnose- und Fehlerbehandlungseinheit (nicht dargestellt) der Digitalrechenanlage und über Steuerleitungen (18) mit den Umschaltern verbunden ist.
10. Einrichtung nach Anspruch 9, dadurch gekennzeichnet, daß die Steuereinheit (416; Fig. 4) aus einem steuerprogrammgesteuerten Prozessor (406), Registern (402, 402a) zur Aufnahme eines Steuerwortes und logischen Schaltungen (404 bis 408, 404a bis 408a) besteht, die mit den Bitpositionen der Steuerwortregister verbunden sind und von den Bits des Steuerwortes gesteuert werden.
11. Einrichtung nach Anspruch 10, dadurch gekennzeichnet, daß ein von dem steuerprogramiBge steuerten Prozessor (406; Fig. 4) ladbarer Zähler (490) vorgesehen ist, der die Verteilung der Arbeitszyklen des intakten Prozessors für die Bearbeitung der Aufgaben des intakten und defekten Prozessors steuert.

^GE973021 509834/0464

Leerseite