DE2458224C3 - Datenverarbeitungssystem mit Koordinierung der Parallelarbeit von mindestens zwei Datenverarbeitungsanlagen - Google Patents

Description

Die Erfindung bezieht sich auf ein Datenverarbeitungssystem gemäß dem Oberbegriff des Patentanspruches 1.

Zur Steuerung, Überwachung und auch Optimierung im Sinne der Kybernetik wurden in den letzten Jahren beispielsweise auf dem Gebiete der Kernenergiegewinnung, bei chemischen Industrieanlagen und bei Anlagen des Verkehrswesens in zunehmendem Maße Datenverarbeitungsanlagen eingesetzt, um die vielfältigen Aufgaben unter Ausschaltung der menschlichen Unzulänglichkeit unter Berücksichtigung der besonderen Gegebenheiten des jeweiligen Prozesses wirtschaftlich durchzuführen.

Speziell auf dem Gebiete der Eisenbahnsicherungstechnik soll mit Hilfe von Datenverarbeitungsanlagen eine Fahrwegsteuerung durch Betriebssteuerzentralen und eine Geschwindigkeitssteuerung von Zügen mit Hilfe der Linienzugbeeinflussung ermöglicht werden. Neben einer höheren Wirtschaftlichkeit der Betriebsanlagen soll unter dem genannten Einsatz von Datenverarbeitungsanlagen eine Entlastung des Personals, eine bessere Fahrplangestaltung und schließlich in erster Linie ein höherer Grad an Sicherheit erzielt werden.

Nun ist es auf vielen Gebieten der Prozeßautomatisierung, beispielsweise auf dem Gebiete des Eisenbahnsicherungswesens, nicht ohne weiteres möglich, frei programmierbare Datenverarbeitungsanlagen, speziell Prozeßrechner, anzuwenden, da diese Geräte einzeln nicht den hohen Anforderungen an Sicherheit und Zuverlässigkeit im Bahnbetrieb gerecht werden. Sicher und zuverlässig arbeiten bedeutet im Hinblick auf die ''5 Eisenbahnsignaltechnik, daß die für die Prozeßsteuerung erarbeiteten Ergebnisse sich nie gefährdend auf Menschenleben und Material auswirken dürfen. Dabei darf jedoch eine hohe Verfügbarkeit nicht außer acht gelassen werden, da Anlagen, die über einen längeren Zeitraum ausgefallen sind, die Wirtschaftlichkeit, die Pünktlichkeit und damit die Attraktivität für den Bahnbenutzer mindern.

Um sich gegen Ausfall oder gegen falsche Ergebnisse zu schützen, ist es notwendig, nicht nur eine einzige Datenverarbeitungsanlage zur Erfüllung der gestellten Aufgaben einzusetzen, sondern gleichzeitig mehrere Anlagen, die im Rahmen eines redundanten Systems Parallelarbeit leisten. Eine derartige Verfahrensweise hat beispielsweise bei einem Zweirechnerbetrieb den Vorteil, daß beim Ausfallen einer Anlage noch eine zweite Anlage zur Verfugung steht, die den Betrieb dann weiter aufrecht erhalten kann. Hierdurch ist jedoch nur die Forderung nach Zuverlässigkeit erfüllt. Das kleinste und wirtschaftlichste Mehrrechner-System, das den Forderungen nach Sicherheit und Zuverlässigkeit gerecht wird, ist allerdings ein Datenverarbeitungssystem, das im Normalbetrieb ·~ύι drei parallel arbeitenden Datenverarbeitungsanlagen bestückt ist. Fällt von diesen Datenverarbeitungsanlagen eine aus, so liegt immer noch ein redundantes System vor. In dem sogenannten »2 von 3«-System werden die parallel erarbeiteten und auszugebenden Ergebnisse miteinander verglichen und nur dann als richtig angesehen, wenn mindestens zwei der drei Ergebnisse übereinstimmen. Dabei wird die Wahrscheinlichkeit, daß zwei Ergebnisse übereinstimmen und dennoch falsch sind, als vernachlässigbar klein angesehen. Der Vorteil eines derartigen Datenverarbeitungssystems liegt darin, daß der Betrieb auch nach dem Ausfallen einer der drei Datenverarbeitungsanlagen ohne Unterbrechnung fortgesetzt werden kann.

Die Anwendung redundanter Mehrrechnersysteme zur sicheren Steuerung von Fahrzeugen und Sicherungseinrichtungen im Verkehrswesen ist bekannt. In der DE-OS 20 23 117 ist ein ausfallsicheres Steuersystem zur Übertragung von digitalen Informationen zwischen einem digitalen Rechner und mit diesem in on-^:ine-Betrieb gekoppelten Prozeß-Peripheriegeräten innerhalb eines Automatisierungssystems beschrieben, bei dem das gerätetechnisch mehrere Datenverarbeitungsebenen aufweisende Steuersystem initiiert vom Rechner den Ablauf der Informationsübertragung in beiden Richtungen steuert. Dabei ist das Steuersystem aus drei identischen, voneinander unabhängigen Informationsverarbeitungskanälen aufgebaut, in denen gleiche Daten Taktsynchron verarbeitet werden. Bei diesem bekannten Steuersystem sind ferner zwischen den Datenverarbeitungsebenen Majoritäts- und Fehlerüberwachungsschaltungen aus eigensicheren Logikbausteinen ZMr Regenerierung und Anzeige von fehlerbehafteten Signalen vorgesehen, die durch Fehler innnerhalb bzw. außerhalb des Steuersystems auftreter..

Dieses bekannte Steuersystem sichert lediglich den taktsynchronen Datentransfer zwischen dem Prozeß und dem für die betreffende Prozeßautomatisierung vorgesehenen redundanten Rechnersystem.

Aus der DE-OS 21 08 496 ist eine Schaltungsanordnung zur ständigen Funktionskontrolle der Informationsverarbeitung und der Ausgabe von Datentelegrammen, insbesondere bei prozeßrechnergesteuerten Eisenbahnsignalanlagen, bekannt, bei denen parallel betriebene gleichartige Datenverarbeitungsanlagen verwendet werden und die Informationsausgabe in Form von Datentelegrammen, die aus einem Informations- und einem Prüfteil bestehen, erfolgt. In diesem Zusammen-

hang wird die Verwendung von drei gleichartigen Rechnern beschrieben die eine ständige Funktionskontrolle und die sichere Ausgabe von Datentelegrammen gewährleisten sollen. Dies wird durch Mehrheitsentscheidung erreicht.

Der Nachteil dieser bekannten Schaltungsanordnung liegt darin, daß unter der Annahme, daß alle drei parallel arbeitenden Rechner gleichartige Programme bearbeiten, zur Erzielung gleichartiger, vergleichbarer Ergebnisse die Eingangsdaten zeitlich aufeinander abgestimmt (korreliert) sein müssen. Diese Voraussetzung ist bei vielen Prozeßsteuerungen nicht ohne weiteres gegeben.

Aus der DE-AS 12 69 827 ist ein Verfahren und Zusatzeinrichtung zur Synchronisierung von parallel arbeitenden Datenverarbeitungsanlagen bekannt, bei welchen die von den Datenverarbeitungsanlagen gelieferten Synchronisierungsmeidungen durch eine von den Anlagen getrennte Zusatzeinrichtung ausgewertet werden.

Für eine erfolgreiche Anwendung dieses bekannten Verfahrens und der Zusatzeinrichtung ist es jedoch Voraussetzung, daß die an dem Mehrrechnersystem beteiligten Datenverarbeitungsanlagen gleichzeitig übereinstimmende Programme ablaufen lassen, die dann von Zeit zu Zeit mit Hilfe der Zusatz.einrichtung s>nchronisiert werden, um den erforderlichen Gleichlauf /u erzielen.

Weitaus schwierigere Verhältnisse sind gegeben, wenn an den Schnittstellen von parallel arbeitenden Datenverarbeitungsanlagen von verschiedenen Stellen — Prozeßperipherie. Nachbarsystemen, Uhrenelementen. Tastaturen usw. — gleichzeitig untereinander nicht knrrelierte Informationen auftreten können. Unterschiediche Taktfrequenzen sowie zusätzliche Externspeicher mit statistisch schwankenden Zugriffszeiten kimnen zu unterschiedlichen Laufzeiten der in den einzelnen Datenverarbeitungsanlagen vorhandenen Programme führen. Diese den Betrieb von parallel arbeitenden Datenverarbeitungsanlagen erschwerenden Bedingungen sind beim Einsatz von Datenverarbeiuingssystemen beispielsweise bei der Eisenbahnsignaltechnik gegeben. So können bei mehreren quasi gleichzeitig eintreffenden Meldungen Vertauschungen in der Verarbeitungsreihenfolge in den beteiligten Datenverarbeitungsanlagen ausgelöst werden, so daß die zusammengehörigen Ergebnisse zu sehr unterschiedlichen Zeitpunkten vorliegen und den erforderlichen Vergleich im Rahmen einer Mehrheitsentscheidung erschweren oder sogar unmöglich machen.

Bei hohen Ansprüchen an die Sicherheit von Datenverarbeitungssystemen sind Doppelfehler aufgrund stochastischer Bauelementdefekte sicher nicht zu vernachlässigen; sie sind jedoch um so unwahrscheinlicher, je häufiger der Zustand der Datenverarbeitungsanlagen, z. B. durch den Vergleich von Ergebnissen oder Zwischenergebnissen, überprüft wird. Derartige Vergleiche sind jedoch wiederum nur dann möglich, wenn eine annähernd synchrone Verarbeitung in den drei Datenverarbeitungsanlagen gewährleistet ist. Diese synchrone Verarbeitung ist jedoch nach den oben genannten Voraussetzungen nicht als selbstverständlich vorauszusetzen.

Der Erfindung üegt die Aufgabe zugpjnde, bei einem Datenverarbeitungssystem der eingangs genannten Art mit weitgehend beliebigen Peripheriegeräten und unter der Annahme einer überwiegend unkorreiierten Dateneingabe zur Erhöhung der Sicherheit. Zuverlässigkeit und Verfügbarkeit eine Einrichtung anzugeben, die eine ordnungsgerechte Programmsynchronisation gewährleistet. Hierdurch wird es möglich. Ergebnisse oder auch Zwischenergebnisse der zu dem System gehörenden Datenverarbeitungsanlagen jederzeit und unabhängig von der Ausgabe der Ergebnisse an den Prozeß sicher zu vergleichen.

Gemäß der Erfindung wird die Aufgabe gelöst durch die im Kennzeichen des Patentanspruches 1 aufgeführten Merkmale.

Der Vorteil der Erfindung wird darin gesehen, daß bei den einzelnen Datenverarbeitungsanlagen des Datenverarbeitungssystems zu einem beliebigen Belrachlungszeitpunkt gleichzeitig unterschiedliche Programmanforderungen vorliegen dürfen, die von dem Koordinator-Element mit relativ wenig Aufwand zur Erstellung des Startfreigabewortes verarbeitet werden, wobei in uC'iVi Stärifrcigabcwort riur die der, Datenverarbeitungsanlagen gemeinsamen Programmforderungen markiert sind. Hierdurch ist in den beteiligten Datenverarbeitungsanlagen der gleichzeitige Start gleicher Programme möglich. Damit ist aber in vorteilhafter Weise die Voraussetzung geschaffen, daß die Datenverarbeitungsanlagen von gleich aktuellen Prozeßdaten in der Verarbeitung ausgehen und zu vergleichbaren Ergebnissen kommen.

Bei innereren gemeinsamen Programmanforderungen können die Datenverarbeitungsanlagen so organisiert sein, daß das Programm mit der jeweils höchsten Priorität in den Datenverarbeitungsanlagen gestartet wird.

Eine Weiterbildung der Erfindung im Hinblick auf einen von der Datenausgabe unabhängigen Erger nisvergleich der beteiligten Datenverarbeitungsanlagen sieht in vorteilhafter Weise vor. daß das Koordinator-Element einen an die Empfangsregister angeschlossenen zweiten Vergleicher für aufgrund von Anwender- und/oder Testprogrammen durch die Datenverarbeitungsanlagen ermittelte Ergebnisse enthält mit einer häufigeren Ergebniszuführung, als es durch Ergebnisse aufgrund von in den Datenverarbeitungsanlagen vom Prozeß ausgelösten Verarbeitungen der Fall ist. daß an den zweiten Vergleichcr über gesonderte Ausgänge ein Anzeigenregister angeschlossen ist zur Zwischenspeicherung eines die jedem Ergebnisvergleich bzw. jeder Programmsynchronisierung folgenden Tätigkeit der Datenverarbeitungsanlagen beeinflussenden mehrbegriff igen K oordinierungs-Anzeige wortes.

Durch den häufigen Ergebnisvergleich und die aufgrund der Vergleichsergebnisse möglichen Abweisungen im Hinblick auf den weiteren Programmabiaul wie »Bearbeitung fortsetzen«, »Bearbeitung wiederholen« oder »Datenverarbeitungsanlage abschalten« wire in vorteilhafter Weise die Verfügbarkeit und irr besonderen Maße die Sicherheit der Anlage erhöht. d'< eventuelle Fehlerquellen frühzeitig erkannt und beho ben und somit Doppelfehler vermieden werden können.

Durch die erfmdungsgemäßen Maßnahmen ist aucl der Obergang von einem Dreirechnersystem auf eir Zweirechnersystem ohne Unterbrechung des Betriebe: möglich. Ebenso ist nach der Reparatur der defektei Datenverarbeitungsanlage der Übergang von den zwischenzeitlichen Zweirechnersystem auf das Drei rechnersystem aufgrund der aufgezeigten Synchronisie rungsmethode in einfacher Weise möglich.

Bei einem Datenverarbeitungssystem, bei dem bei spielsweise drei Datenverarbeitungsanlagen in Parallel arbeit zusammengefaßt sind, kann es vorkommen, dal

beim Vorliegen von drei einander entsprechenden Ergebnissen der Datenverarbeitungsanlagen festgestellt wird, daß ein Ergebnis von den übrigen abweicht. In dem (all kann /war aufgrund der Mchrheitsentscheidung noch auf das »richtige« Ergebnis geschlossen werden: jedoch soll diejenige Datenverarbeitungsanlage, dcicn Ergebnis von den anderen beiden abwich, noch nicht unmittelbar abgeschaltet werden.

Eine vorteilhafte Weiterbildung der Erfindung sieht daher vor, daß in dem zweiten Vergleicher eine logische Schaltung vorgesehen ist, die bei einer erstmaligen Ergebnisabweichung einer der Datenverarbeitungsanlagen vom Ergebnis der anderen im Anzeigenregister außer einer Meldung darüber, welche der Datenverarbeitungsanlagen im Ergebnis abwich, einen Wiederholungsbefehl für die zuletzt in den Datenverarbeitungsanlagen durchgeführte Verarbeitung markiert und daß in lii'in /wuiiL'ii Vcigiirii-iiL"! wuiieiL· lugiSCnC- .Sci'iciiiiTiiiic! vorgesehen sind, die aufgrund einer nochmaligen Abweichung des Ergebnisses bei der Ausführung des Wiederholungsbefehls im An/eigcnregister für die gestörte Datenverarbeitungsanlage einen Abschaltbefchl markiert.

Bei dem erfindungsgemäßen Datenverarbeitungssystem kann zur Ausgabe der für den Prozeß erforderlichen Ergebnisse ein vor jeder Ausgabe die erforderliche Mehl heitsentscheidung herbeiführender Voter vorgesehen werden.

Da das Koordinator-Element zur Erhöhung der .Sicherlich und Verfügbarkeit des Gesamtsystems bereits über einen in Eail-Safc-Technik aufgebauten Vcrgleichcr verfügt, ist eine Weiterbildung der Erfindung in vorteilhafter Weise dadurch gekennzeichnet, daß an diesen /weiten Vcrgleicher eine zum Prozeß führende Ergcbnisausgabclcitung angeschlossen ist, über welche das jeweilige »richtige« Ergebnis einer der Datenverarbeitungsanlagen fallweise durchgeschaltet werden kann.

Durch diese zweifache Verwendung des genannten /weiten Vergleichen kann in vorteilhafter Weise auf eine üblicherweise für die Datenausgabe zusätzlich erforderliche Majoritäts- und Fehlcrüberwachungsschaltung verzichtet werden.

Zur weiteren Steigerung der Verfügbarkeit unter Beachtung der Forderung nach signaltechnischer Sicherheit im Hinblick auf ein frühzeitiges Erkennen von Fehlern und zur Unterscheidung zwischen temporären und bleibenden Defekten ist es erwünscht, die jeweilige Programmsynchronisierung oder den anstehenden Ergebnisvergleich im zweiten Vergleicher innerhalb eines definierten Zeitraumes zu erreichen. Dadurch kann gewährleistet werden, daß bei einem Fehler im Programmablauf oder bei der Ergebnisermittlung nicht das gesamte Datenverarbeitungssystem blockiert wird.

Um die vorstehenden Vorteile zu erreichen, wird gemäß einer Weiterbildung der Erfindung vorgeschlagen, daß das Koordinator-Element ein erstes ausgangsseitig mit dem Anzeigenregister verbundenes Zeitüberwachungsglied enthält, das bei einem von den Datenverarbeitungsanlagen jeweils zuerst ausgegebenen Befehlswort startbar und vor dem Ablaufen eines vorgegebenen Zeitraumes durch das Befehlswort einer der anderen Datenverarbeitungsanlagen rücksetzbar ist und daß das erste Zeitüberwachungsglied nach dem Ablaufen des vorgegebenen Zeitraumes im Anzeigenregister einen Abschaltbefehl für die auslösende Datenverarbeitungsanlage markiert, daß ferner im Koordinator-Element ein Befehlswortvergleicher vorgesehen ist, der über eine logische Schaltung im Anzeigenregister eine Markierung vornimmt, welche der Datenverarbeitungsanlagen sich als einzige gemeldet hat.

Ferner kann der Befehlswortvergleicher in vorteilhafter Weise in einem anderen Fall in Verbindung ebenfalls mit einem Abschaltbefehl melden, welche der Datenverarbeitungsanlagen ein von den übrigen Befehlswörtern abweichendes Befehlswort auslöste.

ίο Bei besonders kritischer Einschätzung der Verfügbarkeit des Datenverarbeitungssystems muß angenommen werden, daß die Übergabe eines Befehlswortes in Verbindung mit einem Ergebniswort oder einem Programmsynchronisierungswort von einer der drei Datenverarbeitungsanlagen aufgrund eines Defektes ausbleiben kann oder aber zu spät erfolgt. Aus diesem Grunde ist es wünschenswert, daß bei einer derartigen -ri^ttltitVtnrt Λ kiimiZ^unn oinAi¹ r\c\r t\rc*\ X~\t Innnnr-irkni

tungsanlagen diese Störung rechtzeitig erkannt wird und ohne Behinderung des weiteren Prozeßablaufs die als defekt anzusehende Datenverarbeitungsanlage abgeschaltet und das restliche Dalenverarbeitungssystcm beispielsweise im Zweirechnerbetrieb weiterarbeitet
Eine Lösung des geschilderten Problems wird in vorteilhafter Weise darin gesehen, daß das Koordinator-Element ein zweites mit dem Anzeigenrcgister verbundenes Zeitüberwachungsglied enthält, das durch ein im Anschluß an ein von einer ersten Datenverarbeitungsanlage abgegebenes Befehlswort übertragenes weiteres Befehlswort einer zweiten Datenverarbeitungsanlage startbar und vor dem Ablaufen eines vorgegebenen zweiten Zeitraumes durch das Befehlswort einer dritten Datenverarbeitungsanlage rücksetzbar ist und daß das zweite Zeitüberwachungsglied nach dem Ablaufen des vorgegebenen zweiten Zeitraumes im Anzeigenregister einen Abschaltbefehl und der Bcfehlswortvergleicher markiert, welche Datenverarbeitungsanlage abzuschalten ist.

Ein weiterer Mangel, der sich im Hinblick auf die Sicherheit und Verfügbarkeit des Datenverarbeitungssystems mit Parallelarbeit von mehreren Datenverarbeitungsanlagen bemerkbar macht, kommt dadurch zustande, daß ein Defekt in einer der Datenverarbeitungsanlagen dazu führen kann, daß im Gegensatz zu den anderen Datenverarbeitungsanlagen des Gesamtsystems eine bestimmte Programmanforderung in dessen Programmsynchronisierungswörtern nicht erscheint. Bei sonst ordnungsgemäßen Arbeiten der betreffenden Datenverarbeitungsanlage im Hinblick auf die Markierung der anderen Bitstellen der Programmsynchronisierungswörter ist für die ständig fehlende Programmanforderung keine Programmsynchronisierung aller beteiligten Datenverarbeitungsanlagen möglich, weil der zuständige Vergleicher die betreffende Stelle des zu erstellenden Startfreigabewortes im Ausgaberegister nicht markieren kann.

Aufgabe einer Weiterbildung der Erfindung ist es daher. Maßnahmen anzugeben, die es gestatten, derartige Fehler in Programmsynchronisierungswörtern rechtzeitig zu erkennen, damit ein mit dem Fehler verbundener Defekt nicht durch Synchronisieren anderer Programme verdeckt und nicht erst zu einem spaten Zeitpunkt durch Lücken in der Prozeßbearbeitung offenbar wird.

Die das Problem lösende vorteilhafte Weiterbildung der Erfindung ist dadurch gekennzeichnet, daß im Koordinator-Element für eine programmspezifische Zeitüberwachung im Schaltungszusammenhang mit den

Empfangsregistern und dem ersten Vergleicher für jede Bitstelle gleicher Rangordnung der Programmsynchronisierungswörter je ein weiteres Zeitüberwiichungsglied mit zugeordneter Laufzeit vorgesehen ist, das im Einzelfall dann startbar ist, wenn noch nicht alle zugeordneten Bitstellen von vorliegenden Programmsynchronisierung .Wörtern im Hinblick auf ein startbereites Programm markiert sind und welches Zeitüberwachungsglied vor Beendigung der zugeordneten Laufzeit rücksetzbar ist durch ein an der betreffenden Bitstelle im Hinblick auf das zu startende Programm markiertes .Startfreigabewort und dal] jedes der programmspezifischen Zeilübcrwaehungsglieder nach dem Ablaufen im Anzeigenregistcr einen diesbezüglichen Abschaltbefehl und die betreffende Datenverarbeilungsanlage markiert.

Durch eine derartige Zeilüberwachung kann der mögliche n-ich'.cüigc FinflnO von Pmgrnmmnnforderungsfehlern in den Programmsynehronisierungswörtern auf die geforderte Sicherheit und Verfügbarkeit der gesamten Anlage ausgeschlossen werden.

L^;s sei an dieser Stelle darauf hingewiesen, daß die umfangreichen Markierungen im Anzeigenregister in vorteilhafter Weise dazu beitragen, daß bei aufgetretenen Störungen eine schnelle Erkennbarkeit der jeweiligen Fehlerquelle ermöglicht und damit die erforderliche Reparaturzeit der betreffenden Datenverarbeitungsanlage verringert wird. Zu diesem Zweck können die jeweiligen im Anzeigenregister gespeicherten Koordinierungsanzeiyenwörter nicht nur dafür verwendet werden, den weiteren Betriebsablauf des Datenverarbeitungssystems nach einem erfolgten Vergleichs- oder Synchronisierungsvorgang zu beeinflussen, sondern zusätzlich eine optische oder akustische Anzeige zu steuern. Ferner ist es in vorteilhafter Weise möglich, die Störungsmcldungen auszudrucken.

Einige Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden nachstehend näher erläutert. Es zeigt

F i g. I das Blockschaltbild für ein Datenverarbeitungssystem mit Koordinierung der Parallelarbeit von drei Datenverarbeitungsanlagen,

Fig. 2 nähere Einzelheiten zweier Zeitüberwachungsglieder mit deren Ansteuerung,

Fig. 3 die Schaltung eines Befehlsvergleichers zum Auslösen von Synchronisierungsstartvorgängen,

Fig.4 die Schaltung eines Befehlsvergleichers zum Auslösen von Vergleichsstartvorgängen und

Fig. 5 eine Schaltung zur Erstellung eines Startfreigabewortes aus einzelnen von den drei Datenverarbeitungsanlagen abgegebenen Programmsynchronisierungswörtern.

F i g. 1 zeigt im Blockschaltbild ein Datenverarbeitungssystem mit Koordinierung der Parallelarbeit von drei Datenverarbeitungsanlagen DVA 1, DVA 2 und DVA 3, die ihre zu verarbeitenden Informationen über eine Anzahl von Leitungen, im Beispiel die Leitungen L1 und L 2, von dem zu steuernden Prozeß erhalten. Wesentlicher Bestandteil des gesamten Datenverarbeitungssystems ist ein einziges Koordinator-Element KT, das im wesentlichen die Aufgabe hat, Programmsynchronisierungen und einen Vergleich von durch die synchronisierten Programme erarbeiteten Ergebniswörtern herbeizuführen. Unter einem Ergebniswori ist ein Rechnerwort zu verstehen, welches das Ergebnis ⁶S eines vorangegangenen abgeschlossenen Programmlaufes beinhaltet. Die drei Datenverarbeitungsanlagen DVA 1 bis DVA 3 sind über Anpassungen AG I, AG2 und AG 3 eingan^sseitig mit dem Koordinator-Element verbunden. Weilerhin sind Anpassungen AC 11, AC! 21 und AG 31 vorgesehen, über welche die vom Koordinator-Element KT erarbeiteten Informationen wieder zurück an die drei Datenverarbeitungsanlagen DVA I, DVA 2 und DVA 3 gegeben werden. Hierzu dienen die Leitungen L 3. /. 4 und /. 5.

Die für das Koordinator-Element KTerforderlichen Schaltungen sind in Fail-Safe-Technik ausgeführt. An die Anpassungen ACl I bis ACS 3 ist je ein Befehlsdecoder I)DR 1, BDR 2 bzw. I)ORi angeschlossen, welche mehrere zugeführte Befehlsworte BT \, I)T 2 bzw. Uli entschlüsseln. Weiterhin ist jeder der Anpassungen ACS 1 bis AG3 ein mehrstelliges Empfangsregister ER 1, ER 2 bzw. ER 3 nachgeschaltet zum Aufnehmen entweder eines Programmsynchronisierung.swortes BSTi, BST 2, bzw. BST3 oder aber eines dci Ergebniswörter ETi, ET2 bzw. ET3, die aus je einem I6-Bit-Wort bestehen. Ob sich nun in einem der Empfangsregister ER I bis /:'K3ein Programmsynchronisierungswort oder ein Ergebniswort befindet, ist in dem jeweils zugeordneten Befehlswort BTi bzw. BT2 oder BT3 angegeben. Unter Programmsvnchronisierungswort wird ein Rechnerwort verstanden, das aus einer festen Zeichenfolge besteht und dessen einzelne Bitstellen angeben, ob diu diesen fest zugeordneten Aufgaben, wie Programme, von der betreffenden Datenverarbeitungsanlage startbereit erklärt sind. Gleichwertige Bitstellen der Programmsynchronisierungswörter der einzelnen Datenverarbeitungsanlagen sind denselben Programmen oder Programmgruppen zugeordnet.

Auf ein Programmsynchronisicrungswort ftSTl bzw. BST2 oder BST3 zu schließen, wenn der Befehlsdecoder BDRi bzw. BDR 2 oder BDR 3 über seine Ausgangsleitung LS1 bzw. LS 2 oder LSI den Synchronisierbefehl 5 1 bzw. S2 oder 53 abgibt. In den Empfangsrejjistern ER 1 bis ER 3 sind dagegen die Ergebniswörter enthalten, wenn die Befehlsdecoder BDRi bis BDR 3 jeweils über deren zugeordnete Ausgangsleitungen LVi bzw. LV2 oder LV3 den Vergleichsbefehl Vl bzw. V2oder V3 ausgeben.

Weitere durch die Befehlsdecoder BDR 1 bis BDR 3 aufgrund zugeführter Befehlsworte STl bis BT3 ermittelte Befehle sind rechnerspezifische Wiederholungsmarkierungen WClO, IVC 20 bzw. IVG 30. die über die entsprechenden Ausgangsleitungen LWClO, L WG 20 bzw. LG W30 ausgegeben werden. Die letztgenannten Informationen dienen dazu, darauf hinzuweisen, daß ein gleichzeitig von einer Datenverarbeitungsanlage ausgegebenes Ergebniswort aufgrund eines Wiederholungsbefehls WL ermittelt wurde. Der Wiederholungsbefehl WL wird dann erzeugt, wenn eines der Ergebniswörter ETi bis ET3 von den restlichen abweicht. Der genannte Befehl soll schließlich bewirken, daß diejenige Datenverarbeitungsanlage, die das abweichende Ergebniswort ermittelte, den dazu erforderlichen Programmlauf wiederholt. Hierbei dient eine rechnerspezifische Wiederholungsmeldung, z. B. WG1, dazu, die »richtige» Datenverarbeitungsanlage, z.B. DVA \, für die Wiederholung zu aktivieren.

Des weiteren werden von den Befehlsdecodern BDR 1 bis BDR 3 über deren Ausgangsleitungen LU1 bzw. LU2 oder LU3 Umschaltbefehle Ui, U2 bzw. t/3 ausgegeben, die dann erforderlich werden, wenn nach dem Abschalten einer der drei Datenverarbeitungsanlagen DVA 1 bis DVA 3 die abgeschaltete Datenverarbeitungsanlage wieder zugeschaltet werden

An die drei Befehlsdecodcr BDR 1 bis BDR 3 ist c'ne liaugruppe W/;' angeschlossen, die im wesentlichen aus vier Ein/elbaugruppcn besieht, und /war ans zwei Bcfchlsvcrgleichcrn BTR \ und BTR 2 /um Auslösen entweder eines Vcrglcichsstartkcnn/ciehens KW über die Leitung LVSN oder eines Synehronisalionsstarlkenn/eichens 55Λ/ über die Ausgangsleitung LSSN. l'erner sind in der Baugruppe BE zwei Zeitüberwachungsglieder ZD I und /.D2 vorgesehen, welche die Aufgabe haben, /u prüfen, ob sich nur eine bzw. nur zwei der Datenverarbeitungsanlagen DVA I bis DVAZ mit ihrem Befehlswort WFJ, ÖF2 oder WF.3 in einem jeweils vorgegebenen Zeitraum gemeldet haben. Über die Ausgangsleiliingen 1.7, /.8 bzw. /.9 der Baugruppe W/:'werden Abschaltbefehle ALTi bzw. /AL F 2 oder der Abschaltbefehl /W.W ausgegeben, wenn der durch das Zeittiberwachgungsglied /.D I vorgegebene Zeitraum bzw. derjenige des Zeitüberwaehungsgliedcs /A) 2 abgelaufen H bzw. wenn der Bcfehlsworlvergleich in der Baugruppe BT eine Abweichung in den von den Befehlsdecodern BDR I bis BDR 3 zugeführten Beifchlen festgestellt hai.

l'erner ist der Baugruppe BT. eine Umschalteinrichtung HG nachgeschaltet, welcher die Unischaltbefehle 111, i/2bzw. i/3 zugeführt werden können.

Die Ausgangsleitungen LTR I. LTR 2 und LTR 3 der drei Lmpfangsregistcr ER I bis T.R 3 sind mit einem ersten und einem zweiten Verg;_Licher VR 1 bzw. VR 2 verbunden. Aufgrund des jeweiligen Vergleichsergcbnisses der Befehlsvergleicher BTR \ und BTR 2 wird entweder der zweite Vergleicher VR 2 mit Hilfe des Vergleichsstartkennzcichens VSN oder der erste Vergleicher VR 1 mit Hilfe des Synchronisationsstartkennzeichens SSN wirksam geschaltet.

Da die einzelnen Programmsynehronisicrungswörter ÖSF1 bzw. BST2 oder Ö.ST3 aus einer festen Zeichenfolge bestehen und jedes der Zeichen Auskunft darüber gibt, ob ein diesem Zeichen zugeordnetes Programm bzw. Programmgruppe in der betreffenden Datenverabeitungsanlage startbereit ist, wird die diesem Zeichen zugeordnete Stelle des mehrstelligen Empfangsregisters ER 1 bzw. ER 2 oder ER 3 entsprechend dem Informationsinhalt des Zeichens markiert. In diesem Zusammenhang sei nochmals darauf hingewiesen, daß gleichwertige Bitstellen der Programmsynchronisierungswörter der einzelnen Datenverarbeitungsanlagen jeweils denselben Programmen bzw. Programmgruppen zugeordnet sind. Nähere Einzelheiten werden später an Hand des Blockschaltbildes nach F i g. 5 noch näher erläutert.

Der erste Vergleicher VR 1 hat nun die Aufgabe, ein Startfreigabewort SFT zur Zwischenspeicherung in einem Ausgaberegister AGR zu bilden. Die einzelnen Bitstellen des Startfreigabewortes SFT werden aufgrund einer konjunktiven Verknüpfung des Informationsinhaltes aller einander entsprechenden Stellen der Empfangsregister ER 1 bis ER 3 gekennzeichnet. Das Startfreigabewort kennzeichnet durch seine einzelnen Bitstellen, welche gleichartigen Programme in den Datenverarbeitungsanlagen DVA 1 bis DVA 3 startbereit sind. Wenn also beispielsweise nur die erste und fünfte Bitstelle markiert sind, so besagt dieses Startfreigabewort SFT, daß die Datenverarbeitungsanlagen DVA 1 bis D¹M 3 entweder mit dem der ersten Bitstelle oder aber mit dem der fünften Bitstelle fest zugeordneten Programm gemeinsam starten können. Aufgrund einer Prioritätsfestlegung wird mit dem der ersten Bitstelle zugeordneten Programm begonnen. Das im Ausgaberegister AGR jeweils zwischengespeicherte Startfreigabewort .S'/Twird dabei den drei Datenverarbeitungsanlagen DVA 1 bis DVA 3 in Verbindung mit einem Koordinierungs-Anzeigenwort KATeines noch näher zu erläuternden Anzeigenregisters AZR übertragen.

Im Schaltungszusammenhang mit dem ersten Vergleicher VR I sind programmspezifische Zeitüberwachungsglieder PZD vorgesehen, und zwar so viel /.citübcrwachungsglicdcr, wie Bilstellen der Programm synchronisierungswörter BST \ bis BST3 vorhanden sind. Unter der obengenannten Voraussetzung, daß es sich bei den Programmsynchronisicrungswörtern um 16-Bit-Wörter handelt, enthält die Baugruppe PZDalso 16 /eitüberwachungsglicder. ledes dieser Zeitüberwachungsglicdcr ist dann startbar, wenn noch nicht alle zugeordneten Bitstellen von vorliegenden Programmsynchronisierungswortern BSTi bis HST5 im Hinblick auf ein startbereites Programm markiert sind.

Wie bereits oben kurz erläutert wurde, erhält der zweite Vergleicher VR 2 über die Leitungen LTR I bis LER 3 ebenfalls von den Empfangsregistern ER 1 b^;s ER 3 Informationen, die aufgrund des über die Leitung LVSN zugeführten Vergleichsstartkennzcichens VSN als Ergebniswörtcr ETi bis /;T3 klassifiziert werden. Außerdem erhält der zweite Vergleicher VR2 im Bedarfsfall über die Leitungen LWG 10, LWG 20 bzw. LWG 30 eine oder mehrere der Wiederholungsmarkierungen WClO, WG 20 bzw. WG 30. Ferner kann gegebenenfalls der zweite Vergleicher VR 2 über die Leitung /.6 richtige Ergebnisse direkt an den Prozeß ausgeben. Schließlich ist der zweite Vergleicher VR 2 wie auch der erste Vergleicher VR 1 mit der Umschalteinrichtung UG verbunden.

Die aufgrund von Anwender- und/oder Testprogrammen oder von Teilen dieser Programme durch die drei Datenverarbeitungsanlagen DVA 1 bis DVA 3 ermittelten Ergebnisse sind in dt.i Ergebniswörtern EFl bis ETi enthalten und werden jeweils nach der erfolgten Freigabe durch das zugehörige Vergleichsstartkennzeichen VSN im zweiten Vergleicher VR 2 auf Übereinstimmung geprüft. Die einzelnen Vergleichser *bnisse werden über Ausgangsleitungen mit den Sammelbezeichnungen ILVR 2 und/oder 2LVR 2 unmittelbar bzw. mittelbar über eine logische Schaltung LSG zn das Anzeigenregister AZR zur Bildung des Kocrdinierungs-Anzeigenwortes KAT gegeben. Dieses bestimmt entweder nach einem Ergebniswortvergleich im zweiten Vergleicher VR 2 allein oder nach einem Vergleich der Programmsynchronisierungswörter BSTi bis BSTZ im ersten Vergleicher VR1 eventuell in Verbindung mit dem Startfreigabewort SFT, in welcher Art und Weise die drei Datenverarbeitungsanlagen DVA 1 bis DVA 3 weiterarbeiten können.

Die vom zweiten Vergleicher VR 2 ausgegebenen Informationen setzen sich wie folgt zusammen:

Über die Leitung 1VR 2 des Vergleichers VR 2 wird dann die zugeordnete Speicherzelle des Anzeigenregisters AZR markiert, wenn ein Übereinstimmungskennzeichen LW bei drei übereinstimmenden Ergebniswörtern ETi bis EF3 bei Dreirechnerbetrieb bzw. bei zwei übereinstimmenden Ergebniswörtern bei Zweirechnerbetrieb ausgegeben wird. Über die Leitungen 2 VR 2, 3 VR 2 bzw. 4 VR 2 werden rechnerspezifische Wiederholungsmeldungen WGi, WG2 bzw. WG3 übertragen, wenn der zweite Vergleicher VR 2 festgestellt hat, daß ein Ergebniswort von den übrigen eine Abweichung

hatte. Hierzu gehört ein Wiederholungsbefehl WL, der über die Leitung 5 VR 2 an das Anzeigenregister AZR abgegeben wird. Wenn das Ergebniswort von ein und derselben Datenverarbeitungsanlage nach der Ausführung eines Wiederholungsbefehls IVL nochmals eine Abweichung zeigt, wird vom zweiten Vergleicher VR 2 über die Leitung 6 VR 2 ein Abschaltbefehl A L W wegen wiederholter Abweichung des Ergebniswortes derselben Datenverarbeitungsanlage ausgegeben. In diesem Zusammenhang gibt der zweite Vergleicher VR 2 über eine der Ausgangsleitungen mit der Sammelbezeichnung 2LVR2 an die aus drei ODER-Glieder LSGl, LSG 2 und LSC 3 bestehende logische Schaltung LSC ein Kennzeichen, das als Markierungskennzeichen MN 1 bzw. MN 2 oder MN 3 im Koordinierungs-Anzeigenwort KAT fixiert wird. Damit wird festgelegt, welche der drei Datenverarbeitungsanlagen DVA 1 bis DVA 3 im Einzelfall abgeschaltet werden soll.

An das Anzeigenregister AZR ist beispielsweise eine Anzeige AE angeschlossen, die zur Verkürzung von Reparaturzeiten dem Service-Personal hilfreiche Hinweise geben kann.

Ein weiterer Abschaltbefehl ALTPv/\ra im Anzeigenregister AZR durch eines der programmspezifischen Zeitüberwachungsglieder PZD bei überfälliger Programmanforderung in den Programmsynchronisierunt;swörtern gesetzt. Zu dem letztgenannten Abschaltbefehl ALTP gehört zur Kennzeichnung der betreffenden Datenverarbeitungsanlage ebenfalls eines der Markierungskennzeichen MN 1 bis MN3. Da die logische Schaltung LSG über Leitungen XLBE bzw. 2Lߣdirekt mit der Baugruppe ÖL⁷ verbunden ist, wird eines der Markierungskennzeichen MN 1 bis MN 3 auch dann ausgelöst, wenn der Abschaltbefehl ALB wegen Befehlsabweichung oder die Abschaltbefehle .4LTI bzw. ALT2 infolge Zeitablaufes bei einem der Zeitüberwachungsglieder ZDI bzw. ZD 2 ausgelöst wurden.

Nachfolgend wird an Hand des Ausführungsbeispiels nach Fig. 1 die Arbeitsweise des Koordinator-Elemcnles KT noch weiter erläutert. Grundsätzlich wird jeder Verkehr einer der Datenverarbeitungsanlagen DVA 1 bis DVA 3 mit dem Koordinator-Element KT, wie es bei Peripheriegeräten üblich ist. mit der Übergabe eines Befehlswortes STl bzw. BT2 oder BT3 eingeleitet. welches das Koordinator-Element KT auf die gewünschte Funktion entsprechend den Vergleichsbefehlen Vl, V2 bzw. V3 mit oder ohne die zugeordnete Wiederholungsmarkierung WClO. WC 20 bzw. WC 30 oder den Synchronisierungsbefehlen 51, 52 bzw. S3 oder den Umschaltbefehlen L/l, (72 oder U 3 einstellen soll. Bei den Vergleichsbefehlen Vl, V2 und V3 und den Synchronisierungsbefehlen 51, 52 und 53 folgt unmittelbar das zugehörige Datenwort in Form des Ergebniswortes £Γ1. ΕΓ2 bzw. ET3 oder in Form des Programmsynchronisierungswortes BST\, BST2 bzw. β5Γ3, welches im Empfangsregister ER\, ER 2 bzw. ER 3 abgespeichert wird. Nach dem Vorliegen der Befehle aller drei Datenverarbeitungsanlagen und dem Ausführen der gewünschten Funktion wird den drei Datenverarbeitungsanlagen DVA 1 bis DV/* 3 das bereits erwähnte Koordinierungs-Anzeigenwort KA T übergeben, dem bei den Synchronisierungsbefehlen 51, 5 2 und S3 noch das Startfreigabewort SFT aus dem Aufgaberegister AGR folgt. In dem Koordinierungs-Anzeigenwort KA T werden den drei Datenverarbeitungsanlagen DVA I bis DM3 vor allem Hinweise über aufgetretene Unregelmäßigkeiten gegeben.

Wenn sich beispielsweise im Fehlerfall die drei Datenverarbeitungsanlagen mit unterschiedlichen Befehlsworten 3T\ bis BT3 beim Koordinator-Element KT gemeldet haben, wird diejenige Datenverarbeitungsanlage, deren Befehlswort BTX bzw. BT2 oder BT3 von den Befehlswörtern der anderen beiden Datenverarbeitungsanlagen abwich, als gestört angesehen und abgeschaltet. Dies hat zur Folge, daß die mit ihrem Befehlswort abweichende Datenverarbeitungsanlage von der Ausführung des als richtig erkannten Befehles ausgeschlossen wird. Außerdem wird allen Datenverarbeitungsanlagen abschließend ein Koordinierungs-Anzeigenwort KAT übergeben, in dem die Abschaltung einer der Datenverarbeitungsanlagen durch den Abschaltbefehl ALB und die Kennzeichnung der betreffenden Datenverarbeitungsanlage durch das entsprechende Markierungskennzeichen MNX bzw. MN 2 oder MN 3 angezeigt sind. Die intakten Datenverarbeitungsanlagen können dann durch einen diesbezüglichen Ausdruck auf einem Blattschreiber unter anderem auf die erläuterte Störung aufmerksam machen. Die Abschaltung einer der Datenverarbeitungsanlagen DVA 1 bis DVA 3 kann erst wieder durch die in der Umschalteinrichtung UG verarbeiteten zwei der drei Umschaltbefehle UX bis U3. die von den beiden intakten Datenverarbeitungsanlagen abgegeben werden, rückgängig gemacht werden.

Im Hinblick auf die Programmsynchronisation laufen folgende Vorgänge ab:

Nach der Anregung eines Programmstartes in einer der drei Datenverarbeitungsanlagen, z. B. durch eine eintreffende Meldung aus dem Prozeß, wird vom Betriebssystem dieser Datenverarbeitungsanlage eine diesem Programm bzw. dieser Programmgruppe entsprechende Markierung in dem Programmsynchronisierungswort dieser Datenverarbeitungsanlage markiert. Dem Koordinator-Element KT werden demzufolge nacheinander das Befehlswort BTX (BT2, BT3) mil dem Synchronisierungsbcfehl 51 (S2, S3) und das zugehörige Programmsynchronisierungswort SSTl fßST2, BST3) übergeben. Nach dem Vorliegen der Synchronisicrungsbefehlc Sl bis S3 aller drei Datenverarbeitungsanlagen DVA X bis DVA 3 wird die Synchronisation durch Ausgeben des Synchronisationsstartkennzeichens SSN über die Leitung LSN aus dem Befehlsvcrgleicher BTR 1 eingeleitet. Dabei werden die Informationen gleichrangiger Stellen der Empfangsregister ER X bis ER 3 bitweise konjunktiv zum Startfreigabeworl SAT(FIg. 5) verknüpft. Das so gewonnene Startfreigabewort wird im Ausgaberegister AGR zunächst zwischengespeichert und später im Anschluß an das zugeordnete Koordinierungs-Anzeigenwori KATallen drei Datenverarbeitungsanlagen DVA 1 bis DVA 3 über die Anpassungen AG 1 bis AG3 sowie die Leitungen L3, L4 und LS übergeben. Die Datenverarbeitungsanlagen DVA X bis DVA 3 starten dann möglichst umgehend das durch sie als startbereit erklärte und im übertragenen Startfreigabewort SFl markierte Programm. Wenn in dem betreffenden Slarlfreigabcwort SFT mehrere Programm als startbe reit gekennzeichnet sind, wird aufgrund einer Festlegung in den Datenverarbeitungsanlagen DVA 1 bi< DVA3 dasjenige Programm zuerst gestartel. das die höchste Priorität besitzt. Diese Vorrangsiellung isi beispielsweise daran zu erkennen, an welcher Stelle de? Startfreigabewortes .ST-Tdic jeweilige Slartbcreitschaf markiert ist.

Im Zusammenhang mit dem Vergleich von F.rgebnis

sen ergibt sich folgende Arbeitsweise:

Im Verlauf bzw. am Ende von synchron gestarteten Verarbeitungs- bzw. Test-Programmen fallen Ergebnisse an, die zur umgehenden Feststellung ihrer Richtigkeit mit den Ergebnissen der andern Datenverarbeitungsanlagen des Gesamtsystems verglichen werden sollten, und zwar unabhängig von der Ausgabe an den Prozeß. Die drei Datenverarbeitungsanlagen DVA i bis DVA 3 wenden sich zu diesem Zweck mit dem jeweiligen Vergleichsbefehl Vl bzw. V2 oder V3 an das Koordinator-Element KTund übergeben anschließend jeweils noch das zu vergleichende Ergebniswort ETi bzw. £T2 und £T3 an die Empfangsregister ER 1 bis ER 3. Sobald alle drei Vergleichsbefehle Vi bis V3 vorliegen, was durch den Befehlsvergleicher BTR2 ermittelt wird, wird der Vergleich aufgrund des Vergleichsstartkennzeichens VSN ausgelöst. Das Resultat des Ergebnisvergleiches wird den Datenverarbeitungsanlagen DVA 1 bis DVA 3 als Koordinierungs-Anzeigenwort K/4Tübermittelt. Bei völliger Übereinstimmung der drei Ergebniswörter ETX bis ET3 wird im Anzeigenregister AZR das Übereinstimmungszeichen UN markiert. Dies busagt für die drei Datenverarbeitungsanlagen DVA 1 bis DVA 3, daß das Programm, welches den Ergebnisvergleich angefordert hatte, fortgesetzt werden darf. Bei Abweichung eines der Ergebniswörter ETi, ETI, £T3 einer der Datenverarbeitungsanlagen DVAi bis DVA3 von den übrigen Ergebniswörtern wird im Anzeigenregister AZR der Wiederholungsbefehl WL markiert. Hinzu kommt die Kennzeichnung der betreffenden Datenverarbeitungsanlage durch eines der Kennzeichen IVG 1, WG 2 bzw. WGX Hierdurch sollen die Datenverarbeitungsanlagen DVA 1 bis DVA 3 aufgefordert werden, ein evtl. durch eine vorübergehende Störung verfälschtes Ergebniswort ETi bzw. £T2 oder £T3 noch einmal zu erarbeiten.

Ein bereits zum zweiten Mal erarbeitetes Ergebniswort ETi bzw. ET2 oder £T3 kennzeichnet die betreffende Datenverarbeitungsanlage DVA 1 bzw. DVA2 oder DVA 3 durch die Wiederholungsmarkierung WCIO, WG 20, bzw. WC 30 bei der Übergabe des zugehörigen Vergleichsbefehls Vl bzw. V2 oder V3. Aus dieser Kennzeichnung entnimmt das Koordinator-Element KT, und zwar der zweite Vergleicher VR2, welche der drei Datenverarbeitungsanlagen DVAl bis DVA 3 bei der vorangegangenen Erarbeitung der Ergebniswörter ein abweichendes Ergebnis zeigte. Wenn nun alle drei Ergebniswörter ETi bis ET3 völlige Übereinstimmung zeigen, wird vom zweiten Vergleicher VR 2 im Anzeigenregister AZR das Übereinstimmungskennzeichen LWmarkiert.

Bei einem erneuten Abweichen eines der Ergebniswörter ETi bis ET3 von den übrigen ist zwischen zwei Ursachen zu unterscheiden: Wenn das Ergebniswort von ein und derselben Datenverarbeitungsanlage zum zweiten Mal abweichend war, so wird diese Datenverarbeitungsanlage nunmehr abgeschaltet (Abschaltbefehl ALW). Den beiden übrigen Datenverarbeitungsanlagen mit den übereinstimmenden Ergebniswörtern wird der Abschaltvorgang im Koordinierungs-Anzeigenwort KAT durch den Abschaltbefehl ALW und die Markierung, welche der Datenverarbeitungsanlagen abgeschaltet wird (durch eines der Markierungszeichen MNi. MN2 bzw. MN3) mitgeteilt. Das Koordinator-Element /CTarbeitet von dem Zeitpunkt an nur noch mit zwei Datenverarbeitungsanlagen im sogenannten Zweirechner-Bctricb zusammen.

Wenn im Wiederholungsfall nicht dieselbe Datenverarbeitungsanlage, sondern eine andere im Ergebniswort ETi bzw. ET2 oder ET3 abweicht, wird eine erneute Wiederholung auf die oben beschriebene Art und Weise aufgrund des Wiederholungsbefehls WL in Verbindung mit nunmehr zwei der Kennzeichen WGl bis WG 3 angefordert

Beim Abschalten einer als defekt erkannten Datenverarbeitungsanlage stellt sich das Koordinator-Ele- ment KTselbsttätig auf den Zweirechner-Betrieb um, so daß eventuell noch eintreffende Befehls- und/oder Datenwörter in Form von Programmsynchronisierungs- oder Ergebniswörtern der abgeschalteten Datenverarbeitungsanlage ignoriert werden.

Nach der Reparatur der defekten Datenverarbeitungsanlage kann diese wieder in das gesamte Datenverarbeitungssystem eingefügt und das K.wdinator-Element KT wieder auf den Dreirechner-Betrieb umgestellt werden. Dies erfolgt mit Hilfe zweier der Umschaltbefehle Ui bis L/3 von den intakten Datenverarbeitungsanlagen des Gesamtsystems.

Die Funktionen der vorgesehenen Zeitüberwachungsglieder sind folgende:

Das Zeitüberwachungsglied ZDl wird jeweils bei

demjenigen Befehlswort der Befehlswörter BTi bis BT3 gestartet, das als erstes erscheint Innerhalb der für das Zeitüberwachungsglied ZDl vorgesehenen Laufzeit kontrolliert es, ob sich insgesamt mindestens zwei der Datenverarbeitungsanlagen DVA 1 bis DVA3 mit dem Vergleichsbefehl Vl bis V3 oder dem Umschaltbefehl Ui bis L/3 bzw. mit dem Synchronisierungsbefehl S1 bis 53 gemeldet haben. Wenn nach dem Ablauf der Laufzeit des Zeitüberwachungsgliedes ZDl keine der obengenannten Bedingungen erfüllt ist, gilt die auslö sende Datenverarbeitungsanlage als ausgefallen. Dieser Fall kann dem Bedienungsperson! optisch oder akustisch durch die Anzeige /Ifsignalisiert werden.

Wenn sich beim Koordinator-Element KT eine zweite Datenverarbeitungsanlage mit ihrem Befehls wort gemeldet hat, wird das zweite Zeitüberwachungs glied ZD 2 angestoßen. Dieses überprüft nun, ob sich innerhalb seiner Laufzeit auch noch die dritte Datenverarbeitungsanlage mit ihrem Befehlswort meldet. Ist dies nicht der Fall, wird diese Datenverarbei- tungsanlage als defekt angesehen und abgeschaltet Den beiden verbleibenden Datenverarbeitungsanlagen wird das Ablaufen einer Zeitüberwachung im ersten Fall über den Abschaltbefehl ALTi und im zweiten Fall durch den Abschaltbefehl ALT2 in Verbindung >.iit einem der Markierungskennzeichen MN 1 bis MN3 im Koordinierungs-Anzeigenwort /OiTmitgeteilt.

Wenn bei einem 'Jer programmspezifischen Zeitüberwachungsglieder PZD die vorgegebene Zeitspanne abgelaufen ist, wird zur Ermittlung der abzuschaltenden Datenverarbeitungsanlage ein Mehrheitsentscheid durchgeführt. Wenn die auslösende Bitstelle nur in einem einzigen der Programmsynchronisierungswörter BSTi bis BST3 gesetzt wurde, wird die betreffende Datenverarbeitungsanlage abgeschaltet. Wenn dagegen zwei Programmsynchronisierungswörter in der betreffenden Bitstelle markiert sind, wird diejenige Datenverarbeitungsanlage abgeschaltet, die keine Markierung für ein startbereites Programm gesetzt hatte. Auch diese Abschaltung wird den Datenverarbeitungsanlagen durch das betreffende Koordinierungs-Anzeigenwort K A /"signalisiert.

Die Schaltungsanordnung nach Fig. 2 zeigt ein Ausführungsbeispiel der beiden Zeitüberv/achungsglie-

der ZDl und ZDI (Fig. 1) in Verbindung mit einer Ansteuerung. In der Schaltungsanordnung nach Fig.2 und den übrigen Schaltungsanordnungen nach den F i g. 3 bis 5 sind für diejenigen Baugruppen oder Teile, die bereits vorher erläutert wurden, dieselben Bezugszeichen verwendet worden.

Die beiden Zeitüberwachungsglieder ZD1 und ZD 2 sind übereinstimmend aufgebaut und enthalten je eine monostabile Kippstufe MEi bzw. ME2, ein UND-Glied ND1 bzw. ND2 mit je einem negierten Eingang und je eine bistablige Kippstufe BK1 bzw. BK 2, deren Ausgang die Leitung L 7 bzw. L 8 für die Abschaltbefehle ALTi bzw. ALTl bildet Die Ansteuerung der beiden Zeitüberwachungsglieder ZDl und ZD 2 erfolgt über eine Anzahl von Logikschaltungen. Einerseits sind drei ODER-Glieder OC 1, OG 2 und OG3 und andererseits UND-Glieder UD5 bis UDiO vorgesehen, die eingangsseitig mit den Ausgangsleitungen LVi bis LV3, LSi bis LS3. LVi bis LU3 der drei Befehlsdecoder BDRi bis BDR3 (Fie. 1) verbunden sind. Den ODER-Gliedern OG1 bis~OG3 sind weiter UND-Glieder UD1 bis UD 4 sowie ein weiteres Oder-Glied OG 5, das mit dem Eingang des Zeitüberwachgungsgliedes ZD1 verbunden ist, angeschlossen. Die Ausgangssignale der UND-Glieder L'Dl bis UD3 gelangen über ein ODER-Glied OG 4 auf den Eingang des Zeitüberwachungsgliedes ZD2. Die Ausgangssignale der UND-Glieder UD5 bis UD10 gelangen über ein diesen nachgeschaltetes ODER-Glied OG 6, das ferner mit einer Ausgangslei»ung des Ausgangsregisters AGR für das Signal SFTNuil verbunden ist, auf den Rücksetzeingang RGi der monostabilcn Kippstufe MEi und auf den negierten Eingang dts UND-Gliedes NDi. Entsprechendes gilt sinngemäß für Jen Ausgang des UND-Gliedes UD4 im Hinblick auf den Rücksetzeingang RG 2 der monostabilen Kippstufe ME 2 und den Sperreingang des UND-Gliedes ND2 im Zeitüberwachungsgiied ZD 2.

Die bistabilen Kippstufen BK 1 und BK 2 müssen, wenn einer der Abschaltbefehle ALTi bzw. ALT2 nicht mehr ausgegeben werden soll, zurückgesetzt werden. Dies erfolgt jeweils über eine Steuerleitung LOl bzw. LO 2.

Im Schaltungszusammenhang mit den eingangsseitigen Schaltgliedern und dem Zeitüberwachungsglied ZD2 sind noch drei weitere UND-Glieder UDU, UD12 und UD13 vorgesehen, die mit je einem Eingang an die Leitung L 8 angeschlossen sind, die den Ausgang des ZeitUberwachungsgliedes ZD 2 bildet. Auf der anderen Seite ist jedes der UND-Glieder UDU bis UD13 mit dem Ausgang eines der UND-Glieder UDI bis UD3 verbunden. Die Ausgänge der drei UND-Glieder UD11 bis UD13 sind mit LlO, Z-Il und L12 bezeichnet. Im Schaltbild nach Fig. 1 ist für die Leitungen L 10 bis L12 die Sammelbezeichnung 2 LBE eingetragen.

Die Schaltungsanordnung nach F i g. 3 zeigt ein Ausführungsbeispiel des Befehlsvergleichers BTR1 (Fig. 1) zum Auslösen des Synchronisationsstartkennzeichens SSN über die Ausgangsleitung LSSN. Der Befehlsvergleicher BTR enthält vier UND-Glieder UD14 bis UDYI und ein diesen nachgeschaltetes ODER-Glied OG7. Je ein Eingang der UND-Glieder UD14 bis i7D16 ist mit der Leitung LSi, ein anderer Eingang der UND-Glieder UD14, fD15 und UD17 mit der Leitung LS2 und ein weiterer Eingang der UND-Glieder UDH, UD16 und UD17 ist mit der Leitung LS3 der Befehlsdecoder BDRi bis BDR3 (Fi g. I) verbunden. Die Leitung Li aus der Schaltungsanordnung nach Fig.2 ist an die restlichen Eingänge der UND-Glieder UDiS bis UD17 angeschlossen. Die Funktionsweise des Befehlsvergieichers BTRI ist bereits an Hand des Blockschaltbildes nach Fig. 1 ausführlich erläutert worden.

Die Schaltungsanordnung nach Fig.4 zeigt einen zweiten Befehlsvergleicher BTR 2 zum Auslösen des Vergleichsstartkennzeichens VSN über die Leitung LVSN mit einem der Schaltung nach Fig.3 entsprechenden Aufbau. Die Schaltung ist aufgebaut aus vier UND-Gliedern UD18 bis UD2i und einem diesem nachgeschalteten ODER Glied OG8, dessen Ausgang die Leitung LVSN bildet. Je ein Eingang der UND-Glieder UDiS bis L/D20 ist mit der Leitung LVi, je ein anderer Eingang der UND-Glieder UD 18, t/D 19 und UD2i mit der Leitung LV2 und je ein weiterer Eingang der UND-Glieder UD 18. UD20 und UD21 ist mit der Leitung LV3 der Befehlsdecoder BDRi bis BDR3 (Fig. 1) verbunden. Die restlichen Eingänge der UND-Glieder UD19 bis LO21 sind mit der Leitung Li der Schaltung nach Fig.2 verbunden. Die Wirkungsweise auch dieser Schaltungsanordnung dürfte im Hinblick auf die Erläuterungen für den Befehlsvergleicher BTR2 (Fig. 1) ausreichend verständlich sein.

Die Schaltungsanordnung nach Fig.5 zeigt nähere Einzelheiten im Hinblick auf die Empfangsregister ER 1, £7? 2 und ER 3 (F ig. 1). Jedes der drei Empfangsregister hat soviel Stellen wie Bitstellen in den Ergebnis- bzw. Programmsynchronisierungswörtern ETi bis £T3 bzw. BSTi bis ßS7"3 vorgesehen sind. An den Ausgängen der drei in diesem Beispiel als Schieberegister dargestellten Empfangsregister ER 1 bis ER 3 ist ein UND-Glied UD 22 angeschlossen, von dem ein zusätzlicher Steuereingang mit der Leitung LSSN (Fig. I) verbunden ist, die zu gegebener Zeit das Synchronisationsstartkennzeichen SSN führt. An das UND-Glied UD22 ist das ebenfalls ais Schieberegister dargestellte Ausgaberegister A GR sum Zwischenspeichern des Startfreigabewortes SFT angeschlossen. Sowohl die Stellen der drei Empfangsregister ER 1 bis ER 3 als auch die einzelnen Stellen des Ausgaberegisters AGR sind mit »0« oder »1« markiert. Die »0« ist jeweils eingetragen, vgl. beispielsweise die Stelle ER 11, wenn das dieser Stelle bzw. der Bitstelle des dem Empfangsregisler ER 1 zugeführten Programmsynchronisierungswortes BSTi zugeordnete Programm als nicht startbereit erklärt ist. Dagegen wird die »1« markiert, vgl. die Stellen ER 12 und ER 15, wenn das dieser Stelle bzw. der entsprechenden Bitstelle des übertragenen Programmsynchronisierungswortes

BSTi bzw. BST2 zugeordnete Programm durch die betreffende Datenverarbeitungsanlage DVA 1 bzw. D VA 2 als startbar angesehen wird.

Bei den drei in die Empfangsregister ER 1 bis £7? 3 eingeschriebenen Programmsynchronisierungswörter BSTi bis BST3 der drei Datenverarbeitungsanlagen DVA I bis DVA 3 stimmen beispielsweise bei den zweiten Bitstellen nur die Informationen der Stellen £7? 12 und ER22 mit einer markierten »I« überein, während die Stelle ER32 kein startbereites Programm anzeigt. Dagegen gibt es eine dreifache Übereinstimmung mit je einer »1« bei den Stellen ER 15, £7? 25 und ER 35. Aufgrund dieser Tatsache muß das zu bildende Startfreigabewort SFT an der entsprechenden Stelle ebenfalls mit einer »1« markiert werden. Der Vergleich des Informationsinhaltes der drei Empfangsregister

bis ER 3 erfolgt durch konjunktive Verknüpfung formationsinhaltes von Stellen gleicher Rangordmit Hilfe des UND-Gliedes UD22. Dabei werden nzelnen Vergleichsergebnisse zusammengefaßt in des Startfreigabewortes SfT im Ausgaberegister zwischengespeichert. Da im Ausführungsbeispiel lommen wurde, daß die übermittelten Programmronisierungswörter BSTl bis BST3 der drei iverarbeitijngsanlagen DVAl bis DVA 3 jeweils

nur an zwei Stellen eine dreifache Übereinstimmung aufweisen, zeigt auch das gebildete Startfreigabewort SFTnur an diesen Stellen jeweils eine »1«.

Im Zusammenhang mit der oben beschriebenen Schaltungsanordnung sei darauf hingewiesen, daß im Hinblick auf eine bessere Übersicht der Beispiele auf eine Darstellung von Taktleitungen und Taktversorgungen verzichtet wurde.

Hierzu 3 Blatt Zeichnungen

Claims (8)

Patentansprüche:

1. Datenverarbeitungssystem mit Koordinierung der Parallelarbeit von mindestens zwei Datenverarbeitungsanlagen unter Verwendung einer diesen gemeinsam zugeordneten Auswerteeinrichtung für von den einzelnen Datenverarbeitungsanlagen lieferbaren Meldungen zur Synchronisation der Datenverarbeitungsanlagen, dadurch gekennzeichnet, daß für die Datenverarbeitungsanlagen (DVA 1, DVA 2, DVA 3) ein einziges, in Fail-Safe-Technik aufgebautes Koordinator-Element vorgesehen ist, das für jede der Datenverarbeitungsanlagen (DVA 1 bis DVA3) ein mehrstelliges "5 Empfangsregister (ERX, ER 2, ER 3) aufweist, zur Aufnahme je eines aus einer festen Zeichenfolge bestehenden Programmsynchronisierungswot tes (BSTi, BSTZ BST3) der betreffenden Datenverarbeitungsanlage, wobei gleichwertige Bitstellen der ^o Programmsynchronisierungswörter (BSTX bis BST3) denselben Aufgaben, wie Programm bzw. Programmgruppe, zugeordnet sind, daß bei der Aufnahme des Programmsynchronisierungswortes (BSTX) jeweils alle die Stellen des betreffenden -5 Empfangsregisters (ER X) markiert werden, von denen das zugeordnete Zeichen des Programmsynchronisierungswortes (BSTX) die diesem Zeichen zugeordnete Aufgabe als startbereit erklärt, daß den Empfangsregistern (ER X bis ER 3) ein gemeinsames Ausgaberegister (AGR, Fig. 1,5) mit derselben Stellenzahl jvie dir Empfangsregister (ER X bis ER 3) zur Zwischenspeicherung eines Startfreigabewortes (SFQ für d^:-ι Datenverarbeitungsanlagen (DVAX bis DVA 3) zugeordnet ist, dessen Bitstellen kennzeichnen, welche gleichartige Aufgaben in den Datenverarbeitungsanlagen startbereit sind, und daß zwischen den Empfangsregistern (ER X bis ER 3) und dem Ausgaberegister ein erster Vergleicher (VR 1, Fig. 1: UD22, Fig.5) to vorgesehen ist, durch den die einzelnen Stellen des Ausgaberegislers (AGR) aufgrund einer jeweiligen konjunktiven Verknüpfung des Informationsinhaltes aller Stellen gleicher Rangordnung der Empfangsregister (ER X bis ER 3) markierbar sind (F ig. 1,5).

2. Datenverarbeitungssystem nach Anspruch 1, dadurch gekennzeichnet, daß das Koordinator-Element (KT) einen an die Empfangsregister (ER 1, ER 2, ER 3) angeschlossenen zweiten Vergleicher (VR 2) für aufgrund von Anwender- und/oder Testprogrammen durch die Datenverarbeitungsanlagen ermittelte Ergebnisse (ETX, ET2, ET3) enthält mit einer häufigeren Ergebniszuführung als es durch Ergebnisse aufgrund von in den Datenverarbeitungsanlagen (DVA X bis DVA 3) vom Prozeß ausgelösten Verarbeitungen der Fall ist, daß an den zweiten Vergleicher (VR 2) über gesonderte Ausgänge (XLVR2, 2LVR2) ein Anzeigenregister (AZR) angeschlossen ist zur Zwischenspeicherung eines die jedem Ergebnisvergleich bzw. jeder f« Programmsynchronisierung folgenden Tätigkeit der Datenverarbeitungsanlagen (DVA X bis DVA 3) beeinflussenden mehrbegriffigen Koordinierungs-Anzeigenwortes (KA T)(V i g. 1).

3. Datenverarbeitungssystem nach Anspruch 2, ''5 dadurch gekennzeichnet, daß in dem zweiten Vergleicher (VR 2) eine logische Schaltung vorgesehen ist, die bei einer erstmaligen Ergebnisabweichung einer der Datenverarbeitungsanlagen (DVA X bis DVA 3) vom Ergebnis (ETX, ET2, ET3) der anderen im Anzeigenregister (AZR) außer einer Meldung (WG 1, WG2, WG3) darüber, welche der Datenverarbeitungsanlagen (DVA X bis DVA 3) im Ergebnis (ETX, ET2, ET3) abwich, einen Wiederholungsbefehl (WL) für die zuletzt in den Datenverarbeitungsanlagen durchgeführte Verarbeitung markiert und daß in dem zweiten Vergleicher (VR 2) weitere logische Schaltmittel vorgesehen sind, die aufgrund einer nochmaligen Abweichung des Ergebnisses bei der Ausführung des Wiederholungsbefehles im Anzeigenregister (AZR) für die gestörte Datenverarbeitungsanlage (MNX, MN 2, MN3) einen Abschaltbefehl (A L W) markiert.

4. Datenverarbeitungssystem nach den Ansprüchen 2 und 3, dadurch gekennzeichnet, daß an den zweiten Vergleicher eine zum Prozeß führende Ergebnisausgabeleitung (L 6) angeschlossen ist, über welche das jeweilige »richtige« Ergebnis einer der Datenverarbeitungsanlagen fallweise durehgesehaitet werden kann.

5. Datenverarbeitungssystem nach den Ansprüchen 1 bis 3, dadurch gekennzeichnet, daß das Koordinator-Element (KT) ein erstes mit dem Anzeigenregister (AZR) verbundenes Zeitüberwachungsglied (ZD X) enthält, daß bei einem von den Datenverarbeitungsanlagen (DVAX bis DVA 3) jeweils zuerst ausgegebenen Befehlswort (BTX, BT2, BT3) staribar und vor dem Ablaufen eines vorgegebenen Zeitraumes durch das Befehlswort (BTX, bzw. BT2 bzw. BT3) einer der anderen Datenverarbeitungsanlagen (DVAX bis DVA 3) rücksetzbar ist und daß das erste Zeitüberwachungsglied (ZDX) nach dem Ablaufen des vorgegebenen Zeitraumes im Anzeigenregister (AZR) einen Abschaltbefehl (ALTX) für die auslösende Datenverarbeitungsanlage (DVA X bzw. DVA 2 oder DVA 3) markiert, daß ferner im Koordinator-Element (CKT) ein Befehlswortvergleicher (BE)vorgesehen ist, der über eine logische Schaltung (LSG) im Anzeigenregister (AZR) eine Markierung (MNX bzw. MN2 oder MN3) vornimmt, welche der Datenverarbeitungsanlagen (DVA X bis DVA 3) sich als einzige gemeldet hat.

6. Datenverarbeitungssystem nach den Ansprüchen 1 bis 3 und Anspruch 5, dadurch gekennzeichnet, daß das Koordinator-Element (KT) ein zweites mit dem Anzeigenregister (AZR) verbundenes Zeitüberwachungsglied (ZD2) enthält, das durch ein im Anschluß an ein von einer ersten Datenverarbeitungsanlage (z. B. DVA X) abgegebenes Befehlswort (BTX) übertragenes weiteres Befehlswort (BT2) einer zweiten Datenverarbeitungsanlage (z. B. DVA 2) startbar und vor dem Ablaufen eines vorgegebenen zweiten Zeitraumes durch das Befehlswort (BT3) einer dritten Datenverarbeitungsanlage (DVA 3) rücksetzbar ist und daß das zweite Zeitüberwachungsglied (ZD 2) nach dem Ablaufen des vorgegebenen zweiten Zeitraumes im Anzeigenregister (AZR) einen Abschaltbefehl (ALT2) und der Befehlswortvergleicher (BE über 2LBE) markiert (MNX bis MN3) welche Datenverarbeitungsanlage (DVA X bis DVA 3) abzuschalten ist. (F i g. I,

7. Datenverarbeitungssystem nach den Ansprüchen 1 und 3, dadurch gekennzeichnet, daß im Koordinator-Element (KT)für eine programmspezi-

fische Zeitüberwachung im Schaltungszusammenhang mit den Empfangsregistern (ER I bis ER 3) und dem ersten Vergleicher (VR 1) für jede Bitstelle gleicher Rangordnung der Programmsynchronisierungswörter (BSTi bis BST3) je ein weiteres Zeitüberwachungsglied (PZD) mit zugeordneter Laufzeit vorgesehen ist, das im Einzelfall dann startbar ist, wenn noch nicht alle zugeordneten Bitstellen von vorliegenden Programmsynchi'onisierungswörtem (BSTi bis BST3) im Hinblick auf ein startbereites Programm markiert sind und welches Zeitüberwachgungsgüed vor Beendigung der zugeordneten Laufzeit rücksetzbar ist von einem an der betreffenden Bitstelle im Hinblick auf das zu startende Programm markierten Startfreigabe wort >5 (SFT) und daß jedes aer programmspezifischen Zeitüberwachungsglieder (PZD) nach dem Ablaufen im Anzeigenregister (AZR) einen diesbezüglichen Abschaltbefehl (ALTP) und die betreffende Datenverarbeitungsanlage markiert (MNi, MN2, MN3) (Fig.!)-

8. Datenverarbeitungssystem nach den Ansprüchen 1 bis 3, dadurch gekennzeichnet, daß der Befehlswortvergleicher (BE) in einem anderen Fall in Verbindung ebenfalls mit einem Abschaltbefehl (ALB) meldet, welche der Datenverarbeitungsanlagen (DVAi bis DVA 3) ein von den übrigen Befehlswörtern (z.B. BTi, BT2) abweichendes Befehlswort (BT3) auslöste (F i g. 1,2).

30