DE2741379A1

DE2741379A1 - Rechnersystem

Info

Publication number: DE2741379A1
Application number: DE19772741379
Authority: DE
Inventors: Rudolf Dipl Ing Kober
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 1977-09-14
Filing date: 1977-09-14
Publication date: 1979-03-15
Also published as: FR2403598B1; CA1143026A; JPS618988B2; FR2403598A1; GB2004673A; GB2004673B; JPS5451439A; IT1098538B; IT7827595A0; NL7809313A; BE870484A

Description

SIEMENS AKTIENGESELLSCHAFT Unser Zeichen

Berlin und München J] ψ 7 1 2 k BRO

Rechnersystem

Die vorliegende Erfindung betrifft ein Rechnersystem, bei dem zwei oder mehrere Rechnermoduln, jeder bestehend aus einem Einzelrechner, einem Koppelspeicher und einem Arbeitsspeicher, an eine Systemschiene, bestehend aus einer Steuer- und Adressenschiene und einer Datenschiene ankoppelbar sind, bei dem umschaltbar entweder ein Zugriff von der Systemschiene oder vom Einzelrechner her auf seinen Koppelspeicher ermöglicht ist und bei dem nur der Einzelrechner zu seinem Arbeitsspeicher Zugriff hat, und bei dem die Systemschiene an einen Steuerrechner ankoppelbar ist.

Ein Rechnersystem der eingangs genannten Art ist bekannt (DT-OS 25 46 202). Dieses Rechnersystem arbeitet in einem Drei-Phasen-Betrieb. Die erste Phase besteht in einer Steuerphase, während der nur der Steuerrechner arbeitet, sein Programm durchführt und den Einzelrechnern mitteilt, welche Aufgabe sie in der folgenden Phase zu lösen haben. Die zweite Phase besteht in einer autonomen Phase, während der die Einzelrechner gleichzeitig und unabhängig voneinander die ihnen übertragenen Aufgabe lösen, ohne mit dem Steuerrechner oder dessen Speicher in Verbindung zu treten und dann die Ausführungen ihrer Aufgabe durch ein "HALT"-Signal an den Steuerrechner melden. Die dritte Phase besteht in einer Datenaustauschphase, die einsetzt, nachdem der Steuerrechner von allen oder einer durch die Schaltung festgelegten Auswahl von Einzelrechnern ein "HALT"-Signal erhalten hat und während der gesteuert von dem Steuerrechner der Datenaustausch

90981 1 /0572 Ed 1 Sti/5.9.77

77 P 7 1 2 4 BRD

zwischen den Speichern der Einzelrechner und ggf. des Steuerrechners erfolgt.

Für bestimmte Einsatzgebiete von Datenverarbeitungsanlagen, z.B. bei Prozeßsteuerung-Überwachung, beispielsweise von Kernkraftwerken und in Navigationssystemen für Flugkörper, werden Rechnersysteme mit hoher Zuverlässigkeit benötigt.

Die Zuverlässigkeit von Datenverarbeitungsanlagen läßt sich durch Redundanz im Aufbau erhöhen, beispielsweise durch mehrfache Ausführung kritischer Komponenten, etwa einer Zentraleinheit mit Arbeitsspeicher, wobei bei abweichenden Ergebnissen das von der Mehrheit der Komponenten ausgegebene Ergebnis weiter verwendet wird oder in der Organisation, beispielsweise durch redundante, fehlerkorrigierende Codes. Eine wesentliche Forderung an die Organisation besteht darin, daß bei Auftreten von Fehlern die Berechnungen ohne oder mit nur geringem Zeitverlust fortgesetzt werden können. Es genügt nicht, fehlerhafte Komponenten zu isolieren und zu ersetzen und anschließend die bearbeitete Aufgabe JO erneut von Anfang an durchzurechnen. Sofern dies überhaupt möglich ist, wäre der hierbei auftretende Zeitverlust meist nicht vereinbar mit den Anforderungen der Realzeitprobleme.

Es ist die Aufgabe der vorliegenden Erfindung, ein Rechnersystem anzugeben, die auch Echtzeitbetrieb trotz Ausfall einzelner Komponenten ermöglicht.

Die Aufgabe wird mittels eines Rechnersystems der eingangs genannten Art dadurch gelöst, daß ein Sicherstellungsspeicher, auf den der Steuerrechner über die Systemschiene Zugriff hat und ein weiterer Speicher, auf den der Steuerrechner ebenfalls Zugriff hat, vorgesehen sind.

Mit diesem Rechnersystem kann eine hohe Zuverlässigkeit erreicht werden, wenn es so betrieben wird, daß zur Bearbeitung des Anwenderprogrammes der Steuerrechner, der weitere Speicher und ein Teil der vorhandenen Moduln verwendet werden, daß in regelmäßigen Abständen eine Überwachungsphase eingeschoben wird, in denen alle Einzelrechner durch Testprogramme, die in den Arbeitsspei-

909811/0572

77 P 7 1 2 4 BRO

ehern der Moduln abgespeichert sind, auf Funktionstüchtigkeit überprüft werden, daß defekte Moduln angezeigt werden, daß für den Fall, daß keine defekten Moduln erkannt werden, die bis dahin errechneten Zwischenergebnisse in den Sicherstellungsspeiche: abgelegt werden und die Weiterbearbeitung des Anwenderprogramms normal fortgesetzt wird, daß für den Fall, daß ein oder mehrere defekte Moduln erkannt werden, diese durch Moduln aus den übrigen zur Bearbeitung des Anwenderprogramms nicht herangezogenen Moduln ersetzt werden, wobei dazu in jedem ersetzenden Mdoul die Einzelrechneraufgabe des zu ersetzenden Moduls vom weiteren Speicher, in dem das gesamte Anwenderprogramm abgespeichert ist, geladen wird, und daß danach die weitere Bearbeitung mit den letz ten gesicherten Zwischenergebnissen aus dem Sicherstellungsspeicher fortgesetzt wird.

Vorteilhafterweise wird dabei das Rechnersystem zur Bearbeitung des Anwenderprogramms im Drei-Phasen-Zyklus betrieben.

Vorteilhafterweise wird dabei das Rechnersystem so betrieben, daß nach möglichst wenig Phasenzyklen zwischen autonomer Phase und der nächsten Datenaustauschphase zusätzlich eine Überwachungsphase eingeschoben wird.

Zum Auslösen der Überwachungsphasen ist das Rechnersystem vorteilhafterweise mit einem Taktgeber ausgestattet, der an den Steuerrechner gekoppelt ist und mit der Periode des Taktes die Überwachungsphasen auslöst.

Für den Austausch eines defekten Moduls durch einen intakten ist es zweckmäßig, wenn jeder Modul zur Kennzeichnung eine feste und eine vom Steuerrechner aus änderbare Modulnummer hat. Das Austauschverfahren wird dann zweckmäßigerweise so durchgeführt, daß die änderbaren Modulnummern der defekten Moduln mit denen von intakten Moduln ausgetauscht werden, wobei dabei ihre festen Modulnummern zur Adressierung verwendet werden.

Vorteilhafterweise ist das Rechnersystem mit einer Zeitüberwachungsvorrichtung ausgestattet, die an den Steuerrechner angekoppelt ist, die eine unzulässig lange autonome Phase anzeigt

90981 1/0572

77 P 7 1 2 4 BRQ

und dabei sofort eine zusätzliche Überwachungsphase einleitet.

Das Rechnersystem kann vorteilhafterweise auch so ausgebildet sein, daß jeder Modul eine Paritätserzeugungs- und prüfeinheit aufweist, die den Modul ständig überwacht und beim Erkennen eines Defekts diesen durch eine Paritätsfehlermeldung dem Steuerrechner meldet und dadurch sofort eine Überwachungsphase auslöst.

Die Erfindung sei anschließend anhand der Figur näher erläutert.

Die Figur zeigt in schematischer Darstellung ein Ausführungsbeispiel der Erfindung.

Bei diesem Ausführungsbeispiel sind an die Systemdatenleitung Rechnermoduln 11, 12, 13» 15, 16 und 18 angekoppelt. Jeder Modul umfaßt einen Koppelspeicher KS, einen Einzelrechner ER und einen Arbeitsspeicher AS. In jedem Modul hat nur der Einzelrechner Zugriff auf seinen Arbeitsspeicher, während auf den Koppelspeicher wahlweise ein Zugriff vom Einzelrechner oder von der Systemschiene her erfolgen kann. Jeder Modul ist zur Fehlererkennung mit einer Paritätserzeugungs- und prüfeinheit ausgestattet und besitzt für die Paritätsfehlermeldung einen eigenen Ausgang a. Zur Kennzeichnung hat jeder Modul eine feste sowie eine vom Steuerrechner aus änderbare Modulnummer. Weiter ist ein Steuerrechner STR vorhanden, der an die Systemschiene 1 ankoppelbar ist, der Zugriff auf einen weiteren Speicher GS und über diese Systemschiene Zugriff auf einen Sicherstellungsspeicher SS hat. Der weitere Speicher besteht vorzugsweise aus einem schnellen Grpßspelcher, z.B.

Plattenspeicher. Sämtliche Einzelrechner sind vorzugsweise Mikroprozessoren. Der Sicherstellungsspeicher gleicht im Aufbau vorzugsweise dem Koppelspeicher eines Moduls. Weiter ist ein Taktgeber T und eine Zeitüberwachungsvorrichtung ZU, die beide an den Steuerrechner gekoppelt sind, vorhanden. Der Taktgeber löst mit seiner Taktperiode regelmäßig Überwachungsphasen aus. Sämtliche Ausgänge a der Rechnermoduln sind ebenfalls mit dem Steuerrechner verbunden.

909811/0572

Im folgenden sei das Zusammenwirken aller beschriebenen Komponenten erläutert. Es sei dabei angenommen, daß die Moduln 11 bis 15 zur Bearbeitung des Anwenderprogramms herangezogen sind, während die Moduln 16 bis 18 redundante Moduln sind. Das Rechnersystem, das das Anwenderprogramm bearbeitet, besteht aus den Moduln 11 bis 15, dem Steuerrechner und dem weiteren Speicher und kann so viele Teilaufgaben des Anwenderprogramms gleichzeitig bearbeiten, wie Rechnermoduln 11 bis 15 vorhanden sind. Das Rechnersystem arbeitet im eingangs beschriebenen Drei-Phasen-Zyklus. Der Rechnerzustand ist nach jedem Drei-Phasen-Zyklus festgelegt, durch die in den Moduln gespeicherten Einzelaufgaben und durch die ausgetauschten Ergebnisse, die in erster Linie Zwischenergebni s se sind.

Während die Einzelaufgaben fest sind und z.B. vom weiteren Speicher abgerufen werden können, müssen die Zwischenergebnisse jeweils sichergestellt werden. Dies erfolgt zusammen mit einer Überprüfung des Rechners in zusätzlich eingeschobenen Überwachungsphasen.

Die Dauer zwischen zwei Uberwachungsphasen wird durch die Periodendauer des Taktgebers T festgelegt. Der Taktgeber sendet eine Unterbrechungsanforderung an den Steuerrechner, der vor der nächsten Datenaustauschphase eine Überwachungsphase einschiebt.

Der Steuerrechner startet dazu in allen Moduln vorhandene Testprogramme, die eine Funktionsprüfung der Module vornehmen. Dabei müssen Testgrogramme verwendet werden, die bei fehlerlosen Moduln den Speicherinhalt nicht bleibend verändern. Fehlermeldungen werden im Koppelspeicher KS abgelegt. Der Steuerrechner prüft nun, ob Fehlermeldungen solcher Moduln vorliegen, die mit der Bearbeitung einer Teilaufgabe betraut sind. Ist dies nicht der Fall, so wird für die nachfolgende Datenaustauschphase der Sicherstellungsspeicher an die Systemschiene gekoppelt, um die Zwischenergebnisse simultan mit den Koppelspeichern der mit Teilaufgaben betrauten Moduln zu übernehmen. Die weitere Bearbeitung des Anwenderprogramms wird dann ohne Änderung fortgesetzt.

909811/0572

_#_ t 77 P 7 1 2 4 BRD

Treten jedoch Fehler auf, so werden die defekten Moduln durch intakte, bisher unbenutzte Moduln ersetzt.

Dies erfolgt in folgenden Schritten: Die vom Steuerrechner her änderbaren Modulnnummern der freien und der defekten Moduln werden ausgetauscht und während dieses Vorgangs über die festen Modulnnummern adressiert. Anschließend werden die fehlenden Sinzelaufgaben vom weiteren Speicher, in dem das Anwenderprogramm vollständig abgespeichert ist, nachgeladen. Für die Dauer der nachfolgenden Datenaustauschphase wird der Sicherstellungsspeicher an die Systemschiene angekoppelt. Im Gegensatz zum fehlerlosen Fall, wo die Zwischenergebnisse in den Sicherstellungspeicher eingeschrieben wurden, ist er jetzt die Quelle gesicherter Ergebnisse. Sie werden vom Sicherstellungsspeicher ausgelesen und in die Koppelspeicher übertragen.

Damit sind die Voraussetzungen für einen Wiederanlauf des Systems gegeben. Der Einsetzpunkt ist die Steuerphase, die sich an den letzten Phasenzyklus mit fehlerfreier Überwachungsphase anschließt.

Außer vom Taktgeber T können Überwachungsphasen auch durch die Zeitüberwachungsvorrichtung ZU, die eine unzulässig lange autonome Phase anzeigt, oder durch eine am Ausgang a erscheinende Paritäts-Fehlermeldung eines der Moduln ausgelöst werden. In diesen Fällen werden die Moduln sofort und nicht erst nach Abschluß der autonomen Phase überprüft.

9 Patentansprüche
1 Figur

909811/0572

Claims

Patentansprüche

Rechnersystem, bei dem zwei oder mehrere Rechnermoduln, jeder bestehend aus einem Einzelrechner, einem Koppelspeicher und einem Arbeitsspeicher, an eine Systemschiene, bestehend aus einer Steuer- und Adressenschiene und einer Datenschiene ankoppelbar sind, bei dem umschaltbar entweder ein Zugriff vorder Systemschiene oder vom Einzelrechner her auf seinen Koppelspeicher ermöglicht ist und bei dem nur der Einzelrechner zu seinem Arbeitsspeicher Zugriff hat und bei dem die Systemschiene an einen Steuerrechner ankoppelbar ist, dadurch gekennzeichnet , daß ein Sicherstellungsspeicher (SS), auf den der Steuerrechner über die Systemschiene Zugriff hat und ein weiterer Speicher (C-S), auf den der Steuerrechner ebenfalls Zugriff hat, vorgesehen sind.
2. Verfahren zum Betrieb eines Rechnersystems nach Anspruch 1, dadurch gekennzeichnet, daß zur Bearbeitung des Anwenderprogramms der Steuerrechner, der weitere Speicher und ein Teil der vorhandenen Moduln verwendet werden, daß in regelmäßigen Abständen eine Überwachungsphase eingeschoben wird, in denen alle Einzelrechner durch Testprogramme, die in den Arbeitsspeichern der Moduln abgespeichert sind, auf Funktionstüchtigkeit überprüft werden, daß defekte Moduln angezeigt werden, daß für den Fall, daß keine defekten Moduln erkannt werden, die bis dahin errechneten Zwischenergebnisse in den Sicherstellungsspeicher abgelegt werden und die Weiterverarbeitung des Anwenderprogramms normal fortgesetzt wird, daß für den Fall, daß ein oder mehrere defekte Moduln erkannt werden, diese durch Moduln aus den übrigen zur Bearbeitung des Anwenderprogramms nicht herangezogenen Moduln. ersetzt werden, wobei dazu in jedem ersetzenden Modul die Einzelaufgabe des zu ersetzenden Moduls vom weiteren Speicher, in dem das gesamte Anwenderprogramm abgespeichert ist, geladen wird, und daß danach die weitere Bearbeitung mit den letzten gesicherten Zwischenergebnissen aus dem Sicherstellungsspeicher fortgesetzt wird.

90981 1/0572

ORIGINAL INSPECTED

77 P 7 1 2 4 BRD
3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß das

Rechnersystem zur Bearbeitung des Anwenderprogramms im Drei-Phasen- Zyklus betrieben wird.
4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß nach möglichst wenigen Phasenzyklen zwischen autonomer Phase und der nächsten Datenaustauschphase zusätzlich eine Überwachungsphase eingeschoben wird.
5. Rechnersystem nach Anspruch 1, dadurch gekennzeichnet, daß

es zum Auslösen von Überwachungsphasen mit einem Taktgeber ausgestattet ist, der an den Steuerrechner gekoppelt ist und mit der Periode des Taktes die Überwachungsphasen auslöst.
6. Rechnersystem nach Anspruch 1 oder 5, dadurch gekennzeichnet, daß jeder Modul zur Kennzeichnung eine feste und vom Steuerrechner aus änderbare Modulnummer hat.
7. Verfahren nach Anspruch 2, 3 oder 4 zum Betrieb eines Rechnersystems nach Anspruch 6, dadurch gekennzeichnet, daß das Austauschverfahren, durch das defekte Moduln durch intakte Moduln ersetzt werden, so durchgeführt wird, daß die änderbaren Modulnummern der defekten Moduln mit denen von intakten Moduln ausgetauscht werden, wobei dabei ihre festen Modulnummern zur Adressierung verwendet werden.
8. Rechnersystem nach Anspruch 1, 5 oder 6, dadurch gekennzeichnet, daß es mit einer Zeitüberwachung ausgestattet ist, die an den Steuerrechner ausgestattet ist, die an den Steuerrechner angekoppelt ist, die eine unzulässig lange autonome Phase anzeigt und dabei sofort eine zusätzliche Überwachungsphase einleitet.
9. Rechnersystem nach Anspruch 1, 5, 6 oder 8, dadurch gekennzeichnet, daß jeder Modul eine Paritätserzeugungs- und prüfeinheit aufweist, die den Modul ständig überwachung und beim Erkennen eines Defekts diesen durch eine Paritätsfehlermeldung dem Steuerrechner meldet und dadurch sofort eine Überwachungsphase auslöst.

909811/0572