DE3009355A1 - Redundantes rechnersystem - Google Patents

Description

• Redundantes Rechnersystem
• Die Erfindung betrifft ein redundantes Rechnersystem nach dem Oberbegriff des Anspruchs 1.
• Zur Steuerung von Schienenfahrzeugen, aber auch aus anderen Bereichen der Technik, in denen es auf höchstmögliche Sicherheit der Datenverarbeitung ankommt, sind redundante Mehrrechnersysteme bekannt, bei denen alle Ergebnisse in zwei oder mehr voneinander unabhängigen Rechnern parallel erarbeitet und miteinander verglichen werden. Bei Einsatz von mehr als zwei voneinander unabhängigen Rechnern wird häufig ein Mehrheitsentscheid durchgeführt, wenn voneinander abweichende Ergebnisse festgestellt wurden. In einem in der DE-PS 21 08 496 beschriebenen Dreirechnersystem werden die den Vergleich und den Mehrheitsentscheid bewerkstelligenden Einrichtungen in regelmäßigen Zeitabständen durch die Ausgabe absichtlich gefälschter Bits geprüft.
• Um die Empfindlichkeit solcher Mehrrechnersysteme gegenüber induktiven Einstreuungen herabzusetzen, wird in einem in der DE-AS 27 25 922 beschriebenen Mehrrechnersystem von einer streng synchronen Arbeitsweise abgegangen und ein zeitlicher Versatz im Ablauf der Rechnerprogramme herbeigeführt. Zum Vergleich und Mehrheitsentscheid müssen die Rechner dann aufeinander warten, was zusätzliche Rechenzeit erfordert. In der DE-OS 28 13 079 schließlich, ist ein Mehrrechnersystem beschrieben, in dem diese zusätzliche Rechenzeit wesentlich reduziert ist.
• Bei den zuletzt genannten Rechnersystemen erfolgt der Vergleich der Verarbeitungsergebnisse bitparallel in einer besonderen, signaltechnisch sicheren Vergleichsschaltung.
• Diese besondere, sichere Vergleichsschaltung (sicherer Hardware-Vergleicher) kann eingespart werden, wenn ein sogenannter Software-Vergleich durchgeführt wird. Hier tauschen die Einzelrechner die von ihnen ermittelten Ergebnisse untereinander aus und jeder Rechner vergleicht dann sein eigenes Ergebnis mit dem der Nachbarrechner. Bei einem solchen Software-Vergleich kann die auszutauschende Datenmenge bei dichter Vergleichsfolge sehr groß werden. Insbesondere, wenn nicht nur die Verarbeitungsergebnisse der Rechner, sondern auch andere wichtige Informationen, wie z.B. Rechnereingaben oder Speicherinhalte durch Vergleich geprüft werden sollen, kann die auszutauschende Datenmenge rasch so graß werden, daß der Datenaustausch einen beachtlichen Teil der Rechnerkapazität in Anspruch nimmt.
• In anderem Zusammenhang ist unter dem Stichwort Signaturanalyse" ein Verfahren zur Funktionsprüfung komplexer digitaler Schaltungen bekannt - siehe z.B Hewlett Packard, Application Note 222-1 - bei welchem einwandfreies Arbeiten der betreffenden SchaTtungen durch Auswertung von an bestimmten Schaltungspunkten auftretenden Datenströmen überprüft wird. Dabe-i wird eine während eines genau definierten Arbeitszyklus an der Qberwachungsstelle auftretende Datenmenge seriell in ein rückgekoppeltes Schieberegister eingegeben und danach der im Schieberegister verbleibende Datenrest mit einem abgespeicherten Sollwert verglichen. Die Verwendung rückgekoppelter Schieberegister zur Redundanzbildung und -prüfung (zyklische Codes) ist auch zum Zweck der Datensicherung auf Datenübertragungsstrecken bekannt.
• Die Erfindung, die im übrigen dem kennzeichnenden Teil des Anspruchs 1 zu entnehmen ist, ermöglicht nun durch Einsatz der für sich bekannten rückgekoppelten Schieberegister zur Datenreduktion einen Software-Vergleich bei Mehrrechnersystemen in dichter zeitlicher Folge und unter Einbeziehung wichtiger, nicht an den Ausgaben der Einzel rechner anstehender Informationen ohne eine Erhöhung der zwischen den Einzelrechnern auszutauschenden Datenmengen. Bei Mehrrechnersystemen, in denen ein Datenvergleich in einer externen Vergleichseinrichtung stattfindet, gestattet die Erfindung den Einsatz einer wesentlich einfacheren und weniger leistungsfähigen Vergleichseinrichtung.
• Anhand einer Figur soll im Folgenden ein Ausführungsbeispiel des erfindungsgemäßen redundanten Rechnersystems beschrieben werden. In der Figur ist dargestellt ein redundantes Zweirechnersystem,bestehend aus zwei Einzel rechnern R1 und R2 mit Eingaberegistern El, E2 und Ausgaberegistern Al, A2, einer Auswahl- und Durchschalteinrichtung AD und zwei rückgekoppelten Schieberegistern SR1, SR2, von denen jedes einem der Rechner zugeordnet ist. Die zu verarbeitenden Daten werden den Rechnern über ihre Eingänge paralleizugeführt. Dies kann zeitversetzt oder synchron erfolgen. Die an den Rechnerausgängen anstehenden Verarbeitungsergebnisse werden erst dann von der Auswahl- und Durchschalteinrichtung AD zur weiteren Verwertung freigegeben, wenn ihre Übereinstimmung geprüft worden ist. Hierzu tauschen die Rechner bei einem Software-Vergleich nach dem Stand der Technik ihre Verarbeitungsergebnisse untereinander aus und jeder Rechner vergleicht die vom Nachbarrechner erhaltenen Daten mit den von ihm selbst ermittelten. Er gibt ein besonderes Signal an die Auswahl- und Durchschalteinrichtung ab, wenn der Vergleich Übereinstimmung ergibt. Um nicht alle an den Rechnerausgängen anstehenden Daten austauschen zu müssen, was infolge der großen Datenmengen viel Zeit erfordern würde, werden beim Rechnersystem nach der Erfindung die von jedem Rechner erarbeiteten Daten seriell über Verbindungsleitungen 1, 2 dem zum jeweiligen Rechner gehörenden rückgekoppelten Schieberegister SR1, SR2 zugeführt. Die rückgekoppelten Schieberegister verknüpfen die eingegebenen Daten zyklisch mit einem aus der Informationstheorie bekannten Polynom und führen auf diese Weise eine Datenreduktion durch. Bei einer Hamming-Distanz von H = 4 können mit einem 16 Bit Schieberegister auf diese Weise über 32 000 Bit gesichert werden. Der Vergleich erfolgt nach Eingabe von jeweils bis zu 32 000 Bit zwischen den 16 Bit-Worten der Schieberegister. Zum Vergleich werden die Schieberegister über Datenleitungen 3, 4 von den Rechnern abgefragt.
• Der Vergleich zur Datensicherung braucht sich nicht auf die Verarbeitungsergebnisse der Rechner zu beschränken. Es können z.B. auch über Verbindungsleitungen 5 und 6 die in den Eingaberegistern El, E2 stehenden Daten den Schieberegistern zugeführt werden und es kann auf diese Weise überprüft werden, ob während der Dateneingabe - etwa durch induktive Einstreuung -eine Verfälschung der zu verarbeitenden Information erfolgt ist.
• Die Daten aus den Eingaberegistern brauchen dabei nicht notwendig getrennt von den Verarbeitungsergebnissen der Rechner geprüft werden, sie können auch vermischt mit Verarbeitungsergebnissen in die Schieberegister eingegeben werden. Die Eingabe muß lediglich bei beiden Schieberegistern in der gleichen Reihenfolge erfolgen und die maximal zulässige, zu reduzierende Datenmenge (32 000 Bit) darf nicht überschritten werden.
• Mit Hilfe der rückgekoppelten Schieberegister kann auch eine Prüfung der Information von im Rechnersystem enthaltenen, in der Figur nicht dargestellten Speichern vorgenommen werden.
• Die in Festwertspeichern enthaltenen Daten werden hierzu von den Einzel rechner ausgelesen und über deren Ausgaben den Schieberegistern zugeführt. Der Vergleich der reduzierten Daten erfolgt wie bei der Prüfung der Verarbeitungsergebnisse, durch die Rechner. Um die Funktionsfähigkeit von Schreib-Lese-Speichern (RAM's) zu prüfen, werden diese nach einem Prüfprogramm geladen und der Inhalt anschließend wie bei den Festwertspeichern geprüft. Bei Festwertspeichern besteht die Möglichkeit, zusätzlich zum Vergleich der reduzierten Datenmengen, wie bei der Signaturanalyse einen Vergleich dieser Datenmengen mit einem fest abgespeicherten Prüfwert durchzuführen. Dies ist insbesondere dann von Vorteil, wenn defekte Festwertspeicher gegen lang gelagerte, vorprogrammierte Ersatzbauelemente ausgewechselt werden müssen.
• L e e r s e i t e

Claims (3)

1. Patentansprüche: Redundantes Rechnersystem aus mindestens zwei mit Eingaben und Ausgaben ausgestatteten Einzel rechnern und mehreren Speichern, bei dem die Einzel rechner alle Ergebnisse parallel erarbeiten und bei dem eine Prüfung der Verarbeitungsergebnisse durch Datenvergleich erfolgt, d a d u r c h g e k e n n z e i c h n e t , daß mit den Ausgaben (Al, A2) der Einzel rechner (R1, R2) rückgekoppelte Schieberegister (SR1, SR2) verbunden sind, in die die Verarbeitungsergebnisse seriell eingegeben werden, und daß nach Eingabe von jeweils vorgegebenen, die Kapazität eines Schieberegisters übersteigenden Datenmengen in die Schieberegister ein Vergleich der in den Schieberegistern befindlichen Datenmengen erfolgt.
2. 2. Redundantes Rechnersystem nach Anspruch 1, d a d u r c h g e k e n n z e i c h n e t , daß zusätzlich in vorgegebenen Zeitabständen eine Prüfung der Inhalte der Speicher des Rechnersystems erfolgt, daß dabei die Speicherinhalte seriell in die rückgekoppelten Schieberegister eingegeben werden und die nach Eingabe von vorgegebenen Datenmengen in die Schieberegister in diesen befindlichen Datenmengen mit in einem besonderen Speicher abgespeicherten, fest vorgegebenen Werten und/oder untereinander verglichen werden.
3. 3. Redundantes Rechnersystem nach Anspruch 1 oder Anspruch 2, d a d u r c h g e k e n n z e i c h n e t , daß die Eingaben (Ei, E2) der Einzel rechner mit den Eingängen der rückgekoppelten Schieberegister verbunden sind und daß in die rückgekoppelten Schieberegister auch die den Rechnereingaben zugeführte Information eingegeben wird.