DE3037150C2 - Sichere Datenverarbeitungseinrichtung - Google Patents

Description

Die Erfindung bezieht sich auf eine sichere Datenverarbeitungseinrichtung, wie sie im Oberbegriff des Anspruches 1 näher definiert ist.

Eine derartige Datenverarbeitungseinrichtung ist z. B. durch die DE-AS 27 25 922 bekanntgeworden. Dabei wird mit einem 3-Rechner-System gearbeitet, wobei die einzelnen Ergebnisse parallel miteinander verglichen und bei entsprechender Obereinstimmung ausgegeben werden. Zur Vermeidung von gleichzeitigen, gleichartigen Fehlern durch Störimpulse ist eine Zeitverzögerung für den Verarbeitungsbeginn zwischen den einzelnen Rechnern vorgesehen, wodurch zu einem Zeitpunkt in den Rechnern jeweils unterschiedliche Programmabschnitte bearbeitet werden. Diese würden verschiedene Fehler verursachen können, die dann erkennbar wären. Das beschriebene System ar-w>eitet mit

ίο gleicher Software, doch ist auch unterschiedliche Software einsetzbar. Die Ergebnisse der Prozessoren werden zu verschiedenen Zeiten der Vergleicherbaugruppe zugeführt, was Wartezeiten bedeutet. Solche Wartezeiten sind unerwünscht, weil sie die Verarbeitungsgeschwindigkeit nachteilig mindern.

Andere Mehrrechnersysteme für den Einsatz bei hoch zuverlässigen bzw. sicheren Rechnerkonfigurationen sind z. B. aus der Veröffentlichung »Proceedings of the Annual Symposium on Computer Architecture« der University of Florida 9. bis 11. IZ 1973 bekanntgeworden. Hierbei werden Architekturen angesprochen, die nach Erkennung von Fehlern durch Doppelrechnersysteme in Zeitredundanz eine neue Programmversion aktivieren und danach durch Mehrheitsbestimmung eine Folgetätigkeit veranlassen. Systemen mit gleicher Hardware und unterschiedlicher Software wird hierbei Vorrang gegeben, da durch den abweichenden Programmaufbau die Programme zeitlich versetzt laufen und bei Störimpulsen auf das System verschiedene Fehler erzeugt werden, die im Vergleicher erkannt werden. Mit diesem Verfahren sind auch Programmierfehler erkennbar, da man davon ausgehen kann, daß die verschiedenen Programmierer nicht identische Fehler machen. Die unterschiedliche Software hat aber den Nachteil, daß zu vergleichende Ereignisse erst zu stark differierenden Zeiten zur Verfügung stehen können und dadurch entsprechend lange Wartezeiten in Kauf genommen werden müssen. Auch bei unterschiedlichen (diversitären) Systemen kann die Bearbeitungsreihenfolge erheblich verschieden sein, was zu größeren Wartezeiten und auch Synchronisationsschwierigkeiten führen kann.

Aufgabe der Erfindung ist, die Wartezeiten wesentlich zu mindern und damit die Verarbeitungsgeschwindigkeit der Datenverarbeitungseinrichtung zu erhöhen. Dabei soll die Einrichtung diversitär in Hard- als auch in Software aufgebaut und betrieben werden können.

Diese Aufgabe wird für eine Einrichtung der eingangs genannten Art gemäß den kennzeichnenden Merkmalen des Anspruches 1 gelöst.

Der besondere Vorteil der Datenverarbeitungseinrichtung nach der Erfindung besteht darin, daß die Rechnerleistung höher ist und die Synchronisierung vereinfacht wird.

Weitere vorteilhafte Ausgestaltungen der Erfindung sind den Unteransprüchen entnehmbar.

Anhand eines schematischen Ausführungsbeispieles wird im folgenden die Erfindung näher erläutert.

In der Figur ist das Blockschaltbild einer Datenverarbeitungseinrichtung mit drei Kanälen dargestellt. Beim Ausführungsbeispiel sind die drei Kanäle 1, II und III in ihrer Struktur vollkommen gleich aufgebaut, können aber hardware-mäßig verschieden sein. Die Informationen werden über eine Eingabeschaltung DE, die aus sicheren Bausteinen besteht, eingegeben. Sie werden über BUS I₁ BUS II bzw. BUS III Mikroprozessoren MPI₁ MPII bzw. MPIII zugeleitet. Jeder Mikroprozessor besitzt einen Zwischenspeicher ZS I, ZSW, bzw.

ZSIIl, der Bestandteil des Arbeitsspeichers ist Die Zwischenspeicher stehen mit einer Vergleicherbaugruppe MS/VB mit Majoritätsschaltung in Verbindung, die aus sicheren Bausteinen besteht Die Vergleicherbaugruppe MS/VB ist an die Datenausgabeschaltung DA angeschlossen. Die Datenausgabeschaltung DA ist ebenfalls aus sicheren Bausteinen aufgebaut Sicher heißt in diesem Falle signaltechnisch sicher.

Bedingt durch die Diversität auf der Hard- und Softwareseite wird erwartet, daß auch zufällige in gleicher Art in jedem Kanal auftretende gleichzeitige Fehler erkannt werden.

Zu diesem Zweck werden bei einem d.-eikanaligen Aufbau die Mikroprozessoren, die mit eigenen Taktgeneratoren arbeiten, von ihrem Takt her nicht is zwangssynchronisiert Die Synchronisation der Kanäle wird von einer nicht dargestellten Koordinierungseinheit gesteuert Sie hat die Aufgabe, die Programmabläufe der Prozessoren zu koordinieren und die digitalen Ausgaben zu steuern, damit an dem Vergleicher zur bestimmten Zeit identische Informationen anstehen und ausgegeben werden.

Hierbei wird das Anwenderprogramm in Einzelsegmente aufgeteilt Nach jedem kurzen Programmabschnitt findet ein Vergleich statt Innerhalb dieser Abschnitte laufen die Mikroprozessoren frei. Nachdem ein Mikroprozessor einen Abschnitt abgearbeitet hat, teilt er dies der Koordinierungseinheit mit und wartet auf eine externe Freigabe.

Hat auch der zweite Mikroprozessor — es werden hier der Einfachheit halber nur zwei Kanäle betrachtet — diesen Programmabschnitt innerhalb einer vorgegebenen Zeitspanne abgearbeitet erteilt die Koordinierungseinheit beiden Mikroprozessoren die Freigabe zur Bearbeitung des nächsten Programmschrittes, sofern das Vergleichsergebnis nicht eine Wiederholung des Programmschrittes oder eine Stillsetzung der Anlage bestimmt

Damit nicht die beiden Rechner an jeder Stelle aufeinander warten müssen, an der ein Vergleich stattfinden soll, werden Teile der Arbeitsspeicher der Mikroprozessoren als Zwischenspeicher, hier ZSI bzw. ZSII, verwendet, in die die anfallenden Zwischenergebnisse bis zum Vergleich einheitlich abgespeichert werden.

Die Mikroprozessoren geben somit nach der Erfindung ihre Zwischenergebnisse in die Zwischenspeicher ein und arbeiten dann sofort die nachfolgenden Programmschritte des Programmabschnittes ab, ohne erst das Ergebnis von Einzelvergleichen abzuwarten. Erst zum Zeitpunkt des Prgrammabschnittsendes werden die bis dahin eingegangenen Zwischenergebnisse, die dann in jedem Zwischenspeicher ZSI bzw. ZSII in gleicher Weise geordnet vorliegen,, kontinuierlich verglichen.

Die Zwischenspeicher können mehrstufig ausgebaut sein, damit eine Beschleunigung im Vergleich der aufeinanderfolgenden Zwischenergebnisse erzielt werden kann, um die Fehleroffenbarungszeit zu reduzieren.

Die Synchronisation der Kanäle wird von der nicht dargestellten Koordinierungseinheit in Abhängigkeit von der Ve<-gleicherbaugruppe gesteuert.

Zwar können durch den unterschiedlichen (diversitären) Aufbau der Datenverarbeitungseinrichtung Laufunterschiede in den Mikroprozessoren entstehen, aber dadurch, daß die gesamten Zwischenergebnisse in Zwischenspeichern abgelegt werden, ist ein quasi-kontinuierlicher Datenvergleich möglich.

Falls ein Mikroprozessor falsche Ergebnisse liefert, so wird dies durch den Vergleich festgestellt und ein weiteres Arbeiten des Mikroprozessoren beeinflußt.

Ein kontrollierter Wiederanlauf der Datenverarbeitungseinrichtung ist möglich.

Hierzu 1 Blatt Zeichnungen

Claims (6)

Patentansprüche:

1. Sichere Datenverarbeitungseinrichtung mit in mindestens zwei Kanälen korrespondierende Informationen verarbeitenden Schalxwerken, die programmunabhängig gesteuert werden, wobei jedem Kanal ein unabhängig arbeitender Prozessor mit eigener Taktsteuerung und jedem Prozessor ein Zwischenspeicher zugeordnet ist, der eingehende Teilergebnisse von Programmabschnitten von den einzelnen Prozessoren zwischengespeichert, in einer mit den Zwischenspeichern verbundenen Vergleicherbaugruppe zu definierten Zeitpunkten die gespeicherten Zwischenergebnisse verglichen und aus dem Vergleichsergebnis Folgeoperationen abgeleitet werden, dadurch gekennzeichnet, daß als Zwischenspeicher. Teile der jeweiligen Arbeitsspeicher der Prozessoren vorgesehen sind, in welche mehrere, zu verschiedenen Zeiten eingehende, von den jeweiligen Prozessoren gelieferte, nach der zeitlichen Reihenfolge ihres Eintreffens geordnete Zwischenergebnisse der Programmabschnitte bis zum Ende des jeweiligen Programmabschnittes einheitlich festgelegt abgespeichert werden, während die Prozessoren inzwischen weitere nachfolgende Programmschritte des jeweiligen Programmabschnittes bearbeiten, und daß die bis zum Programmabschnittsende eingegangenen Zwischenergebnisse, die dann in jedem Zwischenspeicher in gleicher Weise geordnet vorliegen, ab dem Zeitpunkt des Erreichens des Programmabschnittsendes kontinuierlich verglichen werden.

2. Sichere Datenverarbewungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß Dateneingabe- und -ausgabeschaltungvti sowie die Vergleicherbaugruppe sichere Bausteine sind.

3. Sichere Datenverarbeitungseinrichtung nach den Ansprüchen 1 und 2, dadurch gekennzeichnet, daß die Zwischenspeicher mehrstufig mit entsprechender Vergleicherzuordnung zur Verkürzung der Fehleroffenbarungszeit aufgebaut sind.

4. Sichere Datenverarbeitungseinrichtung nach den Ansprüchen 1 bis 3, dadurch gekennzeichnet, daß die Größe der Zwischenspeicher zur Optimierung der Fehleroffenbarungszeit vorgebbar ist.

5. Sichere Datenverarbeitungseinrichtung nach den Ansprüchen 1 bis 4, dadurch gekennzeichnet, daß eine Koordinierungseinheit nach dem Eintreffen der Vergleichsergebnisse entweder die Abarbeitung der nächsten Programmschritte oder die Wiederholung eines Programmschrittes oder die Stillsetzung veranlaßt.

6. Sichere Datenverarbeitungseinrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß bei einer mehr als zweikanaligen Ausführung die Vergleicherbaugruppe mit einer Majoritätsschaltung gekoppelt ist.