-
Eine Einrichtung zur Funktionsprüfung eines solchen Mehr-Rechnersystems
ist in der DE-OS 3108 871 angegeben. Dort vergleichen die in das System eingebundenen
Rechner die von ihnen erarbeiteten Datentelegramme untereinander und informieren
sich gegenseitig über die dabei gefundenen Vergleichsergebnisse. Aus den Vergleichsergebnissen
werden nach einer logischen Verknüpfung -Steuersignale gebildet, deren jeweilige
Kombination angibt, ob das System ordnungsgerecht arbeitet bzw. ob ein bestimmter
Rechner oder das System insgesamt abzuschalten ist. Die zum Vergleich auf die einzelnen
Rechner rückgeführten Daten werden dabei am Ausgang einer Datenausgabeeinrichtung
abgegriffen, über die auch die Ausgabekanäle
des Systems mit Daten
versorgt werden. Jeder Rechner ist nicht nur in der Lage, aus den ihm zugeführten
Vergleichsergebnissen auf seine eigene Funktionsfähigkeit oder Funktionsunfähigkeit
zu schließen, sondern er ist aufgrund der ihm mitgeteilten Vergleichsergebnisse
auch in der Lage zu erkennen, ob die anderen Rechner des Systems funktionsfähig
oder funktionsunfähig sind. Durch Setzen von aus den Vergleichsergebnissen abgeleiteten
Steuersignalen schalten die noch intakten Rechner des Systems einen ggf. defekten
Rechner ab bzw. sie schalten das gesamte Rechnersystem ab, wenn sich durch Abschalten
eines Einzel rechners eine aufgetretene Störung nicht beheben läßt.
-
Bei allen Mehr-Rechnersystemen mit in sich nicht sicheren Rechnern
besteht eine gewisse Gefahr, daß alle Rechner gleichzeitig gleichartig falsch reagieren,
wenn diese Rechner längere Zeit abgeschaltet waren und die Abschaltzeit nicht mehr
klein gegen eine zulässige Ausfallzeit des Systems ist. So wird z. B. in einem konkreten
Fall bei einem vergleichsweise kleinen Doppel-Rechnersystem gefordert, daß nach
einer Abschaltzeit von mehr als 60 Stunden vor der Wiederinbetriebnahme des Systems
mindestens dann, wenn es sich um eine Prozeßsteuerung mit Sicherheitsverantwortung
handelt, eine volle Funktionsprüfung des Systems durchzuführen ist. Betriebspausen
von 60 Stunden und mehr treten z. B. relativ häufig bei den rechnergesteuerten Fahrzeuggeräten
für die Zugbeeinflussung im Eisenbahnwesen durch Stillsetzen der Fahrzeuge in ihren
Bestimmungsbahnhöfen auf. Eine vollständige Funktionsprüfung eines abgeschalteten
Rechnersystems bei der Wiederinbetriebnahme des Systems führt beim Anwender zu einem
außerordentlich hohen Aufwand in der Wartung und stellt deshalb keine praktikable
Lösung für das Problem des Wiedereinschaltens eines Rechnersystems nach einer Betriebspause
dar. Die Forderung nach einer vollständigen Funktionsprüfung des Rechnersystems
nach längeren Betriebspausen geht von der Überlegung aus, daß vorübergehend abgeschaltete
Rechner sich in dieser Zeit nicht selbst auf Funktionsfähigkeit überwachen können
wie es während ihres Betriebes der Fall ist. In dieser Zeit eintretende Defekte
sind damit nicht sofort erkennbar und deshalb wird mit zunehmender Abschaltzeit
des Rechnersystems die Gefahr von möglicherweise nicht mehr erkennbaren Doppelfehlern
in den Einzelrechnern immer größer.
-
Aufgabe der vorliegenden Erfindung ist es, eine Einrichtung der im
Oberbegriff des Patentanspruches 1 angegebenen Art so auszubilden, daß ein automatisches
Wiedereinschalten des Systems nach einer Betriebspau se ohne Funktionsprüfung des
Systems möglich ist, sofern dies aufgrund des Betriebszustandes des Systems zulässig
ist, und eine Funktionsprüfung nur dann vorzunehmen, wenn die Sicherheit des Rechnersystems
sonst nicht mehr gewahrt ist. Die erfindungsgemäße Einrichtung soll darüber hinaus
in der Lage sein, bei der Wiederinbetriebnahme eines Rechnersystems eventuelle defekte
Rechner zu erkennen und abzuschalten bzw.
-
das Rechnersystem insgesamt abzuschalten, wenn durch Abschalten eines
Rechners die Sicherheit des Rechnersystems nicht mehr zu wahren ist.
-
Die Erfindung löst diese Aufgabe durch die kennzeichnenden Merkmale
des Patentanspruches 1.
-
Vorteilhafte Ausbildungen der Erfindung sind in den Unteransprüchen
angegeben. Eine besonders vorteilhafte Ausbildung der Erfindung sieht vor, daß dem
Rechnersystem
ein Multiplexer mit n-Eingängen und m-Ausgängen zugeordnet ist, über die das System
auf den Prozeß wirkt und daß dieser Multiplexer ausschließlich durch diejenigen
Rechner steuerbar ist, die als betriebsfähig gekennzeichnet sind. Durch -diese Ausbildung
wird sichergestellt, daß kein defekter Rechner auf den Prozeß einwirken kann und
damit die Sicherheit des Systems unterläuft.
-
Ein Ausführungsbeispiel der Erfindung ist nachstehend anhand der
Zeichnung näher erläutert.
-
Die Zeichnung zeigt ein Rechnersystem aus drei in sich nicht sicheren
Rechnern R 1 bis R3, von denen jeder die ihm zugeführten Prozeßdaten PD verarbeitet
und die gefundenen Arbeitsergebnisse einer zugeordneten Rechnerausgabe RA 1 bis
RA 3 zuführt Außerdem führt jeder Rechner auf in der Zeichnung nicht dargestelltem
Wege die von ihm bereitgestellten Arbeitsergebnisse den übrigen Rechnern des Systems
zu, so daß jeder Rechner in der Lage ist, auf Grund einer Vergleichs- und Mehrheitsentscheidung
herauszufinden, ob die von ihm bereitgestellten Arbeitsergebnisse richtig oder falsch
sind. Für den Fall, daß ein Rechner die von ihm gebildeten Arbeitsergebnisse als
falsch erkannt hat, sperrt er die zugehörige Rechnerausgabe. Den drei Rechnerausgaben
ist ein Multiplexer M nachgeschaltet, über den bei dem angenommenen Drei-Rechnersystem
die von jeweils zwei intakten Rechnern gelieferten Arbeitsergebnisse auf zwei ggf.
antivalenten Datenkanälen D I und D 2 dem Prozeß zur Verfügung gestellt werden.
Gesteuert wird der Multiplexer durch eine zugeordnete Steuerung St, die durch die
von den einzelnen Rechnern gebildeten Kennzeichen über ihre Betriebsfähigkeit bzw.
Betriebsunfähigkeit einstellbar ist und beide Ausgabekanäle D 1 und D 2 des Multiplexers
auf jeweils zwei Rechnerausgaben schaltet, die von als ordnungsgerecht arbeitend
anerkannten Rechnern gespeist werden.
-
Um nun eine Aussage darüber treffen zu können, ob das Rechnersystem
nach dem Abschalten des Systems beim Wiederanschalten des Systems wieder in Betrieb
gehen kann und ggf. in welcher Konstellation es in Betrieb gehen kann, ist jedem
Rechner ein beim Abschalten des Systems einstellbarer Zeitschalter Tl bis T3 zugeordnet.
Die den Zeitschaltern eingeprägten Schaltzeiten sind gleich oder kleiner als die
für das Gesamtsystem zulässige maximale Abschaltzeit. Jedem Zeitschalter ist eine
Überwachungsschaltung Ul bis U3 zugeordnet, die beim Wiedereinschalten des Systems
prüft, ob-der jeweils zugehörige Zeitschalter noch eingestellt oder bereits abgelaufen
ist. Abhängig von dem jeweiligen Schaltzustand des Zeitschalters sowie weiteren
dem Rechner zugänglichen Kennzeichen bildet dieser Aussagen über die Zulässigkeit
der Wiederinbetriebnahme des Systems und über seine Einbeziehung in das System.
Diese zusätzlichen Informationen entnehmen die Rechner zugeordneten Speichern SP
1 bis SP3, in denen sie die während der letzten Betriebsphase von ihnen selbst gebildeten
und die von den übrigen Rechnern übermittelten Kennzeichen über ihre bzw. deren
Funktionsfähigkeit abgelegt haben. Diese Speicher sind als gepufferte Schreib-Lese-Speicher
ausgebildet, die auch beim Abschalten des Systems die gespeicherten Daten über eine
gewisse Zeitspanne abrufbar bereithalten.
-
Sind die den einzelnen Rechnern zugeordneten Zeitschalter beim Wiedereinschalten
des Rechnerbetriebes noch nicht abgelaufen und hat keiner der Rechner ein Kennzeichen
für die Funktionsunfähigkeit
eines der Einzelrechner gespeichert,
so ist das Rechnersystem uneingeschränkt funktionsfähig und die Prozeßsteuerung
kann wieder aufgenommen werden.
-
Sind beim Wiedereinschalten des Systems die Zeitschalter zwar noch
nicht abgelaufen, ist aber für einen Rechner ein Kennzeichen für dessen Funktionsunfähigkeit
gespeichert, so schaltet sich dieser Rechner selbsttätig ab, wobei die beiden anderen
als intakt erkannten Rechner über die Steuerung St des Multiplexers die Rechnerausgaben
der beiden ordnungsgerecht arbeitenden Rechner auf die Datenausgabekanäle D 1 und
D 2 legen. Sind beim Wiedereinschalten des Systems die Zeitschalter bereits abgelaufen,
liegen aber beim Wiedereinschalten von allen Rechnern des Systems Kennzeichen über
ihre Funktionsfähigkeit vor, so kann das System wieder in Betrieb gehen, weil wegen
des redundanten Aufbaus des Systems nunmehr gleichzeitig alle drei Rechner in gleicher
Weise falsch reagieren müßten, um eine nichtgewollte Auswirkung auf den Prozeß zu
haben. Die Wahrscheinlichkeit für das Auftreten von Dreifachfehlern ist jedoch so
gering gegenüber dem nach der'längeren Betriebspause als möglich anzunehmenden Doppelfehler,
daß die Wiederinbetriebnahme des Systems zulässig erscheint.
-
Ist jedoch mindestens ein Zeitschalter abgelaufen und ist für mindestens
einen der Rechner ein Kennzeichen für seine Funktionsunfähigkeit gespeichert bzw.
wird beim Wiedereinschalten des Systems ein solches Kennzeichen gebildet, so schalten
sich sämtliche Rechner aus dem System aus, daß heißt, das System selbst kann nicht
wieder in Betrieb gehen. Der Grund hierfür lieg#t darin, daß bei der beabsichtigten
Wiederinbetriebnahme des Rechnersystems für den Fall der angenommenen Störung ein
Doppelfehler bei den noch intakten Rechnern ausreichen würde, um zu einer fehlerhaften
Prozeßsteuerung zu führen; ein derartiger Doppelfehler könnte bei der langen Betriebsunterbrechung
aber annahmegemäß nicht mehr ausgeschlossen werden.
-
Eine vorteilhafte #Ausführungsform der. Erfindung sieht vor, anstelle
gesonderter Zeitschalter Speicher mit einer auf die zulässige Abschaltzeit des Systems
begrenzten Pufferzeit zu verwenden und in diesen Speichern die von den Rechnern
gebildeten Kennzeichen über ihre Funktionsfähigkeit und/oder Funktionsunfähigkeit
zu hinterlegen. Das Löschen eines Speichers z. B. bei Ablauf der Pufferzeit oder
infolge einer Störung bedeutet dabei, daß der zugehörige Rechner funktionsunfähig
ist; dieser Zustand ist von den anderen Rechnern des Systems erkennbar und führt
zur Modifizierung des dort bislang für diesen Rechner gespeicherten Kennzeichens.
-
Die Zeitschalter sind vorzugsweise nicht in den Rechnern realisiert,
sondern getrennt von ihnen ausgeführt. Eine vorteilhafte Ausbildung der Erfindung
sieht vor, die Zeitschalter durch mindestens einen außerhalb der Rechner angeordneten
Schalter darzustellen, der durch externe Zeitmessungen für die Betriebspausen steuerbar
ist. Die Zeitmessungen können dabei durch einen oder mehrere externe, automatisch
arbeitende Zeitgeber wie z. B. Uhren durchgeführt werden; es ist aber auch möglich,
die Zeitmessung von einem dazu berechtigten Bediener vornehmen zu lassen, der beispielsweise
nach Einsicht von Betriebsunterlagen das Rechnersystem in eigener Verantwortung
wieder in Betrieb nehmen kann, wenn er sich davon überzeugt hat, daß die Betriebspause
eine vorgegebene Zeitspanne nicht überschritten hat.
-
Der besondere Vorteil der erfindungsgemäßen Einrichtung ist darin
zu sehen, daß das Rechnersystem selbsttätig feststellen kann, ob eine Wiederinbetriebnahme
mit ausreichender Sicherheit noch möglich ist und daß nur in einem echten Fehlerfall
ein umfangreiches Prüfprogramm zur Wiederinbetriebnahme des Systems bzw. zum Feststellen
des eingetretenen Fehlers eingeleitet zu werden braucht.
-
Zum Wiedereinschalten des Rechnersystems nach seinem störungsbedingten
Abschalten sind Freigabeschaltmittel FG vorgesehen, über die die abgeschalteten
Rechner einzeln oder gemeinsam, beispielsweise durch Abschalten von von den Rechnern
eingestellten Sperrschaltmitteln, wieder anschaltbar sind. Dabei ist das Betätigen
der Freigabeschaltmittel abhängig zu machen entweder vom Ausführen einer vollständigen
Funktionsprüfung des gesamten Rechnersystems oder aber von einer vereinfachten Funktionsprüfung,
die in der Verantwortung eines Bedienenden liegt.
-
Die erfindungsgemäße Einrichtung ist nicht auf redundante Zwei-Rechnersysteme
beschränkt, sondern läßt sich selbstverständlich auch bei redundanten Drei-Rechnersystemen
und noch umfangreicheren Mehr-Rechnersystemen anwenden, bei denen nicht nur einer,
sondern mehrere redundante Rechner vorgesehen sind. Bei solchen Systemen hat die
Abschaltung des Gesamtsystems bei abgelaufenen Zeitschaltern nur dann stattzufinden,
wenn mehr Rechner als nicht betriebsfähig gekennzeichnet sind als Rechner aus Redundanzgründen
vorgesehen sind.
-
- Leerseite -
- Leerseite -