DE3742118A1 - Signaltechnisch sichere datenuebertragungseinrichtung - Google Patents

Description

Die Erfindung bezieht sich auf eine signaltechnisch sichere Datenübertragungseinrichtung nach dem Oberbegriff des Patentanspruches 1.

Aus der DE-PS 32 32 167 ist eine gesicherte Datenübertragungseinrichtung bekannt, bei der die zu übertragenden Daten jeweils paarweise in antivalenter Darstellung von einer Datenquelle bereitgestellt und zwei gesonderten Umsetzereinrichtungen zugeführt werden. Aufgabe dieser Umsetzereinrichtungen ist es, die ihnen parallel zugeführten Daten in serielle Datenströme umzuformen und an eine Sendeeinrichtung weiterzugeben. Von dort werden sie einkanalig nacheinander an eine Empfangseinrichtung übermittelt. Dieser Empfangseinrichtung sind zwei Empfangsregister zugeordnet, in der die seriellen Datenströme in je zwei parallele Datenworte umgesetzt werden. Die Ausgabe der Daten an nachgeordnete Empfangsrelais ist davon abhängig, daß jedes Empfangsregister die Daten zweimal - original und invertiert - inhaltsgleich empfängt. Nachgeschaltete Antivalenzprüfschaltungen prüfen laufend, ob an den Ausgängen der beiden Empfangsregister tatsächlich antivalente Datenworte vorhanden sind. Ist das der Fall, so werden die übermittelten Daten als ordnungsgerecht anerkannt; ist dies nicht der Fall, so werden sie verworfen.

Bei dieser bekannten Datenübertragungseinrichtung müssen die zu übermittelnden Daten zwingend jeweils zweimal vom Sender zum Empfänger übertragen werden, weil nur dort eine Bewertung dieser Daten erfolgt und weil die Bewertung in einem Vergleich zweier übermittelter Datenworte besteht. Dies führt zu einer verminderten Datenübertragungsrate gegenüber einer nur einmaligen Datenübertragung. Für die Empfangsseite ist dabei nicht erkennbar, ob die von ihr gegebenenfalls festgestellten Datenabweichungen ihren Ursprung in einer Übertragungsstörung oder in einem Fehlverhalten der sendeseitigen Umsetzereinrichtungen haben. Auf jeden Fall ist zum Sperren der weiteren Datenausgabe durch die sendeseitigen Umsetzereinrichtungen zwingend ein Rückkanal zum Übermitteln der entsprechenden Abschaltbefehle erforderlich. Im Falle von Übertragungsstörungen ist nicht sichergestellt, daß die gestörten Umsetzereinrichtungen auch tatsächlich gesperrt werden.

In der DE-Zeitschrift Signal und Draht 4/1980, Seiten 74-80, wird über ein signaltechnisch sicheres Mikrocomputer-Fernwirksystem berichtet, bei dem die jeweils zusammenwirkenden Mikrocomputer ebenfalls über jeweils einen einzigen Übertragungskanal kommunizieren. Die zu übertragenden Daten sind mit einem Sicherungsanhang versehen, über den empfangsseitig Übertragungsstörungen auf dem Wege vom Sender zum Empfänger festgestellt werden können. Die vom jeweiligen Empfänger empfangenen und dort in einem Register anstehenden Daten werden zu Kontrollzwecken an den jeweils sendenden Mikrocomputer zurückübertragen. Dort erfolgt ein Vergleich zwischen den rückübertragenen Daten und den in einem Senderegister zwischengespeicherten ausgesandten Daten. Aus dem Vergleich beider Daten kann auf etwaige Fehlreaktionen der an der Datenübertragung beteiligten Ein/Ausgabebaugruppen geschlossen werden. Auch hier kann jedoch nicht eindeutig definiert werden, ob eine Störung auf der Sende- oder auf der Empfangsseite des Fernwirksystems zu suchen ist. Zum Sperren der empfangsseitigen Eingabebaugruppen muß von der Sendeseite aus ein entsprechender Abschaltbefehl an die Empfangsseite übertragen werden; ob die dortigen Eingabebaugruppen tatsächlich abgeschaltet werden bzw. die Auswertung der dort gespeicherten Daten verhindert wird ist nicht sichergestellt. Von Nachteil ist ferner, daß die Daten auch hier grundsätzlich zweimal übertragen werden müssen; hierdurch ergeben sich entweder zusätzliche Belegungszeiten für den Übertragungskanal was eine verminderte Datenübertragungsrate zur Folge hat, oder aber es wird ein zweiter Übertragungskanal erforderlich. In diesem Fall müssen für diese Art der Datensicherung aber ebenfalls zwingend Übertragungsmöglichkeiten für die Gegenrichtung vorhanden sein.

Aufgabe der Erfindung ist es, eine signaltechnisch sichere Datenübertragungseinrichtung nach dem Oberbegriff des Patentanspruches 1 zu schaffen, die eine eindeutige Lokalisierung einer fehlerhaft arbeitenden Ausgabebaugruppe auf der Sende- oder einer fehlerhaft arbeitenden Eingabebaugruppe auf der Empfangsseite der Übertragungseinrichtung ermöglicht. Die Fehlererkennung soll dabei auf der Seite der Übertragungseinrichtung erfolgen, wo der Fehler aufgetreten ist, damit von dort aus direkt auf die durch den Fehler betroffene Ein/Ausgabebaugruppe oder das zugehörige Rechnersystem eingewirkt werden kann. Die Erfindung löst diese Aufgabe durch die kennzeichnenden Merkmale des Patentanspruches 1.

Durch die erfindungsgemäße Ausbildung der Datenübertragungseinrichtung wird erstmals eine signaltechnisch sichere einkanalige Datenübertragung möglich. Dies wird dadurch erreicht, daß die zur Übertragung in einer Ausgabebaugruppe anstehenden Daten bei ihrer Ausgabe rückgelesen und auf der Sendeseite mit den für die Übertragung vorgesehenen Daten auf Übereinstimmung geprüft werden. Etwaige Datenabweichungen, die ihren Grund in einer fehlerhaft arbeitenden Ausgabebaugruppe auf der Sendeseite des Übertragungssystems haben, sind so erkennbar. Auf der Empfangsseite des Übertragungssystems ist eine zweikanalige Auswertung der einkanalig übermittelten Daten vorgesehen, so daß ein etwaiges Fehlverhalten der empfangsseitigen Ein/Ausgabebaugruppen ebenfalls festzustellen ist. Datenverfälschungen auf dem Übertragungsweg werden in bekannter Weise durch fehlererkennende Codes aufgedeckt.

Vorteilhafte Aus- und Weiterbildungen der erfindungsgemäßen Datenübertragungseinrichtung sind in den Unteransprüchen angegeben.

So ist nach der Lehre des Anspruches 2 vorgesehen, daß das Mehrrechnersystem defekte Ein/Ausgabebaugruppen durch Generieren, Aussenden und Bewerten geeigneter Prüftelegramme detektiert. Hierdurch sollen während der üblichen Datenübertragung nicht erkennbare Bauteileausfälle detektiert werden. Der Prüfbetrieb stellt auch sicher, daß während längerer Betriebspausen auftretende Bauteileausfälle rechtzeitig erkannt werden können. Nach den Merkmalen des Anspruches 3 übertragen die Einzelrechner des sendenden Mehrrechnersystems die zu übertragenden Daten jeweils im Wechsel an die Einzelrechner des oder der empfangenden Rechnersysteme. Hierdurch werden die den Einzelrechnern des sendenden Rechnersystems zugeordneten Ein/Ausgabebaugruppen abwechselnd sowohl in Eingabe- als auch in Ausgaberichtung auf ordnungsgerechtes Funktionsverhalten überprüft.

Nach der Lehre des Anspruches 4 sollen die zu übertragenden Daten in unterschiedlicher Weise codiert sein; dies macht es möglich, auf der Empfangsseite der Übertragungseinrichtung zu erkennen, daß die übermittelten Daten auch tatsächlich im Wechsel von unterschiedlichen Einzelrechnern der Sendeseite stammen. Eine besonders einfache Art der unterschiedlichen Kodierung wird gemäß Anspruch 5 in der Übertragung invertiert dargestellter Daten gesehen.

Das Aufschalten des jeweils sendenden Einzelrechners auf den Übertragungskanal soll nach der Lehre des Anspruches 6 vom Vorhandensein entsprechender Steuersignale nicht nur des jeweils sendenden Einzelrechners, sondern auch mindestens eines weiteren Einzelrechners der Sendeseite abhängig gemacht sein. Diese Vorgabe ermöglicht es, bei einem Defekt innerhalb des sendenden Mehrrechnersystems auch bei Ausfall eines Einzelrechners die weitere Datenübertragung unter Zuhilfenahme des oder der noch intakten übrigen Einzelrechner dieses Systems sicher zu unterbinden.

Dies erfolgt in vorteilhafter Weise nach der Lehre des Anspruches 7 unter Verwendung von Sperrschaltmitteln, welche die Datenausgänge der sendeseitigen Ausgabebaugruppen vom Übertragungskanal hochohmig trennen; diese Sperrschaltmittel können von den Einzelrechnern des sendenden Rechnerpaares oder -tripels individuell unwirksam geschaltet werden. Lassen sich die hierfür erforderlichen Schaltmittel im Störungsfall nicht ordnungsgerecht steuern, so bleiben die zugehörigen Ausgabebaugruppen hochohmig vom Übertragungskanal abgetrennt.

Die Merkmale des Anspruches 8 zeigen einen besonders einfachen Weg, um die Ausgabe von Daten durch einen Einzelrechner vom Mitwirken mindestens eines weiteren Einzelrechners auf der Sendeseite der Übertragungseinrichtung abhängig zu machen: Die Einzelrechner gemeinsam liefern die zum Unwirksamschalten der Sperrschaltmittel erforderliche Betriebsspannung.

Die Sperrschaltmittel sollen gemäß Anspruch 9 als Diodenbrückenschaltungen ausgebildet sein, von denen die eine oder die andere von den sendeseitigen Einzelrechnern gezielt kurzgeschlossen werden kann. Die Verwendung von Diodenbrückenschaltungen als Sperrschaltmittel gestattet es, die zu übertragenden Daten durch Spannungen unterschiedlicher Polarität darzustellen.

Nach der Lehre des Anspruches 10 ist eine galvanische Trennung zwischen der Datenausgabe und der zugehörigen Steuerung vorgesehen. Die für die Steuerung herangezogenen Steuersignale der Einzelrechner auf der Sendeseite der Übertragungseinrichtung sind gegeneinander verriegelt; hierdurch wird erreicht, daß die Verbindung zwischen einer Ausgabebaugruppe und dem Übertragungskanal nur dann hergestellt werden kann, wenn mindestens zwei Einzelrechner der Sendeseite Steuersignale ausschließlich zum Herstellen dieser Verbindung bereitstellen. Dabei ist sichergestellt, daß durch eventuelle fehlerhaft bereitgestellte zusätzliche Steuersignale keine weitere Verbindung zum Übertragungskanal hergestellt werden kann, daß also nur jeweils ein einziger Einzelrechner senden kann.

Nach der Lehre des Anspruches 11 ist vorgesehen, daß jedem Einzelrechner weitere Schaltmittel zum Auftrennen der Verbindung von den zugehörigen Ausgabebaugruppen zum Übertragungskanal zugeordnet sind. Damit gibt es mehrere voneinander unabhängige Möglichkeiten, um im Falle einer Störung zu verhindern, daß von einem als gestört erkannten Rechnersystem weiterhin Daten ausgegeben werden können. Selbst wenn eines dieser Sicherungssysteme aus irgendeinem Grunde ausfallen würde, würden die anderen Sicherungssysteme nach wie vor zum Erreichen dieses Zieles führen.

Nach der Lehre des Anspruches 12 ist vorgesehen, daß beim einmaligen Auftreten von Abweichungen zwischen den sende- oder empfangsseitig miteinander verglichenen Daten eine Wiederholung der Daten veranlaßt werden kann und daß spätestens bei einem mehrmaligen Feststellen von Abweichungen in Folge die Abschaltung der durch die Störung betroffenen Ausgabebaugruppen bzw. die remanente Sperrung der über die Eingabebaugruppen der Empfangsseite empfangenen Daten durch das empfangende Rechnerpaar oder -tripel veranlaßt wird. Hierdurch soll verhindert werden, daß eine Ausgabebaugruppe vorzeitig abgeschaltet oder die Anerkennung übermittelter Daten vorzeitig unterbunden wird, nur weil beispielsweise infolge starker elektromagnetischer Störfelder die Datenübertragung oder der Datenempfang vorübergehend gestört war.

Die Merkmale des Anspruches 13 beziehen sich auf die Anerkennung der übermittelten Daten durch die Empfangsseite der Übertragungseinrichtung. Da bei einer defekten Ausgabebaugruppe auf der Sendeseite nicht verhindert werden kann, daß ggf. fehlerhafte Daten an die Empfangsseite übertragen werden, bevor der eingetretene Defekt auf der Sendeseite festgestellt werden kann, müssen Maßnahmen getroffen werden, die das Anerkennen der übermittelten fehlerhaften Daten auf der Empfangsseite verhindern. Dies soll nach der Lehre des Anspruches 13 durch Aussenden und empfangsseitiges Bewerten eines gesonderten Signals erfolgen, welches das ordnungsgerechte Betriebsverhalten der sendeseitigen Ausgabebaugruppe kennzeichnet und im Anschluß an ein Telegramm oder eine Telegrammfolge ausgegeben wird.

Während des Sendevorganges ist die Eingabebaugruppe des die ausgesandten Daten zurücklesenden Einzelrechners vom Übertragungskanal abgetrennt und nur die Eingabebaugruppe des jeweils sendenden Einzelrechners ist auf Empfang geschaltet, d. h. Daten anderer Rechner können in dieser Zeit nur einkanalig aufgenommen werden. Der diese Daten empfangende Einzelrechner soll nach der Lehre des Anspruches 14 auf den Empfang dieser Daten hin ein Anforderungssignal setzen, das den Sendevorgang ggf. an einer zulässigen Stelle unterbricht und die Aufschaltung der Eingabebaugruppe des bislang zurücklesenden Einzelrechners auf den Übertragungskanal veranlaßt. Auf diese Weise wird erreicht, daß das sendende Rechnersystem vordringliche Daten anderer Rechnersysteme auch tatsächlich vordringlich verarbeiten kann.

Um diese Daten vollständig empfangen und bewerten zu können, ist gemäß Anspruch 15 jedem Telegramm oder jeder Telegrammfolge ein Leertelelgramm, das gemäß Anspruch 16 die Priorität des betreffenden Telegramms bzw. der betreffenden Telegrammfolge angibt, voranzustellen, dessen Empfang durch den sendenden Einzelrechner das zeitgerechte Aufschalten der sendeseitigen Eingabebaugruppe auf den Übertragungskanal ermöglicht.

Für voneinander weiter entfernte Mehrrechnersysteme schlägt der Anspruch 17 vor, daß der Übertragungskanal als eine über Modems betriebene Fernmeldeleitung ausgebildet ist. Dies macht eine besonders kostengünstige Verbindung der miteinander kommunizierenden Mehrrechnersysteme möglich.

Als Übertragungskanal kommt nach der Lehre des Anspruches 18 auch ein Lichtwellenleiter in Betracht, in den ggf. eine oder mehrere Regeneratoren zum Überbrücken größerer Entfernungen einzuschalten sind. Die Verwendung von Lichtwellenleitern macht einen außerordentlich störunempfindlichen Betrieb der Datenübertragungsanlage möglich.

Für vorzugsweise benachbarte Mehrrechnersysteme wird nach der Lehre des Anspruches 19 vorgeschlagen, den Übertragungskanal als Bussystem auszugestalten. Die in einem solchen Bussystem verwendeten Ein/Ausgabebaugruppen haben im wesentlichen die Aufgabe von Pegelumsetzern.

Die Erfindung ist nachstehend anhand von in der Zeichnung dargestellten Ausführungsbeispielen näher erläutert. Die Zeichnung zeigt

in Fig. 1 das Prinzip der erfindungsgemäßen Datenübertragungseinrichtung,

in Fig. 2 eine mehr ins Detail gehende, ebenfalls aber nur schematisch angedeutete Ausführung der erfindungsgemäßen Datenübertragungseinrichtung und

in Fig. 3 eine technische Ausführung für eine in Fig. 2 angeführte Ausgabeweiche.

Fig. 1 zeigt auf der linken Seite die beiden Einzelrechner MC 1.1 und MC 1.2 eines Rechnerpaares, von dem aus Daten über einen Übertragungskanal an die Einzelrechner MC 2.1 und MC 2.2 eines weiteren Rechnerpaares übermitteln sollen. Die beiden Einzelrechner eines jeden Rechnerpaares verarbeiten die gleichen Ereignisdaten und vergleichen sich laufend intern zum Erkennen etwaiger Verarbeitungsfehler. Derartige Rechnersysteme sind beispielsweise unter dem Namen SIMIS bekannt. Den Ein- und Ausgängen der Einzelrechner sind Ein/Ausgabebaugruppen EA 1.1, EA 1.2, EA 2.1 und EA 2.2 zugeordnet, an denen die zu übertragenden Daten bzw. die übertragenen Daten abgreifbar sind. Die beiden dargestellten Rechnerpaare sind Teil eines Mehrrechnersystems, das über ein gemeinsames Bussystem B miteinander kommuniziert. Es ist angenommen, daß der Einzelrechner MC 1.1 über seine Ein/Ausgabebaugruppe EA 1.1 Daten auf das Bussystem B schaltet. Diese Daten gelangen auf die beiden Ein/Ausgabebaugruppen EA 2.1 und EA 2.2 auf der Empfangsseite des Rechnersystems. Von dort gelangen sie auf die zugehörigen Einzelrechner MC 2.1 und MC 2.2, in denen sie auf Übereinstimmung geprüft werden. Stellen beide Einzelrechner Übereinstimmung zwischen den übermittelten, in ihren Ein/Ausgabebaugruppen anstehenden Daten fest, so ist dies ein Indiz dafür, daß diese Ein/Ausgabebaugruppen einwandfrei arbeiten; die Daten werden anerkannt. Die Auswertung der Daten ist dabei in bekannter Weise noch davon abhängig gemacht, daß die Daten vorgegebenen Redundanzbedingungen genügen.

Die vom Einzelrechner MC 1.1 über die zugehörige Ein/Ausgabebaugruppe EA 1.1 auf den Übertragungskanal geschalteten Daten gelangen ferner auf den Eingang der dem anderen Einzelrechner MC 1.2 des sendenden Rechnerpaares zugeordneten Ein/Ausgabebaugruppe EA 1.2. Der Rechner MC 1.2, der an der Datenübertragung nicht aktiv beteiligt ist, vergleicht die ihm von seiner Ein/Ausgabebaugruppe EA 1.2 übermittelten Daten mit den von ihm selbst erarbeiteten Daten. Stimmen diese Daten überein, so ist dies ein Indiz dafür, daß die beiden Ein/Ausgabebaugruppen auf der Sendeseite des Systems ordnungsgerecht arbeiten.

Für den Fall, daß der Rechner MC 1.2 Diskrepanz zwischen den von ihm selbst erarbeiteten, mit den Daten des anderen Rechners MC 1.1 auf Übereinstimmung verglichenen Daten und den ihm zugeführten Daten feststellt, spricht dies für ein nicht ordnungsgerechtes Arbeiten einer der Ein/Ausgabebaugruppen auf der Sendeseite der Datenübertragungseinrichtung. Dabei ist für das bewertende Rechnersystem nicht erkennbar, welche Ein/Ausgabebaugruppe tatsächlich fehlerhaft arbeitet. Als Folge unterbrechen beide Einzelrechner MC 1.1 und MC 1.2 des sendenden Rechnerpaares auf geeignete Weise die weitere Datenübertragung zu irgendeinem der angeschlossenen Empfängerrechner. Dieser Zustand wird bis zur Störungsbeseititung durch das Wartungspersonal beibehalten. Zwar könnte die aufgetretene Störung auch bei der mitlesenden Ein/Ausgabebaugruppe liegen; ist dies der Fall, so würde sie sich beim Empfang von Daten anderer Rechnersysteme zeigen. Die beiden Einzelrechner MC 1.1 und MC 1.2 würden dann die Auswertung der an ihren Ein/Ausgabebaugruppen bereitgestellten Daten softwaremäßig sperren. In entsprechender Weise würden die beiden Einzelrechner MC 2.1 und MC 2.2 auf der Empfangsseite der Übertragungseinrichtung beim Feststellen voneinander abweichender Daten an den empfangsseitigen Ausgängen der ihnen zugeordneten Ein/Ausgabebaugruppen die weitere Auswertung der von diesen Ein/Ausgabebaugruppen gelieferten Daten sperren.

Das Abschalten der durch eine Störung betroffenen Ein/Ausgabebaugruppen kann durch ausgangsseitiges Hochohmigschalten der jeweils in Senderichtung betriebenen Ein/Ausgabebaugruppen erfolgen, wie es z. B. in der DE-OS 37 28 485 angegeben ist. Der Datenverkehr zwischen allen übrigen noch intakten Rechnerpaaren kann ungestört weiter fortgesetzt werden; die eingetretene Störung ist nur auf die durch die Störung direkt betroffenen Ein/Ausgabebaugruppen beschränkt.

Sollen beispielsweise Daten von dem aus den Rechnern MC 2.1 und MC 2.2 bestehenden Rechnerpaar zu dem Rechnerpaar mit den Einzelrechnern MC 1.1 und MC 1.2 übertragen werden, so möge dies sendeseitig über die Ein/Ausgabebaugruppe EA 2.1 geschehen. Diese Ein/Ausgabebaugruppe überträgt die Daten über das Bussystem B auf die beiden Ein/Ausgabebaugruppen EA 1.1 und EA 1.2, von wo aus sie auf die empfangenden Einzelrechner MC 1.1 und MC 1.2 gelangen. Dort werden sie auf Übereinstimmung geprüft. Im Falle von Abweichungen zwischen den übermittelten Daten sperren beide Einzelrechner MC 1.1 und MC 1.2 das Auswerten der in den Ein/Ausgabebaugruppen EA 1.1 und EA 1.2 anstehenden Daten.

Die von der Ein/Ausgabebaugruppe EA 2.1 ausgegebenen Daten gelangen auch auf den Eingang der Ein/Ausgabebaugruppe EA 2.2 und von dort zum Einzelrechner MC 2.2, der am Sendevorgang nicht direkt beteiligt ist. Stellt dieser Einzelrechner Abweichungen zwischen den ihm zugeführten und den von ihm selbst ermittelten Daten fest, so veranlaßt er einerseits das Abschalten der Ein/ Ausgabebaugruppe EA 2.1 in Senderichtung, z. B. durch Hochohmigschalten des sendeseitigen Ausganges dieser Baugruppe.

In dem dargestellten Ausführungsbeispiel sind die in die Datenübertragung einbezogenen Rechnerpaare über ein paralleles Bussystem gekoppelt. Bei einer derartigen Anordnung haben die Ein/Ausgabebaugruppen im wesentlichen die Funktion von Pegelumsetzern, welche die Ausgangssignale der Einzelrechner an den Signalpegel für die Datenübertragung und die übermittelten Ausgangssignale an den Signalpegel für die Rechnerverarbeitung anpassen. Bei Datenübertragungssystemen, die nicht über ein mehradriges Bussystem, sondern einadrig verbunden sind, haben die Ein/Ausgabebaugruppen auch die Funktion von Parallel/Serien- und von Serien/Parallelwandlern, welche die in den Einzelrechnern parallel anliegenden Daten in die für die Datenübertragung erforderliche serielle Form umsetzen und umgekehrt. Ein derartiges Ausführungsbeispiel ist in Fig. 2 dargestellt.

Das sendende Rechnerpaar möge wiederum aus den Einzelrechnern MC 1.1 und MC 1.2 und das empfangende Rechnerpaar aus den Einzelrechnern MC 2.1 und MC 2.2 bestehen. Die Datenübertragung erfolgt über eine Fernmeldeleitung F, die an ihrem Anfang und an ihrem Ende durch Modems M 1 und M 2 abgeschlossen ist. Die Ein/Ausgabebaugruppen sind als Parallel/Serien- und Serien/Parallelwandler ausgeführt. Es ist angenommen, daß der Einzelrechner MC 1.1 Daten an die beiden Einzelrechner MC 2.1 und MC 2.2 des empfangenden Rechnerpaares auszugeben hat. Diese Daten werden im Parallel/Serienwandler P/S 1.1 von ihrer parallelen Form in eine serielle Darstellung umgesetzt und dann über eine in Schaltstellung 1/2 liegende Ausgabeweiche AW 1 auf den Eingang des Modems M 1 geführt. Von dort gelangen die Daten über die Fernmeldeleitung F zum Modem M 2. An den Ausgang des Modems M 2 sind zwei Eingabeweichen EW 2.1 und EW 2.2 angeschlossen. Diese Eingabeweichen liegen beide in Schaltstellung 1/2, in der sie eine Verbindung zwischen dem Ausgang des Modems M 2 und den Eingängen von Serien/Parallelwandlern S/P 2.1 und S/P 2.2 herstellen. Von dort gelangen die Daten auf die Eingänge der zugehörigen Einzelrechner MC 2.1 und MC 2.2 des empfangenden Rechnersystems. Voraussetzung für die Anerkennung der übertragenen Daten ist, daß in beiden empfangsseitig an der Datenübertragung beteiligten Serien/Parallelwandlern ausgangsseitig gleiche Daten abgreifbar sind. Dies besagt jedoch nur, daß die beiden Serien/Parallelwandler S/P 2.1 und S/P 2.2 ordnungsgerecht arbeiten, nicht aber, daß auch die Datenübertragung selbst ordnungsgerecht vonstatten ging. Um Übertragungsfehler erkennen zu können, werden die zu übertragenen Daten sendeseitig in bekannter Weise durch redundante Codes, vorzugsweise zyklische Codes, gesichert, anhand derer sich auf der Empfangsseite nachprüfen läßt, ob die übermittelten Daten auf der Übertragungsstrecke verfälscht wurden oder nicht. Ist dies nicht der Fall, und haben beide Serien/Parallelwandler den zugehörigen Einzelrechnern ausgangsseitig übereinstimmende Daten zugeführt, so werden diese Daten von den Einzelrechnern als ordnungsgerecht anerkannt, wobei gleichzeitig auch die Funktionstüchtigkeit der an der Übertragung beteiligten Serien/Parallelwandler anerkannt wird. Stellen die beiden Einzelrechner des empfangenden Rechnerpaares Abweichungen zwischen den in ihren Serien/Parallelwandlern anliegenden Daten fest, so können sie eine erneute Übertragung der mit einer Störung behafteten Daten veranlassen, sofern das Übertragungssystem die Möglichkeit hierzu bietet. Liegen nach einer erneuten Übertragung am empfangsseitigen Ausgang der Serien/Parallelwandler inhaltlich übereinstimmende Daten an, so werden diese anerkannt. Andernfalls sperren sich die die Daten der Serien/Parallelwandler S/P 2.1 und S/P 2.2 bewertenden Rechner der Empfangsseite bleibend gegen die Übernahme weiterer Daten von diesen Wandlern. Die Sperre wird erst nach Störungsbeseitigung durch dafür autorisiertes Personal wieder aufgehoben.

Die vom Parallel/Serienwandler P/S 1.1 dem Modem 1 zugeführten seriellen Daten werden auf der Sendeseite einer Eingabeweiche EW 1.2 in Schaltstellung 1/3 zugeführt. Von dort gelangen die seriellen Daten auf den Eingang eines Serien/Parallelwandlers S/P 1.2, der dem an der Aussendung der Daten nicht direkt beteiligten Rechner MC 1.2 zugeordnet ist. Dieser Einzelrechner vergleicht nun die ihm von seinem Serien/Parallelwandler zugeführten Daten mit den von ihm selbst erarbeiteten Daten und leitet hieraus bestimmte Reaktionen ab. Stimmen die Daten überein, so ist dies ein Zeichen dafür, daß sowohl der Parallel/ Serienwandler P/S 1.1 des sendenden Einzelrechners MC 1.1 als auch der Serien/Parallelwandler S/P 1.2 des in den Sendevorgang nicht direkt einbezogenen Einzelrechners MC 1.2 des sendenden Rechnerpaares ordnungsgerecht gearbeitet haben. Stellt der den Vergleich durchführende Einzelrechner Abweichungen zwischen den ihm übermittelten und den von ihm selbst erarbeiteten Daten fest, so veranlaßt er ggf. ein erneutes Aussenden und Übertragen dieser Daten. Stellt er dabei Übereinstimmung zwischen den ihm zugeführten und den von ihm selbst erarbeiteten Daten fest, so akzeptiert er dies und verwirft die zuvor übermittelten Daten als auf einer Störung beruhend. Stellt er aber erneut Abweichungen zwischen den ihm zugeführten und den von ihm selbst erarbeiteten Daten fest, so veranlaßt er das Abschalten der sendeseitigen Ausgabebaugruppe. Hierzu wird die Ausgabeweiche AW 1 in Schaltstellung 1/3 geschaltet; damit ist die Verbindung zwischen dem Ausgang des Parallel/Serienwandlers P/S 1.1 und dem Eingang des Modems M 1 unterbrochen.

Die beiden Schaltstellungen 1/2 und 1/4 kann die Ausgabeweiche AW 1 nur dann einnehmen, wenn sie von beiden Einzelrechnern MC 1.1 und MC 1.2 entsprechende Steuersignale erhält. Der Wechsel in die neutrale Lage 1/3 erfolgt also bereits dann, wenn einer der beiden Einzelrechner sein entsprechendes Steuersignal abschaltet. Damit soll erreicht werden, daß auch dann, wenn einer der beiden Einzelrechner einen Defekt aufweist, der noch intakte Rechner die Verbindung zum Modem unterbrechen kann.

Ferner unterbrechen im Fall einer erkannten Datenabweichung beide Einzelrechner MC 1.1 und MC 1.2 jeweils für sich und unabhängig voneinander die Verbindung zwischen der Ausgabeweiche und dem Eingang des zugehörigen Modems. Dies geschieht z. B. über Relaisausgaben, deren Schaltkontakte in Fig. 2 mit AS 1.1 und AS 1.2 bezeichnet sind. Hierdurch soll erreicht werden, daß selbst dann, wenn die Ausgabeweiche nicht ordnungsgerecht arbeiten sollte, die Ausgabe weiterer Daten über den jeweils als gestört erkannten Parallel/Serienwandler unterbleibt.

In dem dargestellten Ausführungsbeispiel ist angenommen, daß eine Datenübertragung von dem Rechnerpaar mit den Einzelrechnern MC 1.1 und MC 1.2 zu einem anderen Rechnerpaar erfolgen soll. Zu diesem Zweck liegt die Eingabeweiche EW 1.2 in Schaltstellung 1/3, so daß der nicht an der Datenübertragung aktiv beteiligte Einzelrechner MC 1.2 die von dem anderen Einzelrechner ausgegebenen Daten zurücklesen kann. Ist die Datenübertragung beendet oder wird sie aus irgendeinem Grunde unterbrochen, so steuert der die Prüfung vornehmende Einzelrechner MC 1.2 die ihm zugeordnete Eingabeweiche EW 1.2 in die Schaltstellung 1/2, in der sich auch die andere dem sendenden Einzelrechner zugeordnete Eingabeweiche EW 1.1 befindet. Damit ist das bislang sendende Rechnerpaar vorbereitet für den zweikanaligen Empfang von Daten anderer Rechner.

Weist die sendeseitige Ausgabebaugruppe P/S 1.1 ein Fehlverhalten auf, so wird dies von dem sendenden Rechnersystem MC 1.1 und MC 1.2 zwar beim Rücklesen der ausgesandten Daten erkannt; dabei ist aber nicht zu vermeiden, daß ein fehlerhaftes Datentelegramm zu den Rechnern auf der Empfangsseite gelangt. Um nun die Auswertung dieses Telegrammes zu verhindern, wäre es möglich, die Auswertung von Telegrammen grundsätzlich - mindestens aber die Auswertung von Telegrammen mit wichtigem Inhalt - von einem mindestens zweimaligen Empfang inhaltlich übereinstimmender Telegramme abhängig zu machen. Dies macht aber die Wiederholung mindestens der Telegramme mit wichtigem Inhalt erforderlich.

Eine weitere Möglichkeit, die Auswertung eines falschen Telegramms zu verhindern, besteht darin, für die einzelnen Telegramme vorgegebene Bitfolgen festzulegen und empfangsseitig zu prüfen, ob diese Bitfolgen vorliegen oder nicht. Dies ist jedoch nur sinnvoll bei solchen Anlagen anzuwenden, bei denen insgesamt nur wenige verschiedene Telegramme zu übertragen sind, weil das Informationsvolumen durch die Vorgabe zusätzlicher Redundanzen eingeschränkt wird.

Nach einer besonders vorteilhaften Ausgestaltung der Erfindung ist es vorgesehen, ein im Störungsfall zum jeweiligen Empfangssystem übermitteltes falsches Telegramm dort dadurch zu erkennen und unwirksam zu machen, daß das jeweils sendende System im Anschluß an jedes von ihm ausgesandte Telegramm oder im Anschluß an mehrere nacheinander ausgesandte Telegramme ein gesondertes Signal ausgibt, welches das ordnungsgerechte Funktionsverhalten der sendeseitigen Ausgabebaugruppe kennzeichnet und welches auf der Empfangsseite die Freigabe des bzw. der zuvor übermittelten Telegramme veranlaßt. Das gesonderte Signal kann auch das Ende eines zu übermittelnden Telegramms bilden. Ein solches Signal läßt sich sendeseitig aus dem Vergleich zwischen den jeweils rückgelesenen und den selbst erarbeiteten Daten ableiten. Die zum Empfangssystem übermittelten Telegramme werden dort zwischengespeichert und erst dann für die Verarbeitung freigegeben, wenn das zugehörige Signal für das ordnungsgerechte Funktionsverhalten der sendeseitigen Ausgabebaugruppe empfangen wurde. Voraussetzung für die Freigabe der Daten ist natürlich, daß die Eingabebaugruppen des empfangenden Rechnersystemes auch tatsächlich übereinstimmende Daten aufweisen und daß diese Daten den vorgegebenen Redundanzbedingungen genügen.

Bei umgekehrter Übertragungsrichtung wird das sendende Rechnerpaar durch die Einzelrechner MC 2.1 und MC 2.2 gebildet. Diese beiden Einzelrechner vergleichen sich laufend intern auf Übereinstimmung. Die zu übermittelnden Daten werden z. B. dem Einzelrechner MC 2.1 entnommen und in dem zugehörigen Parallel/Serienwandler P/S 2.1 in die zur Datenübertragung geeignete serielle Form umgesetzt. Die Daten gelangen dann über die Ausgabeweiche AS 2.1 in Schaltstellung 1/2 auf das Modem M 2 und von dort über die Fernmeldeleitung F zum Modem M 1. Das Einstellen der Ausgabeweiche ist wiederum abhängig vom Vorhandensein entsprechender Steuersignale beider Einzelrechner des sendenden Rechnerpaares. Die an das empfangende Rechnerpaar übertragenen Daten gelangen dort über die auf Empfang geschalteten Eingabeweichen EW 1.1 und EW 1.2 (Schaltstellung 1/2) auf die beiden Serien/Parallelwandler S/P 1.1 und S/P 1.2. Von dort werden sie durch die zugehörigen Einzelrechner MC 1.1 und MC 1.2 des empfangenden Rechnerpaares abgenommen und intern auf Übereinstimmung geprüft. Stellen die beiden Einzelrechner MC 1.1 und MC 1.2 voneinander abweichende Daten in den ihnen zugeordneten Serien/ Parallelwandlern S/P 1.1 und S/P 1.2 fest, so wird die Auswertung dieser Daten - ggf. nach Anforderung einer erneuten Übertragung und Bewertung der dann übermittelten Daten - softwaremäßig bleibend gesperrt. Bei Übereinstimmung zwischen den in den beiden Serien/Parallelwandlern anstehenden Daten hingegen werden diese Daten anerkannt, sofern die mit ihnen übermittelten Prüfdaten den empfangsseitig nachgebildeten Prüfdaten entsprechen.

Die vom Parallel/Serienwandler P/S 2.1 des sendenden Rechnerpaares dem Eingang des Modems M 2 zugeführten Daten werden über die Eingabeweiche EW 2.2, die bei Sendebetrieb in Schaltstellung 1/3 liegt, dem Eingang des Serien/Parallelwandlers S/P 2.2 zugeführt. Der zugehörige Einzelrechner MC 2.2 vergleicht die ihm vom Ausgang dieses Serien/Parallelwandlers zugeführten Daten mit den von ihm selbst erarbeiteten Daten und veranlaßt abhängig vom jeweiligen Vergleichsergebnis entweder die Fortsetzung der Datenübertragung, ihre Wiederholung oder aber ihren Abbruch. Für den letztgenannten Fall veranlassen beide Einzelrechner jeweils für sich und unabhängig voneinander, daß die Ausgabeweiche AS 2.1 in die Schaltstellung 1/3 gesteuert wird; hierdurch wird die Verbindung zwischen dem Ausgang des in die Datenübertragung aktiv einbezogenen Parallel/Serienwandlers und dem Modem M 2 unterbrochen. Außerdem veranlassen die beiden Einzelrechner noch das Öffnen der Ausgabeschalter AS 2.1 und AS 2.2, so daß auch bei einem Defekt noch sichergestellt ist, daß keine weiteren Daten auf den Übertragungskanal gelangen können.

Bei der vorstehend geschilderten Betriebsweise der erfindungsgemäßen Datenübertragungseinrichtung war angenommen worden, daß ein ständiger Datenaustausch mit stets wechselnden Daten zwischen den einzelnen Rechnersystemen stattfindet, wobei die Ein/Ausgabebaugruppen innerhalb einer gegebenen Zeit mit allen möglichen Datenkombinationen belegt sind. Wo diese Voraussetzung nicht gegeben ist, wo also beispielsweise größere Pausen in der Datenübertragung eintreten oder wo über längere Zeiträume die gleichen Daten übertragen werden, ist nicht mehr ohne weiteres sichergestellt, daß beliebige Datenverfälschungen in den Ein/Ausgabebaugruppen mit der geforderten Sicherheit erkannt werden. Beispielsweise könnte zu einem beliebigen Zeitpunkt ein erster Fehler in einem dem empfangenden Rechnerpaar zugeordneten Serien/Parallelwandler auftreten, der nicht erkannt wird, weil augenblicklich keine Daten oder nur solche Daten übermittelt werden, bei deren Auswertung das Fehlverhalten des empfangenden Serien/Parallelwandlers nicht feststellbar ist. Innerhalb einer längeren Übertragungspause könnte dann im anderen dem empfangenden Rechnerpaar zugeordneten Serien/Parallelwandler ein gleichwirkender zweiter Fehler auftreten, der die spätere Entdeckung des ersten Fehlers verhindert. Aus diesem Grunde ist nach einer Fortbildung der erfindungsgemäßen Datenübertragungseinrichtung vorgesehen, daß die Einzelrechner innerhalb der zulässigen Ausfalloffenbarungszeit von Einzelausfällen der betrachteten Rechnersysteme und der an der Übertragung und Prüfung von Daten beteiligten Wandler Prüftelegramme zur Funktionsprüfung der Parallel/Serien- und Serien/Parallelwandler erzeugen und diese Prüftelegramme über ihre Parallel/Serienwandler an die Serien/Parallelwandler des oder der anderen Einzelrechner des betreffenden Rechnersystems sowie an die Serien/Parallelwandler der Einzelrechner auf der Empfangsseite der Übertragungseinrichtung senden, um so prüfen zu können, ob alle in den Übertragungsvorgang einbezogenen Wandler ordnungsgerecht arbeiten. Gelten für das sendende und das empfangende Rechnersystem unterschiedliche zulässige Ausfalloffenbarungszeiten von Einzelausfällen, so gelten für die Ausgabe der Prüfdaten die jeweils kürzeren Zeiten.

Während des Sendevorganges ist der Serien/Parallelwandler des die Daten jeweils zurücklesenden Einzelrechners über seine Eingabeweichen vom Übertragungskanal abgetrennt. Etwaige von einem anderen Rechnersystem stammende Daten werden von dem sendenden Rechnersystem dann einkanalig über den Serien/Parallelwandler des sendenden Einzelrechners aufgenommen. Der Rechner erkennt dies und kann mindestens dann, wenn die einkanalig aufgenommenen Daten eine höhere Priorität aufweisen als die von ihm ausgegebenen Daten, über ein Anforderungssignal den Sendevorgang an einer geeigneten Stelle unterbrechen, den bislang zurücklesenden Serien/Parallelwandler auf den Übertragungskanal schalten und das danach einlaufende Resttelegramm zweikanalig einlesen. Um das Telegramm inhaltlich vollständig auswerten zu können, ist es von Vorteil, jedem Telegramm, jeder Telegrammfolge oder mindestens jedem Telegramm mit wichtigem Inhalt ein Leertelegramm voranzustellen, bei dessen einkanaligem Empfang die Aufschaltung des bislang zurücklesenden Serien/Parallelwandlers auf den Übertragungskanal erfolgt. Dieses Leertelegramm beinhaltet zweckmäßigerweise eine Angabe über die Priorität der nachfolgend übermittelten Daten. Der sendende Einzelrechner kann die ggf. höhere Priorität der einkanalig empfangenen Daten bei entsprechender Ausgestaltung der Datentelegramme auch aus einer mitübertragenen Absenderkennung entnehmen und daraufhin auf Empfangsbetrieb wechseln.

Eine besonders vorteilhafte Ausbildung der erfindungsgemäßen Datenübertragungseinrichtung sieht vor, daß die Einzelrechner des sendenden Rechnerpaares die zu übertragenden Daten jeweils im Wechsel an die Einzelrechner des empfangenden Rechnerpaares übertragen. Das bedeutet, daß die zu übertragenden Telegramme abwechselnd aus dem einen oder anderen Einzelrechner des sendenden Rechnerpaares entnommen werden, was bei Anwendung der erfindungsgemäßen Lehre zu einer wechselweisen Funktionskontrolle aller an der Datenübertragung beteiligten Parallel/ Serien- und Serien/Parallelwandler führt. Wenn die zu übertragenden Daten dabei von beiden Einzelrechnern unterschiedlich kodiert werden, kann das Umschalten von dem einen auf den anderen sendenden Einzelrechner auf der Empfangsseite des Systems überwacht werden. Eine besonders einfache Art, die Sendedaten unterschiedlich zu kodieren, liegt in der antivalenten Darstellung dieser Daten. Dies kann ohne Mehraufwand geschehen, weil die Daten in den Einzelrechnern eines Rechnersystems meist ohnehin in antivalenter Darstellung vorliegen.

Bei dem in der Zeichnung dargestellten Ausführungsbeispiel der Fig. 2 sind die Ein- und Ausgabeweichen schematisch als Schaltkontakte ausgeführt, weil dies am besten den Funktionsablauf beim Ein- und Auslesen von Daten wiedergibt. Bei der technischen Realisierung der erfindungsgemäßen Einrichtung werden anstelle gesonderter Eingabeweichen an den Serien/Parallelwandlern gesonderte Eingänge für den Empfang übermittelter Daten und weitere Eingänge für das Rücklesen ausgegebener Daten vorgesehen sein. Die auf diesen Eingängen jeweils anliegenden Daten werden intern innerhalb der Wandler durch Steuersignale der zugehörigen Rechner freigegeben oder gesperrt.

Die Ausgabeweichen werden vorzugsweise durch von den beiden Einzelrechnern des sendenden Rechnersystems gesteuerte Schaltungen zum bedarfsweisen An- und Abschalten von Signalspannungen unterschiedlicher Polarität ausgebildet sein, wie sie im einzelnen in der DE-OS 37 28 485 angegeben sind. Diese Schaltungen sind so ausgelegt, daß sie an ihrem Ausgang nur dann die an ihrem Eingang anliegenden Potentiale (Daten) abgeben, wenn beide Einzelrechner hierzu entsprechende Steuersignale zur Verfügung stellen.

In Fig. 3 ist dargestellt, wie die Ausgabeweiche AW 1 zu realisieren ist. Sie besteht aus Diodenbrückenschaltungen D 1.1 und D 1.2, die mit ihrem einen Wechselspannungsanschluß, ggf. über einen Pegelumsetzer PU 1.1, PU 1.2, an den Signalausgang des zugehörigen Parallel/Serienwandlers P/S 1.1 bzw. P/S 1.2 angeschlossen sind. Jede Diodenbrückenschaltung trennt in unbeeinflußtem Zustand den Ausgang des angeschlossenen Parallel/ Serienwandlers hochohmig vom Übertragungskanal ab. Sie ist niederohmig geschaltet, solange ein zugehöriger Transistor T 1.1 bzw. T 1.2 niederohmig geschaltet ist; das am Ausgang des Parallel/ Serienwandlers anliegende Datum ist dann am Ausgang 1 der Ausgabeweiche abgreifbar und gelangt auf den Übertragungskanal.

Sollen beispielsweise über den Parallel/Serienwandler P/S 1.1 Daten abgegeben werden, so ist - ordnungsgerechtes Betriebsverhalten der am Sende- und am Prüfvorgang beteiligten Parallal/ Serien- und Serien/Parallelwandler vorausgesetzt - der Transistor T 1.1 niederohmig zu schalten. Zu diesem Zweck legen die beiden Einzelrechner MC 1.1 und MC 1.2 des sendenden Rechnerpaares positives Steuerpotential an ihre Steuerausgänge E 1.1 und E 2.2. Unter der Voraussetzung, daß der Einzelrechner MC 1.1, der die zu übertragenden Daten zur Verfügung stellt, nicht infolge eines Fehlers auch gleichzeitig an seinem Steuerausgang E 1.2 Steuerpotential führt, ist ein NAND-Glied N 1.1 durchlässig geschaltet, das dann an seinem Ausgang Bezugspotential abgibt. Dieses Bezugspotential gelangt an die Kathode einer Leuchtdiode LD 1.1, deren Anode über Entkopplungswiderstände auf dem positiven Steuerpotential des Steuerausganges E 2.2 liegt. Die Leuchtdiode ist Bestandteil eines Optokopplers, dessen Transistor T 1.1 beim Aufleuchten der Leuchtdiode niederohmig wird und dabei eine leitende Verbindung zwischen den Gleitspannungsausgängen der Diodenbrückenschaltung herstellt. Hierdurch kommt eine Verbindung vom Ausgang des Parallel/Serienwandlers P/S 1.1 zum Ausgang 1 der Ausgabeweiche zustande. Bei der angenommenen Konstellation der Steuersignale sind die am Ausgang des Parallel/Serienwandlers P/S 1.1 abgreifbaren Daten auf den Ausgang der Ausgabeweiche durchgeschaltet.

Nimmt einer der beiden Einzelrechner das zum Durchschalten der Daten aus dem Parallel/Serienwandler P/S 1.1 erforderliche Steuersignal weg, so wird die Leuchtdiode LD 1.1 wegen fehlender Potentialdifferenz an ihren Anschlußklemmen sofort dunkel und die Ausgabeweiche gelangt in ihren hochohmigen Schaltzustand (Schaltstellung 1/3 in Fig. 2). Das gleiche geschieht, wenn der Einzelrechner MC 1.1 zusätzlich oder ausschließlich an seinem Steuerausgang E 1.2 Steuerpotential zur Verfügung stellt. In diesem Fall verhindert ein Inverter J 1.1, daß das NAND-Glied N 1.1 an seinem Ausgang Bezugspotential abgeben kann.

Sollen die zu übertragenden Daten von dem jeweils anderen Einzelrechner MC 1.2 geliefert werden, so müssen die Einzelrechner der Sendeseite Steuerpotential auf die Steuerausgänge E 1.2 und E 2.1 legen. Über den Inverter J 1.2 wird dabei das NAND-Glied N 1.2 niederohmig geschaltet. Das dabei an dessen Ausgang abgreifbare Bezugspotential gelangt an die Kathode einer Leuchtdiode LD 1.2, deren Anode über Entkopplungswiderstände am positiven Steuerpotential des Steuerausganges E 1.2 liegt. Die Leuchtdiode LD 1.2 leuchtet auf und schaltet einen zugehörigen Transistor T 1.2, der zusammen mit ihr einen Optokoppler bildet, niederohmig. Dieser Transistor schaltet eine Verbindung zwischen den Gleichspannungsausgängen einer Diodenbrückenschaltung D 1.2, die bis dahin den Ausgang des Parallel/ Serienwandlers P/S 1.2 hochohmig vom Ausgang 1 der Ausgabeweiche abgetrennt hatte. Solange beide Einzelrechner die angenommenen Steuerpotentiale abgeben, gelangen die am Ausgang des Parallel/ Serienwandler P/S 1.2 abgreifbaren, in einem Pegelumsetzer PU 1.2 umgesetzten Daten auf den Ausgang der Ausgabeweiche und von dort zum Übertragungskanal. Wird eines der angenommenen Steuersignale bewußt oder störungsbedingt unterdrückt oder aber wird gleichzeitig mit dem Steuerausgang E 2.1 auch der Steuerausgang E 2.2 beaufschlagt, so wird die Verbindung zwischen dem Parallel/ Serienwandler P/S 1.2 und dem Ausgang 1 der Ausgabeweiche sofort unterbrochen und damit die weitere Datenausgabe verhindert.

Die erfindungsgemäße Datenübertragungseinrichtung ist nicht beschränkt auf die Verwendung von Rechnerpaaren zum Ausgeben und Aufnehmen von Daten, sondern läßt sich vorteilhaft auch bei Rechnertripeln anwenden, die nach dem 2 von 3-Prinzip arbeiten. Dabei sind jeweils zwei Rechner aktiv an der Datenübertragung beteiligt, während der dritte Rechner zur Reserve bei Ausfall eines Rechners oder dessen Ein/Ausgabebaugruppen dient. Die Ein/Ausgabebaugruppen dieses Rechners werden entweder einer Funktionsprüfung unterzogen, wenn der Rechner die Funktion eines gestörten Rechners übernehmen soll, oder aber sie werden einer laufenden Funktionsprüfung noch während des Betriebes der anderen Rechner unterzogen, wobei diese Funktionsprüfung in zeitlichen Mindestabständen erfolgt, die höchstens gleich der Ausfalloffenbarungszeit von Einzelausfällen des Rechners inklusive seiner Ein/Ausgabebaugruppen ist. Desgleichen ist die erfindungsgemäße Datenübertragungseinrichtung nicht beschränkt auf ein Mehrrechnersystem mit nur zwei Rechnerpaaren oder Rechnertripeln. Vielmehr läßt sie sich mit Vorteil auch dort anwenden, wo Daten zwischen mehr als zwei Rechnerpaaren oder Rechnertripeln auszutauschen sind.

Claims (20)

1. Signaltechnisch sichere Datenübertragungseinrichtung für ein Mehrrechnersystem mit einem Rechnerpaar oder -tripel auf der Sende- und mindestens einem Rechnerpaar oder -tripel auf der Empfangsseite des Systems, deren Einzelrechner sich jeweils untereinander vergleichen und mit Ein/Ausgabebaugruppen zusammenwirken, welche die zu übertragenden bzw. die übertragenen Daten in eine für die weitere Datenübertragung bzw. die weitere Verbindung geeignete Form umsetzen, bei der mindestens ein Einzelrechner des sendenden Rechnerpaares oder -tripels die zu übertragenden Daten über einen einzigen Übertragungskanal an alle Einzelrechner des bzw. der empfangenden Rechnerpaare oder -tripel überträgt und bei der die Datenübertragung unter Verwendung von redundanten Codes erfolgt, dadurch gekennzeichnet, daß der jeweils sendende Einzelrechner (MC 1.1) die am Ausgang seiner Ausgabebaugruppe (P/S 1.1) abgreifbaren Daten dem Eingang der dem oder den anderen Einzelrechnern (MC 1.2) des betreffenden Rechnerpaares oder -tripels zugeordneten Eingabebaugruppen (S/P 1.2) zuführt und daß diese Einzelrechner (MC 1.2) die ihnen zugeführten Daten mit den von ihnen selbst erarbeiteten Daten auf inhaltliche Übereinstimmung prüfen und aus dem Prüfergebnis vorbestimmte Reaktionen ableiten.

2. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß die für den Sendebetrieb vorgesehenen Einzelrechner (MC 1.1) innerhalb der zulässigen Ausfalloffenbarungszeit von Einzelausfällen für die zugehörigen Rechnerpaare oder -tripel (MC 1.1, MC 1.2) und ihre an der Datenübertragung beteiligten Ein/Ausgabebaugruppen (P/S 1.1, S/P 1.1, P/S 1.2, S/P 1.2) Prüftelegramme erzeugen und diese Prüftelegramme über ihre Ausgabebaugruppen (P/S 1.1) an die Eingabebaugruppen (P/S 1.2) des oder der anderen Einzelrechner (MC 1.2) des betreffenden Rechnerpaares oder -tripels sowie die Eingabebaugruppen (S/P 2.1, S/P 2.2) der Einzelrechner (MC 2.1, MC 2.2) auf der Empfangsseite der Übertragungseinrichtung übertragen.

3. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Einzelrechner (MC 1.1, MC 1.2) des sendenden Rechnerpaares oder -tripels die zu übertragenden Daten bzw. die Prüfdaten jeweils im Wechsel ausgeben.

4. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 3, dadurch gekennzeichnet, daß die von den Einzelrechnern des sendenden Rechnerpaares oder -tripels erarbeiteten Daten bzw. die Prüfdaten in unterschiedlicher Weise codiert sind.

5. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 4, dadurch gekennzeichnet, daß die von den Einzelrechnern des sendenden Rechnerpaares oder -tripels erarbeiteten Daten jeweils invertiert dargestellt sind.

6. Signaltechnisch sichere Datenübertragungseinrichtung nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß das Aufschalten des jeweils sendenden Einzelrechners (MC 1.1) eines Rechnerpaares oder -tripels auf den Übertragungskanal (F) vom Vorhandensein entsprechender Steuersignale von mindestens zwei Einzelrechnern (MC 1.1, MC 1.2) des betreffenden Rechnerpaares oder -tripels abhängig gemacht ist.

7. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 6, dadurch gekennzeichnet, daß die den Einzelrechnern (MC 1.1, MC 1.2) auf der Sendeseite der Übertragungseinrichtung zugeordneten Ausgabebaugruppen (P/S 1.1, P/S 1.2) Sperrschaltmittel (AW 1) aufweisen, über die die Datenausgänge der Ausgabebaugruppen hochohmig vom Übertragungskanal (F) abgetrennt sind und daß diese Sperrschaltmittel einzeln und individuell durch die Steuersignale der Einzelrechner unwirksam zu schalten sind.

8. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 6 und 7, dadurch gekennzeichnet, daß die Sperrschaltmittel (D 1.1, D 1.2) über Schalter (LD 1.1, T 1.1; LD 1.2, T 1.2) unwirksam zu schalten sind, die nur dann in ihre Wirkstellung gelangen und dabei die Sperrschaltmittel (D 1.1, D 1.2) unwirksam schalten, wenn ihnen von dem jeweils sendenden Einzelrechner (MC 1.1) Steuerpotential der einen Wertigkeit (Low) und von einem anderen Einzelrechner (MC 1.2) des gleichen Rechnerpaares oder -tripels Steuerpotential der anderen Wertigkeit (High) zugeführt wird.

9. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 6 bis 8, dadurch gekennzeichnet, daß die Sperrschaltmittel durch Dioden-Brückenschaltungen (D 1.1, D 1.2) dargestellt sind, die mit ihrem einen Wechselspannungseingang jeweils an den Ausgang der einen bzw. anderen Ausgabebaugruppe (P/S 1.1, P/S 1.2) angeschlossen und mit ihrem anderen Wechselspannungseingang gemeinsam auf den Übertragungskanal geführt sind, daß die beiden Gleichspannungsausgänge der Dioden-Brückenschaltungen über in Durchlaßrichtung geschaltete Schaltstrecken zugehöriger Transistoren (T 1.1, T 1.2) miteinander verbunden sind und daß diese Transistoren zum Durchschalten der von der jeweils zugehörigen Ausgabebaugruppe (P/S 1.1, P/S 1.2) abgegebenen Daten auf den Übertragungskanal individuell niederohmig zu schalten sind.

10. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 6 bis 9, dadurch gekennzeichnet, daß die Einzelrechner (MC 1.1, MC 1.2) auf der Sendeseite der Datenübertragungseinrichtung jeweils zwei voneinander unabhängige Steuerausgänge (E 1.1, E 1.2; E 2.1, E 2.2) aufweisen, von denen der eine (E 1.1; E 2.1) positives Steuerpotential führt, wenn der zugehörige Einzelrechner senden soll und von denen der andere (E 1.2; E 2.2) positives Steuersignal führt, wenn der jeweils andere Einzelrechner senden soll, daß die Transistoren (T 1.1, T 1.2) Bestandteile von Optokopplern sind, deren zugehörige Leuchtdioden (LD 1.1, LD 1.2) mit ihrer Anode an den anderen Steuerausgang (E 2.2; E 1.2) des jeweils anderen Rechners (MC 1.2, MC 1.1) und mit ihrer Kathode an den Ausgang eines NAND-Gliedes (N 1.1, N 1.2) angeschlossen sind, das an seinem Ausgang Bezugspotential führt, wenn an seinem einen Eingang von dem einen Steuersignalausgang (E 1.1, E 2.1) des zugehörigen Einzelrechners (MC 1.1, MC 1.2) positives Steuerpotential und an seinem anderen Eingang ebenfalls positives Steuerpotential anliegt, wobei dieses positive Steuerpotential am Ausgang eines Inverters (J 1.1, J 1.2) abgreifbar ist, der eingangsseitig an den jeweils anderen Steuersignalausgang (E 1.2; E 2.2) des gleichen Einzelrechners (MC 1.1, MC 1.2) angeschlossen ist und ein dort anliegendes Bezugspotential in ein positives Steuerpotential umsetzt.

11. Signaltechnisch sichere Datenübertragungseinrichtung nach einem der Ansprüche 1 bis 10, dadurch gekennzeichnet, daß jedem Einzelrechner (MC 1.1, MC 1.2) Schaltmittel (AS 1.1, AS 1.2) zum Auftrennen der Verbindung von den Ein/Ausgabebaugruppen (P/S 1.1, P/S 1.2) auf der Sendeseite der Übertragungseinrichtung zum Übertragungskanal (F) zugeordnet sind.

12. Signaltechnisch sichere Datenübertragungseinrichtung nach mindestens einem der Ansprüche 1 bis 11, dadurch gekennzeichnet, daß das Feststellen inhaltlicher Abweichungen zwischen den in der Ausgabebaugruppe (z. B. P/S 1.1) des sendenden Einzelrechners (MC 1.1) und den in der Eingabebaugruppe (S/P 1.2) des mitlesenden Einzelrechners (MC 1.2) anstehenden Daten oder zwischen den von den Eingabebaugruppen (S/P 2.1 und S/P 2.2) auf der Empfangsseite der Datenübertragungseinrichtung aufgenommenen Daten die Abschaltung der sendeseitigen Ausgabebaugruppe (P/S 1.1) bewirkt bzw. dazu führt, daß die empfangsseitigen Einzelrechner (MC 2.1, MC 2.2) die Bewertung der in ihren Eingabebaugruppen (S/P 2.1, S/P 2.2) anstehenden Daten bleibend sperren.

13. Signaltechnisch sichere Datenübertragungseinrichtung nach mindestens einem der Ansprüche 1 bis 11, dadurch gekennzeichnet, daß ein einmaliges Feststellen inhaltlicher Abweichungen zwischen den in der Ausgabebaugruppe (P/S 1.1) des sendenden Einzelrechners (MC 1.1) und den in der Eingabebaugruppe (S/P 1.2) des mitlesenden Einzelrechners (MC 1.2) anstehenden Daten oder zwischen den von den Einbaugruppen (S/P 2.1, S/P 2.2) auf der Empfangsseite der Datenübertragungseinrichtung aufgenommenen Daten die Wiederholung der Daten veranlaßt, wohingegen ein mehrmaliges Feststellen von Abweichungen in Folge die Abschaltung der sendeseitigen Ausgabebaugruppe (P/S 1.1) bewirkt bzw. dazu führt, daß die empfangsseitigen Einzelrechner (MC 2.1, MC 2.2) die Bewertung der in ihren Eingabebaugruppen (S/P 2.1, S/P 2.2) anstehenden Daten bleibend sperren.

14. Signaltechnisch sichere Datenübertragungseinrichtung nach mindestens einem der Ansprüche 1 bis 13, dadurch gekennzeichnet, daß das jeweils sendende Rechnerpaar oder -tripel die Datenübertragung zu einem beliebigen anderen Rechnerpaar oder -tripel mit einem das ordnungsgerechte Rücklesen der ausgesandten Daten kennzeichnenden Signal beendet und daß das empfangende Rechnerpaar oder -tripel die zuvor übermittelten Daten erst mit dem Empfang dieses Signals für die Verarbeitung freigibt.

15. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der jeweils sendende Einzelrechner (MC 1.1) beim einkanaligen Empfang von Daten während des Sendevorganges ein Anforderungssignal setzt und daß dieses Anforderungssignal - ggf. nach vorzeitigem Abbruch des Sendebetriebes, spätestens aber nach Beendigung des Sendebetriebes - zum Aufschalten des bislang auf das Rücklesen der ausgesandten Daten eingerichteten Eingabebaugruppe (S/P 1.2) auf den Übertragungskanal führt.

16. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 15, dadurch gekennzeichnet, daß mindestens den Telegrammen mit wichtigem Dateninhalt ein Leertelegramm vorangestellt ist, dessen einkanaliger Empfang durch einen sendenden Einzelrechner das Aufschalten der bislang auf das Rücklesen der ausgesandten Daten eingerichteten Eingabebaugruppe auf den Übertragungskanal veranlaßt.

17. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 16, dadurch gekennzeichnet, daß das Leertelegramm Angaben über die Priorität der nachfolgend übertragenen Daten enthält.

18. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der Übertragungskanal als eine über Modems (M 1, M 2) betriebene Fernmeldeleitung (F) ausgebildet ist.

19. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der Übertragungskanal als Lichtwellenleiter ausgebildet ist.

20. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der Übertragungskanal als Bussystem (B) ausgebildet ist.