DE3918962A1 - Mehrrechnersystem - Google Patents

Description

Die Erfindung betrifft ein Mehrrechnersystem gemäß dem Oberbe­ griff des Anspruchs 1.

Aus der DE-OS 24 15 307 ist es bekannt, zur Erhöhung der Sicherheit von Prozeßsteuerungen mehrere parallel arbeitende Rechner vorzusehen, die alle dieselben Prozeßdaten erhalten und diese nach dem gleichen Programm bearbeiten. Die ausgegebenen Daten werden einer Mehrheitsentscheidung unterzogen, indem sie miteinander verglichen werden und nur die Daten weitergegeben werden, für die eine bestimmte Mehrheit vorliegt. Im Falle von drei Rechnern kann z. B. das Datum weitergegeben werden, das mindestens zweifach auftritt (2v3-Mehrheitsentscheidung). Die Ausgangssignale der Rechner können nur dann übereinstimmen, wenn alle Rechner von identischen Eigangssignalen ausgegangen sind. Damit dies sichergestellt ist, werden die einlaufenden Daten nur zu diskreten Zeitpunkten zu den Rechnern durchge­ schaltet und dort mindestens bis zum nächsten Durchschaltzeit­ punkt gespeichert. Eine solche Durchschaltung wird erst dann vorgenommen, wenn alle Rechner die mit der vorhergehenden Durchschaltung eingegebenen Daten abgearbeitet haben.

In der DE-PS 26 47 367 ist eine redundante Prozeßsteueranord­ nung mit mehreren parallel und synchron arbeitenden, gleich­ artigen Zentraleinheiten beschrieben, die über Ausgabe- und Eingabe-Sammelleitungen mit Prozeßein- und -ausgängen aufweisen­ den Ein-/Ausgabe-Baugruppen verbunden sind. Zwischen die Aus­ gabe-Sammelleitungen und jeder Ein-/Ausgabe-Baugruppe ist ein Majoritätsglied geschaltet. Diese empfangen die binären Signa­ le, wie Daten, Adressen und Steuersignale, die auf einander ent­ sprechenden, den verschiedenen Rechnern zugeordneten Ausgabe- Sammelleitungen liegen, und stellen fest, ob die Anzahl der log. "1"- oder "0"-Signale größer als eine vorgegebene Zahl ist. Ist dies der Fall, geben sie das mehrheitlich festgestell­ te Signal auf Ein-/Ausgabe-Einheiten. Die redundanten Signale werden daher in nichtredundante Steuersignale umgewandelt. Mit einer solchen Anordnung wird eine hohe Verfügbarkeit der Zen­ traleinheiten und der Sammelleitungen erzielt, also der Bau­ teile, bei deren Ausfall die gesamte Steueranordnung gestört und der zu steuernde Prozeß in einer nicht vorhersehbaren Weise beeinflußt werden kann. Wird von einer Ein-/Ausgabe-Einheit eine hohe Verfügbarkeit verlangt, so kann diese dadurch erzielt werden, daß mehrere Ein-/Ausgabe-Einheiten parallel betrieben werden. Diese können in verschiedenen Ein-/Ausgabe-Baugruppen untergebracht sein, so daß auch bei Ausfall einer ganzen Bau­ gruppe die in den übrigen Baugruppen enthaltenen Ein-/Ausgabe- Einheiten funktionsfähig bleiben. Die Vorteile eines solchen taktsynchronen Mehrrechnersystems liegen in der Schnelligkeit, der prinzipiellen Einfachheit und der Transparenz für die Software sowie einem hohen und keine Bearbeitungszeit erfor­ dernden Fehlererkennungsgrad. Nachteilig ist der Aufwand an Hardware, da der Einsatz von nichtredundanten Standardbau­ gruppen meist nicht möglich ist.

Ein weiteres Mehrrechnersystem ist in der DE-AS 12 69 827 an­ gegeben. Dort ist, ausgehend von den Problemen, die das Takt­ synchronisieren von Datenverarbeitungsanlagen mit sich bringt, und andererseits wegen der Nachteile von softewaresynchronisier­ ten Rechnern, vorgeschlagen, eine Zusatzeinrichtung zu verwen­ den, welche von den Rechnern gelieferte Synchronisierungs­ meldungen auswertet. Es werden also die Synchronisierungs­ meldungen nicht von den Rechnern selbst, sondern von der Zu­ satzeinrichtung ausgewertet. Sobald ein Rechner bei der Be­ arbeitung eines Programms an eine Stelle kommt, an der die Syn­ chronisierung erfolgen soll, gibt er ein Signal an die Zusatz­ einrichtung ab und hält den Programmablauf so lange an, bis die entsprechenden Signale auch von den weiteren Rechnern eintref­ fen. Mit einem von der Zusatzeinrichtung nunmehr gebildeten Unterbrechungssignal wird der folgende Programmablauf gleich­ zeitig in allen Rechnern gestartet. Mit einer Zeitüberwachung kann erkannt werden, wenn ein Signal eines Rechners unzulässig lange auf sich warten läßt. Die Wartezeiten zwischen dem ersten Bereitsignal eines Rechners und dem Unterbrechungssignal können für die Bearbeitung von Hintergrundprogrammen ausgenutzt wer­ den.

Der vorliegenden Erfindung liegt die Aufgabe zugrunde, ein Mehrrechnersystem zu schaffen, das sich durch schnelle Arbeits­ weise bei geringem Aufwand auszeichnet.

Erfindungsgemäß wird diese Aufgabe mit den im kennzeichnenden Teil des Anspruchs 1 angegebenen Maßnahmen gelöst.

In dem neuen Mehrrechnersystem bearbeiten die Rechner völlig unabhängig einzelne Abschnitte des Programms, bis eine Ein-/ Ausgabe-Einheit angesprochen wird. Auch dann werden die Rechner noch nicht synchronisiert, sondern sie legen die Ergebnisse in den Zwischenregistern ab. Sind alle Zwischenregister geladen, werden die Ergebnisse gleichzeitig zu den Ein-/Ausgabe-Einhei­ ten übertragen, dort miteinander verglichen und in einem Voter zwecks Mehrheitsbildung miteinander verknüpft. Mit diesem Ver­ gleich können nicht nur Fehler auf der Übertragungsstrecke von den Ein-/Ausgabe-Anschaltungen zu den Ein-/Ausgabe-Einheiten, sondern auch Fehler in den Rechnern und den Ein-/Ausgabe-An­ schaltungen festgestellt werden. Zwecks frühzeitiger Fehler­ erkennung und leichterer Fehlerlokalisierung können die in den Ein-/Ausgabe-Anschaltungen enthaltenen Ergebnisse auch vor der Übertragung zu den Ein-/Ausgabe-Einheiten miteinander vergli­ chen und gegebenenfalls nach einer Mehrheitsbildung zu den Ein-/Ausgabe-Einheiten übertragen werden. Eine Synchronisation der Rechner ist immer noch nicht erforderlich.

Den ordnungsgemäßen Empfang der Daten melden die Ein-/Ausgabe- Einheiten mit Quittungssignalen, die in die Ein-/Ausgabe-An­ schaltungen eingetragen und dort miteinander verglichen werden. Erst mit der Übernahme dieser Quittungssignale werden die Rech­ ner synchronisiert. Entsprechend findet eine Synchronisierung statt, wenn Ein-/Ausgabe-Einheiten spontane Meldungen oder andere Daten zu den Rechnern übertragen.

Anhand der Zeichnung werden im folgenden die Erfindung sowie weitere Ausgestaltungen und Vorteile näher beschrieben und er­ läutert.

In Fig. 1 sind mit CPU1, CPU2, CPU3 drei Rechner bezeichnet, die gleiche Daten mit gleichen Programmen bearbeiten. Jedem Rechner ist eine Ein-/Ausgabe-Anschaltung EAS1, EAS2, EAS3 zugeordnet, die ihrerseits mit einer Busleitung BL1, BL2, BL3 verbunden ist. Über diese werden parallel gleiche Daten gleich­ zeitig zu Ein-/Ausgabe-Votern EAV1, AV2 . . . EAVn übertragen, welche die empfangenen Daten miteinander vergleichen und auf­ grund einer Mehrheitsentscheidung je eine Ein-/Ausgabe-Einheit EAG1, EAG2 . . . EAGn ansteuern. Als Ausführungsbeispiel ist ein 2v3-System gewählt, jedoch kann die Erfindung in jedem n-von-m-System eingesetzt werden, also auch z. B. in 2v2- oder 2v4-Systemen. Stellt ein Ein-/Ausgabe-Voter fest, daß ein Signal von den beiden anderen abweicht, wird eine Fehlermeldung über die Busleitungen BL1, BL2, BL3 und die Ein-/Ausgabe-An­ schaltungen EAS1, EAS2, EAS3 an die Rechner gegeben.

Die aufgrund der Mehrheitsentscheidung von den Ein-/Ausgabe- Votern EAV1, EAV2 . . . EAVn gebildeten Signale werden den adres­ sierten Ein-/Ausgabe-Einheiten EAG1, EAG2 . . . EAGn zugeführt. An diese angeschlossene Aktoren können im Falle geringerer Sicherheitsanforderungen einkanalig angesteuert werden, es ist aber auch eine redundante Ansteuerung möglich. Beispielsweise wird ein sicherheitsrelevantes Ventil VT von den Ein-/Ausgabe- Einheiten EAG1, EAG2 in 2v2-Technik angesteuert. Auch eine mehrkanalige Ausgabe von Stellbefehlen ist mittels eines Voters möglich.

Den einwandfreien Empfang der Signale melden die Ein-/Ausgabe- Einheiten EAG1, EAG2 . . . EAGn mit einem Quittungssignal, das von den Ein-/Ausgabe-Votern EAV1, EAV2 . . . EAVn auf die Buslei­ tungen BL1, BL2, BL3 verteilt und über diese den Ein-/Ausgabe- Anschaltungen EAS1, EAS2, EAS3 zugeführt wird. Entsprechend werden Eingabesignale, z. B. digitalisierte Meßwerte oder binäre Meldesignale, von den Ein-/Ausgabe-Einheiten zu den Ein-/Ausgabe-Anschaltungen übertragen. In diesen enthaltene Voter empfangen die von der Peripherie empfangenen Daten, geben bei Gleichheit auf die Rechner CPU1, CPU2, CPU3 gleichzeitig je ein Unterbrechungssignal, so daß die Daten auch gleichzeitig in die Rechner eingegeben werden und diese damit synchronisiert sind.

Wie in Fig. 2 veranschaulicht, enthalten die Ein-/Ausgabe-An­ schaltungen EAS1, EAS2, EAS3 Kennungsregister KER1, KER2, KER3. In diese trägt der jeweils zugehörige Rechner eine Kennung für die nächste beabsichtigte Ein-/Ausgabe-Operation ein. Diese Kennung kann im einfachsten Fall eine Nummer sein; vorteilhaft werden aber Kennungen verwendet, die als Testmuster für die Übertragung der Kennungen zwischen den Ein-/Ausgabe- Anschaltungen dienen. Die Kennungen werden nämlich zwischen den drei zueinander redundanten Ein-/Ausgabe-Anschaltungen EAS1, EAS2, EAS3 rückwirkungsfrei quergekoppelt, indem jeder Rechner die Kennung für die nächste von ihm auszuführende Operation in das jeweils eigene Kennungsregister einträgt. Die einge­ tragene Kennung wird mit den Kennungen der anderen Rechner in Vergleichern VGL1, VGL2 verglichen. Entsprechende Verglei­ cherpaare sind in den anderen Ein-/Ausgabe-Anschaltungen EAS2, EAS3 enthalten. Der Rechner CPU1 trägt seine Kennung in das Kennungsregister KER1 ein, und es wird in der Ein-/Ausgabe- Anschaltung EAS1 oder vom Rechner CPU1 die in diesem Register enthaltene Kennung mit denen in den Registern KER2, KER3, die von den Rechnern CPU2 bzw. CPU3 eingetragen sind, verglichen. Stellen die Vergleicher VGL1, VGL2 Übereinstimmung fest, melden sie dies einer Ablaufsteuerung AST. Erst wenn Übereinstimmung zwischen den drei Kennungen besteht, d. h., wenn im fehler­ freien Fall auch der langsamste Rechner die Kennung ausgegeben hat, wird die Übertragung der Daten, die im Falle von Lese­ vorgängen nur aus Steuer- und Adreßsignalen bestehen können, zu den Ein-/Ausgabe-Einheiten synchronisiert freigegeben. Nach Beendigung der Ein-/Ausgabe-Operation wird das Quittungssignal von den adressierten Ein-/Ausgabe-Einheiten EAG1, EAG2 . . . EAGn synchron an die Rechner weitergegeben, wobei die Signale von in den Ein-/Ausgabe-Votern EAV1, EAV2 . . . EAVn enthaltenen Ver­ teilern auf die Busleitungen BL1, BL2, BL3 verteilt werden. Dieses Quittungssignal synchronisiert die vor der Ein-/Ausgabe- Operation zeitlich eventuell auseinandergelaufenen Rechner wieder ein.

Die Ein-/Ausgabe-Anschaltung nach Fig. 2 enthält ferner zwei Zeitzähler ZZ1, ZZ2. Der erste Zeitzähler ZZ1 wird dann ge­ startet, wenn der zugehörige Rechner die Kennung für die nächste Operation in das Kennungsregister KER1 einträgt. Da­ gegen wird der zweite Zeitzähler ZZ2 von den Vergleichern VGL1, VGL2 über ein ODER-Glied OR erst dann gestartet, wenn einer der Vergleicher die Übereinstimmung des Inhaltes des Kennungsregisters KER1 mit dem des Kennungsregisters KER2 bzw. KER3 feststellt.

Läuft der erste Zähler ZZ1 ab, dessen Laufzeit zweckmäßig län­ ger als die des Zeitzählers ZZ2 ist, ohne daß mindestens einer der beiden Vergleicher VGL1, VGL2 eine Übereinstimmung von Ken­ nungen feststellt, bedeutet dies, daß die eigene Kennung des zugeordneten Rechners fehlerhaft ist. Der Start des zweiten Zeitzählers ZZ2 erfolgt gleichzeitig mit dem Start eines ent­ sprechenden Zeitzählers in einer anderen Ein-/Ausgabe-Anschal­ tung. Läuft die in diesen Zählern eingestellte Zeit ab, ohne daß Übereinstimmung mit der dritten Kennung erzielt wird, wird die Datenübertragung synchron gestartet, da die in den Zählern eingestellten Zeiten gleich sind, sie zum selben Zeitpunkt gestartet wurden und eine 2v3-Mehrheitsentscheidung vorliegt. Der Ablauf der beiden Zeiten ohne Übereinstimmung mit der drit­ ten Kennung deutet auf einen Fehler im dritten Rechner hin. Eine solche synchrone Zeitüberwachung mit einer Mehrheitsent­ scheidung vereinfacht in einem redundanten System mit asynchron arbeitenden Rechnern die Fehlererkennung und das Weiterarbeiten der beiden fehlerfreien Rechner.

Die Ein-/Ausgabe-Schaltungen enthalten jeweils eine Reihe von Registern, wie in Fig. 3 veranschaulicht ist. In einem Daten­ register DAR werden die Daten von und zu den Ein-/Ausgabe- Geräten zwischengespeichert, in einem Adressenregister ADR die Adressen der Ein-/Ausgabe-Einheiten bzw. deren Ein- bzw. Aus­ gänge, in einem Kontroll-Register KNR Steuersignale, wie Lesen, Schreiben, Quittieren usw., und in einem Statusregister, das ein Eingaberegister ist, werden Statussignale, z. B. Quittungs­ signale von den Ein-/Ausgabe-Einheiten zwischengespeichert. Die Ablaufsteuerung AST und die Zeitzähler ZZ1, ZZ2 wurden anhand von Fig. 2 beschrieben. Mit den Busleitungen BL, die zu den Ein-/Ausgabe-Geräten führen, sind synchronisierte, rückwir­ kungsfreie Taktgeber TG verbunden, welche u. a. die Taktsignale für die Zeitzähler liefern.

Die Zugriffe der Rechner auf die Ein-/Ausgabe-Einheiten ver­ laufen zweistufig: In einer ersten Stufe greifen die Rechner im allgemeinen zeitlich versetzt auf die Register der Ein-/Aus­ gabe-Anschaltungen zu, die ihrerseits erst die synchronen Ein-/Ausgabe-Befehle für die Ein-/Ausgabe-Einheiten erzeugen. Diese Zweistufigkeit hat im allgemeinen keinen Nachteil; da die zu den Ein-/Ausgabe-Einheiten führende Busleitung BL im allge­ meinen deutlich langsamer ist als die Rechner, kann ein einzel­ ner Ein-/Ausgabe-Befehl direkt an die Ein-/Ausgabe-Einheiten ohne weiteres durch mehrere Ein-/Ausgabe-Befehle an die Ein-/ Ausgabe-Anschaltungen ersetzt werden.

Das neue Rechnersystem gestattet, Ein-/Ausgabe-Baugruppen von synchronen Systemen an asynchron arbeitende Rechner anzuschlie­ ßen. Die zeitlich auseinanderdriftenden Rechner werden an den entscheidenden Stellen, nämlich beim Zugriff auf die Ein-/Aus­ gabe-Einheiten, mit schnellen Hardware-Mitteln einsynchroni­ siert, d. h. gerade und genau; das bei nur abschnittsweise synchron laufenden Systemen mindestens erforderliche Voten, Synchronisieren und Signalverteilen bei Zugriffen auf die Ein-/Ausgabe-Baugruppen wird mit schnellen Hardware-Mitteln realisiert.

Claims (5)

1. System mit mehreren asynchron arbeitenden Rechnern, die mit Ein-/Ausgabe-Einheiten über Voter verbunden sind, welche die taktsynchron über Busleitungen übertragenen Eigangssignale miteinander vergleichen und bei Abweichung ein Fehlermelde­ signal abgeben, dadurch gekennzeichnet, daß jedem Rechner eine Ein-/Ausgabe-Anschaltung (EAS1, EAS2, EAS3) zugeordnet ist, die zwischen den Rechner und die Ein-/Aus­ gabe-Einheiten geschaltet ist, in welche der Rechner die zu den Ein-/Ausgabe-Einheiten (EAG1, EAG2, EAGn) zu übertragenden Si­ gnale unmittelbar nach Abarbeiten je eines Programmabschnitts einträgt, und daß Verbindungen zwischen den Ein-/Ausgabe-An­ schaltungen (EAS1, EAS2, EAS3) vorhanden sind, über welche die Ein-/Ausgabe-Anschaltungen den Eintrag von zu übertragenden Signalen den jeweils anderen Ein-/Ausgabe-Anschaltungen melden, und daß die Signale von den Ein-/Ausgabe-Anschaltungen zu den Ein-/Ausgabe-Einheiten (EAG1, EAG2 . . . EAGn) übertragen werden.

2. Mehrrechnersystem nach Anspruch 1, dadurch ge­ kennzeichnet, daß die von den Ein-/Ausgabe-Ein­ heiten (EAG1, EAG2 . . . EAGn) zu den Rechnern übertragenen Si­ gnale in den Ein-/Ausgabe-Anschaltungen zwischengespeichert und miteinander verglichen werden und daß bei Gleichheit jedem Rechner ein die Rechner synchronisierendes Signal zugeführt wird.

3. Mehrrechnersystem nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß den Ein-/Ausgabe-Operationen der Rechner Kennungen zugeordnet sind, jeder Rechner beim Aus­ führen einer Ein-/Ausgabe-Operation deren Kennung in ein in der zugehörigen Ein-Ausgabe-Anschaltung (EAS1, EAS2, EAS3) enthal­ tenes Kennungsregister (KER1, KER2, KER3) und die zu den Ein-/ Ausgabe-Geräten (EAG1, EAG2 . . . EAGn) zu übertragenden Signale in weitere Register (DAR, ADR) der Ein-/Ausgabe-Anschaltungen einträgt und daß die in den Kennungsregistern (KER1, KER2, KER3) der Ein-/Ausgabe-Anschaltungen enthaltenen Kennungen miteinander verglichen werden und bei Gleichheit die in den Registern enthaltenen Signale zu den Ein-/Ausgabe-Geräten (EAG1, EAG2 . . . EAGn) übertragen werden.

4. Mehrrechnersystem nach Anspruch 3, dadurch ge­ kennzeichnet, daß jede Ein-/Ausgabe-Anschaltung (EAS1, EAS2, EAS3) einen Zeitzähler (ZZ2) enthält, der gestar­ tet wird, wenn die Ein-/Ausgabe-Anschaltung die Übereinstimmung der eigenen Kennung mit der einer anderen Ein-/Ausgabe-Anschal­ tung feststellt, und daß die zu den Ein-/Ausgabe-Einheiten zu übertragenden Signale gleichzeitig von allen Ein-/Ausgabe-An­ schaltungen übertragen werden, wenn alle Kennungen überein­ stimmen oder, falls nur ein die Mehrheit der Kennung bilden­ der Teil übereinstimmt, die Zeitzähler (ZZ2) ablaufen.

5. Mehrrechnersystem nach Anspruch 4, dadurch ge­ kennzeichnet, daß die ein-/Ausgabe-Anschaltungen (EAS1, EAS2, EAS3) je einen zweiten Zeitzähler (ZZ1) enthalten, der mit der Übernahme der eigenen Kennung in die Ein-/Ausgabe- Anschaltung gestartet wird, und daß ein den eigenen Rechner als fehlerhaft kennzeichnendes Signal abgegeben wird, wenn der zweite Zähler (ZZ1) abläuft, ohne daß eine Übereinstimmung der Mehrheit der Kennungen festgestellt wird.