DE4217830A1 - Verfahren zum Betreiben einer Datenverarbeitungsanlage - Google Patents

Description

Die Erfindung betrifft ein Verfahren zum Betreiben einer Datenverarbeitungsanlage, bei dem die Datenverar­ beitungsanlage mindestens einen kritischen Programmab­ schnitt abarbeitet, der das Einschreiben von Informa­ tionen in einen ersten nicht flüchtigen Speicher ver­ anlaßt und der nach erfolgter Abarbeitung verlassen wird, wobei bei einer auf einen Spannungsausfall fol­ genden Spannungswiederkehr die vor dem Spannungsausfall im Speicher vorhandenen Informationen wieder bereitge­ stellt werden.

Ein derartiges Verfahren wird z. B. bei einer Frankier­ maschine eingesetzt, die einen nicht flüchtigen Spei­ cher hat, in dem die noch verfügbaren Portobeträge oder die bereits aufgebrauchten Portobeträge gespeichert werden. Bei Spannungswiederkehr nach einem Spannungs­ ausfall muß der Inhalt des Speichers für die weiteren Buchungsvorgänge mit dem Inhalt vor dem Spannungsaus­ fall übereinstimmen.

Bei einem aus der US-A 45 06 299 bekannten Verfahren erzeugt ein Spannungsüberwachungsschaltkreis beim Ab­ sinken der Versorgungsspannung ein Signal, welches eine Speichersicherungsroutine in der Datenverarbei­ tungsanlage auslöst, bei der die sicherheitsrelevanten Informationen in einen nicht flüchtigen Speicher einge­ schrieben werden. Um die Routine auch bei abrupt feh­ lender Versorgungsspannung noch ausführen zu können, muß eine Energiereserve vorgesehen werden, beispiels­ weise in Form einer in einem Kondensator gespeicherten elektrischen Ladung, die die Betriebsfähigkeit der Da­ tenverarbeitungsanlage über den Zeitpunkt des Span­ nungsausfalls hinaus für kurze Zeit verlängert. Wenn die Versorgungsspannung wiederkehrt, wird eine weitere Routine gestartet, welche die im nicht flüchtigen Spei­ cher zwischengespeicherten Informationen wieder be­ reitstellt.

Nachteilig beim bekannten Verfahren ist das Erforder­ nis, spezielle Hardwarekomponenten zum Erkennen des Ab­ sinkens der Versorgungsspannung sowie zur verlängerten Energieversorgung vorzusehen. Dies bedeutet, daß in die Hardware konventioneller Rechnerbaugruppen eingegriffen oder diese Hardware um weitere Bauelemente ergänzt wer­ den muß, um eine Speichersicherung zu erreichen. Der damit verbundene technische Aufwand könnte vermieden werden, wenn es gelänge, die mit der Hardware erreich­ ten Wirkungen durch Lösungen im Softwarebereich zu er­ zielen.

Es ist Aufgabe der Erfindung, ein Verfahren zum Betrei­ ben einer Datenverarbeitungsanlage anzugeben, das mit geringem Hardwareaufwand realisiert werden kann und einen hohen Sicherheitsstandard gewährleistet.

Diese Aufgabe wird für ein eingangs genanntes Verfahren dadurch gelöst, daß zu Beginn des Einschreibens der In­ formationen eine erste Zustandskennung in einen nicht flüchtigen Zustandsspeicher mindestens einmal einge­ schrieben wird, daß nach dem Einschreiben der Informa­ tionen eine zweite, von der ersten Zustandskennung ver­ schiedene Zustandskennung in den Zustandsspeicher min­ destens einmal eingeschrieben wird, die selben Informa­ tionen in einen zweiten nicht flüchtigen Speicher ein­ geschrieben werden und der kritische Programmabschnitt verlassen wird, daß bei Spannungswiederkehr die vor dem Spannungsausfall in den Zustandsspeicher zuletzt einge­ schriebene Zustandskennung gelesen wird und bei Vorlie­ gen der ersten Zustandskennung diese in den Zustands­ speicher mindestens einmal eingeschrieben wird, die In­ formationen aus dem zweiten Speicher in den ersten Speicher übertragen werden und der kritische Programm­ abschnitt verlassen wird, und daß bei Vorliegen der zweiten Zustandskennung diese in den Zustandsspeicher mindestens einmal eingeschrieben wird, die Informatio­ nen aus dem ersten Speicher in den zweiten Speicher eingelesen werden und der kritische Programmabschnitt verlassen wird.

Die Erfindung beruht auf der Überlegung, die zu si­ chernden Informationen zweimal in voneinander getrenn­ ten nicht flüchtigen Speichern abzulegen. Fällt die Versorgungsspannung zu einem Zeitpunkt aus, zu dem ge­ rade ein Schreibvorgang im ersten Speicher ausgeführt wird, so ist nicht sichergestellt, daß die zu spei­ chernde Information, z. B. ein Datenbyte, ordnungsgemäß in den Speicher gelangt. Jedoch sind die im zweiten nicht flüchtigen Speicher enthaltenen Informationen, die beim vorherigen Abarbeiten des kritischen Programm­ abschnitts abgespeichert worden waren, noch unver­ fälscht erhalten. Die in diesem Speicher gespeicherten Informationen werden nun gemäß der Erfindung in den er­ sten Speicher eingeschrieben, so daß dessen Speicherin­ halt mit dem des zweiten Speichers übereinstimmt. Ein eventueller Schreibfehler im ersten Speicher ist somit aufgehoben.

Wird der kritische Programmabschnitt wegen Spannungs­ ausfalls in der Phase unterbrochen, in der die Informa­ tionen in den zweiten Speicher eingeschrieben werden, so wird bei Spannungswiederkehr der Inhalt des ersten Speichers in den zweiten Speicher geladen und so ein möglicher Schreibfehler im zweiten Speicher behoben.

Zur Unterscheidung der verschiedenen Phasen des Ein­ schreibens der Informationen in die beiden Speicher werden diese Phasen jeweils durch eine Zustandskennung gekennzeichnet, z. B. durch eine Zahl oder ein Textzei­ chen. Bei Spannungswiederkehr wird dann anhand dieser Zustandskennung entschieden, welcher Speicher mit den Informationen des anderen Speichers zu laden ist.

Nach Spannungswiederkehr wird die Phase des Programmab­ schnitts, in der die Inhalte der Speicher ausgetauscht werden, durch Zustandskennungen gekennzeichnet. Wenn nun in dieser Phase ein Spannungsausfall auftritt, so wird nach Spannungswiederkehr der noch unverfälscht vorhandene Inhalt des ersten oder des zweiten Speichers in den von der Spannungsunterbrechung betroffenen Spei­ cher übertragen. Dadurch wird für alle möglichen Zeit­ punkte einer Spannungsunterbrechung sichergestellt, daß die vor der Spannungsunterbrechung vorhandenen Informa­ tionen auch nach Spannungswiederkehr ordnungsgemäß zur Verfügung stehen.

Erfindungsgemäß erfolgt das Einschreiben der Zustands­ kennungen in den Zustandsspeicher jeweils mindestens einmal. Unter normalen Betriebsbedingungen ist dies zum Erzielen einer hohen Sicherheit ausreichend, da das Einschreiben nur sehr kurze Zeit erfordert und der Be­ triebszustand, bei dem während des Einschreibens ein Spannungsausfall eintritt und die Zustandskennung nicht ordnungsgemäß in den Zustandsspeicher eingetragen wird, sehr unwahrscheinlich ist. Will man aber diesen selte­ nen Betriebsfall ebenfalls sicher beherrschen, so sind die Zustandskennungen jeweils mehrfach in den Zustands­ speicher einzutragen. Damit wird erreicht, daß selbst bei einem aktuellen fehlerhaften Eintrag die zuvor ein­ getragene Zustandskennung noch ermittelt werden kann.

Vorteilhafterweise wird beim Lesen der Zustandskennung nach Spannungswiederkehr diese Kennung für die weitere Auswertung zwischengespeichert und die aktuelle Zu­ standskennung in die selben Speicherplätze des Zu­ standsspeichers geschrieben, wie die vorherige Zu­ standskennung, d. h. die Speicherinhalte werden unmit­ telbar ersetzt. Eine andere Möglichkeit ist die rollie­ rende Eintragung der Zustandskennung in den Zustands­ speicher, wobei die aktuelle Zustandskennung in die Speicherzelle mit gegenüber dem letzten Eintrag z. B. um 1 erhöhter Adresse abgespeichert wird. Wenn so weiter verfahren wird und ein definierter Speicherbereich des Zustandsspeichers vollständig beschrieben ist, wird dieser Bereich des Zustandsspeichers von vorne begin­ nend überschrieben. Auf diese Weise bleiben die zuletzt eingetragenen Zustandskennungen für eine gewisse Zeit noch gespeichert, so daß auf diese zur Auswertung zuge­ griffen werden kann.

Die benötigten Speicher, d. h. der erste, zweite Spei­ cher und der Zustandsspeicher können räumlich voneinan­ der getrennt vorhanden sein. Es ist aber auch möglich, nur einen einzigen nicht flüchtigen Speicher vorzuse­ hen, der in verschiedene Speicherbereiche eingeteilt ist, die als die vorgenannten Speicher dienen.

Eine bevorzugte Weiterbildung der Erfindung ist dadurch gekennzeichnet, daß die Datenverarbeitungsanlage minde­ stens einen unkritischen Programmabschnitt abarbeitet, der kein Einschreiben von Informationen in den ersten oder zweiten nicht flüchtigen Speicher veranlaßt, wobei zu Beginn des Abarbeitens dieses unkritischen Pro­ grammabschnitts in den Zustandsspeicher eine dritte Zu­ standskennung mindestens einmal eingeschrieben wird, und daß bei Spannungswiederkehr beim Vorliegen der dritten Zustandskennung das Abarbeiten des unkritischen Programmabschnitts beim unterbrochenen Programmschritt fortgesetzt wird.

Bei zahlreichen Anwendungen sind Programmabschnitte vorhanden, die nicht sicherheitsrelevante Informationen in Speichern verändern. Eine solche Anwendung ist z. B. das Berechnen von Zwischenergebnissen oder die Daten­ eingabe, wobei die erforderlichen Programmschritte je­ weils anwendungsspezifisch in einem nicht kritischen Programmabschnitt zusammengefaßt sein können. Durch die Maßnahmen der Weiterbildung wird erreicht, daß bei Spannungswiederkehr unmittelbar zum letzten Programm­ schritt des unkritischen Programmabschnitts verzweigt wird und dort das Abarbeiten von Programmschritten durch die Datenverarbeitungsanlage fortgesetzt wird.

Eine andere Weiterbildung sieht vor, daß mindestens ein kritischer Programmabschnitt und/oder mindestens ein unkritischer Programmabschnitt Teil eines Programmoduls ist, das von der Datenverarbeitungsanlage abgearbeitet wird. Das Programmodul stellt eine in sich geschlossene Funktionseinheit dar, die beispielsweise bei einer Frankiermaschine das Frankieren oder das Eingeben von Portowerten steuert. Durch diese Maßnahme werden die vorgenannten Programmabschnitte in ein Programmodul eingebunden, beispielsweise in Form von Unterprogrammen oder Makroprogrammen.

Die vorgenannte Weiterbildung kann weiterhin dadurch gekennzeichnet sein, daß nach Spannungswiederkehr und bei Vorliegen der ersten Zustandskennung die vom Programmodul gesteuerten Prozesse zurückgesetzt und/oder das Programmodul erneut abgearbeitet wird.

Durch diese Maßnahme wird erreicht, daß nach Wiederher­ stellung des Inhalts des ersten nicht flüchtigen Spei­ chers die durch den Spannungsausfall unterbrochene Funktion von Beginn an wiederholt wird. Dadurch wird sichergestellt, daß eine einmal begonnene, aber nicht beendete Funktion, beispielsweise ein Druckvorgang, zu­ verlässig ausgeführt wird.

Wird dagegen nach Spannungswiederkehr festgestellt, daß der kritische Programmabschnitt mit zweiter Zustands­ kennung unterbrochen worden ist, so wird das Abarbeiten des Programmoduls nach Verlassen des kritischen Pro­ grammabschnitts, in dem der Inhalt des zweiten Spei­ chers in Übereinstimmung mit dem des ersten Speichers gebracht worden ist, fortgesetzt.

Eine andere Weiterbildung ist dadurch gekennzeichnet, daß beim Abarbeiten mehrerer Programmodule jedem Pro­ grammodul eine Modulkennung zugeordnet wird, die in einem Modulspeicher zu Beginn des Abarbeitens des Pro­ grammoduls mindestens einmal abgespeichert wird, und daß bei Spannungswiederkehr zum Programmodul mit der zuletzt abgespeicherten Modulkennung verzweigt wird.

Durch diese Maßnahme wird erreicht, daß nach Span­ nungswiederkehr dasjenige Programmodul weiter abgear­ beitet wird, das bei Spannungsausfall unterbrochen wurde.

Bei einer weiteren Ausgestaltung der Erfindung wird die erste, die zweite und/oder die dritte Zustandskennung und/oder die Modulkennung jeweils in n Speicherzellen des Zustandspeichers bzw. des Modulspeichers mehrfach abgespeichert, wobei n eine vorgegebene Zahl ist, vor­ zugsweise 3. Durch das mehrfache Abspeichern der Ken­ nungen wird erreicht, daß die in der Zustandskennung enthaltene Information auch dann noch rekonstruiert werden kann, wenn während des Abspeicherns einer Zu­ standskennung ein Schreibfehler, z. B. infolge eines Spannungsausfalls auftritt. Die vor diesem Schreibfeh­ ler ordnungsgemäß abgespeicherte Zustandskennung kann bei der Spannungswiederkehr ausgewertet werden.

Bei einer Weiterbildung ist vorgesehen, daß bei Span­ nungswiederkehr die n Speicherzellen des Zustandspei­ chers bzw. des Modulspeichers gelesen werden, und daß durch eine Majoritätsprüfung und/oder eine Plausibili­ tätsprüfung festgestellt wird, welche Zustandskennung bzw. Modulkennung vorliegt. Durch diese Maßnahmen wird erreicht, daß bei einem fehlerhaften Abspeichern der letzten Zustandskennung bzw. Modulkennung infolge eines Schreibfehlers die richtige Information noch ermittelt werden kann. Wird z. B. die Zustandskennung ZK=1 insge­ samt 4 mal in 4 verschiedene Speicherzellen des Zu­ standsspeichers eingetragen (d. h. n=4) und ist infolge eines Spannungsausfalls beim vierten Eintrag fälschli­ cherweise ZK=5 eingetragen worden, so wird bei der Plausibilitätskontrolle festgestellt, daß der Wert ZK=5 fehlerhaft ist, da dieser Wert nicht innerhalb eines vorgegebenen Wertebereichs liegt. Dagegen werden die Einträge ZK=1 als gültige Werte erkannt. Als richtige Zustandskennung wird dann ZK=1 ausgewählt.

Bei der Majoritätsprüfung wird festgestellt, welcher Wert in einem Ensemble von Werten am häufigsten vor­ kommt. Dieser Wert wird dann als die richtige Zustands­ kennung interpretiert. Je größer die Zahl n gewählt wird, um so höher ist bei der Majoritätsprüfung die Wahrscheinlichkeit mit der die richtige Zustandskennung festgestellt werden kann. Auf diese Weise ist es mög­ lich, die richtige Zustandskennung bzw. Modulkennung auch dann zu ermitteln, wenn mehrere, aufeinander fol­ gende Schreibfehler infolge eines Spannungsausfalls auftreten.

Ein Ausführungsbeispiel der Erfindung wird im folgenden an Hand der Zeichnungen erläutert. Darin zeigen

Fig. 1 das Blockschaltbild einer Frankierma­ schine mit Baueinheiten, soweit sie zum Verständnis der Erfindung erfor­ derlich sind,

Fig. 2 ein Flußdiagramm der Startphase nach Spannungswiederkehr,

Fig. 3 ein Flußdiagramm von Programmab­ schnitten während der Startphase,

Fig. 4 ein Flußdiagramm eines Programmoduls mit kritischen und unkritischen Pro­ grammabschnitten, und

Fig. 5 Flußdiagramme betreffend das mehrfa­ che Einschreiben und Lesen von Zu­ stands- bzw. Modulkennungen.

In Fig. 1 sind in einer Blockdarstellung wichtige Bau­ einheiten einer Frankiermaschine dargestellt. Ein Mikroprozessor 10 arbeitet das in einem Lesespeicher 12 abgelegte Programm, unterstützt von einem Schreib-/Lesespeicher 14, ab und steuert einen Frankierdrucker 16, eine Anzeige 18 sowie eine Daten­ eingabe 20. Eine wesentliche Aufgabe des Mikroprozes­ sors 10 ist die Portoabrechnung. Hierzu greift er auf einen zentralen nicht flüchtigen Speicher (22) zu, in dem der für die Frankiermaschine noch verfügbare Porto­ betrag sowie weitere sicherheitsrelevante Daten gespei­ chert sind. Diese Daten dürfen bei Ausfall der Strom­ versorgung, z. B. bei Netzausfall oder beim Ausschalten der Frankiermaschine, nicht verloren gehen. Der nicht flüchtige Speicher (22) ist daher durch eine Batterie 23 gepuffert, die ihn auch bei Trennung der Frankierma­ schine vom Versorgungsnetz für lange Zeit weiter mit Strom versorgt.

Der Speicher 22 ist in verschiedene Speicherbereiche X, Y, Z und M eingeteilt. Der Bereich X entspricht dem weiter oben genannten ersten Speicher, der Bereich Y dem zweiten Speicher, der Bereich Z dem Zustandsspei­ cher und der Bereich M dem Modulspeicher. Der Zugriff des Mikroprozessors 10 auf diese Bereiche wird weiter unten im Zusammenhang mit dem Verfahrensablauf erläu­ tert.

Ein Spannungsdetektor 24 übermittelt dem Mikroprozessor 10 ein Signal, wenn die Versorgungsspannung der Fran­ kiermaschine ihren normalen Betriebspegel erreicht hat. Ein Detektor, der ein Absinken der Betriebsspannung an­ zeigt, sowie eine Pufferbatterie, die den Betrieb des Mikroprozessors 10 für kurze Zeit über den Zeitpunkt des Spannungsabfalls hinaus noch aufrechterhält, sind bei der Erfindung nicht erforderlich. Die Komponenten 10, 12, 14 und 24 gehören zu den üblichen Komponenten einer Rechnerbaugruppe, so daß bei Anwendung der Erfin­ dung auf derartige Baugruppen zurückgegriffen werden kann und der Hardwareaufbau nicht verändert werden muß.

In Fig. 2 ist in einem Flußdiagramm der Verfahrensab­ lauf bei Spannungswiederkehr dargestellt. Im Verfah­ rensschritt 30 wird festgestellt, ob der Detektor 24 eine Spannungswiederkehr meldet. Falls dies zutrifft, wird im Verfahrensschritt 32 das Programmodul SYSTEM abgearbeitet, wobei grundlegende Systemtests durchge­ führt werden, beispielsweise, ob der nicht flüchtige Speicher (22) betriebsbereit ist.

Nach Abarbeiten des Programmoduls SYSTEM wird im Ver­ fahrensschritt 34 das Programmodul START gestartet. Hierzu wird die diesem Programmodul zugeordnete Modul­ kennung MK in den Bereich M des Speichers 22 einge­ schrieben, beispielsweise in Form eines Textes (z. B. "start") oder einer Zahl. Danach wird in den Bereich Z des Speichers 22 die Zustandskennung ZK=0 eingetragen. Diese Zustandskennung ZK steht für einen nicht kriti­ schen Programmabschnitt, in welchem keine Daten im Speicher 22 geändert werden.

Im nachfolgenden Verfahrensschritt 38 wird ermittelt, ob die vor der Spannungswiederkehr zuletzt eingetragene Zustandskennung ZK den Wert 0 hat. Hierzu wird auf den Bereich Z das Speichers 22 zugegriffen. Wenn dies der Fall ist, d. h. das Programm wurde in einem nicht kriti­ schen Programmabschnitt unterbrochen, so daß eine Wie­ derherstellung der Speicherinhalte im Speicher 22 nicht erforderlich ist, so wird zum nächsten Programmodul 40 verzweigt, in dem die Initialisierung verschiedener Ge­ räte und Systemkomponenten erfolgt. Anschließend werden die weiteren Programmodule 42, 44, 46 abgearbeitet, die die eigentlichen Funktionen der Frankiermaschine bewir­ ken, wie z. B. das Eingeben von Daten, die Anzeige von Daten und das Drucken des Portowertes.

Nach dem Abarbeiten des Programmoduls DRUCKEN im Ver­ fahrensschritt 46 wird wieder zum Verfahrensschritt 40 verzweigt, so daß die Funktionen der Frankiermaschine weiterhin aktiviert sind und bei Bedarf ausgeführt wer­ den können. Das Starten und Abarbeiten der in den Ver­ fahrensschritten 40 bis 46 genannten Programmodule muß nicht unbedingt in der in Fig. 2 angegebenen Reihenfol­ ge erfolgen, sondern kann je nach vorhandenem Betriebs­ system interruptgesteuert in einer anderen, durch An­ forderungen von außen vorgegebenen Reihenfolge ausge­ führt werden.

Falls im Verfahrensschritt 38 festgestellt wird, daß die Zustandskennung ZK vor dem Spannungsausfall nicht den Wert 0 hat, d. h., daß ein kritischer Programmab­ schnitt unterbrochen wurde, so wird der Ablauf bei A fortgesetzt, der in Fig. 3 dargestellt ist und nachfol­ gend beschrieben wird. Im Verfahrensschritt 50 wird ab­ gefragt, ob die vor dem Spannungsausfall zuletzt abge­ speicherte Zustandskennung ZK den Wert 1 hat. Falls dies zutrifft, so wird im Verfahrensschritt 52 die Zu­ standskennung ZK=1 in den Bereich Z des Speichers 22 eingetragen, da der nachfolgende Programmschritt 54 si­ cherheitsrelevante Daten im Speicher 22 verändert und damit ein kritischer Programmabschnitt vorliegt. Bis zum Verfahrensschritt 52 hatte die aktuelle Zustands­ kennung ZK gemäß Verfahrensschritt 36 den Wert 0.

Der Wert 1 der vor dem Spannungsausfall zuletzt abge­ speicherten Zustandskennung ZK-1 bedeutet, daß eine Un­ terbrechung des kritischen Programmabschnitts in der Phase erfolgt ist, in der Informationen in den ersten nicht flüchtigen Speicher, d. h. in den Bereich X, ein­ geschrieben oder verändert worden sind. Da im zweiten Speicher, d. h. im Bereich Y, sämtliche Informationen vom vorherigen Durchlaufen des kritischen Programmab­ schnitts noch unverändert erhalten sind, kann der vor der Spannungsunterbrechung im Bereich X herrschende Zu­ stand wieder hergestellt werden. Hierzu werden gemäß Verfahrensschritt 54 die Informationen des Bereichs Y in den Bereich X übertragen.

Die nachfolgenden Verfahrensschritte betreffen wieder nicht kritische Programmabschnitte, so daß die Zu­ standskennung im Verfahrensschritt 56 auf den Wert 0 gesetzt wird. Im Verfahrensschritt 58 wird anhand der Modulkennung MK festgestellt, welches Programmodul beim Spannungsausfall unterbrochen worden war. Je nach Art des unterbrochenen Programmoduls, werden die begonnenen Prozesse abgebrochen oder rückgängig gemacht. Bei­ spielsweise wird eine teilweise bearbeitete Anforderung für ein Frankieren abgebrochen. Diese Frankieranforde­ rung kann dann, falls noch erforderlich, erneut gestar­ tet und bearbeitet werden. Erfolgte die Unterbrechung bei der Eingabe von Daten, so werden diese Daten igno­ riert, und es wird gegebenenfalls erneut zur Eingabe von Daten aufgefordert. Anschließend wird zum Verfah­ rensschritt 40 verzweigt (Fig. 2) und die weiteren Pro­ grammodule abgearbeitet.

Wenn im Verfahrensschritt 50 festgestellt wird, daß der Wert der Zustandskennung ZK nicht 1 ist, was bedeutet, daß die Zustandskennung ZK den Wert 2 hat, so wird zum Verfahrensschritt 60 verzweigt. Der Wert 2 besagt einerseits, daß beim Spannungsausfall der kritische Programmabschnitt in der Phase unterbrochen worden ist, in der Informationen in den zweiten Speicher einge­ schrieben worden sind. Andererseits sind die Informa­ tionen bei der Abarbeitung des kritischen Programmab­ schnitts noch ordnungsgemäß in den ersten Speicher ein­ getragen worden. Der Inhalt des zweiten Speichers muß demnach noch mit den Informationen des ersten Speichers beschrieben werden, damit beide Speicher identischen Inhalt haben. Da ein Speicherzugriff auf den Speicher 22 erforderlich ist und sicherheitsrelevante Daten ge­ ändert werden, wird im Verfahrensschritt 60 die aktuel­ le Zustandskennung ZK auf 2 gesetzt (sie hatte bislang den Wert 0) und im Verfahrensschritt 62 wird der Inhalt des Speicherbereichs X in den Bereich Y übertragen.

Mit dem nächsten Verfahrensschritt 64 beginnt wieder ein unkritischer Programmabschnitt in dem keine Daten im Speicher 22 geändert werden. Die Zustandskennung ZK wird daher im Verfahrensschritt 64 auf den Wert 0 ge­ setzt.

Im nachfolgenden Verfahrensschritt 66 wird anhand der Modulkennung MK festgestellt, welches Programmodul be­ arbeitet worden war, bevor die Unterbrechung infolge Spannungsausfalls aufgetreten ist. Da die Portoabrech­ nung im ersten nicht flüchtigen Speicher bzw. im Spei­ cherbereich X ordnungsgemäß ausgeführt und damit die zu diesem Prozeßschritt gehörende Datenänderung im Spei­ cher 22 erfolgreich durchgeführt worden ist, kann der unterbrochene Prozeß weitergeführt bzw. abgeschlossen werden. Beispielsweise kann eine begonnene und dann un­ terbrochene Frankierung nach Spannungswiederkehr zu Ende geführt werden. Anschließend wird zum Verfahrens­ schritt 40 (Fig. 2) weitergegangen.

In Fig. 4 ist der Ablauf beim Abarbeiten eines Programmoduls dargestellt, das kritische und nicht kritische Programmabschnitte enthält. Nach dem Start des Programmoduls wird die das Programmodul kennzeichnende Modul­ kennung MK in den Modulspeicher M eingetragen (Verfahrensschritt 70). Im darauffolgenden Verfahrens­ schritt wird als Zustandskennung ZK der Wert 0 in den Zustandsspeicher Z eingetragen und damit der nachfol­ gende Programmabschnitt als unkritisch gekennzeichnet. Beim Abarbeiten des nächsten Verfahrensschritts 74 wer­ den die für die Funktion des Programmoduls notwendigen Berechnungen, die Prozeßsteuerung oder der Datentrans­ fer durchgeführt, beispielsweise um einen Brief in der Frankiermaschine zu transportieren und zu frankieren.

Im Verfahrensschritt 76 wird abgefragt, ob Informatio­ nen im nicht flüchtigen Speicher 22 zu ändern sind. Falls dies nicht zutrifft, wird zum Schritt 88 ver­ zweigt. Andernfalls werden die nachfolgenden Verfah­ rensschritte 78 bis 86 ausgeführt, die einen kritischen Programmabschnitt darstellen. Im Verfahrensschritt 78 wird die Zustandskennung ZK auf den Wert 1 gesetzt. An­ schließend wird im Verfahrensschritt 80 die Manipulati­ on des ersten nicht flüchtigen Speichers, d. h. im Spei­ cherbereich X, ausgeführt und die Informationen einge­ schrieben. Beispielsweise wird der nach einer durchge­ führten Frankierung noch verbleibende Gesamtbetrag für das Porto eingetragen. Damit ist die erste Phase des kritischen Programmabschnitts abgeschlossen.

In der nachfolgenden zweiten Phase wird im Verfahrens­ schritt 82 die Zustandskennung ZK auf den Wert 2 ge­ setzt und anschließend im Verfahrensschritt 84 die vor­ genannten Informationen in den zweiten nicht flüchtiger Speicher, d. h. in den Speicherbereich Y eingeschrieben. Damit ist die zweite Phase des kritischen Programmab­ schnitts abgeschlossen. Es ist noch zu erwähnen, daß während des kritischen Programmabschnitts auch Pro­ grammschritte wie z. B. Berechnungen oder Prozeßsteue­ rungen ausgeführt werden können. Die zum kritischen Programmabschnitt gehörenden Verfahrensschritte können in Form eines Unterprogramms oder eines Makroprogramms in das Programmodul eingebunden sein.

Nachfolgend wird im Verfahrensschritt 86 die Zustands­ kennung auf den Wert 0 gesetzt, der einen nachfolgenden unkritischen Programmabschnitt kennzeichnet. Im darauf­ folgenden Verfahrensschritt 88 wird überprüft, ob sämt­ liche Programmschritte des Programmoduls abgearbeitet sind. Wenn dies nicht zutrifft, so wird zum Verfahrens­ schritt 74 verzweigt. Andernfalls wird das nächste Pro­ grammodul abgearbeitet, z. B. das Programmodul des Ver­ fahrensschritts 40.

In Fig. 5 sind in zwei Flußdiagrammen Verfahrensschrit­ te dargestellt, die das mehrfache Einschreiben und Aus­ lesen von Zustandskennungen betreffen. Diese Verfah­ rensschritte können auf analoge Weise auch beim Ein­ schreiben und Lesen der Modulkennung verwendet werden. Wie weiter vorne bereits erläutert, dient das mehrfache Einschreiben dazu, die Redundanz des Verfahrens zu er­ höhen, so daß fehlerhafte Zustandskennungen bei der An­ wendung des Verfahrens toleriert werden. Die nachfol­ gend beschriebenen Verfahrensschritte 90 bis 98 sowie 100 bis 104 können beispielsweise an Stelle der Verfah­ rensschritte 78 (Fig. 4) bzw. 38 (Fig. 2) verwendet werden.

Im Verfahrensschritt 90 wird die aktuelle Zustandsken­ nung, z. B. ZK=1, in die Speicherzelle mit der Adresse einer Laufvariablen L des Zustandsspeichers Z einge­ schrieben. Dieser Zustandsspeicher hat 4 Speicherzellen mit den Adressen A=0, 1, 2, 3, 4. Die Laufvariable L hat beim ersten Einschreiben den Wert 0. Im nächsten Ver­ fahrensschritt 92 wird unter Verwendung der Laufvaria­ blen L auf die aktuelle Speicherzelle des Zustandspei­ chers Z zugegriffen und deren Inhalt gelesen. Im dar­ auffolgenden Verfahrensschritt 94 wird überprüft, ob die Zustandskennung ZK richtig eingetragen worden ist. Wenn dies nicht der Fall ist, so wird zum Verfahrens­ schritt 90 verzweigt und der Schreibvorgang wiederholt. Falls die Zustandskennung erfolgreich in den Zustands­ speicher Z eingetragen wurde, wird im Verfahrensschritt 96 die Laufvariable um 1 erhöht.

Im Verfahrensschritt 98 wird geprüft, ob die Laufvaria­ ble L den Wert 4 erreicht hat. Bei negativem Ergebnis wird zu Schritt 90 verzweigt und die Eintragung in die Speicherzelle mit um 1 erhöhter Adresse ausgeführt. Bei positivem Ergebnis wird der Programmteil verlassen. Der Speicher Z enthält dann unter den Adressen A=0 bis 4 die aktuelle Zustandskennung ZK.

Bei Spannungswiederkehr werden die Verfahrensschritte 100 bis 104 ausgeführt. Im Verfahrensschritt 100 werden die Speicherzellen mit den Adressen 0 bis 4 gelesen. Im nachfolgenden Verfahrensschritt 102 wird eine Majori­ täts- oder eine Plausibilitätsprüfung durchgeführt. Bei der Majoritätsprüfung wird festgestellt, welche Zu­ standskennung ZK am häufigsten in den vorgenannten Speicherzellen vorkommt. Diese Zustandskennung ZK wird dann im Schritt 104 als die letzte Zustandskennung ZK-1 verwendet. Bei der Plausibilitätsprüfung wird festge­ stellt, ob der oder die eingetragenen Werte einem gül­ tigen, vorher festgelegten Wertebereich angehören, z. B. ZK=0, 1, 2. Ist dies der Fall, so wird der zuletzt eingetragene gültige Wert als die letzte Zustandsken­ nung ZK-1 verwendet.

Claims (13)

1. Verfahren zum Betreiben einer Datenverarbeitungs­ anlage, bei dem die Datenverarbeitungsanlage min­ destens einen kritischen Programmabschnitt abar­ beitet, der das Einschreiben von Informationen in einen ersten nicht flüchtigen Speicher veranlaßt und der nach erfolgter Abarbeitung verlassen wird, wobei bei einer auf einen Spannungsausfall folgen­ den Spannungswiederkehr die vor dem Spannungsaus­ fall im Speicher vorhandenen Informationen wieder bereitgestellt werden, dadurch gekennzeichnet, daß zu Beginn des Einschreibens der Informationen eine erste Zustandskennung (ZK=1) in einen nicht flüch­ tigen Zustandsspeicher (Z) mindestens einmal ein­ geschrieben wird, daß nach dem Einschreiben der Informationen eine zweite, von der ersten Zu­ standskennung (ZK=1) verschiedene Zustandskennung (ZK=2) in den Zustandsspeicher (Z) mindestens einmal eingeschrieben wird, die selben Informatio­ nen in einen zweiten nicht flüchtigen Speicher (Y) eingeschrieben werden und der kritische Programm­ abschnitt verlassen wird, daß bei Spannungswieder­ kehr die vor dem Spannungsausfall in den Zustands­ speicher (Z) zuletzt eingeschriebene Zustandsken­ nung (ZK-1) gelesen wird und bei Vorliegen der er­ sten Zustandskennung (ZK=1) diese in den Zu­ standsspeicher (Z) mindestens einmal eingeschrie­ ben wird, die Informationen aus dem zweiten Spei­ cher (Y) in den ersten Speicher (X) übertragen werden und der kritische Programmabschnitt verlassen wird, und daß bei Vorliegen der zweiten Zustandskennung (ZK=2) diese in den Zustandsspeicher (Z) mindestens einmal eingeschrieben wird, die Informationen aus dem ersten Speicher (X) in den zweiten Speicher (Y) eingelesen werden und der kritische Programmabschnitt verlassen wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Datenverarbeitungsanlage (10) weiterhin mindestens einen unkritischen Programmabschnitt abarbeitet, der kein Einschreiben von Informatio­ nen in den ersten oder zweiten nicht flüchtigen Speicher (X) veranlaßt, wobei zu Beginn des Abar­ beitens dieses unkritischen Programmabschnitts in den Zustandsspeicher (Z) eine dritte Zustandsken­ nung (ZK=0) mindestens einmal eingeschrieben wird, und daß bei Spannungswiederkehr beim Vorlie­ gen der dritten Zustandskennung (ZK=0) das Abar­ beiten des unkritischen Programmabschnitts beim unterbrochenen Programmschritt fortgesetzt wird.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekenn­ zeichnet, daß mindestens ein kritischer Programm­ abschnitt und/oder mindestens ein unkritischer Programmabschnitt Teil eines Programmoduls ist, das von der Datenverarbeitungsanlage (10) abgear­ beitet wird.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß nach Spannungswiederkehr und bei Vorliegen der ersten Zustandskennung (ZK=1) die vom Programmodul gesteuerten Prozesse zurückgesetzt und/oder das Programmodul erneut abgearbeitet wird.

5. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß nach Spannungswiederkehr und bei Vorliegen der zweiten Zustandskennung (ZK=2) das Abarbeiten des Programmoduls fortgesetzt wird.

6. Verfahren nach einem der Ansprüche 3 bis 5, da­ durch gekennzeichnet, daß beim Abarbeiten mehre­ rer Programmodule jedem Programmodul eine Modul­ kennung (MK) zugeordnet wird, die in einem nicht flüchtigen Modulspeicher (M) zu Beginn des Abar­ beitens des Programmoduls mindestens einmal abge­ speichert wird, und daß bei Spannungswiederkehr zum Programmodul mit der zuletzt abgespeicherten Modulkennung (MK) verzweigt wird.

7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß ein nicht flüchtiger Zentralspeicher (22) eingesetzt wird, dessen ver­ schiedenen, voneinander getrennten Speicherberei­ che als erster, zweiter nichtflüchtiger Speicher (X, Y) bzw. als Zustandsspeicher (Z) verwendet werden.

8. Verfahren nach Anspruch 7, dadurch gekennzeichnet, daß ein Speicherbereich (M) des Zentralspeichers (22) als Modulspeicher verwendet wird.

9. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die erste, die zweite und/oder die dritte Zustandskennung (ZK=1, 2, 0) und/oder die Modulkennung (MK) jeweils in n Spei­ cherzellen des jeweiligen Speichers (Z bzw. M) mehrfach abgespeichert wird, wobei n eine vorgege­ bene Zahl ist, vorzugsweise 3.

10. Verfahren nach Anspruch 9, dadurch gekennzeichnet, daß bei Spannungswiederkehr die n Speicherzellen der jeweiligen Speicher (Z bzw. M) gelesen werden, und daß durch eine Majoritätsprüfung und/oder eine Plausibilitätsprüfung festgestellt wird, welche Zustandskennung (ZK) bzw. Modulkennung (MK) vor­ liegt.

11. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß es in einer Frankier­ maschine angewendet wird.

12. Verfahren nach Anspruch 11, dadurch gekennzeich­ net, daß beim Abarbeiten des kritischen Programm­ abschnitts die Portoabrechnung durchgeführt wird.

13. Verfahren nach Anspruch 11 oder 12, dadurch ge­ kennzeichnet, daß bei der Abarbeitung des unkriti­ schen Programmabschnitts der Druckvorgang beim Frankieren ausgeführt wird.