RU2039372C1

RU2039372C1 - Redundant computer system

Info

Publication number: RU2039372C1
Authority: RU
Inventors: В.Г. Терехов; И.В. Козлов
Original assignee: Терехов Владимир Георгиевич
Priority date: 1991-06-05
Filing date: 1991-06-05
Publication date: 1995-07-09

Abstract

FIELD: computer engineering. SUBSTANCE: device has three computing units 1, 2, 3, three output units 4, 5, 6, two memory units 7, 8, three input units 9, 10, 11, commutator 12, register 13, two OR gates 14, 15, flip-flop 16, two AND gates 17, 18, two delay gates 19, 20. Each computing unit has testing unit 21 having multichannel signature analyzer 22, first and second flip-flops 23, 24, AND gate 25. This unit provides testing operations of pairs of computing units in each testing cycle. Testing cycle corresponds to time of computation each software module in computing unit. Same software modules are assigned for execution to each mutually tested computing units. Test in each testing cycle is provided by generation of two signatures for each pair of computing units. Result of addition of these signatures by modulo two should be equal to zero if pair of computing units operates correctly. If fault happens, this result equals to one. EFFECT: generation and comparison of instruction flow signatures for pair of tested computing units. 2 cl, 6 dwg, 1 tbl

Description

Изобретение относится к автоматике и вычислительной технике и может быть использовано при построении вычислительных систем повышенной надежности. The invention relates to automation and computer technology and can be used in the construction of computer systems of high reliability.

Известно резервированное устройство, содержащее два основных и S резервных блоков, блок контроля, выходной блок, позволяющее при несовпадении выходных сигналов основных блоков подключать взамен отказавшего блока исправный из резерва. Недостатком этого устройства является большое количество ненагруженного резервного оборудования. A redundant device is known that contains two main and S redundant blocks, a control block, an output block, which allows, if the output signals of the main blocks do not match, connect a working block from the reserve instead of the failed block. The disadvantage of this device is the large number of unloaded backup equipment.

Наиболее близким по технической сущности к предлагаемой вычислительной системе является резервированная вычислительная система, содержащая резервированные процессоры, коммутаторы вывода информации, модули памяти, устройство для управления реконфигурацией вычислительной системы, коммутаторы вывода информации и блок сравнения. Контроль функционирования системы обеспечивается параллельной работы пары процессоров в течение такта контроля путем сравнения конечных результатов. Обнаружение отказавшего процессора осуществляется путем анализа параллельной работы следующей пары процессоров [1] Недостатком такой системы является невозможность обнаружения нарушений правильности функционирования процессоров вычислительной системы, которые не влияют на конечные результаты работы выполняемых программ за время такта контроля. The closest in technical essence to the proposed computing system is a redundant computing system containing redundant processors, information output switches, memory modules, a device for controlling reconfiguration of the computer system, information output switches and a comparison unit. Monitoring the functioning of the system is ensured by the parallel operation of a pair of processors during the monitoring cycle by comparing the final results. Detection of a failed processor is carried out by analyzing the parallel operation of the next pair of processors [1] The disadvantage of such a system is the inability to detect violations of the correct functioning of the processors of the computing system, which do not affect the final results of the running programs during the control cycle.

Программы, выполняемые на процессорах, могут быть связаны с обработкой массивов информации, могут предполагать вычисление промежуточных результатов, которые используются другими процессорами. В этом случае неисправность процессора не всегда повлечет за собой искажение конечного результата работы выполняемой программы. Programs running on processors may be associated with the processing of arrays of information, may involve the calculation of intermediate results that are used by other processors. In this case, a processor malfunction does not always entail a distortion of the final result of the program being executed.

Целью изобретения является повышение достоверности контроля функционирования резервированной вычислительной системы. The aim of the invention is to increase the reliability of monitoring the functioning of a redundant computing system.

Достигается это тем, что в резервированную вычислительную систему, содержащую первый, второй и третий резервируемые процессоры, первый, второй и третий коммутаторы вывода информации, первый и второй модули памяти, первый, второй и третий коммутаторы ввода информации, четвертый коммутатор ввода информации, введены регистр на триггерах со счетными входами, первый и второй элементы ИЛИ, триггер со счетным входом, первый и второй элемент И, первый и второй элемент задержки, причем каждый процессор включает в свой состав узел контроля, содержащий многоканальный сигнатурный анализатор, первый и второй RS-триггеры, третий элемент И. Первый и второй управляющие входы узла контроля подключены соответственно к S-входам первого и второго RS-триггера, выходы которых соединены соответственно с первым и вторым входами третьего элемента И, выход третьего элемента И подключен к выходу уведомления узла контроля, третий управляющий вход узла контроля подключен к входам сброса первого и второго RS-триггеров и многоканального сигнатурного анализатора, четвертый и пятый управляющие входы узла контроля соединены соответственно с синхровходом и управляющим входом многоканального сигнатурного анализатора. Информационные входы и выходы многоканального сигнатурного анализатора объединены в двунаправленную информационную шину узла контроля, выходы уведомления узлов контроля первого, второго, третьего процессоров подключены соответственно к первому, второму, третьему входам второго элемента ИЛИ и к первому, второму, третьему входам управления четвертого коммутатора вывода информации. Информационный выход четвертого коммутатора вывода информации подключен к счетным входам триггеров регистра, выходы которого соединены с входами первого элемента ИЛИ. Выход первого элемента ИЛИ подключен к первому входу первого элемента И, выход второго элемента ИЛИ подключен к входу первого элемента задержки, к входу счетного триггера и синхровходу регистра на триггерах со счетными входами. Инверсный выход триггера со счетным входом подключен к первому входу второго элемента И, второй вход которого соединен с выходом первого элемента задержки. Выход второго элемента И соединен с вторым входом первого элемента И, выход которого является выходом сигнала об ошибке и подключен к входу второго элемента задержки. Выход второго элемента задержки подключен к входу сброса регистра на триггерах со счетными входами. This is achieved by the fact that in a redundant computing system containing the first, second and third redundant processors, the first, second and third information output switches, the first and second memory modules, the first, second and third information input switches, the fourth information input switch, a register is entered on triggers with counting inputs, the first and second elements OR, a trigger with counting inputs, the first and second elements AND, the first and second delay elements, each processor includes a control unit, containing multichannel signature analyzer, the first and second RS-flip-flops, the third element I. The first and second control inputs of the control node are connected respectively to the S-inputs of the first and second RS-flip-flops, the outputs of which are connected respectively to the first and second inputs of the third element And, the output the third element And is connected to the notification output of the control node, the third control input of the control node is connected to the reset inputs of the first and second RS-flip-flops and a multi-channel signature analyzer, the fourth and fifth control inputs of the node control are connected respectively to the sync input and control input of a multi-channel signature analyzer. The information inputs and outputs of the multi-channel signature analyzer are combined into a bi-directional information bus of the monitoring node, the notification outputs of the monitoring nodes of the first, second, third processors are connected respectively to the first, second, third inputs of the second OR element and to the first, second, third control inputs of the fourth information output switch . The information output of the fourth information output switch is connected to the counting inputs of the register triggers, the outputs of which are connected to the inputs of the first OR element. The output of the first OR element is connected to the first input of the first AND element, the output of the second OR element is connected to the input of the first delay element, to the input of the counting trigger and the register clock on the triggers with counting inputs. An inverse trigger output with a counting input is connected to the first input of the second AND element, the second input of which is connected to the output of the first delay element. The output of the second element And is connected to the second input of the first element And, the output of which is the output of the error signal and is connected to the input of the second delay element. The output of the second delay element is connected to the register reset input on triggers with counting inputs.

Сопоставительный анализ с аналогами и прототипом показывает, что заявляемая система отличается наличием новых элементов и связей между ними. Comparative analysis with analogues and prototype shows that the inventive system is characterized by the presence of new elements and the relationships between them.

Таким образом, заявляемая вычислительная система соответствует критерию "новизна". Thus, the claimed computing system meets the criterion of "novelty."

Сравнение заявляемого решения с другими техническими решениями показывает, что введенные в устройство элементы вычислительной техники широко известны. A comparison of the proposed solutions with other technical solutions shows that the elements of computer technology introduced into the device are widely known.

Однако при их введении в указанной связи с остальными элементами схемы в заявляемую вычислительную систему, последняя приобретает дополнительное свойство обнаруживать нарушения правиль- ности функционирования, которые не приводят к искажению конечного результата работы выполняемых программ. Это позволяет сделать вывод о соответствии технического решения критерию "существенные отличия". However, when they are introduced in this connection with the other elements of the circuit into the claimed computing system, the latter acquires the additional property of detecting violations of the correct functioning that do not lead to distortion of the final result of the work of the executed programs. This allows us to conclude that the technical solution meets the criterion of "significant differences".

На фиг. 1 приведена структурная схема резервированной вычислительной системы; на фиг. 2 структурная схема узла контроля одного процессора; на фиг. 3 схема многоканального сигнатурного анализатора; на фиг. 4, 5 алгоритм управления контролем и реконфигурацией резервированной вычислительной системы; на фиг. 6 временные диаграммы работы средств контроля резервированной вычислительной системы. In FIG. 1 shows a structural diagram of a redundant computing system; in FIG. 2 block diagram of the control unit of one processor; in FIG. 3 diagram of a multi-channel signature analyzer; in FIG. 4, 5 control algorithm for control and reconfiguration of a redundant computing system; in FIG. 6 time diagrams of the operation of redundant computing system controls.

Резервированная вычислительная система содержит первый 1, второй 2 и третий 3 процессоры, первый 4, второй 5 и третий 6 коммутаторы вывода информации, первый 7 и второй 8 модули памяти, первый 9, второй 10 и третий 11 коммутаторы ввода информации, четвертый коммутатор 12 вывода информации, регистр на триггерах со счетными входами 13, первый элемент ИЛИ 14, второй элемент ИЛИ 15, триггер со счетным входом 16, первый элемент И 17, второй элемент И 18, первый и второй элементы задержки 19, 20, причем каждый процессор содержит узел контроля 21. Узел контроля 21 (фиг. 2) содержит многоканальный сигнатурный анализатор 22, первый и второй RS-триггеры 23, 24, третий элемент И 25. Первый, второй, третий, четвертый и пятый управляющие входы 26, 27, 28, 29, 30 узла контроля являются выходами формирователя управляющих сигналов процессора, по которым подаются сигналы начала такта контроля данного процессора пары, окончания такта контроля данного процессора пары, сброса, синхронизации, управления выдачей данных многоканального сигнатурного анализатора. Двунаправленная шина узла контроля 31 является внутренней шиной данных и команд процессора. The redundant computing system contains the first 1, second 2 and third 3 processors, the first 4, second 5 and third 6 information output switches, the first 7 and second 8 memory modules, the first 9, second 10 and third 11 information input switches, the fourth output switch 12 information, the register on the triggers with the counting inputs 13, the first element OR 14, the second element OR 15, the trigger with the counting input 16, the first element And 17, the second element And 18, the first and second delay elements 19, 20, and each processor contains a node control 21. The control node 21 (Fig. 2) contains a multi-channel signature analyzer 22, the first and second RS flip-flops 23, 24, the third element And 25. The first, second, third, fourth and fifth control inputs 26, 27, 28, 29, 30 of the control node are the outputs of the processor control signal generator, by which the signals of the beginning of the control cycle of the given processor of the pair, the end of the control cycle of the given processor of the pair, reset, synchronization, control of the output of the data of the multi-channel signature analyzer are given. The bi-directional bus of the monitoring node 31 is an internal data bus and processor instructions.

Многоканальный сигнатурный анализатор 22 (фиг. 3) содержит регистр сдвига, состоящий из n двухтактных триггеров 32, n сумматоров по модулю два 33 и n шинных формирователей 34, каждый из которых включает в свой состав два элемента И 35, 36. The multi-channel signature analyzer 22 (Fig. 3) contains a shift register consisting of n push-pull triggers 32, n adders modulo two 33 and n bus formers 34, each of which includes two elements And 35, 36.

Первый, второй, третий информационные входы четвертого коммутатора вывода информации 12 соединены соответственно с информационными выходами первого 1, второго 2, третьего 3 процессоров, информационные выходы первого 1, второго 2, третьего 3 процессоров подключены соответственно к информационным входам первого 4, второго 5, третьего 6 коммутаторов вывода информации, первые информационные выходы которых соединены с информационными входами первого 7 модуля памяти. Вторые информационные выходы первого 4, второго 5, третьего 6 коммутаторов вывода информации соединены с информационным входом второго 8 модуля памяти, информационный выход первого 7 модуля памяти подключен к первым информационным входам первого 9, второго 10, третьего 11 коммутаторов ввода информации, информационный выход второго модуля памяти подключен ко вторым информационным входам первого 9, второго 10, третьего 11 коммутаторов ввода информации, неинформационные выходы которых соединены соответственно с информационными входами первого 1, второго 2, третьего 3 процессоров. Первый 26 и второй 27 управляющие входы узла контроля 21 подключены соответственно к S-входам первого 23 и второго 24 RS-триггера, выходы которых соединены соответственно с первым и вторым входами третьего 25 элемента И, выход которого подключен к выходу уведомления узла контроля, третий 28 управляющий вход узла контроля подключен к входам сброса первого 23, второго 24 RS'-триггеров и многоканального сигнатурного анализатора 22, четвертый 29 и пятый 30 управляющие входы узла контроля соединены соответственно с синхровходом и управляющим входом многоканального сигнатурного анализатора 22, двунаправленная шина узла контроля 31 подключена к внутренней шине данных и команд процессора, выходы уведомления узлов контроля первого 1, второго 2, третьего 3 процессоров подключены соответственно к первому, второму, третьему входам второго элемента ИЛИ 15 и к первому, второму, третьему входам управления четвертого коммутатора вывода информации 12, информационный выход которого подключен к счетным входам триггеров регистра 13. Выходы регистра на триггерах со счетными входами 13 соединены с входами первого элемента ИЛИ 14, выходы которого подключены к первому входу первого элемента И 17, выход второго элемента ИЛИ 15 подключен к входу первого элемента задержки 19 к входу счетного триггера 16 и синхровходу регистра на триггерах со счетными входами 13. Выход первого элемента задержки 19 и инверсный выход счетного триггера 16 соединены соответственно с первым и вторым входом второго элемента И 18, выход которого подключен к второму входу первого элемента И 17. Выход первого элемента И 17 является выходом сигнала об ошибке Q и подключен к входу второго элемента задержки 20 и к входу прерывания первого 1, второго 2, третьего 3 процессоров, выход второго элемента задержки 20 соединен с входом сброса регистра на триггерах со счетными входами 13. The first, second, third information inputs of the fourth information output switch 12 are connected respectively to the information outputs of the first 1, second 2, third 3 processors, the information outputs of the first 1, second 2, third 3 processors are connected respectively to the information inputs of the first 4, second 5, third 6 information output switches, the first information outputs of which are connected to the information inputs of the first 7 memory modules. The second information outputs of the first 4, second 5, third 6 information output switches are connected to the information input of the second 8 memory module, the information output of the first 7 memory module is connected to the first information inputs of the first 9, second 10, third 11 information input switches, the information output of the second module memory is connected to the second information inputs of the first 9, second 10, third 11 information input switches, non-information outputs of which are connected respectively to the information inputs of the first 1, second 2, third 3 processors. The first 26 and second 27 control inputs of the monitoring node 21 are connected respectively to the S-inputs of the first 23 and second 24 RS-flip-flops, the outputs of which are connected respectively to the first and second inputs of the third 25 And element, the output of which is connected to the notification output of the monitoring node, third 28 the control input of the control node is connected to the reset inputs of the first 23, second 24 RS'-flip-flops and multi-channel signature analyzer 22, the fourth 29 and fifth 30 control inputs of the control node are connected respectively to the sync input and control input of a lot Signal analyzer 22, the bi-directional bus of the control unit 31 is connected to the internal data bus and processor commands, the notification outputs of the control nodes of the first 1, second 2, third 3 processors are connected respectively to the first, second, third inputs of the second element OR 15 and to the first, second , to the third control inputs of the fourth information output switch 12, the information output of which is connected to the counting inputs of the triggers of the register 13. The outputs of the register on the triggers with the counting inputs 13 are connected to the inputs of the first of the first element OR 14, the outputs of which are connected to the first input of the first element And 17, the output of the second element OR 15 is connected to the input of the first delay element 19 to the input of the counting trigger 16 and the register clock on the triggers with counting inputs 13. The output of the first delay element 19 and inverse the output of the counting trigger 16 is connected respectively to the first and second input of the second element And 18, the output of which is connected to the second input of the first element And 17. The output of the first element And 17 is the output of the error signal Q and connected to the input of the second the delay element 20 and to the interrupt input of the first 1, second 2, third 3 processors, the output of the second delay element 20 is connected to the register reset input on the triggers with the counting inputs 13.

В сигнатурном анализаторе 22 первые входы сумматоров по модулю два 33 подключены к выходам элементов И 36 соответствующих шинных формирователей 34, выходы сумматоров по модулю два 33 соединены с информационными входами соответствующих триггеров 32. Информа- ционный выход каждого i-го триггера 32 подключен ко второму входу (i + 1)-го сумматора 33. Кроме этого, к остальным входам первого сумматора 33 подключены выходы триггера 32 в соответствии с заданным характеристическим полиномом. Выходы триггеров 32 подключены к первым входам элементов И 35 соответствующих шинных формирователей 34. Выходы элементов И 35 соединены соответственно с прямыми входами элементов И 36 и подключены к двунаправленной шине узла контроля 31. Инверсный вход элемента И 36 соединен со вторым входом элемента И 35 соответствующего шинного формирователя и подключен к управляющему входу узла контроля 30. In the signature analyzer 22, the first inputs of the adders modulo two 33 are connected to the outputs of the elements AND 36 of the corresponding bus drivers 34, the outputs of the adders modulo two 33 are connected to the information inputs of the corresponding triggers 32. The information output of each i-th trigger 32 is connected to the second input (i + 1) -th adder 33. In addition, the outputs of the trigger 32 are connected to the remaining inputs of the first adder 33 in accordance with a given characteristic polynomial. The outputs of the triggers 32 are connected to the first inputs of the elements And 35 of the corresponding bus drivers 34. The outputs of the elements And 35 are connected respectively to the direct inputs of the elements And 36 and connected to the bi-directional bus of the control unit 31. The inverse input of the element And 36 is connected to the second input of the element And 35 of the corresponding bus shaper and connected to the control input of the control unit 30.

Шинный формирователь 34 работает следующим образом. Bus driver 34 operates as follows.

По единичному значению сигнала на управляющем входе 30 сигнал с первого входа элемента И 35 через элемент И 35 поступает на линию двунаправленной шины 31. По нулевому значению сигнала на управляющем входе 30 имеет место передача сигнала с линии двунаправленной шины 31 на выход элемента И 36. According to the unit value of the signal at the control input 30, the signal from the first input of the And 35 element through the And 35 element is fed to the bi-directional bus line 31. At the zero value of the signal at the control input 30, a signal is transmitted from the bi-directional bus line 31 to the output of the And 36 element.

Шинным формирователем двунаправленной шины 31 может являться микросхема серии К569АП26. The bus former of the bi-directional bus 31 may be a chip of the K569APP26 series.

Контроль правильности функционирования резервированной вычислительной системы заключается в следующем. Программа разбивается на функционально законченные программные модули (ПМ). Время выполнения вычислительной системы задачи разбивается на N тактов контроля. Такт контроля соответствует времени выполнения в процессоре отдельного ПМ. На выполнение каждого ПМ назначается один канал обработки, который представляет собой либо пару параллельно работающих процессоров (полный канал обработки), либо один процессор (неполный канал обработки). В начале каждого такта контроля происходит назначение ПМ на канал обработки из очереди и загрузка процессоров. Во время выполнения программного модуля парой процессоров с внутренней шины данных каждого из них формируется сигнатура команд и (или) данных. Это позволяет по окончании выполнения программного модуля парой процессоров выявить наличие отказа или сбоя одного из процессоров путем сравнения полученных сигнатур. В случае несовпадения полученных сигнатур осуществляется повторный счет данного программного модуля той же парой процессоров. Если при повторном счете произошло совпадение сформированных сигнатур, то делается вывод о возникновении слоя в предыдущем такте контроля. Если при повторном счете вновь произошло несовпадение сигнатур, то в следующем такте путем анализа параллельной работы следующей пары процессоров определяется какой из процессоров отказал. Если в третьем такте контроля сигнатуры не совпали, то отказал тот процессор, который работал в этой и в предыдущей паре. Если же сигнатуры совпали, то отказал процессор, который работал в предыдущей паре. Monitoring the correct functioning of the redundant computing system is as follows. The program is divided into functionally complete software modules (PM). The execution time of the computing system of the task is divided into N control cycles. The control clock corresponds to the execution time in the processor of a separate PM. Each PM is assigned one processing channel, which is either a pair of parallel processors (full processing channel) or one processor (incomplete processing channel). At the beginning of each control cycle, the PM is assigned to the processing channel from the queue and the processors are loaded. During the execution of the program module by a pair of processors from the internal data bus of each of them, a signature of the commands and (or) data is formed. This allows you to identify the presence of a failure or malfunction of one of the processors by comparing the received signatures at the end of the execution of the software module by a pair of processors. If the received signatures do not match, a repeated count of the given program module is performed by the same pair of processors. If during the repeated counting the formed signatures coincided, then a conclusion is made about the occurrence of the layer in the previous control step. If the signature mismatch again during the second count, then in the next clock cycle, by analyzing the parallel operation of the next pair of processors, it is determined which processor failed. If in the third clock cycle the signatures did not match, then the processor that worked in this and in the previous pair refused. If the signatures match, then the processor that worked in the previous pair failed.

Варианты назначения процессоров в пары для контроля представлены в таблице. The options for assigning processors in pairs for control are presented in the table.

Работа резервированной вычислительной системы может быть представлена в виде алгоритма (фиг. 4). Сущность реализации алгоритма заключается в выполнении следующих действий. The operation of the redundant computing system can be represented in the form of an algorithm (Fig. 4). The essence of the implementation of the algorithm is to perform the following actions.

Символ 1. Выполняются процедуры начальной нагрузки вычислительной системы. Symbol 1. The procedures of the initial load of the computing system are carried out.

Символ 2. Выполняется процедура назначения на контроль пары процессоров, которая формирует вектор ν= (ν₁, ν₂,ν₃). Причем ν_i 1. Когда i-й процессор включен в пару взаимопроверяемых процессоров (i 1, 2, 3).Symbol 2. The process of assigning a pair of processors to the control is performed, which forms the vector ν = (ν ₁ , ν ₂ , ν ₃ ). Moreover, ν _i 1. When the i-th processor is included in a pair of mutually verified processors (i 1, 2, 3).

Символ 3. Выполняется процедура назначения и загрузки ПМ на канал обработки из очереди готовых к выполнению ПМ. Функция процедуры заключается в том, что из очереди выбирается ПМ и осуществляется загрузка процессора для его выполнения. Symbol 3. The procedure for assigning and loading PM to the processing channel from the queue of ready-to-execute PMs is performed. The function of the procedure is that the PM is selected from the queue and the processor is loaded to execute it.

Символы А 1.3. Проверяется входит ли i-й процессор в пару взаимопроверяемых процессоров. Если условие выполняется, то осуществляется переход к символу В 1.3, иначе осуществляется переход к символу С 1.3 соответственно. Symbols A 1.3. It is checked whether the i-th processor is included in a pair of mutually verified processors. If the condition is met, then the transition to the symbol B 1.3 is performed, otherwise the transition to the symbol C 1.3 is carried out, respectively.

Символы В 1.3. Устанавливается факт начала выполнения ПМ в процессоре полного канала обработки, путем исполнения команды: "Начало программного модуля". Symbols B 1.3. The fact of the beginning of the PM execution in the processor of the full processing channel is established by executing the command: "Start of the software module".

Символы С 1.3. Выполнение назначенных ПМ на соответствующих процессорах, а также формирование сигнатуры последовательности команд и (или) данных этого ПМ в сигнатурном анализаторе. Symbols C 1.3. The execution of the assigned PMs on the corresponding processors, as well as the generation of the signature of the sequence of commands and (or) data of this PM in the signature analyzer.

Символы D 1.3. Выполняют действия аналогично символам А 1.3. Если ν_i 1, то переход к символам Е 1.3 соответственно, иначе переход к символу 3.Symbols D 1.3. Perform actions similar to symbols A 1.3. If ν _i 1, then go to the symbols E 1.3, respectively, otherwise go to the symbol 3.

Символы Е 1.3. Выполнение процедуры анализа работы пары процессоров. Процедура анализа работы представлена следующими символами (фиг. 5). Symbols E 1.3. Performing a process analysis of a pair of processors. The operation analysis procedure is represented by the following symbols (Fig. 5).

Символ е 1. Устанавливается факт окончания выполнения ПМ i-м процессором путем исполнения команды "Конец программного модуля". Symbol e 1. The fact that the execution of the PM by the i-th processor is established by executing the "End of software module" command is established.

Символ е 2. Вывод сигнатуры i-го процессора в регистр 13. Symbol e 2. The output of the signature of the i-th processor in register 13.

Символ е 3. Проверяется: первым ли i-й процессор в паре взаимопроверяемых процессоров закончил выполнение ПМ. Переменная μ может принимать следующие значения:
μ

о

в

Если μ 1, то выполняются символы е 4, е 5, е 6, иначе выполняются символы е 7, е 8.Symbol e 3. It is checked whether the i-th processor in the pair of mutually verified processors was the first to complete the execution of the PM. The variable μ can take the following values:
μ

about

in

If μ 1, then the characters e 4, e 5, e 6 are satisfied, otherwise the characters e 7, e 8 are executed.

Символы е 4. Сравниваются сигнатуры пары взаимопроверяемых процессоров i и j в регистре 13 (i,j 1, 2, 3, i ≠ j) и вырабатывается сигнал Q:
Q

с

е

Символ е 5. Сигнал Q передается в регистр состояния контроллера прерывания процессора.Symbols e 4. The signatures of a pair of mutually verified processors i and j in register 13 (i,

j

1, 2, 3, i ≠ j) are compared and a signal Q is generated:
Q

with

e

Symbol e 5. The Q signal is transmitted to the status register of the processor interrupt controller.

Символ е 6. Анализируется возникшая ситуация. При Q 0 работа пары взаимопроверяемых процессоров считается правильной. При Q 1 назначается повторный счет, либо производится назначение пары взаимопроверяемых процессоров. В этом случае работа резервированной вычислительной системы считается неправильной. Symbol e 6. The situation is analyzed. At Q 0, the operation of a pair of mutually verified processors is considered correct. At Q 1, a second count is assigned, or a pair of mutually verified processors is assigned. In this case, the operation of the redundant computing system is considered incorrect.

После выявления отказавшего процессора производится реконфигурация резервируемой вычислительной системы, которая заключается в исключении отказавшего процессора из ресурсов системы. Переход к символу 2. After identifying a failed processor, the redundant computing system is reconfigured, which consists in eliminating the failed processor from the system resources. Go to symbol 2.

Символ е 7. Переменной μ присваивается значение, равное единице. Symbol e 7. The variable μ is assigned a value equal to one.

Символ е 8. Процессор, который первым завершил выполнение ПМ из пары взаимопроверяемых процессоров, приостанавливается до момента завершения выполнения идентичного ПМ другим процессором. Переход к символу 2. Symbol e 8. The processor that first completed the execution of the PM from a pair of mutually verified processors is suspended until the execution of the identical PM by the other processor is completed. Go to symbol 2.

Реализация данного алгоритма функционирования резервированной системы может быть возложена на операционную систему. Команды "Начало программного модуля" и "Конец программного модуля" представляют собой специальные команды операционной системы. При выполнении в процессоре команды "Начало программного модуля" разрешается формирование сигнатуры последовательности команд или команд и данных в сигнатурном анализаторе 22. При выполнении в процессоре команды "Конец программного модуля" осуществляется выдача сформированной сигнатуры из сигнатурного анализатора 22 на информационный выход процессора. The implementation of this algorithm of the functioning of the redundant system can be assigned to the operating system. The commands "Start program module" and "End program module" are special commands of the operating system. When the command "Start of the program module" is executed in the processor, the generation of the signature of the sequence of commands or commands and data is allowed in the signature analyzer 22. When the command "End of the program module" is executed, the generated signature is sent from the signature analyzer 22 to the processor information output.

Разбиение программы на ПМ может быть осуществлено специальной программой операционной системы, которая перед выполнением ПМ осуществляет выдачу в процессор для исполнения команды "Начало программного модуля" после выполнения ПМ. Такие действия выполняются всякий раз на процессорах, входящих в пару, перед выполнением и после выполнения ПМ. Partitioning the program on the PM can be carried out by a special program of the operating system, which, before executing the PM, issues the processor to execute the command "Start the program module" after the PM is executed. Such actions are performed every time on processors in a pair, before and after the execution of the PM.

Резервированная вычислительная система работает следующим образом. Redundant computing system operates as follows.

Перед началом выполнения программных модулей на процессорах производится начальная загрузка системы. После этого назначается на контроль пара процессоров. Before starting the execution of software modules on processors, the system is booted up. After that, a pair of processors is assigned to control.

Пусть в полный канал обработки включены первый и второй процессоры, а в неполный канал обработки третий процессор. Let the first and second processors be included in the full processing channel, and the third processor in the incomplete processing channel.

Предварительно выполняются начальные установки процессоров и сброс в нулевое состояние сигнатурного анализатора 22, триггеров 23, 24, 16 и регистра 13 (на фигурах цепи сброса условно не показаны). Затем назначаются ПМ из очереди на каналы обработки и осуществляется загрузка процессоров. После этого в первом и втором процессорах выполняются команды "Начало программного модуля". По этой команде на одном из выходов дешифратора кода команд процессора вырабатывается управляющий сигнал, который поступает в формирователь управляющих сигналов процессора, имитируя в нем выработку сигналов на входах 26, 27, 28, 29, 30 в соответствующие моменты времени (фиг. 6). Initial installation of the processors and reset to zero state of the signature analyzer 22, triggers 23, 24, 16 and register 13 (not shown conditionally on the figures of the reset circuit) are preliminarily performed. Then the PMs are assigned from the queue to the processing channels and the processors are loaded. After that, in the first and second processors the commands "Start the software module" are executed. By this command, at one of the outputs of the processor command code decoder, a control signal is generated, which enters the processor control signal generator, simulating the generation of signals at inputs 26, 27, 28, 29, 30 at the corresponding time points (Fig. 6).

По сигналу на входе 26 узла контроля, вырабатываемого в результате исполнения команды "Начало программного модуля", первый RS-триггер 23 устанавливается в единичное состояние. На выходе формирователя управляющих сигналов процессора вырабатывается сигнал нулевого потенциала, который по входу 30 поступает на инверсные входы элементов И 36 шинных формирователей 34 сигнатурного анализатора и подключает двунаправленную шину 31 узла контроля 21 на прием информации. The signal at the input 26 of the control node, generated as a result of the execution of the command "Start program module", the first RS-trigger 23 is set to a single state. At the output of the processor control signal generator, a signal of zero potential is generated, which, at the input 30, is fed to the inverse inputs of the AND elements 36 of the bus formers 34 of the signature analyzer and connects the bi-directional bus 31 of the control unit 21 to receive information.

Затем выполняется последовательность команд ПМ, назначенного на данный процессор. Then, a sequence of PM commands assigned to this processor is executed.

Адрес первой команды ПМ передается в памяти для выборки команды. Считанная из памяти команда, поступает на информационный вход процессора и через порт ввода-вывода процессора на внутреннюю шину данных и команд процессора. Одновременно из формирователя управляющих сигналов процессора по входу 29 поступает синхроимпульс, по которому осуществляется свертка считанной команды в сигнатурном анализаторе 22. Считанная из памяти команда принимается в регистр команд процессора для выполнения. После этого формируются адреса операндов данной камеры, которые передаются в память. Считанные из памяти операнды сворачиваются в сигнатурном анализаторе 22 аналогичным образом. The address of the first PM command is transmitted in memory for fetching the command. A command read from memory is sent to the processor information input and through the processor I / O port to the internal data bus and processor commands. At the same time, from the processor control signal generator, a clock pulse is received at input 29, through which the read command is convolved in the signature analyzer 22. The command read from the memory is received in the processor command register for execution. After that, the operand addresses of this camera are formed, which are transferred to the memory. Read from the memory operands are collapsed in the signature analyzer 22 in a similar way.

В дальнейшем сигнатурный анализатор 22 осуществляет свертку остальных команд и (или) данных ПМ. Subsequently, the signature analyzer 22 convolves the remaining commands and (or) PM data.

Пусть в данном такте контроля процессор 1 закончил выполнение ПМ первым. Тогда в нем выполняется команда: "Конец программного модуля". Код операции команды передается на вход дешифратора из команд процессора, где декодируется и единичный сигнал с одного из его выходов поступает в формирователь управляющих сигналов процессора. Suppose that in this control cycle, processor 1 finished the execution of the PM first. Then the command is executed in it: "End of the software module". The command operation code is transmitted to the decoder input from the processor commands, where it is decoded and a single signal from one of its outputs enters the processor control signal generator.

По сигналу с выхода дешифратора на выходе формирователя управляющих сигналов вырабатывается сигнал единичного потенциала, который поступает по входу 30 в сигнатурный анализатор 22. По этому сигналу в сигнатурном анализаторе двунаправленная шина 31 узла контроля переключается на передачу содержимого сигнатурного анализатора 22 через порт ввода-вывода на информационный выход процессора через элемент И 35. Одновременно по сигналу с выхода формирователя управляющих сигналов процессора по входу 27 осуществляется установка триггера 24 в единичное состояние. Сигналы единичных потенциалов с выходов первого 23 и второго 24 TS+триггеров поступают на первый и второй входы элемента И 25, на выходе которого вырабатывается сигнал единичного потенциала. Сигнал с выхода элемента И 25 поступает на первый вход элемента ИЛИ 15 и на первый управляющий вход коммутатора 12. По сигналу на первом управляющем входе коммутатора 12 осуществляется коммутация информационного выхода первого процессора на вход регистра 13. Сигнал с выхода элемента И 25 через элемент ИЛИ 15 поступает на синхровход регистра 13, по которому осуществляется запись сформированной в первом процессоре сигнатуры в первый ярус триггеров регистра 13. The signal from the decoder output at the output of the control signal generator generates a unit potential signal, which is input 30 to the signature analyzer 22. This signal in the signature analyzer switches the bidirectional bus 31 of the control unit to transmit the contents of the signature analyzer 22 through the input / output port to the information the output of the processor through the element And 35. At the same time, the signal from the output of the driver of the control signals of the processor at input 27 sets the trigger 24 to one th state. The signals of unit potentials from the outputs of the first 23 and second 24 TS + flip-flops are fed to the first and second inputs of the And 25 element, at the output of which a unit potential signal is generated. The signal from the output of the And 25 element is supplied to the first input of the OR element 15 and to the first control input of the switch 12. The signal from the first control input of the switch 12 is used to switch the information output of the first processor to the input of the register 13. The signal from the output of the And 25 element through the OR element 15 arrives at the sync input of register 13, by which the signature generated in the first processor is recorded in the first tier of the triggers of register 13.

Одновременно сигнал с выхода ИЛИ 15 поступает на вход первого элемента задержки 19 и на счетный вход триггера 16. После этого на выходе формирователя управляющих сигналов вырабатывается сигнал сброса, который по входу 28 сбрасывает в нулевое состояние сигнатурный анализатор 22 и триггера 23 и 24. Сигналы нулевых потенциалов с выходов триггеров 23 и 24 поступают соответственно на первый и второй входы элементов И 25, на выходе которого формируется сигнал нулевого потенциала. Нулевой уровень сигнала на выходе элемента И 25 через элемент ИЛИ 15 передается на вход триггера со счетным входом 16, устанавливая его в единичное состояние, а также на синхровход регистра 13, по которому осуществляется запись содержимого первого яруса триггеров регистра 13 во второй ярус. At the same time, the signal from the output of OR 15 is fed to the input of the first delay element 19 and to the counting input of trigger 16. After that, a reset signal is generated at the output of the driver of the control signals, which, at input 28, resets the signature analyzer 22 and trigger 23 and 24 to zero. potentials from the outputs of the triggers 23 and 24 are respectively supplied to the first and second inputs of the elements And 25, at the output of which a signal of zero potential is formed. The zero level of the signal at the output of the AND 25 element through the OR element 15 is transmitted to the input of the trigger with the counting input 16, setting it to a single state, as well as to the clock input of the register 13, by which the contents of the first tier of the triggers of the register 13 are recorded in the second tier.

После этого процессор 1 приостанавливается до момента окончания выполнения ПМ вторым процессором. После окончания выполнения ПМ во втором процессоре в нем осуществляется исполнение команды "Конец программного модуля" и выдача сформированной сигнатуры на информационный выход процессора. Одновременно вырабатывается сигнал единичного потенциала на выходе элемента И 25 второго процессора, который поступает на второй вход элемента ИЛИ 15 и на второй управляющий вход коммутатора 12. По сигналу на втором управляющем входе коммутатора 12 осуществляется передача информации второго процессора на вход регистра 13. Сигнал с выхода элемента И 25 второго процессора через элемент ИЛИ 15 поступает на синхровход регистра 13, по которому в регистре формируется поразрядная сумма по модулю два содержимого регистра с информацией на его входах и запись сформированной суммы в первый ярус триггеров регистра 13. After that, the processor 1 is suspended until the execution of the PM by the second processor. After the execution of the PM in the second processor is completed, the command "End of the software module" is executed in it and the generated signature is issued to the processor information output. At the same time, a signal of unit potential is generated at the output of the AND element 25 of the second processor, which is fed to the second input of the OR element 15 and to the second control input of the switch 12. The signal from the second control input of the switch 12 transfers the information of the second processor to the input of the register 13. The output signal element And 25 of the second processor through the element OR 15 is fed to the clock input of the register 13, through which a bit sum is formed in the register modulo two contents of the register with information at its inputs and Recording the amount formed in the first tier triggers the register 13.

После этого формирователем управляющих сигналов на входе 28 узла контроля вырабатывается сигнал сброса, по которому сигнатурный анализатор 22 и триггера 23, 24 второго процессора сбрасываются в нулевое состояние. На выходе элемента И 25 второго процессора формируется сигнал нулевого потенциала. По сигналу с выхода элемента И 25 осуществляется запись сформированной поразрядной суммы из первого яруса триггеров регистра 13 во второй ярус, а также сброс триггера 16 в нулевое состояние. Сигнал единичного потенциала с инверсного выхода триггера 16 поступает на первый вход элемента 18, на второй вход которого подается сигнал с выхода элемента задержки 19. Величина задержки выбирается такой, чтобы обеспечить выработку сигнала Q после приема сигнатуры второго процессора пары в регистр 13. After that, the driver of the control signals at the input 28 of the control node generates a reset signal, by which the signature analyzer 22 and the trigger 23, 24 of the second processor are reset to zero. At the output of element And 25 of the second processor, a signal of zero potential is formed. The signal from the output of the element And 25 records the generated bitwise sum from the first tier of the triggers of the register 13 to the second tier, as well as the reset of the trigger 16 to zero. The signal of unit potential from the inverse output of the trigger 16 is fed to the first input of the element 18, the second input of which is supplied with the signal from the output of the delay element 19. The delay value is chosen so as to ensure the generation of signal Q after receiving the signature of the second processor of the pair in register 13.

Пусть процессоры 1 и 2 в данном такте контроля работали правильно. Тогда в результате поразрядной суммы по модулю два сигнатуры сформированной в первом процессоре с сигнатурой второго процессора произойдет обнуление разрядов регистра 13. Нулевые сигналы с выходов регистра 13 поступают на входы элемента ИЛИ 14, на выходе которого формируется сигнал нулевого потенциала. По сигналу с выхода элемента И 18 сигнал с выхода элемента ИЛИ 14 через элемент И 17 поступает на вход прерывания контроллера прерывания каждого процессора. Так как в рассматриваемом случае произошло сравнение сигнатур пары взаимопроверяемых процессоров и сигнал Q 0, то в результате анализа содержимого регистра состояния контроллера прерывания делается вывод о правильной работе пары процессоров. Let processors 1 and 2 in this control cycle work correctly. Then, as a result of the bitwise sum modulo two signatures generated in the first processor with the signature of the second processor, the bits of register 13 will be reset. Zero signals from the outputs of register 13 are fed to the inputs of the OR element 14, at the output of which a zero potential signal is generated. According to the signal from the output of the AND element 18, the signal from the output of the OR element 14 through the And 17 element is fed to the interrupt input of the interrupt controller of each processor. Since in the case under consideration, the signatures of a pair of mutually verified processors and the signal Q 0 were compared, as a result of the analysis of the contents of the status register of the interrupt controller, the conclusion is made about the correct operation of the pair of processors.

Затем первый процессор выходит из состояния ожидания, осуществляется назначение и подготовка к работе новой пары взаимопроверяемых процессоров. Аналогичным образом происходит функционирование резервированной вычислительной системы в следующем такте контроля. Then, the first processor leaves the standby state, and a new pair of mutually verified processors is assigned and prepared for operation. In a similar way, the redundant computing system functions in the next control cycle.

Пусть процессоры 1 и 2 в текущем такте контроля работали неверно. Тогда в результате сравнения сигнатур первого и второго процессоров в регистре 13 на выходе элемента И 17 вырабатывается сигнал ошибки Q единичного потенциала, который поступает на вход прерывания каждого процессора и на вход элемента задержки 20. Сигнал Q, задержанный на элементе задержки 20, поступает на вход сброса регистра 13, обнуляя его. Величина задержки выбирается такой, чтобы обеспечить прием сигнала об ошибке Q в регистр состояния контроллера прерывания процессора. По единичному содержимому соответствующего триггера регистра состояния контроллера прерывания второго процессора делается вывод о неверной работе пары процессоров. Let processors 1 and 2 in the current control clock cycle work incorrectly. Then, as a result of comparing the signatures of the first and second processors in the register 13 at the output of the element And 17, an error signal Q of unit potential is generated, which is fed to the interrupt input of each processor and to the input of the delay element 20. The signal Q, delayed by the delay element 20, is input reset register 13, resetting it to zero. The delay value is selected so as to ensure that the error signal Q is received in the status register of the processor interrupt controller. The unit content of the corresponding trigger of the status register of the interrupt controller of the second processor concludes that the pair of processors is not working properly.

После этого назначается режим повторного счета, либо предназначение пары взаимопроверяемых процессоров После выявления отказавшего процессора производится реконфигурация вычислительной системы. After this, a re-counting mode is assigned, or the destination of a pair of mutually checked processors is determined. After a failed processor is detected, the computer system is reconfigured.

Таким образом, предлагаемая резервированная вычислительная система по сравнению с известной обеспечивает обнаружение нарушений правильности функционирования процессоров вычислительной системы, которые не влияют на конечные результаты работы выполняемых программ за время такта контроля, а также не требует жесткой синхронизации работ пары взаимопроверяемых процессоров при выполнении одинаковых ПМ. Thus, the proposed redundant computing system, in comparison with the known one, provides detection of violations of the correct functioning of the processors of the computing system, which do not affect the final results of the running programs during the monitoring cycle, and also does not require tight synchronization of the work of a pair of mutually verified processors when performing the same PM.

Claims

1. A RESERVED COMPUTER SYSTEM containing three computing units, each of which is connected with an information output and a group of control outputs respectively to the information input and control inputs of the respective control units, three input units, three output units, characterized in that two memory units are introduced into the system , register, two OR elements, two AND elements, a trigger, two delay elements and a switch connected by the first, second and third control inputs to the corresponding inputs of the first OR element and the moves of the respective control units, the first, second and third information inputs to the information outputs of the respective computing units and the information inputs of the respective input blocks, each of which is connected by the first and second outputs to the information inputs of the first and second memory blocks, respectively, connected by the outputs to the first and second the information inputs of each input block associated with the output with the information input of the corresponding computing unit, connected inputs and interruption to the output of the first AND element and through the first delay element to the zeroing input of the register connected by the information input to the output of the switch, the recording enable input to the output of the first OR element, with the counting input of the trigger and through the second delay element with the first input of the second AND element connected the second input to the inverse output of the trigger, and the output to the first input of the first AND element, connected by the second input to the output of the second OR element, connected by the inputs to the corresponding bit outputs of the register.

2. The system according to claim 1, characterized in that the control unit includes a signature analyzer, two triggers and an element And whose output is the output of the unit, the information input, synchronizing and control inputs of the signature analyzer are respectively the information input, the first and second control inputs of the block , the reset inputs of the triggers and the signature analyzer are the third control input of the block, the single inputs of the first and second triggers are the fourth and fifth control inputs of the block, respectively outputs of flip-flops respectively connected to first and second inputs of the element I.