SE457391B - Programminnesstyrt realtidssystem omfattande tre i huvudsak identiska processorer - Google Patents

Description

457 391 10 15 20 25 30 till samtliga datorer och varvid ett majoritetsval genomförs bland de styr- sigialer, vilka alstras parallellt-synkront av de dessförinnan sinsemellan upp- daterade datorerna. Synkronismen hos ovannämnda kända TMR system hänför sig till den takt, i vilken modulerna/datorerna 'mottager realtidssignalerna och utsänder styrsignalerna. De kända fellokaliserings-/majoritetsvalanordningar mottager realtids-/styrsignaler och innehåller därför ganska komplicerade kretsar, till exempel maskeringskretsar, som i sig själv utgör felkällor.

REDOGÜRELSE FÖR UPPFINNINGEN Enligt uppfinningen gar utsträckningen av den trefaldiga redundansen åtminstone så långt, att de tre modulerna utgörs av höghastiga processorer innehållande vardera ett flertal adresserbara funktionsenheter och en databuss för att höghastigt transportera data mellan funktionsenheterna. Ett TMR system, vilket omfattar dylika i och för sig enligt nämnda U.S. patentskrift för enkeldrift och för dualredundans kända höghastiga processorer, erbjuder att pa databitbasis övervaka realtidssystemet. Den databitbaserade övervakningen, vilken inkluderar felupptäckning och feldiagnostik, erhålles genom att ansluta fellokaliseringsanordningen via minst tva enkelriktade dataöverföringskanaler till de tre processorernas höghastiga databussar. Fellokaliseringen astadkommes härvid medelst ett fatal enkla binära logiska element som omfattar tva komparatorer och tre felindikatorer. Man beaktar dataöverföringskanalernas löptider och placerar komparatorerna geografiskt sa att man jämför parallellt- synkront producerade och varandra motsvarande databitar. - Enligt uppfinningen används dataöverföringskanalerna inte enbart för fel- diagnostik utan ocksa för att under en uppdateringsperiod överföra data mellan processorernas databussar. Dylika dataöverföringar behövs om systemets drift med den trefaldiga redundansen uppbyggs med utgångspunkt fran en enkeldrift medelst exekutivprocessorn, varvid denna uppdaterar bada reservprocessorer.

Om “en dualredundans medelst exekutívprocessorn och den första reserv- processorn är utgångspunkten för den trefaldiga redundansen, uppdateras den andra reservprocessorn medelst data som produceras antingen av exekutiv- processorn eller den första reservprocessorn. Om realtidssystemets konstruktion är sådant, att de fran anläggningen kommande realtidssignalerna kan tillföras 10 15 20 25 3D 457 391 enbart exekutivprocessorn eller enbart exekutivprocessorn och en av reserv- processorerna, behövs selektiva dataöverföringar mellan processorerna även under systemets drift med den trefaldiga redundansen för att överföra realtids- signalerna till den reservprocessor som saknar anslutning till anläggningen.

Man måste beakta att varje processor åstadkommer självständigt en data- behandling med en hastighet som är åtskilligt högre än realtids- och styr- signalernas hastighet, och att de för redundansen erforderliga data- överföringskanalerna påtvingar på grund av sin konstruktion de överförda data bestämda tidsfördröjningar som inte är försumbara i förhållande till den av systemets taktgenerator alstrade och på databussarna använda takt- pulsfaslängden. Den inledningsvis nämnda U.S Patentskriften 4,099,24l beskriver en fördröjningsanordning som redan vid start av ett dualredundant system åstadkommer en sådan fasförskjutning att i reservprocessorn exekveras en instruktion i förhållande till exekutivprocessorns motsvarande exekvering med en tidsfördröjning huvudsakligen lika med den av dataöverföringskanalen påtvingade tidsfördröjningen. Enligt uppfinningen använder man hos det före- slagna TMR systemet liknande fasförskjutningar i processorernas data- behandlingar för att säkerställa en korrekt uppdatering och för att åstadkomma att fellokaliseringsanordningen alltid mottager varandra motsvarande databitar.

Härvid ansluter man fellokaliseringsanordningens två komparatorer med var sin ena ingång direkt till två av systemets tre databussar, företrädesvis till reservprocessorernas databussar, och med var sin andra ingang via data- överföringskanalerna till systemets tredje databuss, företrädesvis till exekutiv- w processorns databuss.

Kännetecknet hos det föreslagna realtidssystemet med trefaldig processor- redundans framgår av patentkraven.

FIGURBESKRVINING Nedanför beskrivs uppfinningen närmare under hänvisning till bifogad ritning, vars figur l visar en höghastig processor 1, vilken är ansluten till en tele- kommunikationsanläggning 2, ett systemminne 14 och en taktgenerator 28. Enligt ritningens figur 2, som visar ett tre i huvudsak identiska processorer 29-31 457 391 10 15 2D 25 3D omfattande realtidssystem, är även i figur 1 visade processorterminaler an- slutna till telekommunikationsanläggningen 2, en fellokaliseringsanordning 32 och en startpulskälla 48.

FÖREDRAGEN UTFÖRINGSFORM Figur l visar en i exempelvis U.S. Patentskrifterna 3,63l,40l och 4,099,24l beskriven processor l, vars databehandlingshastighet är stor i relation till den hastighet, i vilken exempelvis en telekommunikationsanläggning 2 sänder real- tidsslgnaler och mottager styrsignaler, samt till den hastighet, l vilken en l processorn ingående första funktionsenhel: 3 beordrar en minnesanordning 4 att lagra exempelvis anläggningens tillståndsdata och att överföra sådana data till funktionsenhet 3. Den höghastiga processorn omfattar ett antal funktions- enheter, av vilka utöver nämnda första funktionsenhet 3 i figur l visas en andra och tredje funktionsenhet 5 och 6.

Den andra funktionsenheten 5 är anordnad för att via en första processoringång 7 mottaga realtidssignaler och för att via en första processorutgång 8 sända styr-signaler. Signalförbindelserna mellan telekommunikationsanläggningen 2 och nämnda ingång/utgång 7/8 visas i figur 1 medelst streckade linjer därför att, så som det kommer att beskrivas längre ner, hos det föreslagia systemet med processorredundans inte samtliga processorer nödvändigtvis mottager realtids- signalerna och alltid bara en' av processorerna, vilken fortsättningsvis kallas exekutivprocessor, sänder_styrsignaler. Det antydes, att prbcessoringång 7 är ansluten till ett omvandlingsregister 9 för att omvandla realtidssignaler till för den höghastiga databehandlingen lämpade dataord, vars var sin databit sändande *utgångar är anslutna till en första ELLER-grind 10. Man erhåller via en andra processorutgang ll en medelst grind 10 utgångssídigt förlängd pulssignal, fort- sättningsvis kallad realtidspuls, på grund av varje mottagen realtidssignal.

Den andra funktíonsenheten 5 är vidare anordnad att via en andra processorin- gang 12 mottaga en primârstartsignal, vilken genereras för att igångsätta realtidsdrift med trefaldig redundans. Primärstartsignalen är nödvändig om anläggningen dessförinnan har styrts till exempel av enbart en processor, vilken skall bli TMR systemets exekutivprocessor. I detta fall behandlar den andra 10 15 20 25 30 ~ 457 391 funktionsenheten 5 primärstartsignalen som en speciell realtidssignal, på grund av vilken den pagaende realtidsstyrningen avbrytas tillfälligt vid en därför lämplig tidpunkt da det samtidigt sändas en sekundär startpuls till en tredje processorutgang 13.

Den tredje i figur 1 visade funktionsenheten 6 är den som omfattar processorns i figuren inte visade instruktionsregister för att konventionellt styra de höghastiga dataöverföringarna mellan funktionsenheterna, varvid exempelvis en sekvens av instruktionsregister för att lagra databehandlingsinstruktioner successivt aktiveras på grund av en mottagen realtidssignal. Det antydes, att funktionsenhet 6 omfattar ett startinstruktionsregister 14, vilket ingar i en inte visad registersekvens för att starta processorn pa ett för systemets drift med trefaldig redundans lämpligt sätt. Startregistret 14 aktiveras medelst nämnda sekundärstartpuls som ifrågavarande processor mottager via en tredje processoringang 15. Medelst en streckad linje antydes att hos exekutiv- processorn kan utgång 13 i princip anslutas direkt till ingång 15. Längre ner beskrivs mera detaljerat systemets igangsättning för att erhålla trefaldig redundans, varvid man fördröjer den av exekutivprocessorn alstrade sekundär- startpulsen, och varvid sekundärstartpulsen och den via utgång 11 erhållna realtidspulsen omvandlas till en signal som fortsättningsvis kallas uppdaterings- signal.

Processorns funktionsenheter samarbetar sinsemellan medelst ett bussystem 16, vilket omfattar en taktbuss 1-7, en orderbuss 18 och en databuss som för en bättre förklarings skull i figur 1 är uppdelad i en första enkelriktad bussdel 19 för att överföra till funktionsenheterna inkommande och i en andra enkelriktad bussdel 20 för att överföra fràn funktionsenheterna utsända dataord. Den första databussdelen 19 är ansluten till utgangarnaav en första och en andra multipel- OCH-grindanordning 21 och 22. Den andra databussdelen 20 är ansluten till en fjärde processorutgang 23 och ingången av den första multipelgrinden 21, vilken aktiveras medelst en via en fjärde processoringàng 24 mottagen övervaknings- signal. Man erhaller att processorn behandlar de fran de egna funktions- enheterna genererade dataord endast om multipelgrind 21 är aktiverad. Den andra multipelgrinden 22, vilken aktiveras medelst en via en femte processor- ingång 25 mottagen uppdateringssignal, är anordnad för att i aktiverat tillstànd mata processorn med utifrån via en sjätte processoringàng 26 kommande 457 391 [ 1D 15 20 25 3D aktiveras. dataord.

.Taktbussen 17 är via en sjunde processoringang 27 ansluten till en taktgenerator 28 för att pa känt sätt fastlägga databehandlingshastigheten och åstadkomma synkronísm mellan processorerna hos det föreslagna TMR realtidssystemet.

Orderbussen 18 används för att pa känt sätt adressera funktionsenheterna och överföra därtill operationskoder pà grund av vilka dataord mottages, behandlas och utsändes.

Figur 2 visar ett TMR realtidssystem, vilket omfattar tre i huvudsak identiska processorer av den typ som visas i figur 1. Processorernas in/utgangsterminaler har i figur 2 betecknats medelst hänvisningssiffror som överensstämmer med de i figur 1 för motsvarande terminaler använda siffrorna. En processor 29 utgör TMR realtidssystemets exekutivprocessor, fran vars utgång 8 tele- kommunikatíonsanläggningen 2 mottager styr-signaler. En processor 30 utgör systemets första reservprocessor, vilken liksom exekutivprocessorn pa sin ' ingang 7 antages mottaga anläggningens realtidssignaler. Det antages emeller- tid enigt figur 2, att hos systemets andra reservprocessor 31 används inte den funktionsenhet som i figur l har hënvisningssiffra S, och att den andra reserv- processorn saknar anslutning till anläggningen och erhåller de redan omvandlade realtidssignalerna via sin processoringang 26. Exekutivprocessorns utgång 23 är ansluten direkt till sin egen ingång 26, d v s dess funktionsenheter mottager internt genererade dataord oberoende av vilken av sina ingångar 24 och 25 De tre processorerna 29-31 är sinsemellan och till en tva komparatorer omfattande fellokaliseringsanordning 32 förbundna medelst minst tva data- överföringskanaler, vilka pa grund av sin konstruktion patvingar de överförda data bestämda tidsfördröjningar som inte är försumbara i förhållande till den pa databussarna använda taktpulsfaslängden. Taktpulsen alstras av TMR systemets taktgenerator, vilken är ansluten till processorernas ingangar 27. Varje kompa- rator har sina tva ingångar via minst en dataöverföringskanal sa anslutna till tva av systemets databussar, att komparatorn garanterat jämför pa de tva bussarna överförda dataord, vilka härrör fran avverkningen av varandra mot- svarande databehandlingsinstruktioner. Om systemets tre processorer arbetar exakt faslikt, maste varje komparator anslutas till sina tillordnade databussar 10 15 '20 25 30 457 391 medelst två i huvudsak identiska dataöverföringskanaler.

Hos den i figur 2 visade utföringsformen är utgång 23 hos exekutivprocessorn 29 medelst en första enkelriktad dataöverföringskanal 33 ansluten till ingång 26 hos den första reservprocessorn 30 och till den ena ingången hos fel- lokaliseringsanordfiingens första komparator 34, vara andra ingång är direkt ansluten till utgång 23 hos den första reservprocessorn 30. Via en andra enkelriktad dataöverföringskanal 35 är exekutivprocessorn 29 ansluten till ingång 26 hos den andra reservprocessorn 31 och till den ena ingången hos fellokaliseringsanorchingens andra komparator 36, vara andra ingång är direkt ansluten till utgång 23 hos den andra resan/processorn 31.

Reservprocessorernas funktionsenheter mottager under systemets drift med trefaldig redundans internt genererade dataord om deras ingångar 24 aktiveras medelst övervakningssignaler. Om däremot reservprocessorernas ingångar 25 under en uppdateringsperiod aktiveras medelst uppdateringssignaler, mottager deras funktionsenheter av exekutivprocessorn generade dataord. Ett minimum av systemdriftsstörningar på grund av en tillslagning av en eller två reserv- processorer medelst en sekundärstartpuls erhålles om exekutivprocessorn fortast möjligt efter tillsiagningen fortsätter att generera styrsignaler och samtidigt medelst respektive dataöverföringskanal uppdaterar den tillslagna reservprocessorn tills dess funktionsenheter med säkerhet genererar korrekta redundanta dataord, med vars hjälp man bevakar TMR systemets drift.

Enligt figur 2 inkluderar realtidssystemet en tillståndsindikator 37, som om- fattar en vippa 38 och ett första fördröjningselement 39, vilka mottager den från exekutivprocessorns utgång 13 kommande sekundärstartpulsen. Medelst den direkt respektive fördröjt mottagna sekundärstartpulsen sättes vippan 38 i sitt första respektive andra stabila läge. Det första läget överförs via en andra ELLER-grind 40 som en uppdateringssignal till processorernas ingångar 25 och till en inverterande första ingång hos en första OCH-grind 41. Vippans andra stabila läge överförs till en andra ingång hos OCH-grinden 41, vars utgång är ansluten till processorernas ingångar 24. I figur 2 antydes nämnda förbindelser till exekutivprocessorns utgång 13 och processorernas ingångar 24., och 25 medelst en ingång 13 och utgångar 24 och 25 hos tillståndsindikatorn 37. 457 391 1D 15 2D 25 30 Den medelst det första fördröjningselementet 39 åstadkomna fördröjningstiden fastlägger uppdateringsperioden, d v s den tid som är tillräcklig för att via den tillhörande dataöverföringskanalen uppdatera en ny-tíllslagen reservprocessor under pågående systemdrift med nedsatt redundans. Därefter, d v s när OCH- grind 41 sänder en övervakningssignal, användes dataöverföringskanalerna 33 och 35 för att genomföra en längre ner beskriven kontinuerlig system- övervakning och en fellokalisering om en av systemets tre processorer genererar felaktiga dataord.

Nämnda ELLER-grind 40 har sin andra ingång ansluten till exekutivprocessorns utgång ll. I figur 2 antydes denna förbindelse medelst en ingång ll hos tillståndsindikatorn 37. Under uppdateringsperioden är en via terminalerna ll överförd realtidspuls verkningslös. Emellertid erhåller man att övervakningen avbryts tillfälligt på grund av varje l exekutivprocessorn behandlad real- tidssignal och att reservprocesserna via sina ingångar 26 mottager den be- handlade realtidssignalen. Den första reservprocessorns mottagning och be- handling av realtidssignalerna blir därigenom verkningslös. Figur 2 beskriver en i praktiken förekommande utföringsform, varvid den trefaldiga redundansen erhålles medelst en utbyggnad av ett enbart processorerna 29 och 30 om- fattande dual-redundanssystem, och varvid båda processorer mottager och behandlar realtidssignalerna. Vill man använda den första reservprocessorns 30 realtidssignalbehandling efter dualsystemets utbyggnad till ett TMR system, upphäver man den ovannämnda övervakningsavbrytningen hos den förste reserv- processorn. Kan man a andra sidan belasta telekommunikationsanläggningen 2 så mycket att realtidssignalerna överförs även till den andra reservprocessorns 31 i figur 2 inte visade ingång 7, är övervaknings-brytningarna helt onödiga, d vs TMR systemet behöver i dett fall inga ELLER-grindar 10 och 40, inga terminaler 11 och ingen OCH-grind 41.

Hos den i figur 2 visade utföringsformen placeras fellokaliseringsanordningens komparatorer 34 och 36 tätt intill var sin reservprocessor 30 och 31. Kompara- turerna, vilka aktiveras medelst från OCH-grind 41 erhållna övervaknings- signaler och utför logiska EX-ELLER funktioner, alstrar utgångssidigt förlängda logiska "l" respektive "U" pulser var gång de ingångssidigt mottagna databitar är olika respektive lika. Tack vare nämnda pulsförlängningar är det möjligt att placera geografiskt godtyckligt tre till komparatorernas utgångar anslutna 1D 15 20 25 30 457 391 binära logikelement, vilka fungerar som felindikatorer.

Nämnda fellokaliseringsanordningen 32 tillhörande felindikatorer omfattar en andra OCH-grind 42, vilken har sina ingångar anslutna till komparatorernas utgångar och följaktligen alstrar en varningssignal pa sin fellokallserings- terminal 43 om en av exekutivprocessorn genererad databit överensstämmer varken med den därtill parallellt-synkront av den första eller andra reserv- processorn genererade databiten, d v s vid ett fel hos exekutivprocessorn 29.

Nämnda felindikatorer omfattar vidare en tredje OCH-grind 44, vilken har sin ena ingång ansluten till den första komparatqrn 34 och sin inverterande andra ingång ansluten till den andra komparatorn 36, och följaktligen alstrar en varningssignal pa sin fellokaliseringsterminal 45 om exekutivprocessorn 29 och den första reservprocessorn 30 genererar olika databitar, medan exekutiv- processorn 29 och den andra reservprocessorn 31 genererar lika bitar, d v s vid ett fel hos den första reservprocessorn 30. Nämnda felindikatorer omfattar slutligen en fjärde OCH-grind 1:6, vilken har sin ena ingång ansluten till den andra komparatorn 36 och sin inverterande andra ingång ansluten till den första komparatorn 34, och följaktligen alstrar en varningssignal pa sin fel- lokaliseringsterminal 47 vid ett fel hos den andra reservprocessorn 31.

Som det har beskrivits ovan, används dataöverföringskanalerna 33 och 35 bade under perioder för att uppdatera minst en reservprocessor samt därefter under perioder för att medelst fellokaliseringsanordningen 32 övervaka TMR systemet, varvid man maste 'taga hänsyn till att dataöverföringskanalerna påtvingar de överförda data kanalkarakteristiska tidsfördröjningar. Hos ett system enligt figur 2 erhålles en korrekt uppdatering och övervakning endast om reservprocessorerna mottager var sin sekundärstartpuls i förhållande till exe- kutivprocessorn med en fasförskjutningstid huvudsakligen lika med den av respektive dataöverföringskanal påtvingade tidsfördröjningen.

Figur 2 visar en startpulskâlla 48 för att alstra sinsemellan fasförskjutna sekundärstartpulser, vilken omfattar en startsignalgenerator 149 och ett andra fördröjníngselement 50, vars utgångar är anslutna till var sin processors ingång 15. Medelst en pa startpulskällans terminal 51 mottagen TMR-tillslagningspuls aktiveras startsignalgeneratorn att sända en primärstartsignal till exekutiv- processorns ingang 12. När exekutivprocessorn är förberedd till »en system- 457 391 10 15 få zh 25 1D styrning med trefaldig redundans, sänder sin utgång 13 en sekundärstartpuls, vilken desaktiverar startsignalgeneratorn 49 och vilken medelst det andra fördröjningselementet S0 fördröjs om första, andra och tredje tider dl, d2 och d3. Tiderna dl och d2 är så fastlagda att tiden /d2-d1/ motsvarar den fördröjning som patvíngas av den första 'dataöverföringskanalen 33. Tiderna dl och d3 är så fastlagda att tiden /d3-d1/ motsvarar den fördröjning som påtvingas av den andra dataöverföringskanalen 35. I manga fall kan dl=O realiseras utan risk för driftstörningar hos exekutivprocessorn 29.

Hos ett medelst fasförskjutna sekundärstartpulser igangsatt TMR system enligt figur 2, vars andra reservprocessor 31 saknar anslutning till anläggningen 2, mottages i exekutivprocessorn 29 behandlade och via den andra data- överföringskanalen 35 överförda realtidssignaler korrekt av databussen 19 'hos den andra reservprocessorn, om de medelst exekutivprocessorns ELLER-grind 1D alstrade realtidspulserna har en längd som överskrider den av den andra överföringskanalen påtvingade tidsfördröjningen /d3-dl/. Enligt en på ritningen inte visad modifikation realiseras realtidspulserna medelst tagbitar, vilka tillsammans med de behandlade realtidssignalerna överförs till en reserv- processor via den tillhörande dataöverföringskanalen och vilka sedan styr att reservprocessorn kortvarigt intar sitt uppdateringstillstand.

Om man hos en annan pa ritningen inte visad utföringsform uppdaterar reservprocessorerna till exempel medelst tva seriekopplade data-e överföringskanaler, måste instruktionsavverkningarna hos den till serie- kopplingens utgång anslutna reservprocessorn i förhållande till exekutiv- processorn startas så medelst startpulskällan att man kompenserar den av seriekopplingen påtvingade fasförskjutningstiden.

Claims (6)

10 15 10 ~ 457 391 PATENTKRAV

1. Programminnesstyrt realtidssystem, vilket omfattar tre i huuvdsak identiska processorer (29-31) för att i parallellt-synkront samarbete styra en anläggning (2), till exempel en telekommunikationsanläggning, varav tva utgör systemets första (30) och andra (31) reservprocessor, och varav den tredje utgör systemets exekutivprocessor (29) för mottagning av realtidssignaler från an- läggningen och sändning av styrsignaler till anläggningen, vilket system vidare omfattar en fellokaliseringsafiordrwing (32) för att utpeka en av processorerna om den producerar felaktiga data, samt en taktgenerator (28) för att åstad- komma systemsynkronism, vilken är förbunden med de tre processorer-na (29-31) via en taktbuss (17), samt en startpulskälla (48) för att medelst en startsignal igângsätta att de tre processorerna uppdateras sinsemellan och matas med realtidssignalerna, k ä n n e t e c k n a t d ä r a v, att processorerna inne- häller vardera ett flertal adresserbara funktionsenheter (3, 5, 6) och en databuss (19, 20) för att transportera data mellan funktionsenheterna, vilken tillsammans med nämnda taktbuss (17) ingar i ett bussystem (16) för att överföra taktpulser och data i perioder som är atskilligt kortare än nämnda signalers perioder, och att nämnda fellokaliseringsanordning (32) omfattar tva komparatorer (34, 36), vilka är anslutna via minst tva enkelriktade dataöverföringskanaler (33, 35) till de tre processorernas databussar.

2. Programminnesstyrt realtidssystem enligt patentkrav 1, känne- te c kn a t d ä r a v, att den första (34) av nämnda tva komparatorer år ansluten till exekutivprocessorn (29) och den första reservprocessorn (30), att den andra (36) av nämnda tva komparatorer är ansluten till exekutivprocessorn (29) och den andra reservprocessorn (31), samt att fellokaliseringanordningen (32) omfattar en första (bli) respektive andra (46) felindikator för att indikera ett fel hos den första respektive andra reservprocessorn samt en tredje felindikator (42) för att indikera ett fel hos exekutivprocessorn, vilka tre indikatorer har var sin första respektive andra ingång ansluten till den första respektive andra komparatorns utgång.

3. Programminnesstyrt realtidssystem enligt patentkrav 2, k ä n n e - t e c k n a t d ä r a v, att nämnda tva komparatorer (34, 36) omfattar var sitt EX-ELLER-beroende binärt logikelement, och att nämnda tre felindikatorer .- 457 391 - 10 15 12 (42, 44, 46) utgörs av tre OCH-beroende binära logikelement, varvid elementet som utgör den första (44) respektive andra (46) felindikatorn är försett med en inverterande ingang, vilken är ansluten till den andra (36) respektive första (34) komparatorn.

4. Programminnesstyrt realtidssystem enligt patentkrav 2, k ä n n e - t ec k na t av en tillstandsindikator (37) för att pa grund av nämnda start- signal alstra först en uppdateringssignal för att indikera systemets upp- dateringstillstand och därefter en övervakningssignal för att indikera processor- ernas samarbete, vilken tillstandsindikator änutgangssidigt sa ansluten till reservprocessorerna (30, 31), att en datatransport mellan deras egna funktions- enheter förhindras medelst uppdateringssignaien och tiliates medelst över- vakningssignalen, och sa till feilokalíseringsanordningen (32), att komparatorerna (34, 36) aktiveras medelst övervakningssignalen.

5. Programminnesstyrt reaitidssystem enligt patentkrav 4, känne- tecknat av en första (33) respektive andra (35) dataöverföringskanai, vilken pa grund av sin konstruktion patvingar de överförda data en första (/d2- dll) respektive' andra (/d3-dl/) tidsfördröjning som inte är försumbar i för- hailande till den av taktgeneratorn (28) alstrade och pa bussystemet (16) använda taktpulsperíoden, vilken överföringskanal har sin ingang ansluten till exekutivprocessorns (29) databuss (20) och sin utgang dels ansluten till data- bussen (19) hos den första (30) respektive andra (31) reservprocesaorn om den fran tillatandsindikatorn (37) erhaller uppdateringssignalen och dels ansluten till den ena ingangen hos feliokaliseringsanordningens (32) första (34) respektive andra (36) komparator, vars andra ingang är direkt ansluten till databussen (20) hos den första (30) respektive andra (31) reservprocessorn, samt därav, att nämnda startpulskälla (48) omfattar en fördröjningsenordning (50) för att i förhallande till exekutivprocessorn (29) igangsâtta den första (30) respektive andra (31) reservprocessorn med en tídsfördröjning huvudsakligen lika med nämnda förste (/d2-dl/) respektive andra (ld3-dll) kanalkarakteristiska tids- fördröjning.

6. Programminnesstyrt realtidssystem enligt patentkrav S, känne- t e c k n a t d ä r a v, att nämnda tillstandsindikator (37) omfattar ett bryt- element (40) för att tillfälligt avbryta övervakningssignalen, och att exekutiv- 457 391 13 processorn (29) omfattar en realtidspulsgenerator (10) för att alstra realtid:- pulser tillhörande var sin för överföring pa den i exklusivprocessorn inkluderade databussen (20) behandlad realtidssignal, vilken realtidspulsgenerator har sin utgång ansluten till nämnda brytelernent (40) och sa till minst en reserv- processor (31) som saknar anslutning till anläggningen (2), att denna reserv- processor mnttager varje realtidspuls som en kortvarig uppdateringssignal, på grund av vilken den tillhörande realtidsslgnalan överförs tlll denna reserv- processors databuss (19) via den tillordnade dataöverföringskanalen (35).