DE1955721A1

DE1955721A1 - Datenverarbeitungssystem

Info

Publication number: DE1955721A1
Application number: DE19691955721
Authority: DE
Inventors: Ngoc-Sanh Bui; Said Kaddour; Tat Nguyen Thang
Original assignee: International Standard Electric Corp
Current assignee: International Standard Electric Corp
Priority date: 1968-11-08
Filing date: 1969-11-05
Publication date: 1970-09-03
Also published as: FR1591358A; ES373353A1; BE741478A; CH520369A; GB1241363A

Description

Dipl.-Phys. Leo Thul
Patentanwalt
Stuttgart-Peuerbach
Kurze Strasse 8

T.Nguyen Tat - S.Kaddour - N.S.Bui 3-2-4

INTEBNATIONAL STANDARD ELECTRIC CORPORATION, NEW YORK

Dat enverarbei t ungs sy stein

Die Erfindung betrifft ein Datenverarbeitungssystem mit zwei Datenverarbeitungseinheiten, die jede für sich den Betrieb des Datenverarbeitungssystems sicherstellen können.

Bei Schaltsystemen wie Telefonvermittlungen und Fernschreib-Vermittlungen ist es zur Zeit üblich, für alle Analysierungs-, Entscheidungs- und Steuerfunktionen ein zentrales Datenverarbeitungssystem vorzusehen, das aus einem elektronischen Computer besteht, in dem ein spezialisiertes Programm eingespeichert ist. Dieses System hat zahlreiche Vorteile, zum Beispiel hinsichtlioh seiner Flexibilität, seiner Raumerfordernisse und seines Stromverbrauches.

Die Zuverlässigkeit eines solchen Datenverarbeitungssystems stellt ein besonders wichtiges Problem dar. Es gibt tatsächlich verschiedene Anwendungen, bei denen der Betrieb praktisch niemals vollständig unterbrochen werden darf. Ein einfaches zentrales Datenverarbeitungssystem wäre in solch einem Falle nicht ausreichend, da trotz der großen Zuverlässigkeit elektronische* Schaltungen ein Ausfall des Datenverarbeitungssystems nicht ausgeschlossen wäre. Es ist allgemein anerkannt, daß das zentrale Datenverarbeitungssystem wenigstens zwei vollständige, identische Datenverarbeitungseinheiten aufweisen muß, die jede für sich

009836/1774 ¹⁹⁶⁹

T. Nguyen Tat 5-2-4

den gesaraten Betrieb des Datenverarbeitungssystems sicherstellen können. Die höchste Zuverlässigkeit erzielt man, wenn beide Datenverarbeitungseinheiten arbeiten, wenn die sogenannte "aktive" Datenverarbeitungseinheit den Betrieb des Datenverarbeitungssystems übernimmt und gleichzeitig die andere, die sogenannte "Reserve"-Datenverarbeitungseinheit die gleichen Datenverarbeitungsschritte ausführt wie die aktive Einheit, ihre Ausgänge jedoch gesperrt sind; falls der Betrieb der "aktiven" Datenverarbeitungseinheit zusammenbricht, ist es lediglich notwendig, die Ausgänge der "Reserve"-Datenverarbeitungseinheit zu öffnen - sie "aktiv" zu schalten - damit sie den Betrieb des Datenverarbeitungssystems praktisch ohne Unterbrechung übernimmt. Die Ausgänge der ausfallenden Datenverarbeitungseinheit werden gesperrt, so daß sie den Betrieb nicht stören.

In einem solchen System werden Unterbrechungen des Betriebes vermieden, solange wenigstens eine dieser beiden Datenverarbeitungseinheiten betriebsbereit ist. Eine vollständige Unterbrechung des Betriebes wird vermieden, außer in den Fällen, in denen gleichzeitig beide Datenverarbeitungseinheiten ausfallen.

Ein Eintreten des Fehlverhaltens einer Datenverarbeitungseinheit muß zunächst untersucht werden. Ein Fehlverhalten ist zunächst eine anomale Situation, in der die "aktive" Datenverarbeitungseinheit den Betrieb einzustellen scheint und in der es notwendig erscheint, den Betrieb sofort auf die "Reserve"-Datenverarbeitungseinheit umzuschalten.

Die Ursachen für einen Ausfall können wie folgt eingeteilt werden:

a) Ausfall einer Komponente

b) Programmfehler

c) temporäre Störung (z.B. durch Rauschen hervorgerufen) und

d) falsche Beeinflussung durch das Bedienungspersonal.

009836/1774

BAD ORIGINAL

T.Nguyen Tat 3-2-*

Die Ausfälle unter den Buchstaben a) und b) sind permanente Ausfälle, die lediglich durch einen Eingriff des Bedienungspersonals wieder behoben werden können. Bei Eintreten dieser Ausfälle ist die betroffene Datenverarbeitungseinheit deswegen für längere Zeit nicht verfügbar. Die unter c) und d) angeführten Störungen treten vergleichsweise häufig auf, verschwinden aber oft von selbst oder, bei richtiger Behandlung der Datenverarbeitungseinheit, bereits nach kurzer Zeit. « Ss ist deswegen wichtig, Kriterien für das Auffinden solcher anomalen Situationen zu finden und die Dauer einer Störung einer Datenverarbeltuhgseinheit do kurz wie möglich zu halten und gegebenenfalls eine Umschaltung des Betriebes auf die andere Datenverarbeitungseinheit durchzuführen.

Aufgabe der Erfindung 1st es, mit einfachen Mitteln die Zuverlässigkeit der genannten Datenverarbeltungssysteme zu erhöhen.

Diese Aufgabe 1st bei Datenverarbeitungssystemen mit zwei Datenverarbeitungseinheiten, die jede für sich den Betrieb des Datenverarbeitungssystems sicherstellen können, dadurchgekennzelchnet, daß jede Datenverarbeitungseinheit einen Meßkreis aufweist, der für Jede Funktionsgruppe der jeweiligen' Datenverarbeitungseinheit sowohl eine Arbeitskontrollstufe umfaßt, die prüft, ob die jeweilige Funktionsgruppe periodisch einen vorbestimmten Zustand durchläuft, als auch eine Programmkontrollstufe, und der bei Ausfall einer Funktionsgruppe und/oder bei Unterbrechung des Programmablaufes ein Fehlersignal erzeugt und, daß jede Datenverarbeitungseinheit eine Umschaltanordnung und eine Wiedereinschaltanordnung aufweist, die von dem Fehlersignal angesteuert werden.

009836/1774 _>/#

6At>

T. Nguyen Tat 3-2-4

Gemäß einer Weiterbildung der Erfindung ist die Wiedereinschaltanordnung so ausgebildet» daß sie nach Ansteuerung den Ablauf eines Wiedereinschaltprogrammes auslöst und überwacht, das alle Elemente der Datenverarbeitungseinheit in ihren Ausgangszustand bringt und dann das Arbeitsprogramm neu einliest, so daß die Datenverarbeitungseinheit bereits kurze Zeit nach einer temporären Störung wieder betriebsbereit ist. Bei diesem Datenverarbeitungssystem haben also Änderungen des Arbeitsprogrammes, die durch Ausfall einer Datenverarbeitungseinheit oder durch Unterbrechung des Programmablaufes auftreten können, keinen Einfluß auf die weitere Arbeit der Datenverarbeitungseinheit und damit auch keinen Einfluß auf die Zuverlässigkeit des Datenverarbeitungssystems.

Gemäß einer vorteilhaften Weiterbildung der Erfindung umfaßt die Wiedereinschaltanordnung einen Ausfallszähler« der bei jeder Ansteuerung der Wiedereinschaltanordnung um eine Einheit weiterzählt und der periodisch auf Null zurückgestellt wird, und eine Einrichtung, die bei einer bestimmten Stellung des Wählers die Arbeit der Datenverarbeitungseinheit unterferdoht und ein Warnsignal abgibt. Diese Anordnung zählt dis Ausfälle ier Datemrerurbeitungseinheit zwischen zwei Rückstellungen des Zählers und hält die Datenverarbeitungseinheit "&>.» falls die 3ahl der Ausfälle einen vorgegebenen arenawert erriicht.

Eine weitere Torteilhafte Portbildung der Erfindung ist dadurch gekennzeichnet, daß jede Umschaltanordnung ein Zustandsregister umfaßt« das wenigstens die Zustände "aktiv" und "Reserve" registrieren kann und entsprechende Signale abgibt und, daß mittels der durch das Zustandsregister in der Stellung "aktiv"abgegebenen Signale die Datenverarbeitungseinheit durch öffnen einer Torschaltung an ihren Ausgangs-

009836/1774 ./.

ßAD OBfGfNAu

T. Nguyen Tat 5-2-4

leitungen "aktiv" geschaltet wird. -

Gemäß einer bevorzugten Ausführungsform ist das Zustandsregister s.o ausgebildet, daß es über eine Verbindung sowohl in der Stellung "aktiv¹¹ als auch in der Stellung "Reserve" Signale abgibt, die die zugehörige Datenverarbeitungseinheit veranlassen, das normale Arbeitsprogramm auszuführen. Somit führen beide Datenverarbeitungseinheiten die gleichen Arbeitsschritte durch, und die Reserveeinheit kann ohne Unterbrechung des Betriebes die aktive Einheit ersetzen.

Gemäß einer weiteren, bevorzugten Ausführungsform umfaßt die Umschaltanordnung eine Stufe, die ein Ausgangssignal empfängt, das anzeigt, daß die andere Datenverarbeitungseinheit die aktive Einheit ist, und eine Erzeuger- und Schaltstufe, die bei Ausbleiben des Signales einen Impuls an das Zustandsregister abgibt, der dieses in die Stellung "aktiv" zwingt. Bei Ausfall der anderen Datenverarbeitungseinheit wird somit die betrachtete Datenverarbeitungseinheit aktiv geschaltet, falls sie in betriebsbereitem Zustand ist.

Gemäß einer anderen Ausführungsform umfaßt das Zustandsregister zusätzlich zu den Stellungen "aktiv" und "Reserve" mindestens eine Stellung "Wiedereinschaltung" und ist so geschaltet, daß es in dieser Stellung ein Signal erzeugt, das die' Rückstellung aller Elemente auf Null, die erneute Einspeicherung des Arbeitsprogrammes und dessen Aufnahme steuert, wodurch die betrachtete Datenverarbeitungseinheit wieder in betriebsbereiten Zustand gebracht wird. Die Umschaltanordnung soll eine von der Arbeitskontrollstufe und von der Programmkontrollstufe gesteuerte Ausfallsstufe umfassen, die im Falle eines Ausfalles ein Fehlersignal erzeugt, das die Übertragung des Signales "aktiv" unterbricht und das Zustandsregister in die Stellung"Wiedereinschaltung" zwingt.

009836/1774

T. Nguyen Tat· 3-2-4

Gemäß einer weiteren Fortgestaltung der Erfindung soll jede Datenverarbeitungseinheit eine Anordnung zur Umschaltung des Zustandregisters nach der Wiedereinschaltung von der Stellung "Wiedereinschaltung" in die Stellung^eserve¹* umfassen.

Es sind Einrichtungen vorgesehen, die das Zustandsregister nach der Wiedereinschaltung in die Stellung "aktiv" zwingen, falls die andere Datenverarbeitungseinheit in diesem Augenblick nicht aktiv ist.

Gemäß einer weiteren, vorteilhaften Ausgestaltung der Erfindung weist das Zustandsregister eine Stellung "Vorbereitung zur erneuten Inbetriebnahme" auf, in der es Signale erzeugt, die zusätzlich zum normalen Arbeitsablauf die Durchführung aller notwendigen Kontrollschritte zur Harmonisierung der Arbeit der beiden Datenverarbeitungseinheiten über einen Austauschspeicher verursacht und, eine Anordnung, die bewirkt, daß in einer Datenverarbeitungseinheit nach einem Ausfall und nach der Wiedereinschaltung das Zustandsregister zunächst in die Stellung "Vorbereitung zur erneuten Inbetriebnahme" gesetzt wird. und erst dann in die Stellung "Reserve" gesetzt wird, wenn die Datenverarbeitungs einheit wieder betriebsbereit ist.

In Figur 1 ist ein Blockdiagramm einer Anordnung einer Datenverarbeltungseinheit ENSl gezeigt, die im Arbeitsbereich äiier· Datenverarbeitungsanlage, die zur Erhöhung der Verläßlichkeit in :j>ppelter Ausführung aufgebaut ist, zum alternativen Betrieb mit einer identischen Datenverarbeitungseinheit ENS2 vorgesehen. Als Beispiel ist ein Fernschreibvermittlungssystem ausgewählt worden. Im Fernschreibbetrieb umfaßt die Datenverarbeitungseinheit ENSl in der

J50 Anordnung ETl eine Leitungsschaltung BL, eine Computer-

* fr

anordnung BC^ einen Ferritkernspeicher MF mit kurzer Zugriff-szeit und einen Großraumspeicher MT mit einer Magnettrommel TA.

H 009836/1774

BAD ORIGINAL

1355721

T. Nguyen Tat 3-2-4

Im folgenden wird allgemein die Arbeitsweise dieser Anordnung ITl beschrieben.

Die Leitungeschaltung BL tastet die ankommenden Leitungen REC ab ..Se erfaßt die elektrischen Telegraphlerzeichen auf diesen Leitungen und verarbeitet sie, um die zu tibertragenden alphanumerischen Zeichen wieder herzustellen, die sie zusammen mit einer Anzeige über ihre Herkunft, die für die Computeranordnung BC bestimmt ist, in dem Speicher MF speichert. Die Computeranordnung BC, die durch ein gespeichertes Programm gesteuert wird, erfaßt diese in dem Speicher MF gespeicherten alphanumerischen Zeichen und setzt sie zu Nachrichten zusammen« die sie "in den Oroßraumspeicher MP speichert. Sie analysiert weiterhin die Zeichen einer jeden Nachricht, leitet von diesen die verschiedenen Richtungen her, in welche die Nachricht zurüokübertragen werden muß und bereitet die RückÜbertragung vor. Wenn eine Nachricht zurüokUbertragen werden muß, holt die Computeranordnung BC sie ganz oder teilweise aus dem Speicher MT, um sie In dem Speicher MF zu speichern. Die Leitungsschaltung BL tastet auch die Leitungen EM für die abgehenden Zeichen ab und sucht aus dem Speicher MF die alphanumerischen Zeichen, die auf jeder Leitung übertragen werden müssen. Sie zerlegt diese alphanumerischen Zeichen in elementare Telegraphierzeichen, die über die Leitungen geschickt werden. Es ist jedoch <να beachten, daß jede Leitung EM eine Torschaltung pt aufweist und, daß die in der Leitungsschaltung BL erzeugten Zeichen nur dann zurüokübertragen werden, wenn diese Torschaltung durch ein Signal SLIO geöffnet ist. Ist dies nicht der Fall, so sind die in der Leituiigsschaltung BL erzeugten Zeichen unwirksam. Die übertragung wird dann durch die andere Datenverarbeitungseinheit ENS2 ausgeführt. Wie man sieht, sind die Leitungen tatsächlich mit den beiden Einheiten verbunden.

009836/1774 _BAD ORIGINAL

T. Nguyen 3-2-4

Andererseits kann die Computeranordnung BC der Datenverarbeitungseinheiten ENSl sowohl zu dem Austauschspeicher ME als auch zu der Computeranordnung der Datenverarbeitungseinheit ENS2 eine Zugriffsmöglichkeit haben. Dieser Speicher ermöglicht es den beiden Datenverarbeitungseinheiten, Information über ihren Zustand auszutauschen und insbesondere ihren Betrieb aufeinander abzustimmen, so daß sie praktisch gleichzeitig die gleiche Verarbeitungsoperation ausführen können.

Die verschiedenen Elemente der Anordnung ETl sind bekannt, und ihr Aufbau fällt nicht in den Schutzbereich der vorliegenden Erfindung. Sie werden deswegen nicht weiter im Detail beschrieben.

Alle Einrichtungen zur Fehlanzeige, zur Zustandskontrolle und zur Setriebsumschaltung, die zu der Datenverarbeitungs« einheit ENSi gafccren.» sind in der Umschaltanordnung DBl susair£:engsf-a.it * Disss ^schaltanordnung unifaßt einen Κ-άΆ-krai;;! QQ₉ ein Zustandsregisfcer RE und eine Umschait-

Der 7li:sd::j-j-±Si ;15 ä^öiangc von. der LeituKgssch&rcung BL psrisuisüiüs Signale JuM. Diese Signale neigen ss# daS £!■■£ Leiii^ssoeidSl^iing BL arbeitet. Jedes diessr Signale «l^-'J ^:2M Βίΐ-Ζ^ζΐ ;n »in«r Seit erzeugt, in eier die Lsit^ngssotealiJüÄ 21: S^S; Z&iv,-;.;iis&*ttpi.'3 abtastet, Der Kfcüks-el« üj eEpfKiig-j samki vo-i der Ccmputerarii-rdnung BC poi^odisciiä Signals SIi, Dier-5- Signale zeigen an, iaß die iJonipateranordniaig BC arbeitet» und jedes dieser Signale wird z.3« anläßlich jeder Datenverarbeitungsoperation erzeugt. Der Meßkreis CC kann weiterhin ein Dauersignal PFR empfangen, wenn bestimmte Messungen, die durch die Computeranordnung BC bewirkt werden, anzeigen, daß das Datenverarbeitungsprogramrn nicht mehr normal fortschreitet und vorzugsweise dann, wenn

00 9 8 36/1774 ·^/;

195572

T. Nguyen Tat 3-2-4

Messungen ergeben, daß das Programm nicht mehr vollständig weiterläuft (z.B., wenn es in einer Schleife hängenbleibt).

Der Meßkreis CC umfaßt einfache Anordnungen (z.B. Zeitkreise und Koinzidenzschaltungen), die das Eintreffen der periodischen Signale FAM und SIl und das Ausbleiben des Signales PPR erfassen. In diesem Falle erzeugen diese Einrichtungen ein Signal FOT (fehlerfreier Betrieb). Falls dagegen eines der Signale FAM oder SIl ausbleiben sollte, oder falls das Signal FPR erzeugt wird, unterdrücken diese Einrichtungen das Signal FOT und liefern ein Signal FOT.

Das Zustandsregister RE kann vier verschiedene Zustände registrieren und entsprechende Zustandesignale liefern: LIG (aktiv), RES (Reserve), MAJ (Vorbereitung zur erneuten Inbetriebnahme) und REM (erneute Inbetriebnahme). Der Durchschnittsfachmann* kann ein solches Sonderregister leicht,z.B. unter Zuhilfenahme zweier bistabiler Kippstufen mit geeigneten Eingangs- und Ausgangsschaltstufen realisieren. Das Register RE kann auf Grund eines Befehls von der Computeranordnung BC über die Verbindung FRE in einen beliebigen Zustand gesetzt werden. Die Computeranordnung BC kann zu einem beliebigen Zeitpunkt den von dem Register RE eingenommenen Zustand über die Verbindung LRE feststellen.

Die Umschalt-Torschaltung PB hat die Aufgabe, anzuzeigen, ob die Datenverarbeitungseinheit ENSl aktive Einheit ist oder nicht. Wenn die Datenverarbeitungseinheit ENSl nicht aktive Einheit ist, liefert sie ein Signal SLIG .. Wenn sie aktive Einheit ist, unterdrückt sie dieses Signal. Die Computeranordnung BC kann das Signal SLIG über die Verbindung LRE lesen.

009836/1774

T. Nguyen Tat 3-2-4

Es wird jetzt der Pail betrachtet, daß die Datenverarbeitungs· einheit ENSl die aktive Einheit ist und, daß folglich die Datenverarbeitungseinheit ENS2 nichtjaktive Einheit, d.h. Reserveeinheit ist. In der Datenverarbeitungseinheit ENS2 wird ein Signal SLIG erzeugt und zu der Datenverarbeitungseinheit ENSl übertragen, in der es zum Referenzsignal ADC wird. In der Datenverarbeitungseinheit ENSl zeigt das Register RE den Zustand "aktiv" an und liefert das Signal LIO.

^ 10 Die Leitungsschaltung BL und die Computeranordnung BC arbeiten normal und liefern die periodischen Signale PAM und SIl, während das Signal PPR fehlt. Auf Grund dieser Tatsache liefert der Meßkreis CC das Signal POT .

Somit empfängt die Torschaltung PB tatsächlich die Signale ADC, POT und LIG. Diese Torschaltung^ die eine negierte UND-Schaltung ist, öffnet und unterdrückt das Signal SLIG. Damit ist die Tatsache festgehalten, daß die Datenverarbeitungseinheit ENSl die aktive Einheit ist. Die Computeranordnung BCwird davon durch die VerbindungLRE informiert. Sie führt folglich das normale Betriebsprogramm

durch. Die Datenverarbeitungseinheit ENS2 wird davon durch f die Abwesenheit ihres eigenen Signales ADC informiert, d.h. durch das Signal SLIG der Datenverarbeitungseinheit ENSl. In der Datenverarbeitungseinheit ENS2 wird deshalb eine identische Torschaltung PB geschlossen und liefert somit das Signal SLIG, das bei seiner Eingabe in die Daten^erarbeitungseinheit ENSl zu ADC wird. Diese einfache Schaltung bewirkt, daß, falls die Datenverarbeitungselnheit ENSl aktive Einheit ist, die Datenverarbeitungseinheit ENS2 nicht gleichzeitig aktive Einheit sein kann, und umgekehrt.

009836/1774

BAD ORfGfNAL

T. Nguyen Tat 3-2-4

Weiterhin steuert in der Datenverarbeitungseinheit ENSl das Signal SLZO die Inverterstufe IN, die bei Abwesenheit des Signales SLIG ein Signal SLIG liefert. Dieses Signal öffnet die Torschaltung pt und erlaubt die Übertragung der Telegraphitzeichen, die in der Leitungsschaltung BL erzeugt werden, auf der Leitung EM,

In symmetrischer Weise werden in der Datenverarbeitungseinheit ENS2 die mit der Torschaltung pt identischen Torschaltungen bei Abwesenheit eines Signales SLIG gesperrt. Obwohl beide Datenverarbeitungseinheiten arbeiten, die Nachrichten empfangen und sie verarbeiten, übertragt lediglich dio Datenverarbeitungseinheit ENSl die Nachrichten auf der übertragungsleitung EM.

Falls ganz allgemein sich ein Fehlverhalten in der Leitungsschaltung BL zeigt, so kann das zweierlei Konsequenzen haben: Die Leitungsashaltung BL stellt ihren Betrieb ein oder sie arbeitet fehlerhaft weiter. Im ersten Fall is*· es offensichtlich, daß ßle Datsnverarbeitimgssinheit ENSl nicht weiterhin den Betrieb sicherstellen kann. Dies ist äer Grund, weshalb die Messung iursh die Signals FAM vorgesehen ist; das Fehlen dieses Signales wi?d dursh den Meßkreis GC isr Umschalt anordnung BEI* Im sweiten Fall wird die tob der· Leitungsschaltung EL in üsn SpeiöM-j» MF gespeicherte Information,, dia fife* die C-ois^uteranordnung EC bestimmt 1st·, entsprechend der BedeutiSKg i^u dsi* Dauer ßes Fefelverhsütans mehr oder väoniger bedeutsMer· und |Äil2*eie1ie Fehler und ItrtÜEer enthalten. Da die Computeranordnuas BC diese Naohri-2h'cen verarbeite i-^ blsibt es dieser Anordnung überlassen, die Fehler absuseliätzsn - und dies rechtfertigt ^es* daß keine weitere Koxs-trolle des Betriebes in der Leitungsschaltung BL vorgesehen ist.

009836/1774

BAD ORIGINAL

1 9 5 ζ ⁷ ^ 1

T. Nguyen Tat 3-2-4 ' ^

Palls sioh ein Pehlverhalten in der Computeranordnung BC zeigt, sind wiederum zwei Konsequenzen zu erwarten: Die Computeranordnung BC stellt ihren Betrieb ein oder sie arbeitet weiter, jedoch in fehlerhafter Art. Im ersten Pali ist es offensichtlich, daß die Datenverarbeitungseinheit ENSl den Betrieb nicht länger sicherstellen kann. Aus diesem Grunde ist eine Kontrolle durch die Signale SIl vorgesehen, deren Abwesenheit durch den Meßkreis der Umschaltanordnung DBl festgestellt wird. Im zweiten Fall wird die Verarbeitung der Nachrichten fehlerhaft sein, die auftretenden Fehler tk werden jedoch entsprechend der Bedeutung oder der Dauer des Fehlverhaltens mehr oder weniger schwerwiegend oder zahlreich auftreten und von größerer oder kleinerer Bedeutung sein. Es ist ganz offensichtlich, daß zu diesem zweiten Fall die durch die Leitungsschaltung BL eingeführten Fehler hinzuaddiert werden, wenn die letztere ein Opfer eines Fehlverhaltens ist, und auch diese Fehler können eine fehlerhafte Verarbeitung verursachen.

Nioht alle Verarbeitungsfehler sind durch ein Fehlverhalten der betrachteten Einheit gekennzeichnet. In der Tat beeinflussen zahlreiche Fehler lediglich eines oder mehrere Telegraphiezeichen, oft inmitten einer Nachricht. w Andere Fehler beeinflussen lediglich die Steuerung der Nachrichten dur.ch die Vermittlungsstelle. Sie können dank einer adequaten Betriebsart leicht durch die Empfänger der Nachrichten ausgeglichen werden. Gewisse andere Fehler dagegen stören den Fortschritt der Verarbeitung aller Nachrichten, oder sie stören ernsthaft das Programm und verursachen insbesondere eine Unterbrechung der Verarbeitung; falls die zuletzt genannte Situation eintritt, wird der Betrieb auf die andere Datenverarbeitungseinheit umgeschaltet .

009836/1774

BAD ORIGINAL

T. Nguyen Tat 3-2-

Es ist ganz allgemein möglich, die Fehler in zwei Klassen einzuteilen: In diejenigen, die lediglich die Qualität und die Verläßlichkeit der Verarbeitung beeinflussen, und in diejenigen, die den Betrieb unterbrechen. Die erstgenannten Fehler erfordern keine besonderen Maßnahmen. Es ist lediglich notwendig, sicherzustellen, daß die Qualität der Verarbeitung zufriedenstellend verbleibt, und dies wird durch Mittel ausgeführt, die nicht zum Schutzbereich der vorliegenden Erfindung gehören. Die anderen Fehler können lediglich durch die Folgen bei der Verarbeitung des Programmes identifiziert werden, d.h. durch das Programm selber. Aus diesem Gründe sind in dem Programm begrenzte Testfolgen und eine Fehlanzeigeschaltung pro Programm in der Coraputeranordnung BC vorgesehen, die das Signal FPR lesen.

Bei einem Fehlverhalten arbeitet folglich der Meßkreis CC, beseitigt das Signal FOT und liefert an dessen Stelle das Signal FOT.

Unmittelbar nach Beseitigung dieses Signales FOT schließt die Torschaltung PB und liefert das Signal SLIG, d.h. ADC, in der Datenverarbeitungseinheit ENS2. Falls diese in betriebsbereitem Zustande ist, übernimmt sie den Verarbeitungsbetrieb und wird damit aktive Einheit.- Gleichzeitig beseitigt die Inverterstufe IN das Signal SLIG und schließt die Torschaltung pt der abgehenden Leitungen. Die entsprechenden Torschaltungen in der Datenverarbeitungseinheit ENS2 werden geöffnet, und diese übernimmt praktisch ohne jede Unterbrechung die Übertragung anstelle der Datenverarbeitungseinheit ENSl.

Das Signal FOT wird an das Zustandsregister RE übertragen und veranlaßt dieses, aus der Stellung"aktiv" in die Stellung ¹¹REM" umzuschalten. Gleichzeitig wird das Signal FOT über die Leitung BRM zu der Computeranordnung BC übertragen.

009836/1774

T. Nguyen Tat 3-2-4

Nach einer bekannten Methode unterbricht das über die Leitung BRM übertragene Signal den normalen Programmablauf und löst im Moment der Unterbrechung die Durchführung - eines besonderen Programmes aus.

Dieses Programm entspricht einer erneuten Inbetriebnahme (re-start) und ist in Figur 2 durch ein Flußdiagramm dargestellt. Jedes Rechteck entspricht einer Funktion. Zunächst führt die aktive Datenverarbeitungseinheit das Programm aus, das durch das Rechteck ELIG dargestellt ist. Die durch das auf der Leitung BRM übertragene Signal FOT gesteuerte Unterbrechung ist durch das Rechteck IF dargestellt. Danach umfaßt das Programm zur erneuten Inbetriebnahme die folgenden Funktionen:

-RZ : allgemeine Rückstellung auf Null aller Stufen der Leitungsschaltungen BL und der Computeranordnung BC;

-CR : Erhöhung des Inhalts des Fehlerzählers um eine Einheit; dieser Zähler wird periodisch auf Null zurückgesetzt;

-CT : Abfrage des Inhalts dieses Fehlerzählers; falls der Inhalt des FehlerzShlers größer als N ist, wird eine völlige Blockierung befohlen, und die Datenverarbeitungseinheit ENSl stellt ihren Betrieb vollständig ein; falls dies nicht der Fall ist* wird das Programm zur erneuten Inbetriebnahme fortgesetzt;

-ICHP : Aufnahme des Ladeprogrammes; das gleiche Betriebs»- programm ist in der Trommel TA eingespeichert und wird eingelesen, um anstelle des vorhergehenden Programmes, das geändert sein könnte, * in den Speicher MF eingespeichert zu werden;

009836/1774

ORIGINAL

T. Nguyen Tat 3-2-4

-PI: Ende der Unterbrechung;

-CHP: Programmeinspeicherung durch übertragung MT-MP;

-TAE: Lesen des Zustandes der anderen Datenverarbeitungseinheit in dem Austauschspeicher ME;

-ELIG: Falls die andere Datenverarbeitungseinheit nicht aktiv ist, unmittelbare Betriebsübernahme, in-dem das Zustandsregister RE über die Verbindung PRE in den Zustand LIG gezwungen wird;

-ERES: Falls die andere Datenverarbeitungseinheit aktiv ist, übergang in den Zustand als Reserveeinheit,

in dem das Zustandsregister RE In die Stellung RES gezwungen wird.

Wenn das Zustandsregister RE in der Stellung RES steht, wird die Coraputeranordnung BC davon über die Verbindung LRE informiert und führt fc'.-'M.ish das normale Arbeitsprogramm aus. Wie jedoch oben erwähnt wurde, bleibt die Torschaltung pt geschlossen· und die Datenverarbeitungseinheit ENSl überträgt keine Nachrichten.

Man sieht deshalb, daß bei Auftreten eines Fehlverhaltens die aktive Datenverarbeitungseinheit in einen Zustand zur erneuten Betriebsaufnahme Übergeht, bei dem alle diese Stufen wieder auf Null (oder in Ruhezustand) gestellt werden; darauf wird ein "neues" Programm in den Speicher eingespeichert Eine solche Arbeitsweise ermöglicht die Wiederaufnahme des Betriebes als aktitoe oder als Reserveeinheit, ohne daß auf Grund des Fehlverhaltens, das die Umschaltung hervorgerufen hat, irgendwelche möglichen Nachteile eintreten. Die Datenverarbeitungseinheit hat ihren Betrieb während einer¹ relativ kürzen Zeitdauer eingestellt. Falls sie jjO unmittelbar danach wieder aktive Einheit wird, da die andere Datenverarbeitungseinheit nicht aktiv ist, wird der Betrieb nur geringfügig gestört.

0098 3 6/1774

BAD ORIGINAL

T. Nguyen Tat 5-2-4

Palls andererseits die normalen Zustände wieder hergestellt sind, liefert der Meßkreis CC nicht mehr das Signal POT, sondern stellt das Signal POT wieder her.

Es wird jetzt der Fall betrachtet, daß die Datenverarbeitungseinheit ENSl Reserveeinheit ist und daß in der Datenverarbeitungseinheit ENS2, die aktive Einheit ist, ein Fehler auftritt. Dies hat in der Datenverarbeitungseinheit ENSl die Erzeugung des Signales ADC zur Folge. Die Vorderflanke des Signals steuert eine Pulserzeugerstufe GI an, die ein Signal AMAC erzeugt, das über die Leitung BRF zu der Computeranordnung BC übertragen wird.

Dieses Signal verursacht in der gleichen Weise wie das auf der Leitung BRM übertragene Signal eine Unterbrechung des Programmablaufes und die Durchführung eines Unterprogrammes zur Information der Anordnung ETl, daß sie aktive Einheit werden soll.

Falls die Datenverarbeitungseinheit ENSl Reserveeinheit ist, ist weiterhin die Torschaltung pts geöffnet, und das Signal AMAC wird zu dem Zustandsregister RE übertragen, das dadurch gezwungen wird, aus der Stellung RES in die Stellung LIG umzuschalten. Auf Grund dieser Tatsache öffnet die Torschaltung PB, welche die Signale ADC, FOT und LIG empfängt, und unterdrückt.das Signal SLIG. Das Signal SLIG wird von der Inverterstufe IN geliefert. Die Datenverarbeitungseinheit ENSl wird wieder zur aktiven Einheit gemacht.

Es muss noch der Zustand MAJ des Registers RE betrachtet werden. Er ist in den vorangehenden Beschreibungen nicht eingeschlossen, er kann aber gemäß einer bevorzugten Ausführungsform der Erfindung als Zwischenzustand zwischen den Zuständen REM und RES eintreten, und zwar in einem Moment, in dem eine Datenverarbeitungseinheit nach einem Fehlverhalten

009836/1774

8AD ORIGINAL

T. Nguyen Tat 5-2-4

wieder in den Betriebszustand gesetzt wird. Die Datenverarbeitungseinheit geht dann automatisch nach Durchführung des Programmes TAE (Figur 2) in den Zustand MAJ über. In diesem Zustand führt sie zusätzlich zu dem Betriebsprogramm gewisse Kontrollen aus, die es ermöglichen, genauer festzustellen, ob der Betrieb normal und in Übereinstimmung mit dem Betrieb der anderen Datenverarbeitungseinheit verläuft. Wenn diese Kontrollen positiv ausfallen, verursacht die Computeranordnung BC die Umstellung des Zustandsregisters RE in die Stellung RES und die Datenverarbeitungseinheit wird wieder, wie oben beschrieben, Reserveeinheit.

Die Erfindung ist nicht auf das oben beschriebene Ausführungsbeispiel beschränkt.

I Bl. Zeiohng., 2 Fig.

II Patentansprüche

009836/1774

BAD ORIGINAL

Claims

T. Nguyen Tat 5-2-4

Patentansprüche

Datenverarbeitungssystem mit zwei Datenverarbeitungseinheiten, die jede für sich den Betrieb des Datenverarbeitungssystems sicherstellen können, dadurch gekennzeichnet, daß jede Datenverarbeitungseinheit (ENSl, ENS2) einen Meßkreis (CC) aufweist, der für jede Punktionsgruppe der jeweiligen Datenverarbeitungseinheit (ENSl, ENS2) sowohl eine Arbeitskontrollstufe umfaßt, die prüft, ob die jeweilige Punktionsgruppe periodisch einen vorbestimmten Zustand (PAM, SIl) durchläuft, als auch eine Prograramkontrollstufe, und der bei Ausfall einer Funktionsgruppe und/oder bei Unterbrechung des Programmablaufes ein Fehlersignal (FOT) erzeugt und, daß jede Datenverarbeitungseinheit (ENSl, ENS2) eine Umschaltanordnung (DBl, PB) und eine Wiedereinschaltanordnung (BRM) aufweist, die von dem Fehlersignal (FOT) angesteuert werden.

Datenverarbeitungssystem nach Anspruch 1, dadurch gekennzeichnet, daß die Wiedereinschaltanordnung (BRM) so ausgebildet ist, daß sie nach Ansteuerung den Ablauf eines Wiedereinschaltprogrammes auslöst und überwacht, das alle Elemente der Datenverarbeitungseinheit (ENSl, ENS2) in ihren Ausgangszustand bringt und dann das Arbeltsprogramm neu einliest, so daß die Datenverarbeitungseinheit (ENSI, ENS2) bereits kurze Zeit nach einer temporären Störung wieder betriebsbereit ist.

Datenverarbeitungssystem nach Anspruch 1, dadurch gekennzeichnet, daß die Wiedereinschaltanordnung (BRM) einen Ausfallszähler umfaßt, der bei jeder Ansteuerung der Wiedeneinschaltanordnung (BRM) um eine Einheit weiterzählt

5. November 1969 Q09836/1774

BAD ORIGINAL

T. Nguyen Tat 3-2-4

und der periodisch auf Null zurückgestellt wird, und eine Einrichtung, die bei einer bestimmten Stellung des Zählers die Arbeit der Datenverarbeitungseinheit (ENSl/ ENS2) unterbricht und ein Warnsignal (BQ) abgibt.

Datenverarbeitungssystem nach den Ansprüchen 1 bis J5, dadurch gekennzeichnet, daß jede Umschaltanordnung (DBl, PB) ein Zustandsregister (RE) umfaßt, das wenigstens die Zustande "aktiv" und "Reserve" registrieren kann und entsprechende Signale (LIG, RES) abgibt und, daß mittels der durch das Zustandsregister (RE) in der Stellung "aktiv" abgegebenen Signale (LIQ, SLIß, SLIG) die Datenverarbeitungseinheit (ENSl, ENS2) durch öffnen einer Torschaltung (pt) an ihren Ausgangsleitungen "aktiv" geschaltet wird.

Datenverarbeitungssystem nach Anspruch 4, dadurch gekennzeichnet, daß das Zustanasregie-*er (RE) über eine Verbindung (LRE) sowohl in der Stellung "afc**iv^!t als auch in der Stellung "Reserve" Signale (LIG, RES) abgibt, die die zugehörige Datenverarbeitungseinhsit (ENSl, SNS2) veranlassen, das normale Arbeitsprogramm auszuführen.

Datenverarbeitungssystem nach den Ansprüchen 1 bis 5, dadurch gekennzeichnet, daß die Umschaltanordnung (DBl) eine Stufe (PB) umfaßt, die ein Ausgangssignal (SLIG, ADC) empfängt, das anzeigt, daß die andere Datenverarbeitungseinheit (ENSl, ENS2) die aktive Einheit ist, und eine Erzeuger- und Schaltstufe (GI, pts), die bei Ausbleiben des Signales (SLlG, ADC) einen Impuls (AMAC) an das Zustandsregister (RE) abgibt, der dieses in die Stellung "aktiv" zwingt.

009836/1774

T. Nguyen Tat 3-2-4

7. Datenverarbeitungssystem nach den Ansprüchen 3 bis 6, dadurch gekennzeichnet, daß das Zustandsregister (RE) zusätzlich zu den Stellungen "aktiv" und "Reserve" mindestens eine Stellung "Wiedereinschaltung" aufweist und so geschaltet ist, daß es in dieser Stellung ein Signal (REM) erzeugt, das die Rückstellung aller Elemente auf Null, die erneute Einspeicherung des Arbeitsprogrammes und dessen Aufnahme steuert, wodurch die betrachtete Datenverarbeitungseinheit (ENSl, ENS2) wieder in betriebsbereiten Zustand gebracht wird.

8. Datenverarbeitungssystera nach den Ansprüchen 1 bis 7, dadurch gekennzeichnet, daß die Umsehaltanordnung (DBl) eine von der Arbeitskontrollstufe und von der Programmkontrollstufe kontrollierte Ausfallstufe umfaßt, die im Falle eines- Ausfalles ein Fehlersignal (FOT) erzeugt, das die Übertragung des Signals "aktiv" (LIO) unterbricht und das Zustandsregister (RE) in die Stellung "Wiedereinschaltung" (REM) bringt.

9. Datenverarbeitungssystem nach den Ansprüchen 1 bis 8, dadurch gekennzeichnet, daß in jeder Datenverarbeitungseinheit (ENSl, ENS2) Anordnungen zur Umschaltung des Zustandsregisters (RE) nach der Wiedereinschaltung von der Stellung "Wiedereinschaltung" (REM) in die Stellung "Reserve" (RES) vorgesehen sind,

10. Datenverarbeitungssystem nach den Ansprüchen 7 und 8, dadurch gekennzeichnet, daß Einrichtungen vorgesehen sind, die das Zustandsregister (RE) nach der Wiedereinschaltung in die Stellung "aktiv" (LIG) zwingen, falls die andere Datenverarbeitungseinheit (ENSl, ENS2) in diesem Augenblick nicht "aktiv" ist.

009836/1774

BAD ORIGINAL

T. Nguyen Tat 5-2-

11. Datenverarbeitungssystem nach den Ansprüchen 3 bis 9, dadurch gekennzeichnet, daß das Zustandsregister (RE) eine Stellung "Vorbereitung zur erneuten Inbetriebnahme" aufweist, in der es Signale (MAJ) erzeugt, die zusätzlich zum normalen Arbeltsprogramm die Durchführung aller notwendigen Kontrollschritte zur Harmonisierung der Arbeit der beiden Datenverarbeitungseinheiten (ENSl, ENS2) über einen Austauschspeicher (ME) verursaoht und,daß eine Anordnung (BC, PRE) vorgesehen ist, die bewirkt, daß in einer Datenverarbeitungseinheit (ENSl, ENS2) nach einem Ausfall und nach der Wiedereinschaltung das Zustandsregister (RE) zunächst in die Stellung "Vorbereitung zur erneuten Inbetriebnahme" gesetzt wird und erst dann in die Stellung "Reserve" gesetzt wird, wenn die Datenverarbeitungseinheit (ENSl, ENS2) wieder betriebsbereit ist.

009836/1774

Leerseite