DE2725922C2

DE2725922C2 - Mehrrechnersystem zur Steuerung von trassengebundenen Verkehrsmitteln

Info

Publication number: DE2725922C2
Application number: DE19772725922
Authority: DE
Inventors: Heiner H. Dipl.-Ing. 7141 Schwieberdingen Mayer
Original assignee: Standard Elektrik Lorenz AG
Current assignee: Alcatel Lucent Deutschland AG
Priority date: 1977-06-08
Filing date: 1977-06-08
Publication date: 1984-08-23
Also published as: DE2725922B1

Description

Die Erfindung betrifft ein Mehrrechnersystem hoher Sicherheit gemäß Oberbegriff des Anspruches 1.

Ein solches Mehrrechnersystem ist in der älteren Anmeldung gemäß DE-AS 27 Öl 924 vorgeschlagen worden.

Aber auch bei dem so entstehenden sicheren und betriebszuverlässigen Rechnersystem sind Einflüsse denkbar, die mit einer gewissen Wahrscheinlichkeit zu Fehlern in der Informationsverarbeitung führen können. So läßt sich beispielsweise der Einfluß starker induktiver Einstreuungen auf die Rechner, wie sie durch Blitzeinschlag oder eine abrupte Unterbrechung des Fahrstromes eines Zuges hervorgerufen werden können, nicht immer ganz unterbinden, wenn man nicht eine extrem niedrige Verarbeitungsgeschwindigkeit in Kauf nehmen möchte. Da alle Rechner gleichzeitig dasselbe Programm abarbeiten, tritt ein solcher Fehler bei allen Rechnern an der selben Stelle des Programms auf und kann später durch Vergleich nicht erkannt werden.

Eine Möglichkeit, auch solche Störungen zu erkennen, besteht darin (siehe z. B. »IEEE Transactions on Reliability«, ]uni 1964, Seiten 54 und 55), alle Rechenvörgänge zu wiederholen und die abgespeicherten Ergebnisse zu vergleichen. Dieser Einbau von Zeitredundanz erfordert jedoch, abhängig von der Zahl der vorgesehenen Wiederholungen, ein Mehrfaches an Rechenzeit.

Schließlich ist es aus der LU-PS 75 934 für ein mit einer gemeinsamen Taktstromversorgung und synchron arbeitenden Rechnern ausgestattetes Zwei-Rechner-System, bei dem nach jedem Taktschritt ein Vergleich sämtlicher Ausgänge durchgeführt und erst bei Übereinstimmung der nächste Taktschritt ausgelöst wird, bekannt, die Steuertakte für die beiden Rechner zeitlich gegeneinander versetzt auszugeben. Zum Vergleich müssen beide Rechner dann aufeinander warten. Da diese Wartezeit nach jedem Verarbeitungsschritt auftritt, erhöht sich die Rechenzeit erheblich.

Aufgabe der Erfindung ist es, bei einem Mehrrechnersystem der eingangs genannten Art gleichzeitig eintretende Störungen durch Sicherstellung der asynchronen Arbeitsweise der Einzelrechner zu erkennen, ohne die Rechenzeit wesentlich zu erhöhen.

Diese Aufgabe wird nach der Erfindung auf die im Anspruch 1 angegebene Weise gelöst. Die Merkmale, die sich auf die Synchronisation der Rechner zum Vergleich der Ergebnisse und von deren Ausgabe beziehen, sind bereits aus der DE-AS 12 69 827 und der DE-OS 24 15 307 für sich bekannt.

Weiterbildungen des Mehrrechnersystems nach der

Erfindung sind in den Unteransprüchen angegebea

Die Einzelrechner arbeiten also zeitlich versetzt und voneinander unabhängig. Sie werden nur zum Vergleich der Ergebnisse kurzzeitig synchronisiert Die o. g. Fehlerursachen, z. B. starke Einstreuungen, treffen damit die Einzelrechner an verschiedenen Stellen des Programms an. Dadurch entstehen in den Einzelrechnern unterschiedliche Fehler, die beim Vergleich der Ergebnisse bemerkt werden und, im Falle der Verwendung von drei oder mehr Rechnern, mittels eines Mehrheitsentscheides unterdrückt werden können.

Durch die im Anspruch 2 angegebene Weiterbildung wird es möglich, nicht erst am Ende eines Programms, sondern auch während des Programms mehrfach auf Verarbeiningsfehler zu prüfen. Es wird so die Wahrscheinlichkeit zufälliger Doppelfehler, die mit der Vergrößerung der Abstände zwischen den einzelnen Vergleichszeitpunkten wächst, niedrig gehalten.

Durch die in den Ansprüchen 4 bis 6 angegebenen Weiterbildungen wird erreicht, daß der Vergleich und der Mehrheitsentscheid im normalen Betrieb zwischen den Ergebnissen aller Rechner, bei Ausfall eines Rechners oder einer Minderheit der Rechner jedoch auch nur zwischen den Ergebnissen einer Mehrheit der Rechner vorgenommen werden kann.

Anhand einer Figur soll nun ein Ausführungsbeispiel des Mehrrechnersystems nach der Erfindung ausführlich beschrieben werden.

Die Figur zeigt ein Mehrrechnersystem mit drei Rechnern R\,R2 und R3. Jedem Rechner ist ein Taktgeber 7*1, T2, 7*3 zugeordnet Ein Startsignal, welches über einen Eingang E und ein Oder-Glied OG 2 zum Rechner R 1 gelangt, veranlaßt diesen, mit der Abarbeitung seines Programms zu beginnen. Gleichzeitig wird das Startsignal in eine erste Verzögerungsschaltung V1 gegeben, in der es um eine gewisse Zeitspanne verzögert wird. Vom Ausgang der Verzögerungsschaltung V1 gelangt das Startsignal dann zum Rechner R 2 und über eine zweite Verzögerungsschaltung V2 schließlich auch zum Rechner R 3.

Damit starten alle drei Rechner zu verschiedenen Zeiten mit der Abarbeitung ihrer Programme. Ist ein bestimmter Programmabschnitt gerechnet, so gibt jeder Rechner sein Ergebnis auf ein Ausgaberegister DA 1, DA 2, DA 3. Zugleich wird von jedem Rechner ein Ab-Schlußsignal ausgegeben, welches eine Vergleichs- und Durchschalteeinrichtung VD dazu veranlassen soll, einen Vergleich der Ergebnisse in den Ausgaberegistern vorzunehmen. Diese Ergebnisse dürfen jedoch erst dann zur Vergleichs- und Durchschalteeinrichtung gelangen, wenn die Mehrheit der Rechner, in diesem Fall 2 von 3 Rechnern, zu einem Ergebnis gelangt sind. Dies wird durch 3 Und-Glieder UG 1, UG 2, UG 3 er.-eicbt, deren Eingänge an die Abschlußsignalausgänge jeweils zweier Rechner angeschlossen sind.

Die Ausgänge der Und-Glieder sind durch ein Oder-Glied OG 1 zusammengefaßt und über eine zusätzliche Verzögerungsschaltung V3 mit der Vergleichs- und Abschlußsignale von zwei Rechnern vor, so gibt das Und-Glied, dessen Eingänge mit diesen beiden Rechnern verbunden sind, ein Signal über das Oder-Glied OG1 an die Verzögerungsschaltung V3 aus. Dort wird das Signal so lange verzögert, daß in der Zwischenzeit auch der dritte Rechner zu eiüem Ergebnis gelangt ist. Der Vergleich kann also zwischen den Ergebnissen aller drei Rechner durchgeführt herden. Nur wenn einer der Rechner ausgefallen ist, erfolgt der Vergleich nach Ablauf der Verzögerungsz«-it zwischen zwei Ergebnissen.

Würde die Vergleichs- und Durchschalteemrichtung über ein einfaches Und-Güed mit den Rechnerausgängen verbunden, was bedeuten würde, daß mit dem Vergleich zwingend so lange gewartet werden müßte, bis alle drei Ergebnisse vorlägen, so könnte das System bei Ausfall eines der Rechner nicht mehr weiterarbeiten. Nach Beendigung des Vergleichs erfolgt die Ausgabe eines erneuten Startimpulses durch die Vergleichs- und Durchschalteeinrichtung an das Oder-Glied OG 2. Damit wird die Abarbeitung des nächsten Programmabschnittes eingeleitet Ist das gesamte Programm abgearbeitet so teilen die Rechner dies der Vergleichs- und Durchschalteeinrichtung über eine nicht dargestellte Datenleitung mit Die Vergleichs- und Durchschalteeinrichtung gibt dann keinen neuen Startimpuls mehr aus, sondern schaltet eines der Ergebnisse auf eine abgehende Datenleitung D durch. Soll die Vergleichs- und Durchschalteeinrichtung zusätzlich einen Mehrheitsentscheid durchführen, so müssen zwischen ihr und allen drei Rechnern in der Figur nicht dargestellte Verbindungen bestehen, über die die Vergleichs- und Durchschalteeinrichtung, wenn sie ein Abweichen des Ergebnisses eines Rechners von den Ergebnissen der anderen beiden Rechner feststellt diesen Rechner auffordern kann, das Ergebnis eines anderen Rechners zu übernehmen und dem weiteren Rechengang zugrundezulegen.

Bezugszeichenliste	Hierzu	Rechner
Ri,R2,R3		Taktgeber
Ti, Γ2, T3	Eingang
E	Oder-Glied
OG\,OG2	Verzögerungsschaltungen
Vl, V2, V3	Ausgaberegister
DA 1, DA 2, D3	Vergleichs- und
VD	Durchschalteeinrichtung
	Und-Glied
UGi, UG 2, UG 3	Datenleitung
D	1 Blatt Zeichnungen

Claims

Patentansprüche:

1. Mehrrechnersystem hoher Sicherheit für die Steuerung von trassengebundenen Verkehrsmitteln, in dem jedem Rechner ein unabhängiger Taktgeber zugeordnet und jeder Rechner zur Abgabe eines Abschlußsignals nach Erreichen eines Ergebnisses eingerichtet ist, alle η Rechner die gleichen Informationen asynchron erarbeiten und die erarbeiteten Informationen zur Prüfung auf Verarbeilungsfehlsr erst am Ende eines Rechenzyklus miteinander verglichen werden, wenn alle Rechner oder eine Mehrheit der Rechner zu einem Ergebnis gelangt sind, gekennzeichnet durch n— 1 Verzögerungsschaltungen (V 1, V 2), über die ein gegebenes Startsignal den einzelnen Rechnern (RX, Rl, R3) zur Sicherstellung der asynchronen Arbeitsweise zeitlich versetzt zugeleitet wird.

2. Mehrrechnersystem nach Anspruch 1, dadurch gekennzeichnet, daß zum Vergleich der Ergebnisse der Einzelrechner (R I, R 2, R 3) und zur Durchschaltung dieser Ergebnisse auf eine Datenleitung (D) oder mehrere Datenleitungen eine Vergleichsund Durchschalteeinrichtung (VD) vorhanden, ist, daß von den Rechnern (R I, R 2, R 3) abzuarbeitende Programme in kurze Programmabschnitte mit jeweils mehreren Programmschritten aufgeteilt sind und daß die Vergleichs- und Durchschalteeinrichtung (VD) an die Rechner (R 1, R 2, R 3) ein Startsignal zur Abarbeitung des jeweils folgenden Programmabschnittes ausgibt, sobald der Vergleich der Ergebnisse des vorausgegangenen Programmabschnittes abgeschlossen ist.

3. Mehrrechnersystem nach Anspruch 2, dadurch gekennzeichnet, daß bei Verwendung von mindestens 3 Rechnern die Vergleichs- und Durchschalteeinrichtung (VD) zusätzlich einen Mehrheitsentscheid durchführt, wςnn ein Rechner ein mit den Ergebnissen der anderen Rechner nicht übereinstimmendes Ergebnis ermittelt hat, daß dazu, wenn das Programmende erreicht ist, einer derjenigen Rechner zur Ausgabe seines Ergebnisses durchgeschaltet wird, deren Ergebnisse unter den Ergebnissen aller verwendeten Rechner die Mehrheit bilden, und daß dazu, wenn das Programmende noch nicht erreicht ist, die Vergleichs- und Durchschalteeinrichtung (VD) einen Rechner, der ein von der Mehrheit der Ergebnisse abweichendes Ergebnis errechnet hat, auffordern kann, das der Mehrheit der Ergebnisse entsprechende Ergebnis eines anderen Rechners zu übernehmen und der weiteren Rechnung zugrundezulegen.

4. Mehrrechnersystem nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß bei Verwendung von mindestens 3 Rechnern zur Feststellung, ob eine Mehrheit der Rechner zu einem Ergebnis gelangt ist, ein Zähler verwendet wird, der die Abschlußsignale zählt, die von den Rechnern nach Erreichen eines Ergebnisses ausgegeben werden.

5. Mehrrechnersystem nach Anspruch 1, 2 oder 3, dadurch gekennzeichnet, daß bei Verwendung von 3 Rechnern zur Feststellung, ob die Mehrheit der Rechner zu einem Ergebnis gelangt ist, drei Und-Glieder (UG 1. UG 2, UG 3) und ein nachgeschaltetes Oder-Glied (OG 1) verwendet werden.

6. Mchrrechnersystem nach Anspruch 4 oder 5,

dadurch gekennzeichnet, daß eine zusätzliche Verzögerungsschaltung (VZ) vorgesehen ist, die ein von dem Zähler bzw. von dem Oder-Glied (OG1) ausgegebenes Signal, welches die Vergleichs- und Durchschalteeinrichtung (VD) zum Vergleich der Ergebnisse der Rechner veranlaßt, so lange verzögert, bis alle Rechner bei fehlerfreiem Arbeiten mit Sicherheit zu einem Ergebnis gelangt sind.

7. Mehrrechnersystem nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß der Vergleich und der Mehrheitsentscheid anstatt von einer separaten Vergleichs- und Durchschalteeinrichtung von einem der Rechner durchgeführt wird, der dazu in geeigneter Weise programmiert ist