DE3687777T2

DE3687777T2 - Verfahren und geraet zur sicherstellung eines datenuebertragungssystems.

Info

Publication number: DE3687777T2
Application number: DE8686113078T
Authority: DE
Inventors: Fujio Yokoyama
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1985-09-25
Filing date: 1986-09-23
Publication date: 1993-09-02
Anticipated expiration: 2006-09-24
Also published as: US4775976A; JPS6272248A; JPH0560701B2; EP0216353A2; EP0216353B1; EP0216353A3; DE3687777D1

Description

HINTERGRUND DER ERFINDUNG

Die vorliegende Erfindung betrifft ein Verfahren und ein Gerät zur Sicherstellung (zur Unterstützung) einer Hauptstation eines Datenübertragungssystems, die diese Hauptstation und eine Ersatzdiensteinheit aufweist, und insbesondere ein Verfahren und ein Gerät zur Verhinderung eines Datenverlusts, wenn ein Fehler in der Hauptstation oder der Diensteinheit in einem POS-System ("point of sales", Verkaufssystem) oder in einem Computersystem auftritt.
In einem Datenübertragungssystem wird üblicherweise eine Diensteinheit (Hauptstation) und eine Ersatzdiensteinheit (Ersatzstation) gemeinsam an eine Datenübertragungsleitung angeschlossen und die Ersatzdiensteinheit wird beim Ausfall der Diensteinheit verwendet, um die Zuverlässigkeit zu erhöhen. In einem bekannten System dieses Typs, wie z. B. in einem Verkettungs-Typ ("daisy chain type"), beschrieben in der JP-A-57-81655, offengelegt am 21. Mai 1982, ist zusätzlich eine Signalleitung zur Steuerung der Umschaltung zwischen der Diensteinheit und den Ersatzeinheiten angeschlossen und ein Sperrsignal wird zur Signalleitung geliefert, um die Diensteinheit und die Ersatzeinheit zu schalten. Bei diesem System benötigt jede Ersatzeinheit diese Signalleitung und eine logische Einheit, um sie zu steuern. Das bekannte System braucht nämlich eine Anzahl von Signalleitungen und logischen Einheiten mit komplexen logischen Funktionen, wie z. B. mit der Unterscheidungsmöglichkeit zwischen einem Ausfallzustand der Diensteinheit und einem Stromausfall. Dies ist eine Ursache der Kostensteigerung.
Ferner kann die logische Einheit wegen einer Störung auf der Signalleitung eine Fehlfunktion verursachen. Da es nicht möglich ist, zu verhindern, daß ein Verlustsignal infolge einer Störung der Diensteinheit an die Datenleitung übertragen wird, ist die Zuverlässigkeit des Ersatzbetriebs nicht ausreichend und der Einfluß des Verlusts auf die untergeordnete Station kann nicht entscheidend verhindert werden.
In PATENT ABSTRACTS OF JAPAN, Band 7, Nummer 109 (P-196) [1254], 12. Mai 1983, JP-A-58 31 440 (FUJITSU K.K.), 24. Febr. 1983, ist ein automatisches Schaltsystem für einen Telekommunikations-Regelkreis beschrieben. Bei diesem wird, wenn in einem Arbeits-Datenübertragungssteuerungsgerät (CCP) ein Fehler auftritt, ein Signal, das die Fehlerbildung anzeigt, zu einer Schalteinheit über eine erste Signalleitung gesandt. Wenn die Schalteinheit den Fehler des Arbeits-Steuerungsgeräts CCP feststellt, wird ein Schaltbefehl über eine zweite Signalleitung zu Schaltern gesendet, die die Verbindung des Arbeits-Steuerungsgeräts CCP zu den Endgeräten (Terminal-Geräte) auf ein Ersatz-CCP umschalten.

ZUSAMMENFASSUNG DER ERFINDUNG

Es ist eine Aufgabe der vorliegenden Erfindung, ein Verfahren und ein Gerät zur Umschaltung von einer Diensteinheit zu einer Ersatzeinheit in einem Datenübertragungssystem anzugeben, das die Diensteinheit und die Ersatzeinheit aufweist, ohne daß es dazu einer zusätzlichen oder einer speziellen Leitung bedarf, wie das in den Patentansprüchen 1 bzw. 9 beansprucht ist.
Gemäß einem Gesichtspunkt soll mit der vorliegenden Erfindung ein Verfahren und ein Gerät angegeben werden zur Sicherstellung eines Datenübertragungssystems, wenn eine Diensteinheit ausfällt, ohne dabei andere Einheiten zu stören oder Fehlfunktionen zu verursachen.
Nach einem weiteren Gesichtspunkt soll mit der vorliegenden Erfindung ein Verfahren und ein Gerät zur Sicherung eines Datenübertragungssystems angegeben werden, um die Zuverlässigkeit des Beginns der Sicherstellungsverarbeitung zu verbessern, die auf der Kombination der Feststellung verschiedener Faktoren beruht, die Störungen einer Diensteinheit darstellen.
Aufgrund der Erfahrungen, daß die Wahrscheinlichkeit eines gleichzeitigen Auftretens von zwei oder mehreren Fehlern bei einem Hauptprozessor, beim Subprozessor oder beim Verbund des Hauptprozessors mit dem Subprozessor sehr gering ist, werden deren Arbeitsweisen durch den Haupt- und den Subprozessor gegenseitig überwacht, und wenn ein Fehler ermittelt wird, wird die Datenüberwachung eingestellt, so daß eine Beeinflussung auf andere Einheiten, wie z. B. Diensteinheiten oder eine Unterstation, durch ein Fehler- oder ein Datenausfallsignal verhindert wird.
Bei der vorliegenden Erfindung sind Mittel zur Überwachung der Arbeitsweise der anderen Einheit in jedem Hauptprozessor und Subprozessor vorgesehen, und wenn ein Fehler festgestellt wird, wird die Datensteuerungsverarbeitung der Diensteinheit eingestellt oder unterbunden, so daß die fehlerhafte Diensteinheit elektrisch oder physikalisch von der Datenübertragungsleitung abgetrennt ist. Andererseits kann die Ersatzeinheit die Einstellung oder Unterbindung der Datenübertragungssteuerung durch die Diensteinheit feststellen durch Ermittlung von Abnormalitäts- oder Fehleranzeigefaktoren, wie z. B. Abfragefehler, Leitungsimpedanzabnormalität oder Fehlen von Sendezeichen ("token") über die konventionelle Datenübertragungsleitung. Wenn die Ersatzeinheit den Fehler in der Datenübertragungssteuerung der Diensteinheit feststellt, prüft sie die Gültigkeit der Datenübertragungssteuerung ihrer eigenen Einheit und beginnt dann sofort mit der Ersatzoperation für die Diensteinheit.

KURZBESCHREIBUNG DER ZEICHNUNGEN

Die Fig. 1A zeigt ein Diensteinheits/Sicherstellungs- Schaltsystem in Übereinstimmung mit einem Ausführungsbeispiel der vorliegenden Erfindung.
Die Fig. 1B ist ein Zeitdiagramm zur Erklärung der Ersatzoperation zwischen der Diensteinheit, der Ersatzeinheit und der Datenübertragungsleitung entsprechend der in Fig. 1A gezeigten Anordnung.
Die Fig. 2 ist ein Blockdiagramm, das die Anordnung eines Hauptprozessors und eines Subprozessors der Diensteinheit und der Ersatzeinheit zeigt.
Die Fig. 3 und 4 zeigen Programmstrukturen eines Hauptbzw. eines Subprozessors.
Die Fig. 5A, 5B und 5C zeigen Datentabellen der Verbindungsinformation des Hauptprozessors und des Subprozessors bzw. deren Formate.
Die Fig. 6 zeigt ein Übertragungs-Flußdiagramm des Hauptprozessors.
Die Fig. 7 zeigt ein Befehls-Flußdiagramm des Subprozessors.
Die Fig. 8 zeigt ein Übertragungs-Flußdiagramm des Subprozessors.
Die Fig. 9 zeigt ein Flußdiagramm der Korrekturverarbeitung des Subprozessors.
Die Fig. 10 zeigt ein Flußdiagramm der Arbeitsweise der Ersatzeinheit.
Die Fig. 11 zeigt eine Schaltungsanordnung eines Impedanzdetektors.
Die Fig. 12 zeigt ein Flußdiagramm eines Impedanz-Prüfprogramms.

BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSBEISPIELE

Um das Verständnis der vorliegenden Erfindung zu erleichtern, wird ein Ausführungsbeispiel der vorliegenden Erfindung erklärt, das bei einem POS-System angewendet wird, obgleich es selbstverständlich ist, daß die vorliegende Erfindung bei einem Mehrfachcomputersystem anwendbar ist.
Die Fig. 1A zeigt eine Anordnung eines Datenübertragungssystem in Übereinstimmung mit einem Ausführungsbeispiel der vorliegenden Erfindung. Eine zentrale Datenverarbeitungseinheit 1 ist in einem Zentralbüro des POS-Systems angeordnet und führt kollektiv Datenverarbeitung für die Zweigbüros aus. Sie ist selektiv mit einem Leitungsschalter 2, mit einer Diensteinheit 3 oder einer Ersatzeinheit 4 verbunden, die in jedem Zweigbüro angeordnet sind. Die zentrale Datenverarbeitungseinheit 1 ist für die vorliegende Erfindung nicht wesentlich. Die Diensteinheit 3 besteht aus einem Hauptprozessor 5A und wenigstens einem Subprozessor 6A, und die Ersatzeinheit 4 besteht zumindest aus den gleichen Schalteleienten wie die Diensteinheit 3, d. h. aus einem Hauptprozessor 5B und einem Subprozessor 6B. Die Einheiten 3 und 4 besitzen Dateien, so daß Daten von den abhängigen Stationen ("Sklaven") darin doppelt gespeichert werden. Der Subprozessor 6A der Diensteinheit 3, der als Hauptstation dient, steuert die Datenübertragung zwischen der Hauptstation und mehreren abhängigen Stationen 9, die über eine Datenübertragungsleitung 8 damit verbunden sind. Die abhängigen Stationen bestehen üblicherweise aus Registrierkassen/Kartenkassen. Die Übertragungsleitung 8 kann ein Reihenanschluß oder ein Ortsnetz sein. Solange die Diensteinheit 3 normal arbeitet, dient der Subprozessor 6B als Ersatzeinheit als abhängige Station und überwacht, ob ein Abfragesignal ("Polling-Signal") von der Hauptstation (Zweigbüro) während eines vorbestimmten Zeitintervalls ausgesendet wird oder nicht. Wenn eine Signalleitung 7A oder 7B sich auf logischem Wege "1" befindet oder aktiviert ist, zeigt sie an "arbeitet als Hauptstation". Solange die Diensteinheit normal arbeitet, befindet sich die Signalleitung 7A auf logischem Pegel "1" und die Signalleitung 7B ist auf logischem Wege "0". Die zentrale Verarbeitungseinheit 1 ist mit der Einheit 3 oder 4 verbunden, deren Signalleitung sich auf logischem Pegel "1" befindet. Die anderen Subprozessoren können Plattensteuerwerke oder Kommunikationssteuerwerke sein.
Fig. 1B zeigt eine Beziehung zwischen einer wechselseitigen Überwachungszeit des Hauptprozessors 5A und des Subprozessors 6A und einer Überwachungszeit für die Abfrage der Diensteinheit 3 durch die Ersatzeinheit 4 und die untergeordnete Station 9. Die wechselseitige Überwachungszeit (z. B. 6 Sekunden) des Hauptprozessors 5A und des Subprozessors 6A ist kürzer als die Überwachungszeit für die Abfrage der Diensteinheit 3 durch die Ersatzeinheit 4 (z. B. 15 Sekunden). Die Überwachungszeit für die Abfrage der Diensteinheit 3 durch die abhängige Station 9 ist noch länger (z. B. 30 Sekunden).
Nachdem die Ersatzeinheit 4 einen Fehler oder eine Abnormalität bei der Abfrage der Diensteinheit 3 entdeckt hat und ehe die abhängige Station 9 den Fehler bei der Abfrage der Diensteinheit ermittelt hat, um in den Off-line-Modus zu schalten, schließt die Ersatzeinheit die Umschaltung zum Betrieb mit der Diensteinheit ab und beginnt mit dem Leitungsdienst.
Die Vorbereitung zur Umschaltung zum Betrieb mit der Diensteinheit beinhaltet das Laden eines Diensteinheits- Programms in einen Hauptspeicher und die interne Selbstprüfung und Überprüfung des Vorhandenseins oder des Fehlens einer Datenübertragung. Das Programm wird z. B. in einem Plattenspeicher (nicht gezeigt) gespeichert, der mit dem System verbunden ist.
Die Fig. 2 zeigt ein Blockdiagramm des Hauptprozessors 5A und des Subprozessors 6A der Diensteinheit 3. Die Ersatzeinheit 4 ist ähnlich aufgebaut.
Der Hauptprozessor 5A besteht aus einer CPU 11, einem ROM 12, einem RAM 13 und logischen Schaltungen 14 und 15 zur Steuerung einer Schnittstelle zum Subprozessor 6A. Die logische Schaltung 14 ist eine Schnittstelle zur Aussendung von Befehlen und Daten vom Hauptprozessor 5A zum Subprozessor 6A und die logische Schaltung 15 ist eine Schnittstelle zum Senden des Subprozessor-Status und von Daten vom Subprozessor 6A zum Hauptprozessor 5A. Der Subprozessor, wie z. B. ein Magnetdiskettenlaufwerk (FDD) oder ein Magnetkartenleser (MCR) (nicht gezeigt) können mit der CPU 11 des Hauptprozessors 5A in gleicher Weise verbunden werden.
Der Subprozessor 6A besteht aus einer Sub-CPU 18, einem ROM 19, einem RAM 20, einer Schnittstelle 16 zum Empfang von Befehlen und Daten vom Hauptprozessor 5A, einer Schnittstelle 17 zum Senden des Status und von Daten des Subprozessors 6A vom Subprozessor 6A zum Hauptprozessor 5A, einem Zwischenspeicher 23 zur Bildung eines Freigabesignals, das dem Leitungsschalter 2 anzeigt, daß die Diensteinheit als Hauptstation in Betrieb ist, einem Zwischenspeicher 24, um den ganzen Subprozessor 6A in zurückgesetztem Zustand zu halten, einem Sender 25 zum Umwandeln von Seriendaten von der Sub-CPU 18 in elektrische Signale und zu deren Übertragung auf der Datenübertragungsleitung 8, einem Empfänger 26 zur Umwandlung der Signale auf der Datenübertragungsleitung 8 in interne Signale, einem NAND-Inverter 27 zur Invertierung des Ausgangssignals des Zwischenspeichers 24, um den Sender 25 zu sperren oder freizugeben, einem Schalter 28 und einem Impedanzdetektor, der später beschrieben wird. Der Eingang zu der Schnittstelle 16 ist mit dem Ausgang der Schnittstelle 14 des Hauptprozessors 5A verbunden und der Ausgang der Schnittstelle 17 ist mit dem Eingang der Schnittstelle 15 des Hauptprozessors 5A verbunden. Der Rücksetzanschluß des Zwischenspeichers 23 ist mit einem Ausgang eines ODER-Kreises 21 verbunden. Ein Eingang zum ODER-Kreis ist mit einer Signalleitung 31 verbunden, die vom Hauptprozessor 5A ausgeht, und der andere Eingang ist mit einer Ausgangsleitung 36 des Zwischenspeichers 24 verbunden. Das Signal des Hauptprozessors 5A wird an den Setzanschluß des Zwischenspeichers 23 über die Leitung 34 angelegt. Der Hauptprozessor 11 kann den Zwischenspeicher 23 setzen oder rücksetzen durch Setzen der Signalleitungen 31 und 34 auf die logischen Pegel "0" und "1". Das Ausgangssignal des Zwischenspeichers 23 wird an die Signalleitung 7A von Fig. 1A geliefert.
Der Setzanschluß des Zwischenspeichers 24 ist mit dem Ausgang der ODER-Schaltung 22 verbunden und die Eingänge der ODER-Schaltung sind mit der Signalleitung 32 verbunden, die sich vom Hauptprozessor 5A aus erstreckt, und mit der Signalleitung 32, die sich von der Sub-CPU 18 aus erstreckt. Der Rücksetzanschluß des Zwischenspeichers 24 ist mit der Signalleitung 35 verbunden, die vom Hauptprozessor 5A ausgeht. Der Hauptprozessor 5A kann den Zwischenspeicher 24 setzen und rücksetzen. Das Ausgangssignal vom Zwischenspeicher 24 wird durch die Signalleitung 36 an die ODER-Schaltung 21 angelegt sowie an den Rücksetzanschluß der Sub-CPU 18 und an das NAND-Gatter 27. Der Ausgang des NAND-Gatters 27 ist mit dem Freigabeanschluß des Senders 25 verbunden.
Die Fig. 3 zeigt eine Programmstruktur des Hauptprozessors 5A. Die erforderlichen Programme werden im ROM 12 gespeichert. Ein Betriebssystem-Kernabschnitt 41 steuert den Gesamtprozessor. Unter dem Programmodul werden ein Ein/Ausgabe-Steuerungsabschnitt 42 und ein Systemsteuerabschnitt 43 betrieben. Der Ein/Ausgabe-Steuerungsabschnitt 42 steuert die Ein/Ausgabe-Geräte. Ein Datenübertragungssteuerungsabschnitt 44 zur Zentralverarbeitungseinheit 1, eine Hauptsteuereinheit 45 zur Steuerung der Datenübertragung mit den Endgeräten und ein Steuerabschnitt 46 für eine untergeordnete Station, wie z. B. für FDD und MCR, arbeiten unter dem Ein/Ausgabe-Steuerungsabschnitt 42. Der System- Steuerungsabschnitt 43 steuert Aufgaben ("tasks") eines Anwendungsverarbeitungsabschnitts 48 und verarbeitet Ein/Ausgabe-Anforderungen des Anwendungsverarbeitungsabschnitts 48 durch einen Ein/Ausgabe-Beginnsteuerungsabschnitt 47. Der Hauptsteuerungsabschnitt 45 und der Steuerungsabschnitt 46 der untergeordneten Station umfassen den Kommunikationsabschnitt 49 mit dem Anwendungsverarbeitungsabschnitt 48, den Wiederaufnahmeverarbeitungsabschnitt 50, den Befehlsausgabeabschnitt 51 für den Subprozessor 6A, den Unterbrechungsverarbeitungsabschnitt 52 zur Unterbrechung vom Subprozessor 6A und den Übertragungs/Empfangs-Steuerungsabschnitt 53. Der Wiederaufnahmeverarbeitungsabschnitt 50 hat auch die Aufgabe, das Blockieren des Subprozessors 6A zu steuern. Der Unterbrechungsverarbeitungsabschnitt 52 liest, prüft und analysiert den Status des Subprozessors 6A. Der Übertragungs/Empfangs-Steuerungsabschnitt 53 hat die Aufgabe, Daten zu senden und zu empfangen und eine Datenverbindung abzuwickeln.
Die Fig. 4 zeigt eine Programmstruktur des Subprozessors 6A. Erforderliche Programme sind im ROM 19 gespeichert. Ein Überwachungsabschnitt 61 startet die Programmodule, ein Befehlsverarbeitungsabschnitt 62 ist für einen Befehl vom Hauptprozessor 54 vorgesehen, ein Unterbrechungsstatus-Ausgabeabschnitt 64 für den Hauptprozessor 5A, weiter ein Wiederaufnahmeverarbeitungsabschnitt 63, ein Hauptstations- Funktionssteuerungsabschitt 65 und eine Funktionssteuerungseinheit 66 für eine untergeordnete Station und Verarbeitungsschluß-Kodes, hergestellt durch die Programmodule. Der Befehlsverarbeitungsabschnitt 62 liest einen vom Hauptprozessor 5A zum Subprozessor 6A ausgegebenen Befehl und prüft diesen nach einer Zeitgeber-Überwachungsmethode. Der Unterbrechungsstatus-Ausgabeabschnitt 64 berichtet dem Hauptprozessor 5A Verarbeitungsergebnisse anderer Module. Der Wiederaufnahmeverarbeitungsabschnitt 63 steuert den Wiederholungslauf bei Fehlern, die vom Subprozessor während der Datenverarbeitung verursacht worden sind, und steuert die Selbstabschaltung. Der Hauptstationsfunktionssteuerungsabschnitt 65 wird gestartet, wenn der Subprozessor als Hauptprozessor arbeitet, um die untergeordneten Programmmodule zu starten, nämlich einen Busprüfabschnitt 69 zur Ermittlung des Vorhandenseins oder des Fehlens einer Datenübertragung, einen Abrufsignalsendesteuerungsabschnitt 70A und einen Empfangssteuerungsabschnitt 71A. Der Steuerungsabschnitt 66 der untergeordneten Station wird gestartet, wenn der Subprozessor als untergeordnete Station arbeitet und die Einheit als Ersatzeinheit der Hauptstation betrieben wird. Unter dem Modul 66 befinden sich ein Sendesteuerungsabschnitt 70B zur Erwiderung auf die Abfrage und ein Empfangssteuerungsabschnitt 71 zur Überwachung der Abfrage. Die Sende/Empfangs-Steuerungsabschnitte 70A, 70B, 71A und 71B steuern die Ein/Ausgabe-Verarbeitung auf einem realen Datenpegel und die Verfahren auf einem Datenverbindungspegel.
Die Fig. 5A zeigt eine Sende/Empfangs-Datentabelle, die als Schnittstelle zwischen dem Hauptprozessor 5A und dem Subprozessor 6A verwendet wird, die Fig. 5B zeigt ein Befehlsformat zur Veranschaulichung der Arten von Befehlen, die vom Hauptprozessor 5A zum Subprozessor 6A geliefert werden, und Fig. 5C zeigt ein Statusformat, das die Inhalte eines Unterbrechungsstatus zeigt, der vom Subprozessor 6A zum Hauptprozessor 5A geliefert wird.
Wenn das HDLC (high level data link control)-Verfahren des CCITT-Standards als das Datenübertragungs-Steuerungsverfahren bei der vorliegenden Erfindung verwendet wird, beinhaltet die Datenübertragungstabelle von Fig. 5A in einem Rahmen folgende Felder: Adreßfeld, Befehlsfeld und Informationsfeld. Bei der vorliegenden Erfindung hat das Informationsfeld eine Länge bis zu 512 Bytes und übertragene Daten haben eine Länge bis zu 514 Bytes einschließlich der Adresse, der Befehls- und Informationsfelder. Die Mindestlänge beträgt 2 Bytes, das ist also nur das Adreßfeld. Der in Fig. 5B gezeigte Befehl weist ein Initialisierungsfeld auf, um zu bestimmen, ob der Subprozessor als Diensteinheit oder als Ersatzeinheit (untergeordnete Station) zu arbeiten hat, ferner ein Testfeld, um die Gültigkeit einer Hardware des Subprozessors 6A zu prüfen, weiter ein Protokollfeld, um einen Bericht über die Tätigkeit des Subprozessors 6A zum Hauptprozessor 5A zu geben, und ein Bus-Prüffeld zur Feststellung des Datenübertragungsstatus der Datenübertragungsleitung und Übertragungs- und Empfangsfelder für das Senden und Empfangen von Daten. Die Bedeutung der Bits des Unterbrechungsstatus ist in Fig. 5C gezeigt. Wenn das Übertragungsfehlerbit und das Empfangsfehlerbit auf logischem Pegel "1" sich befinden, wird eine detaillierte Fehlerinformation mitgeführt, obgleich diese bei der vorliegenden Erfindung weggelassen wird. Der Prüfbefehl weist einen Unterbefehl auf, um die Art des Tests anzuzeigen, obgleich er bei der vorliegenden Erfindung weggelassen worden ist.
Der Ersatzbetrieb für die Diensteinheit 3 und der Ersatzeinheit 4 wird mit Bezug auf die Flußdiagramme der Fig. 6 bis 10 erklärt.
Die Diensteinheit 3 von Fig. 1A startet den Hauptstationssteuerungsabschnitt 45 der Fig. 3. Wenn im Hauptprozessor 5A der Anwendungsverarbeitungsabschnitt 48 eine Datenübertragung zur untergeordneten Station 9 anfordert, startet die Hauptsteuerungseinheit 45 die Übertragungsoperation in Übereinstimmung mit dem Flußdiagramm von Fig. 6. Wenn der Übertragungsverarbeitungsabschnitt 59 für den Anwendungsverarbeitungsabschnitt 48 Daten empfängt, die vom Anwendungsverarbeitungsabschnitt 48 erstellt worden sind, erstellt der Sende/Empfangs-Steuerungsabschnitt 53 die Adresse der untergeordneten Station und des Befehlsfeldes auf der Übertragungsebene und setzt die Übertragungsdatenlange in die Übertragungsdatentabelle (Fig. 5A). Die Datentabelle wird im RAM 13 erstellt und in die Schnittstelle 14 des Subprozessors 6A gesetzt. Dann setzt der Befehlssendeabschnitt 51 den Befehl "senden" in die Schnittstelle 14. Daraufhin überwacht der Unterbrechungsverarbeitungsabschnitt 52 die Unterbrechung vom Subprozessor 6A nach einem Zeitüberwachungsverfahren, wie das durch die Blöcke 103 bis 107 veranschaulicht ist.
Wenn der Befehlsverarbeitungsabschnitt durch die Schnittstelle 16 zum Hauptprozessor 5A erkennt, daß der Hauptprozessor den Befehl gesetzt hat, liest der Subprozessor 6A den Befehl in Übereinstimmung mit dem Flußdiagramm der Fig. 7, prüft Parität und Gültigkeit des Befehls, und wenn diese normgerecht sind, prüft er den Inhalt des Befehls und startet den Hauptstationsfunktionsabschnitt 65. Wenn der Funksteuerungsabschnitt 65 erkennt, daß der Befehl "senden" ist, startet er eine Senderoutine 70. Wie in Fig. 8 gezeigt, liest die Senderoutine 70 zuerst die Datenübertragungstabelle, die vom Hauptprozessor 5A über die Schnittstelle 16 erstellt worden ist, prüft zweitens, ob die Datenübertragungslänge zwischen 2 und 514 Bytes beträgt, prüft drittens die Gültigkeit des Adreßfeldes, prüft viertens die Gültigkeit des Befehlsfeldes, und wenn diese normgerecht sind, sendet sie die Daten zu der untergeordneten Station über den Sender 25 und die Datenübertragungsleitung 8.
Nehmen wir an, daß die Datenübertragungslänge infolge eines Fehlers in der Schnittstelle 16 mit 714 Bytes angegeben ist. Infolgedessen wird ein Übertragungsdatenlängen-Fehler durch die in Fig. 8 gezeigte Datenlängenprüfroutine entdeckt, ein End-Kode wird gebildet, der den Übertragungsdatenlängenfehler anzeigt, und der Prozeß kehrt von der Übertragungsroutine 70 zum Hauptfunktionssteuerungsabschnitt 65 zurück.
Wenn der Hauptfunktionssteuerungsabschnitt 65 den End-Kode des Übertragungsfehlers entdeckt, kehrt der Prozeß zum Überwachungsabschnitt 61 zurück. Der Überwachungsabschnitt 61 startet den Wiederherstellungsverarbeitungsabschnitt 63, um die Wiederherstellungsverarbeitung in Übereinstimmung mit dem Flußdiagramm von Fig. 9 auszuführen. Der Datenübertragungslängenfehler ist ein wiederholungsfähiger Fehlerfaktor. Es wird angenommen, daß der gleiche Fehler nachfolgend mehrfach auftritt und die Anzahl der Wiederherstellungen überschritten wird. Der Wiederherstellungsverarbeitungsabschnitt 63 urteilt dann, daß dies ein nichtkorrigierbarer Fehler ist, und startet den Blockiersteuerungsabschnitt 68. Der Blockiersteuerungsabschnitt 68 setzt die Signalleitung 33 von Fig. 2 auf logischen Pegel "1" durch den Ein/Ausgabe-Befehl, um den Zwischenspeicher 24 zu setzen. Da die Ausgangssignalleitung 36 des Zwischenspeichers 24 auf logischen Pegel "1" gesetzt ist, wird die Sub- CPU 18 zurückgesetzt und der Sender 25 wird durch den Inverter 27 abgeschaltet. Auf diese Weise ist der Subprozessor 6A elektrisch von der Datenübertragungsleitung 8 abgetrennt. Da die Signalleitung 36 auf logischen Pegel "1" gesetzt ist, wird der Zwischenspeicher 23, der anzeigt, daß die Hauptstation zurückgesetzt ist, zurückgesetzt und die Signalleitung 7 ist auf logischen Pegel "0" zurückgesetzt, so daß die Diensteinheit 3 von der zentralen Verarbeitungseinheit 1 abgetrennt ist.
Wenn keine Unterbrechungsanforderung vom Subprozessor 6A über eine vorbestimmte Zeit hinaus vorliegt, startet der Hauptprozessor 5A den Wiederherstellungsverarbeitungsabschnitt 50, um die Blockierverarbeitung des Subprozessors 6A auszuführen, setzt den Zwischenspeicher 23 zurück und setzt den Zwischenspeicher 24 durch die Signalleitungen 31 und 32. Zu diesem Zeitpunkt ist der Zwischenspeicher 23 zurückgesetzt worden und der Zwischenspeicher 24 ist durch die Eigenblockieroperation des Subprozessors 6A gesetzt worden.
Die Ersatzeinheit wird üblicherweise als untergeordnete Station gestartet, wie das in Fig. 10 gezeigt ist. Wenn der Steuerungsabschnitt 40 von Fig. 3 der untergeordneten Station und der Funktionssteuerungsabschnitt 66 der untergeordneten Station von Fig. 4 gestartet werden, überwacht die Ersatzeinheit die Abfrage ihrer eigenen Einheit unter der Datenübertragungssteuerung von der Diensteinheit 3, die die Hauptstation ist. Wenn die Diensteinheit 3 die Datenübertragungssteuerungsverarbeitung aufgibt, entdeckt der Subprozessor 6B der Ersatzeinheit 4 den Abfragefehler und berichtet dies dem Hauptprozessor 5B als eine Art Empfangsfehler. Wenn der Hauptprozessor 5B den Abfragefehlerbericht empfängt, startet er den Hauptstationssteuerungsabschnitt 45 von Fig. 3. Der Hauptstationssteuerungsabschnitt 45 bereitet neu den Subprozessor 6B als Hauptstation vor. Dann sendet der Hauptprozessor 5B einen Befehl "test" aus, um die Gültigkeit der Elemente des Subprozessors 6B zu prüfen. Die Prüfung kann einen CRC (cycle redundancy check)-Test des ROM 19, einen Schreib/Lesetest für das RAM 20 und einen Eigenschleifentest enthalten, bei dem die Übertragungsdaten gleichzeitig empfangen werden und die gesendeten Daten mit den empfangenen Daten verglichen werden. Der Eigenschleifentest weist einen internen Eigenschleifentest auf, bei dem ein Schalter 28 ein Eingangssignal zum Sender 25 als die Empfangsdaten auswählt, und einen äußeren Eigenschleifentest, bei dem der Schalter 28 ein Ausgangssignal des Empfängers 26 auswählt. Den äußeren Eigenschleifentest führt nur die Station zwischen aufeinanderfolgenden Übertragungen von Abfrageimpulsen aus, die als Hauptstation arbeitet.
Die Gültigkeit wird durch den inneren Eigenschleifentest nach jeder geeigneten Zeit bestimmt, wie z. B. nach einer Einschaltzeit, der Hauptprozessor 5B sendet hierzu einen Befehl "Bus-Prüfung", um das Vorhandensein oder das Fehlen einer Datenübertragung auf der Datenübertragungsleitung 8 zu überprüfen, um festzustellen, daß die Diensteinheit 3 die Datenübertragungssteuerung nicht ausführt. Das Verfahren zur Prüfung des Vorhandenseins oder des Fehlens der Datenübertragung beinhaltet ein allgemein bekanntes Verfahren zur Feststellung eines Datenübertragungsträgers und ein Verfahren zur Ermittlung der Impedanz der Datenübertragungsleitung. Bei der vorliegenden Erfindung wird der Datenstatus durch programmierte Abtastung der Impedanz geprüft. Die Fig. 11 zeigt ein Ausführungsbeispiel eines Impedanzdetektors 29 und die Fig. 12 zeigt eine Programmstruktur für die Abtastung des Ausgangssignals des Impedanzdetektors 29 und die Meßzeiten zur Messung eines niedrigen oder eines hohen Impedanz-(Unterbrechung)-Status. Ein Zähler zur Messung der Zeiten mit niedriger Impedanz ist in Fig. 12 gezeigt.
Der Subprozessor 6B prüft die Impedanz der Datenübertragungsleitung 8 in Übereinstimmung mit dem Flußdiagramm von Fig. 12 und berichtet das Fehlen der Datenübertragung dem Hauptprozessor 5B durch den Inhalt des Unterbrechungsstatus. Der Hauptprozessor 5B setzt dann die Signalleitung 34 auf einen logischen Pegel "1" durch den Ausgangsbefehl, um den Zwischenspeicher 23 zu setzen, der die Hauptstation angibt, und startet die Kommunikation mit der zentralen Verarbeitungseinheit 1. Der Hauptprozessor befiehlt die Übertragung der Abfragedaten zum Subprozessor 6B und startet die Datenübertragungssteuerung als Hauptstation.
Die vorliegende Erfindung kann bei einem Mehrfachcomputersystem angewendet werden, das mehrere Diensteinheiten und wenigstens eine Ersatzeinheit aufweist. Bei einem derartigen System wird z. B. eine Aufgabe eines Systems aufgeteilt und jede Diensteinheit führt die aufgeteilte Aufgabe aus. Wenn eine der Diensteinheiten ausfällt, ersetzt eine Ersatzeinheit die aufgeteilte Aufgabe der Diensteinheit. Jede Diensteinheit sendet ein Abrufsignal aus mit einer Zahl oder einer Identifikation, die ausschließlich einmalig zugeteilt ist, während sie im gültigen Betriebszustand ist. Die Ersatzeinheit überwacht die Abrufsignale von den Diensteinheiten, ob diese während jeder vorbestimmten Periode auftreten oder nicht. Wenn eine der Diensteinheiten ausfällt oder fehlerhaft ist, wird deren Prozessor in einem betriebsunfähigen Zustand in Übereinstimmung mit dem Schema der vorliegenden Erfindung ersetzt. Die Ersatzeinheit stellt fest, welche Diensteinheit ausfällt aufgrund der Zahl, die mit dem Abbruchsignal gesendet wird, und ersetzt dann die Datenverarbeitungsfunktion der fehlerhaften Diensteinheit in Übereinstimmung mit dem Schema der vorliegenden Erfindung.
In Übereinstimmung mit der vorliegend beschriebenen Erfindung werden viele elementare Prozessoren, die eine Diensteinheit bilden, wie z. B. den Hauptprozessor und den Subprozessor, gegenseitig überwacht, so daß wenn die Diensteinheit ausfällt, der Subprozessor, der mit der Datenbusleitung verbunden ist, in einem nichtfunktionsfähigen Zustand blockiert wird und die Diensteinheit hierdurch elektrisch oder physikalisch von der Datenbusleitung abgetrennt wird. Auf diese Weise stellt die Ersatzeinheit den Fehler in der Reaktion der Diensteinheit-durch die Datenbusleitung fest und prüft die Gültigkeit der Ersatzeinheit selbst durch die Eigenprüfung und ersetzt dann die Datenverarbeitungsfunktion der Diensteinheit. Folglich wird ein Datenausfall oder eine Störung, die durch einen Ausfall der Diensteinheit verursacht ist, wirksam verhindert und keine spezielle Signalleitung ist zwischen der Ersatzeinheit und der Diensteinheit erforderlich, um von der Diensteinheit zur Ersatzeinheit umzuschalten, sogar dann, wenn die Ersatzoperation in einem Warteschlangenmodus realisiert wird, und die Kosten des Dienst/Ersatzeinheitssystems werden verringert und der Fehler infolge der Steuerung durch die Dienst/Ersatzeinheitsschaltsignalleitung ist vermieden.

Claims

1. Verfahren zur Sicherstellung eines Datenübertragungssystems mit im wesentlichen zwei Identischen Übertragungsdiensteinheiten (3, 4) und einer Datenübertragungsleitung (8) zur Verbindung dieser Übertragungsdiensteinheiten, bestehend aus den Schritten:

a) Bestimmung von einer der Übertragungsdiensteinheiten als Hauptdiensteinheit des Systems und die andere Diensteinheit als Ersatzdiensteinheit und gekennzeichnet durch die weiteren Schritte:

b) in der Hauptdiensteinheit gegenseitige Selbstüberwachung der Gültigkeit und des Normalzustands des Hauptprozessors (5A, 5B) und wenigstens eines Subprozessors (6A, 6B), der damit verbunden ist und elektrische Selbstabschaltung der Hauptdiensteinheit von dieser Datenübertragungsleitung, wenn ein Fehler oder eine Störung festgestellt wird; und

c) in der Ersatzdiensteinheit Überwachung der Abschaltung der Hauptdiensteinheit durch die Ersatzeinheit über die Datenübertragungsleitung und Inbetriebnahme der Ersatzeinheit als Hauptdiensteinheit, wenn diese Abschaltung festgestellt wird.

2. Verfahren nach Anspruch 1, bei dem jeder der Haupt- und Subprozessoren ein Programm zur gegenseitigen Überwachung der Gültigkeit und der Normalität der Operationen enthält und die Hauptdiensteinheit blockiert wird, wenn ein Fehler in irgendeinem der Haupt- oder Subprozessoren festgestellt wird.

3. Verfahren nach Anspruch 2, bei dem die Datenübertragungssteuerung in Time-sharing (Mehrbenutzungsbetriebsart) zwischen der Hauptdiensteinheit und einem Terminal (9) einer abhängigen ("slave") Station und bei dem, wenn kein Fehler der System-Hauptdiensteinheit festgestellt wird, die Ersatzdiensteinheit mit der Datenübertragungsleitung auf solche Weise verbunden ist, daß die Ausführung einer off-line (rechnerunabhangigen) Verarbeitung möglich ist oder die Funktion als abhängige Station (slave-station).

4. Verfahren nach Anspruch 2, bei dem der Schritt c) einen Teilschritt aufweist zur Feststellung von Fehlerfaktoren, wie z. B. Fehler bei der Datenabfrage (von einer Station), Fehler des Datenträgers, ferner der Leitungsimpedanz, Fehlen von Sendezeichen auf der Datenübertragungsleitung in der Ersatzdiensteinheit um eine Darstellung der Abschaltung der System-Hauptdiensteinheit zu erzeugen.

5. Verfahren nach Anspruch 4, bei dem die Darstellung der Abschaltung auf einer logischen Kombination der ermittelten Fehlerfaktoren basiert.

6. Verfahren nach Anspruch 1, bei dem der Schritt c) die Teilschritte der Selbstprüfung der Gültigkeit der Datenübertragungssteuerungsoperation in der Ersatzdiensteinheit enthält, wenn ein Fehler in der Datenübertragungssteuerungsoperation der System-Hauptdiensteinheit festgestellt wird, und der Anweisung an die Ersatzeinheit eine Ersatzoperation zu starten, in Übereinstimmung mit dem Ergebnis der Selbstprüfung.

7. Verfahren nach Anspruch 1, bei dem der Schritt b) die Teilschritte aufweist zur Ausführung eines Eigenschleifentests zwischen einem Übertragungs-Empfangsterminal von wenigstens einem der Subprozessoren und der Übertragungsleitung durch Ausführung einer internen Eigenschleifenprüfung durch Auswahl eines Eingangssignals an das Empfangsterminal, und einer externen Eigenprüfung durch Auswahl eines Empfangssignals, das vom Empfangsterminal in der Zwischenperiode der Datenübertragung geliefert worden ist, wobei gleichzeitig das empfangene und das übertragene Datum verglichen wird.

8. Verfahren nach Anspruch 1, bei dem die System-Hauptdiensteinheit mit einer Zentralverarbeitungseinheit (1) bei fehlerfreiem System verbunden ist, um gemeinsam Daten zu verarbeiten, die von wenigstens einem Terminal einer abhängigen Station und der Hauptdiensteinheit geliefert worden sind, und bei dem im fehlerhaften System die Hauptdiensteinheit durch die Ersatzdiensteinheit vertreten wird.

9. Datenübertragungsverarbeitungssystem das aus zwei im wesentlichen Identischen Übertragungsdiensteinheiten besteht, bei dem die eine Einheit als Hauptdiensteinheit und die andere als Ersatzdiensteinheit bestimmt sind, und einer Übertragungsleitung (8) zur Verbindung der Hauptdiensteinheit und der Ersatzdiensteinheiten, wobei die Datenübertragungsdiensteinheiten jeweils bestehen aus:

einem Hauptprozessor (5A, 5B) zur Steuerung der gesamten Hauptdiensteinheit;

wobei das System dadurch gekennzeichnet ist, daß die Datenübertragungsdiensteinheit ferner enthält:

wenigstens einen Subprozessor (6A, 6B) angeschlossen zwischen dem Hauptprozessor (5A, 5B) und der Datenübertragungsleitung (8) zur Ausführung einer speziellen Verarbeitung, wobei sowohl der Hauptprozessor als auch der Subprozessor Fehlerermittlungsmittel (12, 19; 11, 18) aufweisen zur gegenseitigen Fehlerermittlung durch gegenseitige Überwachung der Gültigkeit der Verarbeitung, und wobei die speziellen Verarbeitungsmittel Abschalt- Verarbeitungsmittel (22, 24, 27, 25) aufweisen zur Abschaltung der eigenen Datenübertragungsdiensteinheit von der Datenübertragungsleitung infolge von Signalen der Fehlerermittlungsmittel, und

Wiederherstellungsverarbeitungsmittel zur Feststellung der Abschaltung der anderen Datenübertragungsdiensteinheit über die Datenübertragungsleitung (8), um die eigene Datenübertragungsdiensteinheit, die das Datenübertragungssystem sichert, zu starten und dadurch zur Hauptdiensteinheit wird.

10. Datenübertragungsverarbeitungssystem nach Anspruch 9, bei dem die Hauptdiensteinheit und ein Ersatzstationsterminal (9) im on-line Betrieb in Time-sharing arbeiten und bei dem die Ersatzeinheit im fehlerfreien Normalzustand als Terminal einer abhängigen ("slave") Station arbeitet.

11. Datenübertragungsverarbeitungssystem nach Anspruch 9, bei dem die Ersatzdiensteinheit Mittel (29, 18) aufweist zur Feststellung eines Ausfalls der Datenübertragung auf der Datenübertragungsleitung durch einen Impedanzdetektor (29) und Mittel zur logischen UND-Verknüpfung des Ausgangssignals der Mittel zur Feststellung des Ausfalls der Datenübertragung mit dem Abfragedatenfehlersignal von der Hauptdiensteinheit zur Feststellung irgendeines Fehlers in der Hauptdiensteinheit.

12. Datenübertragungsverarbeitungssystem nach Anspruch 9, bei dem jede der Datenübertragungsdiensteinheiten einen Signalspeicher (23) aufweist zur Abgabe eines Hauptstations-Kennzeichens, das zum selektiven Anschluß einer Datenübertragungsdiensteinheit als Hauptdiensteinheit an die zentrale Verarbeitungseinheit (1) vorgesehen ist zur gemeinsamen Verarbeitung der Daten des Systems.

13. Datenübertragungsverarbeitungssystem nach Anspruch 9, bei dem die Datenübertragungsleitung eine Ortsdatenleitung ist.

14. Datenübertragungsverarbeitungssystem nach Anspruch 9, bei dem jede Datenübertragungsdiensteinheit einen speziellen Subprozessor aufweist, der mit dem Hauptprozessor verbunden ist, wobei dieser Subprozessor wenigstens einen Plattenspeicher, ein Magnetdiskettenlaufwerk oder einen Magnetkartenleser und eine Datei aufweist.