DE3742117C2 - - Google Patents

Description

Die Erfindung bezieht sich auf eine signaltechnisch sichere Datenübertragungseinrichtung nach dem Oberbegriff des Patentanspruches 1.

Aus der DE-PS 32 32 167 ist eine gesicherte Datenübertragungseinrichtung bekannt, bei der die zu übertragenden Daten jeweils paarweise in antivalenter Darstellung von einer Datenquelle bereitgestellt und zwei sendeseitigen Umsetzereinrichtungen zugeführt werden. Aufgabe dieser Umsetzereinrichtungen ist es, die ihnen parallel zugeführten Daten in serielle Datenströme umzuformen und an eine Sendeeinrichtung weiterzugeben. Von dort werden sie einkanalig nacheinander an eine Empfangseinrichtung übermittelt. Dieser Empfangseinrichtung sind zwei Empfangsregister zugeordnet, in der die seriellen Datenströme in je zwei parallele Datenworte umgesetzt werden. Die Ausgabe der Daten an nachgeordnete Empfangsrelais ist davon abhängig, daß jedes Empfangsregister die Daten zweimal - original und invertiert - inhaltsgleich empfängt. Nachgeschaltete Antivalenzprüfschaltungen prüfen laufend, ob an den Eingängen der beiden Empfangsregister tatsächlich antivalente Datenworte vorhanden sind. Ist das der Fall und sind aufeinanderfolgend jeweils inhaltsgleiche Daten empfangen worden, so werden die übermittelten Daten als ordnungsgerecht anerkannt. Ist dies nicht der Fall, so werden sie verworfen.

Die Bewertung der Daten erfolgt ausschließlich auf der Empfangsseite der Datenübertragungseinrichtung. Wird aufgrund einer auf der Empfangsseite festgestellten Datenabweichung in den nacheinander übermittelten Datenworten eine Störung in einer sendeseitigen Umsetzerbaugruppe angenommen, dann ist von der Empfangsseite über einen Rückkanal ein Signal an die Sendeseite zu übertragen, das dort die weitere Ausgabe von Daten sperrt. Ob dieser Befehl tatsächlich die Sendeseite der Übertragungseinrichtung erreicht und ob er dort tatsächlich zum bleibenden Sperren der weiteren Datenausgabe führt, ist nicht sichergestellt.

In der DE-Zeitschrift Signal u. Draht 4/1980, S. 74-80, wird über ein signaltechnisch sicheres Mikrocomputer-Fernwirksystem berichtet, bei dem die jeweils zusammenwirkenden Mikrocomputer ebenfalls über einen einzigen Übertragungskanal kommunizieren. Die vom jeweiligen Empfänger empfangenen und dort in einem Register anstehenden Daten werden zu Kontrollzwecken an den jeweils sendenden Mikrocomputer zurückübertragen. Dort erfolgt ein Vergleich zwischen rückübertragenen Daten und den in einem Senderegister zwischengespeicherten ausgesandten Daten. Aus dem Vergleich beider Daten kann auf etwaige Fehlreaktionen der an der Datenübertragung beteiligten Ein/Ausgabebaugruppen geschlossen werden.

Die Bewertung der Daten erfolgt ausschließlich auf der Sende­ seite der Datenübertragungseinrichtung. Es ist nicht erkenn­ bar, ob eine Datenverfälschung ihre Ursache in einem Fehlver­ halten der sende- oder der empfangsseitigen Register hat. Wird eine Störung in einem empfangsseitigen Register angenommen, dann ist von der Sendeseite aus ein Befehl an die Empfangs­ seite zu übertragen, der dort dazu führen soll, daß die Ver­ arbeitung der in den Empfangsregistern anstehenden Daten ge­ sperrt bzw. nicht freigegeben wird. Ob dieser Befehl tatsäch­ lich die Empfangsseite erreicht und ob er dort tatsächlich dazu führt, daß die Behandlung der in den Empfangsregistern anstehenden Daten verhindert wird, ist nicht sichergestellt. Außerdem müssen für diese Art der Datensicherung ebenfalls zwingend Übertragungsmöglichkeiten für die Gegenrichtung vor­ handen sein. Ferner ist von Nachteil, daß durch den laufenden Vergleich der rückübertragenen mit den tatsächlich ausge­ sandten Daten Rechnerzeit für die eigentliche Datenbehandlung verlorengeht.

In der DE-Zeitschrift "Signal + Draht", 5/1984, Seiten 83-88, wird über ein signaltechnisch sicheres Mikrorechnersystem berichtet, bei dem die Daten sendeseitig jeweils zweikanalig erarbeitet und vor ihrer Übertragung an die jeweiligen Empfangsrechner softwaremäßig auf Übereinstimmung geprüft werden. Dabei wird aber nicht geprüft, ob die in den Ausgabe­ baugruppen zur Übertragung jeweils anstehenden Daten auch tatsächlich die gleichen sind wie die zuvor geprüften Daten. Bei einer defekten Ausgabebaugruppe kann das zur Übertragung anstehende Datum durchaus verschieden sein von dem der Aus­ gabebaugruppe zuvor von einem Rechner zugeführte Datum. Zwar erfolgt die eigentliche Datenübertragung unter Anwendung eines Sicherungsverfahrens zum Erkennen von Übertragungsstörungen; da der Sicherungsanhang aber erst bei der Datenübertragung gebildet wird, sind in den Ausgabebaugruppen abgelegte fehler­ hafte Daten empfangsseitig nicht als solche zu erkennen; nur auf dem Übertragungsweg entstandene Datenfälschungen können über den Sicherungsanhang erkannt werden. Das bekannte Mikro­ rechnersystem sieht zur Offenbarung von Fehlern der Ausgabe­ baugruppen eine regelmäßige Vertauschung der betriebsführenden Rechner vor.

Bei einer aus der DE-AS 27 58 552 bekannten fehlersicheren Datenübertragungseinrichtung werden die zur Übertragung in Ausgabebaugruppen anstehenden, zweikanalig erarbeiteten Daten vor ihrer Übertragung auf Gleichheit geprüft; dies geschieht unter Verwendung von fail-safe ausgebildeten gesonderten Ver­ gleichern, die neben den eigentlichen Daten u. a. auch die Empfangsadressen auf Koinzidenz überprüfen. Die Ein/Ausgabe­ baugruppen sind zwingend doppelt vorhanden; sie sollen signal­ technisch sicher ausgeführt sein. Ihre Ausgänge wirken auf die fail-safe Vergleicher, die die Datenübertragung freigeben oder sperren.

Aufgabe der Erfindung ist es, eine signaltechnisch sichere Datenübertragungseinrichtung nach dem Oberbegriff des Patentan­ spruches 1 anzugeben, die das Erkennen einer gestörten Ausgabe­ baugruppe auf der Sendeseite oder einer gestörten Eingabebau­ gruppe auf der Empfangsseite der Datenübertragungseinrichtung auf der durch die Störung jeweils betroffenen Seite der Daten­ übertragungseinrichtung ermöglicht; ohne daß es hierzu sowohl auf der Sende- als auch auf der Empfangsseite der Datenüber­ tragungseinrichtung gesonderter fail-safe Vergleicher für den Vergleich der in den Ein/Ausgabebaugruppen der Rechner anste­ henden Daten bedarf. Für die Ein/Ausgabe der zweikanalig erarbeiteten Daten soll jeweils nur eine einzige Eingabe- und eine einzige Ausgabebaugruppe erforderlich sein und zwar in herkömmlicher Technik, nicht in fail-safe Ausführung. Die Fehlererkennung soll auf der Seite der Datenübertragungsein­ richtung erfolgen, wo der Fehler aufgetreten ist, damit von dort aus direkt auf die durch den Fehler betroffene Ein/Aus­ gabebaugruppe oder das zugehörige Rechnersystem eingewirkt werden kann.

Die Erfindung löst diese Aufgabe durch die kennzeichnenden Merkmale des Patentanspruches 1. Durch die erfindungsgemäße Ausbildung der Datenübertragungseinrichtung wird erstmals eine signaltechnisch sichere einkanalige Datenübertragung möglich. Dies wird dadurch erreicht, daß sendeseitig in den Ausgabebaugruppen anstehende Daten zu bestimmten Zeiten zurückgelesen und mit der Sendeseite bekannten Daten auf Übereinstimmung geprüft werden. Etwaige Datenabweichungen, die ihren Grund in einer fehlerhaft arbeitenden Ausgabebaugruppe auf der Sendeseite des Übertragungssystems haben, sind so rechtzeitig zu erkennen, bevor ein weiterer Ausfall auftreten kann, der den ersten Ausfall überdecken könnte. Auf der Empfangsseite des Übertragungssystems ist in an sich bekannter Weise eine zweikanalige Auswertung der übermittelten Daten vorgesehen, so daß Datenverfälschungen aufgrund sendeseitiger Bauteileausfälle (vor dem sendeseitigen Unwirksamschalten einer als gestört erkannten Ausgabebaugruppe) erkannt werden können und ein etwaiges Fehlverhalten der empfangsseitigen Eingabebaugruppen ebenfalls festzustellen ist.

Vorteilhafte Aus- und Weiterbildungen der erfindungsgemäßen Datenübertragungseinrichtung sind in den Unteransprüchen angegeben.

Die rückzulesenden Daten sollen nach den Merkmalen des Anspruches 2 entweder die von den Einzelrechnern des sendenden Rechnersystems stammenden, für andere Rechnersysteme bestimmten Daten sein, sofern diese hinreichend aufwendig sind, oder aber Prüfdaten zur Funktionskontrolle der sendeseitigen Ausgabebaugruppen. Die Verwendung gesonderter Prüfdaten für den Fall, daß das sendende Rechnersystem nur relativ wenig aufwendige Daten oder überhaupt keine Daten zu übermitteln hat, stellt sicher, daß die Ausgabebaugruppen der sendeseitigen Einzelrechner einer vollständigen Funktionsprüfung unterzogen werden, bei der etwaige Fehlfunktionen eindeutig als solche erkannt werden können.

Nach den Merkmalen des Anspruches 3 sollen die auf den oder die bewertenden Einzelrechner der Sendeseite zurückzuführenden Daten auch dem oder den empfangenden Rechnersystemen zugeführt werden, um dort durch paarweisen Vergleich etwaige Fehlfunktionen der empfangsseitigen Eingabebaugruppen aufdecken zu können. Durch Anpassen der Folgezeiten für die Ausgabe der zurückzulesenden Daten an die zulässigen Ausfalloffenbarungszeiten der miteinander kommunizierenden Rechnersysteme wird sichergestellt, daß sowohl sende- als auch empfangsseitige Bauteileausfälle auch bei größeren Übertragungspausen rechtzeitig erkannt und in ihrer Auswirkung unwirksam gemacht werden können.

Als Reaktion auf das Erkennen einer fehlerhaft arbeitenden Ausgabebaugruppe auf der Sendeseite der Datenübertragungseinrichtung ist gemäß Anspruch 4 vorgesehen, diese Ausgabebaugruppe dadurch unwirksam zu schalten, daß sie vom Übertragungskanal hardwaremäßig abgetrennt wird; damit wird der weitere Zugriff der als gestört erkannten Ausgabebaugruppe auf den Übertragungskanal unterbunden.

Nach den Merkmalen des Anspruches 5 ist vorgesehen, das Abtrennen einer Ausgabebaugruppe von einer mindestens einmaligen Wiederholung des Rücklesevorganges und der Bewertung der dabei übermittelten Daten abhängig zu machen. Hierdurch sollen vorübergehende Übertragungsstörungen beim Rücklesen der Daten in ihrer Auswirkung möglichst begrenzt werden.

Auf das gesonderte Wiederholen der Datenübertragung im Störungsfall kann gemäß Anspruch 6 verzichtet werden, wenn die Daten grundsätzlich mehrmals übertragen werden; das Abschalten einer Ausgabebaugruppe wird erst dann veranlaßt, wenn mehrfach nacheinander Datenabweichungen festgestellt werden.

Anspruch 7 sieht vor, im Falle eines erkannten Bauteiledefektes auf der Empfangsseite der Datenübertragungseinrichtung die weitere Auswertung der in den empfangsseitigen Eingabebaugruppen anstehenden Nutzdaten durch das zugehörige Rechnersystem bleibend zu sperren; die empfangsseitig verfälschten Daten werden vom Rechnersystem dann nicht weiter bewertet.

Das bleibende Sperren der Auswertung übermittelten Daten kann nach der Lehre des Anspruches 8 von mindestens einer erneuten Übertragung und Bewertung der dann übertragenen Daten abhängig gemacht werden. Hierdurch soll verhindert werden, daß etwaige Störungen, die ihre Ursache nicht in einem Bauteiledefekt der empfangsseitigen Eingabebaugruppen haben, dazu führen, daß die Auswertung der übermittelten Daten bleibend gesperrt wird.

Nach den Merkmalen des Anspruches 9 ist vorgesehen, daß das empfangende Rechnersystem beim Feststellen von Datenabweichungen in den nacheinander übermittelten Telegrammen, die auf eine Übertragungsstörung oder ein Fehlverhalten der sendeseitigen Ausgabebaugruppen hindeuten, ebenfalls mindestens eine erneute Übertragung dieser Daten anfordert. Hierdurch soll erreicht werden, daß kurzzeitige Übertragungsstörungen unwirksam gemacht werden und daß das empfangende Rechnersystem frühzeitig definitiv Kenntnis erhält von einem möglicherweise nicht ordnungsgerechten Betriebsverhalten des sendenden Rechnersystems.

Wenn die Daten gemäß Anspruch 10 grundsätzlich mehrmals nacheinander übertragen werden, erübrigt sich eine gesonderte Anforderung der Daten für den Fall einer empfangsseitig festgestellten Datenabweichung. Die Daten werden erst endgültig verworfen bzw. ihre Bewertung bleibend gesperrt, wenn mehrmals in Folge über eine vorgegebene Anzahl hinaus Datenabweichungen festgestellt wurden. Die mehrmalige Übertragung von Daten kann z. B. dort von Vorteil sein, wo mit starken und häufigen atmosphärischen Störungen bei der Datenübertragung zu rechnen ist.

Das Aufschalten des jeweils sendenden Einzelrechners auf den Übertragungskanal soll nach der Lehre des Anspruches 11 vom Vorhandensein entsprechender Steuersignale nicht nur des jeweils sendenden Einzelrechners, sondern auch eines weiteren Einzelrechners der Sendeseite abhängig gemacht sein. Diese Vorgabe ermöglicht es, bei einem erkannten Bauteiledefekt auf der Sendeseite des Mehrrechnersystems auch bei Ausfall eines Einzelrechners die weitere Datenübertragung unter Zuhilfenahme eines noch intakten anderen Einzelrechners dieses Systems zu unterbinden.

Dies erfolgt in vorteilhafter Weise nach der Lehre des Anspruches 12 unter Verwendung von Sperrschaltmitteln, welche die Datenausgänge der sendeseitigen Ausgabebaugruppen vom Übertragungskanal hochohmig trennen; diese Sperrschaltmittel können von den Einzelrechnern des sendenden Rechnersystems individuell unwirksam geschaltet werden. Lassen sich die hierfür erforderlichen Schaltmittel im Störungsfall nicht ordnungsgerecht steuern, so bleiben die Ausgabebaugruppen hochohmig vom Übertragungskanal abgetrennt.

Die Merkmale des Anspruches 13 zeigen einen besonders einfachen Weg, um die Ausgabe von Daten durch einen Einzelrechner vom Mitwirken eines weiteren Einzelrechners auf der Sendeseite der Übertragungseinrichtung abhängig zu machen:
Die Einzelrechner gemeinsam liefern die zum Unwirksamschalten der Sperrschaltmittel erforderliche Betriebsspannung.

Die Sperrschaltmittel sollen gemäß Anspruch 14 als Diodenbrückenschaltungen ausgebildet sein, von denen die eine oder die andere von den sendeseitigen Einzelrechnern gezielt kurzgeschlossen werden kann. Die Verwendung von Diodenbrückenschaltungen als Sperrschaltmittel gestattet es, die zu übertragenden Daten durch Spannungen unterschiedlicher Polarität darzustellen.

Nach der Lehre des Anspruches 15 ist eine galvanische Trennung zwischen der Datenausgabe und der zugehörigen Steuerung vorgesehen. Die für die Steuerung herangezogenen Steuersignale der Einzelrechner auf der Sendeseite der Übertragungseinrichtung sind gegeneinander verriegelt; hierdurch wird sichergestellt, daß nicht gleichzeitig beide sendeseitigen Ausgabebaugruppen auf den Übertragungskanal geschaltet werden können.

Nach der Lehre des Anspruches 16 ist vorgesehen, daß jedem Einzelrechner weitere Schaltmittel zum Auftrennen der Verbindung von den zugehörigen Ausgabebaugruppen zum Übertragungskanal zugeordnet sind. Damit gibt es mehrere voneinander unabhängige Möglichkeiten, um im Fall einer Störung zu verhindern, daß von einem als gestört erkannten Rechnersystem weiterhin Daten ausgegeben werden können. Selbst wenn eines dieser Sicherungssysteme aus irgendeinem Grunde ausfallen würde, würden die anderen Sicherungssysteme nach wie vor zum Erreichen dieses Zieles führen.

Für voneinander weiter entfernte Mehrrechnersysteme schlägt der Anspruch 17 vor, daß der Übertragungskanal als eine über Modems betriebene Fernmeldeleitung ausgebildet ist. Dies macht eine besonders kostengünstige Verbindung der miteinander kommunizierenden Mehrrechnersysteme möglich.

Als Übertragungskanal kommt nach der Lehre des Anspruches 18 auch ein Lichtwellenleiter in Betracht, in den ggf. eine oder mehrere Regeneratoren zum Überbrücken größerer Entfernungen einzuschalten sind. Die Verwendung von Lichtwellenleitern macht einen außerordentlich störunempfindlichen Betrieb der Datenübertragungsanlage möglich.

Für vorzugsweise benachbarte Mehrrechnersysteme wird nach der Lehre des Anspruches 19 vorgeschlagen, den Übertragungskanal als Bussystem auszugestalten. Die in einem solchen Bussystem verwendeten Ein/Ausgabebaugruppen haben im wesentlichen die Aufgabe von Pegelumsetzern.

Wenn, wie es die Lehre gemäß Anspruch 20 vorsieht, die jeweils nacheinander sendenden Einzelrechner unterschiedlich codierte Daten ausgeben, so läßt sich auf der Empfangsseite feststellen, ob die übermittelten Daten auch tatsächlich von verschiedenen Einzelrechnern der Sendeseite stammen.

Eine besonders elegante Art, dies feststellen zu können, liegt gemäß Anspruch 21 in der Übertragung invertiert dargestellter Daten, weil die Einzelrechner des jeweils sendenden Rechnersystems diese Daten meist ohnehin in antivalenter Darstellung zur Verfügung stellen.

Die Erfindung ist nachstehend anhand von in der Zeichnung dargestellten Ausführungsbeispielen näher erläutert. Die Zeichnung zeigt

in Fig. 1 das Prinzip der erfindungsgemäßen Datenübertragungseinrichtung und

in Fig. 2 eine technische Ausführung für eine in Fig. 1 angeführte Ausgabeweiche.

Fig. 1 zeigt auf der linken Seite die beiden Einzelrechner MC 1.1 und MC 1.2 eines Rechnerpaares, von dem aus Daten über einen Übertragungskanal an die Einzelrechner MC 2.1 und MC 2.2 eines weiteren Rechnerpaares übertragen werden sollen. Die Datenübertragung erfolgt über eine Fernmeldeleitung F, die an ihrem Anfang und an ihrem Ende durch Modems M 1 bzw. M 2 abgeschlossen ist. Die Ein/Ausgabebaugruppen der Rechner sind als Parallel/Serien- und Serien/Parallelwandler ausgeführt. Es ist angenommen, daß zunächst der Einzelrechner MC 1.1 Daten an die beiden Einzelrechner MC 2.1 und MC 2.2 des empfangenden Rechnerpaares auszugeben hat. Diese Daten werden sendeseitig im Parallel/Serienwandler P/S 1.1 von ihrer parallelen Form in eine serielle Darstellung umgesetzt und dann über eine in Schaltstellung 1/2 liegende Ausgabeweiche AW 1 auf den Eingang des Modems M 1 geführt. Von dort gelangen die Daten über die Fernmeldeleitung F zum Modem M 2. An den Ausgang des Modems M 2 sind zwei Eingabeweichen EW 2.1 und EW 2.2 angeschlossen. Diese Eingabeweichen liegen beide in Schaltstellung 1/2, in der sie eine Verbindung zwischen dem Ausgang des Modems M 2 und den Eingängen von Serien/Parallelwandlern S/P 2.1 und S/P 2.2 herstellen. Von dort gelangen die Daten auf die Eingänge der zugehörigen Einzelrechner MC 2.1 und MC 2.2 des empfangenden Rechnersystems. Voraussetzung für die spätere Anerkennung der übertragenen Daten ist, daß den Rechnern von den beiden empfangsseitig an der Datenübertragung beteiligten Serien/Parallelwandlern ausgangsseitig gleiche Daten zugeführt werden. Dies besagt jedoch nur, daß die beiden Serien/Parallelwandler S/P 2.1 und S/P 2.2 ordnungsgerecht gearbeitet haben, nicht aber, daß auch die Datenübertragung selbst ordnungsgerecht vonstatten gegangen ist; beispielsweise könnten die übermittelten Daten infolge eines Übertragungsfehlers verfälscht worden sein und damit zu einer fehlerhaften Bewertung führen.

Um dies empfangsseitig feststellen zu können, überträgt der bislang nicht aktive Einzelrechner MC 1.2 in an sich bekannter Weise im Anschluß an den Einzelrechner MC 1.1 noch einmal inhaltlich gleiche Daten an das empfangende Rechnersystem. Hierzu steuern beide Einzelrechner der Sendeseite auf noch zu erläuternde Weise die Ausgabeweiche AW 1 in die Schaltstellung 1/4, in der ein dem Einzelrechner MC 1.2 zugeordneter Parallel/Serienwandler P/S 1.2 mit dem Eingang des Modems M 1 verbunden ist. Auf der Empfangsseite gelangen die vom Einzelrechner MC 1.2 stammenden Daten wieder auf die beiden Serien/Parallelwandler S/P 2.1 und S/P 2.2. Die zugehörigen Einzelrechner MC 2.1 und MC 2.2 der Empfangsseite prüfen nun durch internen Vergleich, ob die ihnen jeweils gleichzeitig übermittelten Daten identisch sind und ob die ihnen jeweils nacheinander übermittelten Daten inhaltsgleich sind. Ist dies der Fall, so haben die beiden in den Sendevorgang einbezogenen Parallel/Serienwandler P/S 1.1 und P/S 1.2 der Sendeseite sowie die in den Empfangsvorgang einbezogenen Serien/Parallelwandler S/P 2.1 und S/P 2.2 der Empfangsseite ordnungsgerecht gearbeitet und auch die Datenübertragung selbst war fehlerfrei.

Stellen die Einzelrechner der Empfangsseite Datenabweichungen zwischen den ihnen jeweils gleichzeitig übermittelten Daten fest, so steht zu vermuten, daß dies seine Ursache in einem Fehlverhalten eines der empfangsseitigen Serien/Parallelwandler hat. Dies gilt um so mehr, wenn Datenabweichungen in beiden nacheinander übermittelten Datensätzen festgestellt werden. Das empfangende Rechnersystem verwirft daraufhin die Auswertung der als gestört erkannten Daten und sperrt sich rechnerintern bleibend gegen die Auswertung nachfolgend übertragener Daten. Diese Sperre bleibt wirksam, bis sie nach Störungsbeseitigung durch dafür autorisiertes Personal wieder aufgehoben wird.

Vor der endgültigen Sperrung der Datenauswertung kann das empfangende Rechnersystem - sofern die Datenübertragungseinrichtung dies zuläßt - den Versuch unternehmen, die Sendeseite zu mindestens einer erneuten Datenübertragung zu veranlassen. In diesem Fall wird die weitere Auswertung der Daten erst dann bleibend gesperrt, wenn auch die dabei übermittelten Daten wieder in gleicher Weise mit Störungen behaftet sind. Ein erneutes Anfordern der Daten erübrigt sich, wenn die für den Sendebetrieb vorgesehenen Einzelrechner die Daten grundsätzlich, mindestens aber die Daten mit sicherungstechnischem Charakter, mehrmals ausgeben. Die Datenauswertung wird erst dann gesperrt, wenn mehrmals nacheinander Datenabweichungen zwischen den jeweils gleichzeitig übermittelten Daten festgestellt wurden.

Für den Fall, daß die die übermittelten Daten bewertenden Einzelrechner MC 2.1 und MC 2.2 zwar Übereinstimmung zwischen den ihnen jeweils gleichzeitig übermittelten Daten, aber inhaltliche Abweichungen zwischen den ihnen aufeinanderfolgend übermittelten Daten feststellen, liegt entweder eine Übertragungsstörung vor, oder mindestens einer der sendeseitigen Parallel/Serienwandler hat fehlerhaft gearbeitet. Die übermittelten Daten werden verworfen und - sofern die Übertragungseinrichtung dies zuläßt - ggf. erneut angefordert und übertragen. Genügen die dann übermittelten Daten den Prüfbedingungen, so werden sie angenommen, weil die vorher festgestellte inhaltliche Diskrepanz zwischen den nacheinander übermittelten Daten offensichtlich auf einer Übertragungsstörung beruhte. Werden auch bei der erneuten Übertragung inhaltliche Abweichungen zwischen den nacheinander übermittelten Daten festgestellt, so liegt die Ursache hierfür offensichtlich in einem Fehlverhalten einer der sendeseitigen Parallel/Serienwandler. Die übermittelten Daten werden endgültig verworfen. Für die Empfangsseite hat dies keine weiteren Auswirkungen, weil die festgestellte Störung auf der Sendeseite der Datenübertragungseinrichtung zu suchen ist. Das empfangende Rechnersystem kann jedoch einen Vermerk dafür hinterlegen, daß von dem durch die Störung betroffenen Rechnersystem keine weiteren Daten mit sicherheitsrelevantem Charakter zu erwarten sind. Eine erneute Anforderung der Daten erübrigt sich, wenn die Sendeseite die Daten von sich aus mehrfach ausgibt.

Die von den beiden Einzelrechnern der Sendeseite nacheinander ausgesandten Daten müssen inhaltsgleich sein; sie dürfen sich in ihrer Darstellung aber durchaus voneinander unterscheiden, d. h. sie können beispielsweise zueinander invertiert dargestellt oder sonstwie anders kodiert sein. Dies hat den Vorteil, daß auf der Empfangsseite festgestellt werden kann, daß die nacheinander übermittelten Daten auch tatsächlich von zwei verschiedenen Rechnern stammen. Damit ist die sendeseitige Ausgabeweiche einer empfangsseitigen Funktionskontrolle unterzogen.

Zum sendeseitigen Detektieren eines fehlerhaft arbeitenden Parallel/Serienwandlers ist vorgesehen, daß alle für den Sendebetrieb vorgesehenen Einzelrechner zu ganz bestimmten Zeiten am Ausgang ihrer zugehörigen Ausgabebaugruppen abgreifbare Daten an die Eingabebaugruppen anderer Einzelrechner des sendenden Rechnersystems übermitteln. Dies geschieht über sendeseitige Eingabeweichen EW 1.1 bzw. EW 1.2, die zum Zurücklesen der Daten jeweils in Schaltstellung 1/3 liegen. Die Einzelrechner vergleichen jeder für sich und unabhängig voneinander die ihnen übermittelten, in den zugehörigen Serien/Parallelwandlern S/P 1.2 bzw. S/P 1.1 anstehenden Daten mit ihnen bekannten Daten und leiten aus dem Prüfergebnis vorbestimmte Reaktionen ab.

Die an die Eingabebaugruppen übertragenen Daten können die von dem jeweils sendenden Einzelrechner an die Einzelrechner eines anderen Rechnersystems übermittelten Daten sein, sofern diese Daten so beschaffen sind, daß sie in einer fehlerhaft arbeitenden Ausgabebaugruppe für den Beobachter erkennbar verfälscht werden. Dies ist der Fall, wenn die Daten bits unterschiedlicher Wertigkeit in unterschiedlicher, d. h. nicht regelmäßiger Folge aufweisen. Eine fehlerhaft arbeitende Ausgabebaugruppe wird solche Daten ausgangsseitig in eine hiervon verschiedene Datenfolge umsetzen und diese Datenfolge ist von dem Einzelrechner, dem diese Datenfolge über seinen Serien/Parallelwandler zugeführt wird, beim Vergleich mit den von ihm selbst erarbeiteten und intern mit den Daten des jeweils sendenden Einzelrechners verglichenen Daten als verfälscht erkennbar.

Anders liegt der Fall, wenn die an ein anderes Rechnersystem zu übertragenden Daten eine regelmäßige Folge von Datenbits unterschiedlicher Wertigkeit oder aber gleicher Wertigkeit aufweisen. Dann ist nicht sichergestellt, daß diese Daten durch einen fehlerhaft arbeitenden Parallel/Serienwandler so verfälscht werden, daß diese Verfälschung sicher erkannt wird. Für diesen Fall ist vorgesehen, vom jeweils sendenden Einzelrechner über dessen Parallel/Serienwandler mit den übrigen Rechnern der Übertragungseinrichtung fest vereinbarte Prüfdaten an den oder die diese Daten bewertenden Einzelrechner der Sendeseite zu übertragen und die übermittelten Prüfdaten mit den dort bekannten Prüfdaten zu vergleichen. Etwaige Datenabweichungen als Folge eines fehlerhaft arbeitenden Parallel/Serienwandlers sind bei Vorgabe geeigneter Prüfdaten eindeutig zu erkennen und führen zum Abschalten des als defekt erkannten Parallel/Serienwandlers vom Übertragungskanal.

Die Prüfdaten können darüber hinaus auch an die Empfangsseite der Datenübertragungseinrichtung übertragen werden, um dort bewertet zu werden. Dies macht es möglich, auch Bauteileausfälle auf der Empfangsseite, die sich während längerer Sende/Empfangspausen einstellen könnten, frühzeitig zu erkennen.

Zur begrifflichen Unterscheidung der der Funktionsprüfung dienenden, in das jeweils sendende Rechnersystem zurückzulesenden Daten von den zu übertragenden Nutzdaten werden die zurückzulesenden Daten nachfolgend als Prüfdaten bezeichnet.

Prinzipiell ist es möglich, alle über einen Parallel/Serienwandler an ein empfangendes Rechnersystem ausgegebenen Daten über die zugehörigen Serien/Parallelwandler als Prüfdaten auch in die bewertenden Einzelrechner der Sendeseite zurückzulesen; dies bedingt jedoch insbesondere bei regem Datenverkehr einen nicht unerheblichen Anteil an Rechnerzeit ausschließlich für das Einlesen und Bewerten dieser Prüfdaten, der für die eigentliche Datenverarbeitung verlorengeht.

Aus diesem Grunde ist nach der erfindungsgemäßen Lehre vorgesehen, die am Ausgang des sendeseitigen Parallel/Serienwandlers abgreifbaren Daten nicht ständig, sondern in vorgegebenen zeitlichen Abständen zurückzulesen, die höchstens gleich der zulässigen Ausfalloffenbarungszeit von Einzelausfällen für das zugehörige Rechnersystem und seine an der Datenübertragung beteiligten Ein/Ausgabebaugruppen ist. Diese Prüfdaten können entweder genügend aufwendige Nutzdaten sein, die an irgendein anderes Rechnersystem zu übertragen sind, oder aber spezielle Prüfdaten zur umfassenden Funktionsprüfung des sendeseitigen Parallel/Serienwandlers. Durch das Zurücklesen und Bewerten der im Parallel/Serienwandler eines für den Sendebetrieb vorgesehenen Einzelrechners anliegenden Prüfdaten innerhalb bestimmter Mindestzeiten wird erreicht, daß ein dort auftretender erster Ausfall so rechtzeitig erkannt wird, daß er nicht durch einen später hinzukommenden zweiten Ausfall - beispielsweise im Serien/Parallelwandler des zurücklesenden Einzelrechners - in seiner Wirkung überdeckt wird. Andererseits wird die Datenverarbeitung im sendenden Rechnersystem durch das nur gelegentliche Rücklesen und Bewerten von Prüfdaten kaum belastet.

Wenn das sendende Rechnersystem die zurückzulesenden Prüfdaten auch an das oder die empfangende(n) Rechnersystem(e) übertragen soll, damit auch dort eine zusätzliche Funktionsprüfung der empfangsseitigen Serien/Parallelwandler stattfinden kann, verkürzt sich der zeitliche Mindestabstand für das Zurücklesen der Prüfdaten auf die kürzeste zulässige Ausfalloffenbarungszeit von Einzelausfällen für diese Rechnersysteme, sofern diese Ausfalloffenbarungszeit kürzer ist als die für das sendende Rechnersystem. Das Übertragen zusätzlicher Prüfdaten an die empfangenden Rechnersysteme zum Aufdecken von Bauteileausfällen auf der Empfangsseite des Systems kann von Vorteil sein, wenn im Datenverkehr zwischen sendendem und empfangendem System längere Pausen auftreten und diese Pausen so groß werden, daß sie die zulässige Ausfalloffenbarungszeit von Einzelausfällen des empfangenden Systems überschreiten.

Das die zurückgelesenen Prüfdaten auf der Sendeseite bewertende Rechnersystem kann beim erstmaligen Feststellen von Datenabweichungen zwischen den ihm über seinen zugehörigen Serien/Parallelwandler übermittelten Prüfdaten und den ihm bekannten Prüfdaten eine nochmalige, ggf. auch eine mehrmalige Übertragung dieser Prüfdaten veranlassen, um so ausschließen zu können, daß diese Datenabweichung durch eine vorübergehende Störung auf dem Übertragungsweg verursacht wurde, die nicht auf einen Bauteiledefekt der am Übertragungsvorgang beteiligten Ein/Ausgabebaugruppen beruht. Genügen die dann übertragenen Prüfdaten den vorgegebenen Prüfbedingungen, so ist dies ein Zeichen für eine nur vorübergehende Störung. Werden auch beim Bewerten der erneut und ggf. mehrfach zurückgelesenen Prüfdaten Datenabweichungen von den selbst erarbeiteten Daten oder den fest verabredeten Prüfdaten festgestellt, so liegt ein Bauteiledefekt an einer der am Ausgeben oder am Eingeben der Prüfdaten beteiligten Baugruppen der Sendeseite vor. Die sendeseitigen Einzelrechner veranlassen daraufhin das Abschalten mindestens derjenigen Ausgabebaugruppe, die an der Übertragung der fehlerbehafteten Prüfdaten beteiligt war. Dies geschieht über die Ausgabeweiche AW 1, die hierzu bleibend entweder in die Schaltstellung 1/2 oder 1/4 oder in die Schaltstellung 1/3 gesteuert wird. Damit ist allenfalls noch eine einkanalige Ausgabe von Daten möglich. Sicherheitsrelevante Daten können fortan von dem durch die Störung betroffenen Rechnersystem nicht mehr ausgegeben werden.

Die beiden Schaltstellungen 1/2 und 1/4 kann die Ausgabeweiche nur dann einnehmen, wenn sie von beiden Einzelrechnern des sendenden Rechnersystems entsprechende Steuersignale hierzu erhält. Der Wechsel in die neutrale Lage 1/3 erfolgt bereits dann, wenn einer der beiden Einzelrechner sein entsprechendes Steuersignal abschaltet. Damit soll erreicht werden, daß auch dann, wenn einer der beiden Einzelrechner einen Defekt aufweist, der noch intakte Rechner beim Feststellen eines Bauteiledefektes auf der Sendeseite die Verbindung zum Übertragungskanal unterbrechen kann.

Ferner unterbrechen im Fall einer erkannten Datenabweichung beide Einzelrechner der Sendeseite jeweils für sich und unabhängig voneinander die Verbindung zwischen der Ausgabeweiche und dem Eingang des zugehörigen Modems. Dies geschieht z. B. über Relaisausgaben, deren Schaltkontakte mit AS 1.1 und AS 1.2 für das Rechnersystem MC 1.1, MC 1.2 und mit AS 2.1 und AS 2.2 für das Rechnersystem MC 2.1, MC 2.2 bezeichnet sind. Hierdurch soll erreicht werden, daß selbst dann, wenn die jeweils zugehörige Ausgabeweiche AW 1 bzw. AW 2 nicht ordnungsgerecht arbeiten sollte, die Ausgabe weiterer Daten über den jeweils als gestört erkannten Parallel/Serienwandler unterbleibt.

In dem dargestellten Ausführungsbeispiel ist angenommen, daß eine Datenübertragung von dem Rechnerpaar mit den Einzelrechnern MC 1.1 und MC 1.2 zu einem anderen Rechnerpaar erfolgen soll. Solange dabei der Einzelrechner MC 1.1 sendet, liegt die Eingabeweiche EW 1.2 in Schaltstellung 1/3, so daß der nicht an der Datenübertragung aktiv beteiligte Einzelrechner MC 1.2 die von dem anderen Einzelrechner ausgegebenen Daten als Prüfdaten zurücklesen kann. Die Eingabeweiche EW 1.1 liegt während dieser Zeit in Schaltstellung 1/2; der Serien/Parallelwandler S/P 1.1 des sendenden Einzelrechners MC 1.1 ist damit auf den Empfang von Daten anderer Rechnersysteme vorbereitet. Geht der andere Einzelrechner MC 1.2 auf Sendebetrieb, dann liegt die Eingabeweiche EW 1.1 zum Zurücklesen der Prüfdaten in Schaltstellung 1/3, während sich die Eingabeweiche EW 1.2 in Schaltstellung 1/2 befindet. Ist das Zurücklesen der Prüfdaten zum sendeseitigen Erkennen von Bauteileausfällen bei den an der Datenübertragung beteiligten Ein/Ausgabebaugruppen beendet, so steuert der zuletzt die Prüfung vornehmende Einzelrechner die ihm zugeordnete Eingabeweiche in die Schaltstellung 1/2, in der sich auch die dem anderen Einzelrechner zugeordnete Eingabeweiche befindet. Damit ist das bislang sendende Rechnerpaar vorbereitet für den zweikanaligen Empfang von Daten anderer Rechner.

Bei umgekehrter Übertragungsrichtung wird das sendende Rechnerpaar durch die Einzelrechner MC 2.1 und MC 2.2 gebildet. Diese beiden Einzelrechner vergleichen sich laufend intern auf Übereinstimmung. Die zu übermittelnden Daten werden abwechselnd den Einzelrechnern MC 2.1 und MC 2.2 entnommen und in dem jeweils zugehörigen Parallel/Serienwandler P/S 2.1 bzw. P/S 2.2 in die zur Datenübertragung geeignete serielle Form umgesetzt. Die Daten gelangen dann über die Ausgabeweiche AW 2 in Schaltstellung 1/2 bzw. 1/4 auf das Modem M 2 und von dort über die Fernmeldeleitung F zum Modem M 1. Das Einstellen der Ausgabeweiche ist wiederum abhängig vom Vorhandensein entsprechender Steuersignale beider Einzelrechner des sendenden Rechnerpaares MC 2.1, MC 2.2. Die an das empfangende Rechnerpaar übertragenen Daten gelangen dort über die auf Empfang geschalteten Eingabeweichen EW 1.1 und EW 1.2 (Schaltstellung 1/2) auf die beiden Serien/Parallelwandler S/P 1.1 und S/P 1.2. Von dort werden sie durch die zugehörigen Einzelrechner MC 1.1 und MC 1.2 des empfangenden Rechnerpaares abgenommen und intern auf Übereinstimmung gesprüft. Bei Übereinstimmung zwischen den in den beiden Serien/Parallelwandlern S/P 1.1 und S/P 1.2 jeweils anstehenden Daten werden diese Daten anerkannt und der Verarbeitung zugeführt.

Stellen die beiden Einzelrechner MC 1.1 und MC 1.2 dagegen Datenabweichungen in den ihnen jeweils gleichzeitig übermittelten Daten fest, so wird die Auswertung dieser Daten verhindert. Das empfangende Rechnersystem kann nun - sofern die Übertragungseinrichtung hierzu die Möglichkeit bietet - die erneute Übertragung der Daten anfordern, um diese Daten erneut zu bewerten. Werden dabei erneut Datenabweichungen zwischen den jeweils gleichzeitig übermittelten Daten festgestellt, so hat dies seine Ursache offensichtlich in einem Fehlverhalten der empfangsseitigen Serien/Parallelwandler. Das empfangende Rechnersystem sperrt sich dann bleibend gegen die Auswertung der dort anstehenden Daten.

Für den Fall, daß Datenabweichungen in den jeweils nacheinander übermittelten Daten festgestellt werden, liegt entweder ein Bauteiledefekt auf der Sendeseite vor, oder aber die Übertragungsstrecke zum sendenden Rechnersystem hin ist gestört; die Bewertung der übermittelten Daten wird bleibend gesperrt. Es kann dann ggf. eine erneute Anforderung und Bewertung der Daten erfolgen, um kurzzeitig wirksame Störungen, die sich wie Bauteileausfälle der empfangsseitigen Serien/Parallelwandler auswirken, unwirksam zu machen. Im Falle einer wiederholt festgestellten Datenabweichung werden diese Daten endgültig gesperrt. Die Anforderung von Daten im Fall festgestellter Datenabweichungen kann unterbleiben, wenn die Sendeseite von sich aus diese Daten mehrmals nacheinander aussendet.

In vorgegebenen zeitlichen Abständen, die höchstens gleich der zulässigen Ausfalloffenbarungszeit von Einzelausfällen für das zugehörige Rechnersystem sind, veranlassen die Einzelrechner MC 2.1 und MC 2.2 das wechselweise Rücklesen von in ihren Parallel/Serienwandlern P/S 2.1 bzw. P/S 2.2 anstehenden Prüfdaten in die Serien/Parallelwandler S/P 2.2 bzw. S/P 2.1 ihrer Partnerrechner. Dies geschieht über die Eingabeweiche EW 2.1 bzw. EW 2.2, die zu diesem Zweck von dem jeweils nicht sendenden Einzelrechner in die Schaltstellung 1/3 gesteuert wird; die jeweils andere Eingabeweiche liegt dabei in Schaltstellung 1/2. Die zurückgewiesenen Prüfdaten werden wieder durch Nutzdaten oder aber durch vorher festgelegte Prüfdaten dargestellt, von denen feststeht, daß sie durch eine fehlerhaft arbeitende Ausgabebaugruppe erkennbar verfälscht werden. Beim Feststellen von Datenabweichungen zwischen den jeweils zurückgelesenen und den selbst erarbeiteten Prüfdaten bzw. den hinterlegten Prüfdaten wird - ggf. nach der Durchführung mindestens eines weiteren Rücklesevorganges - die Verbindung zwischen dem als defekt erkannten Parallel/Serienwandler und dem Übertragungskanal bleibend unterbrochen. Dies geschieht durch Umsteuern der Ausgabeweiche AW 2 in Schaltstellung 1/3; am Umsteuervorgang sind jeweils beide Einzelrechner der Sendeseite beteiligt. Werden keine Datenabweichungen festgestellt, dann haben die Ausgabebaugruppen der Sendeseite ordnungsgerecht gearbeitet und die Datenübertragung wird bis zum folgenden Prüfvorgang fortgesetzt.

Bei dem in der Zeichnung dargestellten Ausführungsbeispiel der Fig. 1 sind die Ein- und Ausgabeweichen schematisch als Schaltkontakte ausgeführt, weil dies am besten den Funktionsablauf beim Ein- und Auslesen von Daten wiedergibt. Bei der technischen Realisierung der erfindungsgemäßen Einrichtung werden anstelle gesonderter Eingabeweichen an den Serien/Parallelwandlern gesonderte Eingänge für den Empfang übermittelter Daten und weitere Eingänge für das Rücklesen ausgegebener Daten vorgesehen sein. Die auf diesen Eingängen jeweils anliegenden Daten werden intern innerhalb der Wandler durch Steuersignale der zugehörigen Rechner freigegeben oder gesperrt.

Die Ausgabeweichen werden vorzugsweise durch von den beiden Einzelrechnern des sendenden Rechnersystems gesteuerte Schaltungen zum bedarfsweisen An- und Abschalten von Signalspannungen unterschiedlicher Polarität ausgebildet sein, wie sie im einzelnen in der DE-OS 37 28 489 angegeben sind. Diese Schaltungen sind so ausgelegt, daß sie an ihrem Ausgang nur dann die an ihrem Eingang anliegenden Potentiale (Daten) abgeben, wenn beide Einzelrechner hierzu entsprechende Steuersignale zur Verfügung stellen. Über diese Schaltungen lassen sich die Ausgabebaugruppen der für den Sendebetrieb vorgesehenen Einzelrechner individuell vom Übertragungskanal abtrennen bzw. auf diesen aufschalten.

In Fig. 2 ist dargestellt, wie die Ausgabeweiche AW 1 technisch zu relaisieren ist. Sie besteht aus Diodenbrückenschaltungen D 1.1 und D 1.2, die mit ihrem einen Wechselspannungsanschluß über Pegelumsetzer PU 1.1, PU 1.2 an den Signalausgang des zugehörigen Parallel/Serienwandlers P/S 1.1 bzw. P/S 1.2 angeschlossen ist. Jede Diodenbrückenschaltung trennt in unbeeinflußtem Zustand den Ausgang des angeschlossenen Parallel/Serienwandlers hochohmig vom Übertragungskanal ab. Sie ist niederohmig geschaltet, solange ein zugehöriger Transistor T 1.1 bzw. T 1.2 niederohmig geschaltet ist; das am Ausgang des Parallel/Serienwandlers anliegende Datum ist dann am Ausgang 1 der Ausgabeweiche abgreifbar und gelangt auf den Übertragungskanal.

Sollen beispielsweise über den Parallel/Serienwandler P/S 1.1 Daten abgegeben werden, so ist - ordnungsgerechtes Betriebsverhalten der am Sende- und Prüfvorgang beteiligten Parallel/Serien- und Serien/Parallelwandler vorausgesetzt - der Transistor T 1.1 niederohmig zu schalten. Zu diesem Zweck legen die beiden Einzelrechner MC 1.1 und MC 1.2 des sendenden Rechnerpaares positives Steuerpotential an ihre Steuerausgänge E 1.1 und E 2.2. Unter der Voraussetzung, daß der Einzelrechner MC 1.1, der die zu übertragenden Daten zur Verfügung stellt, nicht infolge eines Fehlers auch gleichzeitig an seinem Steuerausgang E 1.2 Steuerpotential führt, ist ein NAND-Glied N 1.1 durchlässig geschaltet, das dabei seinem Ausgang Bezugspotential abgibt. Dieses Bezugspotential gelangt an die Kathode einer Leuchtdiode LD 1.1, deren Anode über Entkopplungswiderstände auf dem positiven Steuerpotential des Steuerausganges E 2.2 liegt. Die Leuchtdiode ist Bestandteil eines Optokopplers, dessen Transistor T 1.1 beim Aufleuchten der Leuchtdiode niederohmig wird und dabei eine leitende Verbindung zwischen den beiden Gleichspannungsausgängen der Diodenbrückenschaltung D 1.1 herstellt. Hierdurch wird eine Verbindung vom Ausgang des Parallel/Serienwandlers P/S 1.1 über den Pegelumsetzer PU 1.1 zum Ausgang 1 der Ausgabeweiche hergestellt. Bei der angenommenen Konstellation der Steuerpotentiale sind die am Ausgang des Parallel/Serienwandlers P/S 1.1 abgreifbaren Daten auf den Ausgang der Ausgabeweiche durchgeschaltet.

Nimmt einer der beiden Einzelrechner das zum Durchschalten der Daten aus dem Parallel/Serienwandler P/S 1.1 erforderliche Steuerpotential weg, so wird die Leuchtdiode LD 1.1 wegen fehlender Potentialdifferenz an ihren Anschlußklemmen sofort dunkel und die zugehörige Diodenbrückenschaltung D 1.1 wird hochohmig. Das gleiche geschieht, wenn der Einzelrechner MC 1.1 zusätzlich oder ausschließlich an seinem Steuerausgang E 1.2 positives Steuerpotential zur Verfügung stellt. In diesem Fall verhindert ein Inverter J 1.1, daß das NAND-Glied N 1.1 an seinem Ausgang Bezugspotential abgeben kann. Das Bezugspotential am Steuerausgang E 1.2 des sendenden Einzelrechners MC 1.1 verhindert, daß der andere Rechner MC 1.2 durch Aufschalten von positivem Steuerpotential auf seinen Steuerausgang E 2.1 gleichzeitig auch die Diodenbrückenschaltung D 1.2 niederohmig schalten und damit die Ausgabe der in seinem Parallel/Serienwandler P/S 1.2 anstehenden Daten veranlassen kann.

Sollen die zu übertragenden Daten von dem jeweils anderen Einzelrechner MC 1.2 geliefert werden, so müssen die Einzelrechner der Sendeseite Steuerpotential auf die Steuerausgänge E 1.2 und E 2.1 legen. Sofern dabei der Steuerausgang E 2.2 auf Bezugspotential liegt, wird das NAND-Glied N 1.2 über den Inverter J 1.2 niederohmig geschaltet. Das dabei an dessen Ausgang abgreifbare Bezugspotential gelangt an die Kathode einer Leuchtdiode LD 1.2, deren Anode über Entkopplungswiderstände am positiven Steuerpotential des Steuerausganges E 1.2 liegt. Die Leuchtdiode LD 1.2 leuchtet auf und schaltet einen zugehörigen Transistor T 1.2, der zusammen mit ihr einen Optokoppler bildet, niederohmig. Dieser Transistor schaltet eine leitende Verbindung zwischen den Gleichspannungsausgängen der Diodenbrückenschaltung D 1.2, die bis dahin den Ausgang des Parallel/Serienwandlers P/S 1.2 hochohmig vom Ausgang 1 der Ausgabeweiche abgetrennt hatte. Solange beide Einzelrechner die angenommenen Steuerpotentiale abgeben, gelangen die am Ausgang des Parallel/Serienwandlers P/S 1.2 abgreifbaren, in einem Pegelumsetzer PU 1.2 umgesetzten Daten auf den Ausgang der Ausgabeweiche und von dort zum Übertragungskanal. Wird eines der angenommenen Steuerpotentiale bewußt oder störungsbedingt unterdrückt oder wird gleichzeitig mit dem Steuerausgang E 2.1 auch der Steuerausgang E 2.2 beaufschlagt, so wird die Verbindung zwischen dem Parallel/Serienwandler P/S 1.2 und dem Ausgang 1 der Ausgabeweiche sofort unterbrochen und damit die weitere Datenausgabe verhindert.

Die erfindungsgemäße Datenübertragungseinrichtung ist nicht beschränkt auf die Verwendung von Rechnerpaaren zum Ausgeben und Aufnehmen von Daten, sondern läßt sich vorteilhaft auch bei Rechnertripeln anwenden. Dabei sind jweils zwei Rechner an der Datenübertragung beteiligt, während der dritte zur Reserve bei Ausfall eines Rechnersystems dient. Dieser dritte Rechner übernimmt bei Ausfall eines der beiden anderen Rechner dessen Funktionen, wobei er vor seiner Inbetriebnahme einer vollständigen Funktionsprüfung zu unterziehen ist. Es ist aber auch möglich, daß dieser dritte Rechner einer laufenden Funktionsprüfung unterzogen wird, indem er sich ständig oder in gegebenen Zeitabständen mit den anderen Einzelrechnern intern vergleicht und zur Funktionsprüfung seiner Ein/Ausgabebaugruppen innerhalb der Ausfalloffenbarungszeit von Einzelausfällen für sein System über seine Ein/Ausgabebaugruppen Prüfdaten an einen oder beide anderen Einzelrechner des sendenden Rechnersystems überträgt. Desgleichen ist die erfindungsgemäße Datenübertragungseinrichtung nicht beschränkt auf ein Mehrrechnersystem mit nur zwei Rechnerpaaren oder Rechnertripeln. Vielmehr läßt sie sich mit Vorteil auch dort anwenden, wo Daten zwischen mehr als zwei Rechnerpaaren oder Rechnertripeln auszutauschen sind.

Claims (21)

1. Signaltechnisch sichere Datenübertragungseinrichtung für ein Mehrrechnersystem mit einem Rechnerpaar oder -tripel auf der Sende- und mindestens einem Rechnerpaar oder -tripel auf der Empfangsseite des Systems, deren Einzelrechner sich jeweils untereinander vergleichen und mit Ein/Ausgabebaugruppen zusammenwirken, welche die zu übertragenden bzw. die übertragenen Daten in eine für die weitere Datenübertragung bzw. die weitere Verarbeitung geeignete Form umsetzen, bei der die zu übertragenden Daten von den Rechnern des sendenden Rechnerpaares oder -tripels in Form zweier inhaltlich übereinstimmender Blöcke bereitgestellt werden, von denen der eine von einem und der andere von einem anderen Rechner stammt, und bei der die beiden Blöcke über einen einzigen Übertragungskanal nacheinander an alle Einzelrechner des bzw. der empfangenden Rechnerpaare oder -tripel übertragen werden, dadurch gekennzeichnet, daß die für den Sendebetrieb vorgesehenen Einzelrechner (z. B. MC 1.1) in zeitlichen Abständen, die höchstens gleich der zulässigen Ausfalloffenbarungszeit von Einzelausfällen für das zugehörige Rechnerpaar (MC 1.1, MC 1.2) oder -tripel einschließlich ihrer zugehörigen Ein/Ausgabebaugruppen (P/S 1.1, S/P 1.2, P/S 1.2, S/P 1.1) sind, am Ausgang ihrer Ausgabebaugruppen (P/S 1.1) abgreifbare Daten dem Eingang der dem oder den anderen Einzelrechnern (MC 1.2) des betreffenden Rechnerpaares oder -tripels zugeordneten Eingabebaugruppen (S/P 1.2) zuführen und daß diese Einzelrechner (MC 1.2) die ihnen zugeführten Daten mit von ihnen selbst erarbeiteten oder bei ihnen hinterlegten Daten auf inhaltliche Übereinstimmung prüfen und aus dem Prüfergebnis vorbestimmte Reaktionen ableiten.

2. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß diese Daten entweder an die Einzelrechner (MC 2.1, MC 2.2) eines oder mehrerer anderer Rechnerpaare oder -tripel abzusetzende Daten sind, sofern diese bits unterschiedlicher Wertigkeit in unregelmäßiger Folge beinhalten, oder aber mit dem bzw. den anderen Einzelrechnern (MC 1.2, MC 1.1) des betreffenden Rechnerpaares oder -tripels vereinbarte Prüfdaten zur Funkionskontrolle der an der Datenausgabe und der an der Dateneingabe jeweils beteiligten Ein/Ausgabebaugruppen (P/S 1.1, S/P 1.2 bzw. P/S 1.2, S/P 1.1).

3. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 1 und 2, dadurch gekennzeichnet, daß der jeweils sendende Einzelrechner, z. B. (MC 1.1) die auf den oder die Eingabebaugruppen (S/P 1.2) der übrigen Einzelrechner (MC 1.2) des sendenden Rechnerpaares oder -tripels zurückgeführten Daten auch an das oder die empfangenden Rechnerpaare (MC 2.1, MC 2.2) oder -tripel überträgt, wobei die zeitlichen Abstände für die Ausgabe der sendeseitig zu bewertenden Daten durch die kürzeste zulässige Ausfalloffenbarungszeit von Einzelausfällen für diese Rechnerpaare (MC 2.1, MC 2.2) oder -tripel vorgegeben sind, sofern diese Ausfalloffenbarungszeit kürzer ist als die für das sendende Rechnerpaar (MC 1.1, MC 1.2) oder -tripel geltende zulässige Ausfalloffenbarungszeit.

4. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 1 und 2, dadurch gekennzeichnet, daß das Feststellen inhaltlicher Abweichungen zwischen den in der Ausgabebaugruppe (z. B. P/S 1.1) des jeweils sendenden Einzelrechners (MC 1.1) und den in der Eingabebaugruppe (S/P 1.2) des jeweils mitlesenden Einzelrechners (MC 1.2) anstehenden Daten die bleibende Abtrennung der sendeseitigen Ausgabebaugruppe (P/S 1.1) vom Übertragungskanal veranlaßt.

5. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 1 und 2, dadurch gekennzeichnet, daß das Feststellen inhaltlicher Abweichungen zwischen den in der Ausgabebaugruppe (z. B. P/S 1.1) des jeweils sendenden Einzelrechners (MC 1.1) und den in der Eingabebaugruppe (S/P 1.2) des jeweils mitlesenden Einzelrechners (MC 1.2) anstehenden Daten zunächst die Wiederholung der Daten veranlaßt und daß erst das mehrmalige Feststellen von Abweichungen in Folge über eine vorgegebene zulässige Anzahl hinaus die bleibende Abtrennung der sendeseitigen Ausgabebaugruppe (P/S 1.1) vom Übertragungskanal veranlaßt.

6. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 1 und 2, dadurch gekennzeichnet, daß die für den Sendebetrieb vorgesehenen Einzelrechner die zurückzulesenden Daten jeweils mehrfach absetzen und daß erst das mehrmalige Feststellen von Abweichungen in Folge über eine vorgegebene zulässige Anzahl hinaus die bleibende Abtrennung der durch eine Störung betroffenen sendeseitigen Ausgabebaugruppe veranlaßt.

7. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 1 und 2 oder 1, 2 und 3, dadurch gekennzeichnet, daß das Feststellen von Abweichungen zwischen den den Eingabebaugruppen (S/P 2.1 und S/P 2.2) auf der Empfangsseite der Datenübertragungseinrichtung jeweils gleichzeitig übermittelten Daten dazu führt, daß die empfangsseitigen Einzelrechner (MC 2.1, MC 2.2) die Bewertung der ihren Eingabebaugruppen (S/P 2.1, S/P 2.2) zugeführten Daten bleibend sperren.

8. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 1 und 2 oder 1, 2 und 3, dadurch gekennzeichnet, daß das Feststellen von Abweichungen zwischen den den Eingabebaugruppen (S/P 2.1 und S/P 2.2) auf der Empfangsseite der Datenübertragungseinrichtung jeweils gleichzeitig übermittelten Daten zunächst die erneute Anforderung dieser Daten veranlaßt, und daß erst ein mehrmaliges Feststellen von Abweichungen in Folge über eine vorgegebene zulässige Anzahl hinaus dazu führt, daß die empfangenden Einzelrechner (MC 2.1, MC 2.2) die Bewertung der ihren Eingabebaugruppen (S/P 2.1, S/P 2.2) zugeführten Daten bleibend sperren.

9. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 1 und 2 oder 1, 2 und 3, dadurch gekennzeichnet, daß das Feststellen inhaltlicher Abweichungen zwischen den den Eingabebaugruppen (S/P 2.1 und S/P 2.2) auf der Empfangsseite der Datenübertragungseinrichtung jeweils nacheinander übermittelten Daten die erneute Anforderung dieser Daten veranlaßt.

10. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 1 bis 3, dadurch gekennzeichnet, daß die für den Sendebetrieb vorgesehenen Einzelrechner die Daten jeweils mehrfach absetzen und daß erst das mehrmalige Feststellen inhaltlicher Abweichungen zwischen den jeweils nacheinander übermittelten Daten bzw. das mehrmalige Feststellen von Abweichungen zwischen den jeweils gleichzeitig übermittelten Daten jeweils in Folge über eine vorgegebene zulässige Anzahl hinaus das endgültige Verwerfen der übermittelten Daten bzw. das bleibende Sperren der in den empfangsseitigen Eingabebaugruppen anstehenden Daten veranlaßt.

11. Signaltechnisch sichere Datenübertragungseinrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß das Aufschalten des jeweils sendenden Einzelrechners (z. B. MC 1.1) eines Rechnerpaares oder -tripels auf den Übertragungskanal (F) vom Vorhandensein entsprechender Steuersignale von mindestens zwei Einzelrechnern (MC 1.1, MC 1.2) des betreffenden Rechnerpaares oder -tripels abhängig gemacht ist.

12. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 4 oder 5 und 11, dadurch gekennzeichnet, daß die den Einzelrechnern (MC 1.1, MC 1.2) auf der Sendeseite der Übertragungseinrichtung zugeordneten Ausgabebaugruppen (P/S 1.1, P/S 1.2) Sperrschaltmittel (AW 1) aufweisen, über die die Datenausgänge der Ausgabebaugruppen hochohmig vom Übertragungskanal (F) abgetrennt sind, und daß diese Sperrschaltmittel einzeln und individuell durch die Steuersignale der Einzelrechner unwirksam zu schalten sind.

13. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 11 und 12, dadurch gekennzeichnet, daß die Sperrschaltmittel (D 1.1, D 1.2) über Schalter (LD 1.1, T 1.1; LD 1.2, T 1.2) unwirksam zu schalten sind, die nur dann in ihre Wirkstellung gelangen und dabei die Sperrschaltmittel (D 1.1, D 1.2) unwirksam schalten, wenn ihnen von dem jeweils sendenden Einzelrechner (MC 1.1) Steuerpotential der einen Wertigkeit (Low) und von mindestens einem anderen Einzelrechner (MC 1.2) des gleichen Rechnerpaares oder -tripels Steuerpotential der anderen Wertigkeit (High) zugeführt wird.

14. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 11 bis 13, dadurch gekennzeichnet, daß die Sperrschaltmittel durch Dioden-Brückenschaltungen (D 1.1, D 1.2) dargestellt sind, die mit ihrem einen Wechselspannungseingang jeweils an den Ausgang der einen bzw. anderen Ausgabebaugruppe (P/S 1.1, P/S 1.2) angeschlossen und mit ihrem anderen Wechselspannungseingang gemeinsam auf den Übertragungskanal (F) geführt sind, daß die beiden Gleichspannungsausgänge der Dioden-Brückenschaltungen über in Durchlaßrichtung geschaltete Schaltstrecken zugehöriger Transistoren (T 1.1, T 1.2) miteinander verbunden sind und daß diese Transistoren zum Durchschalten der von der jeweils zugehörigen Ausgabebaugruppe (P/S 1.1, P/S 1.2) abgegebenen Daten auf den Übertragungskanal individuell niederohmig zu schalten sind.

15. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 11 bis 14, dadurch gekennzeichnet, daß die Einzelrechner (MC 1.1, MC 1.2) auf der Sendeseite der Datenübertragungseinrichtung jeweils zwei voneinander unabhängige Steuerausgänge (E 1.1, E 1.2; E 2.1, E 2.2) aufweisen, von denen der eine (E 1.1, E 2.2) positives Steuerpotential führt, wenn der eine Einzelrechner (MC 1.1) senden soll und von denen der andere (E 1.2, E 2.1) positives Steuerpotential führt, wenn der andere Einzelrechner (MC 1.2) senden soll, daß die Transistoren (T 1.1, T 1.2) Bestandteile von Optokopplern sind, deren zugehörige Leuchtdioden (LD 1.1, LD 1.2) mit ihrer Anode an den einen Steuerausgang (E 2.2, E 1.2) des einen Rechners (MC 1.2, MC 1.1) und mit ihrer Kathode an den Ausgang eines NAND-Gliedes (N 1.1, N 1.2) angeschlossen sind, das an seinem Ausgang Bezugspotential führt, wenn an seinen beiden Eingängen positives Steuerpotential anliegt, von denen das eine von dem einen Steuersignalausgang (E 1.1, E 2.1) des betreffenden Einzelrechners (MC 1.1, MC 1.2) und das andere vom Ausgang eines Inverters (J 1.1, J 1.2) stammt, der eingangsseitig an dem anderen Steuersignalausgang (E 1.2, E 2.2) des betreffenden Einzelrechners liegt und ein dort anliegendes Bezugspotential ausgangsseitig in ein positives Steuerpotential umsetzt.

16. Signaltechnisch sichere Datenübertragungseinrichtung nach mindestens einem der Ansprüche 1 bis 15, dadurch gekennzeichnet, daß jedem Einzelrechner (MC 1.1, MC 1.2) Schaltmittel (AS 1.1, AS 1.2) zum Auftrennen der Verbindung von den Ausgabebaugruppen (P/S 1.1, P/S 1.2) auf der Sendeseite der Übertragungseinrichtung zum Übertragungskanal (F) zugeordnet sind.

17. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der Übertragungskanal als eine über Modems (M 1, M 2) betriebene Fernmeldeleitung (F) ausgebildet ist.

18. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der Übertragungskanal als Lichtwellenleiter ausgebildet ist.

19. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß der Übertragungskanal als Bussystem ausgebildet ist.

20. Signaltechnisch sichere Datenübertragungseinrichtung nach den Ansprüchen 1, 2, 3 oder 9, dadurch gekennzeichnet, daß die von den für den Sendebetrieb vorgesehenen Einzelrechnern eines Rechnerpaares oder -tripels erarbeiteten oder bei ihnen hinterlegten Daten in unterschiedlicher Weise codiert sind.

21. Signaltechnisch sichere Datenübertragungseinrichtung nach Anspruch 20, dadurch gekennzeichnet, daß die Daten jeweils invertiert dargestellt sind.