DEVICE FOR TESTING THE FUNCTIONS OF A MULTI-COMPUTER SYSTEM

Abstract: 1. A device for checking the functioning of a multi-computer system comprising n > 2 parallel operators, identical computers and at least one output channel which is supplied by said computers, a control device which, by comparing the data telegrams separately processed by the computers, is capable of recognising an incorrectly operating computer, and a data output device which, in accordance with the output signals of the control device, suppresses the output signals of a computer which has been recognised as defective, characterised in that a) the data output device (DA) is designed as a multiplexer which can be driven cyclically in test operation and which has n multiplexer switches (M1, M2, M3) for the selective switch-through of in each case (n-1) input channels to an output channel, that b) the input channels which lead to a multiplexer switch (e.g. M1) are each connected to (n-1) computers of a computer combination (R1, R2) of the n computers (R1, R2, R3) that differs from the computer combinations (R1, R3 and R2, R3) of the other multiplexer switches (M2, M3), that c) each multiplexer switch switches a different member of the n input channels to its output channel and that d) in order to compare the data telegrams occurring at each multiplexer switch (e.g. M1) with a telegram of another computer, the output channel of each multiplexer switch leads to that computer (R3) which does not form part of the computer combination (R1, R2) that feeds the multiplexer switch in question.

Description: Einrichtung zur Funktionsprüfung eines Mehrrechnersystems Die Erfindung bezieht sich auf eine Einrichtung zur Funktionsprtiiung eines Mehrrechnersystems mit n parallel betriebenen, gleichartigen Rechnern und m von diesen beschickten Ausgabekanälen, einer Steuereinrichtung, die durch Vergleich der von den Rechnern getrennt erarbeiteten Datentelegramme einen fehlerhaft arbeitenden Rechner zu erkennen vermag, und einer Datenausgabeeinrichtung, die unter Massgabe der Ausgangssignale der Steuereinrichtung die Ausgangssignale eines als defekt erkannten Rechners unterdrückt. Aus der DE-AS 21 08 496 ist eine Schaltungsanordnung zur ständigen Funktionskontrolle der Informationsverarbeitung und der Ausgabe von Datentelegrammen bekannt, die durch externen Vergleich von in mehreren gleichartigen Rechnern getrennt erarbeiteten Datentelegrammen einen nicht ordnungsgerecht arbeitenden Rechner erkennt und dessen Ausgangssignale unterdrtckt. Ausgegeben werden Datentelegramme, deren Informationsteil von einem als nicht defekt erkannten Rechner und deren Prüf- teil von einem anderen ebenfalls als nicht defekt erkannten Rechner bereitgestellt werden. Zur Funktionsprüfung werden Uber die Ausgänge der Rechner dann absichtlich gefälschte Datentelegramme abgegeben, wenn der entsprechende Rechner gerade nicht von einer Steuereinrichtung zur Abgabe eines Datentelegrammes auf die Datenausgabekanäle ausgewählt ist. Zum bestimmungsgemässen Arbeiten dieser bekannten Schaltungsanordnung ist eine in signaltechnischem Sinne sichere Durchschalteeinrichtung vorgesehen, über die die Ausgangssignale der Rechner auf die Ausgabekanäle gelangen. Diese Durchschalteeinrichtung soll sicherstellen, dass ausschliesslich die Ausgangssignale der Jeweils als ordnungsgerecht erkannten Rechner und nicht etwa solcher eines oder mehrerer defekter Rechner fortgeschaltet werden.Durch die Ausführung in fail-safe-Technik wird erreicht, dass Jeder dieses Funktionsverhalten in Frage stellende Defekt innerhalb der Datendurchschalteeinrichtung selbst die weitere Ausgabe von Datentelegrammen auf die Ausgabekanäle verhindert. Aufgabe der vorliegenden Erfindung ist es, eine Einrichtung nach dem Oberbegriff des Patentanspruches anzugeben, die ohne eine in fail-safe-Technik realisierte Datendurchschalteeinrichtung auskommt. Die Einrichtung soll dabei so ausgebildet sein, dass nicht Jede beliebige Störung innerhalb des Mehrrechnersystems bereits zum Abschalten des Systems führt, sondern eine solche Massnahme soll nur dann vorgenommen werden, wenn keine gesicherte Datenausgabe mehr möglich ist; Störungen, die sich durch Abschalten eines Rechners und/ oder Aufschalten eines intakten Rechners auf einen Datenausgabekanal beseitigen lassen, sollen keine Auswirkungen auf die gesicherte Datenausgabe haben. Diese Aufgabe löst die Erfindung für eine im Oberbegriff des Patentanspruches 1 angegebene Einrichtung durch die im Kennzeichen des Anspruches 1 angegebenen Merkmale. Vorteilhafte Ausbildungen der erfindungsgemässen Einrichtung sind in den Unteransprüchen angegeben. Eine besonders vorteilhafte Ausführungsform der Erfindung sieht vor, dass die Rechner selbst evtl. auftretende Defekte nach Art und Ort des Defektes bestimmen und dass ausschliesslich die als ordnungsgerecht arbeitend erkannten Rechner die nicht ordnungsgerecht arbeitenden Rechner abschalten, die Ausgabekanäle des Systems auf intakte Rechner aufschalten bzw. die'Ab- schaltung des Mehrrechnersystems herbeiführen. Die Erfindung ist nachstehend anhand der Zeichnung näher erläutert. In der Zeichnung sind nur dieJenigen Elemente dargestellt, die zur Erläuterung der Erfindung unbedingt erforderlich sind. Die Zeichnung zeigt in Figur 1 ein Mehrrechnersystem mit einer durch externe Vergleicher gesteuerten Datenausgabeein richtung, in Figur 2 ein Mehrrechnersystem mit durch die Rechner gesteuerter Datenausgabeeinrichtung und in den Figuren 3a und 3b tabellarisch aufgelistete Ver gleichs- und Steuersignale der Rechner bei verschiedenen Defekten und die von diesen Steuersignalen veranlassten Reaktionen des Mehrrechnersystems. Figur 1 zeigt ein aus drei gleichartigen Rechnern R1 bis R3 gebildetes Rechnersystem, das über symbolisch angedeutete Busleitungen BL mit Prozessdaten versorgt wird und über Ausgabekanäle Al, A2 dem Prozess Daten in Form von Datentelegrammen zur Verfügung stellt. Zum Ausgeben-von Daten auf die Ausgabekanäle Al und A2 des Systems dient-eine als Multiplexer ausgebildete Datenausgabeeinrichtung DA. Diese Datenausgabeeinrichtung besteht aus drei Multiplexerschaltern M1 bis M3, die von einer zugehdrigen Multiplexer-Steuereinrichtung St individuell steuerbar sind. Jeder Multiplexerschalter weist zwei Eingänge und einen Ausgang auf. An die beiden Eingänge Jedes Multiplexerschalters sind Jeweils zwei der drei Rechner angeschlossen ¯und zwar in einer Kombination, die verschieden ist von der Rechnerkombination, die auf die anderen Multiplexerschalter aufgeschaltet wird. Jeder Multiplexerschalter schaltet dabei einen anderen der drei von den drei Rechnern gespeiste Eingangskanäle auf seinen Ausgangskanal. Für den Vergleich der von den Rechnern erarbeiteten Datentelegramme sind Vergleicher V1 bis V3 vorgesehen. Der eine Eingang Jedes dieser Vergleicher ist an den Ausgang Jeweils eines der Rechner und der andere Eingang an den Ausgang desJenigen Multiplexerschalters angeschlossen, dessen Eingänge auf die beiden anderen Rechner geführt sind. In einer ersten Prüfphase eines Prüfbetriebes mögen die Multiplexerschalter M1 bis M3 die dargestellte Schaltstellung einnehmen. In dieser Schaltstellung ist der Vergleicher V1 an den Ausgang des Rechners R1 direkt und über den Multiplexerschalter M3 an den Ausgang des Rechners R3 angeschlossen. Er vergleicht die ihm von beiden Rechnern zugeführten Datentelegramme und meldet ein entsprechendes Ergebnissignal an die Multiplexer-Steuereinrichtung St. In entsprechender Weise ist der Vergleicher V2 an in Ausgang des Rechners R2 und über den Multiplexerschalter M2 an den Ausgang des Rechners R1 angeschlossen, während der Vergleicher V3 die Datentelegramme des Rechners R3 mit denen des Rechners R2 vergleicht. Eine erste Prüf- phase des Prüfbetriebes ist beendet wenn die Vergleich cher ihre Vergleichsergebnisse an die Multiplexer Steuereinrichtung St gemeldet haben. Auf die erste Prüfphase folgt eine zweite Prüfphase, für die die Multiplexer-Steuereinrichtung St - beispielsweise veranlasst durch einen zu Beginn der ersten Prüfphase eingestellten Zeitschalter - die Umsteuerung der Multiplexerschalter veranlasst. Der Vergleicher V1 ist nun an den Rechner R1 und über den Multiplexerschalter M3 an den Rechner R2 angeschlossen. Der Vergleicher V2 vergleicht die Datentelegramme des Rechners R2 mit denen des Rechners R3 und der Vergleicher V3 ist auf den Rechner R3 und den Rechner R1 geschaltet. Die zweite Prüfphase ist abgeschlossen, wenn die Vergleicher das von ihnen festgestellte Vergleichsergebnis an die Multiplexer Steuereinrichtunz St gemeldet haben. Die Multiplexer-Steuereinrichtung erkennt auf die gleiche Art und Weise wie in der DE-AS 21 08 496 angegeben aus den ihr gemeldeten Vergleichsergebnissen ob die über die Datenausgabeeinrichtung DA Jeweils durchgeschalteten Rechner übereinstimmende Datentelegramme ausgeben oder nicht. Solange dies der Fall ist gibt die Steuereinrichtung die weitere Datenverarbeitung frei. Ist dies nicht der Fall, so lokalisiert sie die Störung nach Art und Ort und reagiert in einer Weise, die eine Gefährdung des Prozesses oder seines Umfeldes durch fehle:hafte Rechnerdaten ausschliesst: Wenn eine Störung auf minen Rechner oder auf bestimmte Eingänge der Multiplexerschalter zu lokalisieren ist bewirkt die Multiplaxer-Steuereinrichtung St die Abschaltung des Jeweils als nicht ordnungsgerecht arbeitend erkannten Rechners und die bleibende Aufschaltung eines als ordnungtgerecht arbeitend erkannten Rechners auf den oder die betreffenden Multiplexerschalter. Liegt eine Störung vor, die durch Abschalten eines Rechners und bleiben:#es Aufschalten eines anderen Rechners auf die Multipnexerschalter nicht behoben werden kann, beispielswtlse wenn einer der Ausgabekanäle Al oder A2 unterbrochen ist, dann veranlasst die Multiplexer Steuereinrichtung St die Abschaltung des Gesamtsystems. Eine Funktionsprüfung des Mehrrechnersystems kann grundsätzlich zu Jedem beliebigen Zeitpunkt stattfinden. Vorteilhaft ist es, die Funktionsprüfung des Mehrrechnersystems durch Abrufen eines dafür vorgesehenen Prüfprogrammes beim Erreichen vorgegebener Fixpunkte des Rechnerverarbeitungsprogrammes zu veranlassen und das Rechnerverarbeitungsprogramm für die Dauer der Funktionsprüfung zu unterbrechen. Derartige Rechnerprogramm-Fixpunkte können beispielsweise vor das Abarbeiten von Befehlen mit sicherheitstechnischer Auswirkung gesetzt sein. Es ist zweckmässig, die Ausgabe der von den Rechnern erarbeiteten Datentelegramme während des Prüfbetriebes an den Prozess zu verhindern. Dies lässt sich erreichen, indem man die am Ausgang der Datenausgabeeinrichtung während des Prüfbetriebes anliegenden Datentelegramme einer fiktiven Adresse zuordnet oder indem man beispielsweise durch Gatterschaltungen die Ausgabe der auf den Ausgabekanälen liegenden Datentelegramme vor übergehend sperrt. Dadurch, dass in den Vergleich der von verschiedenen Rechnern stammenden Datentelegramme die am Ausgang der Datenausgabeeinrichtung anliegenden Datentelegramme einbezogen sind, kann die Steuereinrichtung eine gesicherte Aussage darüber machen, ob tatsächlich Daten von als ordnungsgerecht arbeitend erkannten Rechnern auf die Ausgabekanäle gelangen oder nicht. Die Datenausgabeeinrichtung braucht deshalb nicht in failsafe-Technik realisiert sein, sondern es genügt, hierfür handelsübliche Schaltmittel zu verwenden. Jeder Bauteilfehler innerhalb der Datenausgabeeinrichtung macht sich mindestens dann, wenn Datentelegramme eines fehlerhaft arbeitenden Rechners auf einen Ausgabekanal gelangen könnten, über die Vergleichsergebnisse bemerkbar, so dass sich nötigenfalls das System abschalten lässt. Hat die Multiplexer-Steuereinrichtung aus den ihr zugeführten Ergebnissignalen einen defekten Eingangskanal geortet oder einen defekten Rechner erkannt und die Ausgabekanäle über den Multiplexer auf solche Eingangskanäle geschaltet, über die ordnungsgerechte Datentelegramme zu erwarten sind, dann arbeitet das dargestellte Dreirechnersystem als Zweirechnersystem weiter. Muss die Steuereinrichtung zur Fortführung des Betriebes mindestens einen der Multiplexerschalter aus seiner in der zweiten Prüfphase eingenommenen Schaltstellung in die Jeweils andere Schaltstellung umsteuern, so ist es vorteilhaft, vor der Freigabe der Daten einen erneuten Vergleich der anliegenden Datentelegramme durchzuführen. Auf diese Weise wird geprüft, ob nach dem Umsteuern der Datenausgabeeinrichtung auf den Ausgabekanälen tatsächlich übereinstimmende Daten anliegen oder nicht. Da das angenommene Dreirechnersystem bei Ausfall eines Rechner; als Zweirechnersystem weiterarbeitet, kann beim Feststellen dieses Defektes bzw. wird beim Durchführen eines folgenden Prüfvorganges nach dem Abs schalter, eines Rechners der Fall eintreten, dass je- weils nur von zwei Rechnern Ergebnissignale an die Steuere:#nrichtung abgesetzt werden. Aus diesem Grunde ist die Umsteuerung d r Multiplexerschalter für das Einleiten der zweiten Prüfphase bzw. die gezielte Umsteueiang einzelner Multiplexerschalter im Anschluss tn die zweite t > rüfphase nicht abhängig zu machen vom Vorliegen aller Ergebnissignale,sondern es reicht aus, die Umsteuerung der Multiplexerschalter ausser von einer Zeitbedingung abhängig zu machen vom Vorhandensein der Ergebnissignale mindestens zweier Vergleicher bzw. Rechner. Figur 2 zeigt eine bevorzugte Ausführungsform der Erfindung,bei der die Rechner selbst die Vergleichsergebnisse bilden. Die Rechner speichern die von ihnen gebildeten Vergleichsergebnisse ab und geben diese Vergleichsergebnisse mindestens an diejenigen Nachbar Rechner weiter, welche diesen Vergleich nicht selbst durchführen können. So vergleicht z.B. der Rechner R1 die ihm über den Multiplexerschalter M3 zugeführten Datentelegramme des Rechners R3 mit den von ihm selbst erarbeiteten Datentelegrammen und speichert das Vergleichsergebnis, das in Figur 2 durch den Buchstaben V mit den Indizes 13 für die sich vergleichenden Rechner symbolisiert ist, ab. In entsprechender Weise bildet der Rechner R2 ein Vergleichsergebnis V21 und der Rechner R3 ein Vergleichsergebnis V32. Veranlasst durch das Vorliegen der Vergleichsergebnisse und/oder veranlasst durch den Ablauf einer vorgegebenen Zeitspanne steuert der Multiplexer-Steuerschalter St nach Ablauf der ersten Prüfphase sämtliche Multiplexerschalter MI bis M2 in die jeweils andere Schaltstellung. Dabei vergleicht der Rechner R7 die von ihm selbst erarbeiteten Datentelegramme mit denen des Rechners 2 und bildet das Vergleichsergebnis V120 Der Rechner R2 vergleicht sich mit dem Rechner R3 und bildet das Vergleichsergebnis V23 und der Rechner R3 vergleicht sich mit dem Rechner R1 und bildet das Vergleichsergebnis V31. Über die jeweils durchgeschalteten Ausgangsleitungen der Rechner informieren sich die Rech ner gegenseitig über die von ihnen gebildeten und von ihnen gespeicherten Vergleichsergebnisse. So über mittelt der Rechner R1 sein Vergleichsergebnis V13 an den Rechner R2 und sein Vergleichsergebnis V12 an den Rechner R3, während der Rechner R2 seine Vergleichsergebnisse V21 und V23 an den Rechner R3 bzw. R1 übermittelt. Die von anderen Rechnern Jeweils übermittelten Vergleichsergebnisse sind in Figur 2 oberhalb der Rechner in Klammern angegeben. Aus diesen Vergleichs ergebnissen sollen nun die Rechner im Falle einer Störung die Art und den Ort der Störung selbsttätig erkennen und die entsprechenden Reaktionen, d.h. das Abschalten eines Rechners, das Aufschalten von als ordnungsgerecht erkannten Rechnern auf die Ausgabekanäle bzw. das Abschalten des Mehrrechnersystems herbeiführen. Im nachfolgenden ist angegeben, auf welche Weise dies bei dem angenommenen Dreirechnersystem im einzelnen geschieht. Hierzu wird davon ausgegangen, dass Jeder der Rechner aufgrund der von ihm selbst gebildeten und der ihm übermittelten Vergleichsergebnisse zwei Steuersignale zu setzen vermag, die für die Steuerung der Multiplexer-Steuereinrichtung St benötigt werden. Diese Steuersignale werden nur dann gesetzt, wenn für die betreffenden Rechner bestimmte Bedingungen erfüllt sind, nämlich die, dass die von einem Rechner aktiv durchgeführten Vergleiche mit den Datentelegrammen der Nachbar-Rechner zu einem positiven Ergebnis geführt haben und wer.n ausserdem feststeht, dass die Datentelegramme der F.#chner, mit denen er sich aktiv verglichen hat, au(:h von dem Jeweils anderen Rechner als ordnungsgerech. anerkannt wurden bzw. dass diese Anerkennung deshal#: : ausgeblieben ist, weil durch das von ihm gebildete weitere Vergleichsergebnis fest gestellt wurde, dass das fragliche Vergleichsergebnis deshalb nicht positiv ausfallen konnte, weil der in den Vergleichsvorgang einbezogene fremde Rechner ein fehlerhaftes Datentelegramm ausgab. Die Gesetzmässigkeiten, nach denen die Steuersignale sich bestimmen, lauten damit folgendermassen: EMI10.1 Hierin sind12 und S13 die beiden Steuersignale eines Rechners 1 und V das die Ubereinstimmung, V das die Nichtübereinstimmung der Datentelegramme der indizierten Rechner 1 bis 3 kennzeichnende Vergleichsergebnis. In entsprechender Weise wie die Steuersignale S12 und S13 durch den Rechner R1 gebildet werden werden auch die Steuersignale S21 und S23 bzw. S31 und S32 durch die beiden anderen Rechner gebildet. In den Figuren 3a und 3b sind sämtliche möglichen Kombinationen von Vergleichsergebnissen aufgelistet wie sie sich bei den verschiedenen möglichen Defekten innerhalb des Systems ergeben können. Dabei ist ein Defekt auf einem Eingangskanal eines Multiplexerschalters durch die Benennung dieses Schalters zusammen mit einem Kennzeichen für den diesen Eingang speisenden Rechner und ein Defekt auf dem Ausgangskanal eines Multiplexers durch die alleinige Benennung dieses Schalters gekennzeichnet. Aus der Auflistung der Figuren 3a und 3b ergibt sich, dass im Störungsfall das Dreirechnersystem durch Abschalten eines Rechners und Aufschalten der Aufgabekanäle auf als ordnungsgerecht arbeitend erkannte Rechner in ein Zweirechnersystem mit überprüften Datentelegrammen um gesetzt werden kann, wenn die Steuersignalkombinationen die nachfolgend tabellarisch angeführte Zuordnung aufweisen: EMI11.1 <tb> 5 <SEP> S <SEP> C <SEP> #22 <SEP> Reaktion <tb> <SEP> 12 <SEP> S13 <SEP> S21 <SEP> S23 <SEP> <tb> X <SEP> X <SEP> 0 <SEP> <SEP> 1 <SEP> 0 <SEP> 1 <SEP> R1 <SEP> <SEP> abschalten <tb> <SEP> 0 <SEP> 1 <SEP> X <SEP> X <SEP> 1 <SEP> 0 <SEP> R2 <SEP> abschalten <tb> <SEP> 1 <SEP> 0 <SEP> 1 <SEP> . <SEP> O <SEP> X <SEP> X <SEP> R3 <SEP> abschalten <tb> Dabei bedeuten eine 1 für ein Steuersignal, dass das betreffende Steuersignal gesetzt wurde, eine 0, dass das betreffende Steuersignal nicht gesetzt wurde und ein X, dass es für die Reaktion des Systems nicht darauf ankommt, ob das betreffende Steuersignal gesetzt oder nicht gesetzt ist. Alle übrigen Steuersignalkom binationen mit Ausnahme der den ordnungsgerechten Betrieb des Systems kennzeichnenden Folge 111111 veranlassen die Abschaltung des Rechnersystems. Beim Feststellen eines nicht ordnungsgerecht arbeitenden Rechners werden dessen Steuersignale beispielsweise durch Abschalten der Stromversorgung für diesen Rechner irreversibel auf null gesetzt. Das System arbeitet dann als Zweirechnersystem weiter. Beide noch intakten Rechner können sich weiterhin vergleichen und Steuersignale bilden. Bei Defekt eines weiteren Rechners wird dies von dem dann noch intakten Rechner erkannt. Dieser Rechner veranlasst über seine Steuersignale das irreversible Abschalten des gesamten Systems. Aus der tabellarischen Zuordnung der Steuersignale zu der durch sie veranlassten Reaktion ist zu erkennen, dass die Abschaltung eines defekten Rechners ausschliesslich durch die Steuersignale der als ordnungsgerecht arbeitend erkannten beiden anderen Rechner erfolgt. Damit ist die Möglichkeit gegeben, ohne zusätzliche Gerätschaften für die Steuerung der Multiplexer Steuereinrichtung auszukommen, weil die Multiplexer Steuerung ausschliesslich durch die Signale der noch ordnungsgerecht arbeitenden Rechner, nicht aber durch einen gestörten Rechner, wirksam gesteuert wird. Die in der tabellarischen Auflistung der Figuren 3a un 3b angegebenen Reaktionen auf die jeweils angenommenen Defekte haben nicht absoluten Charakter. Sie sind dort nach sicherheitstechnischen Gesichtspunkten festgelegt worden, nach denen der Ausfall jedes nicht redundanten Elementes die Abschaltung des Systems herbeiführen sollte.Es ist aber durchaus denkbar, im Einzelfall weniger strenge Massstäbe an die Fortführung des Betriebes im Störungsfall zu legen als im dargestellten Ausführungsbeispiel angenommen. So sollte z.B. nach Figur 3b der Ausfall des Multiplexerschalters M2 bereits die Abschaltung des Gesamtsystems herbeiführen. Da der Schalter M2 an der Ausgabe von Daten auf den Ausgabekanälen Al und A2 nicht beteiligt ist, also keine direkten Auswirkungen aus dem angenommenen Defekt zu erwarten sind, kann es ggf. durchaus genügen, diese Störung in eine Störungsmeldung umzusetzen und das System im übrigen weiterarbeiten zu lassen. In entsprechender Weise liessen sich bei weniger strengen Sicherheitsanforderungen an das Rechnersystem zu einzelnen weiteren Defekten auch andere, weniger gravierende Reaktionen zuordnen. Die erfindungsgemässe Einrichtung ist auch auf Datenverarbeitungssysteme mit mehr als drei Rechnern anwendbar, allerdings werden dann die von den Rechnern für die Multiplexer-Steuereinrichtung benötigten Steuersignale entsprechend zu modifizieren sein und auch die einzelne oder gegebenenfalls auch mehrere Rechner abschaltenden Steuersignalkombinationen müssen aus entsprechenden tabellarischen Auflistungen neu bestimmt werden. Diese Bestimmung bereitet dem Fachmann jedoch keine unüberwindlichen Schwierigkeiten. 3 Figuren 9 Ansprüche

Claims: Patentansprüche 1. Einrichtung zur Funktionsprüfung eines Mehrrechnersystems mit n parallel betriebenen, gleichartigen Rechnern und m von diesen beschickten Ausgabekanälen, einer Steuereinrichtung, die durch Vergleich der von den Rechnern getrennt erarbeiteten Datentelegramme einen fehlerhaft arbeitenden Rechner zu erkennen vermag und einer Datenausgabeeinrichtung, die unter¯Mass- gabe der Ausgangssignale der Steuereinrichtung die Ausgangssignale eines als defekt erkannten Rechners unterdrückt, d a d u r c h g e k e n n z e i c h n e t, dass a) die Datenausgabeeinrichtung (DA) als im Prüfbetrieb zyklisch durchsteuerbarer Multiplexer mit n Multiplexerschaltern (M1, M2, M3) zum wahlweisen Durchschalten von Jeweils (n-1) Eingangskanälen auf Jeweils einen Ausgangskanal ausgebildet ist, dass b) die auf einen Multiplexerschalter (z.B. M1) geführten Eingangskanäle an Jeweils (n-1) Rechner einer Rechnerkombination (R7, R2) der n Rechner (R1, R2, R3) angeschlossen sind, die verschieden ist von den Rechnerkombinationen (R1, R3 und R2, R3) der anderen Multiplexerschalter (M2, M3), dass c) Jeder Multiplexerschalter einen anderen der n Eingangskanäle auf seinen Ausgangskanal schaltet und dass d) der Ausgangskanal Jedes Multiplexerschalters (z.B. M1) für den Vergleich der dort Jeweils anliegenden Datentelegramme mit einem Datentelegramm eines anderen Rechners auf denen nigen Rechner (R3) geführt ist, der nicht zu der den betreffenden Multiplexerschalter speisenden Rechnerkombination (R1, R2) gehört. 2. Einrichtung nach Anspruch 1, d a d u r c h g e - k e n n z e i c h n e t , dass die Funktionsprüfung des Mehrrechnersystems durch Abrufen eines dafür vorgesehenen Prüfprogrammes beim Erreichen vorgegebener Fixpunkte des Rechner-Verarbeitungsprogrammes veranlasst ist und das Rechner-Verarbeitungsprogramm für die Dauer der Funktionsprüfung unterbricht. 3. Einrichtung nach Anspruch 1 oder 2, d a d u r c h g e k e n n z e i c h n e t, dass das Prüfprogramm den während der Funktionsprüfung des Mehrrechnersystems am Ausgang der Datenausgabeeinrichtung anliegenden Datentelegrammen eine fiktive Adresse zuordnet. 4. Einrichtung nach Anspruch 1 oder 2, d a d u r c h g e k e n n z e i c h n e t, dass die Steuereinrichtung die Ausgabe der während der Funktionsprüfung des Mehrrechnersystems am Ausgang der Datenausgabeeinrichtung anliegenden Datentelegramme sperrt. 5. Einrichtung nach einem der Ansprüche 1 bis 4, d a d u r c h g e k e n n z e i c h n e t, dass die Rechner selbst die Vergleichsergebnisse bilden, dass die Rechner (z.B. R1 in Fig. 2) die von ihnen gebildeten Vergleichsergebnisse (z.B. V12)abspeichern und die gespeicherten Vergleichsergebnisse mindestens an die jenigen Rechner (R3) weitergeben, welche diesen Vergleich nicht selbst durchführen können bis alle Rechner (R1, R2, R3) über mindestens (n-2) Vergleichsergebnisse unterrichtet sind und dass die Rechner aufgrund der ihnen bekannten Vergleichsergebnisse einen aufgetretenen Defekt nach Art und Ort bestimmen. 6. Einrichtung nach Anspruch 5, d a d u r c h g e k e n n z e i ch n e t, dass die Rechner (z.B. R1) ein von ihnen aufgrund des Vergleichs mit den Datentelegrammen eines anderen Rechners (z.B. R2) Jeweils gebildetes und gespeichertes Vergleichsergebnis (V12) beim Durchführen des Jeweils folgenden Telegrammvergleiches mit einem weiteren Rechner (R3) an diesen weiteren Rechner übermitteln. 7. Einrichtung nach Anspruch 5 oder 6, d a d u r c h g e k e n n z e i c h n e t, däss die Rechner die ermittelten und die ihnen übermittelten Vergleichsergebnisse daraufhin untersuchen, ob sich die Ausgabekanäle (A7, A2) des Multiplexers (DA) ausschliesslich auf als ordnungsgerecht erkannX Rechner (R1, R2, R3) aufschalten lassen und dass die Rechner bei positivem Resultat diese Aufschaltung veranlassen, dagegen bei negativem Resultat das Mehrrechnersystem abschalten. 8. Einrichtung nach Anspruch 5 und 7, d a d u r c h g e k e n n z e i c h n e t, dass ausschliesslich die als ordnungsgerecht arbeitend erkannten Rechner (z.B. R2, R3) die als nicht ordnungsgerecht arbeitend erkannten Rechner (R1) abschalten und die Umsteuerung des Multiplexers (DA) bzw. die Abschaltung des Mehrrechnersystems herbeiführen. 9. Einrichtung nach Anspruch 8 für die Verwendung in einem Drei-Rechnersystem, d a d u r c h g e k e n n z e i c h n e t, dass Jeder Rechner (z.B. R7) nach dem Bilden zweier Vergleichsergebnisse (V12,V13) und der Kenntnisnahme mindestens derJenigen Vergleichsergebnisse (V32, V25) seiner beiden Nachbarrechner (R2, R3), die sich nicht . auf ihn beziehen, zwei Steuersignale (S12 S, setzt (1), sofern die folgende Bedingung erfüllt ist: : EMI17.1 worin S12 und S13 die beiden Steuersignale eines Rechners 1 sind und V ein die Ubereinstimmung, V ein die Nicht übereinstimmung der Datentelegramme der indizierten Rechner 1 bis 3 kennzeichnendes Vergleichsergebnis darstellt und dass alle dabei auftretenden Steuersignalkombinationen der Rechner (R1, R2, R3) mit Ausnahme der folgenden tabellarisch angegebenen Reaktionszuordnung EMI17.2 <tb> S12 <SEP> <SEP> S13 <SEP> S21 <SEP> <SEP> S23 <SEP> S31 <SEP> <SEP> S32 <SEP> <SEP> Reaktion <tb> <SEP> 1 <SEP> 1 <SEP> 1 <SEP> 1 <SEP> 1 <SEP> 1 <SEP> System <SEP> in <SEP> Ordnung <tb> X <SEP> X <SEP> 0 <SEP> <SEP> 1 <SEP> 0 <SEP> 1 <SEP> Rechner <SEP> 1 <SEP> abschalten <tb> <SEP> 0 <SEP> 1 <SEP> X <SEP> X <SEP> 1 <SEP> 0 <SEP> Rechner <SEP> 2 <SEP> abschalten <tb> <SEP> 1 <SEP> 0 <SEP> 1 <SEP> 0 <SEP> X <SEP> X <SEP> Rechner <SEP> 3 <SEP> abschalten <tb> (X = beliebig 1 oder 0) die Abschaltung des Rechnersystems veranlassen.

Inventors: BUSCH, ARMIN, DIPL.-ING.
Applicants: SIEMENS AKTIENGESELLSCHAFT BERLIN UND MUNCHEN
Application year: 1981
Main classification: G06F11
IPC codes: G06F11