CN101243403A - 用于监视计算器系统的功能的方法和装置 - Google Patents

Abstract

用于监视具有至少两个执行单元的计算器系统的功能的方法和装置，其中在至少两个运行模式之间切换，并且第一运行模式对应于比较模式，第二运行模式对应于性能模式，由第二功能监视第一功能，其中，第二功能在至少两个执行单元上运行在比较模式下，而且每个在至少两个执行单元上运行的第二功能都监视同一个第一功能。

Description

用于监视计算器系统的功能的方法和装置

背景技术

在嵌入式系统的领域，例如在汽车技术或自动化技术中，对一些应用来说μC硬件中的错误可能具有潜在的与安全有关的结果。为了避免这样的结果或者减小影响严重程度，采用应当检测到该错误的监视措施。在一些应用中这样的监视几乎一直都需要，而在另一些应用中存在定期地(例如周期地)或者应特定的要求检查计算器或其它部件是否还正确工作的监视功能。本发明就涉及这样的应用。

在这些应用中作为监视功能的一部分例如执行校验例程，该校验例程检查专用部件是否还能工作。这例如在于，用默认输入值计算真实功能算法的一部分，然后将已经知道的结果与存储的参考值相比较。该存储的参考值可以事先计算，因为默认输入值和该算法在产生该软件的时刻就已知。

另一种类型的监视功能通过有针对性的对输出信道加载来实现。这可能与对传感器值的返回读取组合，然后将该传感器值存放在特定区域。还存在很多其它变形。

所有这些监视方法的共同点是，它们以软件运行和受到控制(可能在μC外部的HW器件的辅助下)并检查系统的可工作性。

在所考察的检查措施中，要非常小心地注意μC核中会影响整个软件的错误不会导致监视例程本身不能工作。正是针对可证明性，必须在评价措施时确保该核本身以及在核上运行的检查软件都正确运行。在该前提条件下可以可证明地保证检查例程本身也正确运行。这在总体上导致必须在检查核本身以及其它检查例程与核错误之间的独立性中投入非常多的努力。

在自动化技术中，通常在几个地点谈论所谓的安全功能。该安全功能在整个应用中应当要单独识别出来并存档，而且一般必须对应于标准(例如IEC 61508)的要求。即使没有标准是有效的，也要在这些安全功能中对错误识别提出特别高的要求，而且不是总能对要监视的对象执行监视功能。

此外在公知的检查措施中，通常在检查能否工作时该检查仅涉及在特定上下文中的可工作性。即通常不是监视每个或当前有效的上下文中的可工作性，而是仅在默认上下文中检查可工作性。

发明内容

本发明要解决的技术问题是改善内嵌系统的安全性，其中可以取决于上下文地对可工作性进行检查，并由此改善监视功能的质量。此外还应当实现在控制计算机上运行安全功能的手段，并且应当给出安全功能的优选实施手段。另一个要解决的技术问题在于，减小在开发和运行以SW运行的监视功能中的代价。

因此本发明的优点在于，在执行监视功能时一起检查该监视功能是否正确和无错误(涉及HW错误)地工作。因此可以检测监视功能中的错误。由此实现明显更为简单的安全概念。软件中的监视在此获得了对执行单元的错误的100％的覆盖率，该错误是在工作时显现的。实现了将上下文考虑在内的对可工作性的检查。安全概念的开发代价由此降低。整个系统复杂度降低。该概念很容易扩展到让其它与安全有关的功能也能在比较模式下运行。该概念允许简单地实施安全功能，并且允许该安全功能一起在控制计算机上运行在特殊的模式下。

优选地描述了一种用于监视具有至少两个执行单元的计算器系统的功能的方法，其中在至少两个运行模式之间切换，并且第一运行模式对应于比较模式，第二运行模式对应于性能模式，由第二功能监视第一功能，其特征在于，第二功能在至少两个执行单元上运行在比较模式下，而且每个在至少两个执行单元上运行的第二功能都监视同一个第一功能。

优选地描述一种方法，其特征在于，所述第二功能周期性地监视第一功能。

优选地描述一种方法，其特征在于，所述第一功能运行在性能模式下。

优选地描述一种方法，其特征在于，将在至少两个执行单元上运行第二功能时出现的结果相互比较，并由此监视第二功能。

优选地描述一种方法，其特征在于，所述第二功能在至少两个执行单元上借助取决于上下文的值运行，并将在此过程中出现的结果相互比较。

优选地描述一种方法，其特征在于，除了第二功能之外还存在监视另一些功能的其他功能，其中其他功能只有一部分在至少两个执行单元上在比较模式下执行，并由此自我检查。

优选地描述了一种用于监视具有至少两个执行单元的计算器系统的功能的装置，其中包括切换装置并在至少两个运行模式之间切换，而且包括比较装置，其中第一运行模式对应于比较模式，第二运行模式对应于性能模式，由第二功能监视第一功能，其特征在于，所述装置构造为使得第二功能在至少两个执行单元上运行在比较模式下，而且每个在至少两个执行单元上运行的第二功能都监视同一个第一功能。

优选包含一种装置，其特征在于，该装置构成为通过比较装置将在至少两个执行单元上运行第二功能时出现的结果相互比较，并由此监视第二功能。

优选地包含一种装置，其特征在于，该装置构成为使得所述第二功能在至少两个执行单元上借助取决于上下文的值运行，并将在此过程中出现的结果相互比较。

优选地包含一种装置，其特征在于，该装置构成为使得除了第二功能之外还存在监视另一些功能的其他功能，其中其他功能只有一部分在至少两个执行单元上在比较模式下执行，并由此自我检查。

优选地包含一种装置，其特征在于，所述切换装置和比较装置组合为切换和比较单元。

优选地包含一种装置，其特征在于，所述切换装置和比较装置执行对第二功能的监视。

其它优点和实施方式由权利要求的特征以及描述给出。

附图说明

图1示出切换和比较单元的一般性表示。

图2示出在本发明系统的计算单元中存在的部件。

图3示出功能集合的划分。

图4示出功能集合的另一种划分。

图5示出判决过程的流程。

图6示出具有两个执行单元的多处理器系统。

具体实施方式

下面，执行单元既表示处理器/核/CPU，也表示FPU(浮点单元)、DSP(数字信号处理器)、协处理器或ALU(算术逻辑单元)。

本发明基于在图6中示出的多处理器系统W100，其具有至少两个执行单元W110a、W110b、比较单元W120和切换单元W150。在图6中借助双处理器系统描述可切换的多处理器系统的原理。据此在图1中对一个切换和比较单元用于多于两个执行单元的一般情况进行描述。本发明在此始终涉及具有两个或更多执行单元的一般情况。图6中的执行单元分别通过可选的中间存储器W111a、W111b与比较单元W120和切换单元W150连接。切换单元W150具有通向两个系统接口W130a、W130b的至少两个输出端。通过这些接口可以控制寄存器、存储器或诸如数字输出端、D/A转换器、通信控制器等外设。该多处理器系统可以在至少两个运行模式下运行，一个是比较模式VM，一个是性能模式PM。在性能模式PM中，在不同的执行单元中并行执行不同的命令、程序段或程序。在该运行模式中停用比较单元。切换单元W150在该运行模式中被配置为使得每个执行单元通过可选的中间存储器与系统接口之一W130a、W130b连接。通过该系统接口可以将执行单元的结果写入存储器W170中或者输出到外设组件W180、W190。外设组件例如可以是模拟数字转换器或通信系统的通信控制器(例如SPI，LIN，CAN，F1exRay)。为了停用比较单元而存在多种可能。一方面可以向比较单元输入信号，利用该信号启动或停用该比较单元。为此在比较单元中添加可以这样执行的附加逻辑。另一个可能是不向该比较单元输入待比较的数据。第三种可能是，在系统层面上忽略比较单元的错误信号。此外还可以中断错误信号本身。所有这些可能的相同点是，它们在系统中产生一个状态，在该状态下两个或更多可能要经过比较的数据不同并不会起什么作用。如果该状态通过比较单元中的措施或者比较单元的输入或输出信号达到，则该比较单元称为消极或停用。在比较模式VM中，在两个执行单元W110a、W110b中处理相同或相同类型的指令、程序段或程序。通过可选的中间存储器W111a、W111b将执行单元的输出信号输入比较单元W120和切换单元W150。在比较单元中检查这两个数据是否一致。在进行了比较之后，通过状态信号W125通知切换单元，是否允许该切换单元向系统接口之一输出一致的结果，或者该切换单元是否由于已识别出结果有差异而必须截止该信号。在这种情况下可以从比较单元输出可选的错误信号W155。该错误信号可以不从比较单元输出而从切换单元输出W156。切换在此可以通过执行专用的切换指令、专用的指令序列、明确表明的指令来触发，或者通过由多处理器系统的至少一个执行单元访问特定的存储器地址来触发。

此外在图1中示出优选使用的切换和比较单元的一般表示。从n个要考虑的执行单元向切换和比较部件N100输出n个信号N140，...，N14n。该切换和比较部件N100可以从该输入信号中产生多达n个输出信号N160，...，N16n。在最简单的情况下，即“纯性能模式”，所有信号N14i导向对应的输出信号N16i。在相反的极限情况下，即“纯比较模式”，所有信号N140，...，N14n仅导向恰好一个输出信号N16i。

在图1中可以考虑如何能形成不同的模式。为此在图1中包含开关逻辑N110的逻辑部件。该开关逻辑首先确定到底存在多少输出信号。此外开关逻辑N110确定哪些输入端用于产生哪些输出信号。在此一个输入信号用于产生恰好一个输出信号。因此，按照数学形式另外公式化地通过开关逻辑定义一个函数，该函数向集合{N140，...，N14n}的每个元素分配集合{N160，...，N16n}的一个元素。

然后处理逻辑N120对每个输出端N16i确定输入端以什么样的形式用于产生该输出信号。为了示例性描述不同的变化可能，不限制一般性地假定输出N160通过信号N141，...，N14m产生。如果m＝1，则这简单地表示该信号的导通，如果m＝2则将信号N141、N142相比较。该比较可以同步或异步地执行，该比较可以按照位来执行或只针对有效位执行或还同时具有容差带地执行。

如果m＞＝3则存在多种可能。第一种可能在于，比较所有信号并且当存在至少两个不同的值时检测到错误，对该错误可选择加以通知。第二种可能在于，进行m选k(k＞m/2)。这可以通过使用比较器来实现。可选地，如果这些信号之一被识别为有偏差，则产生错误信号。如果全部3个信号都不同，则可以产生一个可能不同的错误信号。第三种可能在于，将这些值引入一个算法中。这例如可以是形成平均值、中值，或使用容错的算法(FTA)。这样的FTA基于删除输入值的极值并采用对剩余值求平均值的类型。这种求平均值可以在剩余值的整个集合上进行，或者优选在很容易用HW形成的子集上进行。在这种情况下不总是需要实际比较这些值。在形成平均值时，例如只需要相加和相除，FTM、FTA或中值需要部分的分类。必要时还可以在极值足够大时选择输出错误信号。

为简要起见，将多个信号处理为一个信号的上述不同可能简称为比较运算。

处理逻辑的任务因此就是对每个输出信号并因此也对所属的输入信号确定比较运算的精确构成。开关逻辑N110(即上述函数)的信息和处理逻辑(即针对每个输出信号即每个函数值确定比较运算)的信息的组合是模式信息，而且该模式信息确定了模式。该信息在通常情况下自然是多值的，即不仅仅通过一个逻辑位表示。不是所有理论上可想到的模式在给定的实施中都是有意义的，优选要限制所允许的模式的数量。要强调的是，在只有两个执行单元的情况下，此时只存在一个比较模式，整个信息可以浓缩到一个逻辑位。

从性能模式到比较模式的切换在一般情况下的特征在于，在性能模式中反映到不同的输出的执行单元在比较模式下反映到相同的输出上。这一点优选的这样来实现，存在执行单元的子系统，其中在性能模式中要在子系统中考虑的所有输入信号N14i直接接通到对应的输出信号N16i，而在比较模式中这些输入信号要反映到一个输出上。可替换的，该切换可以通过更改配对来实现。由此表示，在一般情况下不能称为性能模式和比较模式，虽然在本发明所给定的实施方式中可以限制所允许的模式的集合，使得可以是这种情况。但是总是称为从性能模式切换到比较模式(反之亦然)。

在运行时，可以通过软件控制地在这些模式之间动态地切换。该切换在此例如通过执行专用的切换指令、专用的指令序列、明确表明的指令来触发，或者通过由多处理器系统的至少一个执行单元访问特定的地址来触发。

建议监视功能在比较模式下运行。监视功能在此是检查部件、子系统或对象的功能或可工作性的功能。

下面详细描述该思想。

在图2中示出在本发明系统的计算单元中具有哪些部件。计算单元0200本身包含多个执行单元0210，...，021n。此外包含切换和比较单元0220。该切换和比较单元优选作为计算单元中的部件存在，但是也可以分布在不同的部件上，甚至可以位于计算单元自身之外。重要的是，计算单元可以提供切换和比较单元所需要的功能，如在针对图1的描述中提到的。此外在该计算单元上运行优选用软件实现的功能。除了计算单元0200之外，这些功能在该图中作为块230引入，因为它们在概念上位于另一个观察层上。

图3示出功能0230的划分。功能的总集合0300在此相当于0230。该总集合可以划分为监视功能0230和其它功能0310。在该基本思想的最简单的形式中，在比较模式下计算或执行监视功能，而在性能模式下执行其它功能。

在此的重要优点是，在执行监视功能时一起检查其是否正确和无错(涉及HW部件)地工作。另外可以检测监视功能本身内的错误。由此可以明显简化安全概念。软件中的监视在此获得关于执行单元的错误的100％的覆盖度，这些错误在工作时显示出来。由于在此描述的监视功能用软件运行，因此该监视功能正确满足其功能的前提是，运行该监视功能的“大脑”(执行单元)正确工作。除了一起监视执行单元之外，由此还改善了监视功能本身的质量。由于在开发安全概念时总是必须要解决该问题(即必须一起监视执行单元)，因此通常要在检测执行单元的错误以及由此校正监视功能中的错误时投入很大的努力。该努力要在开发时付出。但是也在系统本身中显现出来，其中该努力需要附加或费事的部件并且提高了系统复杂度。由此趋向于负面地影响系统的可靠性和安全性。通过采用在此描述的发明减小了针对安全或监视概念的开发努力，并减小了整个系统的复杂度。由此除了降低成本之外还间接地改善了系统的可靠性和安全性。

此外，安全的另一个重要的改善通过在很多应用中使用本发明这样来实现，即用当前的上下文计算监视功能。在仅一个执行单元上执行监视功能时，为了确定监视功能的正确性，通常需要与在这里考察的部件之外已知的参考值进行比较。在很多应用情况下这只能通过计算存储在非易失存储部件中的默认值来实现。该值在开发时刻，也就是不是在运行时计算出来，并由此只对在此假定的专用上下文有效。但是通常错误只能在特定上下文表达出来。例如在多应用部件中的错误不总是能够通过将两个完全特定的数字相乘并将结果与已知和存储的值相比较来识别出。通常该错误只能通过在特殊地组合输入值时产生错误的结果而显示出来。限制为这样的默认值的监视功能因此具有降低的错误识别率。通过采用本发明可以为监视功能配备取决于上下文的值，因为通过切换和比较单元进行必要的比较以检测执行单元中的错误。

在大多数应用中优选的是，在性能模式下计算其它功能0310，因为这样系统功率就得到了优化。

这种思想的变形在图4中示出。子集0301、0311、0321相当于图3中的0300、0310、0320。子集0311和0321再次分别平分为集合0350、0360和0330、0340。其基础思想是，不是所有监视功能都必须在比较模式下运行，而是可能只有对监视执行单元很重要的监视功能才需要在比较模式下运行。这样的监视功能用0330表示，而对监视执行功能不重要的另一个(优选非常小的)监视功能子集0340在性能模式下运行。相应的，0311的划分应当理解为：0350例如可以是直接控制关键执行器的功能。即还可以将不是监视功能的那一部分功能运行在比较模式下。这些功能组成0350。剩下的功能0360在性能模式下运行。

图5示出针对0340为空而且只有一个性能模式和一个比较模式的优选情况下的原理判决过程。

前提是监视功能的集合是已知的0311。这导致在任务/过程/线程层上(下面仅称为过程)可以将过程区分为处理监视功能的V过程和下面称为P过程的其它过程。P过程中还存在虽然不涉及监视功能但是也应当在比较模式下计算的过程(它们相当于子集0350的功能)。这些过程在下面称为PV过程。

在步骤0400中进入调度器的“静止状态”。只要调度器在步骤0410中对某个过程进行调度，就在步骤0420中判断该过程是P过程还是V过程。如果是V过程，则(在步骤0460中)在比较模式下处理该过程，然后调度器返回其静止状态(根据步骤0400)。如果是P过程，则下一步在步骤0430中检查是否是PV过程。如果是，则(在步骤0460中)在比较模式下处理该过程，然后调度器返回其静止状态(根据步骤0400)。如果不是，则(在步骤0440中)在性能模式下处理该过程。在这种情况下必须在步骤0450中还要分配给一个执行单元。然后调度器又返回其静止状态(0400)。

Claims (12)

1.一种用于监视具有至少两个执行单元的计算器系统的功能的方法，其中在至少两个运行模式之间切换，并且第一运行模式对应于比较模式，第二运行模式对应于性能模式，由第二功能监视第一功能，其特征在于，第二功能在至少两个执行单元上运行在比较模式下，而且每个在至少两个执行单元上运行的第二功能都监视同一个第一功能。

2.根据权利要求1所述的方法，其特征在于，所述第二功能周期性地监视第一功能。

3.根据权利要求1所述的方法，其特征在于，所述第一功能运行在性能模式下。

4.根据权利要求1所述的方法，其特征在于，将在至少两个执行单元上运行第二功能时出现的结果相互比较，并由此监视第二功能。

5.根据权利要求1所述的方法，其特征在于，所述第二功能在至少两个执行单元上借助取决于上下文的值运行，并将在此过程中出现的结果相互比较。

6.根据权利要求1所述的方法，其特征在于，除了第二功能之外还存在监视另一些功能的其他功能，其中其他功能只有一部分在至少两个执行单元上执行在比较模式下，并由此自我检查。

7.一种用于监视具有至少两个执行单元的计算器系统的功能的装置，其中包括切换装置并在至少两个运行模式之间切换，而且包括比较装置，其中第一运行模式对应于比较模式，第二运行模式对应于性能模式，由第二功能监视第一功能，其特征在于，所述装置构造为使得第二功能在至少两个执行单元上运行在比较模式下，而且每个在至少两个执行单元上运行的第二功能都监视同一个第一功能。

8.根据权利要求7所述的装置，其特征在于，该装置构成为通过比较装置将在至少两个执行单元上运行第二功能时出现的结果相互比较，并由此监视第二功能。

9.根据权利要求7所述的装置，其特征在于，该装置构成为使得所述第二功能在至少两个执行单元上借助取决于上下文的值运行，并将在此过程中出现的结果相互比较。

10.根据权利要求7所述的装置，其特征在于，该装置构成为使得除了第二功能之外还存在监视另一些功能的其他功能，其中其他功能只有一部分在至少两个执行单元上执行在比较模式下，并由此自我检查。

11.根据权利要求7所述的装置，其特征在于，所述切换装置和比较装置组合为切换和比较单元。

12.根据权利要求7所述的装置，其特征在于，所述切换装置和比较装置执行对第二功能的监视。

Images