CN101366009A - 具有错误校正的数据处理系统及其运行方法 - Google Patents

Abstract

为了改善尽管可能存在存储器错误时数据处理系统的可用性，在从存储单元中读出数据字时(S0)借助冗余的附加信息检查数据字的完整性；并且在数据字表明有错误的情况下，执行错误处理程序，在该故障处理程序中检查存储单元的可工作性(S1－S3)，以及如果该存储单元可以工作，则重新产生其内容(S7、S11)。

Description

具有错误校正的数据处理系统及其运行方法

技术领域

本发明涉及数据处理系统的运行方法和一种数据处理系统，该数据处理系统用于执行该运行方法.

背景技术

用于数字数据处理的系统大规模地用于控制特别是在Kfz方面的复杂、对安全性很关键的过程.为了在功能故障的情况下保证这种系统或者使用这种系统的汽丰中用户的安全，必须尽可能快地识别故能故障的出现并在必要时采取适当的保护措施.这些保护措施常常基于关闭数据处理系统或该系统的至少受到功能故障损害的部分.由此例如DE 100 63934 A1公开了具有多个控制单元的、网络形式的数据处理系统，在该数据处理系统中运行多个监控程序，这些监控程序分别在检测到错误时触发网络控制单元的不同断开策略.通过各种不同的断开策略避免在检测到错误时必须断开整个网络，而是可以继续运行没有故障的元件.可是断开单个元件也导致网络功能的受限.

DE 102 20 811 A1建议，借助于一个模块化建立的、面向要监控系统的功能单元的监控方法实现对在数据处理系统中可能出现的、不同形式的故障进行灵活反应.面向该系统的功能单元导致，监控方法的结构依赖于要监控的系统.因此要将这些已知的方法与新的应用匹配是操作复杂的.

发明内容

通过本发明提供一种数据处理系统的运行方法，该方法能够以较低的耗费适应于不同任务的数据处理系统，并且即使在断定系统中有确定的故障的情况下也保证数据处理系统本身的较高可用性.

在数据处理系统的运行方法中以如下步骤实现这些优点：

a)从存储单元读出数据字；

b)根据冗余的附加信息检查数据字的完整性；

c)在数据字表明有错误的情况下，执行故障处理程序，其中故障处理程序具有如下步骤：

d)检查存储单元的可工作性，以及如果该存储单元可以工作，则

e)重新产生其内容。

该方法不依赖于在数据处理系统上运行的应用程序的数据字的含义内容。因此不仅可以包含程序指令而且也包含参数。

重新产生可以是与原始一致的重新产生，或如果数据值是一个随时间变化的变量，则也可以是存储单元内容的更新。

如果重新产生存储单元的内容，则数据处理系统可以进一步完成其本来的任务；不再需要断开数据处理系统或数据处理系统的一部分。

本发明方法的特性在应用高集成密度的存储器的现代数据处理系统中是特别有益的，因为在这种存储器中被射线微粒击中的存储单元的尺寸越小，由于微粒射线、特别是α粒子的影响而突发的数据丢失的概率越大。

为了检查存储单元的可工作性主要执行以下步骤：

d1)写入存储单元；

d2)复读已写满的存储单元；

d3)复读出的数据字与事先在存储单元中写入的数据字进行比较。

如果在比较中确定一致，则可以认为存储单元的先前数据丢失归因于暂时的外部影响并且不是存储单元本身的故障，也就是说还可以继续使用该存储单元，并且在该存储单元中再次数据丢失的风险不大于在存储器其它存储单元中数据丢失的风险。

在步骤d1)中写入存储单元的数据字主要是在步骤a)中读出的数据字的二进制补码，因为这样一个唯一的写入过程足以对该存储单元的每一位检查该位是采用值0还是1。

虽然也能够在存储单元中写入确定的预定数据字，可是需要分别用二进制互补的数据字进行两个写入-复读过程和比较过程，以便证实存储单元的可工作性。

根据一个简单的设计方案可以由此实现存储单元内容的重新产生，即在步骤e)中把在步骤a)中读出的数据字重新写入存储单元中。如果短暂的数据字错误没有在系统中产生危及安全性的影响，并确保在稍后时刻通过更新更正可能有错误的数据字，则步骤e)是非常实际的。

在步骤e)中更新存储单元的内容是安全的。可是这种替换选择执行起来复杂，因为更新内容的程序随着不同的存储单元是不同的，错误处理程序可能同样不是对所有存储单元都进行相同的处理。如果通过在数据处理系统上运行的应用本来就周期性地设置了存储单元的更新，则简单地丢弃有错误的数据字并且等待更新就足够了。

一个可以简单应用于任意存储单元的替换方案是，冗余信息包含错误校正信息(比如ECC)，并且在步骤e)中借助错误校正信息来校正存储单元的内容。

通过借助存储单元的地址选择在步骤e)中实施的类型，可以在一个方法中共同应用两种或多种上面描述的替换方案。

如果在步骤d)中存在不能工作的存储单元，则结束访问存储单元的例程，以避免该例程的危及安全的错误功能。

如果在应用程序的控制下由可编程电路执行步骤a)，则优选在中断应用程序的范围内执行步骤c)至e)。如此在重新产生存储单元的内容之前拒绝该应用程序对存储单元的访问。

如果应用程序包含实时功能并且在通过该实时功能访问期间将一个数据字识别为错误的，则用于检查存储单元的可工作性并且必要时重新产生该存储单元内容的应用程序的中断妨碍性地延迟了实时功能。为了尽可能地防止这种情况，应用程序可以包含后台功能，该后台功能可以通过每个实时功能中断，并且该后台功能直接连续对多个存储单元执行步骤a)。后台功能的主要任务是，读取存储单元，从而在后台功能对存储单元进行非关键时间的访问期间尽可能采集在存储单元中的错误并且通过中断可以消除该错误。不需要后台功能对已读出的数据字进行任何另外的处理。

本发明的目标是具有数据存储器和程序控制电路的数据处理系统，该程序控制的电路被编程为执行上面描述的方法。这种数据处理系统特别涉及汽车的控制设备。

从后面的、参考附图的实施例描述中可以得出本发明的其它特征和优点。

附图说明

图1指出了本发明数据处理系统的方框图。

图2指出了本发明运行方法的流程图。

具体实施方式

图1是数据处理系统的示意图，在该系统中实现本发明。该系统包含微处理器1、只读存储器2、读写存储器3、通过数据总线5和地址总线彼此连接的各种不同的传感器4和执行元件。传感器4和执行元件用于获取或影响要控制的设备例如汽车发动机的运行参数。通过在只读存储器2的区域6内存储的应用程序确定微处理器1处理由传感器4产生的测量值的方式方法，以便控制执行元件。

在存储器2、3和处理器1之间的数据总线5例如具有16位的宽度。

读写存储器3比数据总线5多一位；该附加位用于存储每个16位数据字的奇偶校验位。读写存储器3在图中划分为段3-0至3-16，其分别存储每个数据字的位0至15之一和附属的奇偶检验位。存储奇偶校验位的段3-16具有一个数据输入输出端，其与奇偶控制器7连接。该奇偶控制器给每个要在读写存储器3中写入的数据字产生正确的奇偶校验位并且输出给段3-16，从而该奇偶校验位与数据字一同存储，或者为每个从存储器中读出的数据字计算该数据字的奇偶性并且与同时从段3-16中读出的奇偶性进行比较。在不一致的情况下说明存储器3有错误，并且奇偶控制器7产生一个错误信号，该信号经过导线8供给微处理器1的中断输入端9。

在只读存储器2的区域10中保存当在中断输入端9上出现错误信号的情况下通过微处理器1进行处理的错误处理例程。应用程序通过一个以规则的时间间隔执行的循环完成对发动机的控制和/或调整，在该循环内该应用程序读出由传感器4事先在分配给传感器4的、存储器3的地址上存储的测量结果，处理该测量结果并根据处理结果控制执行元件。如果完成该控制并且直到下一个循环开始时间还有剩余，则应用程序读出读写存储器3的各个存储单元，不是为了进一步处理已读的内容，而只是为了奇偶控制器7能够检查各个存储单元内容的正确性。虽然由奇偶控制器7触发的中断在控制和调节处理期间可能导致微处理器1的时间关键的任务的延迟，但在结束控制和调节任务后连续读取存储单元时不是这样的情况。进行读取的时间表示微处理器1的能量储备，并且如果需要也可以使用该能量储备来执行错误处理，而不会妨碍微处理器的其它任务。

图2是通过奇偶控制器7的中断触发的、微处理器1的错误处理过程的流程图。其中步骤S0表示将具有地址M的存储单元的内容[M]读取到微处理器1的寄存器R中的步骤，在该步骤中奇偶控制器7确定奇偶错误。接下来由奇偶控制器7输出的错误信号导致由微处理器1执行的应用程序中断并且导致执行错误处理程序，该错误处理程序的第一步骤S1在于，寄存器R的内容被该内容的逐位补码inv(R)代替。在步骤S2中，在具有地址M的存储单元中写入寄存器R的内容。

如果已确定的奇偶错误归因于存储单元的一个位损坏，并且可能仅仅采用两个可能的逻辑值之一，则针对该位的步骤S2的写入过程无效。

在步骤S3中重新读取存储单元M的内容[M]并且与寄存器R进行比较。如果存储单元事实上具有一个有错误的位，则确定不一致，并且该方法转向步骤S4，在该步骤中结束应用程序或该程序的至少可分离的、访问存储单元M的部分。

如果在步骤S3中确定一致，则可以认为例如由于电离辐射的影响引起在存储单元M的一个位上发生突发信息丢失的奇偶错误，并且表明存储单元M没有持久缺陷。在这种情况下存储单元M可以继续使用。

然后在步骤S5中判断以哪一种方式重新产生存储单元M的内容。要实施的方式方法按照在存储单元M中存储的数据字的含义可能是不同的，并且在开发应用程序时确定该方式方法，例如在应用程序的在错误的情况下应当得到同样处理的变量中，该变量分别存储在对应于错误处理形式的地址区域中。

如果能够容忍在存储单元M中存储的变量的错误，例如因为定期根据传感器4的测量结果重新计算该变量并且该变量的暂时错误值不会引起与安全有关的错误控制，则该方法分支到步骤S6就足以，在该步骤中再一次倒置寄存器，并且接下来在步骤S7中以如此获得的值重写存储单元M。然后存储单元M再度具有与在步骤S0中一样的内容。虽然该内容是错误的这个概率很大，可是只要该错误不涉及最重要的位，该内容就至少比任何一个任意预定的常量更好地接近于正确的值。

也可以考虑，用一个预先规定的值比如0x0000或0xFFFF代替存储单元的识别为错误的值，该预先规定值被访问所涉及存储单元的应用程序识别为无效。对错误的适当反应交给应用程序进行，并且例如根据当前另外的变量具有什么样的值或从应用程序的哪一个运行阶段访问有错误的存储单元而得出不同的结果。

可能存在另外的存储单元组，在错误的情况下可以不费力地由传感器4重新测量或重新计算其内容。用于重新计算或测量该值的例程一般是应用程序的一部分。只读存储器2中的一个表T(M)给该类型的每一个存储单元M给出例程的一个起始地址A，以该地址可以重新计算或测量内容[M]。在步骤S8中确定该地址A并且在步骤S9中跳向该地址A，以便执行相关的例程并重新产生[M]。

可能存在另外的存储单元M的组，在该存储单元组中随着错误值的应用而出现的危险大得不可接受，从而不能考虑通过步骤S6、S7简单地重新产生[M]，并且通过步骤S8、S9快速重新确定也是不可行的。例如通过长时间求平均值获得的变量属于这种情况，或作用不会随着其数值不断变化的离散变量也属于这种情况。如果触发奇偶错误的存储单元属于该组，在步骤S10中给用户输出一个报警信号，以便要求该用户重新启动本发明的数据处理系统，并且接下来该方法转到步骤S4，在该步骤中一直禁止应用存储单元M的功能，直到通过该系统重新启动恢复M的正确内容为止。

另一种可能性是，从确定的变量中建立安全副本，如果有错误的存储单元M包含这样的变量，则简单地读出其安全副本S并且可以重新写入存储单元M中(S11)。

本发明的一个实际设计方案还可以包含用于校正识别为错误的存储单元内容的其它选择或仅仅包含上述选择的一部分。在最简单的情况下也可以没有判断步骤S5并且仅仅设置一个唯一的选择。

按照本发明的一个优选改进，存储器3对每一个数据字不仅仅包含一个冗余的位3-16，而是多个冗余位，分别借助于一个纠错码比如Reed-Solomon代码从对应的数据字中确定这些位的内容，该冗余位可以通过微处理器1寻址，由此微处理器也可以读出冗余位。比如在图1的设计方案中，奇偶控制器7用于借助由奇偶控制器与每个数据字同时接收的冗余位识别在已读出的数据字中的错误，并且在错误的情况下触发处理器1的中断。在如此中断的过程中或作为消除存储器错误的、在步骤S5中供中断选择的、多种可能选择之一，处理器1为有错误的数据字读取冗余位，借助冗余位校正有错误的数据字并且重新写入与该错误有关的存储单元。

Claims (12)

1.一种数据处理系统的运行方法，具有如下步骤

a)从存储单元读出数据字(S0)；

b)借助冗余的附加信息检查数据字的完整性；

c)在数据字表明有错误的情况下，执行故障处理程序，其特征在于，该故障处理程序具有如下步骤：

d)检查存储单元的可工作性(S1-S3)，以及如果该存储单元可以工作，则

e)重新产生其内容(S7、S11)。

2.按照权利要求1的运行方法，其特征在于，检查可工作性具有如下步骤

d1)写入存储单元(S2)；

d2)复读已写满的存储单元(S3)；

d3)复读出的数据字与事先写入存储单元的数据字进行比较(S3)。

3.按照权利要求2的运行方法，其特征在于，在步骤d1)(S2)中，写入存储单元的数据字是在步骤a)(S0)中读出的数据字的二进制补码。

4.按照权利要求3的运行方法，其特征在于，在步骤e)(S7)中，将在步骤a)(S0)中读出的数据字重新写入存储单元(M)中。

5.按照权利要求3的运行方法，其特征在于，在步骤e)中更新存储单元(M)的内容。

6.按照权利要求3的运行方法，其特征在于，所述冗余信息含有错误校正信息，并且在步骤e)中借助该错误校正信息校正存储单元的内容。

7.按照上述权利要求之一的运行方法，其特征在于，借助所述存储单元(M)的地址选择在步骤e)中执行的方式(S5)。

8.按照上述权利要求之一的运行方法，在该方法中，如果在步骤d)中发现所述存储单元不可工作，则结束访问该存储单元的例程(S4)。

9.按照上述权利要求之一的运行方法，其中步骤a)在应用程序的控制下由可编程的电路(1)执行，并且步骤c)至e)在中断应用程序的范围内执行。

10.按照权利要求9的运行方法，其特征在于，所述应用程序包含至少一个实时功能和一个可通过每个实时功能中断的后台功能，该后台功能直接连续为多个存储单元执行步骤a)。

11.一种具有数据存储器(3)和程序控制的电路(1)的数据处理系统，该电路被编程为在数据存储器(3)的存储单元(M)上执行按照上述权利要求之一的方法。

12.按照权利要求11的数据处理系统，其特征在于，该数据处理系统是Kfz控制设备。

Images