CN103293948B - 用于在计算机程序中存储和传播错误信息的方法 - Google Patents

Abstract

本发明涉及一种用于在计算机程序中存储和传播错误信息的方法，其中应用全局有效的错误变量，以用于存储和传播错误信息，其中对于每个识别出的错误，将用于错误的不等于零的值作为相应地具有确定的符号的错误信息加给错误变量，并且其中所述值由已编码的变量的内容与预期值的偏差形成。通过单独的全局传播变量与尤其通过经由在“编码的处理”中的运算和运算对象在已知的错误识别路径和传播路径中所确定的偏差而从错误中导出的值的组合和集成，实现提高的传播确定性。

Description

用于在计算机程序中存储和传播错误信息的方法

技术领域

本发明涉及一种用于在计算机程序中存储和传播错误信息的方法。

背景技术

在用于工业应用的面向安全的程序中必须保证将在程序运行中发现的错误信息可靠地保留至程序运行结束或保留至循环结束，以便可靠地启动在程序运行结束或循环结束时执行的、用于错误反应的例程，其中所述程序典型地在嵌入式硬件上，例如可编程逻辑控制器（PLC）上运行。将错误信息存储和保留直至程序结束一般称为错误传播。

在面向安全的程序中，以编码的方式处理重要的变量；该方式也已知为“编码处理（CodedProcessing）”。为此，变量中的值（xf）借助于AN编码、ANB（AN+B）编码、ANBD编码或通过相关联的编码（混合法）进行编码。在此，所有数值变量根据下式的规则进行编码，

（1）xc=A*xf+B_x+D

并且对算术运算（+、-、*、/等等）进行匹配，使得在已编码的范围（xc）内的处理为Ur范围（xf）提供一致的结果（在此，B_x或D也完全可以具有零值）。

借助于已编码的变量可以确定例如通过各个比特（bit）的随机改变或讹误而产生的错误。这意味着，将要编码的值映射到已编码的值上，使得通过各个比特中的错误例如由于所允许的已编码的值间的汉明距离允许在已编码的空间内形成无效值，而能够识别各个比特中的差异。在此，还能够发生值的双重存储和处理，即以已编码的形式进行一次和以未编码的形式进行一次，其中为了相应地进行控制，从已编码的变量中提取值，并且将所述值与以未编码的形式管理的值进行比较。

为了控制程序运行，在现有技术中应用运行变量，所谓的“跟踪程序（Tracer）”，借助于所述运行变量的内容能够记录进而检查已经过的程序路径。

因此，尽管为了识别错误而在现有技术中存在大量的途径，但是故障安全地形成错误变量以及传播错误变量并不是无意义的。例如对于任意的错误或替选地在任何无错误情况下将常量加给错误变量等等是不可能的，因为这样的标准步骤能够由编译器进行优化，即例如进行结合，这使确定性降低。

发明内容

因此，本发明的目的是，提出一种在计算机程序中的错误的故障安全的传播。

所述目的的根据本发明的解决方案的中心想法是，将错误变量用作用于错误传播的载体，所述错误变量的内容形成为使得能够识别讹误并且使得不同的独立的错误的影响不会导致相互的抵消。根据本发明，这通过将具有确定的符号的错误信息传播到错误变量中来实现。通过根据本发明从错误中、即与目标状态的绝对值偏差中推导出送入传播变量中的值，避免对尤其相对于系统错误和相对于编译器的不透明的且不期望的优化等等的进一步保护。

所述目的尤其通过一种用于在计算机程序中存储和传播错误信息的方法来实现。在此，提出一种用于在计算机程序中存储和传播错误信息的方法，其中使用全局有效的错误变量来存储和传播错误信息，其中对于每个识别出的错误，将用于错误的不等于零的值作为相应地具有确定的符号的错误信息加给错误变量，并且其中值由已编码的变量的内容与预期值的偏差形成。通过单独的全局传播变量与尤其通过经由在“编码处理”中的运算和运算对象在已知的错误识别路径和传播路径中所确定的偏差而从错误中导出的值的组合和集成，实现提高的传播确定性。

根据本发明的方法的有利的设计方案在本文中说明。能够单独地或也以相互组合的形式应用其特征。

当已编码的变量借助于AN编码或AN+B编码或ANBD编码或者借助于上述编码的混合形式进行编码时，例如在变量“随机地”讹误的情况下得到错误的良好的可识别性。

除了以变量和值传播错误之外，通过将错误变量划分成至少高位比特范围和低位比特范围，所述方法也能够有利地应用于控制程序运行等等，其中所述值总是在低位比特范围中相加，并且其中校验值在高位比特范围中相加。在此有利的是，将预期值用作校验值或校验值至少由预期值形成。

当计算机程序包括至少一个循环执行的过程时，尤其为工业自动化技术的故障安全的程序得到针对系统错误的另一保护措施，其中错误变量在循环开始时用初值初始化，并且其中在不同的循环中应用不同的初值。在此，在一个有利的变型方案中应至少在一个循环的持续时间内不改变所确定的符号。

有利地，为了评估错误变量进而为了识别错误结果，将错误变量的内容与用于错误变量的内容的预期值进行比较。

当为了形成所述值借助于XOR（异或）逻辑将已编码的变量的内容的偏差与预期值逻辑联结时，得到迅速的和算术上简单的处理。

有利地，所述方法能够通过下述方式用于控制程序运行：至少在主要的程序块中在其执行时总是计算出签名并且加给已编码的变量或从所述已编码的变量中减去，并且通过将用于签名的、指定用于正常的程序运行的预期值从已编码的变量中减去或加给所述已编码的变量，其中在无错误的情况下，所计算出的签名和预期值互相抵消。替选地，为了传播错误而对算出的签名应用加法（减法）以及也使用错误变量（传播变量）对用于签名的预期值进行减法（加法）。

通过为了传播这种错误而总是将例如恒定的且不同于零的值加给错误变量或从其中减去，也能够借助于所述方法传播在程序本身中识别的简单的错误。

接下来将阐明根据本发明的方法的实施例；在此讨论的变型方案也能够以互相组合的方式实现。

具体实施方式

已编码的变量P应被视为传播变量，所述已编码的变量在程序运行开始时适当地被初始化并且用于在程序执行期间接收对已编码的有效变量x_c进行一致性校验的结果：

（1）x_c=A*xf+B_x+D

在此，A、B_x和D至少对于一个程序循环是常量。有利地，对于A而言，应用大的素数，因为借此能够使用取模运算以识别错误。

因此，当变量x_c的内容可识别地不同于式（1）时，即当下式适用时：

x_F=(x_c-D)modA≠B_x

不失一般性地，x_F≥0适用（例如通过应用运算器的相应的取模命令），错误以（简化地）可识别的形式存在。

在此，B_x是预期值，即在无错误的情况下的取模运算的值。因此，与B_x的偏差能够视为错误。

因此，在程序运行中或在程序循环中，通常错误不仅以正和负的形式存在，而且还在多种方式中以异化的形式存在。因此，对有错误的值进行纯加法（替选地：纯减法）通常能够导致错误的可识别性的损失。所述方法通过事先确定错误可以在哪个方向（正或负）上和以多少比特产生影响来防止上述损失。

用于可识别性的第一值是0和A之间的随机值x_F。因此，x_F-B_x不仅能够是正的而且也能够是负的。但是因为感兴趣的仅是错误的可识别性，所以简单地应用XOR逻辑代替减法：

对于x_F=B_x适用：x_FXORB_x=0（无错误的情况）

对于x_F≠B_x适用：x_FXORB_x>0（因为x_F≥0且B_x>0)

并且当A<2^n时，x_FXORB_x<2^n适用

现在，如果错误不仅以其正形式而且也以其负形式传播时，那么将2个正值相加。2个正值的和始终不等于零。因此，只有通过在运算器的数环中溢出时才能够实现补偿。因此应该提供充足的高位比特。

在此，应该在有规律的校验点上（例如在每个编码运算之后）根据所描述的“取模”运算移交这种一致性校验的结果，使得避免之前已经存在的错误信息的无意的抵消。这通过具有正号的错误信息的所描述的加法的（替选地：减法的）累积来实现。

接下来描述利用16比特签名来传播到32比特值P的实例：

(2)x_F＝(x_c-D)modA

x_F的预期值是B_x。错误信息相当于x_F和B_x之间的差。

(3)x_P＝(x_F&2¹⁶-1)XOR(B_x·(2¹⁶+1))

在此，为了随后的加法（替选地：减法）将值B_x作为校验值移位到高位16比特中；这通过例如控制校验过程的次数是否符合预期值而能够用于控制程序运行。

原则上必须保证，错误信息（x_F的预期值和x_F之间的差）始终以正形式（或替选地始终以负形式）进入传播中，以便排除抵消影响。

由于编码规则（1）在无错误的情况下下式适用：

(4)x_P＝B_x·2¹⁶

在每次运算中形成错误信息（3），并且所述错误信息被加到传播变量P上，使得

(5)

在程序循环结束时，传播变量P_end必须与待预期的值Pe相符：

(6) $P_{\mathrm{end}}\stackrel{!}{=}{P}_e$

待预期的值能够由编码器或编译器在转换时间内确定，并且因此能够在式（6）的最终的一致性校验时进行检查。因此，提供对到已编码的输出值的已经已知的传播路径而言附加的传播路径。此外，所述机制表明传播变量P缺乏更新，由此能够实现程序运行控制。

在本发明的有利的实施形式中，不在每次运算中执行错误信息x_F的传播，而是仅在导致传播损失风险提高的运算（例如乘法、除法）前执行。对于大多数目的而言，传播安全的运算链，如加法，具有足够好的传播特征，使得能够弃用步骤（3）和（5），直至实现传播关键的运算。所述实施形式引起相对于在每次运算时传播变量的更新改进的性能。

有利地，在替选的过程中能够在路径中持续地校正传播。为此，将传播变量在替选路径的端点上的预期值的差加到传播变量上。

在本发明的一个实施形式中，在每个循环开始时例如通过借助动态的签名D进行初始化来动态地初始化传播变量。

在本发明的又一实施形式中，动态地改变错误信息x_P的符号。所述符号仅能够在循环更替时改变（即在每个循环之内是相同的），或替选地也在一个循环之内变化，其中在后一种情况下，必须采取预防措施，使得不会例如由于在此期间评估根据（6）的传播变量P来进行不期望的补偿。

在有利的变型方案中，用于错误识别的方法能够与用于错误传播的方法的前述变型方案结合。为此，在一个有利的设计方案中，所计算的签名S可以传播到合适的已编码的变量x_c中，其中对于S存在单义的预期值Se：

x_c=x_c-S_e+S

例如通过将程序运行变量（“跟踪程序”）用作签名S，所述变型形式能够尤其有利地用于程序运行保护，在正确的过程中始终将每个程序基础块的单义的值指派给所述程序运行变量。通过程序运行变量与用于传播错误的方法的组合提高程序运行保护的有效性，并且同时改进系统独立性（编译器、操作系统、硬件）。

替选地，可以直接借助于传播变量P传播所计算的签名S或程序运行变量，其中对于S存在单义的预期值S_e：

P=P+((SmodA)XOR((S_emodA)*(2¹⁶+1))

提示：当S的数值范围大于用于传播的期望的数值范围时，那么能够例如如下稍微缩小数值范围：

S’=(SXORS/2¹⁶)AND(2¹⁶-1)

最终，也可以直接地影响传播变量P以“报告”错误：

IF（错误）

THEN

P=P+1

此外，在“负的错误逻辑”中应用减法来代替加法。也能够加上或减去其他的值来代替常数“1”，所述其他的值因此有利地改变传播变量的多个比特。

Claims (12)

1.用于在计算机程序中存储和传播错误信息的方法，

其特征在于，

其中应用全局有效的错误变量来存储和传播所述错误信息，

对于每个识别出的错误，将用于所述错误的不等于零的值作为相应地具有确定的符号的错误信息加给所述错误变量，

其中所述错误的不等于零的值由已编码的变量的内容与预期值的偏差形成。

2.根据权利要求1所述的方法，

其特征在于，

借助于AN编码或AN+B编码或ANBD编码或借助于上述编码的混合形式对所述已编码的变量进行编码。

3.根据权利要求1或2所述的方法，

其特征在于，

将所述错误变量划分成至少高位比特范围和低位比特范围，

其中总是在所述低位比特范围中将所述错误的不等于零的值相加，并且

其中在高位比特范围中将校验值相加。

4.根据权利要求3所述的方法，

其特征在于，

将所述预期值用作所述校验值，或所述校验值至少由所述预期值形成。

5.根据权利要求1或2所述的方法，

其特征在于，

所述计算机程序包括至少一个循环运行的过程，其中在循环开始时用初值初始化所述错误变量，

并且

其中在不同的循环中应用不同的初值。

6.根据权利要求5所述的方法，

其特征在于，

至少在一个循环的持续时间内不改变所述确定的符号。

7.根据权利要求1或2所述的方法，

其特征在于，

应用工业自动化装置的故障安全的自动化部件的自动化程序作为计算机程序。

8.根据权利要求1或2所述的方法，

其特征在于，

为了识别错误事件，将所述错误变量的内容与用于所述错误变量的内容的预期值进行比较。

9.根据权利要求1或2所述的方法，

其特征在于，

为了形成所述错误的不等于零的值，借助于XOR逻辑将所述已编码的变量的内容的偏差与所述预期值联结。

10.根据权利要求1或2所述的方法，

其特征在于，

为了控制程序运行，至少在主要的程序块中在其执行时总是计算出签名，并且将其加给所述已编码的变量，或从所述已编码的变量中减去，以及

将用于所述签名的、指定用于正常程序运行的预期值从所述已编码的变量中减去或加给所述已编码的变量，其中在无错误的情况下，所计算出的所述签名和所述预期值互相抵消。

11.根据权利要求1或2所述的方法，

其特征在于，

为了控制程序运行，至少在主要的程序块中在其执行时总是计算出签名，并且将其加给所述错误变量，或从所述错误变量中减去，以及

将用于所述签名的、指定用于正常程序运行的预期值从所述错误变量中减去或加给所述错误变量，其中在无错误的情况下，所计算出的所述签名和所述预期值互相抵消。

12.根据权利要求1或2所述的方法，

其特征在于，

为了传播错误，将恒定值加给所述错误变量或从所述错误变量中减去。