CN108958986A - 用于识别微处理器中的硬件错误的方法和设备 - Google Patents

Abstract

本发明涉及用于识别微处理器中的硬件错误的方法和设备，包括：借助提供不同比较策略的微控制器将第一微处理器上运行的第一应用的第一结果与第一微处理器或第二微处理器上运行的第二应用的第二结果比较，其中根据比较结果识别硬件错误，其中微控制器从第一微处理器接收第一消息，并且从第一或第二微处理器接收第二消息，其中第一消息包含关于第一比较策略的信息和关于第一应用对功能的第一计算的第一结果的信息，其中第二消息包含关于第二比较策略的信息和关于第二应用对功能的第二计算的第二结果的信息，其中将关于第一比较策略的信息与关于第二比较策略的信息比较，其中当上述比较一致时，将关于第一结果的信息与关于第二结果的信息比较。

Description

用于识别微处理器中的硬件错误的方法和设备

技术领域

本发明涉及用于识别微处理器中的硬件错误的方法和设备，特别是通过比较安全相关应用的结果。

背景技术

DE102005037245A1公开了一种用于借助锁步（Lockstep）配置来识别微处理器中的随机硬件错误的方法。

相反，希望为任意安全关键的应用提供改进的方法和改进的设备。

发明内容

该目的通过根据独立权利要求的方法和设备来实现。

为了借助提供不同的比较策略的微控制器将在第一微处理器上运行的第一应用的第一结果与在第一微处理器或第二微处理器上运行的第二应用的第二结果进行比较，其中根据比较的结果来识别硬件错误，微控制器从第一微处理器接收第一消息，其中当第二应用在第一微处理器上运行时，微控制器从第一微处理器接收第二消息，或者当第二应用在第二微处理器上运行时，微控制器从第二微处理器接收第二消息，其中第一消息包含关于第一比较策略的信息和关于第一应用对功能的第一计算的第一结果的信息，其中第二消息包含关于第二比较策略的信息和关于第二应用对功能的第二计算的第二结果的信息，其中将关于第一比较策略的信息与关于第二比较策略的信息进行比较，其中在关于第一比较策略的信息与关于第二比较策略的信息一致的情况下，将关于第一结果的信息与关于第二结果的信息进行比较。比较策略能够应用特定地预先给定。这能够实现大的灵活性。

有利地，当第一比较策略与第二比较策略一致的情况下关于第一结果的信息与关于第二结果的信息偏差时，确定关于校正结果的信息，或者当第一比较策略与第二比较策略一致的情况下关于第一结果的信息与关于第二结果的信息偏差时，识别到硬件错误。由此微控制器可以处理稍微不同的结果，或根据结果的偏差确定硬件错误。

有利地，在第一比较策略与第二比较策略缺少一致的情况下，识别到硬件错误。如果比较策略不一致，则识别到硬件错误。

有利地，关于第一比较参数的信息被包含在第一消息中，其中关于第二比较参数的信息被包含在第二消息中，其中关于第一比较参数的信息与关于第二比较参数的信息进行比较，并且其中在关于第一比较参数的信息与关于第二比较参数的信息一致的情况下根据第一比较参数或根据第二比较参数将关于第一结果的信息与关于第二结果的信息进行比较，其中在第一比较参数与第二比较参数缺少一致的情况下，识别到错误。比较参数能够实现比较策略的应用特定的参数化。

有利地，关于第一比较参数的信息与关于第二比较参数的信息借助二进制比较来进行比较。这能够是非常快速的和可靠的。

有利地，关于第一比较策略的信息与关于第二比较策略的信息借助二进制比较来进行比较。这同样是非常快速的和可靠的。

有利地，第一消息除了关于第一结果的信息之外还包含关于应该由第一应用用于第一计算的第一输入数据的信息，并且第二消息除了关于第二结果的信息之外还包含关于应该由第二应用用于第二计算的第二输入数据的信息，其中将关于第一输入数据的信息与关于第二输入数据的信息进行比较，其中在关于第一输入数据的信息与关于第二输入数据的信息缺少一致的情况下，在开始第一计算之前禁止第一计算和/或在开始第二计算之前禁止第二计算。因此，在识别到错误时不起动计算。

有利地，第一消息除了关于第一结果的信息之外还包含关于第一输入数据的信息，所述第一输入数据在将关于第一结果的信息与关于第二结果的信息进行比较期间由第一应用用于第一结果的第一计算，并且第二消息除了关于第二结果的信息之外还包含关于第二输入数据的信息，所述第二输入数据在将关于第一结果的信息与关于第二结果的信息进行比较期间由第二应用用于第二计算，其中关于第一输入数据的信息与关于第二输入数据的信息进行比较，其中在关于第一输入数据的信息与关于第二输入数据的信息缺少一致的情况下中断第一计算和/或中断第二计算。由此在识别到故障时中断计算。

有利地，关于第一结果的信息是第一结果的第一值，并且关于第二结果的信息是第二结果的第二值。在使用结果之前检查结果。

有利地，关于第一结果的信息是第一结果的第一值的第一签名，并且关于第二结果的信息是第二结果的第二值的第二签名。结果可能是非常大的值。而签名是小的值，该值可以在消息中更好地传输和分析。

有利地，在第一签名与第二签名一致的情况下，选择性地将关于第一结果的信息从第一应用传输到接收方，或者将关于第二结果的信息从第二应用传输到接收方。结果因此在没有经过微控制器绕道的情况下到达接收方。

附图说明

从下面的描述和附图中，得出其他有利的设计方案。 在附图中：

图1示意性地示出在用于比较安全相关应用的结果的第一方法中的步骤，

图2示意性地示出在用于比较安全相关应用的结果的第二方法中的步骤，

图3示意性地示出在用于比较安全相关应用的结果的第三方法中的步骤，

图4示意性地示出在用于比较安全相关应用的结果的第四方法中的步骤。

具体实施方式

在下文中，参考图1描述用于借助应用未知的和可配置的微控制器102通过比较任意安全相关应用的结果来识别硬件错误的第一方法。微控制器102提供不同的比较策略。图1以第一顺序图示意性地示出了在用于比较安全相关应用的结果的第一方法中的步骤。

由于对如高度自动化或自主驾驶的应用的计算功率的越来越高的要求和越来越低的单件成本，微处理器也越来越多地用于安全关键的产品中，这些产品不再在硬件中提供锁步配置。出于这个原因，描述一种以软件方式的锁步方法。在此，应用被复制并且在两个或更多处理器内核或处理器上并行实施。通过应用的不同副本计算安全相关功能的结果在可靠的微控制器上进行比较。该微控制器被构造用于在硬件中实施锁步功能。如果微处理器之一应该具有错误并且在其上实施的应用由此产生有错误的结果，则由微控制器102识别该有错误的结果。在三个或更多个微处理器的情况下，应用的有错误的副本对于简单错误能够普通地识别，在两个微处理器的情况下，微控制器102可以起动诊断例程。这在下面以应用的两个副本为例进行描述。每个副本都被构造用于从相同的输入数据中计算具有相同功能的相同结果。

微控制器102从在第一微处理器106上运行的第一应用获得第一消息104，并且从在第二微处理器110上运行的第二应用获得第二消息108。第一个应用是应用的第一副本，并且在下面称为第一应用副本。第二应用是应用的第二副本，并且在下面称为第二应用副本。第二应用副本也可以在第一微处理器106上运行。第一消息104和第二消息108具有以下结构：

N = {E，VS，W，Y}

其中：

E是结果，

VS是比较策略和/或参数，

W是对其他应用副本的结果的最大等待时间，

Y是结果的接收方。

微控制器102将包含在第一消息104中的第一比较策略与包含在第二消息108中的第二比较策略进行比较，其中根据比较的结果识别硬件错误。例如，如果在比较中识别到彼此偏差的比较策略，则识别到硬件错误。

如果第一消息104或第二消息108也包含比较参数，则同样将所述比较参数进行比较。这种比较可以二进制地进行。

在一致的比较策略的情况下，微控制器102使用第一或第二比较策略来将包含在第一消息104中的第一结果与包含在第二消息108中的第二结果进行比较。否则，识别到错误。例如，如果在比较中识别到彼此偏差的结果，则识别到硬件错误。

比较的结果是以下状态之一：

F 由微控制器识别的错误，

zE 由微控制器计算的可靠的结果。

在比较之后，如果存在可靠的结果zE，则接收方112从微控制器102获得第三消息114。在第三消息114中，传递可靠的结果。

通过经由应用副本106、110传递比较策略，对于应用而言存在关于比较策略的选择可能性。

例如，通过中间件向微控制器102发送消息N = {E，VS，W，Y}。因为中间件事件驱动地调用应用，所以微控制器102也必须事件驱动地起动。这例如可以通过微控制器102上的中断来实现。如果微控制器102从第一微处理器106获得第一应用副本的第一消息104，则它首先等待来自第二微处理器110的第二应用副本的第二消息。如果从第一消息104到达的时刻起，第二消息108没有在最大等待时间118内到达微控制器102，则对于第二应用110识别到超时错误。微控制器102可以在这种情况下相应地响应，例如其方式是，将超时错误报告给试图通过重新起动来修复第二应用110的诊断单元。例如传递由微控制器102识别的错误F。在图1的示例中，第二消息108在第一消息104之后在最大等待时间118结束之前到达。

如果设置了两个以上的应用，则微控制器102可以等待直至全部或足够的、例如3个消息N中的2个消息到达。

然后，微控制器102首先比较所有到达的消息的比较策略和所属参数。为此，二进制比较就足够了。如果一个消息包含与其他消息不同的比较策略，则相应的应用同样被识别为有错误的并被报告。

相应地，微控制器102比较消息N中的所有接收方Y。如果一个消息N包含与其他消息N不同的接收方，则相应的应用被识别为有错误的并被报告。

随后，微控制器102使用一致的比较策略来比较所有消息N或所有应用的结果E。在此，根据策略，识别到并报告有错误的应用，或者产生新的可靠结果。例如，通过二进制比较或ε比较来识别有错误的应用。例如，通过对所有结果进行中位数计算来确定新的可靠结果。然后传递由微控制器102识别的错误F或由微控制器102计算的可靠结果zE。

最后，微控制器102在比较策略一致并且关于结果E的信息一致的情况下将结果E发送到实际的接收方112。这例如同样经由中间件实现。

在第一微处理器106上，中间件对此调用第一应用副本，并且递交输入数据116。在第二微处理器110上，中间件调用第二应用副本并且递交输入数据116。替代地，可以进行另一单元的调用，所述另一单元复制并且转发输入数据116。在计算之后，第一应用副本将第一消息104并且第二应用副本将第二消息108发送到微控制器102。微控制器102在最大等待时间118之内等待第二应用副本的第二消息108。在比较之后，微控制器102将结果E发送到实际的接收方112。

图2以第二顺序图示意性地示出了在用于比较安全相关应用的结果的第二方法中的步骤。在此，除了结果之外，也还检查应用的输入数据。

对此，第一应用副本将其输入数据116连同第一比较策略和假如存在的其所属的第一比较参数以及最大等待时间118一起作为第四消息202发送到微控制器102。第二应用副本将其输入数据116连同第二比较策略和假如存在的其所属的第二比较参数以及最大等待时间118一起作为第五消息204发送到微控制器102。

微控制器102检查输入数据116是否一致，并且然后在一致的情况下通过第六消息206到第一应用副本来起动第一应用副本的实施和通过第七消息208到第二应用副本来起动第二应用副本的实施。进一步的过程对应于先前针对图1所描述的流程。例如，在缺少一致的情况下识别到错误F。

这具有的优点是提前识别到会导致不同结果的有错误的输入值116。由此避免对状态负责的系统在应用副本错误的情况下必须执行回滚，即加载旧的但正确的系统状态。

图3以第三顺序图示意性地示出了在用于比较安全相关应用的结果的第三方法中的步骤，其中应用副本的实施已经与输入数据116的比较并行地起动。在这种情况下，如果识别到不同的输入数据116，则由微控制器102中断实施。接收方没有获得任何结果，即第三消息114被取消。

这具有以下优点：实际应用的实施在无错误的情况下、即在实施的大多数中没有延迟。

在这种情况下，第八消息302传递第一消息201和第四消息202的内容并且代替第一和第四消息。第九消息304传递第二消息202和第五消息203的内容并且代替第二和第五消息。在识别到错误的情况下，如上所述用第六消息206到第一应用副本来中断第一应用副本的实施。在识别到错误的情况下，如前所述用第七消息208到第二应用副本来中断第二应用副本的实施。接收方没有获得任何结果，即第三消息114被取消。

图4以第四顺序图示意性地示出了在用于比较周期性的、即非基于事件的系统中的安全相关应用的结果的第四方法中的步骤。

代替最大等待时间118，两个应用副本在周期性的情况下发送最大持续时间402，直到下次将结果输出到微控制器102。相对于基于事件的系统，微控制器因此也可以识别到错误情况，在该错误情况下所有的应用副本不发送消息。

代替将实际的结果E发送到微控制器102，为了针对大的结果、例如图像数据或轨迹来节省带宽，也可以传输结果E的实际值的签名S。

签名S的比较例如仅二进制地进行。如果使用上述机制来增加多样性，则由于常见签名机制的压缩而大多不能使用如ε-比较器之类的比较策略或如中位数之类的校正策略。因此，这种替代方案不可应用于这种情况。

然而，如果签名S可以二进制地进行比较，那么实际的接收方仍然必须得到实际的结果。因此，在比较了计算出正确结果E的任意应用副本之后，微控制器102允许该应用副本将其结果E发送到实际的接收方112。为此，例如微控制器102向第一应用副本发送第十消息402，OK。第一应用副本在第十一消息404中将结果E发送到接收方112。

接收方112还可选地从微控制器102获得第十二消息404，在第十二消息中传输正确结果E的签名S。由此对于接收器112可能的是，在获得结果E之后通过重新计算签名S'和与从微控制器102获得的签名S进行二进制比较来检查结果E在此期间是否没有改变。

Claims (13)

1.用于识别微处理器中的硬件错误的方法，其包括：借助提供不同的比较策略的微控制器（102）将在第一微处理器（106）上运行的第一应用的第一结果与在第一微处理器（106）或第二微处理器（110）上运行的第二应用（110）的第二结果进行比较，其中根据所述比较的结果来识别硬件错误，其特征在于，所述微控制器（102）从第一微处理器（106）接收第一消息（104），其中当第二应用在第一微处理器（106）上运行时，所述微控制器（102）从第一微处理器（106）接收第二消息（108），或者当第二应用在第二微处理器（110）上运行时，所述微控制器（102）从第二微处理器（110）接收第二消息（108），其中第一消息（104）包含关于第一比较策略的信息和关于第一应用对功能的第一计算的第一结果的信息，其中第二消息（108）包含关于第二比较策略的信息和关于第二应用对功能的第二计算的第二结果的信息，其中将关于第一比较策略的信息与关于第二比较策略的信息进行比较，其中在关于第一比较策略的信息与关于第二比较策略的信息一致的情况下，将关于第一结果的信息与关于第二结果的信息进行比较。

2.根据权利要求1所述的方法，其特征在于，当第一比较策略与第二比较策略一致的情况下关于第一结果的信息与关于第二结果的信息偏差时，确定关于校正结果的信息，或者当第一比较策略与第二比较策略一致的情况下关于第一结果的信息与关于第二结果的信息偏差时，识别到硬件错误。

3.根据权利要求1所述的方法，其特征在于，在第一比较策略与第二比较策略缺少一致的情况下识别到硬件错误。

4.根据权利要求1至3中任一项所述的方法，其特征在于，关于第一比较参数的信息被包含在第一消息（104）中，其中关于第二比较参数的信息被包含在第二消息（108）中，其中关于第一比较参数的信息与关于第二比较参数的信息进行比较，并且其中在关于第一比较参数的信息与关于第二比较参数的信息一致的情况下根据第一比较参数或根据第二比较参数将关于第一结果的信息与关于第二结果的信息进行比较，其中在第一比较参数与第二比较参数缺少一致的情况下，识别到错误。

5.根据权利要求4所述的方法，其特征在于，借助二进制比较将关于第一比较参数的信息与关于第二比较参数的信息进行比较。

6.根据权利要求1至5中任一项所述的方法，其特征在于，借助二进制比较将关于第一比较策略的信息与关于第二比较策略的信息进行比较。

7.根据权利要求1至6中任一项所述的方法，其特征在于，第一消息（104）除了关于第一结果的信息之外还包含关于应该由第一应用用于第一计算的第一输入数据的信息，并且第二消息（108）除了关于第二结果的信息之外还包含关于应该由第二应用用于第二计算的第二输入数据的信息，其中将关于第一输入数据的信息与关于第二输入数据的信息进行比较，其中在关于第一输入数据的信息与关于第二输入数据的信息缺少一致的情况下，在开始第一计算之前禁止第一计算和/或在开始第二计算之前禁止第二计算。

8.根据权利要求1至6中任一项所述的方法，其特征在于，第一消息（104）除了关于第一结果的信息之外还包含关于第一输入数据的信息，所述第一输入数据在将关于第一结果的信息与关于第二结果的信息进行比较期间由第一应用用于第一结果的第一计算，并且第二消息（108）除了关于第二结果的信息之外还包含关于第二输入数据的信息，所述第二输入数据在将关于第一结果的信息与关于第二结果的信息进行比较期间由第二应用用于第二计算，其中关于第一输入数据的信息与关于第二输入数据的信息进行比较，其中在关于第一输入数据的信息与关于第二输入数据的信息缺少一致的情况下中断第一计算和/或中断第二计算。

9.根据前述权利要求之一所述的方法，其中关于第一结果的信息是第一结果的第一值，并且关于第二结果的信息是第二结果的第二值。

10.根据权利要求1至8中任一项所述的方法，其中关于第一结果的信息是第一结果的第一值的第一签名，并且关于第二结果的信息是第二结果的第二值的第二签名。

11.权利要求10所述的方法，其中在第一签名与第二签名一致的情况下，选择性地将关于第一结果的信息从第一应用传输到接收方（112），或者将关于第二结果的信息从第二应用传输到接收方（112）。

12.用于识别微处理器中的硬件错误的设备，其通过借助提供不同的比较策略的微控制器（102）将在第一微处理器（106）上运行的第一应用的第一结果与在第一微处理器（106）或第二微处理器（110）上运行的第二应用（110）的第二结果进行比较，其中根据所述比较的结果来识别硬件错误，其特征在于，所述设备被构造用于实施根据权利要求1至11之一所述的方法。

13.根据权利要求12所述的设备，其特征在于，所述微控制器（102）被构造用于在硬件中实施锁步功能。