CN109815040B - 一种基于锁步加监控的高安全性计算机系统及其设计方法 - Google Patents

Abstract

本发明提供了一种基于锁步加监控的高安全性计算机系统及其设计方法，在处理器进行读操作时，双处理器分别从两个内存的相同地址读取数据并进行对比，如果对比正确，则将数据送入对应的处理器中，如果对比错误，则进行故障处理操作；设置监控与锁步的对比模块，在负载中加入检查点输出，当检查点到来时，进行交叉对比。若对比无误，则系统基于运行；若对比有误，则进行故障处理操作。本发明实现指令级的故障检测与定位，大大降低了由存储器发生随机故障而引起的系统故障，提高了锁步模块双处理器共模故障的检测率，进而提高了整个系统的安全性，有效解决了非相似处理器运行速度不匹配的问题，减少了监控单元忙等的时间。

Description

一种基于锁步加监控的高安全性计算机系统及其设计方法

技术领域

本发明涉及计算机体系结构领域，尤其是一种高安全性的计算机系统及其设计方法。

背景技术

随着计算机控制技术的发展，自动控制已经深入到生产、生活的各个领域。在航空、航天等高安全关键领域，对计算机控制系统有着极高的安全性要求。传统提升安全性的方法是构造余度系统，在余度系统中，单一模块的故障并不会引起整个系统的故障。但是余度系统在提高了系统安全性的同时，也增加了系统规模和管理成本。因此，在对体积、重量相对敏感的系统中，余度规模不能无限增加。

为了解决余度系统数目瓶颈的问题，人们提出了锁步技术，在中国专利：《处理器系统，发动机控制系统和控制方法》(公开号CN105373455A)中提出了一种处理器锁步方法。在该方法中，双核同时加载相同负载，同源读取一块内存，并在输出时进行对比，发生错误时及时进行故障处理。

上述方法虽然能够在一定程度上提高故障检测率，增加系统的安全性。也存在着一定的问题：对于同源读取的内存没有进行对比操作，无法检测由内存故障而引发的错误；双核采用相同架构，对于概率发生的共模故障无法检测；仅在系统输出时进行锁步，对比粒度较粗。

发明内容

为了克服现有技术的不足，本发明提供一种基于锁步加监控的高安全性计算机系统及其设计方法。本发明在双处理器锁步的基础上增加了冗余存储器部分。在处理器进行读操作时，双处理器分别从两个内存的相同地址读取数据并进行对比，如果对比正确，则将数据送入对应的处理器中，如果对比错误，则进行故障处理操作；在处理器进行写操作时，先将数据和地址进行对比，如果对比正确，则将数据写入对应内存，如果对比错误，则进行故障处理操作。

同时，为了解决锁步双核可能存在的共模故障问题，本发明在上述锁步操作的基础上增加监控模块，监控系统独立运行，与锁步模块采用非相似架构，并加载相同负载，同时运行。设置监控与锁步的对比模块，在负载中人为加入检查点输出，当检查点到来时，进行交叉对比。若对比无误，则系统基于运行；若对比有误，则进行故障处理操作。

本发明解决其技术问题所采用的技术方案是：

一种基于锁步加监控的高安全性计算机系统，包括锁步模块和监控模块，其中锁步模块包含1号处理器、2号处理器、1号存储器、2号存储器、处理器同步装置、存储器同步装置和一个锁步单元，监控模块包括一个与锁步模块采用不同指令集的非相似处理器、3号存储器和一个监控单元。

所述锁步模块中，1号处理器和2号处理器通过处理器-存储器总线分别与1号存储器和2号存储器相连，1号处理器和2号处理器将访存数据输入到处理器同步装置，1号存储器和2号存储器将应答数据存入存储器同步装置，锁步单元分别与两条处理器-存储器总线相连，同时锁步单元与监控模块的监控单元相连。

所述监控模块中，非相似处理器通过处理器-存储器总线与3号存储器相连，监控单元分别与非相似处理器和锁步模块的锁步单元相连。

所述的处理器同步装置包括两个缓存器、保持装置、看门狗电路及同步故障处理单元，保持装置分别连接两个缓存器，两个缓存器再连接到看门狗电路，看门狗电路连接同步故障处理器单元。

所述的存储器同步装置包括两个缓存器、保持装置、看门狗电路及同步故障处理单元，保持装置分别连接两个缓存器，两个缓存器再连接到看门狗电路，看门狗电路连接同步故障处理器单元。

所述锁步单元包括对比单元、锁步故障处理单元和执行单元，对比数据进入锁步单元后，先进入对比单元，将对比数据在对比单元进行对比，对比单元将对比结果发送给锁步故障处理单元，并将对比数据送入执行单元，在执行单元中，当检查点到达时，将对比相同的数据送到监控单元的锁步缓冲队列中，等待与非相似处理器发出的数据进行第二次对比；同时执行单元不断向总线发送总线控制信号。

在锁步模块中，1号处理器和2号处理器加载相同负载并同时运行，且同步与1号存储器和2号存储器进行交互，处理器同步装置负责缓存1号处理器和2号处理器的内存请求，内存请求包括地址和数据信息，保持装置保持总线的忙等待状态，若内存请求的同步延时超出预定时间最大值，则看门狗电路报错；

锁步单元中的对比单元对比处理器同步装置汇总的请求信息，根据对比结果进行处理；存储器同步装置缓存内存的响应信息，响应信息包括地址和数据信息，存储器同步装置的保持装置保持总线的忙等待状态，若响应信息的同步延时超限，则看门狗电路报错；锁步单元的对比单元对比存储器同步装置汇总的请求信息，根据对比结果进行处理。

所述监控单元包括锁步缓存队列、监控缓存队列、对比单元和监控故障处理单元，锁步模块的输出数据进入锁步缓存队列，非相似处理器输出数据进入监控缓存队列，之后将锁步缓存队列中的首数据和监控缓存队列的首数据均发送至对比单元，对比单元进行对比后，如对比数据不相同，则启动监控故障处理单元，进行故障处理。

在监控模块中，非相似处理器采用与锁步模块不同的指令集，非相似处理器加载交叉编译的与1号处理器和2号处理器相同的负载，监控模块与锁步模块同时运行，在固定的时间设置检查点，当检查点的时间到达时，监控单元接收锁步单元和非相似处理器传来的数据，分别保存在锁步缓存队列和监控缓存队列中，即锁步缓存队列的数据来自锁步单元，监控缓存队列的数据来自非相似处理器，监控单元接收锁步单元以及非相似处理器的检查点输出信息，并保存在各自的缓存队列中，当监控单元的锁步缓存队列和监控缓存队列非空时，监控单元中的对比单元对两个缓存器的队首数据进行对比，并根据对比结果进行处理。

本发明还提供涉及基于锁步加监控的高安全性计算机系统的设计方法，详细实现步骤如下：

步骤一、锁步模块的1号处理器和2号处理器及监控模块的非相似处理器同时加载相同负载，并同时运行；

步骤二、锁步模块的1号处理器和2号处理器请求内存时，先发出内存请求的处理器发出内存请求，处理器同步装置接收该请求存入缓存器并通知该处理器等待；

步骤三、锁步模块的后发出内存请求的处理器发出内存请求，处理器同步装置接收该请求存入对应的缓存器，并解除先发出请求的处理器的等待状态；

步骤四、处理器同步装置将缓存器中的数据送入锁步单元的对比装置中进行对比，若两个缓存器中的数据完全相同，则给对应存储器发送请求信号；若两个缓存器中的数据有不同，则进行故障处理操作；

步骤五、存储器接收请求信号后，若执行写操作，无需数据返回，则直接进行操作即可；若执行读操作，需要数据返回，则将数据按地址读取后，送至存储器同步装置；

步骤六、存储器同步装置接收先响应的内存发送的数据后，等待后响应的内存的数据传输，当两个缓存器非空时，将数据送入锁步单元的对比装置进行对比，若两个缓存器中的数据完全相同，则将数据发送给对应处理器；若两个缓存器中的数据不完全相同，则进行故障处理操作；

步骤七、当整个系统到达人工设置的检查点时，锁步模块按照步骤一至步骤四进行操作，并将检查点输出信息输出至监控单元中的锁步缓存队列中；监控模块的非相似处理器将检查点的输出信息送至监控单元的监控缓存队列中；

步骤八、当监控单元的锁步缓存队列和监控缓存队列非空时，取出锁步缓存队列和监控缓存队列的队首数据进行对比，若两个缓存器的缓存队列的队首数据完全相同，则系统正常执行；若两个数据不完全相同，则进行故障处理操作。

本发明的有益效果在于在处理器访存时进行锁步对比，可以实现指令级的故障检测与定位；同构冗余存储器的设置、交叉对比，大大降低了由存储器发生随机故障而引起的系统故障；通过设置监控模块和人工检查点，提高了锁步模块双处理器共模故障的检测率，进而提高了整个系统的安全性；通过监控单元缓冲队列的设置，有效解决了非相似处理器运行速度不匹配的问题，减少了监控单元忙等的时间。

附图说明

图1为根据本发明实施的锁步监控计算机架构示意图。

图2为根据本发明实施的处理器同步装置和存储器同步装置的结构图。

图3为根据本发明实施的锁步单元结构图。

图4为根据本发明实施的监控单元结构图。

具体实施方式

下面结合附图和实施例对本发明进一步说明。

为了使本领域技术人员更好的理解本发明，下面参照附图并结合实施过程对本发明进行进一步的解释说明。需要注明的是，该实施过程仅作为解释该发明，并不用于限制本发明。

一种基于锁步加监控的高安全性计算机系统，包括锁步模块和监控模块，其中锁步模块包含1号处理器、2号处理器、1号存储器、2号存储器、处理器同步装置、存储器同步装置和一个锁步单元，监控模块包括一个与锁步模块采用不同指令集的非相似处理器、3号存储器和一个监控单元。

所述锁步模块中，1号处理器和2号处理器通过处理器-存储器总线分别与1号存储器和2号存储器相连，1号处理器和2号处理器将访存数据输入到处理器同步装置，1号存储器和2号存储器将应答数据存入存储器同步装置，锁步单元分别与两条处理器-存储器总线相连，同时锁步单元与监控模块的监控单元相连。

所述监控模块中，非相似处理器通过处理器-存储器总线与3号存储器相连，监控单元分别与非相似处理器和锁步模块的锁步单元相连。

所述的处理器同步装置包括两个缓存器、保持装置、看门狗电路及同步故障处理单元，保持装置分别连接两个缓存器，两个缓存器再连接到看门狗电路，看门狗电路连接同步故障处理器单元。

所述的存储器同步装置包括两个缓存器、保持装置、看门狗电路及同步故障处理单元，保持装置分别连接两个缓存器，两个缓存器再连接到看门狗电路，看门狗电路连接同步故障处理器单元。

所述锁步单元包括对比单元、锁步故障处理单元和执行单元，对比数据进入锁步单元后，先进入对比单元，将对比数据在对比单元进行对比，对比单元将对比结果发送给锁步故障处理单元，并将对比数据送入执行单元，在执行单元中，当检查点到达时，将对比相同的数据送到监控单元的锁步缓冲队列中，等待与非相似处理器发出的数据进行第二次对比；同时执行单元不断向总线发送总线控制信号。

在锁步模块中，1号处理器和2号处理器加载相同负载并同时运行，且同步与1号存储器和2号存储器进行交互，处理器同步装置负责缓存1号处理器和2号处理器的内存请求，内存请求包括地址和数据信息，保持装置保持总线的忙等待状态，若内存请求的同步延时超出预定时间最大值，则看门狗电路报错；

锁步单元中的对比单元对比处理器同步装置汇总的请求信息，根据对比结果进行处理；存储器同步装置缓存内存的响应信息，响应信息包括地址和数据信息，存储器同步装置的保持装置保持总线的忙等待状态，若响应信息的同步延时超限，则看门狗电路报错；锁步单元的对比单元对比存储器同步装置汇总的请求信息，根据对比结果进行处理。

所述监控单元包括锁步缓存队列、监控缓存队列、对比单元和监控故障处理单元，锁步模块的输出数据进入锁步缓存队列，非相似处理器输出数据进入监控缓存队列，之后将锁步缓存队列中的首数据和监控缓存队列的首数据均发送至对比单元，对比单元进行对比后，如对比数据不相同，则启动监控故障处理单元，进行故障处理。

在监控模块中，非相似处理器采用与锁步模块不同的指令集，非相似处理器加载交叉编译的与1号处理器和2号处理器相同的负载，监控模块与锁步模块同时运行，在固定的时间设置检查点，当检查点的时间到达时，监控单元接收锁步单元和非相似处理器传来的数据，分别保存在锁步缓存队列和监控缓存队列中，即锁步缓存队列的数据来自锁步单元，监控缓存队列的数据来自非相似处理器，监控单元接收锁步单元以及非相似处理器的检查点输出信息，并保存在各自的缓存队列中，当监控单元的锁步缓存队列和监控缓存队列非空时，监控单元中的对比单元对两个缓存器的队首数据进行对比，并根据对比结果进行处理。

本发明还提供涉及基于锁步加监控的高安全性计算机系统的设计方法，详细实现步骤如下：

步骤一、锁步模块的1号处理器和2号处理器及监控模块的非相似处理器同时加载相同负载，并同时运行；

步骤二、锁步模块的1号处理器和2号处理器请求内存时，先发出内存请求的处理器发出内存请求，处理器同步装置接收该请求存入缓存器并通知该处理器等待；

步骤三、锁步模块的后发出内存请求的处理器发出内存请求，处理器同步装置接收该请求存入对应的缓存器，并解除先发出请求的处理器的等待状态；

步骤四、处理器同步装置将缓存器中的数据送入锁步单元的对比装置中进行对比，若两个缓存器中的数据完全相同，则给对应存储器发送请求信号；若两个缓存器中的数据有不同，则进行故障处理操作；

步骤五、存储器接收请求信号后，若执行写操作，无需数据返回，则直接进行操作即可；若执行读操作，需要数据返回，则将数据按地址读取后，送至存储器同步装置；步骤六、存储器同步装置接收先响应的内存发送的数据后，等待后响应的内存的数据传输，当两个缓存器非空时，将数据送入锁步单元的对比装置进行对比，若两个缓存器中的数据完全相同，则将数据发送给对应处理器；若两个缓存器中的数据不完全相同，则进行故障处理操作；

步骤七、当整个系统到达人工设置的检查点时，锁步模块按照步骤一至步骤四进行操作，并将检查点输出信息输出至监控单元中的锁步缓存队列中；监控模块的非相似处理器将检查点的输出信息送至监控单元的监控缓存队列中；

步骤八、当监控单元的锁步缓存队列和监控缓存队列非空时，取出锁步缓存队列和监控缓存队列的队首数据进行对比，若两个缓存器的缓存队列的队首数据完全相同，则系统正常执行；若两个数据不完全相同，则进行故障处理操作。

参照图1，本发明包含两个模块：锁步模块和监控模块。

其中，锁步模块包括两个同构处理器、处理器同步装置、锁步单元、存储器同步装置和两个相同存储器。

监控模块包括与锁步模块采用非相似架构的处理器、监控单元和一个存储器。

本发明还包括总线、I/O等设备。

在锁步模块中，两个同构处理器在系统运行时同时加载相同负载，当遇到访存任务时，处理器-存储器总线非使能，处理器将地址及数据(写操作)送入处理器同步装置进行缓存，当另一处理器也发出相同请求时，处理器同步装置将两个缓存器中的数据送入锁步单元中进行对比，锁步单元根据对比的结果进行下一步操作。

若对比相同，则锁步单元控制处理器-存储器总线使能，内存接收访存请求。若操作为store，则两存储器分别按照地址将数据存储到自身相同位置，无需再次锁步；若操作为load，则两存储器分别按照地址将数据取出，送至存储器同步装置，待该装置中两缓存器非空时，将数据送入锁步单元进行对比，根据对比结果进行下一步操作。

若对比相同，则锁步单元控制处理器-存储器总线使能，内存将数据送入处理器的寄存器中，一次访存锁步操作完成。上述过程中任何对比出现错误，系统都会执行故障处理操作。

此过程相对于传统的锁步操作，增加了冗余存储器架构，通过锁步对比响应数据，有效增加了由存储器随机故障引发的系统故障的检测率，提高了系统的安全性。

在监控模块中，非相似处理器在系统运行时加载相同的、交叉编译的负载。由于监控模块与锁步模块采用非相似架构，无法达到锁步模块中的指令级锁步，只能在关键位置人为地设置检查点，对比处理器的输出情况。

当锁步模块负载到达检查点时，先在锁步单元进行交叉对比，对比过程与访存类似，此处不再赘述。若对比无误，则将检查点输出信息送入监控单元的锁步缓存队列中。监控模块处理器与此类似，到达检查点时，将输出信息送入监控单元的监控缓存队列中。

当两队列均非空时，取出队首元素进行交叉对比，若数据对比无误，则不进行任何操作；一旦数据对比有误，则系统立刻进入故障处理模式。通过非相似监控模块的设置，有效增加了由锁步模块共模故障引起的系统故障的检测率，进而提升了系统的安全性。

参照图2，本方法实施的处理器同步模块包括：两个缓存器、保持装置、看门狗电路和故障处理单元。

其中：缓存器用于解决锁步双处理器异步问题，处理器在运行时，内部状态无法完全一致，解决方法是：当某一处理器访存请求先到来时，缓存器先将数据保存，等待另一处理器访存请求到来时，进行数据交叉对比。

保持装置的作用是，当缓存器单侧非空时，保持该侧总线状态，等待另一侧数据到来时开放上述总线。当单侧数据等待过久时，看门狗电路复位失败，由故障处理单元向锁步双处理器发送“处理器异步度超限”错误，系统进入故障处理模式。

参考图3，本发明的锁步单元包括：对比单元、故障处理单元、执行单元。

其中：对比单元对处理器同步装置或存储器同步装置输入的数据进行对比操作。如果数据对比无误，则发送信号给执行单元，执行单元对外发送处理器-存储器总线使能信号，锁步操作结束，访存操作继续进行；如果数据对比有误，则发送信号给故障处理单元，由该单元向外发送“处理器失步”错误，系统进入故障处理模式。

当锁步负载到达检查点时，对比单元对输入的检查点输出进行对比，如果对比有误，处理方式与上述方式相同；如果对比无误，则由执行单元将该数据输出至监控模块进行下一步交叉对比。

参考图4，本发明实施的监控单元包括锁步缓存队列、监控缓存队列、对比单元、故障处理单元。

其中：锁步缓冲队列用于接收锁步模块的检查点输出信息，监控缓冲队列用于接收监控模块的检查点输出信息，当两缓存队列均非空时，对比单元取出队首元素进行交叉对比。若对比无误，则不需要进行任何操作；反之，若对比有误，则发送信号给故障处理单元，由故障处理单元向外发送“监控过程错误”(“锁步模块共模错误”)。

由于非相似处理器间相同负载的运行速度可能不同，所以本发明采用缓存队列结构，队列单侧非空并不影响系统运行，监控对比无误也不需要发送任何信号。仅当对比有误时发送错误信号，在提高系统故障检测率的同时，也有利于减少交叉对比的忙等时间。

本发明虽然以实施过程的方式公开如上，但是，该实施过程只为说明本发明，并不能限制本发明。同时，任何本领域的技术人员在本发明的技术和方法范围内，做出的简单修改、等同变化，均应视作本发明方案所附权利要求的保护范围。

Claims (2)

1.一种基于锁步加监控的高安全性计算机系统，包括锁步模块和监控模块，其特征在于：

所述锁步模块包含1号处理器、2号处理器、1号存储器、2号存储器、处理器同步装置、存储器同步装置和一个锁步单元，监控模块包括一个与锁步模块采用不同指令集的非相似处理器、3号存储器和一个监控单元；

所述锁步模块中，1号处理器和2号处理器通过处理器-存储器总线分别与1号存储器和2号存储器相连，1号处理器和2号处理器将访存数据输入到处理器同步装置，1号存储器和2号存储器将应答数据存入存储器同步装置，锁步单元分别与两条处理器-存储器总线相连，同时锁步单元与监控模块的监控单元相连；

所述监控模块中，非相似处理器通过处理器-存储器总线与3号存储器相连，监控单元分别与非相似处理器和锁步模块的锁步单元相连；

所述的处理器同步装置包括两个缓存器、保持装置、看门狗电路及同步故障处理单元，保持装置分别连接两个缓存器，两个缓存器再连接到看门狗电路，看门狗电路连接同步故障处理器单元；

所述的存储器同步装置包括两个缓存器、保持装置、看门狗电路及同步故障处理单元，保持装置分别连接两个缓存器，两个缓存器再连接到看门狗电路，看门狗电路连接同步故障处理器单元；

所述锁步单元包括对比单元、锁步故障处理单元和执行单元，对比数据进入锁步单元后，先进入对比单元，将对比数据在对比单元进行对比，对比单元将对比结果发送给锁步故障处理单元，并将对比数据送入执行单元，在执行单元中，当检查点到达时，将对比相同的数据送到监控单元的锁步缓冲队列中，等待与非相似处理器发出的数据进行第二次对比；同时执行单元不断向总线发送总线控制信号；

在锁步模块中，1号处理器和2号处理器加载相同负载并同时运行，且同步与1号存储器和2号存储器进行交互，处理器同步装置负责缓存1号处理器和2号处理器的存储器请求，存储器请求包括地址和数据信息，保持装置保持总线的忙等待状态，若存储器请求的同步延时超出预定时间最大值，则看门狗电路报错；

锁步单元中的对比单元对比处理器同步装置汇总的请求信息，根据对比结果进行处理；存储器同步装置缓存存储器的响应信息，响应信息包括地址和数据信息，存储器同步装置的保持装置保持总线的忙等待状态，若响应信息的同步延时超限，则看门狗电路报错；锁步单元的对比单元对比存储器同步装置汇总的请求信息，根据对比结果进行处理；

所述监控单元包括锁步缓存队列、监控缓存队列、对比单元和监控故障处理单元，锁步模块的输出数据进入锁步缓存队列，非相似处理器输出数据进入监控缓存队列，之后将锁步缓存队列中的首数据和监控缓存队列的首数据均发送至对比单元，对比单元进行对比后，如对比数据不相同，则启动监控故障处理单元，进行故障处理；

在监控模块中，非相似处理器采用与锁步模块不同的指令集，非相似处理器加载交叉编译的与1号处理器和2号处理器相同的负载，监控模块与锁步模块同时运行，在固定的时间设置检查点，当检查点的时间到达时，监控单元接收锁步单元和非相似处理器传来的数据，分别保存在锁步缓存队列和监控缓存队列中，即锁步缓存队列的数据来自锁步单元，监控缓存队列的数据来自非相似处理器，监控单元接收锁步单元以及非相似处理器的检查点输出信息，并保存在各自的缓存队列中，当监控单元的锁步缓存队列和监控缓存队列非空时，监控单元中的对比单元对两个缓存器的队首数据进行对比，并根据对比结果进行处理。

2.一种利用权利要求1所述基于锁步加监控的高安全性计算机系统的设计方法，其特征在于包括下述步骤：

步骤一、锁步模块的1号处理器和2号处理器及监控模块的非相似处理器同时加载相同负载，并同时运行；

步骤二、锁步模块的1号处理器和2号处理器请求存储器时，先发出存储器请求的处理器发出存储器请求，处理器同步装置接收该请求存入缓存器并通知该处理器等待；

步骤三、锁步模块的后发出存储器请求的处理器发出存储器请求，处理器同步装置接收该请求存入对应的缓存器，并解除先发出请求的处理器的等待状态；

步骤四、处理器同步装置将缓存器中的数据送入锁步单元的对比装置中进行对比，若两个缓存器中的数据完全相同，则给对应存储器发送请求信号；若两个缓存器中的数据有不同，则进行故障处理操作；

步骤五、存储器接收请求信号后，若执行写操作，无需数据返回，则直接进行操作即可；若执行读操作，需要数据返回，则将数据按地址读取后，送至存储器同步装置；

步骤六、存储器同步装置接收先响应的存储器发送的数据后，等待后响应的存储器的数据传输，当两个缓存器非空时，将数据送入锁步单元的对比装置进行对比，若两个缓存器中的数据完全相同，则将数据发送给对应处理器；若两个缓存器中的数据不完全相同，则进行故障处理操作；

步骤七、当整个系统到达人工设置的检查点时，锁步模块按照步骤一至步骤四进行操作，并将检查点输出信息输出至监控单元中的锁步缓存队列中；监控模块的非相似处理器将检查点的输出信息送至监控单元的监控缓存队列中；

步骤八、当监控单元的锁步缓存队列和监控缓存队列非空时，取出锁步缓存队列和监控缓存队列的队首数据进行对比，若两个缓存器的缓存队列的队首数据完全相同，则系统正常执行；若两个数据不完全相同，则进行故障处理操作。

Images