DD223845A1

DD223845A1 - Anordnung zur fehlererkennung in der funktionsweise von digitalrechnern

Info

Publication number: DD223845A1
Application number: DD26162184A
Authority: DD
Inventors: Klaus Michelsen; Dietmar Schedler
Original assignee: Schiffselektronik Veb
Priority date: 1984-04-04
Filing date: 1984-04-04
Publication date: 1985-06-19

Abstract

Die Erfindung bezieht sich auf eine Anordnung zur Erkennung von Fehlern in der Arbeitsweise eines Digitalrechners, der sequentiell eine vorgegebene Befehlsfolge abarbeitet und ist besonders zur Anwendung in Mikrorechnersystemen vorgesehen. Ziel der Erfindung ist eine Anordnung, die mit dem Aufwand bekannter Ueberwachungseinrichtungen fuer Digitalrechner, eine projektierbare Sicherheit erlaubt und eine maximale Fehlererkennungssicherheit nahe der eines redundanten Systems ermoeglicht. Aufgabe der Erfindung ist es, eine Anordnung zu schaffen, die eine stetige Ueberwachung eines Rechners auf Hardware- und Softwarefehler ermoeglicht. Diese Aufgabe wird erfindungsgemaess dadurch geloest, dass der Digitalrechner an den Verbindungsstellen der Strukturelemente seines Programms Kodierungen an eine intelligente Einheit ausgibt, die in der intelligenten Einheit mit der vorgegebenen Struktur des Programms verglichen werden.

Description

Hierzu 1 Seite Zeichnungen

Anwendungsgebiet der Erfindung

Die Erfindung bezieht sich auf eine Anordnung zur Erkennung von Hardwarefehlern in Rechnern, die sequentiell eine vorgegebene Befehlsfolge abarbeiten und zur Kontrolle der ordnungsgemäßen Programmabarbeitung. Die Anwendung ist insbesondere für Mikrorechner vorgesehen.

Charakteristik der bekannten technischen Lösungen

Zur Erkennung von Fehlern in der Funktionsweise digitaler Rechner sind verschiedene Lösungen bekannt. Sie lassen sich in folgende Gruppen einteilen:

A) Redundante Systeme mit Mehrheitslogik

B) Kontrolle des Zustandsraumes-„Rechnerbus"

C) Kontrolle des Rechners nach dem Schwungradprinzip

D) Überwachung der Ein- und Ausgabeoperationen des Rechners

E) Selbsttest/Signaturanalyse

Die Reihenfolge der Aufzählung erfolgte nach der Höhe der erreichbaren Sicherheit. Betrachtet wird Gruppe C.

Die bekannten Anordnungen dieser Gruppe verwenden eine Schaltungsanordnung, die durch den Rechner regelmäßig mit einem Signal beaufschlagt wird und bei Ausbleiben dieses Signais eine Fehlermeldung abgibt.

Die in DE-OS 2842392, DE-OS 2846053, US-Patent 4363092, DE-OS 3012425, DE-OS 2943133, DE-OS 3232513, DE-OS 3146735, DE-OS 3315049, DE-OS 2846040 und DD-WP 2036536 beschriebenen Anordnungen verwenden einen monostabilen Multivibrator, der pro Programmdurchlauf von einem Kontrollimpuls einmalig oder mehrmalig getriggert wird.

Die Zeitkonstante des Multivibrators ist größer als der maximale Abstand der Kontrollimpulse. Daraus ergibt sich der Nachteil, daß die Reaktionszeit bei Auftreten eines Fehlers dieser maximalen Zeit entspricht. Die Operationen des Rechners in der Zeit zwischen dem Auftreten des Fehlers und dem Erkennen des Fehlers sind unkontrolliert.

Die Verzögerungszeit des monostabilen Multivibrators ist festgelegt. Die Ansprechzeit ist nur hardwaremäßig zu ändern. Das ergibt unterschiedliche Ausführungsformen für verschiedene Systeme. Für jedes System ist nur eine Zeitkonstante vorhanden.

Dadurch läßt sich keine Anpassung der Reaktionszeit an das momentan laufende Programmstück erreichen.

Unbekannte Programmodule können nur bei Kenntnis ihres Aufbaus eingebunden werden, wenn ihre Abarbeitungszeit großer als die Zeit zwischen zwei Kontrollimpulsen ist. Einige der Anordnungen liefern nur eine Fehlermeldung und unternehmen keinen Neustartversuch. Das bedeutet, daß die Fehlermeldung auch bei einmaligen, reversiblen Speicherlesefehlern erfolgt.

In DD-WP 2036536 wird ein Rückwärtszähler auf die Zeit bis zum nächsten Kontrollimpuls gesetzt und laufend getaktet. Der Nulldurchgang wird als Fehler ausgewertet. Auch hier läßt sich die Reaktionszeit nicht beliebig verkleinern. Bei Interrupts geht die gesetzte Zeitkontstante verloren.

Alle diese Anordnungen haben einen entscheidenen Nachteil. Bei Programmabarbeitungsfehlern, die trotzdem zur Generierung eines Kontrollimpulses (Schleife mit Kontrollimpuls, anderer Programmabschnitt) führen, wird kein Fehler erkannt. Die Anordnung nach der DE-OS 2939194, die auch in die Gruppe „C" eingeordnet werden kann, benutzt eine Kodierung, die auf jeder neuen Programmebene übernommen wird und mit einer Sollkodierung verglichen wird. Dazu müssen alle möglichen Programmverläufe bekannt sein. Schleifen, bei denen die Anzahl der Durchläufe vom zu steuernden Prozeß abhängen, sind nicht überwachbar. Auf Grund der nötigen Unterprogrammstruktur ist nur eine recht große Überwachung möglich. Eine Anpassung der Anforderungen an verschiedene Programmteile ist nicht möglich. Die Anordnung ist effektiv nur bei linearen Programmabläufen anwendbar. Eine Überwachung des Interruptverhaltens ist nur bedingt möglich.

Die Einrichtung, nach der DE-OS 2723714 läßt sich auf Grund der vorhandenen Zeitbedingung ebenfalls in die Gruppe „C" einordnen. Bei dieser Einrichtung wird ein vom zu überwachenden System gewonnenes Bitmuster als Adresse für einen . Speicher benutzt. _____ · -. ; — ^: — —-

Der adressierte Speicherinhalt wird mit einem nach jedem Vergleich um 1 erhöhten Zähler verglichen.

Mit dieser Einrichtung lassen sich nur lineare Befehlsfolgen ohne Schleifen über ein Bitmuster überwachen.

Die Anordnung der Gruppe „A" (z. B. DE-OS 2647367 und US-Patent 4233682) stellt kostenintensive Mehrrechnersysteme mit einer Mehrheitslogik dar. Sie bietet eine hohe Sicherheit bei der Fehlererkennung und eine hohe Funktionssicherheit durch die vorhandene Redundanz.

Die Anordnungen der Gruppe „B" und „D" erfordern umfangreiche Überwachungsschaltungen und erlauben nicht; den

Rechner in seiner Gesamtheit zu überwachen. , -

So kontrolliert die Einrichtung nach US-Patent 3533065 die richtige Ausführung einzelner Befehle, aber keiner Befehlsfolgen.

Die Anordnung nach US-Patent 4354251 überprüft nur Speichersummen und erfordert somit die genaue Kenntnis aller

möglichen Programmabläufe. ....'.

Die Anordnung der Gruppe „E" sind in erster Linie für den Bauelementetest, die Inbetriebnahme und für die Reparatur des Rechners geeigne't. Beispiele sind die" Anordnungen nach US- Patent 4108359 (Signaturanalyse) oder DD-WP 143831.

Diese Anordnungen sind mit einem hohen zeitlichen Aufwand in der Lage, einen Hardwaretest durchzuführen. Sie erkennen aber keine Fehler in der läufenden Programmabarbeitung.

Ziel der Erfindung , '

Ziel der Erfindung ist eine Anordnung zur Erkennung von Fehlern in der Funktionsweise eines Digitalrechners, insbesondere eines Mikrorechners, die mit dem Aufwand der bekannten Anordnungen der Gruppe „C" maximale Fehlererkennungssicherheit nahe der eines redundanten Systems mit Mehrheitslogik ermöglicht. ~

Darlegung des Wesens der Erfindung

Aufgabe der Erfindung ist es, eine Anordnung zu schaffen, die eine stetige Überwachung eines Rechners auf Fehler in der

Funktionsweise ermöglicht. ' '

Die Sicherheit der Fehlererkennung muß entsprechend den jeweiligen Anforderungen projektierbar sein und den Wert redundanter Systeme erreichen können.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, daß der Rechner an den Verbindungsstellen der Strukturelemente seines Programms Kodierungen an eine intelligente Einheit ausgibt, die mit dem Datenbus des Digitalrechners verbunden ist.

Die intelligente Einheit ist vorzugsweise ein Einchiprechner, für den eine Erkennungslogik, die ebenfalls mit dem Rechner verbunden ist, ein Übernahmesignal zum Einlesen der Kodierungen erzeugt.

In der intelligenten Einheit ist in einem Datenfeld die Struktur des Programmablaufes des Digitalrechners abgelegt und wird laufend mit den übernommenen Kodierungen verglichen, um bei Nichtübereinstimmung mit Hilfe der nachgeschaiteten Melde-und Alarmeinheit ein Rücksetzsignal (Neustart), für den Rechner zu generieren.

Die Meldeeinrichtung kann weiterhin benutzt werden, um Seibsttestroutinen des Digitalrechners definiert auszulösen, E/A Tore zu sperren, eine Umschaltung auf ein anderes System (redundante Systeme) auszulösen, oder im Fall von rekonfigurierbaren, fehlertolerierenden Systemen eine Information an die Rekonfigurierungseinheitzu übergeben. Die Kodierungen, die eine Zeitbedingung (Abstand zur nächsten Übergabe) enthalten können, werden bei entsprechender Gestaltung der intelligenten Einheit in einem definierterf.Programmdurchlauf des Digitalrechners aufgenommen. Durch die Auflösung der Strukturelemente des Programmablaufs ist die erreichbare Sicherheit projektierbar.

Die Schaltungsanordnung kann zur Erreichung hoher Sicherheiten auch redundant ausgeführt werden. Beim Parallelbetrieb mehrerer Rechner in einem System, kann jeder Rechner die intelligente Einheit eines Anderen darstellen.

Ausführungsbeispiel ,

Die erfindungsgemäße Lösung soll nun anhand eines möglichen Ausführungsbeispieles in Verbindung mit der Zeichnung

näher erläutert werden. -

Die intelligente Einheit 2 übernimmt vom Datenbus DB die Kodierungen, wenn im Adreßdekoder 1 die zugehörige Adresse erkannt wurde und das Signal E erzeugt wird.

Bei negativem Ergebnis des Vergleiches in der intelligenten Einheit 2 gibt die Meldeeinrichtung 3 Alarmsignale A und versucht

einen Neustart (NMI). -

Die Auslösung des Neustartversuches wird an die intelligente Einheit gemeldet.

Eine Interruptanerkennung des D'igital-Rechners wird in der Logik 4 erkannt und an die intelligente Einheit 2 gemeldet.

Die spezifischen Vorteile der erfindungsgemäßen Lösung sind:

1) geringer Aufwand bei hoher erreichbarer Sicherheit in der Fehlererkennung ^l

2) Projektierbare Sicherheit durch Auflösung der Strukturelemente .

3) Anpassung an verschiedene Einsatzfälle durch Softwareänderungen

4) Unbekannte Programmodüle lassen sich ohne Kenntnis ihres inneren Aufbaus einbinden -

5) Überwachung des Programmablaufes an Hand der vorgegebenen Struktur. Dadurch hohe Sicherheit beim Erkennen von Fehlfunktionen.

Claims

-1- 261621

Erfindungsansprüche:

1. Anordnung zur Erkennung von Fehlern in der Funktionsweise eines Digitalrechners, insbesondere eines Mikrorechners, dadurch gekennzeichnet, daß einer intelligenten Einheit (2), die mit dem Datenbus des Digitalrechners (5) verbunden ist, mit Hilfe einer Erkennungslogik (1), die ebenfalls mit dem Digitalrechner (5) verbunden ist und ein Übernahmesignal für die intelligente Einheit (2) erzeugt, an den Verbindungsstellen der Strukturelemente des Programms des Digitalrechners Kodierungen übergeben werden, die mit der in einem Datenfeld der intelligenten Einheit (2) abgelegten Struktur des Programmablaufes verglichen werden und bei Nichtübereinstimmung eine Fehlermeldung erfolgt.
2. Anordnung nach Punkt 1, dadurch gekennzeichnet, daß die Erkennungslogik (1) ein Adreßdekoder ist.
3. Anordnung nach Punkt 1 und 2, gekennzeichnet dadurch, daß eine Interrupt-Erkennungslogik (4) mit den Steuersignalen des Digitalrechners verbunden ist und der Ausgang der Erkennungslogik (4) mit der intelligenten Einheit (2) verbunden ist.
4. Anordnung nach Punkt 1, gekennzeichnet dadurch, daß die intelligente Einheit (2) ein beliebiger zweiter Digitalrechner ist.
5. Anordnung nach Punkt 1 und Punkt 4, gekennzeichnet dadurch, daß die erfindungsgemäße Anordnung redundant ausgeführt ist.
6. Anordnung nach Punkt 1, 2 und 3, gekennzeichnet dadurch, daß der intelligenten Einheit (2) eine Alarm- und Meldeeinrichtung (3) folgt, deren einer Ausgang mit der intelligenten Einheit (2) und einem Rücksetzeingang (NMI) des Digitalrechners verbunden ist.
7. Anordnung nach Punkt 4, gekennzeichnet dadurch, daß die Alarm- und Meldeeinrichtung (3) die E/A-Einheiten des Digitalrechners sperren kann.
8. Anordnung nach Punkt 4, gekennzeichnet dadurch, daß die Alarm- und Meldeeinrichtung (3) ein Selbsttestprogramm im Digitalrechner definiert starten kann.
9. Anordnung nach Punkt 4, gekennzeichnet dadurch, daß die Alarm-und Meldeeinrichtung (3) im Fehlerfall eine Umschaltung auf ein anderes System (redundante Systeme) auslöst.
10. Anordnung nach Punkt 4, gekennzeichnet dadurch, daß die Alarm- und Meldeeinrichtung (3) im Fehlerfall bei rekonfigurierbaren, fehlertolerierenden Systemen eine Information an die Rekonfigurierungseinheit übergibt.
11. Anordnung nach Punkt 1, 2 und 3, gekennzeichnet dadurch, daß die Struktur des Programms von der intelligenten Einheit (2) in einem definierten Programmdurchlauf automatisch aufgenommen wird.
12. Anordnung nach Punkt 1, 2 und 3, gekennzeichnet dadurch, daß die übergebenen Kodierungen eine Zeitbedingung enthalten.