DD223845A1

DD223845A1 - ARRANGEMENT FOR ERROR IDENTIFICATION IN THE FUNCTIONING OF DIGITAL CALCULATORS

Info

Publication number: DD223845A1
Application number: DD26162184A
Authority: DD
Inventors: Klaus Michelsen; Dietmar Schedler
Original assignee: Schiffselektronik Veb
Priority date: 1984-04-04
Filing date: 1984-04-04
Publication date: 1985-06-19

Abstract

Die Erfindung bezieht sich auf eine Anordnung zur Erkennung von Fehlern in der Arbeitsweise eines Digitalrechners, der sequentiell eine vorgegebene Befehlsfolge abarbeitet und ist besonders zur Anwendung in Mikrorechnersystemen vorgesehen. Ziel der Erfindung ist eine Anordnung, die mit dem Aufwand bekannter Ueberwachungseinrichtungen fuer Digitalrechner, eine projektierbare Sicherheit erlaubt und eine maximale Fehlererkennungssicherheit nahe der eines redundanten Systems ermoeglicht. Aufgabe der Erfindung ist es, eine Anordnung zu schaffen, die eine stetige Ueberwachung eines Rechners auf Hardware- und Softwarefehler ermoeglicht. Diese Aufgabe wird erfindungsgemaess dadurch geloest, dass der Digitalrechner an den Verbindungsstellen der Strukturelemente seines Programms Kodierungen an eine intelligente Einheit ausgibt, die in der intelligenten Einheit mit der vorgegebenen Struktur des Programms verglichen werden.The invention relates to an arrangement for detecting errors in the operation of a digital computer, which executes sequentially a predetermined command sequence and is particularly intended for use in microcomputer systems. The aim of the invention is an arrangement that allows the cost of known monitoring devices for digital computers, a projectable security and allows maximum fault detection reliability near a redundant system. The object of the invention is to provide an arrangement that allows a continuous monitoring of a computer for hardware and software errors. This object is achieved according to the invention in that the digital computer outputs at the junctions of the structural elements of its program codes to an intelligent unit, which are compared in the intelligent unit with the predetermined structure of the program.

Description

Hierzu 1 Seite ZeichnungenFor this 1 page drawings

Field of application of the invention

Die Erfindung bezieht sich auf eine Anordnung zur Erkennung von Hardwarefehlern in Rechnern, die sequentiell eine vorgegebene Befehlsfolge abarbeiten und zur Kontrolle der ordnungsgemäßen Programmabarbeitung. Die Anwendung ist insbesondere für Mikrorechner vorgesehen.The invention relates to an arrangement for the detection of hardware errors in computers that execute sequentially a predetermined command sequence and to control the proper program execution. The application is intended especially for microcomputers.

Characteristic of the known technical solutions

Zur Erkennung von Fehlern in der Funktionsweise digitaler Rechner sind verschiedene Lösungen bekannt. Sie lassen sich in folgende Gruppen einteilen:Various solutions are known for detecting errors in the functioning of digital computers. They can be divided into the following groups:

A) Redundante Systeme mit MehrheitslogikA) Redundant systems with majority logic

B) Kontrolle des Zustandsraumes-„Rechnerbus"B) Control of the state space "computer bus"

C) Kontrolle des Rechners nach dem SchwungradprinzipC) Control of the computer according to the flywheel principle

D) Überwachung der Ein- und Ausgabeoperationen des RechnersD) Monitoring the input and output operations of the computer

E) Selbsttest/SignaturanalyseE) Self-test / signature analysis

Die Reihenfolge der Aufzählung erfolgte nach der Höhe der erreichbaren Sicherheit. Betrachtet wird Gruppe C.The order of enumeration was made according to the level of the achievable security. Consider group C.

Die bekannten Anordnungen dieser Gruppe verwenden eine Schaltungsanordnung, die durch den Rechner regelmäßig mit einem Signal beaufschlagt wird und bei Ausbleiben dieses Signais eine Fehlermeldung abgibt.The known arrangements of this group use a circuit arrangement which is regularly acted upon by the computer with a signal and emits an error message in the absence of this signal.

Die in DE-OS 2842392, DE-OS 2846053, US-Patent 4363092, DE-OS 3012425, DE-OS 2943133, DE-OS 3232513, DE-OS 3146735, DE-OS 3315049, DE-OS 2846040 und DD-WP 2036536 beschriebenen Anordnungen verwenden einen monostabilen Multivibrator, der pro Programmdurchlauf von einem Kontrollimpuls einmalig oder mehrmalig getriggert wird.DE-OS 2842392, DE-OS 2846053, US Patent 4363092, DE-OS 3012425, DE-OS 2943133, DE-OS 3232513, DE-OS 3146735, DE-OS 3315049, DE-OS 2846040 and DD-WP 2036536 use a monostable multivibrator which is triggered once or several times per program pass by a control pulse.

Die Zeitkonstante des Multivibrators ist größer als der maximale Abstand der Kontrollimpulse. Daraus ergibt sich der Nachteil, daß die Reaktionszeit bei Auftreten eines Fehlers dieser maximalen Zeit entspricht. Die Operationen des Rechners in der Zeit zwischen dem Auftreten des Fehlers und dem Erkennen des Fehlers sind unkontrolliert.The time constant of the multivibrator is greater than the maximum distance of the control pulses. This results in the disadvantage that the reaction time when an error occurs corresponds to this maximum time. The operations of the computer in the time between the occurrence of the error and the recognition of the error are uncontrolled.

Die Verzögerungszeit des monostabilen Multivibrators ist festgelegt. Die Ansprechzeit ist nur hardwaremäßig zu ändern. Das ergibt unterschiedliche Ausführungsformen für verschiedene Systeme. Für jedes System ist nur eine Zeitkonstante vorhanden.The delay time of the monostable multivibrator is fixed. The response time is only to be changed by hardware. This results in different embodiments for different systems. There is only one time constant for each system.

Dadurch läßt sich keine Anpassung der Reaktionszeit an das momentan laufende Programmstück erreichen.As a result, no adaptation of the reaction time to the currently running program piece can be achieved.

Unbekannte Programmodule können nur bei Kenntnis ihres Aufbaus eingebunden werden, wenn ihre Abarbeitungszeit großer als die Zeit zwischen zwei Kontrollimpulsen ist. Einige der Anordnungen liefern nur eine Fehlermeldung und unternehmen keinen Neustartversuch. Das bedeutet, daß die Fehlermeldung auch bei einmaligen, reversiblen Speicherlesefehlern erfolgt.Unknown program modules can only be integrated with knowledge of their structure if their processing time is greater than the time between two control pulses. Some of the arrangements only provide an error message and do not attempt to restart. This means that the error message also occurs with one-time, reversible memory read errors.

In DD-WP 2036536 wird ein Rückwärtszähler auf die Zeit bis zum nächsten Kontrollimpuls gesetzt und laufend getaktet. Der Nulldurchgang wird als Fehler ausgewertet. Auch hier läßt sich die Reaktionszeit nicht beliebig verkleinern. Bei Interrupts geht die gesetzte Zeitkontstante verloren.In DD-WP 2036536 a down counter is set to the time until the next control pulse and clocked continuously. The zero crossing is evaluated as an error. Again, the reaction time can not be arbitrarily reduced. For interrupts, the set time constant is lost.

Alle diese Anordnungen haben einen entscheidenen Nachteil. Bei Programmabarbeitungsfehlern, die trotzdem zur Generierung eines Kontrollimpulses (Schleife mit Kontrollimpuls, anderer Programmabschnitt) führen, wird kein Fehler erkannt. Die Anordnung nach der DE-OS 2939194, die auch in die Gruppe „C" eingeordnet werden kann, benutzt eine Kodierung, die auf jeder neuen Programmebene übernommen wird und mit einer Sollkodierung verglichen wird. Dazu müssen alle möglichen Programmverläufe bekannt sein. Schleifen, bei denen die Anzahl der Durchläufe vom zu steuernden Prozeß abhängen, sind nicht überwachbar. Auf Grund der nötigen Unterprogrammstruktur ist nur eine recht große Überwachung möglich. Eine Anpassung der Anforderungen an verschiedene Programmteile ist nicht möglich. Die Anordnung ist effektiv nur bei linearen Programmabläufen anwendbar. Eine Überwachung des Interruptverhaltens ist nur bedingt möglich.All these arrangements have a decisive disadvantage. In the case of program execution errors, which nevertheless lead to the generation of a control pulse (loop with control pulse, other program section), no error is detected. The arrangement according to DE-OS 2939194, which can also be classified in the group "C", uses a coding which is adopted on each new program level and is compared with a nominal coding, for which purpose all possible program progressions must be known Due to the necessary subprogram structure, only a very large amount of monitoring is possible, it is not possible to adapt the requirements to different parts of the program.The arrangement is effectively only applicable to linear program sequences Monitoring the interrupt behavior is only possible to a limited extent.

Die Einrichtung, nach der DE-OS 2723714 läßt sich auf Grund der vorhandenen Zeitbedingung ebenfalls in die Gruppe „C" einordnen. Bei dieser Einrichtung wird ein vom zu überwachenden System gewonnenes Bitmuster als Adresse für einen . Speicher benutzt. _____ · -. ; — ^: — —-The facility, according to DE-OS 2723714 may be due to the existing time condition also in the group "C" rank In this device, a product obtained from the monitored system bit pattern is used as an address for a memory ____ _ · -....; - ^: - -

Der adressierte Speicherinhalt wird mit einem nach jedem Vergleich um 1 erhöhten Zähler verglichen.The addressed memory content is compared with a counter incremented by 1 after each comparison.

Mit dieser Einrichtung lassen sich nur lineare Befehlsfolgen ohne Schleifen über ein Bitmuster überwachen.With this device, only linear command sequences without loops can be monitored over a bit pattern.

Die Anordnung der Gruppe „A" (z. B. DE-OS 2647367 und US-Patent 4233682) stellt kostenintensive Mehrrechnersysteme mit einer Mehrheitslogik dar. Sie bietet eine hohe Sicherheit bei der Fehlererkennung und eine hohe Funktionssicherheit durch die vorhandene Redundanz.The arrangement of the group "A" (eg DE-OS 2647367 and US Patent 4233682) represents cost-intensive multi-computer systems with a majority logic. It offers a high degree of security in fault detection and high reliability through the existing redundancy.

Die Anordnungen der Gruppe „B" und „D" erfordern umfangreiche Überwachungsschaltungen und erlauben nicht; denThe arrangements of group "B" and "D" require extensive monitoring circuits and do not allow; the

Rechner in seiner Gesamtheit zu überwachen. , -Monitor computers in their entirety. , -

So kontrolliert die Einrichtung nach US-Patent 3533065 die richtige Ausführung einzelner Befehle, aber keiner Befehlsfolgen.Thus, the device according to US Patent 3533065 controls the correct execution of individual instructions, but no instruction sequences.

Die Anordnung nach US-Patent 4354251 überprüft nur Speichersummen und erfordert somit die genaue Kenntnis allerThe arrangement according to US Pat. No. 4,354,251 only checks memory sums and thus requires the exact knowledge of all

möglichen Programmabläufe. ....'.possible program sequences. .... '.

Die Anordnung der Gruppe „E" sind in erster Linie für den Bauelementetest, die Inbetriebnahme und für die Reparatur des Rechners geeigne't. Beispiele sind die" Anordnungen nach US- Patent 4108359 (Signaturanalyse) oder DD-WP 143831.The arrangement of group "E" are primarily suitable for device testing, commissioning, and repair of the computer, examples being "U.S. Patent Nos. 4,108,359 (signature analysis) or DD-WP 143831".

Diese Anordnungen sind mit einem hohen zeitlichen Aufwand in der Lage, einen Hardwaretest durchzuführen. Sie erkennen aber keine Fehler in der läufenden Programmabarbeitung.These arrangements are able to perform a hardware test with a high expenditure of time. But you do not recognize any errors in the running program execution.

Ziel der Erfindung , 'Aim of the invention

Ziel der Erfindung ist eine Anordnung zur Erkennung von Fehlern in der Funktionsweise eines Digitalrechners, insbesondere eines Mikrorechners, die mit dem Aufwand der bekannten Anordnungen der Gruppe „C" maximale Fehlererkennungssicherheit nahe der eines redundanten Systems mit Mehrheitslogik ermöglicht. ~ The aim of the invention is an arrangement for detecting errors in the operation of a digital computer, in particular a microcomputer, which allows the effort of the known arrangements of the group "C" maximum fault detection reliability close to that of a redundant system with majority logic

Explanation of the essence of the invention

Aufgabe der Erfindung ist es, eine Anordnung zu schaffen, die eine stetige Überwachung eines Rechners auf Fehler in derThe object of the invention is to provide an arrangement which provides continuous monitoring of a computer for errors in the

Funktionsweise ermöglicht. ' 'Mode of operation allows. ''

Die Sicherheit der Fehlererkennung muß entsprechend den jeweiligen Anforderungen projektierbar sein und den Wert redundanter Systeme erreichen können.The security of error detection must be configurable according to the respective requirements and be able to achieve the value of redundant systems.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, daß der Rechner an den Verbindungsstellen der Strukturelemente seines Programms Kodierungen an eine intelligente Einheit ausgibt, die mit dem Datenbus des Digitalrechners verbunden ist.This object is achieved in that the computer outputs at the junctions of the structural elements of its program codes to an intelligent unit, which is connected to the data bus of the digital computer.

Die intelligente Einheit ist vorzugsweise ein Einchiprechner, für den eine Erkennungslogik, die ebenfalls mit dem Rechner verbunden ist, ein Übernahmesignal zum Einlesen der Kodierungen erzeugt.The intelligent unit is preferably a single-chip computer for which a recognition logic, which is likewise connected to the computer, generates a transfer signal for reading in the codes.

In der intelligenten Einheit ist in einem Datenfeld die Struktur des Programmablaufes des Digitalrechners abgelegt und wird laufend mit den übernommenen Kodierungen verglichen, um bei Nichtübereinstimmung mit Hilfe der nachgeschaiteten Melde-und Alarmeinheit ein Rücksetzsignal (Neustart), für den Rechner zu generieren.In the intelligent unit, the structure of the program sequence of the digital computer is stored in a data field and is constantly compared with the acquired codes to generate a reset signal (restart), for the computer in case of disagreement with the aid of the following message and alarm unit.

Die Meldeeinrichtung kann weiterhin benutzt werden, um Seibsttestroutinen des Digitalrechners definiert auszulösen, E/A Tore zu sperren, eine Umschaltung auf ein anderes System (redundante Systeme) auszulösen, oder im Fall von rekonfigurierbaren, fehlertolerierenden Systemen eine Information an die Rekonfigurierungseinheitzu übergeben. Die Kodierungen, die eine Zeitbedingung (Abstand zur nächsten Übergabe) enthalten können, werden bei entsprechender Gestaltung der intelligenten Einheit in einem definierterf.Programmdurchlauf des Digitalrechners aufgenommen. Durch die Auflösung der Strukturelemente des Programmablaufs ist die erreichbare Sicherheit projektierbar.The annunciator can also be used to trigger defined digital computer test routines, lock I / O gates, trigger a switch to another system (redundant systems), or pass information to the reconfiguration unit in the case of reconfigurable fault tolerant systems. The encodings, which may contain a time condition (distance to the next transfer), are recorded in a defined program run of the digital computer if the intelligent unit is designed accordingly. The achievable safety can be configured by the resolution of the structure elements of the program sequence.

Die Schaltungsanordnung kann zur Erreichung hoher Sicherheiten auch redundant ausgeführt werden. Beim Parallelbetrieb mehrerer Rechner in einem System, kann jeder Rechner die intelligente Einheit eines Anderen darstellen.The circuit arrangement can be designed to achieve high levels of security and redundant. When operating several computers in a system in parallel, each computer can represent the intelligent unit of another.

Ausführungsbeispiel ,Embodiment,

Die erfindungsgemäße Lösung soll nun anhand eines möglichen Ausführungsbeispieles in Verbindung mit der ZeichnungThe solution according to the invention will now be described with reference to a possible embodiment in conjunction with the drawings

näher erläutert werden. -be explained in more detail. -

Die intelligente Einheit 2 übernimmt vom Datenbus DB die Kodierungen, wenn im Adreßdekoder 1 die zugehörige Adresse erkannt wurde und das Signal E erzeugt wird.The intelligent unit 2 adopts the codings from the data bus DB if the associated address was detected in the address decoder 1 and the signal E is generated.

Bei negativem Ergebnis des Vergleiches in der intelligenten Einheit 2 gibt die Meldeeinrichtung 3 Alarmsignale A und versuchtIn case of negative E rgeb nis of the comparison in the intelligent unit 2 outputs the reporting device 3 Alarm signals A and tries

einen Neustart (NMI). -a restart (NMI). -

Die Auslösung des Neustartversuches wird an die intelligente Einheit gemeldet.The triggering of the restart attempt is reported to the intelligent unit.

Eine Interruptanerkennung des D'igital-Rechners wird in der Logik 4 erkannt und an die intelligente Einheit 2 gemeldet.An interrupt acknowledgment of the D'igital computer is recognized in the logic 4 and reported to the intelligent unit 2.

Die spezifischen Vorteile der erfindungsgemäßen Lösung sind:The specific advantages of the solution according to the invention are:

1) geringer Aufwand bei hoher erreichbarer Sicherheit in der Fehlererkennung ^l 1) low effort with high achievable security in error detection ^l

2) Projektierbare Sicherheit durch Auflösung der Strukturelemente .2) Configurable safety through resolution of the structural elements.

3) Anpassung an verschiedene Einsatzfälle durch Softwareänderungen3) Adaptation to different applications through software changes

4) Unbekannte Programmodüle lassen sich ohne Kenntnis ihres inneren Aufbaus einbinden -4) Unknown program modules can be integrated without knowledge of their internal structure -

5) Überwachung des Programmablaufes an Hand der vorgegebenen Struktur. Dadurch hohe Sicherheit beim Erkennen von Fehlfunktionen.5) Monitoring of the program sequence on the basis of the given structure. This ensures high security when detecting malfunctions.

Claims

-1- 261621

Invention claims:

1. An arrangement for detecting errors in the operation of a digital computer, in particular a microcomputer, characterized in that an intelligent unit (2) which is connected to the data bus of the digital computer (5), by means of a recognition logic (1), which also connected to the digital computer (5) and generates a takeover signal for the intelligent unit (2), are transferred to the connection points of the structural elements of the program of the digital computer encodings, which compared with the stored in a data field of the intelligent unit (2) structure of the program flow and if there is a mismatch, an error message occurs.

2. Arrangement according to item 1, characterized in that the recognition logic (1) is an address decoder.

3. Arrangement according to item 1 and 2, characterized in that an interrupt detection logic (4) is connected to the control signals of the digital computer and the output of the detection logic (4) to the intelligent unit (2) is connected.

4. Arrangement according to item 1, characterized in that the intelligent unit (2) is any second digital computer.

5. Arrangement according to item 1 and item 4, characterized in that the arrangement according to the invention is designed to be redundant.

6. Arrangement according to item 1, 2 and 3, characterized in that the intelligent unit (2) an alarm and signaling device (3) follows, whose one output connected to the intelligent unit (2) and a reset input (NMI) of the digital computer is.

7. Arrangement according to item 4, characterized in that the alarm and signaling device (3) can block the I / O units of the digital computer.

8. Arrangement according to item 4, characterized in that the alarm and signaling device (3) can start a self-test program defined in the digital computer.

9. Arrangement according to item 4, characterized in that the alarm and signaling device (3) triggers a switch to another system (redundant systems) in the event of an error.

10. Arrangement according to item 4, characterized in that the alarm and message device (3) passes an information to the reconfiguration unit in case of error in reconfigurable, error-tolerant systems.

11. Arrangement according to item 1, 2 and 3, characterized in that the structure of the program is automatically recorded by the intelligent unit (2) in a defined program run.

12. Arrangement according to item 1, 2 and 3, characterized in that the transferred codes contain a time condition.