DE102005054587A1

DE102005054587A1 - Programmgesteuerte Einheit und Verfahren zum Betreiben derselbigen

Info

Publication number: DE102005054587A1
Application number: DE102005054587A
Authority: DE
Inventors: Bernd Mueller; Thomas Kottke; Yorck Collani
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2005-11-16
Filing date: 2005-11-16
Publication date: 2007-05-24
Also published as: JP2009516276A; WO2007057270A1; KR20080067663A; EP1955164A1; US20100017579A1

Abstract

Die Erfindung betrifft ein Verfahren zum Betreiben einer programmgesteuerten Einheit mit zwei redundant betreibbaren Mikroprozessorkernen (110, 210; 120, 220) und einer den beiden Mikroprozessorkernen nachgeschalteten Vergleichseinheit (130, 230), wobei für den redundanten Betrieb jeweils ein Arbeitsregister (112, 212; 122, 222) unterschiedlichen Inhalts in den beiden Mikroprozessorkernen vorgesehen wird und wobei der Inhalt dieser Arbeitsregister an die nachgeschaltete Vergleichseinheit (130, 230) gelegt wird, um zu prüfen, ob die Vergleichseinheit eine Differenz signalisiert.

Description

Die vorliegende Erfindung betrifft eine programmgesteuerte Einheit mit zwei redundant betreibbaren Mikroprozessorkernen und ein Verfahren zum Betreiben einer solchen Einheit.

Derartige programmgesteuerte Einheiten sind beispielsweise als Mikroprozessoren, Mikrokontroller, Signalprozessoren oder dergleichen ausgebildet. Ein Mikrokontroller oder Mikroprozessor weist einen Mikrokontrollerkern bzw. Mikroprozessorkern, den sogenannten Core, einen oder mehrere Speicher (Programmspeicher, Datenspeicher etc.), Peripheriekomponenten (Oszillator, I/O-Ports, Timer, AD-Wandler, DA-Wandler, Kommunikationsschnittstellen) und ein Interrupt-System auf, die gemeinsam auf einem Chip integriert sind, und die über einen bzw. mehrere Busse (interner, externer Daten-/Adressbus) miteinander verbunden sind. Der Aufbau und die Funktionsweise einer solchen programmgesteuerten Einheit ist vielfach bekannt, so dass hier nicht näher darauf eingegangen werden soll.

Der Mikrokontrollerkern ist im Sinne eines modularen Mikrokontrollerkonzepts die On-Chip integrierte zentrale Steuereinheit (CPU). Er beinhaltet im wesentlichen ein mehr oder weniger komplexes Steuerwerk, mehrere Register (Daten-, Adressregister), eine Bussteuereinheit und eine Recheneinheit, die die eigentliche datenverarbeitende Funktion übernimmt. Die an die Recheneinheit angelegten Eingangsdaten (Operanden) sowie die Ergebnisse der Berechnung durch die Recheneinheit können vor bzw. nach der Bearbeitung in eigens dafür vorgesehene Register oder Speicherstellen untergebracht sein. Sowohl bei der Verarbeitung der Operanden als auch beim Anlegen der Operanden kann es zu Fehlern kommen, die sich nachteilig auf das Ergebnis auswirken können. Eine Verfälschung eingangsseitig eingekoppelter Operanden kann beispielsweise dadurch geschehen, dass das jeweilige Eingangsdatum repräsentierende Potential höher oder niedriger ist als vorgesehen. Beim Über- bzw. Unterschreiten einer bestimmten Schwelle kann dann das einen logischen Zustand repräsentierende Potential einen anderen logischen Zustand darstellen als ursprünglich vorgesehen. Beispielsweise kann somit eine logische "1" zu einer logischen "0" geändert werden, wodurch das resultierende Ergebnis der Berechnung signifikant verfälscht werden kann. Auf der anderen Seite kann selbstverständlich eine falsche Berechnung durch die Recheneinheit zu solchen Ergebnisverfälschungen führen.

Stand der Technik

Aus diesem Grunde sind moderne Mikroprozessorsysteme mit einem System zur Fehlererkennung oder Fehlerbeseitigung ausgestattet, mit denen ein Auftreten der Fehler identifiziert und angezeigt werden kann (Failure Identification) bzw. in Abhängigkeit von der Funktionalität des Systems Vorkehrungen für den Fall eines auftretenden Fehlers getroffen werden können. Eine Möglichkeit der Fehlererkennung besteht in der Verwendung einer redundanten Hardware, wobei statt eines Mikroprozessorkerns zwei Mikroprozessorkerne und eine den beiden Cores nachgeschaltete Vergleichseinheit zum Einsatz kommen. Bei derartigen Zweiprozessorsystemen (Dual-Cores) kann im redundanten Betrieb bei identischen Eingangsdaten mittels der genannten Vergleichseinheit bei Nichtübereinstimmen der Ergebnisse der beiden Cores durch die Vergleichseinheit ein Fehlersignal erzeugt werden. Ein solches Computersystem ist beispielsweise aus der WO 01/46806 bekannt.

Aus der DE 103 17 650 A1 der Anmelderin sind ein Mikrokontroller mit Fehlererkennungssystem und ein Verfahren zum Betreiben des selbigen bekannt. Der Mikrokontroller weist hier einen einzelnen Mikrokontrollerkern (Core) auf, der seinerseits zwei Recheneinheiten (ALU = arithmetisch logische Einheit) zur Datenverarbeitung aufweist. Somit wird hier nicht der gesamte Mikrokontrollerkern redundant ausgeführt. Die benötigte Chipfläche kann hierdurch signifikant reduziert werden. Die Fehlererkennung erfolgt im Testbetrieb, indem gleiche Befehle oder Daten parallel in beide Recheneinheiten gekoppelt werden. Eingangsseitig werden die Prüfsummen der in die beiden Recheneinheiten eingekoppelten Daten gebildet. Die jeweilige Prüfsumme wird mit der in einem entsprechenden Register abgelegten Prüfsumme verglichen und bei einer Verfälschung werden die Daten korrigiert und nochmals eingekoppelt. Die beiden Ausführungs- oder Recheneinheiten des Mikrokontrollers erzeugen jeweils ein Ergebnis, das bei gleichen eingekoppelten Daten übereinstimmen muß. Die Ergebnisdaten und/oder deren Codierung (ECC-Prüfsumme) werden in einer Vergleichseinheit miteinander verglichen. Bei Übereinstimmung wird ein Freigabesignal erzeugt, andernfalls kann auf einen Fehler innerhalb einer der Ausführungseinheiten bzw. auf eine fehlerhafte Codie rung des Ergebnisses geschlossen werden. Es ist möglich, transiente, permanente und Laufzeitfehler zu erkennen.

Aus der DE 103 17 651 A1 der Anmelderin sind ein Verfahren und eine Vorrichtung zum Vergleichen von binären Datenworten für sicherheitsrelevante Fahrzeugsysteme, wie ABS, ESP, Lenk- und Fahrwerkregelungen, bekannt. Ausgegangen wird hier von einem Dual-Core-Rechner, also einem Mikrokontroller mit zwei CPUs (zentrale Recheneinheiten), in denen alle Funktionen redundant berechnet und die jeweiligen Ausgabewerte miteinander verglichen werden. Bei Nichtübereinstimmung der Ausgabewerte erfolgt eine dem Fehler entsprechende Systemreaktion, die auch ein Abschalten des Systems beinhalten kann. Um eine situationsgerechte Fehlerbehandlung zu realisieren, wird in der genannten Schrift vorgeschlagen, die höherwertigen Bits der Datenworte der Ausgabewerte getrennt von den niederwertigen Bits miteinander zu vergleichen. Hierdurch kann bei einer Nichtübereinstimmung der weniger signifikanten, niederwertigen Bits eine entsprechende Fehlerbehandlung erfolgen, bei der beispielsweise anstelle eines negativen Vergleichsergebnisses ein Ersatzwert weitergegeben wird, der bei Übereinstimmung der höherwertigen Bits der Datenworte insgesamt zu einem positiven Gesamtergebnis führt.

Obgleich die vorliegende Erfindung von zwei Prozessorsystemen (Dual-Cores) ausgeht, sollen damit auch Prozessorsysteme umfaßt sein, die einen einzelnen Mikrokontrollerkern mit zwei Recheneinheiten aufweisen (vgl. DE 103 17 650 A1 ).

Ein allen oben behandelten Zweiprozessorsystemen gemeinsames Problem stellen die Vergleichseinheiten der Ausgangsdaten als möglichen Single Point of Failure dar. Eine fehlerhafte Vergleichseinheit führt dazu, dass trotz ordnungsge mäß arbeitender Cores bzw. Recheneinheiten ein Fehler angezeigt wird. Schlimmer ist der Fall, wenn aufgrund einer fehlerhaften Vergleichseinheit fehlerhaft arbeitende Cores bzw. Recheneinheiten nicht erkannt werden, weil die Vergleichseinheit keine Differenz der Signale signalisiert.

Bisher werden die Vergleichseinheiten getestet, indem der Datenpfad an deren Eingang aufgetrennt wird und extern Daten angelegt werden. Alternativ kann die Vergleichseinheit selbsttestend ausgelegt werden (TSC-Checker = Totally Self-Checker), womit jedoch ein erhöhter Hardwareaufwand verbunden ist. Ein Umschalter vor dem Vergleicher, der verschiedene Daten nur zu Testzwecken einfügt, stellt selbst wiederum einen möglichen Single Point of Failure dar und sollte daher vermieden werden. Beispielsweise existiert dann das Problem, sicherzustellen, dass die Zurückschaltung korrekt funktioniert.

Es besteht folglich ein Bedarf, die genannten Vergleichseinheiten einfach zu testen, ohne dass eine Umschaltung des Datenpfades des Prozessors erfolgen muß.

Vorteile der Erfindung

Das erfindungsgemäße Verfahren zum Betreiben einer programmgesteuerten Einheit mit zwei redundant betreibbaren Mikroprozessorkernen gemäß Anspruch 1 sowie eine entsprechende programmgesteuerte Einheit gemäß Anspruch 8 weisen gegenüber den bekannten Lösungsansätzen den Vorteil eines vereinfachten Vergleichertests auf, ohne den Chipflächenbedarf zu erhöhen.

Die Erfindung geht von einer programmgesteuerten Einheit mit zwei redundant betreibbaren Mikroprozessorkernen und einer diesen beiden Kernen (Cores) nachgeschalteten Vergleichseinheit aus. Erfindungsgemäß wird für den redundanten Betrieb jeweils ein Arbeitsregister unterschiedlichen Inhalts in den beiden Cores vorgesehen. Dies ist die einzige Differenz bei diesem Zweiprozessorsystem. Der Registerinhalt wird an die Vergleichseinheit gelegt, um zu prüfen, ob die Vergleichseinheit eine Differenz signalisiert. In der Praxis wird der Registerinhalt durch Load-Store-Operationen auf den Datenbus gelegt. Da die Registerinhalte verschieden sind, muß die Vergleichseinheit, soweit sie fehlerfrei arbeitet, spätestens beim Zurückschreiben des Wertes in den Speicher eine Differenz signalisieren.

Durch die Erfindung kann in einfacher Weise ohne Erhöhung des Platzbedarfs im Chip die Vergleichseinheit als möglicher Single Point of Failure getestet werden.

Es ist vorteilhaft, wenn jeweils ein Register unterschiedlichen Inhalts in den beiden Mikroprozessorkernen vorgesehen wird, wobei der Inhalt der jeweiligen Arbeitsregister durch Verarbeiten oder Kopieren der Inhalte der unterschiedlichen Register gebildet wird. In diesem Fall sind zwei unterschiedliche Register in den Mikroprozessorkernen vorzusehen, wobei zum Test der Vergleichseinheit beide Prozessoren beispielsweise im Lock-Modus ein Programm ausführen, welches zuerst die Inhalte der unterschiedlichen Register in die jeweiligen Arbeitsregister kopiert. Anschließend wird der Inhalt eines jeden Arbeitsregisters über die Vergleichseinheit beispielsweise in einen Speicher geschrieben. Arbeitet die Vergleichseinheit korrekt, wird diese ein Fehlersignal generieren, da der Inhalt der Arbeitsregister und der Register verschieden ist. Anstelle des genannten Kopiervorgangs kann der Inhalt der jeweiligen Arbeitsregister auch durch anderweitiges Verarbeiten der Inhalte der unterschiedlichen Register gebildet werden.

Soll an Standardprozessoren keine Änderung vorgenommen werden, so ist es vorteilhaft, den Mikroprozessorkernen ein Datum unterschiedlichen Wertes zu liefern, wenn sie auf eine definierte Adresse im Adressraum zugreifen. In diesem Fall wird folglich der Inhalt der jeweiligen Arbeitsregister durch jeweiligen Zugriff auf definierte Adressen unterschiedlichen Inhalts geliefert. Letztere können zu Registern gehören, die beispielsweise in der Vergleichseinheit liegen.

In vorteilhafter weise können bereits vorhandene Register bei redundant betreibbaren Mikroprozessorkernen für die vorliegende Erfindung verwendet werden. Bei Dual-Core Prozessoren (Dual-Cores/Split/Log-Prozessoren), die in einer ersten Betriebsart unabhängig voneinander, in einer zweiten Betriebsart redundant betrieben werden können, existieren in der Regel Register, die im getrennten Betrieb es der Software ermöglichen, zu ermitteln, auf welcher CPU (Core) sie gerade ausgeführt wird. Beim Umschalten in den redundanten Betrieb bleiben die Registerinhalte erhalten und sind somit unterschiedlich.

Um eine möglichst vollständige Fehlerdetektion gewährleisten zu können, ist es vorteilhaft, die Inhalte der beiden Arbeitsregister zu verändern, wobei nach einer Änderung die Inhalte unterschiedlich bleiben. Hierzu können die Inhalte der Arbeitsregister insbesondere durch Anwenden derselben logischen Verknüpfung bzw. Operation auf beide Register verändert werden. Eine solche Verknüpfung mit beliebigen anderen Werten, die ja in den beiden Prozessoren gleich sind, ermöglicht das Erzeugen eines jeglichen Bitmusters und einer jeglichen Bitmusterdifferenz in den beiden Mikroprozessorkernen. Somit ist ein vollständiger Test der Vergleichseinheit möglich. Zu den auftretenden Fehlern gehören auch Stuck-At und Kopplungsfehler. Bei den Stuck-At-Fehlern bleibt eine Leitung auf einem hohen oder niedrigen Spannungspegel, obwohl der Spannungspegel bereits herabgesetzt bzw. heraufgesetzt sein sollte. Dieser Fehler kann permanent oder transient (für einen bestimmten Zeitraum) auftreten. Unter Kopplungsfehlern versteht man das Überspringen eines Spannungspegels auf eine parallele Leitung. Um sämtliche Fehler zuverlässig testen zu können, sind Permutationen (mit unterschiedlicher Anzahl von "1" und "0") notwendig. Ist der Registerinhalt des Cores 1 beispielsweise "0001" und derjenige des Cores 2 "0010", so kann durch die logische Operation "AND 0001" der Registerinhalt des Cores 1 auf "0001" und derjenige des Cores 2 auf "0000" gesetzt werden, während die logische Operation der zuletzt genannten Registerinhalte mit dem Operator "NOT" die Registerinhalte "1110" für den Core 1 bzw. "1111" für den Core 2 ergibt.

Für den Fachmann ist demnach ersichtlich, dass beliebige Registerinhalte hergestellt werden können.

Es kann sinnvoll sein, eine weitere Vergleichseinheit nämlich für Lesezugriffe von Instruktionen oder Daten vorzusehen, wobei eine derartige Vergleichseinheit wiederum einen Single Point of Failure darstellt. Zum Testen einer solchen Vergleichseinheit werden die an die beiden Mikroprozessorkerne geleiteten Instruktionen oder Daten durch Programmverzweigungen verändert, um zu prüfen, ob die Vergleichseinheit für Lesezugriffe eine Differenz signalisiert. Durch eine solche Sprungoperation wird beispielsweise die an den Core 1 geleitete Instruktion für den Core 2 auf eine andere Stelle gesetzt, so dass die Vergleichseinheit für Lesezugriffe bei fehlerfreiem Betrieb feststellen muß, dass an die beiden Cores unterschiedliche Instruktionen geleitet werden.

Die obigen Ausführungen zur Erfindung sind in gleicher Weise für die beanspruchte programmgesteuerte Einheit mit zwei redundant betreibbaren Mikroprozessorkernen und eine den beiden Mikroprozessorkernen nachgeschalteten Vergleichseinheit gültig. Zur Vermeidung von Wiederholungen sei auf das Obige verwiesen. Weiterhin sei betont, dass die Merkmale der vorliegenden Erfindung nicht nur in der angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung eingesetzt werden können.

Zeichnungen
Im Folgenden soll ein Ausführungsbeispiel die Erfindung und deren Vorteile anhand der beigefügten Zeichnung näher erläutern.
1 zeigt schematisch eine erste Ausführungsform der Erfindung und
2 zeigt schematisch eine alternative Ausführungsform der Erfindung.
Beschreibung der Ausführungsbeispiele
1 zeigt eine mögliche Ausführungsform der Erfindung. Das Gesamtsystem 100 besitzt zwei Prozessoren (Cores) 110 und 120 mit jeweils einem Register 111 bzw. 121, die einen unterschiedlichen Inhalt aufweisen. Beide Prozessoren sind mit einer Vergleichseinheit 130 verbunden, die ihrerseits wieder über eine Schnittstelle 140 mit übrigen Rechnereinheiten wie Speicher oder Peripherie (nicht eingezeichnet) verbunden ist. Je nach Ausführung vergleicht die Vergleichseinheit nur Schreiboperationen oder Schreib- und Leseoperationen der Prozessoren auf Gleichheit.
Zum Test der Vergleichseinheit 130 führen beide Prozessoren im Lock-Modus ein Programm aus, welches zuerst das Register 111 bzw. 121 in ein Arbeitsregister 112 bzw. 122 kopiert. Anschließend wird der Inhalt dieses Arbeitsregisters über die Vergleichseinheit 130 und die Schnittstelle 140 in den Speicher geschrieben. Arbeitet die Vergleichseinheit 130 korrekt, wird diese ein Fehlersignal generieren, da der Inhalt der Register 112 und 122 verschieden sind, da ja auch der Inhalt der Register 111 und 121 verschieden ist. Zum vollständigen Test der Vergleichseinheit 130 kann der Wert von Register 111 bzw. 121 nach dem Kopieren in das Arbeitsregister wie zuvor beschrieben, beispielsweise durch Anwendung logischer Operationen, manipuliert werden. Werden auch Leseoperationen durch die Vergleichseinheit 130 verglichen, so findet ein Test durch die Verzweigung des Programmkontrollflusses statt.
2 beschreibt eine alternative Ausführungsform der Erfindung. Das Gesamtsystem 200 besitzt zwei Prozessoren (Cores) 210 und 220 mit jeweils einem Arbeitsregister 212 bzw. 222. Im Gegensatz zum System 100 sind die Prozessoren identisch aufgebaut und besitzen kein Register mit einem unterschiedlichen Inhalt. Beide Prozessoren sind mit einer Vergleichseinheit 230 verbunden, die ihrerseits wieder über eine Schnittstelle 240 mit übrigen Rechnereinheiten wie Speicher oder Peripherie (nicht eingezeichnet) verbunden ist. Die Vergleichseinheit 230 besitzt zwei Register 231 und 232. Deren Inhalt ist verschieden. Die Prozessoren kön nen den Inhalt dieser Register in ein Arbeitsregister kopieren (laden) indem der Prozessor auf eine definierte Adresse im Adressraum zugreift. Die Vergleichseinheit detektiert den Zugriff auf diese Adresse und liefert für den Prozessor 210 den Inhalt des Registers 231 und für den Prozessor 220 den Inhalt des Register 232. Der Zugriff wird in diesem Fall nicht an die Schnittstelle 240 weitergeleitet. Je nach Ausführung vergleicht die Vergleichseinheit nur Schreiboperationen oder Schreib- und Leseoperationen der Prozessoren auf Gleichheit. Der Rest des Testverfahrens ist identisch zu dem zuvor geschildert.

Claims

Verfahren zum Betreiben einer programmgesteuerten Einheit mit zwei redundant betreibbaren Mikroprozessorkernen (110, 210; 120, 220) und einer den beiden Mikroprozessorkernen nachgeschalteten Vergleichseinheit (130, 230), wobei für den redundanten Betrieb jeweils ein Arbeitsregister (112, 212; 122, 222) unterschiedlichen Inhalts in den beiden Mikroprozessorkernen vorgesehen wird, und wobei der Inhalt dieser Arbeitsregister an die nachgeschaltete Vergleichseinheit (130, 230) gelegt wird, um zu prüfen, ob die Vergleichseinheit eine Differenz signalisiert.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass jeweils ein Register (111, 121) unterschiedlichen Inhalts in den beiden Mikroprozessorkernen (110, 120) vorgesehen wird, wobei der Inhalt der jeweiligen Arbeitsregister (112, 122) durch Verarbeiten oder Kopieren der Inhalte der unterschiedlichen Register (111, 121) gebildet wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Inhalt der jeweiligen Arbeitsregister (212, 222) durch jeweiligen Zugriff auf definierte Adressen unterschiedlichen Inhalts geliefert wird.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die Adressen unterschiedlichen Inhalts zu Register (231, 232) gehören, die in der Vergleichseinheit (230) liegen.
Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass die Inhalte der beiden Arbeitsregister derart verändert werden, dass nach einer Änderung die Inhalte der Arbeitsregister unterschiedlich bleiben.
Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass die Inhalte der Arbeitsregister durch Anwenden derselben logischen Verknüpfung auf die Arbeitsregister verändert werden.
Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass eine weitere Vergleichseinheit für Lesezugriffe von Instruktionen oder Daten vorgesehen wird, wobei die an die beiden Mikroprozessorkerne geleiteten Instruktionen bzw. Daten durch Programmverzweigungen verändert werden, um zu prüfen, ob die Vergleichseinheit für Lesezugriffe eine Differenz signalisiert.
Programmgesteuerte Einheit mit zwei redundant betreibbaren Mikroprozessorkernen (110, 210; 120, 220) und einer den beiden Mikroprozessorkernen nachgeschalteten Vergleichseinheit (130, 230), wobei für den redundanten Betrieb jeweils ein Arbeitsregister (112, 212; 122, 222) unterschiedlichen Inhalts in den beiden Mikroprozessorkernen vorgesehen ist, und wobei Mittel vorgesehen sind, um den Inhalt dieser Arbeitsregister an die nachgeschaltete Vergleichseinheit (130, 230) zu legen, um zu prüfen, ob die Vergleichseinheit eine Differenz signalisiert.
Programmgesteuerte Einheit nach Anspruch 8, dadurch gekennzeichnet, dass in den beiden Mikroprozessorkernen (110, 120) jeweils ein Register (111, 121) unterschiedlichen Inhalts vorgesehen ist, um den Inhalt der jeweiligen Arbeitsregister (112, 122) durch Verarbeiten der Inhalte der unterschiedlichen Register (11, 121) zu bilden.
Programmgesteuerte Einheit nach Anspruch 8, dadurch gekennzeichnet, dass in der Vergleichseinheit (230) zwei Register (231, 232) unterschiedlichen Inhalts vorgesehen sind, wobei deren Inhalt durch Zugriff auf entsprechend definierte Adressen in die Arbeitsregister (212, 222) der Mikroprozessorkerne (210, 220) zu laden sind.
Programmgesteuerte Einheit nach einem der Ansprüche 8 bis 10, dadurch gekennzeichnet, dass Mittel vorgesehen sind, um den jeweiligen Inhalt der beiden Arbeitsregister zu verändern, wobei auch nach einer solchen Änderung die Registerinhalte voneinander unterschiedlich sind.
Programmgesteuerte Einheit nach einem der Ansprüche 8 bis 11, dadurch gekennzeichnet, dass eine weitere Vergleichseinheit für Lesezugriffe von Instruktionen oder Daten vorgesehen ist, und dass Mittel vorgesehen sind, um die Instruktionen bzw. Daten durch Programmverzweigungen zu verändern, um zu prüfen, ob die Vergleichseinheit für Lesezugriffe eine Differenz signalisiert.