DE102006050715A1

DE102006050715A1 - Verfahren und System zum Erzeugen eines gültigen Signals

Info

Publication number: DE102006050715A1
Application number: DE102006050715A
Authority: DE
Inventors: Reinhard Weiberle; Bernd Mueller; Yorck Collani; Rainer Gmehlich
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2006-10-10
Filing date: 2006-10-10
Publication date: 2008-04-17
Also published as: JP2008097611A; US20090177872A1

Abstract

Die vorliegende Erfindung schafft ein Verfahren zum Erzeugen eines gültigen Signals für ein Anwendungsprogramm bei einem Signalverarbeitungssystem mit mehreren Ausführungseinheiten (2), die in einem Performanz-Betriebsmodus (PM) arbeiten, wobei während des Ablaufs des Anwendungsprogramms ein Nutzer das Signalverarbeitungssystem in einen Vergleichsbetriebsmodus (VM) umschaltet, in welchem die von den Ausführungseinheiten (2) abgegebenen Signale zur Erzeugung des gültigen Signals miteinander verglichen werden.

Description

Die Erfindung betrifft ein Verfahren und ein System zum Erzeugen eines gültigen Signals für ein Anwendungsprogramm, welches auf einem Signalverarbeitungssystem mit mehreren Ausführungseinheiten läuft, die in einem Performanz-Betriebsmodus parallel arbeiten.
Bei einem Signalverarbeitungssystem bzw. Rechensystem besteht in vielen Anwendungen die Möglichkeit, nach einem aufgetretenen Fehler, die Anwendung bzw. das Anwendungsprogramm in einem abgesicherten Betriebsmodus erneut zu starten. In dem abgesicherten Betriebsmodus wird dabei gegebenenfalls der Funktionsumfang der Anwendung bzw. des Anwendungsprogramms reduziert. Der abgesicherte Betriebsmodus wird in der Regel aktiviert, wenn ein hinreichend gravierender Fehler aufgetreten ist und dennoch das Signalverarbeitungssystem bzw. Rechensystem zumindest in eingeschränktem Umfang zu funktionieren hat. Der Neustart einer Programmanwendung führt zu einem erneuten Boot-Vorgang bzw. ein Hochfahren des Betriebssystems. Beim Booten bzw. Hochfahren eines Rechners beginnt ein Prozessor beispielsweise an einer festgelegten Adresse mit der Abarbeitung der in einem Speicher abgelegten BIOS. Es wird ein Test der angeschlossenen Einheiten durchgeführt und in einer konfigurierbaren Reihenfolge nach Boot-Sektoren gesucht. Der erste gefundene Boot-Sektor wird anschließend ausgeführt und lädt über einen meist mehrstufigen Boot-Loader das gesamte Betriebssystem. Das Betriebssystem startet anschließend gegebenenfalls anschließend eine graphische Benutzeroberfläche oder einen Kommando-Zeilen-Interpreter. Das Betriebssystem wird durch Ausführen des in dem Boot-Sektor befindlichen Code-Stücks gebootet bzw. geladen, der sich auf einem Speichermedium, beispielsweise auf einer Festplatte, befindet. Dieser Code wird allgemein auch als Boot-Code bezeichnet. Der Boot-Code ruft den eigentlichen Betriebssystem-Code auf. Bei einem Fehlstart des Boot-Vorgangs ist es oft schwierig, die Ursache für diesen Fehler festzustellen. Nach einem fehlgeschlagenen Boot-Vorgang besteht oft die einzige Möglichkeit, das Rechnersystem erneut zu starten, darin, den Boot-Vorgang von einem anderen Speichermedium, beispielsweise einer Floppy-Disk, einzuleiten. Wenn beispielsweise ein Boot-Vorgang zum Booten des Systems von der Festplatte scheitert, kann ein Nutzer das Rechnersystem ausschalten und eine Diskette in ein so genanntes A-Laufwerk einlegen und versuchen, von dort aus das Betriebssystem erneut zu booten. Bei einem Windows 95-Betriebssystem besteht beispielsweise die Möglichkeit, festzustellen, ob ein vorheriger Versuch, das Betriebssystem zu booten, fehlgeschlagen ist. Wenn dies geschieht bzw. dies festgestellt wird, bootet das Windows 95-Betriebssystem in dem abgesicherten Betriebsmodus.
Die Initialisierungs- bzw. Boot-Phase läuft bei herkömmlichen Rechnersystemen auf einem Mikroprozessor ab, der über eine Single-Core-Prozessor-Architektur verfügt. Zunehmend werden auch Prozessoren eingesetzt, die über eine Dual-Core- bzw. Multi-Core-Prozessor-Architektur verfügen. Derartige Prozessoren weisen mindestens zwei integrierte Ausführungseinheiten auf. Diese Ausführungseinheiten können aus einem vollständigen Mikroprozessor bzw. einer CPU (Central Processing Unit) oder aus einer Berechnungseinheit, wie beispielsweise einer Gleitpunktberechnungseinheit FPU (Floating Point Unit) bestehen. Alternativ können Ausführungseinheiten auch aus einem digitalen Signalprozessor DSP, einem Co-Prozessor oder aus einer arithmetisch logischen Berechnungseinheit ALU (Arithmetic Logic Unit) bestehen.
Dual-Core- bzw. Multi-Core-Prozessor-Architekturen, die über mehrere Ausführungseinheiten verfügen, können im Wesentlichen in zwei verschiedenen Betriebsmodi betrieben werden. In einem ersten Betriebsmodus, der als Leistungsbetriebsmodus bzw. Performanz-Betriebsmodus bezeichnet wird, führen die verschiedenen Ausführungseinheiten verschiedene Anwendungsprogramme bzw. Tasks durch. In diesem Performanz-Betriebsmodus wird somit eine Leistungssteigerung gegenüber einer herkömmlichen Single-Core-Prozessor-Architektur erzielt. Im Gegensatz zu dem Performanz-Betriebsmodus führen die Ausführungseinheiten in einem Vergleichsbetriebsmodus dieselben Anwendungsprogramme bzw. Tasks durch, um die Sicherheit des Berechnungsergebnisses zu steigern.
Bei herkömmlichen Rechnersystemen mit Dual bzw. mit Multi-Core-Prozessor-Architektur ist es bisher nicht möglich, Hardware-Fehler der Ausführungseinheiten, die während des Ablaufs eines Anwendungsprogramms auftreten, sicher festzustellen. Dies kann insbesondere bei eingebetteten Rechnersystemen, beispielsweise im Automobilbereich, zu gravierenden Fehlfunktionen des Betriebssystems führen.
Es ist daher die Aufgabe der vorliegenden Erfindung, ein Verfahren zum Erzeugen eines gültigen Signals für ein Anwendungsprogramm bei einem Signalverarbeitungssystem mit mehreren Ausführungseinheiten zu schaffen, die es einem Nutzer erlauben, bei Bedarf Fehler innerhalb der Ausführungseinheiten zu erkennen.
Die Erfindung schafft ein Verfahren zum Erzeugen eines gültigen Signals für ein Anwendungsprogramm bei einem Signalverarbeitungssystem mit mehreren Ausführungseinheiten, die in einem Performanz-Betriebsmodus parallel arbeiten, wobei nach Auftreten eines Fehlers während des Ablaufs des Anwendungsprogramms ein Nutzer das Signalverarbeitungssystem in einen Vergleichsbetriebsmodus umschaltet, in welchem die von den Ausführungseinheiten abgegebenen Signale zur Erzeugung des gültigen Signals miteinander verglichen werden.
Das erfindungsgemäße Verfahren hat den Vorteil, dass die Verfügbarkeit und Zuverlässigkeit der für den Nutzer relevanten Anwendungsprogramme signifikant gesteigert wird.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird ein von den Ausführungseinheiten abgegebenes Signal zum Erzeugen des gültigen Signals selektiert.
Bei einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens wird dasjenige Signal selektiert, das die geringste Signalabweichung von den übrigen Signalen aufweist.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird das gültige Signal in Abhängigkeit von denjenigen Signalen, die von den Ausführungseinheiten abgegeben werden, gemäß einer vorgegebenen Funktion berechnet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird das gültige Signal durch den Medianwert der von den Ausführungseinheiten abgegebenen Signale gebildet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens werden die von den Ausführungseinheiten abgegebenen Signale in Abhängigkeit von einer konfigurierbaren Vergleichsoperation miteinander verglichen.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird der Fehler durch einen Hardware-Fehler des Signalverarbeitungssystems gebildet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens werden die Ausführungseinheiten durch identisch aufgebaute Berechnungseinheiten oder Sensoren gebildet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens werden die Ausführungseinheiten durch eine Gleitpunktberechnungseinheit, einen digitalen Signalprozessor, eine CPU, einen Co-Prozessor oder durch eine arithmetisch logische Einheit (ALU) gebildet.
Bei einer Ausführungsform des erfindungsgemäßen Verfahrens führt die Vergleichsoperation einer Mehrheitsentscheidung anhand der von den Ausführungseinheiten abgegebenen Signale durch.
Die Erfindung schafft ferner ein Signalverarbeitungssystem zum Erzeugen eines gültigen Signals für ein Anwendungsprogramm mit mehreren Ausführungseinheiten, die in einem Performanz-Betriebsmodus des Signalverarbeitungssystem parallel arbeiten, wobei das Signalverarbeitungssystem nach Auftreten eines Fehlers während des Ablaufs des Anwendungsprogramms durch den Nutzer von dem Performanz-Betriebsmodus in einen Vergleichsbetriebsmodus umschaltbar ist, in welchem die von den Ausführungseinheiten abgegebenen Signale zur Erzeugung des gültigen Signals miteinander verglichen werden.
Im Weiteren werden bevorzugte Ausführungsformen des erfindungsgemäßen Verfahrens und des erfindungsgemäßen Systems zur Erzeugung eines gültigen Signals für ein Anwendungsprogramm unter Bezugnahme auf die beigefügten Figuren zur Erläuterung erfindungswesentlicher Merkmale beschrieben.
Es zeigen:
1: ein Blockschaltbild mit möglichen Ausführungsformen des erfindungsgemäßen Signalverarbeitungssystems zum Erzeugen eines gültigen Signals;
2: ein Ablaufdiagramm einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens zum Erzeugen eines gültigen Signals für ein Anwendungsprogramm.
Wie man aus 1 erkennen kann, ist eine Umschalt- und Vergleichsschaltung 1 eingangsseitig an N + 1 Ausführungseinheiten 2 angeschlossen und erhält logische Eingangssignale E₀, E₁, E₂, E₃ ... E_N von den Ausführungseinheiten 2-i. Die Umschalt- und Vergleichseinheit 1 enthält eine Vergleichslogik 1A und eine Schaltlogik 1B.
Das in 1 dargestellte Signalverarbeitungssystem kann in mindestens zwei Betriebmodi betrieben werden. In einem ersten Betriebsmodus zur Leistungssteigerung, der auch als Performanz-Betriebsmodus PM bezeichnet wird, verarbeiten die Ausführungseinheiten 2-i bzw. Cores parallel unterschiedliche Programme bzw. Tasks. Bei den Ausführungseinheiten 2-i kann es sich um beliebige Ausführungseinheiten 2-i zur Ausführung einer Berechnungsanweisung, beispielsweise um eine CPU, eine Gleitpunktberechnungseinheit FPU, einen digitalen Signalprozessor DSP, einen Co-Prozessor oder um eine arithmetisch logische Berechnungseinheit ALU handeln. Die Abarbeitung der Programme durch die verschiedenen Ausführungseinheiten 2-i im Performanz-Modus PM kann synchron oder asynchron durchgeführt werden. Im Leistungsmodus bzw. Performanz-Betriebsmodus PM erfolgt keine redundante Bearbeitung, sondern die Ausführungseinheiten 2-i führen verschiedene Berechnung bzw. Programme parallel durch. Im reinen Performanz-Betriebsmodus PM werden alle Eingangssignale E_i getrennt auf entsprechende Ausgangssignale A_i geschaltet bzw. geleitet.
Neben dem Einsatz eines höher performanten Berechnungssystems besteht der zweite Grund für eine Multi-Core-Architektur darin, die Sicherheit der Signalverarbeitung zu steigern, indem mehrere Ausführungseinheiten 2-i redundant das gleiche Programm abarbeiten. In diesem zweiten Betriebsmodus, der auch als Sicherheitsmodus bzw. Safety Mode oder Vergleichs-Betriebsmodus VM bezeichnet wird, werden die Ergebnisse bzw. logischen Ausgangssignale der Ausführungseinheiten 2-i durch die Umschalt- und Vergleichsschaltung 1 miteinander verglichen, sodass ein aufgetretener Fehler bzw. eine Signalabweichung durch einen Vergleich auf Übereinstimmung erkannt werden kann. Im reinen Vergleichs-Betriebsmodus VM werden daher alle Eingangssignale E_i auf nur genau ein einziges Ausgangssignal A_i geleitet bzw. abgebildet. Mischformen sind möglich. In der konfigurierbaren Schaltlogik 1B wird angegeben, wie viele Ausgangsanschlüsse bzw. Ausgangssignale A_i vorgesehen sind. Weiterhin wird in der Schaltlogik 1B abgelegt, welche Eingangssignale E_i zu welchem der Ausgangssignale A_i beitragen. In der Schaltlogik 1B ist somit eine Abbildungsfunktion abgelegt, die Eingangssignale E_i verschiedenen Ausgangssignalen A_i zuordnen.
Die Verarbeitungslogik 1A legt bei jedem Ausgangssignal A_i fest, in welcher Form die Eingangssignale zu dem jeweiligen Ausgangssignal beitragen. Beispielsweise wird das Ausgangssignal A₀ durch die Eingangssignale E₁, ..., E_M erzeugt. Für m = 1 entspricht dies einfach einer Durchschaltung eines Eingangssignals. Für m = 2 werden zwei Eingangssignale E1, E₂ miteinander verglichen. Dieser Vergleich kann synchron oder asynchron durch die Schaltung 1 durchgeführt werden. Dabei kann der Vergleich bitweise erfolgen oder alternativ werden nur signifikante Bits miteinander verglichen. Bei m ≥ 3 bestehen verschiedene Möglichkeiten. Eine erste Möglichkeit besteht darin, dass alle Signale miteinander verglichen werden und bei Vorhandensein mindestens zweier verschiedener Werte ein Fehler detektiert wird, der optional durch die Umschalt- und Vergleichsschaltung 1 signalisiert wird. Eine weitere Möglichkeit besteht darin, dass eine K aus m-Auswahl vorgenommen wird, wobei K > M/2 ist. Dies wird bei einer Ausführungsform durch das Vorsehen von Vergleichern bzw. Komparatoren realisiert. Dabei wird optional ein erstes Fehlersignal generiert, wenn eines der Eingangssignale als abweichend von den anderen Eingangssignalen erkannt wird. Bei einem von dem ersten Fehlersignal verschiedenen zweiten Fehlersignal weichen alle drei Eingangssignale voneinander ab.
Bei einer weiteren Ausführungsform werden die Eingangssignalwerte E einer weiteren Berechnungseinheit zugeführt, die beispielsweise einen Mittelwert oder einen Medianwert berechnet bzw. einen fehlertoleranten Algorithmus FTA durchführt. Bei einem fehlertoleranten Algorithmus werden die Extremwerte der Eingangssignalwerte gestrichen bzw. ignoriert und eine Mittlung über die restlichen Signalwerte vorgenommen. Bei einer Ausführungsform erfolgt die Mittelung über die gesamte Menge der restlichen Signalwerte. Bei einer alternativen Ausführungsform erfolgt eine Mittelung über eine in der Hardware leicht zu bildende Teilmenge der verbleibenden Signalwerte. Während bei der Mittelwertbildung lediglich eine Addition und eine Division vorgenommen werden müssen, erfordern FTM, FTA oder die Medianwertbildung teilweise eine Sortierung der Eingangssignalwerte. Bei einer Ausführungsform wird bei hinreichend großen Signalabweichungen bzw. Extremwerten optional ein Fehlersignal ausgegeben bzw. angezeigt.
Die verschiedenen genannten Möglichkeiten zur Signalverarbeitung zu einem Signal stellen Vergleichsoperationen dar. Die Verarbeitungslogik 1A legt die genaue Gestaltung der vorzunehmenden Vergleichsoperation für jedes Ausgangssignal A_i und somit auch für die Eingangssignale E_i fest. Die Kombination der Informationen innerhalb der Schaltlogik 1B, d. h. die Zuordnungsfunktion der in der Verarbeitungslogik 1A angegebenen Vergleichsoperation pro Ausgangssignal bzw. pro Funktionswert stellt eine Betriebsmodusinformation dar und legt den Betriebsmodus fest. Diese Information ist in der Regel mehrwertig und wird durch mehr als ein logisches Bit dargestellt. Für den Fall, dass nur zwei Ausführungseinheiten 2-i vorgesehen ist und somit nur ein Vergleichsmodus existiert, kann die gesamte Information in dem Betriebsmodus auf ein einziges logisches Bit kondensiert werden.
Eine Umschaltung des Systems von dem Performanz-Betriebsmodus PM in einen Vergleichsmodus VM erfolgt im Allgemeinen dadurch, dass die Ausführungseinheiten 2-i, die in dem Performanz-Betriebsmodus PM auf verschiedene Signalausgänge abgebildet bzw. durchgeschaltet sind, in dem Vergleichsbetriebsmodus VM auf den gleichen Signalausgang abgebildet bzw. durchgeschaltet werden. Vorzugsweise wird dies dadurch realisiert, dass eine Teilmenge von Ausführungseinheiten 2-i vorgesehen wird, bei denen im Performanz- Betriebsmodus PM alle Eingangssignale E_i, die in der Teilmenge zu berücksichtigen sind, direkt auf korrespondierende Ausgangssignale A_i geschaltet werden, während die Eingangssignale in dem Vergleichsmodus VM alle auf einen einzigen Signalausgang abgebildet bzw. an diesen durchgeschaltet werden. Alternativ kann eine Umschaltung dadurch realisiert werden, dass Paarungen geändert werden.
Zwischen den verschiedenen Betriebsmodi kann, über die Software gesteuert, dynamisch im laufenden Betrieb umgeschaltet werden. Ausgelöst wird die Umschaltung bei einer Ausführungsform über die Ausführung von speziellen Umschaltbefehlen bzw. Umschaltinstruktionen, speziellen Instruktionssequenzen, explizit gekennzeichneten Instruktionen oder durch den Zugriff auf bestimmte Adressen durch mindestens eine der Ausführungseinheiten 2-i des Signalverarbeitungssystems.
Die Umschaltung zwischen dem Sicherheitsmodus bzw. Vergleichsmodus VM, in dem eine redundante Abarbeitung und Prüfung erfolgt, und dem Leistungs- bzw. Performanz-Betriebsmodus PM, bei dem eine Leistungssteigerung durch separate Programmabarbeitung erreicht wird, erfolgt durch die Umschalteinrichtung 1. Bei einer Ausführungsform erfolgten zur Umschaltung eine Kennzeichnung der Programme, Anwendungsprogramme, Programmteile oder auch der Programmbefehle durch eine Kennung, durch welche erkennbar ist, ob diese Programmbefehle in dem Vergleichs-Betriebsmodus VM abgearbeitet werden müssen, oder dem Leistungs- bzw. Performanz-Betriebsmodus PM zugänglich gemacht werden können. Die Kennzeichnung kann durch ein Bit in dem Programmbefehl erfolgen. Alternativ kann durch einen speziellen Programmbefehl die darauf folgende Sequenz gekennzeichnet werden.
Im Sicherheitsbetriebsmodus bzw. Vergleichsmodus VM dauert die Berechnung der Ergebnisse bzw. Ausgangssignale der Ausführungseinheiten 2-i bei synchroner Abarbeitung auf den verschiedenen Ausführungseinheiten gleich lang. Die Ergebnisse stehen dann im Sicherheitsbetriebsmodus VM bei synchroner Abarbeitung der Umschalteinrichtung 1 praktisch gleichzeitig zur Verfügung. Stimmen die Ergebnisse überein, so werden die entsprechenden Daten freigegeben. Bei einer Signalabweichung erfolgt eine vorgegebene Fehlerreaktion.
Befindet sich das Signalverarbeitungssystem im Performanz-Betriebsmodus PM, werden die Programme parallel abgearbeitet und Komparatoren bzw. Vergleiche innerhalb der Umschalt- und Vergleichsschaltung 1 werden nicht angesteuert.
Bei dem erfindungsgemäßen Verfahren wird ein gültiges Signal für ein Anwendungsprogramm bei dem Signalverarbeitungssystem in mehreren Ausführungseinheiten 2-i, die in dem Performanz-Betriebsmodus PM parallel arbeiten, erreicht, indem es dem Nutzer nach Auftreten eines Fehlers, insbesondere eines System-Hardware-Fehlers, die Möglichkeit bietet, das Signalverarbeitungssystem von dem Performanz-Betriebsmodus PM in einen Vergleichsbetriebsmodus VM umzuschalten. In dem Vergleichsbetriebsmodus VM werden dann die von den Ausführungseinheiten 2 abgegebenen Signale zur Erzeugung des gültigen Signals miteinander verglichen. Dabei wird vorzugsweise dasjenige von den Ausführungseinheiten 2 abgegebene Signal zum Erzeugen des gültigen Signals selektiert, das die geringste Signalabweichung zu den übrigen Signalen aufweist. Bei dem erfindungsgemäßen System verfügt das Signalverarbeitungssystem über eine Umschaltmöglichkeit zwischen dem Performanz-Betriebsmodus PM und dem Vergleichsbetriebsmodus VM. Die Umschaltung von dem Performanz-Betriebsmodus PM in den Vergleichsbetriebsmodus VM und umgekehrt erfolgt dabei vorzugsweise in Reaktion auf eine Nutzeraufforderung. Bei einer Ausführungsform des erfindungsgemäßen Verfahrens wird das gültige Signal im Vergleichsbetriebsmodus VM in Abhängigkeit von denjenigen Signalen, die von den Ausführungseinheiten 2 abgegebenen werden, gemäß einer vorgegebenen, vorzugsweise konfigurierbaren Funktion berechnet. Bei einer möglichen Ausführungsform wird dabei das gültige Signal durch den Medianwert der von den Ausführungseinheiten 2 abgegebenen Signale gebildet. Die von den Ausführungseinheiten 2 abgegebenen Signale werden vorzugsweise in Abhängigkeit von einer konfigurierbaren Vergleichsoperation miteinander verglichen.
2 zeigt ein Ablaufdiagramm einer möglichen Ausführungsform des erfindungsgemäßen Verfahrens. In einem Schritt S1 läuft ein Anwendungsprogramm in einem Performanz-Betriebsmodus ab PM.
In einem weiteren Schritt S2 wird ein Fehler detektiert, der in einem Schritt S3 dem Anwender bzw. Nutzer signalisiert wird.
Bei einer alternativen Ausführungsform werden die Schritte S2, S3 weggelassen. Dies ist vorteilhaft, wenn dem Anwender die Möglichkeit gegeben werden soll, die von ihm gewählte Anwendung mit möglichst hoher Zuverlässigkeit und Robustheit ablaufen zu lassen. Dies kann beispielsweise im militärischen Bereich oder bei wichtigen Präsentationen nützlich sein, d. h. immer dann, wenn die Zuverlässigkeit einer Anwendung wichtiger ist als deren Performanz.
In einem Schritt S4 erhält der Nutzer bzw. Anwender die Möglichkeit, das Signalverarbeitungssystem von dem Performanz-Betriebsmodus PM in einen Vergleichsbetriebsmodus VM umzuschalten, in welchem die von den Ausführungseinheiten abgegebenen Signale zur Erzeugung eines gültigen Signals miteinander verglichen werden. Der Nutzer erhält somit die Möglichkeit, die Hardware des Systems derart umzuschalten, dass eine bessere Fehlererkennung und/oder Fehlerbehandlung ermöglicht wird.
In einem Schritt S5 wird geprüft, ob der Nutzer, beispielsweise innerhalb eines vorgegebenen Zeitraums, eine Umschaltung in den Vergleichs-Betriebsmodus VM wünscht. Falls der Nutzer eine Umschaltung in den Vergleichs-Betriebsmodus VM wünscht, erfolgt in einem Schritt S6 ein Umschaltung von dem Performanz-Betriebsmodus PM in einen Vergleichsbetriebsmodus VM. Im Weiteren läuft die Anwendung bzw. das Anwendungsprogramm in dem Vergleichsbetriebsmodus ab VM. Falls der Nutzer kein Umschalten wünscht, findet keine Umschaltung von dem Performanz-Betriebsmodus PM in den Vergleichsbetriebsmodus VM statt und die Anwendung bzw. das Anwendungsprogramm läuft, in dem bisherigen Performanz-Betriebsmodus PM weiter.
Das erfindungsgemäße Verfahren zum Erzeugen eines gültigen Signals eignet sich besonders für die Anwendung in einem Signalverarbeitungssystem, das über mindestens drei Ausführungseinheiten 2 verfügt. Dabei werden in dem Vergleichsbetriebsmodus VM diese mindestens drei Ausführungseinheiten 2 über ein Majoritäts-Voting miteinander verglichen. Es wird dabei eine Mehrheitsentscheidung anhand der von den Ausführungseinheiten 2 abgegebenen Signale durchgeführt. Weist das Signalverarbeitungssystem beispielsweise drei Ausführungseinheiten 2 auf, werden die drei von den Ausführungseinheiten 2 abgegebenen Signale miteinander verglichen. Bei einer Signalabweichung zwischen den drei Signalen wird dasjenige Signal selektiert, das die geringste Signalabweichung zu den übrigen Signalen aufweist. Sind beispielsweise die Signale, welche von zwei Ausführungseinheiten abgegebenen wurden, identisch, und ein drittes Signal weicht von den beiden anderen Signalen ab, wird das identische Signal als gültiges Signal selektiert und zur weiteren Datenverarbeitung durchgeschaltet. Es ist somit bei dieser Ausführungsform möglich, nicht nur Hardware-Fehler der Ausführungseinheiten 2 zu erkennen, sonder sogar gezielt eine Fehlerbehandlung durchzuführen. Bei einer weiteren Ausführungsform des erfindungsgemäßen Verfahrens besteht für den Nutzer auch die Möglichkeit, ohne Auftreten eines Fehlers das Signalverarbeitungssystem von dem Performanz-Betriebsmodus PM in den Vergleichsbetriebsmodus VM umzuschalten. Beispielsweise legt der Nutzer bzw. User aus bestimmten Gründen Wert darauf, dass ein bestimmter Teil der Anwendung bzw. des Anwendungsprogramms mit einer möglichst hohen Zuverlässigkeit, Verfügbarkeit, Sicherheit bzw. Zugangssicherheit (Security) abläuft. Umgekehrt möchte der Nutzer, dass andere Teile des Anwendungsprogramms mit einer möglichst hohen Rechnerleistung bzw. hochperformant durchgeführt werden.
Mit dem erfindungsgemäßen Verfahren kann der Nutzer gezielt zwischen dem Performanz-Betriebsmodus PM, bei dem die Ausführungseinheiten 2 parallel zur Leistungssteigerung arbeiten, und dem Vergleichsbetriebsmodus VM, bei dem die Ausführungseinheiten 2 zur Erhöhung der Sicherheit ein gültiges Signal erzeugen, umschalten. Der Nutzer gibt dabei vorzugsweise dem Anwendungsprogramm den entsprechenden Umschaltauftrag.
Ein typisches Beispiel stellt beispielsweise eine Transaktion innerhalb eines Anwendungsprogramms für eine Banküberweisung dar, wobei diese einen möglichst hohen Zugangsschutz aufweisen soll. Die zugehörigen Programmbefehle werden dementsprechend in dem Vergleichsbetriebsmodus VM durchgeführt. Als weiteres Beispiel wird bei einer wichtigen Präsentation die Verfügbarkeit des Anwendungsprogramm gezielt optimiert. In einem weiteren Beispiel kann bei einem Prototypaufbau eine möglichst hohe Sicherheit in einer kritischen Demonstrationsphase erzielt werden, indem das Anwendungsprogramm im Vergleichsbetriebsmodus VM abläuft.
Das Umschaltung zwischen dem Performanz-Betriebsmodus PM und dem Vergleichsbetriebsmodus VM während des Ablaufs des Anwendungsprogramms erfolgt bei einer ersten Ausführungsform getriggert durch den Nutzer, indem dieser einen entsprechenden Umschaltbefehl eingibt.
Bei einer alternativen Ausführungsform des erfindungsgemäßen Verfahrens werden die entsprechenden Anwendungsprogramme bzw. Anwendungsprogrammteile derart gekennzeichnet, dass bei Auftreten der Kennzeichnung automatisch ein Umschalten erfolgt.
Bei einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens erfolgt das Umschalten erst, nachdem der Nutzer ein entsprechendes Fehlersignal, d. h. einen Systemfehler, angezeigt bekommt.
Das erfindungsgemäße Verfahren eignet sich sowohl für PC-System als auch für eingebettete Systeme, beispielsweise im Automobilbereich. In einer PC-Umgebung gibt der Nutzer seine Kommandos, insbesondere den Umschaltbefehl, an das Rechnersystem per Tastatur oder Maus ein. Bei einem Handy wird beispielsweise die Tastatur zur Eingabe des Umschaltbefehls verwendet. Bei einem Navigationssystem kann die Umschaltung mittels speziell dafür vorgesehener Eingabemittel durchgeführt werden. Das erfindungsgemäße Verfah ren ermöglicht es einem Nutzer eines Signalverarbeitungs- bzw. Rechnersystems, während des Betriebs die besonderen Eigenheiten einer DCSL-Hardware, die eine Umschalteinrichtung zwischen dem Performanz-Betriebsmodus und dem Vergleichsbetriebsmodus aufweist, derart auszunutzen, dass eine besonders hohe Verfügbarkeit und Zuverlässigkeit für relevante Anwendungen bzw. Anwendungsprogramme erreicht wird. Somit kann der Nutzer die Verfügbarkeit eines Anwendungsprogramms bewusst steigern.

Claims

Verfahren zum Erzeugen eines gültigen Signals für ein Anwendungsprogramm bei einem Signalverarbeitungssystem mit mehreren Ausführungseinheiten (2), die in einem Performanz-Betriebsmodus (PM) parallel arbeiten, wobei während des Ablaufs des Anwendungsprogramms ein Nutzer das Signalverarbeitungssystem in einen Vergleichsbetriebsmodus (VM) umschaltet, in welchem die von den Ausführungseinheiten (2) abgegebenen Signale zur Erzeugung des gültigen Signals miteinander verglichen werden.
Verfahren nach Anspruch 1, wobei der Nutzer nach Auftreten eines Fehlers während des Ablaufs des Anwendungsprogramms das Signalverarbeitungssystem in einen Vergleichsbetriebsmodus (VM) umschaltet.
Verfahren nach Anspruch 1, wobei ein von den Ausführungseinheiten (2) abgegebenen Signal zum Erzeugen des gültigen Signals selektiert wird.
Verfahren nach Anspruch 3, wobei dasjenige Signal selektiert wird, das die geringste Signalabweichung zu den übrigen Signalen aufweist.
Verfahren nach Anspruch 1, wobei das gültige Signal in Abhängigkeit von den Signalen, die von den Ausführungseinheiten (2) abgegeben werden, gemäß einer vorgegebenen Funktion berechnet wird.
Verfahren nach Anspruch 5, wobei das gültige Signal durch den Medianwert der von den Ausführungseinheiten (2) abgegebenen Signale gebildet wird.
Verfahren nach Anspruch 1, wobei die von den Ausführungseinheiten (2) abgegebenen Signale in Abhängigkeit von einer konfigurierbaren Vergleichsoperation miteinander verglichen werden.
Verfahren nach Anspruch 1, wobei der Fehler durch einen Hardware-Fehler des Signalverarbeitungssystems gebildet wird.
Verfahren nach Anspruch 1, wobei die Ausführungseinheiten (2) durch identisch aufgebaute Berechnungseinheiten oder Sensoren gebildet werden.
Verfahren nach Anspruch 9, wobei die Ausführungseinheiten (2) durch eine Gleitpunktberechnungseinheit (FPU), einen digitalen Signalprozessor, einen Prozessor, einen Co-Prozessor oder eine arithmetisch logische Einheit (ALU) gebildet werden.
Verfahren nach Anspruch 7, wobei die Vergleichsoperation eine Mehrheitsentscheidung anhand der von den Ausführungseinheiten (2) abgegebenen Signale durchführt.
Signalverarbeitungssystem zum Erzeugen eines gültigen Signals für ein Anwendungsprogramm mit mehreren Ausführungseinheiten (2), die in einem Performanzbetriebsmodus (PM) des Signalverarbeitungssystems arbeiten, wobei das Signalverarbeitungssystem durch den Nutzer von dem Performanzbetriebsmodus (PM) in einen Vergleichsbetriebsmodus (VM) umschaltbar ist, in welchem die von den Ausführungseinheiten (2) abgegebenen Signale zur Erzeugung des gültigen Signals miteinander verglichen werden.
Signalverarbeitungssystem nach Anspruch 12, wobei das Signalverarbeitungssystem nach Auftreten eines Fehlers während des Ablaufs des Anwendungsprogramms durch den Nutzer umschaltbar ist.
Signalverarbeitungssystem nach Anspruch 12 oder 13, wobei die Umschaltung mittels einer Umschalt- und Vergleichsschaltung (1) erfolgt.