DE102015218882A1

DE102015218882A1 - Verfahren und Vorrichtung zum Prüfen von Berechnungsergebnissen in einem System mit mehreren Recheneinheiten

Info

Publication number: DE102015218882A1
Application number: DE102015218882.5A
Authority: DE
Inventors: Roland Schleser; Mikkel Liisberg
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2015-09-30
Filing date: 2015-09-30
Publication date: 2017-03-30
Also published as: CN106940667A; US20170091053A1; CN106940667B

Abstract

Verfahren (10) zum Prüfen von Berechnungsergebnissen in einem System mit mehreren Recheneinheiten, gekennzeichnet durch folgende Merkmale: – von einer der Recheneinheiten wird ein Datenrahmen empfangen (11), – der Datenrahmen umfasst eine Anwendungskennung und eine Anzahl von Vergleichswerten der Recheneinheit, – anhand der Anwendungskennung werden die Vergleichswerte der Recheneinheit in einen Zwischenspeicher einsortiert (12), – es wird geprüft (13), ob der Zwischenspeicher unter der Anwendungskennung die Vergleichswerte sämtlicher Recheneinheiten enthält (14) und – wenn die Vergleichswerte vollständig (14) vorliegen, werden die Vergleichswerte verglichen (15, 16).

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Prüfen von Berechnungsergebnissen in einem System mit mehreren Recheneinheiten. Die vorliegende Erfindung betrifft darüber hinaus eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium.
Stand der Technik
Lockstep-Systeme sind fehlertolerante Computersysteme, die den gleichen Satz von Operationen zur gleichen Zeit oder mit minimalem zeitlichem Versatz parallel ausführen. Ein Lockstep-System nach dem Stand der Technik ermöglicht Fehlererkennung und Fehlerkorrektur: Die Ausgabe von Lockstep-Operationen kann verglichen werden, um zu bestimmen, ob es zu einer Störung kam, wenn mindestens zwei Recheneinheiten, und der Fehler automatisch korrigiert werden, wenn mindestens drei Recheneinheiten beteiligt sind. Diese Konzepte sind dem Fachmann als zweifach bzw. dreifach modulare Redundanz bekannt.
DE 10 2005 037 246 A1 offenbart ein Verfahren zur Steuerung eines Rechnersystems mit wenigstens zwei Ausführungseinheiten und einer Vergleichseinheit, das im Lockstep betrieben wird und bei dem die Ergebnisse der wenigstens zwei Ausführungseinheiten verglichen werden, dadurch gekennzeichnet, dass bei oder nach Erkennung eines Fehlers durch die Vergleichseinheit auf wenigstens einer Ausführungseinheit ein Fehlererkennungsmechanismus für diese Ausführungseinheit abgearbeitet wird.
Offenbarung der Erfindung
Die Erfindung stellt ein Verfahren zum Prüfen von Berechnungsergebnissen in einem System mit mehreren Recheneinheiten, eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium gemäß den unabhängigen Ansprüchen bereit.
Der vorgeschlagene Ansatz beruht dabei auf der Erkenntnis, dass es in sicherheitsrelevanten Systemen, in denen Standard-Ethernet-Komponenten, -Recheneinheiten – zu denken ist an Mehrkern-(multi-core) und Vielkernsysteme (many-core), Mikrocontroller (µC) und Mikroprozessoren (µP) – und Standard-Betriebssysteme wie QNX oder Linux zum Einsatz kommen, nicht möglich ist, das komplette System durch Selbsttests abzusichern. Viele sicherheitsrelevante Anwendungen, zum Beispiel im Umfeld des automatisierten Fahrens, werden daher redundant (im Lockstep) gerechnet. Bei Standardkomponenten (ohne Hardware-Unterstützung) ist der Lockstep als so genannter Software-Lockstep umgesetzt. Und bei Systemen, die hohe Anforderungen an die Sicherheit, Verfügbarkeit und Leistung stellen, werden die sicherheitsrelevanten Funktionen verteilt gerechnet.
Die hier beschriebene Erfindung ermöglicht in einem solchen – aus mehreren Recheneinheiten bestehenden und durch ein Kommunikations-Bus wie CAN oder Ethernet verbundenen – verteilten System laufende Software-Anteile auf mehrere Recheneinheiten zu verteilen und an einer zentralen Stelle im System die Berechnungsergebnisse durch einen sogenannten Komparator zu vergleichen.
Der Komparator prüft die Berechnungsergebnisse der Recheneinheiten und kann im Fehlerfall das System in den sicheren Zustand bringen.
Ein Vorzug dieser Lösung liegt darin, dass einem Software-Lockstep-System aus mehreren Prozessoren durch eine externe Komparator-Einheit neben der höheren Unabhängigkeit auch eine sehr hohe Skalierbarkeit verliehen wird.
Weiterhin ist der Komparator so aufgebaut, dass keine Informationen über die Inhalte notwendig sind, um den Vergleich durchzuführen. Dies hat den Vorteil, dass die Recheneinheit, auf welcher der Komparator ausgeführt wird, unverändert bleibt, wenn die Software auf den anderen Recheneinheiten sich ändert.
Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen des im unabhängigen Anspruch angegebenen Grundgedankens möglich. So kann vorgesehen sein, dass der vom Komparator empfangene Datenrahmen eine Typangabe umfasst und vor dem Vergleich anhand der Typangabe geprüft wird, ob die vom Datenrahmen umfassten Vergleichswerte Hashwerte oder einen Inhalt darstellen. Auf diese Weise lässt sich die zu vergleichende Datenmenge reduzieren.
Gemäß einem weiteren Aspekt kann vorgesehen sein, dass der Anwendungskennung ein Fehlerzähler zugeordnet ist. Wenn die Vergleichswerte abweichen, wird der Fehlerzähler inkrementiert; wenn die Vergleichswerte übereinstimmen, wird der Fehlerzähler dekrementiert; und wenn der Fehlerzähler eine konfigurierbare Schwelle erreicht, wird eine konfigurierbare Fehlerreaktion ausgelöst. Im Rahmen eines zyklischen Selbsttests kann so ein einer fiktiven (dummy) Anwendungskennung zugeordneter Fehlerzähler durch abweichende Vergleichsregisterinhalte inkrementiert und durch übereinstimmende Vergleichsregisterinhalte dekrementiert werden. Dieser Test prüft, dass die Vergleicher- und Fehlerlogik funktioniert. Das Ergebnis des Selbsttests kann zudem als Teilantwort in die externe Kommunikation der Laufzeitüberwachungseinheit (watchdog) eingehen.
Kurze Beschreibung der Zeichnungen
Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt:
1 einen erfindungsgemäßen Softwareablauf im Komparator.
2 die Datensortierung des Komparators.
3 einen typischen Datenrahmen.
4 eine Systemarchitektur mit dreifach modularer Redundanz.
5 einen Selbsttest des Komparators.
6 schematisch ein Steuergerät gemäß einer Ausführungsform der Erfindung.
Ausführungsformen der Erfindung
Ein System gemäß einer Ausführungsform besteht aus zwei oder mehr Recheneinheiten, von denen mindestens eine Recheneinheit sicherheitsrelevante Funktionen durchführt und die über einen Standard-Ethernet-Kommunikations-Bus kommunizieren. Gemäß einer Alternative kommen andere Bus-Systeme zum Einsatz, die das Übertragen eines Datenpakets ermöglichen.
Eine oder mehrere Recheneinheiten laufen im sogenannten Software-Lockstep und führen die redundante Berechnung der sicherheitsrelevanten Funktionen durch. Eine Recheneinheit mit mindestens zwei Rechenkernen kann auch im Software-Lockstep die redundante Berechnung der sicherheitsrelevanten Funktionen durchführen. Eine Recheneinheit bildet für den Software-Lockstep den sogenannten Komparator, welcher Ergebnisse der redundanten Berechnung prüft.
Den Ablauf einer solchen Prüfung verdeutlicht 1: Die Ergebnisse einer sicherheitsrelevanten Funktion oder einer Folge von Funktionen werden nach der Ausführung in ein Datenpaket zusammengefasst und an den Komparator übertragen (11).
Der Komparator sortiert (12), wie in 2 im Einzelnen dargestellt, die eingehenden Ergebnisse zum Beispiel nach der absendenden Recheneinheit (30, 31, 32) oder einer eindeutigen Anwendungskennung (43) (application identification, ID). Wenn von allen Recheneinheiten die Ergebnisse vorliegen (14), werden diese verglichen (15, 16). Der Komparator unterscheidet dabei anhand einer Typangabe (38) im Datenrahmen zwischen Ergebnissen (16), die nur verglichen werden sollen, und Ergebnissen (15), die nach dem Vergleich (15) auf einen Fahrzeug-Bus übertragen (22) werden sollen. Bei Ergebnissen, die verschickt (22) werden sollen, werden die Inhalte und einige der nachfolgend beschriebenen Werte zur durchgehenden (end-to-end, E2E) Sicherung der Datenrahmen (42) verglichen (15).
Die Ergebnisse einer sicherheitsrelevanten Funktion können zum Beispiel Ausgangsdaten, interne Funktionszustände, von der Funktion belegte Speicher, Daten, die an ein anderes Steuergerät oder einen Aktor geschickt werden sollen, Werte zur durchgehenden Absicherung der Datenrahmen wie einen sogenannten Alive-Zähler oder eine Prüfsumme umfassen. Um die zu vergleichende (16) Datenmenge zu reduzieren, wird über die gesamten Ergebnisse ein Hashwert gebildet. Wenn das Ergebnis ein Datenpaket ist (15), das verschickt (22) werden soll, wird der Inhalt originalgetreu in dem Datenrahmen verschickt (22).
In dem in 3 dargestellten Standard-Datenrahmen (42) werden ein oder mehrere Vergleichswerte (33) an den Komparator übertragen. Der Datenrahmen (42) enthält zusätzlich noch die Anwendungskennung (43), die Typangabe (38), die Anzahl (39) enthaltener Vergleichswerte (33), einen Zeitstempel (timestamp, 41), einen Alive-Zähler (40) sowie eine Prüfsumme (34) zur Absicherung der Datenrahmen (42), die beispielsweise auf einer zyklischen Redundanzprüfung (cyclic redundancy check, CRC) oder kryptographischen Hashfunktion basieren kann.
Zur Fehlerbehandlung (error handling) ist jeder Anwendungskennung (43) ein Fehlerzähler zugeordnet. Bei einem Fehler wird der jeweilige Zähler (40) inkrementiert und bei einem korrekten Vergleich dekrementiert. Wenn ein Fehlerzähler eine konfigurierte Schwelle erreicht, wird eine Fehlerreaktion ausgelöst, z. B. indem das System in einen sicheren Zustand versetzt wird. Die Fehlerreaktion kann abhängig von der Anwendungskennung (43) konfiguriert werden.
In einem aus drei oder mehreren Recheneinheiten (30, 31, 32) bestehenden System kann der Komparator auch einen 2-von-3-Vergleich durchführen, um somit eine höhere Verfügbarkeit des Systems zu erreichen (4). Der Komparator wird zudem, wie die 5 verdeutlicht, zyklisch durch einen Selbsttest geprüft. Der Test prüft, dass die Vergleicher- und Fehlerlogik funktionieren. Der Selbsttest verwendet eine fiktive Anwendungskennung (43).
Dieses Verfahren (10) kann beispielsweise in Software oder Hardware oder in einer Mischform aus Software und Hardware beispielsweise in einem Steuergerät (50) implementiert sein, wie die schematische Darstellung der 6 verdeutlicht.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102005037246 A1 [0003]

Claims

Verfahren (10) zum Prüfen von Berechnungsergebnissen in einem System mit mehreren Recheneinheiten (30, 31, 32), gekennzeichnet durch folgende Merkmale: – von einer der Recheneinheiten (30, 31, 32) wird ein Datenrahmen (42) empfangen (11), – der Datenrahmen (42) umfasst eine Anwendungskennung (43) und eine Anzahl (39) von Vergleichswerten (33) der Recheneinheit (30, 31, 32), – anhand der Anwendungskennung (43) werden die Vergleichswerte (33) der Recheneinheit (30, 31, 32) in einen Zwischenspeicher (29) einsortiert (12), – es wird geprüft (13), ob der Zwischenspeicher (29) unter der Anwendungskennung (43) die Vergleichswerte (33) sämtlicher Recheneinheiten (30, 31, 32) enthält (14) und – wenn die Vergleichswerte (33) vollständig (14) vorliegen, werden die Vergleichswerte (33) verglichen (15, 16).
Verfahren (10) nach Anspruch 1, gekennzeichnet durch folgende Merkmale: – der Datenrahmen (42) umfasst ferner eine Typangabe (38), – vor dem Vergleichen (15, 16) wird anhand der Typangabe (38) geprüft (17), ob die Vergleichswerte (33) Hashwerte (18) oder einen Inhalt (19) darstellen, – wenn die Vergleichswerte (33) den Inhalt (19) darstellen, wird nach dem Vergleichen (15) geprüft (20), ob der Inhalt sämtlicher Recheneinheiten (30, 31, 32) übereinstimmt (21) und – wenn der Inhalt übereinstimmt (21), wird der Inhalt gesendet (22).
Verfahren (10) nach Anspruch 2, gekennzeichnet durch folgende Merkmale: – der Datenrahmen (42) umfasst ferner einen Alive-Zähler (40) und eine Prüfsumme (34) der Vergleichswerte (33) und – mit dem Inhalt werden der Alive-Zähler (40) und die Prüfsumme (34) verglichen (15).
Verfahren (10) nach einem der Ansprüche 1 bis 3, gekennzeichnet durch folgende Merkmale: – wenn die Vergleichswerte (33) unvollständig (23) vorliegen, wird eine Zeitüberschreitung geprüft (24) und – wenn die Zeitüberschreitung eintritt (25), wird ein Fehler (26) erkannt.
Verfahren (10) nach einem der Ansprüche 1 bis 4, gekennzeichnet durch folgende Merkmal: – wenn die Vergleichswerte (33) der Recheneinheit (30, 31, 32) von den übereinstimmenden Vergleichswerten (33) einer zweiten Recheneinheit (30, 31, 32) und einer dritten Recheneinheit (30, 31, 32) unter den Recheneinheiten (30, 31, 32) abweichen, werden die Vergleichswerte (33) der Recheneinheit (30, 31, 32) verworfen.
Verfahren (10) nach einem der Ansprüche 1 bis 5, gekennzeichnet durch folgende Merkmale: – der Anwendungskennung (43) ist ein Fehlerzähler zugeordnet, – wenn die Vergleichswerte (33) abweichen (27), wird der Fehlerzähler inkrementiert (35), – wenn die Vergleichswerte (33) übereinstimmen (21, 28), wird der Fehlerzähler dekrementiert (36, 37) und – wenn der Fehlerzähler eine konfigurierbare Schwelle erreicht, wird eine konfigurierbare Fehlerreaktion ausgelöst.
Verfahren (10) nach Anspruch 6, gekennzeichnet durch folgendes Merkmal: – bei einem zyklischen Selbsttest wird der einer Scheinanwendungskennung zugeordnete Fehlerzähler durch abweichende Vergleichsregisterinhalte inkrementiert (35) und durch übereinstimmende Vergleichsregisterinhalte dekrementiert (36, 37).
Computerprogramm, welches eingerichtet ist, das Verfahren (10) nach einem der Ansprüche 1 bis 7 auszuführen.
Maschinenlesbares Speichermedium, auf dem das Computerprogramm nach Anspruch 8 gespeichert ist.
Vorrichtung (50), die eingerichtet ist, das Verfahren (10) nach einem der Ansprüche 1 bis 7 auszuführen.