-
Stand der
Technik
-
Die
Erfindung betrifft eine Schaltungsanordnung und ein Verfahren zur Überwachung
eines Adressdecoders sowie einen entsprechenden Adressdecoder gemäß der Oberbegriffe
der unabhängigen
Ansprüche.
-
Durch
den zukünftig
verstärkten
Einsatz von Elektronik in sicherheitsrelevanten Anwendungen im Automotive-Bereich
wie z. B. Aktive Front Steering oder Vehicle Dynamics Management
(VDM)-Systeme steigen die Anforderungen an die Sicherheit der eingesetzten
Hardware. In diesen Systemen werden zunehmend Zwei-Prozessor-Rechner
eingesetzt, deren beide Prozessoren sich gegenseitig überwachen. Bei
diesen Zwei-Prozessor-Systemen
ist der Speicher aus Kostengründen
nur einfach ausgeführt
und wird durch einen Fehlererkennungscode abgesichert. Damit sind
zwar die Daten im Speicher gesichert, nicht jedoch der Adressdecoder.
Weil der Adressdecoder im Gegensatz zum Speicher nur eine geringe
Gatterzahl aufweist und somit die Gefahr des Auftretens eines Fehlers
sehr gering ist, war es bis jetzt ausreichend, diesen durch einen
periodischen Software-Selbsttest abzusichern und nicht durch Hardware-Redundanz.
Da jedoch beim Einsatz neuer Halbleitertechnologien aufgrund der
geringeren Versorgungsspannungen bei gleichzeitig höherer Logikdichte
mit einem Ansteigen der Fehlerraten zu rechnen ist und gleichzeitig
jedoch die Sicherheitsanforderung an zukünftige Systeme steigen, wird
ein zu Beginn der jeweiligen Mission durchgeführter Software-Selbsttest potentiell
nicht mehr ausreichend sein. Ausgehend vom Stand der Technik wird
somit ein Verfahren und eine Vorrichtung für die andauernde Prüfung (Concurrent
Checking) des Adressdecoders dargelegt. Es wird auf Basis eines
Vergleichs des Software-Selbsttests des Adressdecoders mit bestehenden
Fehlererkennungsmethoden bei Adressdecodern auf Gatterebene eine
neue erfindungsgemäße Implementierungsmöglichkeit
vorgestellt.
-
Eine
Methode, den Adressdecoder zu überwachen,
besteht im Ausführen
eines Testprogramms. Alle Fehler bis auf Stuck-Open-Fehler können durch einen
Standard-March-Test
gefunden werden. Ein Vorteil bei diesem Softwaretest liegt darin,
dass die Hardware nicht angepasst werden muss und dass der Overhead
an Fläche äußerst gering
ist. Nachteilig ist, dass dieser Test periodisch ausgeführt werden muss,
wobei sich die erforderliche Testperiode im Wesentlichen aus der
erwarteten Fehlerrate einerseits und der maximal zulässigen Ausfallwahrscheinlichkeit
andererseits ergibt. Ist diese Testperiode kürzer als die Missions-Zeit
(mission time), so müsste der
Test online durchgeführt
werden, was die Implementierung erheblich erschwert. Zudem ist ein
Test prinzipiell nicht in der Lage, während des Betriebes auftretende
transiente Fehler zu erkennen.
-
Eine
Methode zur Absicherung eines Adressdecoders mittels Concurrent
Checking ist in der Schrift von Fuchs, W. K., Abraham, J. A. et
al: Concurrent error detection in highely structed logic arrays,
IEEE Journal of Solid-State Circuits, ST22(4): 583–594, August
1987 dargestellt. Hierbei werden die Adressen mit einem Paritycode
abgesichert. Dieses sowie das invertierte Paritybit werden mit jedem Speicherwort
abgespeichert. Damit können
Fehler, die sich in der Adressierung eines falschen Wortes auswirken,
genau dann erkannt werden, wenn die Paritybits der Adresse beim
Lesezugriff nicht jenen beim Schreibzugriff entsprechen. Offenbar
verbleibt hier ein signifikantes Potential an nicht erkennbaren permanenten
Fehlern. Auch wenn zwei Worte gleichzeitig adressiert werden, kann
es zu Treiberkonflikten kommen, die bei den Paritybits eventuell
auch zufällig
eine Übereinstimmung
mit den korrekten Werten ergeben können. Ein weiterer Nachteil
dieser Methode liegt in ihrem Overhead, da zu jedem Wort zwei Zusatzbits
zur Überprüfung der
Adresse mit abgespeichert werden müssen.
-
Ein
weiteres Verfahren, bei dem der Decoder selbsttestend ausgelegt
wurde, ist in der Schrift Toy, W. N.: Modular LSI-Control-Logik-Design
with Error Detection, IEEE Trans on Computers, C-20, Februar 1971
beschrieben. Fehler im Adressdecoder können an dessen Ausgang erkannt
werden, in dem jeweils eine Oder (Or)-Verknüpfung all jener Ausgangsleitungen
PG, deren Adresse eine geradzahlige Anzahl an Einsen beinhaltet
und eine Oder-Verknupfung all jener Ausgangsleitungen PU, deren
Adresse eine ungeradzahlige Anzahl an Einsen beinhaltet, gebildet wird.
Dieser Stand der Technik ist in 1 beschrieben.
Bei einem korrekten Decoder darf nur jeweils genau eine dieser beiden
Oder-Verknüpfungen
eine Eins ergeben. Dazu ist in 1 ein Adressdecoder 100 mit
Not-Bausteinen 101 bis 103 sowie Und-Gattern 104 bis 111 dargestellt.
Die Decoderausgänge sind
in 1 mit D0 bis D7 und die Decodereingänge, also
die entsprechenden Eingangsadressen mit A0 bis A2 dargestellt. Es
ist also hier beispielhaft ein 8-aus-3-Decoder offenbart. Die oderverknüpften Decoderausgänge PG und
PU werden dann einem Double-Rail Checker 112, also einer
doppelt absichernden Prüfeinrichtung
zugeführt.
Diese ist ebenfalls Stand der Technik und in 2 näher beschrieben.
-
Hiermit
können
zwar alle Stuck-At-Fehler erkannt werden, nicht jedoch alle Kopplungsfehler
zwischen benachbarten Leitungen, wie es aus der Abbildung, also 1 ersichtlich
ist. Ein Beispiel für
einen unerkannten Kopplungsfehler ist ein Kurzschluss zwischen den
Leitungen D1 und D2. Beide Leitungen sind benachbart und gehören zu einer
Adresse mit einer ungeraden Anzahl an Einsen, also 001 bzw. 010. Werden
sie infolge des Kurzschlusses beide gesetzt und logisch 1 der dominierende
Pegel ist, so ergeben sich am Eingang des rechten ODER-Gatters,
also für PU
zwar zwei Einsen anstelle von einer, an dessen Ausgang jedoch korrekterweise
eine 1 und am linken ODER-Gatter, also bezüglich PG korrekterweise eine 0.
Analog lässt
sich begründen,
dass Stuck-At-1-Fehler am Decoderausgang zwar erkannt werden, jedoch
erst, wenn der gerade aktivierte Decoderausgang am jeweils anderen
ODER-Gatter angeschlossen ist. Stuck-At-0-Fehler werden erkannt, sobald
der betroffene Ausgang adressiert wird. Um diesen Nachteil zu beheben,
wurde in der Schrift von Nicolaidis, M. Efficient UBIST Implementation
for Microprocessor Sequencing Parts. Proceedings of the International
Test Conference, Seiten 316 bis 326, 1990, ein alternatives Verfahren
zur Überwachung des
Adressdecoders vorgestellt.
-
Zunächst soll
aber entsprechend 2 der Double-Rail Checker, also
die doppelt absichernde Prüfeinrichtung
für den
Fall aus 1 kurz beschrieben. Dieser Double-Rail Checker 112,
beschrieben in COSAFE, Low Power Hardware-Software Co-Design For
Safety-Critical Applications ESPRIT 28593 von K. S. Papadomanolakis,
T. Kakarountas, A. Tsoukalis, S. Nikolaidis, C. E. Goutis (COSAFE-ID,
COSAFE/WP1/UP/D2IC und D, CEC-Identifier, EP 28593/UP/D2IC und D)
von 30. September 1999 empfängt
als Eingänge
entsprechend der veroderten Decoderausgangsleitungen PG und PU sowie
deren komplementäre,
also entgegengesetzte Werte –PG und –PU, also
wenn PG 1 ist, ist –PG
0 und bei PU1 ist –PG
0 und umgekehrt. Am Ausgang, also F und –F liefert dieser Double-Rail
Checker ebenfalls komplementäre
Ausgangssignale, also wenn F 1 ist, ist –F 0. Korrekte Codewörter korrespondieren
demnach zu 01 oder 10 für
F und –F,
während
Fehler respektive Nichtcodewörter
zu 00 oder 11 bezüglich
F und –F korrespondieren.
Dies wird durch die dargestellte Verschaltung mit den Mand, also
nicht Und-Gattern 200 bis 203 sowie 204 und 205 sichergestellt.
Wenn kein Fehler in der zu prüfenden
Einheit, also in dem Fall dem Adressdecoder oder dem Double-Rail
Checker selbst auftritt, liefern die Ausgänge F und –F die Codewörter 01
oder 10. Wenn Fehler auftreten, werden die Nichtcodewörter oder
Fehleranzeigen 00 oder 11 für
F und –F
geliefert und der Fehler ist erkannt. Dies ist auf Seite 9 des oben
zitierten COSAFE-Dokuments dargestellt.
-
Um
die Nachteile des bereits beschriebenen Standes der Technik entsprechend 1 zu
beheben, wurde wie gesagt in dem Dokument von Nicolaidis Efficient
UBIST Implementation for Mikroprocessor Sequencing Parts von 1990
ein alternatives Verfahren zur Überwachung
des Adressdecoders gemäß 3 dargestellt.
Dabei ist zur Vereinfachung der 8-aus-3-Decoder als Block 300 offenbart.
Bei diesem Verfahren wird aus dem 1-aus-M-Code der Decoderausgangsleitungen
mit Hilfe von ODER-Gattern gemäß 304 die
entsprechende Adresse in Binärdarstellung
rückgerechnet
und mittels eines Double-Rail Checkers 303 mit der ursprünglichen
Adresse A0 bis A2 verglichen. Dies ist, wie gesagt, beispielhaft
für einen
8-aus-3-Decoder in 2 dargestellt. Eine vertikale
Linie entspricht dabei einem ODER-Gatter, jeder markierte Kreuzungspunkt
einem Eingang. Mit dieser Methode, bei der ebenfalls ein Speicher 301 und
ein weiterer Double-Rail Checker 302 Einsatz finden, können alle
Fehler am Adressdecoder erkannt werden. Nachteilig daran ist jedoch
der hohe Flächenaufwand,
um die Adresse zurückzudecodieren.
Bei einem Decoder mit n Steuerleitungen sind 2n ODER-Gatter mit
jeweils 2n–1 Eingängen nötig. Zusätzlich sind
noch zwei n-Bit-breite Double-Rail Code Checker 303 und 302 erforderlich.
-
Ein
weiteres Verfahren wurde in der Offenlegung Böhl, E., Lindenkreuz, T. und
Stephan, R.: The Fail-Stop Controller AE11, Test Conference 1997, Proceedings
International, Seiten 567,577, November 1997 dargestellt. Dabei
wurden die Decoder wie in der oben genannten Schrift Modular LSI-Control-Logik-Design
with Error Detection selbsttestend ausgelegt. Die Ausgangsleitungen
des Decoders wurden jedoch in einer Reihenfolge nach der Gray-Codierung
angeordnet. Dadurch unterscheiden sich die Adressen zweier benachbarter
Decoderausgangsleitungen immer genau in einem Bit. Somit können durch
die ODER-Verknüpfung
der geraden Decoderausgangsleitungen AG und die ODER-Verknüpfung der
ungeraden Ausgangsleitungen AU, alle internen Adressdecoderfehler
und alle Kopplungsfehler der Ausgangsleitungen erkannt werden. Die Adressen
werden mit einem Paritybit gesichert und durch einen separaten Paritytest
am Eingang des Adressdecoders überprüft. Nachteilig
bei dieser Methode ist, dass für
das Layout des Decoders spezielle Vorschriften beachtet werden müssen. Ferner
nachteilig ist, dass beim Testen des Paritybits darauf geachtet
werden muss, dass diese erst nach der Verwendung der Adressen im
Decoder überprüft werden.
Stuck-At-Fehler am Decoderausgang, die an Leitungen aus der selben
Gruppe AG oder AU auftreten, wie die adressierte Leitung, werden
nicht sofort erkannt.
-
D.
h. ein Nachteil an den vorgestellten Methoden und Schaltungsanordnungen
ist, dass sie keine durchgängige
Absicherung der Schnittstelle zwischen Adressleitungen und Decoder
bieten bzw. eine sichere Schnittstelle nur bei Einhaltung bestimmter Layout-Regeln gewährleisten.
D, h. das Adressdecoder-Layout muss speziell gewählt werden, as aber nicht immer
möglich
ist, so dass Alternativen nur mit einem erheblich höheren Chipflächenaufwand,
wie oben beschrieben, in Frage kommen.
-
Es
ist daher Aufgabe der Erfindung, eine Schaltungsanordnung und ein
Verfahren vorzustellen, das die Adressen von der Quelle, d. h. im
Prozessor bis zu ihrer Verarbeitung durchgängig absichert, den Chipflächenaufwand
deutlich reduziert und gleichzeitig bestehende Adressdecoder ohne spezielles
Layout mit einem durchgängigen
Konzept verwendet werden können.
-
Vorteile der
Erfindung
-
Die
Erfindung zeigt eine Schaltungsanordnung und ein Verfahren zur Überwachung
eines Adressdecoders, bei dem Eingangsadressen zu Ausgangsadressen
decodiert werden, wobei der Adressdecoder Decoderausgänge aufweist, über welche Adressbits
ausgebbar sind, wobei Paritybits zu den Ausgangsadressen bildbar
sind, wobei die Decoderausgänge
in geradzahlige Decoderausgänge
und ungeradzahlige Decoderausgänge
unterteilt werden, indem die geradzahligen Decoderausgänge mit ODER-Gattern
zu einer ersten Gruppe verknüpft werden
und die ungeradzahligen Decoderausgänge mit ODER-Gattern zu einer
zweiten Gruppe verknüpft
werden, so dass eine Überwachung
des Adressdecoders bezüglich
der über
jeden Decoderausgang übertragenen
Adressbits erfolgt, wobei vorteilhafter Weise die Decoderausgänge der
ersten Gruppe und die Decoderausgänge der zweiten Gruppe einem
ersten Double-Rail Checker zugeführt
werden. Dadurch ist eine sehr hohe Fehlerabdeckung möglich, ohne
ein spezielles Adressdecoder-Layout zu wählen. Gleichzeitig wird der
Chipflächenaufwand erheblich
reduziert, wie später
noch beschrieben. Daneben kann diese Methode, also diese Schaltunganordnung
und das Verfahren bei schnellen Speichern eingesetzt werden, da
das Erzeugen des Fehlersignals sehr schnell erfolgt.
-
Mit
dem erfindungsgemäßen Vorschlag
werden alle permanenten Adressdecoderfehler sicher erkannt bei einem
geringeren Aufwand an Hardware. Zudem erfolgt die Fehlerentdeckung
online. Weiterhin besteht ein durchgängiges Konzept der Absicherung
der Adressen. Darüber
hinaus kann für
diese Schaltungsanordnung bzw. diese Überwachung ein bestehender
Adressdecoder verwendet werden.
-
Vorteilhafter
Weise werden zusätzlich
zu den Adressbits auch Paritybits durch eine Verknüpfung der
Decoderausgänge
durch ODER-Gatter überbracht.
Dabei werden die Decoderausgänge,
deren Eingangsadressen zu einem geradzahligen Paritybit führen, also
die geradzahligen Paritybits mit ODER-Gattern zu einer dritten Gruppe
verknüpft, und
die Decoderausgänge,
deren Eingangsadressen zu einem ungeradzahligen Paritybit führen, also
die ungeradzahligen Paritybits ebenfalls mit ODER-Gattern zu einer
vierten Gruppe verknüpft.
-
In
einer bevorzugten Ausführungsform
werden neben den Decoderausgängen
der ersten und zweiten Gruppe zusätzlich die Decoderausgänge der dritten
Gruppe und die Decoderausgänge
der vierten Gruppe einem zweiten Double-Rail Checker zugeführt, und
zwar entweder zusammen mit der ersten und zweiten Gruppe, einem
Double-Rail Checker, größere Bitbreite
oder einer entsprechenden Anzahl von Double-Rail Checkern, nämlich zwei
kleinere Bitbreite.
-
In
einer weiteren bevorzugten Ausführungsform
ist ein dritter Double-Rail Checker vorgesehen, der zusätzlich zum
ersten oder zum zweiten Double-Rail Checker vorgesehen ist und durch
welchen ein Paritybit am Decoderausgang mit einem ursprünglichen
Paritybit der Eingangsadresse verglichen wird.
-
Damit
sind für
einen Rechner für
sicherheitsrelevante Anwendungen, insbesondere im Automobilbereich
Schaltungsanordnung und Verfahren zur Absicherung des Adressdecoders
dargelegt. Damit können
alle permanenten Einfachfehler und auch transiente Fehler entdeckt
werden. Gegenüber
den bekannten Methoden zeigt sich, dass die erfindungsgemäße Schaltungsanordnung
und das Verfahren sehr effizient ist und ohne spezielle Maßnahmen
im Layout des Adressdecoders auskommen. Weitere Vorteile und vorteilhafte
Ausgestaltungen ergeben sich aus den Merkmalen der Ansprüche sowie
der folgenden Beschreibung.
-
Die
Erfindung wird anhand der 4 und 5 im
Weiteren näher
erläutert.
-
Beschreibung
der Ausführungsbeispiele
-
Ein
Nachteil an den im Stand der Technik genannten Methoden ist, dass
sie keine durchgängige Absicherung
der Schnittstelle zwischen Adressleitungen und Decoder bieten bzw.
eine sichere Schnittstelle nur bei Einhaltung bestimmter Layoutregeln gewährleisten.
Es ist wünschenswert,
dass die Adressen von der Quelle, d. h. im Prozessor bis zu ihrer
Verarbeitung durchgängig
abgesichert sind. Dieser Nachteil soll nun durch das in 4 dargestellte Konzept
beseitigt werden. Bei dieser Schaltungsanordnung oder Verfahren
bzw. Methode wird die Gruppe AU der ungeraden Decoderausgangsleitungen
an ein ODER-Gatter 405 geführt und die Gruppe AG der geraden
Decoderausgangsleitungen an ein weiteres ODER-Gatter 404.
Anhand dieser beiden Signale kann mit einem Double-Rail Checker 403 überpürft werden,
dass stets nur jeweils genau eines der beiden ODER-Gatter auf logisch1
ist, d. h. dass kein Kurzscchluss oder Übersprechen zu einer Nachbarleitung
auftritt. In einer bevorzugten Ausführungsform wird zusätzlich noch
geprüft,
dass der Decoder die Signale richtig decodiert. Dazu wird an den
Ausgangsleitungen des Adressdecoders das Paritybit der Eingangsadresse
rekonstruiert. Dies erfolgt dadurch, dass alle Ausgangsleitungen,
die zu Eingangsadressen mit einem geraden Paritybit gehören, mit
einem ODER-Gatter 406 zu der Gruppe PG zusammengeführt werden
und alle Decoderausgangsleitungen, die zu Eingangsadressen mit einem
ungeraden Paritybit gehören,
mit einem ODER-Gatter 407 zu der Gruppe PU zusammengefasst
werden. Das so generierte Paritybit wird schließlich mit dem ursprünglichen
Paritybit der Adresse AP mittels Double-Rail Checker 402 verglichen.
Dabei kann der gestrichelt eingezeichnete Block 406b dem
ODER-Gatter 406 zugeschlagen sein oder separat ausgeführt sein.
Daneben werden die beiden Pade (???), also die Gruppen PG und PU
im Double-Rail Checker 403 gegeneinander auf Konsistenz
verglichen.
-
Mit
der vorgeschlagenen Methode können nun
folgende Fehler erkannt werden:
Unter der Annahme von Einzelfehlern
können
sich Fehler an der Adresse nur durch eine Einzelbitverfälschung
auswirken. Folglich können
die selben durch einen Double-Rail Vergleich des Ausgangssignals des
ODER-Gatters 407 der Gruppe PU mit dem Paritybit der Eingangsadresse
vollständig
erkannt werden.
-
Ist
infolge eines Fehlers am Decoderausgang keine Leitung aktiv, so
wird dies jedenfalls durch den Vergleich der Ausgänge der
beiden ODER-Gatter 404 und 405 oder auch 406 und 407 erkannt,
da die entsprechenden beiden ODER-Gatter dann jeweils 0 liefern.
-
Gleichzeitige
Aktivierung von zwei Ausgangsleitungen kann durch jeden der beiden
Double-Rail Checker 402 und 403 erkannt werden,
sofern die betroffenen Leitungen nicht am gleichen ODER-Gatter angeschlossen
sind. Um den im Rahmen des Standes der Technik beschriebenen potentiellen
Treiberkonflikt zu erkennen, kann außerdem ein Vergleich des Paritybit
mit dem invertierten Paritybit erfolgen. Ein Stuck-At-1-Fehler am
Ausgang wird daher erst erkannt, wenn eine Leitung adressiert wird,
die nicht der Parity-Gruppe
der defekten Leitung zugeordnet ist.
-
Mit
dieser Schaltungsanordnung können
alle permanenten Fehler, zumindest nach einer bestimmten Zeit, erkannt
werden, wobei allerdings deutlich weniger Chipfläche erforderlich ist. Der maximale Aufwand
liegt bei 4 ODER-Gattern und zwei Double-Rail Checkern, wobei der
Double-Rail Checker 402 nur die Breite von 1 Bit besitzen
muss und der andere Double-Rail Checker 403 2 Bit Breite
besitzen muss unabhängig
von der Anzahl der Steuerleitungen des Decoders. Der weitere Vorteil
liegt in einem frei wählbaren
Adressdecoderdesign bei lediglich leicht erhöhtem ODER-Gatter-Aufwand.
-
Ist
das Decoder-Layout frei wählbar,
so kann der Flächenbedarf
noch weiter verringert werden, wie dies in 5 näher beschrieben
ist. Der Flächenbedarf
kann dadurch weiter verringert werden, indem die Ausgänge des
Adressdecoders 500, wie in 5 dargestellt,
D0 bis D7 angeordnet werden, d. h. so dass benachbarte Leitungen
stets Adressen mit ungleichem Paritybit zugeordnet sind. Damit entsprechen
die Gruppen AG = PG bzw. AU = PU, und der Aufwand für die Bildung
bzw. den Vergleich der Paritybits reduziert sich entsprechend. Somit
sind in 5 nur noch die beiden Gatter 504 und 505 durch entsprechende
Decoderausgangsleitungsanordnung respektive Wahl des Decoder-Layouts
erforderlich. Durch dieses Layout wird erreicht, dass sich Fehler im
Dedocer in einer Ansteuerung einer Ausgangsleitung einer anderen
Gruppe auswirken. Zusätzlich werden
hier Fehler in der Adresse durch einen Vergleich mit dem zurückdecodierten
Paritybit erkannt. Damit ergibt sich mit den hierbei verwendeten
Double-Rail Checkern 502 und 503 eine ebenso gute
Fehlerabdeckung wie in der 4 beschriebenen
Anordnung. Es kann jedoch auf zwei ODER-Verknüpfungen über die Ausgangsleitungen verzichtet
werden.
-
In
zukünftigen
Systemen ist aufgrund der steigenden Logikdichte bei gleichzeitig
sinkender Versorgungsspannung mit einer höheren Fehlerrate zu rechnen.
Für die
derzeit übliche Überwachung
des Adressdecoders mittels Selbsttest bedeutet dies, dass Tests
dann zusätzlich
auch während
des Betriebes durchgeführt
werden müssten.
Da derartige Onlinetests jedoch sehr schwierig zu implementieren sind,
wird entsprechend das erfindungsgemäße Verfahren und die erfindungsgemäße Schaltungsanordnung
vorgeschlagen. Bei einer solchen Hardwareüberwachung entsprechend des
Concurrent Checking des Adressdecoders ist die benötigte Chipfläche zwar
etwas größer als
bei Softwaretests, dafür
wird jedoch keine Rechenleistung des Systems benötigt. Ein wesentlicher Vorteil
des Concurrent Checking liegt darin, dass es permanent den Adressdecoder auf
Fehler überwacht
und daher auch transiente Fehler erkennbar sind. Erfindungsgemäß wird nun
eine Variante des Concurrent Checking vorgeschlagen, die sich durch
ein gegenüber
dem Stand der Technik deutlich verbessertes Kosten-Nutzen-Verhältnis auszeichnet.
Dabei können
alle relevanten Fehlermodi abgedeckt werden.