-
Querverweis auf verwandte Anmeldungen
-
Diese Anmeldung beansprucht den Vorteil der vorläufigen US-Patentanmeldung Nr. 61/860,032 mit Einreichungsdatum 30. Juli 2013, deren Offenbarung hierdurch vollumfänglich in Bezug genommen wird.
-
Hintergrund der Erfindung
-
Die vorliegende Erfindung bezieht sich allgemein auf Verfahren zur Analyse und Überwachung diskreter Stromversorgungsdiagnosezustände und insbesondere auf die Analyse elektrischer Spannungen von Computer-Mikroprozessorsystemen.
-
Speicherverknüpfte Hardware-Zufallsfehler können im planaren Speicher entlang der Kanten oder Gitter auftreten. In planaren Speicherstrukturen sind 1, 2, 4, 6, 8, 12 und 16 gemeinsame Gitter (Lattices) möglich. Beispielsweise treten 4 Gitter oder Kanten auf, wenn jeweils 2 Streifen von Planarspeicher in einer Back-to-Back-Anordnung mit 2 anderen parallelen Streifen von Planarspeicher aufgebaut werden. Die planaren Speicherstrukturgitter wurden typischerweise von Rechengeräten mit komplexen Befehlssätzen (Complex Instruction Set Controllers – CISC) verwendet.
-
Speicherverknüpfte Hardware-Zufallsfehler können auftreten, wenn in einem verteilten physikalischen Speicher ein Spaltenmultiplexing mit einem oder mehreren Bits angewendet wird. In bestehenden verteilten Speicherstrukturen ist ein Spaltenmultiplexing mit 1, 2 und 4 Bits möglich. Beim Einsatz vom Ein-Bit-Spaltenmultiplexing für "n" Adressen besteht ein Potential von 1- und 2-bitverknüpften Fehlern bei physikalischen verteilten Speichern. Ähnliche verknüpfte Fehler verteilter physikalischer Speicher sind für das 2-Bit- und 4-Bit-Spaltenmultiplexen denkbar. In verteilten physikalischen Speichern können außerdem 6-, 8-, 12- oder 16-fach verknüpfte Speicherfehler auftreten.
-
Kurzfassung der Erfindung
-
Der in dieser Erfindung verwendete Verfahrensansatz zur Überwachung von diskreten Stromversorgungsdiagnosezuständen ist unabhängig von der zugrunde liegenden Speicherstruktur. Mit den beschriebenen Verfahrensansätzen werden die Werte so ausgewählt, dass sichergestellt ist, dass verknüpfte Hardware-Zufallsfehler erkannt werden. Dies gilt für planare Speicherstrukturen mit 1, 2, 4, 6, 8, 12 und 16 gemeinsamen Gittern oder für physikalische Speicherstrukturen mit einzelbitverteilten Speichern mit 1, 2, 4, 6, 8, 12 und 16 aufeinanderfolgenden Bit-Splices.
-
Gemäß einem Aspekt der Erfindung wird ein Verfahren zur Diagnose des Zustands einer Betriebsspannung bereitgestellt, das folgende Schritte umfasst: (a) Verwenden eines Prozessors zum Lesen einer Betriebsspannung und zum Bestimmen eines der folgenden Zustände: (1) "nein" Überspannung (OV), "nein" Unterspannung (UV); (2) "nein" OV, "ja" UV; (3) "ja" OV, "nein" UV oder (4) "ja" OV, "ja" UV; (b) Zuweisen eines distinkten Byte-Wertes für jeden der in Schritt (a) identifizierten Zustände, wobei die distinkten Werte so gewählt werden, dass sie eine Hamming-Distanz von wenigstens 4 zwischen funktionalen und Failure-Mode-Werten aufweisen; und (c) Speichern eines Betriebszustandswertes, der dem bestimmten Betriebszustand in einem bezeichneten Speicherort des Prozessors entspricht. Jeder distinkte Byte-Wert von Schritt (b) kann ein hochwertiges Halbbyte bzw. Nibble (USNb) und ein niederwertiges Halbbyte bzw. Nibble (LSNb) umfassen, wobei alle USNBs distinkt sind und mit einer Hamming-Distanz von wenigstens 2 ausgewählt werden und alle LSNbs distinkt sind und mit einer Hamming-Distanz von wenigstens 2 ausgewählt werden. Vorzugsweise werden die USNbs und LSNbs jeweils aus einem unsymmetrischen Satz von Nibble-Werten gewählt und in Bezug auf den jeweiligen distinkten Wert so gewählt, dass sie nicht komplementär zueinander sind. Vor Schritt (c) kann der distinkte Byte-Wert auf Übereinstimmung mit einem Wert aus einer Gruppe von definierten Werten geprüft werden, und wenn eine Übereinstimmung vorliegt, wird der distinkte Byte-Wert als Betriebszustandswert gespeichert, und wenn keine Übereinstimmung vorliegt, wird ein separater "No-Match"-Wert gespeichert.
-
Ebenso bevorzugt ist der distinkte Byte-Wert von Schritt (b) ein unteres Byte eines Wortes und umfasst ferner den Schritt: Zuweisen eines oberen Byte-Wertes zum Wort, wobei der Wert des oberen Bytes ein USNb und ein LSNb umfasst, wobei vom USNb und LSNb eines ein Identifikator einer überwachten Spannung und das andere ein Identifikator eines Steuer-/Diagnosepfades ist. Für das obere Byte werden die USNbs und LSNBs jeweils aus einem symmetrischen Satz von Nibble-Werten gewählt. Die Verwendung des oberen Bytes stellt sicher, dass jede überwachte Spannungstabelle selbst bei aktivierter Compiler-Optimierung distinkt, d. h. trennscharf bleibt.
-
Gemäß einem anderen Aspekt der Erfindung wird ein Verfahren zur Diagnose des Zustands einer Betriebsspannung bereitgestellt, umfassend:
- (a) Verwenden eines Prozessors zum Lesen einer Betriebsspannung und zum Bestimmen eines der folgenden Steuerzustände: (1) "nein" OV, "nein" UV; (2) "nein" OV, "ja" UV; (3) "ja" OV, "nein" UV oder (4) "ja" OV, "ja" UV;
- (b) Zuweisen eines distinkten Steuerbyte-Wertes für jeden der in Schritt (a) identifizierten Steuerzustände;
- (c) Speichern eines Betriebssteuerzustandswertes, der dem bestimmten Betriebszustand in einem bezeichneten Steuerspeicherort des Prozessors entspricht.
- (d) Verwenden des Prozessors von Schritt (a) zum Lesen der Betriebsspannung und zum Bestimmen eines der folgenden Diagnosezustände: (1) "nein" OV, "nein" UV; (2) "nein" OV, "ja" UV; (3) "ja" OV, "nein" UV oder (4) "ja" OV, "ja" UV;
- (e) Zuweisen eines distinkten Diagnosebyte-Wertes für jeden der in Schritt (d) identifizierten Zustände;
- (f) Speichern eines Betriebsdiagnosezustandswertes, der dem bestimmten Betriebszustand in einem bezeichneten Diagnosespeicherort des Prozessors entspricht; und
- (g) Vergleichen des Betriebssteuerzustandswertes mit dem Betriebsdiagnosezustandswert, um zu bestimmen, ob der in Schritt (a) gelesene Steuerspannungszustand mit dem in Schritt (d) gelesenen Diagnosespannungszustand übereinstimmt.
-
In diesem Verfahren werden ein unterschiedlicher Steuerbyte und Diagnosebyte ausgehend von komplementär "gespiegelten" Nibble-Werten bereitgestellt. Jeder distinkte Steuerbyte-Wert von Schritt (b) umfasst ein USNb und ein LSNb, und alle USNbs und LSNbs sind distinkt. Gleichweise umfasst jeder distinkte Diagnosebyte-Wert von Schritt (f) ein USNb und ein LSNb, und alle USNbs und LSNbs sind auch distinkt. Vorzugsweise werden das USNb und das LSNb des Diagnosebyte-Wertes in Bezug auf das USNb und LSNb des entsprechenden Steuerbyte-Wertes gespiegelt. In einer Version werden sowohl das USNb als auch das LSNb des Diagnosebyte-Wertes mit dem jeweils gespiegelten USNb und LSNb des entsprechenden Steuerbyte-Wertes verglichen. In einer anderen Version, zum Beispiel bei einem Prozessor mit Einbitfehlerkorrektur und Doppelbitfehlererfassung (SECDED, Single-bit Error Detection & Double-bit Error Detection), wird entweder das USNb oder das LSNb des Diagnosebyte-Wertes mit nur einem der gespiegelten USNb und LSNb des entsprechenden Steuerbyte-Wertes verglichen.
-
Vor Schritt (c) wird vorzugsweise der distinkte Steuerbyte-Wert auf Übereinstimmung mit einem Wert aus einer Gruppe von definierten Steuerwerten geprüft, und wenn eine Übereinstimmung vorliegt, wird der distinkte Steuerbyte-Wert als Betriebssteuerzustandswert gespeichert, und wenn keine Übereinstimmung vorliegt, wird ein separater "No-Match"-Steuerwert gespeichert. Gleichermaßen wird vor Schritt (f) der distinkte Diagnosebyte-Wert auf Übereinstimmung mit einem Wert aus einer Gruppe von definierten Diagnosewerten geprüft, und wenn eine Übereinstimmung vorliegt, wird der distinkte Diagnosebyte-Wert als Betriebsdiagnosezustandswert gespeichert, und wenn keine Übereinstimmung vorliegt, wird ein separater "No-Match"-Diagnosewert gespeichert.
-
Gemäß einem weiteren Aspekt der Erfindung wird ein Verfahren zum Analysieren eines Stromversorgungssystems bereitgestellt, bei dem eine Quelleneingangsspannung an einen ersten Prozessor geliefert wird und vom ersten Prozessor eine Ausgangsspannung erzeugt wird, umfassend die folgenden Schritte: (a) Verwenden des ersten Prozessors zum Bestimmen des Quellenbetriebszustands der Quelleneingangsspannung; (b) Verwenden eines zweiten Prozessors zum Bestimmen eines Ausgangsbetriebszustands der Ausgangsspannung aus dem ersten Prozessor; (c) Senden des Quellenbetriebszustands an den zweiten Prozessor; und (d) Verwenden des Prozessors zum Analysieren des Quellen- und Ausgangszustands zur Bestimmung einer Systemdiagnose in Abhängigkeit sowohl vom Quellenzustand als auch vom Ausgangszustand. Vorzugsweise wird der Quellenbetriebszustand ohne Prüfsumme oder zyklische Redundanzprüfung (CRC) an den zweiten Prozessor gesendet.
-
Aus der nachfolgenden detaillierten Beschreibung der bevorzugten Ausführungsform, wenn im Zusammenhang mit den Begleichzeichnungen gelesen, werden dem Fachmann verschiedene Aspekte der vorliegenden Erfindung deutlich.
-
Kurzbeschreibung der Zeichnungen
-
1 ist ein Blockschaltbild und zeigt ein Beispiel einer Betriebsumgebung für eine Stromversorgungsarchitektur, welche die Grundsätze der Erfindung verkörpert, wobei die Erfindung als Stromversorgung bei einem Mehrfahrzeugsteuersystem genutzt wird;
-
2 ist ein Blockschaltbild eines Teilbereichs des Stromversorgungsüberwachungssystems von 1;
-
3 ist eine repräsentative Tabelle zur Darstellung eines Verfahrens zum Aufgliedern einer Gruppe von binären Nibble-Werten in einen symmetrischen Satz (Set 1) und einen unsymmetrischen Satz (Set 2) von Werten zur Verwendung bei der Bildung eines unteren Bytes;
-
4 ist eine Tabelle zur Darstellung der verschiedenen Nibble-Werte, die zur Ausbildung entweder des Steuerwortes oder des Diagnosewortes zur Verfügung stehen;
-
5 ist eine Tabelle zur Darstellung verschiedener Ausführungsformen der Wortwerte des unteren Bytes, die ausgewählt werden können, um die vier überwachten Spannungszustände zu identifizieren;
-
6 ist eine Ausführungsform eines Verfahrens ähnlich 5, das Spalten umfasst, welche die Auswahl des hochwertigen Nibbles und niederwertigen Nibbles zur Bildung der unteren Byte-Werte zeigen;
-
7 ist eine weitere Ausführungsform eines Verfahrens ähnlich 6, das Spalten umfasst, welche die Speicherung eines gespeicherten Steuerwertes zeigen, wobei das Verfahren eine Auswahlentscheidung umfasst, die abhängig davon ist, ob der Steuerzustandswert mit einem definierten Wert übereinstimmt oder nicht übereinstimmt;
-
8 ist eine Ausführungsform eines Verfahrens ähnlich 7 unter weiterer Hinzufügung einer Diagnosepfad-Tabelle;
-
9 ist eine Ausführungsform eines Verfahrens ähnlich 7, wobei der Tabelle der ersten überwachten Spannung (Va) von 7 eine Tabelle einer zweiten überwachten Spannung (Vb) hinzugefügt wird;
-
10a und 10b veranschaulichen eine Kombination der Steuer- und Diagnosetabellen für die beiden überwachten Spannungen Va und Vb;
-
11 ist ein Flussdiagramm eines Algorithmus eines Verfahrens, das auf die Verhinderung von Systemfehlern beim Speichern von Stromversorgungszuständen im Speicherort ausgelegt ist;
-
12 ist ein Flussdiagramm einer Ausführungsform eines Verfahrens mit einem Diagnoseansatz zur Bestimmung, wo eine Stromversorgungsfehler eintritt und ob es sich bei diesem um einen Systemfehler handelt oder nicht;
-
13a und 13b veranschaulichen eine Kombination der Steuer- und Diagnosetabellen ähnlich 10a und 10b und zeigen die gespeicherten Steuer- und Diagnosewerte, die verwendet werden, wenn der zugeordnete Mikroprozessor eine Einbitfehlerkorrektur und Doppelbitfehlererfassung (SECDED) umfasst.
-
Detaillierte Beschreibung der bevorzugten Ausführungsform
-
Die vorliegende Erfindung betrifft verschiedene Ausführungsformen, die sich auf die effektive Verteilung und fehlersichere Überwachung des elektrischen Stroms in einem Microcontrollersystem bezieht. Während die verschiedenen Ausführungsformen besonders tauglich für den Einsatz in Fahrzeuganwendungen (einschließlich Automobil und Lastkraftwagen) sind, ist leicht ersichtlich, dass die Erfindung und ihre verschiedenen Ausführungsformen einzeln oder zusammen in anderen Steuerungsanwendungen mit ähnlichen Betriebsanforderungen verwendet werden können. In einer Anwendung werden die Erfindungen in einer Multiple-ASIL-optimierten Stromversorgungsarchitektur für ein elektronisches Steuermodul eingesetzt, das für eine überwachende Eingabeverarbeitung (Radar, Kamera usw.) und für Ausgangsbefehle (Motordrehmoment, Getriebedrehmoment, Lenkwinkel oder Lenkmoment, Bremsbefehle oder Bremsmoment, Radaufhängungsbefehle usw.) für Fahrerassistenzsysteme verwendet wird. Die verschiedenen Erfindungen stellen ein integriertes Verfahren oder eine integrierte Vorrichtung für eine elektronische Modulsicherheitsarchitektur mit Diversitäts-, Zeit- und Raumunabhängigkeit für Stromversorgungen für die verschiedenen ASIL-Mikroprozessoren und Fahrzeugkommunikationsbusse bereit.
-
Nunmehr wird auf die Zeichnungen verwiesen, wo in 1 ein Blockschaltbild zu sehen ist, das ein Beispiel einer Betriebsumgebung für eine Stromversorgungsarchitektur zeigt, die die Grundsätze der Erfindung verkörpert, wobei die Erfindung als Stromversorgung in einem Fahrzeugsteuersystem genutzt wird. Gemäß 1 lassen sich die funktionalen Aspekte der Multiple-ASIL-optimierten Stromversorgungsarchitektur des elektronischen Moduls wie folgt kennzeichnen:
- a. umfasst zwei ASIL-D-kompatible Mikroprozessoren mit hohem Integritätslevel (1A und 1B) für überwachende Eingabeverarbeitung und Ausgabebefehle für Fahrerassistenzsysteme.
- b. empfängt die Eingabeverarbeitungs- und Ausgangsbefehlsinformationen aus zwei oder mehr Paaren von Automobil-Kommunikationsbussen (CAN, Flexray usw.). Diese Kommunikationsbusse übertragen High-Integrity-Informationen. Jeder externe Bustyp besitzt eine Komplementärfunktion für den Fall, dass einer von ihnen abgetrennt wird. Wie dies in den 1 und 2 zu sehen ist, wird jeder Kommunikationsbus von einer separaten, unabhängigen Stromversorgung versorgt.
- c. umfasst einen anderen Mikroprozessor (Mikroprozessor 2A) mit hohem Verarbeitungsdurchsatz mit externem Speicher. Der Mikroprozessor 2A kann eine Qualitätsmanagement-Hardware-Anforderung (kein ASIL) aufweisen. Alternativ kann der Mikroprozessor 2A für einen höheren Level wie ASIL B ausgelegt sein.
- d. die Mikroprozessoren 1A und 2A können vorwiegend für die Steuerung verwendet werden und Mikroprozessor 1B kann vorwiegend für die Prüfung von Mikroprozessor 1A und 2A verwendet werden.
- e. in einer Alternative wird ein mit einem Minimalsatz von Funktionen versehener Mikroprozessor 1B für die Steuerung verwendet, und für diese Funktionen wird Mikroprozessor 1A für die Prüfung verwendet.
- f. Schaffen einer Unabhängigkeit zwischen den 2 High-Integrity-ASIL-D-Mikroprozessoren (1A und 1B) und dem Hochverarbeitungsdurchsatz-Qualitätsmanagement-Mikroprozessor (Mikroprozessor (2A)) mit ASIL-B-Überwachung auf externe Mikroprozessor-Hardware.
-
2 zeigt ein beispielhaftes Stromversorgungsüberwachungssystem, das einen Teilbereich der Stromversorgungsarchitektur von 1 entsprechend einem oder mehreren der Grundsätze der vorliegend offenbarten Erfindung darstellt. 2 ist eine schematische Darstellung, die mehrere spannungserzeugende Quellen und zwei spannungsüberwachende Mikroprozessoren, die durch Mikroprozessor "A" und Mikroprozessor "B" dargestellt sind, umfasst. Eine Batterie und ein Schaltregler stellen eine Erstspannungsquelle für das System bereit. Diese Quelle wird von einer externen Schaltung überwacht, die diskrete Überspannungs-/Unterspannungsausgänge abhängig vom Zustand der überwachten Spannung herstellt. Die Ausgänge dieser Überwachungsschaltung (Monitor) werden von Mikroprozessor A gelesen. Eine vom Schaltregler gespeiste Power-Management integrierte Schaltung (PMIC) generiert unabhängige Spannungsquellen, die jeweils von Überspannungs-/Unterspannungsmonitoren (OV/UV-Monitoren) überwacht werden und von Mikroprozessor A gelesen werden. Mikroprozessor A verfügt über die Möglichkeit zur Erzeugung zusätzlicher unabhängiger Spannungsquellen mit Hilfe des vom Schaltregler und von der PMIC bereitgestellten Stroms. Vom Mikroprozessor A generierte Spannungen werden von Mikroprozessor B über OV/UV-Überwachungsschaltungen gelesen. Für den Fall, dass die PMIC ausfällt und keinen Strom an Mikroprozessor A liefert, fallen auch eine oder mehrere vom Mikroprozessor A generierte Spannungen aus. Für den Fall, dass der Schaltregler ausfällt und keinen Strom an die PMIC und die Mikroprozessoren liefert, fallen somit alle von der PMIC und den Mikroprozessoren generierten Spannungen aus.
-
Die Ausdrücke "Bit", "Byte", "Halbbyte" ("Nibble") und "Wort" werden im vorliegenden Sprachgebrauch im Kontext von Programmier- und Betriebssystemen von Computern so angewendet, wie sie in der Computertechnik üblicherweise verstanden werden. In 3 ist eine repräsentative Tabelle dargestellt, die veranschaulicht, wie eine komplette Gruppe von binären Nibble-Werten (16 insgesamt) ausgewählt und anschließend in Set 1 und Set 2 aufgegliedert werden. Set 1 wird zum Bilden eines oberen Bytes eines Wortes verwendet, und Set 2 wird zum Bilden eines unteren Bytes des Wortes verwendet, wie dies nachfolgend beschrieben ist. Insbesondere gilt: Set 1 ist ein symmetrischer (balanced) Satz, was heißt, dass jedes Nibble eine gerade Anzahl von 1en und/oder 0en aufweist. Set 2 ist ein unsymmetrischer (unbalanced) Satz, was heißt, dass jedes Nibble eine ungerade Anzahl von 1en und/oder 0en umfasst. Die Werte in jedem Satz sind so gewählt, dass sie eine Hamming-Distanz von wenigstens 2 aufweisen, was bedeutet, dass wenigstens 2 Bits den Wert ändern müssen, wenn innerhalb des Satzes von einem Wert zu einem anderen Wert gewechselt wird. In 3 ist außerdem der entsprechende Dezimalwert und Hexadezimalwert für jedes Nibble dargestellt.
-
4 zeigt in tabellarischer Form, wie das obere Byte, das aus Werten von Set 1 gewählt ist, und das untere Byte, das aus Werten von Set 2 gewählt ist, zur Ausbildung eines Steuerwortes oder eines Diagnosewortes kombiniert werden. Insbesondere wird das hochwertige Nibble des oberen Bytes verwendet, um die überwachte spezielle Spannung zu identifizieren. Das niederwertige Nibble des oberen Bytes wird verwendet, um zu identifizieren, ob das spezielle Wort ein "Steuer"-Wort oder ein "Diagnose"-Wort ist, wie dies in der Folge noch erörtert ist. Das untere Byte wird verwendet, um den Zustand der überwachten speziellen Spannung zu identifizieren, wie in der Folge noch erörtert.
-
5 zeigt eine vereinfachte Tabelle mit Beispielen von Werten des unteren Bytes aus 4, die ausgewählt werden, um vier überwachte Spannungszustände zu identifizieren: (1) "nein" Überspannung, "nein" Unterspannung; (2) "nein" Überspannung, "ja" Unterspannung; (3) "ja" Überspannung, "nein" Unterspannung; und (4) "ja" Überspannung, "ja" Unterspannung. Dem unteren Byte, das den Steuerzustandswert darstellt, wird ein distinkter Hexadezimalwert, wie 74, B2, D1 und E8, entsprechend den jeweiligen Zuständen (1) bis (4) zugewiesen.
-
6 ist ähnlich wie 5, hat aber zusätzliche Spalten, die zeigen, wie das hochwertige Nibble und das niederwertige Nibble zur Bildung der unteren Byte-Werte ausgewählt werden. Insbesondere werden sowohl das hochwertige Nibble als auch das niederwertige Nibble des unteren Bytes aus dem unsymmetrischen Set 2 von 3 ausgewählt. Das hochwertige Nibble des unteren Bytes umfasst z. B. die Werte 7, B, D und E, die sämtlich eine Hamming-Distanz von 2 aufweisen. Das niederwertige Nibble des unteren Bytes umfasst z. B. die Werte 4, 2, 1 und 8, die auch sämtlich eine Hamming-Distanz von 2 aufweisen. Bei Kombination zur Ausbildung des unteren Bytes weisen die vier distinkten unteren Bytes, wie ersichtlich ist, eine Hamming-Distanz von 4 auf. Es versteht sich auch, dass das untere Byte vorzugsweise einen hochwertigen Nibble und einen niederwertigen Nibble umfasst, die zueinander nicht komplementär sind.
-
7 ist ähnlich wie 6, hat aber zusätzliche Spalten, die zeigen, wie der Steuerwert abhängig davon gespeichert wird, ob der Steuerzustandswert mit einem definierten Wert übereinstimmt oder nicht übereinstimmt. Nach dem Lesen der Spannung Va prüft der Algorithmus, ob der überwachte Wert innerhalb der Gruppe der festgelegten Werte liegt, in 7 sind das 74, B2, D1 und E8. Wenn ja, wird der Wert gespeichert, der dem gemessenen Spannungszustand entspricht. Anderenfalls speichert der Algorithmus einen anderen ausgewählten Wert, wie z. B. F0, was anzeigt, dass der Steuerzustand nicht in der Gruppe der vier erwarteten Werte liegt.
-
8 ist ähnlich wie 7, weist aber zusätzlich zur Steuerpfadtabelle von 7 eine Diagnosepfadtabelle auf. In 8 werden dem Steuerpfad weitere Spalten hinzugefügt, die das obere Byte des Steuerpfadwortes zeigen. Außerdem wird eine andere Tabelle hinzugefügt, die einen Diagnosepfad darstellt. Das USNb des oberen Byte-Wertes (z. B. 3) entspricht im Steuerpfad der überwachten speziellen Spannung Va. Andere überwachte Spannungen würden durch einen abweichenden Wert, zum Beispiel durch einen anderen der in 4 aufgelisteten USNb-Werte des oberen Bytes, identifiziert. Das LSNb für den oberen Steuerbyte-Wert ist als F dargestellt – damit wird das Wort als steuerpfadbezogen ausgewiesen.
-
In 8 folgt die Diagnosepfadtabelle dem Format der Steuerpfadtabelle, aber es bestehen einige wesentliche Unterschiede. Von besonderer Bedeutung ist das untere Byte, das einen Wert "spiegelbildlich" zum Steuerbyte für den gleichen entsprechenden Spannungszustand aufweist. So ist zum Beispiel beim Zustand Überspannung "nein", Unterspannung "nein" ("no" OV, "no" UV) der Steuerzustandswert 74, während der Diagnosezustandswert 47 beträgt. Der Diagnose-Nichtübereinstimmungswert ("No match") ist auf 0F gesetzt und damit ebenfalls spiegelbildlich zum Steuer-Nichtübereinstimmungswert F0. Das USNb ist zudem (aus der Tabelle von 4) so ausgewählt, dass es vom USNb des oberen Steuerbytes abweicht (z. B. A). Und das LSNb des oberen Diagnosebytes ist auf 0 gesetzt, was der andere verfügbare Wert aus der entsprechenden Spalte in 4 ist.
-
9 ist ähnlich wie 7, fügt jedoch der Tabelle der ersten überwachten Spannung (Va) von 7 eine Tabelle mir einer zweiten überwachten Spannung (Vb) hinzu. Es wird ersichtlich, das der einzige Unterschied zwischen der Va-Tabelle und der Vb-Tabelle beim USNb des oberen Bytes liegt. Für die Spannungstabelle Va weist das USNb einen Wert von 3 und für die Spannungstabelle Vb einen Wert von A auf. Beide Werte wurden aus 4 gewählt. Wie dies deutlich zu sehen ist, sind das obere Steuerbyte und das obere Diagnosebyte für jede zu überwachende Versorgungsspannung eindeutig. Das hindert einen modernen Compiler an der Optimierung des Algorithmus und an der Kombinierung identischer Tabellen, was die Auswirkung konstruktionsbedingter Systemfehler erhöhen kann.
-
Die 10a und 10b sind im Wesentlichen eine Kombination der 8 und 9. Daher sind die Steuer- und Diagnosetabellen für die beiden überwachten Spannungen Va und Vb mit ähnlichen Werten wie in den 8 und 9 dargestellt.
-
11 beschreibt den Prozess, für den ein Überwachungseingang analysiert und gespeichert wird. Unabhängige Steuer- und Diagnosepfade lesen und speichern die Überwachungseingänge jeweils einzeln mit den in 8 beschriebenen Tabellen. Die gespeicherten Ergebnisse dieser Pfade werden abschließend verglichen, um einen wahren Hardware-Fehler von einem Systemfehler zu unterscheiden. Zu Beginn wird in Schritt 100 der Überwachungseingang vom Steuerpfad gelesen. Diesem Eingang wird in Schritt 110 auf Grundlage von 8 ein Wort-Wert zugewiesen. In Schritt 120 bestätigt der Algorithmus, dass das Wort mit einem Satz definierter Werte übereinstimmt. Falls keine Übereinstimmung vorliegt, wird in Schritt 122 ein "No-Match"-Wert für das untere Steuerbyte gespeichert. Für den gegenteiligen Fall wird das obere Byte des Wortes in Schritt 124 maskiert und das untere Byte gegen einen Satz von definierten unteren Byte-Werten in Schritt 126 geprüft. Falls es nicht mit definierten Byte-Werten übereinstimmt, wird wieder in Schritt 122 ein "No-Match"-Wert für das untere Steuerbyte gespeichert. Für den gegenteiligen Fall wird für das untere Steuerbyte der übereinstimmende Byte-Wert gespeichert, Schritt 128.
-
Der Diagnosepfad führt eine Operation ähnlich dem Steuerpfad aus, wie dies von den Schritten 200–288 dargestellt ist. In Schritt 200 wird der Überwachungseingang vom Steuerpfad gelesen, und in Schritt 210 wird ihm auf der Grundlage von 8 ein Wort zugewiesen. Das obere Byte des Diagnose-Wortes unterscheidet sich eindeutig vom oberen Steuerbyte, mit einer Hamming-Distanz von 6. Das untere Diagnosebyte ist der komplementäre Nibble-"Spiegelwert" des unteren Steuerbytes mit einer Hamming-Distanz von 4. In Schritt 220 wird überprüft, ob das Diagnose-Wort mit einem definierten Satz von gültigen Diagnose-Worten überstimmt. Falls keine Übereinstimmung vorliegt, wird ein "No-Match"-Wert für das untere Diagnosebyte gespeichert, Schritt 222. Im Ergebnis wird in Schritt 250 ein "No-Match"-Wert auch für das untere Steuerbyte gespeichert. Dieser zusätzliche Schritt ermöglicht es, dass der Diagnose-Pfad funktional vom Steuerpfad abweicht, und vermindert dadurch das Risiko eines Systemfehlers, indem es einen modernen Compiler daran hindert, die Pfade zur Optimierung zu kombinieren. Wenn das Diagnose-Wort mit einem definierten Wert übereinstimmt, wird sein oberes Byte maskiert (Schritt 224), und das untere Byte wird mit den definierten Werten verglichen (Schritt 226). Ein unteres Byte, das keinem definierten Wert entspricht, wird als "No-Match"-Wert für das untere untere Diagnosebyte und Steuerbyte abgespeichert. Für den gegenteiligen Fall wird der übereinstimmende Byte-Wert für das untere Diagnosebyte gespeichert (Schritt 228).
-
Falls der Steuerpfad und der Diagnosepfad definierte Werte für das untere Byte speichern, wird erwartet, dass diese Bytes komplementär spiegelbildliche Nibbles sind, wie dies in 8 eingeführt ist. Falls in Schritt 300 eine "spiegelbildliche " Übereinstimmung festgestellt wird, wird das untere Steuerbyte als gültiger Spannungszustand gespeichert (Schritt 310). Fass die Nibbles keine "spiegelbildliche" Übereinstimmung aufweisen, liegt im Algorithmus ein Software- oder Systemfehler vor, und es wird für das untere Steuerbyte ein "No-Match"-Wert gespeichert (Schritt 320).
-
12 beschreibt den Prozess, in dem ein Prozessor den in 10 dargestellten Algorithmus verwendet und Mehrfachspannungsmonitore über unabhängige Diagnosepfade vergleicht, um die Ursache und den Ort eines diagnostizierten Fehlers zu bestimmen. Das Flussdiagramm beschreibt einen besonderen Fall von Fehlerdiagnose in 1, wo eine Eingangsspannung zu Mikroprozessor A gemeinsam mit einer Ausgangsspannung aus Prozessor A analysiert wird.
-
In Schritt 400 werden Quellenspannungen für Mikroprozessor A vom Mikroprozessor A selbst gelesen. Zur gleichen Zeit liest Mikroprozessor B in Schritt 500 die generierten Spannungsausgänge von Prozessor A. In den Schritten 410 und 510 führen beide Mikroprozessoren den in 10 beschriebenen Steuer-/Diagnose-Algorithmus aus. In dieser Ausführungsform der Erfindung analysiert Mikroprozessor B Diagnosezustände an mehreren Spannungen. Deshalb werden Quellenspannungszustände, die in Mikroprozessor A gespeichert sind, in Schritt 420 an Mikroprozessor B gesendet. Bei dieser Übertragung erfolgt keine Prüfsumme oder zyklische Redundanzprüfung (CRC). Das liegt darin begründet, dass der Algorithmus in 10 gegen Daten/Speicherkorruption schützt, ohne dass eine Übertragung durch Prüfsumme oder CRC verlangsamt werden muss.
-
Durch Kenntnis darüber, welche Spannungen ausgefallen sind und wie sie ausgefallen sind, ist Mikroprozessor B in der Lage, eine gründliche Diagnose der Wurzelursache des Fehlers auszuführen. In Schritt 520 werden von Mikroprozessor B die Spannungszustandsbytes der beiden unabhängigen Pfade in der Schaltung analysiert. Wenn beide Zustände in Ordnung sind, wird kein Fehler diagnostiziert (Schritt 530). Falls die Ausgangsspannung von Mikroprozessor A nicht stimmt und die Quellenspannung von Mikroprozessor A stimmt, wird in der Diagnose ein Ausgangsspannungsfehler erkannt (Schritt 540). Falls die Quellenspannung nicht stimmt und infolgedessen die Ausgangsspannung versagt, wird in der Diagnose ein Quellenspannungsfehler erkannt (Schritt 550). Falls letztlich ein Fehler von Quellen- und Ausgangsalgorithmus vorliegt, erkennt die Diagnose einen Nicht-Hardware-Fehler (Schritt 560), der die Ursache für einen konstruktionsbedingten Systemfehler sein könnte.
-
Die 13a und 13b sind den 10a und 10b ähnlich, zeigen aber die Steuer- und Diagnosetabellen für Va und Vb für den Fall, dass der zugeordnete Mikroprozessor eine Einbitfehlerkorrektur und Doppelbitfehlererfassung (SECDED) aufweist. In diesem Fall muss das gesamte untere Byte verglichen werden. Die Steuer- und Diagnosepfade können entweder mit dem USNb oder LSNb des unteren Bytes verglichen werden. Um Systemfehler bei einem SECDED-Mikroprozessor abzuschwächen, wird es bevorzugt, den USNb im Hinblick auf die Spannungsversorgung des Prozessors und den LSNb im Hinblick auf die Spannungsversorgung des komplementären Prozessors zu vergleichen. Wie dies in den 13a und 13b dargestellt ist, ist der gespeicherte Va-Steuerwert (für einen Nein-Nein-Spannungszustand) das USNb für das untere Byte (z. B. 7), während der gespeicherte Vb-Steuerwert das LSNb für das untere Byte (z. B. 4) ist. Für den gespeicherten Va-Diagnosewert wird das LSNb des "spiegelbildlichen" unteren Bytes verwendet (z. B. 7). Für den gespeicherten Vb-Diagnosewert wird das USNb des "spiegelbildlichen" unteren Bytes verwendet (z. B. 4).
-
Der Grundsatz und die Verfahrensweise der vorliegenden Erfindung wurden in ihrer bevorzugten Ausführungsform beschrieben und veranschaulicht. Es versteht sich jedoch, dass die vorliegende Erfindung in der Praxis anders als speziell abgebildet und beschrieben ausgeführt werden kann, ohne vom Schutzbereich oder Wesen der Erfindung abzuweichen.
