DE3625271C2 - - Google Patents

Description

Die Erfindung betrifft eine Überwachungseinrichtung nach dem Oberbegriff des Patentanspruchs 1.

Digitalrechner arbeiten ein in ihrem Programmspeicher enthaltenes Programm schrittweise ab. Der Inhalt des Programmspeichers besteht vornehmlich aus Steuersi­ gnalen bzw. Befehlen und Sprungadressen, an denen bei einer Programmverzweigung in Abhängigkeit von einem Entscheidungskriterium das Programm fortgesetzt werden soll. Wenn in einem Programmablauf durch ein falsches Steuersignal ein Fehler auftritt, ist es wichtig, diesen unverzüglich zu erkennen.

Zu diesem Zweck sind "Watchdog-Schaltungen" bekannt, die die Steuersignale mit vorgegebenen Sollwerten vergleichen, welche in einem Sollwertspeicher gespeichert sind. Diese bekann­ ten Überwachungsschaltungen erfordern einen hohen Speicheraufwand zur Speicherung zahlreicher Sollwerte. Ferner ist es unerläßlich, daß der Sollwertspeicher ein externer Speicher ist, der an die mit dem Digital­ rechner gekoppelte Überwachungseinrichtung angeschlos­ sen oder Bestandteil des separaten Überwachungsmoduls ist. Ein weiterer Nachteil der bekannten Überwachungs­ schaltungen besteht darin, daß nicht nur Eingriffe in den Steuerbus erforderlich sind, sondern häufig auch der Datenbus des Rechners erweitert werden muß.

Eine bekannte Überwachungseinrichtung für einen Digital­ rechner, von der der Oberbegriff des Patentanspruchs 1 ausgeht (DE-OS 26 50 795), dient zur Überwachung des Speicherinhalts eines Rechners. Dabei wird der bei Assemblierung eines Quellenprogramms entstehende Befehlsablauf als serielle Datenfolge aufgefaßt und es werden die Steuerbefehle in Form von abgespeicherten Bitmustern überwacht. Diese Überwachung geschieht durch den Rechner, der als funktionsfähig vorausgesetzt wird. Die bekannte Überwachungseinrichtung setzt voraus, daß von Zeit zu Zeit eine Unterbrechung des normalen Rechnerbetriebs zum Zwecke der Speicherüberprüfung durchgeführt wird. Dies ist ein "off-line"-Test, bei dem vom Auftreten eines Fehlers bis zu dessen Erkennung eine größere Zeitspanne vergehen kann.

Eine weitere Veröffentlichung (Saluja, Kewal K. und Karpovsky, M., Testing computer hardware through data compression in space and time in: Proceedings of 1983 International Test Conference, October 1983, Seiten 83-88) befaßt sich mit der räumlichen Kompression von Daten unter Verwendung von fehlerkorrigierenden redun­ danten Codes. Die dort entwickelte Theorie wird für die Analyse und Konstruktion von Vorrichtungen für die räumliche Kompression benutzt. Durch die räumliche Kompression wird entweder die Anzahl der zu über­ wachenden Leitungen reduziert oder alternativ die Größe von Antwortvektoren, die in der Testvorrichtung ge­ speichert sind. Eine konkrete Überwachungseinrichtung für die on-line-Überwachung eines Digitalrechners ist in dieser Druckschrift nicht beschrieben.

US-PS 37 45 316 beschreibt eine Prüfvorrichtung, bei der der normale Rechnerbetrieb jeweils für den Prüf­ vorgang unterbrochen wird. Beim Prüfvorgang wird die korrekte Steuerbefehlsfolge, einschließlich der Daten für die Sprungadreßbildung usw., überprüft. Die Über­ wachungsschaltung wird durch vier Befehle aus dem über­ wachten Rechner gesteuert. Zusätzlich zu den Vergleichs­ operationen für die Checksumme sind Berichtigungs­ operationen zum Abstimmen der Checksumme bei Programm­ verzweigungen erforderlich. Dies führt zu einer auf­ wendigen Änderung bzw. Erweiterung der ursprünglichen Programme. Eine räumliche Datenkompression unter Ver­ wendung eines redundanten Codes findet nicht statt.

Schließlich ist aus DE-OS 31 25 048 ein Verfahren zur Erzeugung von Fehlerkorrekturprüfbits unter Benutzung von Paritätsbits zur Durchflußkontrolle bekannt. Dieses Verfahren dient zur Überwachung und Korrektur von Speicherinhalten. Hierzu wird eine Datenbus- und Speichererweiterung zur Abspeicherung zusätzlicher Prüf­ bits verwendet. Es erfolgt keine Datenreduktion, sondern eine Datenerweiterung. Dies ist die übliche Anwendung redundanter Codes zur Fehlererkennung.

Der Erfindung liegt die Aufgabe zugrunde, eine Über­ wachungsvorrichtung der im Oberbegriff des Patent­ anspruchs 1 angegebenen Art zu schaffen, die die Über­ wachung während des vom Rechner veranlaßten Daten­ flusses durchführt und somit den gesamten Rechner ein­ schließlich derjenigen Komponenten, die außer dem Arbeitsspeicher an der Datenverarbeitung beteiligt sind überwacht und die außerdem mit einem geringen Speicheraufwand auskommt, ohne daß die Fehlererkennungs­ sicherheit wesentlich herabgesetzt ist.

Die Lösung dieser Aufgabe erfolgt erfindungsgemäß mit den im kennzeichnenden Teil des Patentanspruchs 1 an­ gegebenen Merkmalen.

Bei der erfindungsgemäßen Überwachungseinrichtung wird nicht der Inhalt des Arbeitsspeichers überwacht, sondern der Steuersignalfluß aus dem Arbeitsspeicher während des normalen Rechnerbetriebs. Außer der zeit­ lichen Kompression erfolgt eine räumliche Kompression der Steuersignale unter Verwendung eines fehlerkorri­ gierenden redundanten Codes. Die Überwachung des vom Arbeitsspeicher erzeugten Signalflusses ist unabhängig davon durchführbar, ob die Steuersignale direkt oder codiert im Arbeitsspeicher vorliegen. Wenn die Steuer­ signale in codierter Form gespeichert sind, besteht der zusätzliche Vorteil, daß die Decodierungseinrichtung zur Decodierung der Steuersignale aus den gespeicherten Steuerbefehlen mitüberwacht wird. Durch die zunächst durchgeführte räumliche Kompression wird der Wort­ umfang, d. h. die Anzahl der Bits der Steuersignale, verringert. Diese Reduzierung der Wortlänge wird so ausgeführt, daß damit nur ein relativ geringer Informa­ tionsverlust verbunden ist. Die auf diese Weise räum­ lich komprimierten Steuersignale werden anschließend einer zeitlichen Kompression unterzogen, bei der zahl­ reiche räumliche komprimierte Steuersignale, deren An­ zahl variieren kann, durch logische Verknüpfung sequen­ tiell verarbeitet werden. Am Ende einer Kompressions­ phase entsteht ein räumlich und zeitlich komprimiertes Steuersignal, dessen Umfang demjenigen des Sollwertes entspricht und das mit dem Sollwert verglichen oder auf andere Weise verarbeitet wird, um bei fehlerlosem Betrieb ein definiertes Ausgangs­ signal zu erhalten. Da die Wortlänge der Steuersignale reduziert ist, haben auch die Sollwerte eine reduzierte Wortlänge, so daß der Speicheraufwand für die Sollwerte verringert ist. Dieser Speicheraufwand wird weiterhin durch die zeitliche Kompression reduziert, wobei für eine Ablauffolge von beispielsweise 1000 Steuersignalen nur einziger Sollwert erforderlich ist. Die Anzahl der Steuersignale, die in einer Kompressionsphase enthalten sind, variiert von Phase zu Phase. An den Verzweigungs­ stellen des Programms beginnt jeweils eine neue Kompres­ sionsphase, die in der Regel bis zur nächsten Verzwei­ gungsstelle reicht. Die Länge der Kompressionsphasen hängt daher von dem jeweiligen Programm ab. Die ein­ zelnen Programmabschnitte zwischen zwei Verzweigungs­ phasen werden einzeln überwacht.

Die erfindungsgemäße Überwachungseinrichtung führt nach­ einander eine räumliche Datenkompression und eine zeit­ liche Datenkompression durch, wobei die Längen der Kom­ pressionsphasen der zeitlichen Kompression entsprechend dem Programmablauf variieren. Es wird nicht nur die Zahl der zu speichernden Sollwerte erheblich verrin­ gert, sondern auch die Wortlänge dieser Sollwerte, ohne daß die Fehlererkennungsgenauigkeit wesentlich verrin­ gert würde.

Wegen des geringen Speicheraufwandes für die Sollwerte, bietet die Erfindung den Vorteil, daß die Sollwerte an unbenutzten Adressenstellen des Arbeitsspeichers des Digitalrechners gespeichert werden können, so daß eine bessere Ausnutzung des Arbeitsspeichers erfolgt und kein zusätzlicher Speicheraufwand erforderlich ist. Die erfindungsgemäße Überwachungseinrichtung bietet somit den Vorteil, daß keine Hardware-Erweiterungen des Rech­ ners (z. B. Busverbreiterung, Speichererweiterung, zusätzlicher Sollwertspeicher) erforderlich sind. Das System arbeitet on-line, ohne Geschwindigkeits- oder Verfügbarkeitseinbußen beim überwachten Rechner hervor­ zurufen. Außerdem ist das System extrem eigenfehler­ sicher.

Vorteilhafte Weiterbildungen und Ausgestaltungen der Erfindung sind in den Unteransprüchen angegeben.

Im folgenden werden unter Bezugnahme auf die Zeich­ nungen Ausführungsbeispiele der Erfindung näher er­ läutert. Es zeigt

Fig. 1 ein Blockdiagramm eines Rechners mit Über­ wachungsschaltung,

Fig. 2 eine schematische Darstellung des Arbeits­ speichers des Rechners und

Fig. 3 eine weitere Ausführungsform der Überwachungsschaltung.

Gemäß Fig. 1 werden die Steuersignale eines Digital­ rechners 10 über einen Datenbus 11 der ersten Kompres­ sionsschaltung 12 zugeführt. Die in dem Datenbus 11 enthaltene Zahl "20" entspricht der Anzahl der Buslei­ tungen bzw. der Wortbreite der parallel übertragenen Steuersignale.

Die Kompressionsschaltung 12 führt eine räumliche Kom­ pression der Steuersignale durch, deren Wortlänge von 20 auf 11 Bits verringert wird. Damit der mit der räum­ lichen Kompression verbundene Informationsverlust so gering wie möglich ist, ist die erste Kompressions­ schaltung 12 nach Art einer Schaltung zur Erzeugung eines fehlererkennenden (redundanten) Codes ausgebil­ det, jedoch in umgekehrter Richtung. Dies bedeutet folgendes: Interpretiert man die elf Stellen eines Wortes, das am Ausgang der Kompressionsschaltung 12 auftritt, als die Prüfstellen eines fehlererkennenden Codes, dann stellt das zugeordnete Wort am Eingang der Kompressionsschaltung 12 das gesamte Codewort, d. h. Informations- und Prüfstellen, dar. Mathematisch betrachtet führt die Kompressionsschaltung 12 eine Matritzenmultiplikation des transpornierten Eingangs­ vektors der Schaltung (Prüfstellen und Informations­ stellen) mit der charakteristischen Matrix des gewähl­ ten Codes ("Checkmatrix") durch und liefert als Er­ gebnis die Prüfstellen. Geeignete, fehlererkennende redundante Codes sind vielfältig bekannt und brauchen hier nicht im einzelnen erläutert zu werden. Zur Reali­ sierung der Kompressionsschaltung 12 wird eine Logik­ schaltung aus EXCLUSIV-ODER-Toren benutzt, die in mehreren Ebenen hintereinandergeschaltet sind, wobei die Anzahl der EXCLUSIV-ODER-Tore vom Eingang zum Aus­ gang in jeder Ebene abnimmt.

Der Ausgang der ersten Kompressionsschaltung 12 ist über den Datenbus 13 (aus elf Leitungen) mit dem A-Ein­ gang eines Multiplexers 14 verbunden. Der B-Eingang des Multiplexers 14 empfängt Sollwerte über den (11stel­ ligen) Datenbus 15 vom Rechner 10. Der Multiplexer 14 schaltet entweder die Signale des Datenbusses 13 oder den Sollwert des Datenbusses 15 auf den zu der zweiten Kompressionsschaltung 17 führenden Datenbus 16 durch.

Die Kompressionsschaltung 17 führt eine zeitliche Kom­ pression durch. Sie besteht aus einem linear rückgekop­ pelten Schieberegister, das paralleles Laden zuläßt. Die einzelnen Schieberegisterstellen sind durch EXCLUSIV-ODER-Tore miteinander verbunden und die Rück­ kopplung von der letzten sowie von einigen weiteren Stellen zur ersten Schieberegisterstelle erfolgt eben­ falls über EXCLUSIV-ODER-Tore. Die einzelnen Leitungen des Datenbusses 16 sind jeweils mit einer Eingangslei­ tung eines EXCLUSIV-ODER-Tores verbunden. Auf diese Weise führt die Kompressionsschaltung 16 eine "modulo 2"-Addition benachbarter Bitstellen der ihr aufeinanderfolgend zugeführten räumlich komprimierten Steuersignale und Sollwerte durch.

Der Ausgang der Kompressionsschaltung 17 ist über den 11stelligen Datenbus 18 mit einem Nullwertdetektor 19 verbunden.

In Fig. 2 ist der Arbeitsspeicher 20 des Rechners 10 schematisch dargestellt. Der Arbeitsspeicher enthält in einem Steuersignal-Bereich 20 a die Steuersignale, die jeweils aus den Bits 1 bis 20 bestehen. Dem Steuer­ signal-Bereich 20 a ist ein Adressenbereich 20 b zuge­ ordnet, derart, daß zu jedem Steuersignal eine Adresse (z. B. Sprungadresse) gespeichert werden kann. Der Adressenbereich 20 b besteht aus zwölf Bits, nämlich den Bits 21 bis 32.

Die zu überwachenden Steuersignale werden aus dem Steuersignal-Bereich 20 a nacheinander ausgelesen, wobei zugleich mit dem Steuersignal auch der Inhalt derselben Zeile des Adressen-Speicherbereichs 20 b ausgelesen wird. An Stellen des Adressen-Speicherbereichs 20 b, die für das Programm nicht benötigt werden, können 11stellige Sollwerte 21 gespeichert werden, die in Fig. 2 durch die dickeren Striche markiert sind. Zusätzlich wird ein Bit als Sollwertindikator 22 reserviert (entsprechend dem Bit 21 des Arbeits­ speichers), der angibt, daß die zugehörigen Stellen 22 bis 32 einen Sollwert 22 darstellen.

Der Ausgang 30 des Steuersignal-Speicherbereichs 20 a ist an einen Sollwertdetektor 23 angeschlossen, dem auch die jeweiligen Sollwertindikatoren 22 zugeführt werden. Der Sollwertdetektor 223 erkennt aus dem jewei­ ligen Steuersignal, ob es sich beispielsweise um einen Sprungbefehl handelt, dem im Adressen-Speicherbereich 20 b eine Sprungadresse zugeordnet ist. Wenn das Steuer­ signal kein solches ist, das noch eine Zusatzinfor­ mation im Adressen-Speicherbereich 20 b erfordert und wenn zusätzlich das Vorhandensein des Sollwertindika­ tors 22 erkannt wird, erzeugt der Sollwertdetektor 23 an Leitung 24 ein Ausgangssignal. Dieses Ausgangssignal wird dem Multiplexer 14 (Fig. 1) zugeführt, der darauf­ hin auf den B-Eingang umschaltet, wodurch das am Daten­ bus 15 anstehende Ausgangssignal (der Stellen 22 bis 32) des Adressen-Speicherbereichs 20 b auf den Datenbus 16 durchgeschaltet wird. Auf diese Weise wird der zwei­ ten Kompressionsschaltung 17 der 11stellige Sollwert 21 zugeführt.

Die Sollwerte 21 sind in dem Arbeitsspeicher 20 derart verteilt, daß ein Sollwert spätestens kurz vor einer Verzweigungsstelle des Programms auftritt. Die Phasen zwischen zwei aufeinanderfolgenden Sollwerten 21 können daher unterschiedliche Längen haben.

Die Schaltung nach Fig. 1 arbeitet wie folgt:

Bei einem ersten Vorlauf des Programms sind zunächst noch keine Sollwerte 21 im Arbeitsspeicher 20 gespei­ chert. Das Programm läuft bei dem Vorlauf ungeprüft ab, wobei der Überwachungsschaltung die Steuersignale über den Datenbus 11 zugeführt werden. Die Überwachungs­ schaltung reduziert die Wortlänge eines jeden Steuer­ signals von 20 auf 11 Bits und führt eine zeitliche Kompression der aufeinanderfolgenden Steuersignale durch. Am Ende einer jeden Kompressionsphase steht in der Kompressionsschaltung 17 ein Wort, das durch Bil­ dung des um ein Bit verschobenen modulo 2-Komplements und unter Berücksichtigung der Rückkopplung des Schieberegisters auf den Wert "00 . . . 0" gebracht werden kann. Dieses Wort wird als Sollwert 21 im Arbeits­ speicher 20 abgespeichert.

Bei den nachfolgenden Programmläufen werden die Steuer­ signale in der Kompressionsschaltung 12 jeweils wieder räumlich komprimiert und in der Kompressionsschaltung 17 erfolgt eine zeitliche Kompression zahlreicher auf­ einanderfolgender räumlich komprimierter Steuersignale. Immer dann, wenn das Signal an Leitung 24 angibt, daß ein Sollwertsignal am Speicherausgang auftritt, schaltet der Multiplexer 14 diesen 11stelligen Sollwert auf die zweite Kompressionsschaltung 17 durch. Daraufhin stellt der Nullwertdetektor 19 fest, daß in der Kompressions­ schaltung 17 der Wert "00 . . . 0" steht, sofern alle Steuersignale derjenigen Kompressionsphase, die soeben beendet worden ist, richtig waren. Wird dagegen der Wert "00 . . . 0" nicht erreicht, dann liegt mindestens ein Steuersignalfehler vor und der Nullwertdetektor 19 gibt an Leitung 25 ein Fehlererkennungssignal ab.

Das Signal an Leitung 24 steuert in der beschriebenen Weise den Multiplexer 14 und außerdem über ein Verzöge­ rungsglied 26 die Aktivierung des Nullwertdetektors 19. Das Verzögerungsglied 26 verzögert jeweils um eine Phase des Rechnertaktes und bewirkt, daß die Nullprü­ fung erst vorgenommen wird, nachdem die Kompressions­ schaltung 17 das Sollwertsignal übernommen hat. Die Kompressionsschaltung 17 ist nach erfolgreicher Null­ prüfung bereits für die nächste Prüfphase vorbereitet. Im Fehlerfall wird sie, genau wie zu Beginn der Pro­ grammbearbeitung durch den Digitalrechner, durch das RESET-Signal 27 des Digitalrechners, das mit ihrem Löscheingang verbunden ist, auf den Wert "00 . . . 0" gesetzt.

Das Signal an Leitung 24 steuert ferner einen Timer 28, der ein Fehlersignal erzeugt, wenn eine vorbestimmte Zeit lang kein Sollwert am Ausgang des Arbeitsspeichers 20 erkannt wurde.

Fig. 3 zeigt ein modifiziertes Ausführungsbeispiel von Fig. 1. Die nachfolgende Beschreibung beschränkt sich auf die Erläuterung der Unterschiede.

Während bei dem Ausführungsbeispiel der Fig. 1 die Prüfeinrichtung aus dem Nullwertdetektor 19 besteht, ist gemäß Fig. 3 ein Komparator 29 vorgesehen, dem das Ausgangssignal der Kompressionsschaltung 17 und das Signal des Datenbus 15 zugeführt werden. Ein Multi­ plexer ist nicht vorgesehen; vielmehr ist der Ausgang der ersten Kompressionsschaltung 12 direkt an den Ein­ gang der zweiten Kompressionsschaltung 17 angeschlos­ sen.

Die Schaltung nach Fig. 3 arbeitet wie folgt:

In einem Vorlauf des Programms werden die Steuersignale räumlich und zeitlich komprimiert. Am Ende einer jeden Kompressionsphase erhält der Komparator 29 von Leitung 24 ein Aktivierungssignal. Der dann in der Kompres­ sionsschaltung 17 stehende Wert wird als Sollwert im Arbeitsspeicher abgelegt.

In den darauffolgenden Programmabläufen werden die auf­ einanderfolgenden Steuersignale räumlich und zeitlich in der beschriebenen Weise komprimiert. Am Ende der Kompressionsphase erfolgt ein Vergleich des dem Kom­ parator von der Kompressionsschaltung 17 zugeführten Kennwertes mit dem über den Datenbus 15 zugeführten Sollwert. Wenn beide Werte nicht übereinstimmen, wird am Ausgang des Komparators 29, d. h. an Leitung 25, ein Fehlererkennungssignal erzeugt. Anderenfalls, d. h. im fehlerfreien Fall, bildet der in der Kompressionsschal­ tung 17 stehende Wert den Ausgangspunkt für die nächste Prüfphase.

Claims (7)

1. Überwachungseinrichtung für einen Digitalrechner, der einen Arbeitsspeicher (20) zur sequentiellen Ausgabe von Steuersignalen und Adressen aufweist, zur Erkennung fehlerhafter Steuersignale, mit

• - einer eine zeitliche Kompression durchführenden Kompressionsschaltung (17), die aus mehreren aufeinanderfolgenden Eingangssignalen einen Kennwert erzeugt,
• - einem Sollwertspeicher, der die bei einem Vor­ lauf erzeugten Kennwerte als Sollwerte enthält, und
• - einer Prüfeinrichtung (19; 29), die in dem Fall, daß ein Kennwert, der nicht zu dem zugehörigen Sollwert paßt, ein Fehlererkennungssignal er­ zeugt,

dadurch gekennzeichnet, daß

• - der vom Arbeitsspeicher (20) während des Abarbeitens eines Programmes durch den Digital­ rechner (10) ausgegebene Fluß der Steuersignale einer eine räumliche Kompression durchführenden Kompressionsschaltung (12) zugeführt wird, die eine Logikschaltung zur Verkürzung der Wortlänge enthält,
• - die Logikschaltung so aufgebaut ist, daß sie einen fehlerkorrigierenden redundanten Code erzeugt, wobei die Eingangswörter den redundanten Codewörtern entsprechen und die Ausgangswörter nur deren Prüfstellen umfassen,
• - und die räumlich komprimierten Steuersignale der die zeitliche Komperession durchführenden Kompressionsschaltung (17) zugeführt werden.

2. Überwachungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß als Sollwertspeicher der für die Adressen vorgesehene Speicherbereich (20 b) des Arbeitsspeichers (20) des Digitalrechners (10) benutzt wird.

3. Überwachungseinrichtung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß an den Ausgang des Arbeitsspeichers (20) ein Sollwertdetektor (23) angeschlossen ist, der Sollwerte (21) von anderen Speicherinhalten unterscheidet und dessen Aus­ gangssignal die Arbeitsintervalle der die zeitliche Kompression durchführenden Kompressionsschaltung (17) sowie die Prüfzeit­ punkte der Prüfeinrichtung (19; 29) bestimmt.

4. Überwachungseinrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die die zeitliche Kompression durchführende Kompressionsschaltung (17) ein rückgekoppeltes Schieberegister ist, dessen Registerstellen durch EXCLUSIV-ODER-Tore verbunden sind, welche jeweils eine Stelle des Steuersignals empfangen.

5. Überwachungseinrichtung nach einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, daß die Steuer­ signale und die Sollwerte (21) über einen vom Aus­ gangssignal des Sollwertdetektors (23) gesteuerten Multiplexer (14) der die zeitliche Kompression durchführenden Kompressionsschaltung (17) zugeführt werden und daß die Prüfeinrichtung (19) nach jeder Zufuhr eines Sollwertes zu der die zeitliche Kompression durchführenden Kompressionsschaltung (17) feststellt, ob deren Inhalt einen vorbestimmten Wert einnimmt.

6. Überwachungseinrichtung nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die Prüf­ schaltung ein Komparator (29) ist, der bei Auf­ treten eines Sollwertes den Inhalt der die zeitliche Kompression durchführenden Kompressionsschaltung (17) mit diesem Sollwert vergleicht.