DE4302908A1

DE4302908A1 - Verfahren zur Ermittlung kritischer Fehler insbesondere für ein Kommunikationssystem und eine nach diesem Verfahren arbeitende Schaltungsanordnung

Info

Publication number: DE4302908A1
Application number: DE19934302908
Authority: DE
Inventors: Stephan Grossen; Juergen Orthmann; Robert Jaeger
Original assignee: Siemens Albis AG
Current assignee: Siemens Schweiz AG
Priority date: 1992-08-21
Filing date: 1993-02-02
Publication date: 1994-03-03
Anticipated expiration: 2013-02-03
Also published as: CH684512A5; DE4302908C2

Description

Die vorliegende Erfindung betrifft ein Verfahren nach dem Oberbegriff des Patentanspruchs 1 bzw. eine Schaltungsanordnung nach dem Oberbegriff des Patentanspruchs 9.

Komplexe elektronische Systeme, insbesondere rechnergesteuerte Kommunikationssysteme müssen normalerweise ständig betriebsbereit sein. Die systemzugehörige Sicherheitstechnik hat die Aufgabe, diesen hohen Grad an Verfügbarkeit insbesondere auch im Störungsfall zu gewähr leisten. Mit geeigneten Maßnahmen hat sie dafür zu sorgen, daß Fehler baugruppengenau lo kalisiert und rasch behoben werden. Dadurch werden die Auswirkungen einer Störung auf ein Minimum beschränkt. Ferner sollen Störungen an das Wartungspersonal gemeldet werden. Die Funktionsweise der Sicherheitstechnik für das ISDN-Kommunikationssystem HICOM der Sie mens AG ist z. B. aus H. Thomas und K. Wehrend, "Betriebs-Software des ISDN-Kommunikati onssystems HICOM", veröffentlicht in "ISDN im Büro-HICOM", Siemens AG, Berlin und München 1985, ISBN 3-8009-846-4, Seiten 95-106 bekannt.

Die sicherheitstechnischen Verfahren sind in drei Teilkomplexe gegliedert

- Fehlererkennung,
- Fehleranalyse und
- Fehlerbehandlung.

Funktionswichtige Bereiche des Systems, die durch Software nicht erreicht werden können oder bei denen es auf rasche Reaktionen ankommt, werden dabei oft durch Hardware-Übenwa chungsschaltungen gesichert. Weitere Bereiche werden vorzugsweise durch Prüfprogramme gesichert, die als "nicht betriebsstörende" Hintergrundtests für die regelmäßige Prüfung der Hardware-Funktionen des Systems sorgen. Diese Prüfprogramme werden durch Prüfaufträge aktiviert, die periodisch von einer Routineprüfsteuerung oder gezielt durch eine Selbstdiagnose einheit oder das Wartungspersonal erteilt werden. Die Prüfaufträge sind gemäß der Hardware- Architektur des Systems hierarchisch gegliedert. So ist es möglich, mit jeweils nur einem Auftrag einzelne Hardware-Elemente oder größere Bereiche prüfen zu lassen.

Durch die Fehleranalyse wird festgestellt, ob ein Fehler nur sporadisch oder konstant auftritt. Ferner wird der Ort des auftretenden Fehlers und dessen Ursache bestimmt. Die Maßnahmen, die durch die Fehleranalyse eingeleitet werden, sind vom Ergebnis der vorausgegangenen Feh lerdiagnose abhängig. Sie reichen von der bloßen Störstatistikzählung über Sperr- und Um schalteaufträge bis zu Recovery-Maßnahmen in ihren verschiedenen Stufen. Dadurch ist es möglich auf jede Störung angemessen zu reagieren.

Es ist daher wesentlich, zwischen den verschiedenen Fehlerarten genau unterscheiden zu kön nen. Durch einen Schwellwert, der jedem zu berücksichtigenden Fehlerereignis zugeordnet wird, kann z. B. festgelegt werden, nach wieviel gleichartigen Fehlerereignissen besondere Maßnah men zu ergreifen sind. D.h., vor dem Überschreiten des Schwellwerts wird der Fehler als unkri tisch und nach dem Überschreiten des Schwellwerts wird der mehrfach aufgetretene Fehler als kritisch eingestuft und entsprechende Maßnahmen werden ergriffen. Diese Fehlerunterschei dung ist jedoch oft ungenügend, da auftretende Fehler den Schwellwert vielfach nicht überschrei ten, sich jedoch während längerer Zeit knapp unterhalb des Schwellwertes bewegen. Derartige Fehler sind oft kritischer als Fehler, die den Schwellwert nur einmal kurz überschreiten und dann während langer Zeit nur noch sporadisch auftreten.

Für kritische Fehler können z. B. die nachfolgend genannten Recovery-Maßnahmen vorgesehen sein, durch die das System, abgestuft von einem Neustart eines einzelnen Moduls bis zum Neu start des gesamten Systems in einen definierten Zustand gebracht wird:

- Soft-Restart,
- Modul-Hard-Restart,
- Modul-Reload,
- System-Hard-Restart,
- System Reload.

Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren und eine Schal tungsanordnung anzugeben, durch die sich alle systemkritischen Fehler ermitteln lassen.

Diese Aufgabe wird durch die im kennzeichnenden Teil der Patentansprüche 1 bzw. 9 ange gebenen Maßnahmen gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind in weiteren An sprüchen angegeben.

Das erfindungsgemäße Verfahren erlaubt die Ermittlung aller systemkritischen Fehler, für die be sondere wartungstechnische Maßnahmen, z. B. eine der obengenannten Recovery-Maßnah men, vorgesehen sind.

Die Erfindung wird nachfolgend anhand einer Zeichnung beispielsweise näher erläutert. Darin ist ein im normalen Betriebszustand befindliches System SUT gezeigt, das einerseits über eine Ver bindungsleitung LK mit weiteren Systemen, z. B. Servern, Vermittlungszentralen, Anschlußgrup pen, Rechnersystemen oder Endgeräten und andererseits über Daten- und Befehlsleitungen mit sicherheitstechnischen Einheiten SORT, EV und CORR verbunden ist. Das System SUT, das ver schiedene Module oder Resourcen R1, . . . , Rn aufweist, unterliegt dabei einer dauernden Prüfung. In Kommunikationssystemen werden insbesondere Resourcen R überprüft, die den vermittlungs technischen Betrieb blockieren können, falls diese beim Verbindungsauf- oder -abbau fälschli cherweise nicht freigegeben werden bzw. grundlos belegt sind. Von den Resourcen R abgege bene Fehlermeldungen werden der Einheit SORT zugeführt, in der die Fehlermeldungen nach vorgegebenen Kriterien (z. B. Art und Ursprung des Fehlers) gegliedert und der Einheit EV zuge führt werden. In der Einheit EV ist für jede der sortierten Fehlermeldungen A, B, G, D eine Stufe STA vorgesehen, in der ein Ereigniszähler EC, ein Zeitgeber TR und ein Schwellwertspeicher TH mit einer Auswerteschaltung BMS verbunden sind, die einen mit der Einheit EC sowie mehrere mit der Einheit CORR verbundene Ausgänge aufweist. Die Einheit CORR ist ferner mit der Einheit SUT und ebenso wie die Einheit SORT mit einem Drucker D verbunden.

Die erfindungsgemäße Schaltungsanordnung funktioniert wie folgt:

Für jede der Stufen STA wird entsprechend dem überwachten Fehler ein Schwellwert und ein Zeitintervall festgelegt und in den Schwellwertspeicher TH bzw. den Zeitgeber TR eingespeichert. Durch den Ereigniszähler EC wird dabei jeweils die Anzahl auftretender Fehlerereignisse gezählt Durch die Auswerteschaltung BMS wird dabei kontrolliert, ob der Inhalt des Ereigniszählers EC den vorgegebenen Schwellwert überschreitet. Nach dem Überschreiten des Schwellwerts, sofort oder erst nach Ablauf eines durch den Zeitgeber bestimmten Zeitintervalis, wird dies an die Ein heit CORR gemeldet. Falls nach Ablauf eines Zeitintervalls der Schwellwert nicht überschritten wird, wird durch die Auswerteschaltung BMS festgestellt, wie weit der Wert des Ereigniszählers EC vom Schwellwert abweicht. Falls die Anzahl Ereignisse die Hälfte des Schwellwerts nicht übersteigt, wird der Ereigniszähler EC zu Beginn des neuen Intervalls durch die Auswerteschal tung BMS auf Null gesetzt. Falls die Anzahl Ereignisse die Hälfte des Schwellwerts jedoch über steigt, wird der Inhalt des Ereigniszähler EC nicht auf Null gesetzt, sondern um die Differenz zwi schen dem Schwellwert und der im abgelaufenen Intervall festgestellten Anzahl Ereignisse redu ziert. Bei einem Schwellwert von zehn würde bei fünf oder weniger tatsächlich auftretenden Er eignissen der Ereigniszähler EC immer auf Null zurückgesetzt. Bei sechs Ereignissen würde er auf zwei (6-(10-6)), bei sieben Ereignissen auf vier (7-(10-7)), bei acht Ereignissen auf sechs (8-(10-8)) und bei neun Ereignissen auf acht (9-(10-9)) zurückgesetzt. Durch dieses System werden Fehlerzahlen, die sich während mehreren Intervallen nahe dem Schwellwert bewegen, stärker gewichtet. Falls im obenangeführten Beispiel (Schwellwert = 10) in drei aufeinanderfol genden Intervallen jeweils eine Fehlerzahl von sechs auftritt, wird innerhalb bzw. nach Ablauf des dritten Intervalls das Auftreten eines kritischen Fehlers an die Einheit CORR gemeldet, obwohl während jedem Intervall tatsächlich nie mehr als neun Fehler aufgetreten sind. Bei Ablauf des ersten Intervalls weist der Ereigniszähler EC nämlich einen Inhalt von sechs (0 + 6), zu Beginn des zweiten Intervalls einen Inhalt von zwei (6-(10-6)), bei Ablauf des zweiten Intervalls einen Inhalt von acht (2 + 6), zu Beginn des dritten Intervalls einen Inhalt von sechs (8-(10-8) und bei Ablauf des dritten Intervalls einen Inhalt von zwölf (6 + 6) auf, wodurch der Schwellwert über schritten wird.

Ferner kann festgelegt werden, daß die Anzahl der Ereignisse, die im abgelaufenen Zeitintervall aufgetreten sind, weniger stark gewichtet werden soll. Zu diesem Zweck kann der Wert, mit dem zu Beginn des nächsten Zeitintervalls mit der Zählung der Fehlerereignisse begonnen wird, ent sprechend der Anzahl Fehlerereignisse gewählt werden, um die die Hälfte des Schwellwerts während dem abgelaufenen Zeitintervall überschritten wurde. D.h., bei einem Schwellwert von zehn würde bei fünf oder weniger tatsächlich auftretenden Ereignissen der Ereigniszähler EC immer auf Null zurückgesetzt. Bei sechs Ereignissen würde er auf eins (6 - (10 : 2)), bei sieben Ereignissen auf zwei (7-(10 : 2)), bei acht Ereignissen auf drei (8-(10 : 2)) und bei neun Ereig nissen auf vier (9-(10 : 2)) zurückgesetzt. Falls im obenangeführten Beispiel (Schwellwert = 10) in aufeinanderfolgenden Intervallen jeweils wieder eine Fehlerzahl von sechs auftritt, wird inner halb bzw. nach Ablauf des fünften Intervalls das Auftreten eines kritischen Fehlers an die Einheit CORR gemeldet, obwohl während jedem Intervall tatsächlich nie mehr als neun Fehler aufgetre ten sind. Bei Ablauf des ersten Intervalls weist der Ereigniszähler EC nämlich einen Inhalt von sechs (0 + 6), zu Beginn des zweiten Intervalls einen Inhalt von eins (6-(10 : 2)), bei Ablauf des zweiten Intervalls einen Inhalt von sieben (1 + 6), zu Beginn des dritten Intervalls einen Inhalt von zwei (7-(10 : 2)), bei Ablauf des dritten Intervalls einen Inhalt von acht (2 + 6), zu Beginn des vierten Intervalls einen Inhalt von drei (8-(10 : 5)), bei Ablauf des vierten Intervalls einen Inhalt von neun (3 + 6), zu Beginn des fünften Intervalls einen Inhalt von vier (9-(10 : 2)) und bei Ablauf des fünften Intervalls einen Inhalt von zehn (4 + 6) auf, wodurch der Schwellwert erreicht wird. Nach dieser Methode werden Fehlerraten, die sich nahe beim Schwellwert bewegen mit einer größe ren Verzögerung als mit der erstgenannten Methode erfaßt (plus zwei Intervalle). Dabei geht die zu überschreitende Schwelle (Differenz von Schwellwert und Anfangsstand des Ereigniszählers EC) für relativ hohe Ereigniszahlen bei der ersten Methode nahe gegen null und bei der zweiten Methode gegen 50% des Schwellwertes. Bei der ersten Methode wird bei einem Schwellwert von 100 und der Anzahl in einem Intervall aufgetretenen Ereignisse von 99 der Ereigniszähler EC zu Beginn des neuen Intervalls auf 98 gesetzt. Durch zwei im neuen Intervall auftretende Ereignisse würde der Schwellwert daher erreicht. Die minimal zu überschreitende Schwelle würde daher nur 2% des Schwellwerts betragen. Bei der zweiten Methode wird bei einem Schwellwert von 100 und der Anzahl in einem Intervall aufgetretenen Ereignisse von 99 der Ereigniszähler EC zu Beginn des neuen Intervalls auf 49 gesetzt. Die minimal zu überschreitende Schwelle würde daher 51% des Schwellwerts betragen. Bei der zweiten Methode muß die Anzahl Ereignisse nicht nur kurz, sondern während längerer Zeit über 50% des Schwellwertes liegen, bevor ein Fehler als kritisch erkannt wird.

Durch beide Methoden sind kritische Fehler daher erfaßbar, auch wenn sie den ursprünglich festgelegten Schwellwert tatsächlich nie überschreiten. Das Auftreten kritischer Fehler zeigt nor malerweise an, daß ein Hard- oder Softwaremodul des Systems SUT derart unzuverlässig funktioniert, daß einfache Fehlerkorrekturmaßnahmen, die beim jeweiligen Auftreten des Feh lers durch eine Wartungseinheit automatisch ausgeführt werden, ungenügend sind. Bei Syste men, die im Tandembetrieb arbeiten, wird durch die Einheit CORR, der die kritischen Fehler gemeldet werden, vorgesehen, daß die fehlerhafte Einheit außer Betrieb gesetzt und durch eine identische Einheit ersetzt wird. Falls nach dem Austausch eines Moduls die gleiche Fehlermel dung weiter auftritt, wird vorzugsweise vorgesehen, daß zwischen den identischen Einheiten nicht weiter umgeschaltet wird. Statt dessen wird eine weitere Einheit ausgetauscht, die als Fehler quelle in Frage kommt. Die Reihenfolge, in der der Austausch von Einheiten vorgesehen wird, wird dabei vorzugsweise unter Berücksichtigung weiterer Fehlermeldungen festgelegt. Das Auf treten eines kritischen Fehlers kann aber auch bedeuten, daß ein Softwaremodul unzuverlässig arbeitet und der Revision bedarf. Es ist daher wesentlich, daß dem Wartungspersonal alle wesentlichen Daten zuführbar sind. Zu diesem Zweck sind die Einheiten SORT und CORR mit einem Drucker D oder einer anderen Ausgabeeinheit verbunden. Beim Ausfall bzw. Austausch einer Einheit wird dies unverzüglich angezeigt. Ferner wird vorzugsweise beim erstmaligen Auf treten eines Fehlers und nach dem Überschreiten des Schwellwerts eine Meldung ausgedruckt. Dadurch können beim Vergleich mehrerer Fehlermeldungen und unter Berücksichtigung von zeitlich bedingten Zustandsänderungen des Systems SUT Fehlerursachen leichter lokalisiert werden. Zur gezielten Fehlersuche kann die Signalisierung nur für bestimmte Fehlerklassen und Geräteeinheiten eingeschaltet werden. Ferner ist es sinnvoll, wenn der Fehler jeweils auch beim mehrmaligen Übertreten des Schwellwerts angezeigt wird.

Claims

1. Verfahren zur Ermittlung kritischer Fehler insbesondere für ein Kommunikationssystem, da durch gekennzeichnet, daß Fehlermeldungen nach vorgegebenen Kriterien sortiert werden und daß jedem berücksichtigten Fehlerereignis ein einem Zeltintervall zugehöriger Schwellwert zugeordnet wird, nach dessen Überschreiten ein Fehler als kritisch eingestuft und gemeldet wird, daß falls die Anzahl der innerhalb eines Zeitintervalls auftretenden Fehlerereignisse kleiner als der Schwellwert ist, der Wert, mit dem zu Beginn des nächsten Zeitintervalls mit der Zählung der Fehlerereignisse begonnen wird, unter Berücksichtigung der während des letzten Zeitintervalls ermittelten Anzahl Fehlerereignisse festgelegt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß falls die Anzahl der innerhalb eines Zeitintervalls auftretenden Fehlerereignisse kleiner als die Hälfte des Schwellwerts ist, die Zählung der Fehlerereignisse bei Beginn des nächsten Zeitintervalis wieder bei Null beginnt und daß, falls die Anzahl der innerhalb eines Zeitintervalls auftretenden Fehlerereignisse größer als die Hälfte, jedoch gleichzeitig kleiner als der ganze Schwellwert ist, der Wert, mit dem die Zäh lung bei Beginn des nächsten Zeitintervalls beginnt, derart gebildet wird, daß die Differenz zwi schen dem Schwellwert und der Anzahl Fehlerereignisse von dieser beim abgelaufenen Zeitinter vall ermittelten Anzahl Fehlerereignisse subtrahiert wird.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Wert, mit dem zu Beginn des nächsten Zeitintervalls mit der Zählung der Fehlerereignisse begonnen wird, entsprechend der Anzahl Fehlerereignisse gewählt wird, um die die Hälfte des Schwellwerts während dem abgelau fenen Zeitintervall überschritten wurde.

4. Verfahren nach Anspruch 1, 2 oder 3, dadurch gekennzeichnet, daß der Schwellwert und das entsprechende Zeltintervall für jedes berücksichtigte Fehlerereignis festgelegt werden.

5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der als kritisch eingestufte Fehler einer Stufe (CORR) gemeldet wird, durch die korrektive Maßnah men ergriffen oder Fehlermeldungen an das Wartungspersonal abgegeben werden.

6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß das erstmalige Auftreten und das Auftreten des Fehlerereignisses gemeldet werden, durch das der Schwellwert überschritten wird.

7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß nach dem Auftreten eines kritischen Fehlers die diesen Fehler verursachende Einheit ersetzt wird.

8. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß ein Fehler jeweils beim erst- und mehrmaligen Überschreiten des Schwellwerts angezeigt wird.

9. Schaltungsanordnung zur Durchführung des Verfahrens nach Anspruch 1, dadurch gekenn zeichnet, daß eine Einheit (SORT) vorgesehen ist, der die Fehlermeldungen eines zu testenden Systems (SUT) zugeführt werden und die die erhaltenen Fehlermeldungen geordnet an eine zumindest einen Zeitgeber (TR) und zumindest einen Schwellwertspeicher (TH) aufweisende Einheit (EV) abgibt, in der für jeden überwachten Fehler ein Ereigniszähler (EC) und eine damit verbundene Auswerteschaltung (BMS) verbunden ist, durch die aufgrund der vorgegebenen Schwellwerte und Zeitintervalle und der in den Zeitintervallen festgestellten Fehlerereignissen kritische Fehler ermittelt werden und der Ereigniszähler (EC) nach Ablauf eines Zeitintervalls jeweils auf den vorgesehenen Wert zurückgesetzt wird.

10. Schaltungsanordnung nach Anspruch 9, dadurch gekennzeichnet, daß der Ausgang der Einheit (EV) bzw. die entsprechenden Ausgänge der Auswerteschaltung (BMS) mit einer Einheit (CORR) verbunden sind, die mit dem zu testenden System (SUT) und/oder mit Ausgabeeinheiten (D) verbunden ist.