DE4308464A1 - Verfahren zur Erkennung von Hardwarefehlern auf den Leitungen eines Adressbusses in Mikroprozessoren - Google Patents

Description

Die Erfindung betrifft ein Verfahren zur Erkennung von Hardwarefehlern auf den Leitungen des Adreßbusses eines Mikroprozessors in Bezug auf einen angeschlossenen Pro­ gramm-/Datenspeicher, bei welchem zyklisch eine Testroutine mit Checksum-Bildung durchgeführt wird.

Mikroprozessoren weisen in ihrem Schaltungsaufbau eine große Komplexität auf. Es läßt sich daher nicht vorherse­ hen, wie sie auf Störungen reagieren.

Der Austausch von Daten zwischen der Recheneinheit sowie flüchtigen und nichtflüchtigen Speichern eines Mikroprozes­ sors kann durch Kurzschlüsse gegen Versorgungsspannung oder Masse bzw. zwischen einzelnen Leitungsführungen gestört sein, so daß die Funktionstüchtigkeit des Mikroprozessors nicht mehr gewährleistet ist.

Bei einem Fehler sind bestimmte Adreßbereiche nicht mehr vorhanden, während andere mehrfach erscheinen. Bei Kurz­ schluß bedeutet das, daß eine Leitung ihren Zustand nicht mehr wechseln kann oder mehrere Leitungen immer den glei­ chen Zustand aufweisen.

Um die Funktionstüchtigkeit des Mikroprozessors zu überprü­ fen, ist es üblich, über den gesamten Adreßbereich einen ROM-Test mit Checksum-Bildung durchzuführen, was eine lange Rechen- und Fehlerreaktionszeit zur Folge hat. Da diese Tests sehr zeitaufwendig sind, sind sie für eine Dauerüber­ wachung des Mikroprozessors ungeeignet.

Aus sicherheitsrelevanten Gründen wird daher die Fehler­ überwachung des Mikroprozessors während des Betriebes über externe Mechanismen abgedeckt.

sind z. B. sogenannte Watchdog-Schaltungen bekannt, bei welchen bei ungestörtem Programmablauf ein Rückssetzimpuls ausgelöst wird. Ist der Programmablauf des Prozessors ge­ stört, unterbleibt der Rücksetzimpuls und eine Fehlerreak­ tion wird aktiviert.

Der Nachteil dieser Anordnung besteht in dem zusätzlichen schaltungstechnischen Aufwand der externen Überwachung bzw. der externen Baugruppen, die die Reaktion bewirken (Endstufenabschaltung etc.)

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren an­ zugeben, bei welchem die Funktionstüchtigkeit des Adreß- Busses eines Mikroprozessors überprüft wird, wobei die Recheneinheit möglichst gering belastet wird und eine ge­ ringe Fehlerreaktionszeit gewährleistet ist.

Erfindungsgemäß wird die Aufgabe dadurch gelöst, daß eine begrenzte Anzahl von Adressen des Speichers abgefragt wird, auf deren Grundlage eine Checksum-Bildung erfolgt und deren Ergebnis mit einem abgespeicherten Wert verglichen wird, wobei nach der ersten Abfrage eine den gesamten Adreßraum des Speichers ansprechende Abfrage durchgeführt wird.

Der Vorteil der Erfindung besteht darin, daß der Prozessor selbst die Abfrage vornimmt, ohne daß zusätzlicher externer schaltungstechnischer Aufwand notwendig ist.

Über einen laufzeitintensiven Test werden die Grundlagen für die Funktionstüchtigkeit eines schnellen Tests sicher­ gestellt und ab diesem Zeitpunkt nur noch schnelle Tests durchgeführt.

Aufgrund der kurzen Reaktionszeit kann der Test häufig wie­ derholt werden, was insbesondere für sicherheitstechnische Anwendungen wichtig ist.

Vorteilhafterweise wird der Speicherbereich in zwei Hälften aufgeteilt, wobei aus diesen jeweils die andere Speicher­ hälfte geprüft wird. Mit dieser Maßnahme wird sicher­ gestellt, daß nicht gerade die Testroutine aufgrund eines Defektes ausgeblendet wird.

In einer Ausgestaltung wird bei jeder Abfrage eine be­ grenzte Anzahl anderer Adressen des Speichers aktiviert. Dadurch wird die Wahrscheinlichkeit erhöht, ein zuverläs­ siges Testergebnis zu erhalten.

Bei der Abfrage von Adressen im Schreib-Lese-Speicher wird die ausgewählte Menge an Adressen vor der Checksum-Bildung gesichert, zum Ablauf des Tests manipuliert und zumindest bei positivem Testergebnis wieder in den Schreib-Lese-Spei­ cher rückgeführt. Dadurch wird gewährleistet, daß die im Speicher enthaltenen flexiblen Daten nicht zerstört werden. Bei positivem Testergebnis stehen die Daten zur weiteren Verarbeitung zur Verfügung.

Erfindung läßt verschiedene Ausführungsformen zu. Eine davon soll anhand der Figuren der Zeichnung näher erläutert werden. Es zeigt:

Fig. 1 Daten- und Adreßleitungen innerhalb eines Mikro­ prozessorsystems,

Fig. 2 Programmablauf des erfindungsgemäßen Verfahrens.

Ein Mikroprozessor besteht, wie aus Fig. 1 ersichtlich, aus einer Recheneinheit CPU, einem RAM als Arbeitsspeicher und einem ROM als nichtflüchtigen Speicher, die über Daten- und Adreßbusse miteinander verbunden sind und dadurch Informa­ tionen austauschen. Bei Systemen mit gemultiplextem Adreß- /Datenbus ist zusätzlich ein Latch vorhanden.

Der Ablauf des Testverfahrens ist in Fig. 2 dargestellt. Dem vorliegenden Beispiel liegt ein Mikroprozessor mit ei­ nem ROM zugrunde, dessen Speicherkapazität 128 KByte be­ trägt. Dies bedeutet, daß 17 Adreßleitungen in dem System vorhanden sind. Für die Durchführung des Testes werden die neun vorhandenen oberen Adreßleitungen benutzt. Dadurch ergibt sich ein unterer Adreßraum von 2⁸ = 256 Byte.

In einem ersten Schritt 31 wird das Ergebnisregister ge­ löscht und im Schritt 32 der Schleifenzähler initialisiert.

Anschließend wird in einer Schleife 33, 34, 35 ein Checksum gebildet, bis der gewünschte Adreßraum bei Schritt 35 abgearbeitet ist. Bei der Checksumbildung 33 wird jeweils ein Byte aus dem unteren Adreßraum (bei 8 Bit → pro 256 Byte je ein Byte) Modulo 16 aufaddiert.

Beim allerersten Durchlauf 36 wird dieses Ergebnis im RAM für alle weiteren Tests abgelegt (Schritt 36, 37)
Um sicherzustellen, daß dieser erste Test nicht schon ein falsches Ergebnis geliefert hat, wird nach dem oben be­ schriebenen allerersten Durchlauf noch ein "konventioneller" ROM-Test 38 durchgeführt, d. h. eine Checksum über alle Bytes des Adreßraumes, dessen Ergebnis durch Vergleich 39 mit der im EPROM abgelegten Checksum festgestellt wird.

Ist der konventionelle ROM-Test negativ, so erfolgt ein Programmabbruch (Fehlerreaktion).

Bei positivem Testergebnis wird das Programm normal weiter­ laufen.

Ist es nicht der "1. Durchlauf" 36, so wird sofort der Ver­ gleich 40 mit der im Speicher abgelegten Checksum durchgeführt und gegebenenfalls verzweigt.

Somit reicht ein Test aus, der eine Kontrolle des Vorhan­ denseins der richtigen Adreßräume vornimmt, um die Funk­ tionstüchtigkeit des ROM festzustellen.

Dieses Verfahren hat den Vorteil, daß es im Normalbetrieb schnell ist, da nur noch ein Bruchteil (z. B. 1/256) des ROM-Umfanges gelesen und aufaddiert werden muß.

Für einen Prozessor wie den 80C166 [40 MHz] von Siemens wäre bin Aufwand von ca. 2 × 26 Byte Code und ca. 0,1 msec pro 100 msec Laufzeit notwendig, um bei einem 128 KByte ROM eine Reaktionszeit von 200 msec zu garantieren.

Beim Intel 8096 [12 MHz] sind bei einer Reaktionszeit von 200 msec 2 × 19 Byte und ca. 1,3 msec/100 msec Laufzeit notwendig.

Um sicherzustellen, daß nicht gerade die ROM-Testroutine aufgrund eines Defektes ausgeblendet wurde, wird der ROM- Bereich in zwei Hälften aufgeteilt und aus diesem heraus wird jeweils die andere Hälfte geprüft.

Eine Verbesserung der Zuverlässigkeit des Testes wird er­ reicht, wenn durch einfache Manipulation der Adreßrechnung eine "wandernde" Position des Adreßpointers innerhalb ei­ nes 256-Byte-Adreßraumes hervorgerufen wird.

Denkbar ist dabei, daß ohne größeren Aufwand der Offset zwischen zwei aufeinanderfolgenden CHECK-Bytes nicht 256, sondern eine beliebige Zahl, z. B. 257 oder 248 beträgt.

Bei geringen Änderungen läßt sich dieses Verfahren auch für RAM-Bereiche anwenden. Hier muß lediglich die Checksum-Bil­ dung durch einen modifizierten RAM-Test ergänzt werden. Da­ bei wird zuerst je ein Byte eines Adreßraumes gesichert und die Zellen mit einer fortlaufenden Nummer beschrieben. In einem zweiten Durchlauf werden die Nummern geprüft und im 3. Durchlauf schließlich der Urzustand wieder herge­ stellt. Der Code- und Laufzeitaufwand ist relativ zum ROM- Test höher, aber aufgrund der normalerweise wesentlich kleineren RAM-Bereiche ebenfalls noch effektiv genug, um befriedigende Ergebnisse zu liefern.

Claims (4)

1. Verfahren zur Erkennung von Hardwarefehlern auf den Lei­ tungen eines Adreßbusses in Mikroprozessoren in Bezug auf einen angeschlossenen Programm-/Datenspeicher, bei welchem zyklisch eine Testroutine mit Checksum-Bildung durchgeführt wird, dadurch gekennzeichnet, daß eine begrenzte Anzahl von Adressen des Speichers abgefragt wird, auf deren Grundlage eine Checksum-Bildung erfolgt, deren Ergebnis mit einem ab­ gespeicherten Wert verglichen wird, wobei nach der ersten Abfrage eine den gesamten Adreßraum des Speichers anspre­ chende Abfrage durchgeführt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Speicherbereich in zwei Hälften aufgeteilt wird, wobei aus diesem jeweils die andere Speicherhälfte geprüft wird.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeich­ net, daß bei jeder Abfrage eine begrenzte Anzahl anderer, relativer Adressen des Speichers aktiviert wird.

4. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeich­ net, daß bei der Abfrage der Adressen von Schreib-Lese- Speichern die ausgewählte Menge an Adressen vor der Checksum-Bildung gesichert, zum Ablauf des Tests manipu­ liert und zumindest bei positivem Testergebnis wieder in den Schreib-Lese-Speicher rückgeführt wird.