DE69608124T2

DE69608124T2 - Prozessorunabhängige fehlerprüfungsanordnung

Info

Publication number: DE69608124T2
Application number: DE69608124T
Authority: DE
Inventors: D. Mohat
Original assignee: ABB Automation Inc
Current assignee: ABB Automation Inc
Priority date: 1995-12-18
Filing date: 1996-12-12
Publication date: 2001-04-26
Anticipated expiration: 2016-12-13
Also published as: WO1997022929A1; CA2240932C; AU1270497A; US5764660A; EP0868692A1; EP0868692B1; DE69608124D1; CA2240932A1

Description

1. Technisches Gebiet

Die vorliegende Erfindung betrifft Computersysteme und insbesondere die Fehlererkennung in einem Prozessorsystem mit zwei Prozessoren und einer Vergleichsanordnung zur Fehlererkennung.

1. Stand der Technik

Computerintegrität oder die Möglichkeit, ein unrichtig arbeitendes Computersystem zu erkennen, ist in vielen Bereichen von Computeranwendungen wichtig. Dies gilt insbesondere dann, wenn ein unerkannter Ausfall in der Computerplattform zu einem umfangreichen Verlust von Eigentum oder Leben führen könnte.
Flugsicherung, Waffenlenk- und -steuersysteme und industrielle Prozeßsteuersysteme sind Anwendungsbeispiele, bei denen Verarbeitungsfehler katastrophale Auswirkungen haben könnten.
In den letzten Jahren wurden bei fehlertoleranter Systemsoftware viele Fortschritte erzielt. Diese Softwaresysteme versuchen, dem Endbenutzer zwei oder mehr Computer als ein einziges System erscheinen zu lassen, das zuverlässiger (oder "verfügbarer") als ein einiges System alleine ist. Diese Softwaresysteme verlassen sich jedoch darauf, daß die zugrundeliegende Computerhardware ein "Ausfall- Stopp"-Verhalten aufweist. Das heißt, sie setzen voraus, daß ein etwaiger Fehler in der Computerhardware sofort erkannt wird und daß das System sofort stoppt, bevor etwaige falsche Daten geliefert werden. Trotz der Fortschritte bei Softwaretechniken zur Fehlererkennung kann dieses "Ausfall-Stopp"-Verhalten immer noch nur mit einer kundenspezifischen Computerplattform mit einer eingebauten fortschrittlichen Hardware- Fehlererkennung erzielt werden. Der Entwurf solcher Hardwaresysteme ist in der Regel schwierig und ihre Herstellung teuer.
Ein übliches Hardware-Verfahren zur Erkennung von Fehlern, die in einem Prozessor auftreten, besteht darin, einen identischen Prozessor in einem mit dem primären Prozessor "schrittsynchronysierten" Betrieb einzusetzen und fortwährend alle Ausgaben und Steuersignale des identischen Paars zu vergleichen. Der schrittsynchronysierte Betrieb wird im allgemeinen gewährleistet, indem ein Prozessorpaar durch eine gemeinsame Quelle getaktet wird, so daß sie identische Befehle auf denselben Taktzyklen verarbeiten. Wenn zwischen den beiden Prozessoren eine Unstimmigkeit auftritt, wird das Prozessorsystem, das das Paar umfaßt, sofort angehalten.
Bei Computerplattformen, die auf dem Stand der Technik basieren, wird die Fehlererkennungsfunktion durch eine Hardware-Vergleichsschaltung bereitgestellt, die um die Buszeitsteuerungs- und elektrischen Schnittstellen der zentralen Prozessoreinheiten herum entworfen wird. Der Entwurf aller Eingangs-/Ausgangsgeräte muß dann eine Schnittstelle zu dieser kundenspezifischen, synchronisierten Busschnittstelle umfassen. Das Ergebnis dieser Entwurfsansatzes besteht darin, daß das resultierende System mit einer spezifischen Zentralprozessoreinheit verriegelt ist, da die Vergleichslogik- und Eingangs-/Ausgangssysteme kundenspezifisch mit elektrischen Schnittstellen entworfen sind, die einzigartig für einen einzigen Prozessor sind. Dadurch wird das Aufrüsten dieses Systems zu einem äußerst kostspieligen Unterfangen, sowohl vom finanziellen als auch dem Standpunkt der Entwicklungszeit aus gesehen.
Ein Beispiel eines Systems, dessen Aufrüstung äußerst kostspielig ist, wird in dem U. S.-Patent Nr. 4,907,228 beschrieben. Das in diesem Patent beschriebene System verwendet keine Eingangs-/Ausgangsbusstruktur (E/A-Busstruktur) wie zum Beispiel den Peripheral Component Interconnect Bus (PCI-Bus), Nußus, ISA Bus, TurboChannel, S-Bus, EISA Bus, Futureßus usw., die von der CPU unabhängig sind. Deshalb ist das System einzigartig für die verwendeten Prozessoren. Ein weiteres Beispiel eines solchen Systems wird in dem U. S.-Patent 5,136,595 beschrieben.
Das in diesem Patent beschriebene System ist um die Mikroprozessoren herum entworfen, die in der Funktion-Redundanz-Betriebsart wirken und ist deshalb mikroprozessorabhängig. Das System bietet keinen Schutz vor Speicherfehlern, da nur ein Speichersystem und zwei Mikroprozessoren gezeigt und beschrieben werden.
Außerdem verwendet das System keine standardmäßige, d. h. prozessorunabhängige E/A-Busstruktur. Weiterhin beschreibt das Dokument JP-A-5 265 790 eine Vorrichtung mit zwei Prozessoren, die dieselbe Operation durchführen und synchron betrieben werden. Jeder Prozessor verfügt über eine Fehlererkennungs- und Korrekturschaltung für die Daten der jedem Prozessor zugeordneten Cache-Speicher. Außerdem enthält die Vorrichtung eine Steuerschaltung, · eine Vergleichsschaltung, einen Signalweg von jedem Prozessor zu der Vergleichsschaltung, abhängig von der Art des lokalen Prozessorbusses, einen Systembus und einen Hauptspeicher, der über den Systembus verwendet wird. Die Vergleichsschaltung wirkt als Eingangs- und Ausgangseinheit für den Datenfluß zu und von dem Speicher. Jeder Zugriff eines der Prozessoren erfordert einen Durchsatzweg über die Vergleichsschaltung und den Systembus.
Das Dokument WO94/08293 lehrt das Wählen eines Prozessors in einer Prozessoransammlung als Master, wodurch der Master mit der Möglichkeit des Lesens und Schreibens mit dem Systembus verbunden ist. Ein anderer Prozessor der Ansammlung wird als Slave gewählt, wodurch der Slave ebenfalls mit dem Systembus verbunden ist, wobei aber nur Lesen gestattet wird. Da der Slave dasselbe Programm wie der Master verarbeiten und seine eigenen Daten mit Master-Daten vergleichen muß, arbeiten die beiden Prozessoren nicht synchron. Deshalb muß der Master auf das Ende des Vergleichsprozesses des Slave warten, bevor er den nächsten Programmschritt durchführt. Die Kommunikation mit Peripheriegeräten erfordert Brücken zwischen den mehreren verwendeten Bustypen.
Deshalb ist es wünschenswert, über eine Vergleichsschaltungs- oder Fehlerprüflogik zu verfügen, die nicht an einen spezifischen Prozessor oder an eine spezifische Chipsatzfamilie gebunden ist. Ferner ist es wünschenswert, daß die Vergleichsschaltung einen E/A- Bus verwendet, der vom Prozessor unabhängig ist. Es ist wünschenswert, daß die synchronisierten Mikroprozessoren mit dem prozessorunabhängigen E/A-Bus kompatibel ist. Diese Kompatibilität mit einem prozessorunabhängigen E/A-Bus ermöglicht ein Aufrüsten der Mikroprozessoren ohne Neuentwurf der Fehlerprüflogik. Außerdem ermöglicht die Verwendung eines standardmäßigen prozessorunabhängigen E/A-Busses, daß das resultierende System handelsübliche "gebrauchsfertige" Eingangs-/Ausgangs-Peripheriemodule verwendet, wodurch sich wesentlich niedrigere Systemgesamtkosten ergeben.

Beschreibung der Erfindung

Die Aufgaben der Erfindung werden gelöst durch ein System und Verfahren gemäß den unabhängigen Ansprüchen 1 bzw. 3. Eine weitere Verbesserung wird in dem abhängigen Anspruch 2 definiert.

Kurze Beschreibung der Zeichnung

Die einzige Figur der Zeichnung zeigt ein Blockschaltbild der Architektur einer Ausführungsform der vorliegenden Erfindung.

Beste Art der Ausführung der Erfindung

Mit Bezug auf die Zeichnungsfigur ist eine Fehlererkennungs-Prozessorarchitektur mit sehr hoher Integrität gezeigt, die einen primären Prozessor 20 und einen "Prüf"-Prozessor 30 enthält. Der primäre Prozessor 20 besteht aus einer CPU 1, einem Speichersystem 3, das aus einem Direktzugriffsspeicher (RAM) 3a besteht, einem Nur-Lese-/Flash-Speicher 3b und einem nichtflüchtigen RAM 3c, einem Adreß-, Daten- und Steuerbus 15 und einer Busschnittstelle 7. Der Prüfprozessor 30 besteht aus einer CPU 2, einem Speichersystem 4, das aus einem Direktzugriffsspeicher (RAM) 4a besteht, einem Nur-Lese-/Flash-Speicher 4b und einem nichtflüchtigen RAM 4c, einem Adress-, Daten- und Steuerbus 16 und einer Busschnittstelle 8.
Diese beiden Prozessoren können unter Verwendung von handelsüblichen Mikroprozessoren und Unterstützung-"Chipsätzen", wie zum Beispiel der 80 · 86- Familie von Mikroprozessoren von Intel und der Power- PV/CHRP (gemeinsame Hardware-Bezugsplattform) entsprechenden Systemkomponenten und -plattformen, implementiert werden. Demgemäß würde einer dieser beiden Prozessoren für sich (mit bestimmten Eingangs-/Ausgangsgeräten) als mit vielen handelsüblichen standardmäßigen "Desktop- Computerplattformen" identisch erscheinen.
Der primäre Prozessor 20 alleine enthält nur dieselbe begrenzte Menge von Fehlererkennungsschaltkreisen, wie zum Beispiel Paritätsprüfung an dem RAM-Speicher 3a, die Desktop- Computerplattformen gemeinsam ist. Aus diesem Grund wird er als eine einzelne, "nicht vertrauenswerte" CPU betrachtet. Das heißt, man kann sich nicht darauf verlassen, daß er keine falschen Daten liefert, wenn ein Systemfehler auftritt, da sein Umfang von Fehlererkennungslogik begrenzt ist.
Der Prüfprozessor 30 wird dem primären Prozessor 20 so hinzugefügt, daß eine synchrone, "schrittsynchronisierte" Ausführung von Befehlen erzeugt wird. Dies erfolgt durch Bereitstellung eines gemeinsamen Takts 6, einer Synchronisierungs-Interrupt- Steuerung 5 und eine derartige Verbindung der Busschnittstellen 7, 8, daß sie aus dem gemeinsamen Takt arbeiten. Die Synchronisierungs-Interrupt- Steuerung 5 stellt sicher, daß die Prozessoren 20 und 30 gleichzeitig Interrupts erhalten.
Bei den Busschnittstellen 7, 8 kann es sich um ein beliebiges von weit verbreiteten Mikroprozessor- Bussystemen handeln. In der Zeichnungsfigur ist der PCI-Bus gezeigt, die Erfindung arbeitet jedoch genausogut mit Nußus, ISA-Bus, TurboChannel, S-Bus, EISA-Bus, Futureßus oder einer beliebigen anderen elektrischen E/A-Schnittstelle. Es sollte beachtet werden, daß die Verwendung standardmäßiger Busschnittstellen durch das Hinzufügen des gemeinsamen Takts 6 und der Synchronisierungs-Interrupt-Steuerung 5 ermöglicht wird, wodurch die vorliegende Erfindung von den Mikroprozessorherstellern bereitgestellte VLSI- Schnittstellenlogik verwenden kann.
Die vorliegende Erfindung enthält außerdem eine Prüflogik 9 und einen prozessorunabhängigen E/A-Bus 10. Die Prüflogik 9 wird außerhalb des Prozessorpaars 20, 30 hinzugefügt und ist, wie in der Figur gezeigt, an den Busschnittstellen 7, 8 elektrisch nicht direkt, wie im Stand der Technik üblich, mit den Mikroprozessor- Systembussen (15, 16) verbunden. Außerdem ist in der Figur zu sehen, daß die Prüflogik 9 elektrisch mit dem prozessorunabhängigen E/A-Bus 10 verbunden ist. Außerdem kann die resultierende Computerplattform durch Verwendung eines industriestandardmäßigen Eingangs-/Ausgangs-Bussystems 10 viele standardmäßige Mikrocomputerperipheriegeräte verwenden, die zusehr niedrigen Kosten erhältlich sind. Als Beispiele solcher Peripheriegeräte sind in der Zeichnungsfigur ein Takt-/Datumsgeber 11, eine DMA-Steuerung 12, ein RAM- Datenpuffer 13, der Teil einer an ein lokales Netz 13b angeschlossenen Netzsteuerung 13a ist, und ein RAM- Datenpuffer 14, der Teil einer mit Festplatten-/Diskettensystemen 14b verbundenen Plattensteuerung 14a ist, gezeigt.
Die Prüflogik 9 ist so ausgelegt, daß sie nur den Betrieb der beiden Prozessoren überwacht. Der Adreß-, Daten- und Steuerbus des primären Prozessors sind an die Prüflogik angeschlossen, wie auch die Busse aus dem Prüfprozessor. Nur die Adreß-, Daten- und Steuerleitung aus dem primären Prozessor sind direkt mit dem prozessorunabhängigen E/A-Bus 10 verbunden. Die Leitungen des Prüfprozessors sind nur mit der Prüflogik und nicht direkt mit anderen Geräten, wie zum Beispiel den Standard-Peripheriegeräten 11-14, verbunden.
Die durch die Prüflogik bereitgestellten Funktionen sind wie folgt:
1) Überprüfen, daß die beiden Prozessoren über alle Adressen und in mit dem prozessorunabhängigen E/A-Bus 10 verbundene Geräte zu schreibende Daten übereinstimmen;
2) Synchronisieren aller Daten, die aus dem prozessorunabhängigen E/A-Bus kommen, so daß beiden Prozessoren identische Datenmengen vorgelegt werden; und
3) Setzen des Signals "Ende bei Fehler" 17 bei jeglicher Unstimmigkeit zwischen den Adreß-, Daten- und Steuerleitungen der Prozessoren 20 und 30. Das Signal Ende bei Fehler 17 stoppt den Betrieb der Prozessoren sofort, wenn ein Fehler erkannt wird.
Die Kombination der beiden Prozessoren und der Prüflogik bildet einen "vertrauenswerten CPU-Kern", da man sich nun darauf verlassen kann, daß der Betrieb des resultierenden Systems sofort stoppt, wenn eine Nichtübereinstimmung erkannt wird. Es sollte beachtet werden, daß alle Eingangs-/Ausgangsgeräte als "nicht vertrauenswerte" Betriebsmittel betrachtet werden, da an diesen Geräten keine Hardware-Fehlerprüfung bereitgestellt wird. Neuere Fortschritte bei softwaregestützten Fehlererkennungsalgorithmen können jedoch einen äußerst hohen Grad der Fehlererkennung für diese Geräte liefern. Dies ist möglich, da die Software selbst auf einer "vertrauenswerten" Plattform abläuft.

Claims

1. Computersystem mit Fehlererkennung mit:

(a) einem prozessorunabhängigen Eingangs-/ Ausgangsbus (E/A-Bus) (10) eines vorbestimmten Typs;

(b) einem ersten Prozessor (20) nebst zugeordneter Busschnittstelle (7) einer vorbestimmten Art, die beide kompatibel mit dem prozessorunabhängigen Eingangs-/Ausgangsbus (E/A-Bus) (10) des vorbestimmten Typs sind;

(c) einem zweiten Prozessor (30) nebst zugeordneter Busschnittstelle (8), beides von der vorbestimmten Art;

(d) wobei der erste und der zweite Prozessor (20, 30) miteinander synchronisiert arbeiten; und

(e) einem Fehlerprüf-Teilsystem (9) zur Bestimmung des Auftretens einer etwaigen Unstimmigkeit zwischen dem ersten und zweiten Prozessor (20, 30) bei der Datenübertragung auf den E/A-Bus (10) des vorbestimmten Typs und zum Stoppen des Betriebs der Prozessoren (20, 30) bei diesem Auftreten,

wobei der erste Prozessor (20) durch die zugeordnete Busschnittstelle (7) mit dem Fehlerprüf- Teilsystem (9) verbunden ist und der zweite Prozessor (30) durch die zugeordnete Busschnittstelle (8) mit dem Fehlerprüf-Teilsystem (9) verbunden ist,

dadurch gekennzeichnet, daß

nur ein ausgewählter der beiden Prozessoren (20, 30) direkt mit dem unabhängigen Eingangs-/ Ausgangsbus (10) zur Übertragung von Daten durch die dem ausgewählten der Prozessoren zugeordnete der Busschnittstellen (7, 8) auf den prozessorunabhängigen E/A-Bus (10) verbunden ist,

wodurch die durch die beiden Busschnittstellen (7, 8) bereitgestellte Verbindung gestattet, beide Prozessoren (20, 30) und beide zugeordneten Busschnittstellen (7, 8) aufzurüsten, indem beide Prozessoren (20, 30) und beide zugeordneten Busschnittstellen (7, 8) entfernt und die entfernten Prozessoren (20, 30) und die entfernten zugeordneten Busschnittstellen (7, 8) jeweils durch einen Prozessor und eine zugeordnete Busschnittstelle einer anderen vorbestimmten Art ersetzt werden, die ebenfalls mit dem E/A-Bus (10) des vorbestimmten Typs kompatibel ist, ohne daß das Fehlerprüf-Teilsystem (9) durch ein Fehlerprüf-Teilsystem ersetzt werden muß, das mit den Prozessoren und den zugeordneten Busschnittstellen einer anderen vorbestimmten Art kompatibel ist.

2. System nach Anspruch 1, wobei ein gemeinsamer Takt (6) und eine Sychronisierungs-Interruptsteuerung (5) mit dem ersten und dem zweiten Prozessor (20, 30) verbunden sind, um einen synchronisierten Betrieb der Prozessoren (20, 30) bereitzustellen.

3. Verfahren zur Bereitstellung eines verläßlichen Betriebs eines Computersystems mit einem prozessorunabhängigen Eingangs-/Ausgangsbus (E/A-Bus) (10) eines vorbestimmten Typs und zwei Prozessoren (20, 30), die miteinander synchronisiert arbeiten, wobei beide Prozessoren (20, 30) eine zugeordnete Busschnittstelle (7, 8) aufweisen und die Prozessoren (20, 30) und die zugeordneten Busschnittstellen (7, 8) jeweils von einer vorbestimmten Art sind, die mit dem prozessorunabhängigen Eingangs-/Ausgangsbus (E/A-Bus) (10) des vorbestimmten Typs kompatibel ist, wobei das Verfahren die folgenden Schritte umfaßt:

(a) Verbinden jedes der Prozessoren (20, 30) durch die zugeordnete Busschnittstelle (7, 8) mit einem Fehlerprüf-Teilsystem (9) zur Bestimmung des Auftretens einer etwaigen Unstimmigkeit zwischen den Prozessoren (20, 30) bei der Datenübertragung auf den E/A-Bus (10) des vorbestimmten Typs; und

(b) Stoppen des Betriebs der Prozessoren (20, 30) bei diesem Auftreten,

dadurch gekennzeichnet, daß