SE516953C2 - Datoranordning med säkerhetsfunktion - Google Patents

Description

25 30 35 n n n | Q a n . en >sws 9sa 2 av till datoranordningen överförs centralprocessorns status och innehållet i ett huvudminne till nämnda backup-minne. När se- dan datoranordningen åter startas genom att strömförsörjningen ansluts på nytt så återställs vad som finns lagrat i backup-min- net.

EP-A-265 366 beskriver en datoranordning som innefattar ett primärt minne och ett backup-minne. Omkoppling från det pri- mära minnet till backup-minnet görs med hjälp av en ”Backup Control System Transfer Mechanism”. Denna mekanism är rela- tivt komplicerad. Vid generering av en power-on-reset signal sä- kerställer nämnda mekanism att omstart sker från primärminnet (se spalt 6, rad 21-28).

Det föreligger ett behov av att förbättra säkerhetsfunktionen hos en datoranordning. Sålunda finns ett behov att på ett säkert sätt omstarta datoranordningen när ett fel har detekterats. Ett sådant fel som kan förorsaka fel i datorns drift är exempelvis minnesfel som kan uppträda i det minne där program finns lagrade som exekveras i datoranordningen. Fel kan även förorsakas av pro- gramvaran som finns lagrad i datoranordningens minne. Exem- pelvis kan sådana fel uppstå om ny programvara används som inte är fullständigt utprovad. Vidare finns ett behov av att säker- ställa funktionen hos datoranordningen med relativt enkla me- del. Ett ytterligare problem är att säkerställa åtminstone vissa basfunktioner hos datoranordningen när olika fel uppstår.

SAMMANFATTNING AV UPPFINNINGEN Ändamålet med föreliggande uppfinning är att åstadkomma en datoranordning med en tillförlitlig säkerhetsfunktion som dess- utom uppnås med relativt enkla medel.

Detta ändamål uppnås med den inledningsvis angivna datoran- ordningen som kännetecknas av en ytterligare minnesenhet som är inrättad att innehålla åtminstone vissa grundläggande sy- 10 15 20 25 30 35 n s o . . o > ~ a. 516 9353 3 steminstruktioner, varvid datoranordningen är inrättad så att processororganet, vid återstart genererad av nämnda återstart- signal från övervakningsenheten, kopplas upp mot den ytterli- gare minnesenheten och läser och exekverar instruktioner som finns lagrade i denna, medan den ordinarie minnesenheten är bortkopplad från processororganet.

Genom att processororganet kopplas upp mot den ytterligare minnesenheten när en återstartsignal har genererats av över- vakningsenheten så undviks att eventuella fel som föreligger i de instruktioner som är lagrade i den ordinarie minnesenheten överförs till processororganet. Därigenom uppnås en säkrare omstart av datoranordningen efter det att en återstartsignal har genererats som svar på ett detekterat fel. I detta sammanhang bör noteras att när ,i patentkraven och beskrivningen anges att en minnesenhet kopplas upp eller är bortkopplad från proces- sororganet så menas därmed inte nödvändigtvis att bortkoppling sker genom att fysiskt bryta förbindelsen mellan processororga- net och minnesenheten i fråga. Begreppen koppla upp och bort- koppla innefattar således två möjligheter: dels fysisk koppling genom brytning av förbindelsen, dels uppkoppling och bortkopp- ling på programnivå.

Enligt en utföringsform av uppfinningen utgör den ordinarie min- nesenheten och den ytterligare minnesenheten två olika, fysiskt separata, minnen. Därigenom uppnås ökad säkerhet eftersom den ordinarie minnesenheten föreligger som ett separat minne som är helt bortkopplat från processororganet vid återstart.

Enligt en alternativ utföringsform av uppfinningen utgör den or- dinarie minnesenheten och den ytterligare minnesenheten två delar av fysiskt samma minne, men med olika minnesadresser.

Genom denna konstruktion krävs färre minneskomponenter ef- tersom den ytterligare minnesenheten finns lagrad som en spe- ciell del av det minne där även den ordinarie minnesenheten in- gar. 10 15 20 25 30 35 o n q o ~ n . n .a a o n o u. o | | n a . »- S16 951 4 Enligt en ytterligare utföringsform av uppfinningen är nämnda övervakningsenhet inrättad att generera en signal i beroende av en timer på så sätt att nämnda återstartsignal genereras om ingen trigger-signal som nollställer timern erhålls inom ett förut- bestämt tidsintervall. Övervakningsenheten kan i detta fall såle- des utgöras av en så kallad watchdog timer (WDT). En sådan WDT ingår ofta i datoranordningar. Således kan en sådan väl fungerande redan befintlig WDT användas som övervakningsen- het i anordningen enligt föreliggande uppfinning. Det bör dock påpekas att även andra typer av övervakningsenheter än en WDT kan användas i datoranordningen enligt uppfinningen.

Enligt ännu en utföringsform av uppfinningen innefattar datoran- ordningen en minnessäkerhetskrets som är inrättad att stoppa inläsning från den ordinarie minnesenheten och att koppla upp för inläsning från nämnda ytterligare minnesenhet när både nämnda återstartsignal och en signal indikerande pålagd driv- spänning föreligger. En sådan minnessäkerhetskrets är en rela- tivt enkel och väl fungerande krets som tillser att omkoppling från den ordinarie till den ytterligare minnesenheten sker. Vidare säkerställer denna minnessäkerhetskrets att en sådan omkopp- ling endast sker om drivspänning till datoranordningen förelig- ger.

Enligt en ytterligare utföringsform av uppfinningen är nämnda ytterligare minnesenhet inrättad så att den innehåller grund- läggande systeminstruktioner men en hög nivå av funktionssä- kerhet. Den ytterligare minnesenheten kan härvid vara inrättad att innehålla systeminstruktioner som redan har varit väl testade och som därför har en hög funktionssäkerhet. Den ytterligare minnesenheten kan härvid också vara försedd med de grund- läggande instruktionerna för datoranordningen medan icke nöd- vändiga systeminstruktioner har uteslutits från nämnda ytterli- gare minnesenhet. 10 15 20 25 30 35 u o o . n Q u v no v ~ . n a c o u ao n o ø n nu o o n | - n o n nu 51-6 953 Enligt ännu en utföringsform av uppfinningen är nämnda ytterli- gare minnesenhet inrättad så att den innehåller systeminstruk- tioner med en nivå av funktionssäkerhet som är högre än den nivå av funktionssäkerhet som föreligger i den ordinarie minnes- enheten. Således kan den ordinarie minnesenheten innefatta sy- steminstruktioner som ej är så väl testade i datoranordningen.

Den ytterligare minnesenheten kan därvid innehålla de grund- läggande systeminstruktionerna som redan har visat sig ha hög funktionssäkerhet. inom uppfinningens ram ligger givetvis även möjligheten att den ordinarie minnesenheten och den ytterligare minnesenheten innehåller systeminstruktioner med samma nivå av funktionssäkerhet.

Enligt en ytterligare utföringsform av uppfinningen är åtminstone nämnda ytterligare minnesenhet ett icke flyktigt minne. Detta bi- drar till en ökad funktionssäkerhet hos datoranordningen.

Enligt ännu en utföringsform av uppfinningen innefattar nämnda processororgan ett arbetsminne som är så inrättat att vid åter- start av datoranordningen nollställs detta arbetsminne innan in- läsning från nämnda ytterligare minnesenhet påbörjas. Därige- nom säkerställs att instruktioner som kan innehålla fel och som härrör från den ordinarie minnesenheten ej kvarligger i arbets- minnet innan inläsning från den ytterligare minnesenheten på- börjas.

Enligt en ytterligare utföringsform av uppfinningen är nämnda ytterligare minnesenhet inrättad att vara skrivskyddad åt- minstone då datoranordningen är i drift. Detta bidrar till ytterli- gare säkerhet eftersom innehållet i den ytterligare minnesenhe- ten är skyddat och ej kan ändras då datoranordningen är i drift.

Enligt ännu en utföringsform av uppfinningen är datoranord- ningen inrättad så att om nämnda återstartsignal har genererats ett förutbestämt antal gånger så genereras, om åter ett fel upp- står, nämnda stoppsignal. Detta innebär att övervakningsenhe- 10 15 20 25 30 35 516» 953' ten genererar ett förutbestämt antal återstartsignaler. Om det visar sig att fel föreligger även efter det att ett förutbestämt an- tal återstartförsök har gjorts så stoppas datoranordningen.

Enligt ännu en utföringsform av uppfinningen innefattar datoran- ordningen omkopplingsorgan för att manuellt generera nämnda återstartsignal. Detta innebär att förutom automatisk generering av återstartsignal genom övervakningsenheten kan även en ma- nuell återstartsignal genereras av en operatör. En operatör kan således beordra att återstart från den ytterligare minnesenheten ska ske.

KORT BESKRIVNING AV RITNINGEN Föreliggande uppfinning skall nu förklaras med hjälp av en be- skriven utföringsform, som utgör ett exempel på uppfinningen, och med hänvisning till den bifogade ritningen.

Fig 1 visar schematiskt ett blockschema av en utföringsform av uppfinningen.

DETALJERAD BESKRIVNING AV EN UTFÖRINGSFORM AV UPPFINNINGEN Fig 1 visar ett blockschema av en utföringsform av uppfinningen.

Datoranordningen innefattar ett processororgan 10. Med detta processororgan 10 avses inte endast datoranordningens cen- trala processorenhet (CPU) utan även andra centrala delar av datoranordningen såsom exempelvis arbetsminnet 22. Datoran- ordningen innefattar även en ordinarie minnesenhet 12. Denna ordinarie minnesenhet 12 kan exempelvis utgöras av någon form av PROM, exempelvis UVPROM, EEPROM eller liknande. När datoranordningen först startas uppkopplas processororganet 10 mot den ordinarie minnesenheten 12. Denna ordinarie min- nesenhet 12 är således inrättad att innehålla de instruktioner som styr datoranordningens drift. Datoranordningen innefattar 10 15 20 25 30 35 o n o n n o c - nu 516 953 även en övervakningsenhet 14. Övervakningsenheten 14 över- vakar datoranordningens funktion och är inrättad att generera en återstartsignal eller stoppsignal till processororganet 10 om övervakningsenheten 14 detekterar ett fel. Övervakningsenheten 14 kan exempelvis utgöras av en så kallad watchdog timer (WDT). En sådan WDT 14 genererar en signal som beror av en timer 18. En återstartsignal genereras därvid om WDT:n 14 inom ett förutbestämt tidsintervall inte erhåller en trigger-signal som nollställer timern 18. För att ha hög säkerhet innefattar WDT:n 14 lämpligen en egen timer 18. Det är dock möjligt att WDT:ns 14 timer-funktion styrs av samma klocka som ingår i processororganet 10.

Datoranordningen innefattar även en ytterligare minnesenhet 16.

Denna ytterligare minnesenhet 16 är inrättad att innehålla åt- minstone vissa grundläggande systeminstruktioner. Den ytterli- gare minnesenheten 16 kan utgöra ett minne som är fysiskt se- parat från den ordinarie minnesenheten 12. Det är även möjligt att den ordinarie minnesenheten 12 och den ytterligare minnes- enheten 16 utgör två delar av fysiskt samma minne. För att yt- terligare öka säkerheten om ett minnesfel skulle uppstå kan den ordinarie minnesenheten 12 och den ytterligare minnesenheten 16 utgöras av fysiskt separata minnen av olika typ, exempelvis från olika tillverkare. Den ytterligare minnesenheten utgörs lämpligen av någon form av PROM, exempelvis UVPROM eller EEPROM.

Datoranordningen innefattar även en minnessäkerhetskrets 20.

Denna minnessäkerhetskrets 20 kan ingå som en del av proces- sororganet 10. I den visade utföringsformen utgör emellertid minnessäkerhetskretsen 20 en separat krets. Minnessäkerhets- kretsen 20 innefattar en AND-grind 21. Minnessäkerhetskretsen 20 styr vilken av den ordinarie minnesenheten 12 och den ytter- ligare minnesenheten 16 som skall vara inkopplad till processor- organet 10. Denna styrning kan antingen utgöras av brytning eller slutning av den elektriska förbindelsen mellan respektive 10 15 20 25 30 35 o n . | Q | | u oo 516- 953 s minnesenhet 12, 16 och processorenheten 10 eller också utgö- ras av styrning på programnivå av dessa förbindelser. Det är även möjligt att styrningen utgörs av en kombination av pro- gramvaruinstruktioner och fysisk brytning eller slutning. AND- grindens ena ingång är ansluten till en ledning 23 som indikerar att drivspänning föreligger. AND-grindens 21 andra ingång är ansluten till en ledning 25 som är förbunden med WDT:n 14. Via denna ledning 25 leds en av WDT:n 14 genererad återstartsignal till AND-grinden 21 och därmed till minnessäkerhetskretsen 20.

Datoranordningen innefattar även ett omkopplingsorgan 24 för att manuellt generera en återstartsignal. Detta omkopplingsor- gan 24 kan lämpligen vara anslutet till den ingång hos AND- grinden som även är ansluten till WDT:n 14.

WDT:n 14 övervakar således datoranordningens funktion. När datoranordningen fungerar normalt erhåller WDT:n 14 med jämna mellanrum en trigger-signal från processororganet 10.

Denna trigger-signal nollställer timern 18. Därvid genererar WDT:n 14 ingen återstartsignal till ledningen 25. Om emellertid fel uppstår så att WDT:n 14 ej erhåller någon trigger-signal inom ett förutbestämt tidsintervall från processororganet 10 så gene- rerar WDT:n 14 en återstartsignal. Denna återstartsignal leds således till den ena ingången hos AND-grinden 21. När AND- grinden 21 erhåller en sådan återstartsignal, och om samtidigt AND-grindens 21 andra ingång detekterar att drivspänning före- ligger, så tillser minnessäkerhetskretsen 20 att den ordinarie minnesenheten 12 kopplas bort från processororganet 10 och att den ytterligare minnesenheten 16 kopplas upp mot processoror- ganet 10. Även processororganet 10 erhåller en signal, lämpli- gen från WDT:n 14, om att återstart skall genomföras. Proces- sororganets 10 arbetsminne 22 nollställs därvid, varefter inläs- ning från den ytterligare minnesenheten 16 sker. lnläsning sker därvid till förutbestämda adresser hos arbetsminnet 22. Proces- sororganet 10 läser och exekverar således de instruktioner som finns lagrade i den ytterligare minnesenheten 16. 10 15 20 25 30 516 953 9 Det är tänkbart att ett återstartförsök misslyckas och att WDT:n 14 därför genererar en ny återstartsignal. Om ånyo fel detekte- ras kan ytterligare återstartsignaler genereras av WDT:n 14.

Datoranordningen är därvid lämpligen inrättad så att när ett för- utbestämt antal återstartförsök har gjorts så stoppas återstart- försöken. Därvid kan en varningsfunktion genereras av datoran- ordningen och senaste information beträffande processororga- nets 10 och minnesenheternas 12, 16 status kan registreras för senare analys. Lämpligen är datoranordningen inrättad så att återstartförsöken stoppas efter exempelvis ett till fyra återstart- försök, företrädesvis efter två återstartförsök. Datoranordningen kan därvid vara inrättad så att återstartförsöken stoppas om nämnda förutbestämda antal återstartförsök har genomförts inom ett förutbestämt tidsintervall.

För ökad säkerhet är lämpligen den ytterligare minnesenheten 16 inrättad så att den är skrivskyddad när datoranordningen är i drift. Vidare utgörs lämpligen såväl den ordinarie minnesenheten 12 som den ytterligare minnesenheten 16 av icke flyktiga min- nen.

Den ytterligare minnesenheten 16 är lämpligen inrättad så att den innehåller grundläggande systeminstruktioner vid en hög nivå av funktionssäkerhet. Den ytterligare minnesenheten 16 kan därvid innehålla primära och välutprovade systemfunktioner.

Lämpligen är den ytterligare minnesenheten 16 inrättad så att den därvid innehåller systeminstruktioner med en högre nivå av funktionssäkerhet än de systeminstruktioner som föreligger i den ordinarie minnesenheten 12. Med uttrycket ”nivå av funktionssä- kerhet” kan härvid exempelvis avses de programvarusäkerhets- nivåer som definierats enligt RTCA-standard dokument NO.RTCA/DO-178B. 516 øsrst 1 O Föreliggande uppfinning är inte begränsad till den visade utfö- ringsformen utan kan varieras och modifieras inom ramen för de efterföljande patentkraven.

Claims (12)

10 15 20 25 30 35 516 953 11 Patentkrav

1. Datoranordning med säkerhetsfunktion för att undvika ej nödvändig nedkoppling av datoranordningen, innefattande processororgan (10), i en ordinarie minnesenhet (12) ansluten till nämnda pro- cessororgan (10) och inrättad att innehålla åtminstone ett pro- gram som exekveras av processororganet (10), en övervakningsenhet (14) som övervakar datoranordning- ens funktion och som är inrättad att, om fel uppstår, sända en återstartsignal eller stoppsignal till processororganet (10), kännetecknad av en ytterligare minnesenhet (16) som år inrättad att inne- hålla åtminstone vissa grundläggande systeminstruktioner, var- vid datoranordningen är inrättad så att processororganet (10), alltid vid återstart genererad av nämnda återstartsignal från övervakningsenheten (14), kopplas upp mot den ytterligare minnesenheten (16) och läser och exekverar instruktioner som finns lagrade i denna, medan den ordinarie minnesenheten (12) är bortkopplad från processororganet (10).

2. Datoranordning enligt krav 1, varvid den ordinarie minnes- enheten (12) och den ytterligare minnesenheten (16) utgör två olika, fysiskt separata, minnen.

3. Datoranordning enligt krav 1, varvid den ordinarie minnes- enheten (12) och den ytterligare minnesenheten (16) utgör två delar av fysiskt samma minne, men med olika minnesadresser.

4. Datoranordning enligt något av föregående krav, varvid nämnda övervakningsenhet (14) är inrättad att generera en sig- nal i beroende av en timer (18) på så sätt att nämnda återstart- signal genereras om ingen trigger-signal signal som nollställer timern (18) erhålls inom ett förutbestämt tidsintervall. i 10 15 20 25 30 35 0516; 953 12

5. Datoranordning enligt något av föregående krav, innefat- tande en minnessäkerhetskrets (20) som är inrättad att stoppa inläsning från den ordinarie minnesenheten (12) och att koppla upp för inläsning från nämnda ytterligare minnesenhet (16) när både nämnda återstartsignal och en signal indikerande pålagd drivspänning föreligger.

6. Datoranordning enligt något av föregående krav, varvid nämnda ytterligare minnesenhet (16) är inrättad så att den inne- håller grundläggande systeminstruktioner med en hög nivå av funktionssäkerhet.

7. Datoranordning enligt krav 6, varvid nämnda ytterligare minnesenhet (16) är inrättad så att den innehåller systemin- struktioner men en nivå av funktionssäkerhet som är högre än den nivå av funktionssäkerhet som föreligger i den ordinarie minnesenheten (12).

8. Datoranordning enligt något av föregående krav, varvid åt- minstone nämnda ytterligare minnesenhet (16) är ett icke flyktigt minne.

9. Datoranordning enligt något av föregående krav, varvid nämnda processororgan (10) innefattar ett arbetsminne (22) som är så inrättat att vid återstart av datoranordningen nollställs detta arbetsminne (22) innan inläsning från nämnda ytterligare minnesenhet (16) påbörjas.

10. Datoranordning enligt något av föregående krav, varvid nämnda ytterligare minnesenhet (16) är inrättad att vara skriv- skyddad åtminstone då datoranordningen är i drift.

11. Datoranordning enligt något av föregående patentkrav, in- rättad så att om nämnda återstartsignal har genererats ett förut- bestämt antal gånger så genereras, om åter ett fel uppstår, nämnda stoppsignal. 51 6 95.5 zxšzxš'¿..§:::§f=:f§:f 13

12. Datoranordning enligt något av föregående krav, innefat- tande omkopplingsorgan (24) för att manuellt generera nämnda återstartsignal.