DE102008020812A1

DE102008020812A1 - Vorrichtung zum Erkennen eines in einem Prozessor vorhandenen Fehlers

Info

Publication number: DE102008020812A1
Application number: DE200810020812
Authority: DE
Inventors: Harald Karl; Karl-Heinz Kern
Original assignee: Siemens AG; Siemens Corp
Current assignee: Siemens AG; Siemens Corp
Priority date: 2008-04-25
Filing date: 2008-04-25
Publication date: 2009-10-29
Also published as: WO2009130107A1

Abstract

Die Erfindung betrifft eine Vorrichtung zum Erkennen eines in einem Prozessor (1) vorhandenen Fehlers durch einen Überwachungsprozessor (2), der mit dem Prozessor (1) verbunden ist. Es ist vorgesehen, dass der Überwachungsprozessor (2) eine Frageeinheit (6) enthält, die über eine Schnittstelle (8) in einem als unsicher geltenden Modul (4) des Prozessors (1) mit einer Antworteinheit (7) in einem als sicher geltenden Modul (5) des Prozessors (1) in Verbindung steht.

Description

Die Erfindung betrifft eine Vorrichtung zum Erkennen eines in einem Prozessor vorhandenen Fehlers durch einen Überwachungsprozessor, der mit dem Prozessor verbunden ist.
Es ist bereits vorgeschlagen worden, einen Prozessor durch einen separaten Überwachungsprozessor auf Fehler zu überwachen. Dabei basiert die Überwachung auf einer zyklischen Kommunikation. In einem solchen Prozessor sind häufig Module enthalten, die sich bereits im Einsatz bewährt haben. Diese Module sind fertige Produkte und gelten als fehlerfrei, weil sie schon lange bei vielen Anwendern fehlerfrei im Einsatz waren. Eine zyklische Kommunikation ist dabei nicht vorgesehen. Trotzdem kann es durch einen zufällig auftretenden Hardwarefehler zu einer Störung in den als fehlerfrei geltenden Modulen kommen.
Ein solcher Hardwarefehler wird durch den separaten Überwachungsprozessor nicht entdeckt, sodass die Module unsicher sind. Das ist darauf zurückzuführen, dass der Überwachungsprozessor die im Einsatz bewährten Module des Prozessors mit zyklischer Kommunikation nicht erreicht.
Der Erfindung liegt die Aufgabe zugrunde, eine Vorrichtung zum Erkennen eines Fehlers in einem Prozessor anzugeben, die zuverlässiger als alle bisher vorhandenen Vorrichtungen arbeitet und auch die als unsicher geltenden Module überprüft. Insbesondere sollen auch Module des Prozessors, die keine direkte Verbindung zum Überwachungsprozessor haben, zu überprüfen sein.
Die Aufgabe wird gemäß der Erfindung dadurch gelöst, dass der Überwachungsprozessor eine Frageeinheit enthält, die über eine Schnittstelle in einem als unsicher geltenden Modul des Prozessors mit einer Antworteinheit in einem als sicher geltenden Modul des Prozessors in Verbindung steht.
Damit wird der Vorteil erzielt, dass dann, wenn die korrekte Antwort auf die gestellte Frage eintrifft, mit hoher Zuverlässigkeit festgestellt werden kann, dass in allen Modulen des Prozessors kein Fehler vorliegt.
Beispielsweise ist dem als unsicher geltenden Modul im Prozessor ein als sicher geltendes Testmodul vorgeschaltet. Bereits im Testmodul kann dann die von der Antworteinheit kommende Antwort analysiert werden und es können bei einem festgestellten Fehler geeignete Maßnahmen ergriffen werden.
Beispielsweise sind die Frageeinheit und die Antworteinheit durch ein sicheres Telegramm miteinander verbunden. Ein solches sicheres Telegramm gewährleistet, dass die Frage zur Antworteinheit und entsprechend die zu dieser Frage gehörende Antwort wieder zurück zur Frageeinheit gelangt. Jedes sichere Telegramm hat eine bestimmte Nummer, damit es zuverlässig erkannt werden kann.
Beispielsweise ist durch die Frageeinheit ein einfacher Algorithmus in der Schnittstelle erzeugbar und an die Antworteinheit übermittelbar zur Berechnung und zur Rücksendung des Ergebnisses an den Überwachungsprozessor und/oder an das als sicher geltende Testmodul. Anhand der zurückgesendeten Antwort, die bereits bekannt war, wird zuverlässig festgestellt, ob der Prozessor und insbesondere das als unsicher geltende Modul funktionsfähig sind.
Der Algorithmus kann eine einfache mathematische Aufgabe, wie 2x + 1 sein, wobei x eine beliebige Zahl ist. Der Algorithmus ist in der Frageeinheit und in der Antworteinheit bekannt.
Beispielsweise sind der Überwachungsprozessor und/oder das als sicher geltende Testmodul zum Erkennen eines falschen und/oder verzögert zurück gesendeten Ergebnisses geeignet.
Mit der Vorrichtung nach der Erfindung wird insbesondere der Vorteil erzielt, dass mit einfachen Mitteln zuverlässig ein Fehler in einem Prozessor zu erkennen ist, der sich auch in einem unsicheren Modul des Prozessors befinden kann und insbesondere ein zufälliger Hardwarefehler ist.
Die Vorrichtung nach der Erfindung wird anhand der Zeichnung näher erläutert:
Zum Erkennen eines Fehlers in einem Prozessor 1 ist ein Überwachungsprozessor 2 vorhanden, der mit dem Prozessor 1 in Verbindung steht. Im Prozessor 1 befinden sich mehrere Module 3 bis 5, von denen eines ein unsicheres Modul 4 ist, da es, obwohl es ein bewährtes Modul ist, durch einen zufällig auftretenden Hardwarefehler gestört sein kann.
Um alle Module 3 bis 5 im Prozessor 1 in gleicher Weise auf Fehler überwachen zu können, befinden sich eine Frageeinheit 6 im Überwachungsprozessor 2 und eine Antworteinheit 7 in einem sicheren Modul 5 des Prozessors 1. Die Frageeinheit 6 und die Antworteinheit 7 sind durch ein sicheres Telegramm miteinander verbunden, damit einer Frage stets die zu ihr gehörende Antwort zugeordnet ist. Im unsicheren Modul 4 ist eine Schnittstelle 8 vorhanden, die die Fragen der Frageeinheit 6 und die Antworten der Antworteinheit 7 weiterleitet. Wenn eine korrekte Antwort auf eine gestellte Frage eintrifft, wird mit hoher Zuverlässigkeit festgestellt, dass im als unsicher geltenden Modul 4 kein Fehler vorliegt.
Von der Frageeinheit 6 wird in einem Telegramm ein Algorithmus zur Antworteinheit 7 gesendet. Von dort wird das im Prozessor 1 berechnete Ergebnis an die Frageeinheit 6 oder an ein als sicher geltendes Testmodul 3 zurückgesendet. Falls das Ergebnis mit dem erwarteten Ergebnis übereinstimmt, wird angenommen, dass das als unsicher geltende Modul 4 und damit der gesamte Prozessor 1 in einem sicheren Zustand sind.
Mit der Vorrichtung nach der Erfindung ist eine zuverlässige Überprüfung des Prozessors 1 möglich, selbst dann, wenn in dem unsicheren Modul 4 den Überwachungsprozess störende Hardwarefehler vorhanden sein sollten.

Claims

Vorrichtung zum Erkennen eines in einem Prozessor (1) vorhandenen Fehlers durch einen Überwachungsprozessor (2), der mit dem Prozessor (1) verbunden ist, dadurch gekennzeichnet, dass der Überwachungsprozessor (2) eine Frageeinheit (6) enthält, die über eine Schnittstelle (8) in einem als unsicher geltenden Modul (4) des Prozessors (1) mit einer Antworteinheit (7) in einem als sicher geltenden Modul (5) des Prozessor (1) in Verbindung steht.
Vorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass dem als unsicher geltenden Modul (4) im Prozessor (1) ein als sicher geltendes Testmodul (3) vorgeschaltet ist.
Vorrichtung nach einem der Ansprüche 1 oder 2, dadurch gekennzeichnet, dass die Frageeinheit (6) und die Antworteinheit (7) durch ein sicheres Telegramm miteinander verbunden sind.
Vorrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass durch die Frageeinheit (6) ein einfacher Algorithmus in der Schnittstelle (8) erzeugbar und an die Antworteinheit (7) übermittelbar ist, zur Berechnung und zur Rücksendung des Ergebnisses an den Überwachungsprozessor (2) und/oder an das als sicher geltende Testmodul (3).
Vorrichtung nach Anspruch 4, dadurch gekennzeichnet, dass der Überwachungsprozessor (2) und/oder das als sicher geltende Testmodul (3) zum Erkennen eines falschen und/oder verzögert zurück gesendeten Ergebnisses geeignet sind.