DE102009001048A1

DE102009001048A1 - Vorrichtung und Verfahren zur Prüfung der Arbeitsweise eines Rechnersystems

Info

Publication number: DE102009001048A1
Application number: DE200910001048
Authority: DE
Inventors: Eberhard Boehl; Bernd Mueller; Markus Ferch; Yorck Collani; Holger Banski
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2009-02-20
Filing date: 2009-02-20
Publication date: 2010-08-26

Abstract

Die Erfindung betrifft eine Vorrichtung zur Prüfung der Arbeitsweise eines Rechnersystems, welches mindestens zwei Verarbeitungseinheiten (2, 3) aufweist, die in einem ersten Betriebsmodus arbeiten, in welchem die Verarbeitungseinheiten (2, 3) unterschiedliche Programme abarbeiten, oder in einem zweiten Betriebsmodus arbeiten, in welchem die Verarbeitungseinheiten (2, 3) identische Programme abarbeiten, wobei durch ein an eine Umschalteinrichtung (9) ausgegebenes Umschaltsignal zwischen den beiden Betriebsmodi umgeschaltet wird. Bei einer Vorrichtung, bei welcher die Funktionalität des Umschaltens mit der notwendigen Sicherheit gewährleistet ist, wird die Umschalteinheit (9) durch ein von einer Testeinheit (8) bewirktes Signal zur Umschaltung zwischen den beiden Betriebsmodi veranlasst, wobei ein von der Umschalteinheit (9) im Ergebnis der Umschaltung ausgegebenes Ausgangssignal an die Testeinheit (8) zur Prüfung der Funktionsfähigkeit der Umschalteinheit (9) zurückgeführt ist.

Description

Stand der Technik
Die Erfindung betrifft eine Vorrichtung zur Prüfung der Arbeitsweise eines Rechnersystems, welches mindestens zwei Verarbeitungseinheiten aufweist, die in einem ersten Betriebsmodus arbeiten, in welchem die Verarbeitungseinheiten unterschiedliche Programme abarbeiten oder in einem zweiten Betriebsmodus arbeiten, in welchem die beiden Verarbeitungseinheiten identische Programme abarbeiten, wobei durch ein an eine Umschalteinrichtung ausgegebenes Umschaltsignal zwischen den beiden Betriebsmodi umgeschaltet wird sowie ein Verfahren zur Durchführung der Prüfung.
Im Bereich sicherheitsrelevanter Anwendungen, wie es beispielsweise in der Automobiltechnik der Fall ist, müssen Fehler in der Hardware eines Mikroprozessors sorgfältig vermieden werden. Aus diesem Grund werden Überwachungsmaßnahmen durchgeführt, die die Fehler detektieren sollen.
In der DE 103 32 700 A1 sind ein Verfahren und eine Vorrichtung zur Umschaltung zwischen wenigstens zwei Betriebsmodi einer Prozessoreinheit beschrieben. Die Prozessoreinheit weist dabei zwei Prozessorkerne auf. In dem ersten Betriebsmodus führen die beiden Prozessorkerne unterschiedliche Programme aus, während sie im zweiten Betriebsmodus ein identisches Programm ausführen, wobei die Ergebnisse der beiden Rechnerkerne miteinander verglichen werden und bei einer Differenz ein Fehlersignal ausgegeben wird. Dabei werden nur im zweiten Betriebsmodus die Ausgangssignale der beiden Prozessorkerne miteinander verglichen.
Es ist bekannt, dass der den Vergleich der Ausgangssignale der beiden Prozessorkerne durchführende Vergleicher getestet wird, wobei die vergleichenden Daten durch Testdaten so ersetzt werden, dass der Vergleicher einen Unterschied erkennen muss. Im Falle einer Abweichung bei einem solchen Test wird die Prozessoreinheit nicht wie vorgesehen in Betrieb genommen.
Offenbarung der Erfindung
Der Erfindung liegt somit die Aufgabe zugrunde, einen Vorrichtung und ein Verfahren zur Prüfung eines Rechnersystems anzugeben, bei welchen die Funktionalität des Umschaltens mit der notwendigen Sicherheit gewährleistet wird.
Eine Vorrichtung zur Prüfung eines Rechnersystems mit den Merkmalen des Patentanspruchs 1 hat den Vorteil, dass die Umschaltung und neue Aktivierung der Betriebsmodi durch die Umschalteinheit immer gewährleistet ist. Dadurch, dass die Umschalteinrichtung durch ein von einer Testeinheit bewirktes Signal zur Umschaltung zwischen den beiden Betriebsmodi veranlasst wird, wobei ein von der Umschalteinrichtung im Ergebnis der Umschaltung ausgegebenes Ausgangssignal an die Testeinheit zur Prüfung der Funktionsfähigkeit der Umschalteinrichtung zurück geführt wird, kann die Testeinheit durch diese einfache Maßnahme immer sicher einschätzen, ob die Umschalteinrichtung zuverlässig arbeitet.
Vorteilhafterweise sind die Testeinheit und die Verarbeitungseinheiten mit einer Auswahleinheit verbunden, welche mindestens eines der von den Verarbeitungseinheiten an die Umschalteinheit ausgegebenen Umschaltsignale durch ein Signal der Testeinheit ersetzt. Auf Grund der Vorgabe der Umschaltsignale durch die Testeinheit, kennt die Testeinheit das zu erwartende Ausgangssignal der Umschalteinrichtung und kann das zu erwartende Ausgangssignal mit dem tatsächlichen Ausgangssignal der Umschalteinrichtung zuverlässig vergleichen.
In einer Ausgestaltung sind die Testeinheit und die Verarbeitungseinheiten mit einer Verknüpfungseinheit verbunden, die mindestens eines der von den Verarbeitungseinheiten an die Umschalteinheit ausgegebenen Umschaltsignale mit einem Signal der Testeinheit verknüpft. Auf diese Weise lassen sich verschiedene Testmuster erzeugen, durch welche die Komplexität des Tests der Umschalteinheit variiert werden kann.
In einer Weiterbildung werden in der Verknüpfungseinheit mindestens eines der von den Verarbeitungseinheiten an die Umschalteinheit ausgegebenen Umschaltsignale in Abhängigkeit von einem Signal der Testeinheit mit einem festen Signalwert oder einem gespeicherten Signalwert oder einem aus mehreren Signalen erzeugten Signalwert verknüpft. Durch die Verwendung solcher Signalwerte wird die Vielfalt der zur Verfügung stehenden Testmuster erhöht. Somit können Tests realisiert werden, die mit unterschiedlicher Güte ablaufen. Genauso kann entschieden werden, ob ein vollständiger Test oder nur ein weniger umfangreicher Test ablaufen soll.
Vorteilhafterweise weist die Testeinheit eine Schnittstelle auf, mittels welcher eine Verbindung zu den Verarbeitungseinheiten besteht. Diese Schnittstelle hat den Vorteil, dass die Testeinheit zu jedem Zeitpunkt während eines Programmablaufes durch mindestens eine Verarbeitungseinheit aktiviert werden kann.
In einer Ausgestaltung weist die Schnittstelle ein Konfigurationselement zur Auswahl eines gewählten Testes oder eines Testmusters auf. Dieses Konfigurationselement ist beispielsweise als Register ausgebildet, mittels welchem eine Software mit einer Testaufforderung den gewünschten Test oder ein gewünschtes Testmuster auswählen kann.
In einer Weiterbildung arbeitet das Rechnersystem im ersten Betriebsmodus, wobei die Testeinheit ein Umschaltsignal ausgibt, welches die Umschaltung von dem ersten Betriebsmodus in den zweiten Betriebsmodus durch die Umschalteinrichtung bewirkt. Auf diese einfache Weise wird die Funktionsfähigkeit der Umschalteinrichtung in die vorgegebene Umschaltrichtung überprüft.
Alternativ wird die Umschaltung in die entgegengesetzte Umschaltrichtung getestet, wenn das Rechnersystem im zweiten Betriebsmodus arbeitet, wobei die Testeinheit ein Umschaltsignal ausgibt, welches die Umschaltung von dem zweiten Betriebsmodus in den ersten Betriebsmodus durch die Umschalteinrichtung bewirkt. Die Testeinheit ist somit flexibel einstellbar und gibt differenzierte Signale aus.
Vorteilhafterweise werden die von den Verarbeitungseinheiten im zweiten Betriebsmodus ausgegebenen Signale der Umschalteinheit zugeführt, welche die Signale vergleicht und bei Abweichungen der Signale voneinander ein Fehlersignal ausgibt. Die Umschalteinrichtung führt somit nicht nur die Funktionalität der Umschaltung aus, sondern wird gleichzeitig als Vergleichseinheit genutzt.
In einer Ausgestaltung wird innerhalb der Umschalteinheit ein Statussignal (Testmodus) mit einem Schreibsignal über ein Verknüpfungselement miteinander verknüpft. Dies hat den Vorteil, dass die Einwirkung des von den Verarbeitungseinheiten ausgesandten Schreibsignals an periphere Einheiten, wie einen Cache-Speicher oder einen Datenbus, unterbunden werden. Dies erfolgt, indem das Schreibsignal unterbrochen wird. Das Schreibsignal wird somit während des Tests unterbrochen. Damit wird sicher verhindert, dass Daten an die Peripherie weitergegeben werden, die Fehler behaftet sind.
Alternativ kann die Umschalteinheit ausgehende Daten verwerfen, solange das Statussignal aktiv ist. In diesem Fall werden überhaupt keine Daten an die peripheren Einheiten weiter geleitet. Dies entspricht dem Fall, dass ein Vergleichsfehler aufgetreten ist.
Es besteht auch die Möglichkeit, dass Adressen für die Testmuster angewählt werden, die unkritisch sind.
In einer Weiterbildung arbeitet das Rechnersystem im zweiten Betriebsmodus, wobei mindestens ein von mindestens einer Verarbeitungseinheit ausgegebenes und von der Testeinheit beeinflusstes Signal an die Umschalteinheit geleitet wird, so dass ein Vergleichsfehlersignal von der Umschalteinheit erzeugt wird und ein Wechsel von dem zweiten Betriebsmodus in den ersten Betriebsmodus vorgenommen wird. Durch das bewusste Erzeugen eines Vergleichsfehlers wird die Umschalteinheit zuverlässig getestet, da die Umschalteinrichtung nur bei Ausgabe eines Vergleichsfehlers korrekt arbeitet.
Alternativ arbeitet das Rechnersystem im zweiten Betriebsmodus, wobei mindestens ein von mindestens einer Verarbeitungseinheit ausgegebenes und von der Testeinheit beeinflusstes Signal an die Umschalteinheit geleitet wird, so dass ein Vergleichsfehlersignal von der Umschalteinheit erzeugt wird, wobei durch Ausgabe des Statussignals durch die Testeinheit ein Wechsel von dem zweiten Betriebsmodus in den ersten Betriebsmodus unterbunden wird. Auch mit einer solchen Fehlerkonstellation wird die Umschalteinrichtung zuverlässig getestet.
In einer Ausgestaltung führt die Testeinheit einen Selbsttest aus. Mittels eines solchen Selbsttestes wird auch die Funktionsweise der Testeinheit überprüft. Eine solche Überprüfung findet vorteilhafterweise immer vor dem Test der Umschalteinheit statt.
In einer anderen Weiterbildung wird ein Verfahren zur Prüfung der Arbeitsweise eines Rechnersystems durchgeführt, wobei das Rechnersystem mindestens zwei Verarbeitungseinheiten aufweist, die in einem ersten Betriebsmodus arbeiten, in welchem die Verarbeitungseinheiten unterschiedliche Programme abarbeiten oder in einem zweiten Betriebsmodus arbeiten, in welchem die beiden Verarbeitungseinheiten identische Programme abarbeiten, wobei durch ein an eine Umschalteinrichtung ausgegebenes Umschaltsignal zwischen den beiden Betriebsmodi umgeschaltet wird. Um eine sichere Funktionsweise der Umschalteinheit zu überprüfen, wird die Umschalteinrichtung durch ein Testsignal zur Umschaltung zwischen den beiden Betriebsmodi veranlasst, wobei ein von der Umschalteinrichtung im Ergebnis der Umschaltung ausgegebenes Ausgangssignal auf die Funktionsfähigkeit der Umschalteinrichtung geprüft wird. Durch dieses Umschaltsignal wird erreicht, dass die Umschalteinheit für den zweiten Betriebsmodus aktiv geschaltet wird, während sie für den ersten Betriebsmodus inaktiv ist. Eine Testeinheit stellt sicher, dass die Umschaltung und Aktivierung geprüft wird.
Vorteilhafterweise werden die von den Verarbeitungseinheiten im zweiten Betriebsmodus ausgegebenen Signale der Umschalteinheit zugeführt, welche die Signale vergleicht und bei Abweichungen der Signale voneinander ein Fehlersignal ausgibt. Die Umschalteinheit arbeitet gleichzeitig als Vergleicher, was den Vorteil hat, dass nur eine Hardwareeinheit für zwei Funktionalitäten benötigt wird, wodurch eine kostengünstige Variante realisierbar ist.
In einer Ausgestaltung wird das Rechnersystem in einen Testmodus geschaltet, in welchem das Testsignal erzeugt wird. Durch ein solches Testsignal kann der Testmodus zu jedem Zeitpunkt gestartet werden, wodurch der Normalbetrieb des Rechnersystems unterbrochen wird. Es besteht die Möglichkeit, Tests unterschiedlicher Güte aufzurufen. So kann ein vollständiger Test genauso aufgerufen werden, wie ein weniger umfangreicher Test für Spezialsituationen.
Vorteilhafterweise wird die Prüfung der Umschalteinheit beim Einschalten des Rechnersystems durchführt, beispielsweise bei der Initialisierung eines Steuergerätes. So lässt sich vor dem eigentlichen Betriebsablauf erkennen, ob die Umschalteinheit zuverlässig funktionsfähig ist.
Um eine kontinuierliche Überwachung der Umschalteinheit zu gewährleisten, wird die Prüfung der Umschalteinheit periodisch durchgeführt.
In einer Weiterbildung wird die Prüfung der Umschalteinheit nach einer vorgegebenen Betriebszeit durchgeführt. Auch diese Maßnahme gewährleistet eine regelmäßige Überprüfung der Umschalteinheit während des normalen Betriebsablaufes des Rechnersystems.
In einer Ausgestaltung wird der Testmodus durch eine Software, vorzugsweise während der Initialisierung des Rechnersystems aktiviert. Da diese Software einfach in den Betriebsablauf einer der Verarbeitungseinheiten integriert ist, wird der Testmodus zu jeweils dem Zeitpunkt durchgeführt, wo das Betriebsprogramm der Verarbeitungseinheit es vorsieht.
Vorteilhafterweise wird das Umschaltsignal als ein Testmuster ausgegeben, wodurch verschieden nacheinander ablaufende Tests aufgerufen werden.
In einer anderen Ausführung werden die Testsignale so ausgegeben, dass sich das Rechnersystem nach der abschließenden Verarbeitung des Testsignals in demselben Betriebsmodus befindet, wie vor der Ausgabe des Testsignals. Damit wird sichergestellt, dass sich das durch den Test unterbrochene Betriebprogramm, welches jede der Verarbeitungseinheiten abarbeitet, nach dem Test genau an der Stelle wieder aufgenommen wird, wo es vor dem Test unterbrochen wurde.
In einer Weiterbildung werden bei Einschaltung des Testmodus die Verarbeitungseinheiten in der Abarbeitung ihrer Programme angehalten, wodurch sichergestellt ist, dass sie nach Beendigung des Tests an der Stelle weiterarbeiten, wo sie unterbrochen wurden.
Die Erfindung lässt zahlreiche Ausführungsformen zu. Eine davon soll anhand der in der Zeichnung dargestellten Figuren näher erläutert werden.
Es zeigt:
1: Dual Core Rechnersystem mit einem permanenten Vergleicher und einer Testeinheit
2: erstes Ausführungsbeispiel für ein Dual-Core-Rechnersystem mit einer DCSL-Testeinheit und einer Umschalt- und Vergleichseinheit
3: Zustandsdiagramm der Umschalt- und Vergleichseinheit
4: zweites Ausführungsbeispiel für ein Dual-Core-Rechnersystem mit einer DCSL-Testeinheit und einer Umschalt- und Vergleichseinheit
5: Interaktivierung der Schreibsignale der Verarbeitungseinheiten innerhalb der Umschalt- und Vergleichseinheit
6: Verbindung der Testeinheit mit einer Verarbeitungseinheit
7: schematisches Ablaufdiagramm für den Test der Umschalt- und Vergleichseinheit
Gleiche Merkmale sind mit gleichen Bezugszeichen gekennzeichnet.
In 1 ist ein Rechnersystem 1 mit zwei Recheneinheiten 2 und 3 dargestellt. Jede Recheneinheit 2, 3 ist mit einem Multiplexer 4 bzw. 5 verbunden, wobei Adressen, Daten und Schreibsignale über die Leitungen 2a, 3a an die Multiplexer 4, 5 weitergegeben werden. An jedem Multiplexer 4, 5 liegt ein Signal 6a, 6b einer Testeinheit 6 an. Des Weiteren ist jeder Multiplexer 4, 5 mit einen Vergleicher 7 verbunden, dessen Ausgang über die Leitung 17 wieder an die Testeinheit 6 führt.
Durch die Testeinheit 6 werden die Daten, Adressen und Schreibsteuerungen, die von den Recheneinheiten 2, 3 ausgegeben werden, durch die von der Testeinheit 6 vorgegebenen Signale 6a, 6b ersetzt, wenn ein Auswahlsignal 14, welches von der Testeinheit 6 an die beiden Multiplexer 4, 5 geleitet wird, an den Multiplexern 4, 5 anliegt. Das heißt, dass die Multiplexer 4, 5 bei Anliegen des Auswahlsignals 14 nur die von der Testeinheit 6 ausgegebenen Signale 6a, 6b an die Vergleichseinheit 7 weiterleiten, aber nicht die von den Recheneinheiten 2, 3 ausgegebenen Signale. Gibt die Testeinheit 6 gleiche Signale aus, darf die Vergleichseinheit 7 keinen Vergleichsfehler auf einer Leitung 18 anzeigen. Da das Ausgangssignal der Vergleichseinheit 7 auf die Testeinheit 6 zurückgeführt wird, kann die Testeinheit 6 erkennen, ob die Vergleichseinheit 7 korrekt arbeitet.
Alternativ kann die Testeinheit 6 aber auch zwei unterschiedliche Signale 6a, 6b an die Vergleichseinheit 7 ausgeben. Die beiden zu vergleichenden Signale 6a, 6b unterscheiden sich dabei in nur einem Bit, um Fehler im Vergleicher 7 nicht zu maskieren. In diesem Fall generiert die Vergleichseinheit 7 einen Vergleichsfehler, welchen die Testeinheit 6 erkennt. Dadurch wird bestätigt, dass die Vergleichseinheit 7 zuverlässig arbeitet.
Die jeweils erwarteten Signalwerte der Vergleichseinheit 7 werden in der Testeinheit 6 mit den tatsächlich auftretenden Signalwerten verglichen, die über die Leitung 17 an die Testeinheit 6 rückgeführt werden.
2 zeigt eine DCSL (Dual Core Split Lock)-Testeinheit 8, bei welcher zusätzlich noch die Umschaltwünsche zwischen zwei Betriebsmodi, in welchen die Recheneinheiten 2, 3 arbeiten, vorgegeben und geprüft werden. Auch bei dieser Gestaltung sind die beiden Recheneinheiten 2, 3 über die Leitungen 2a, 3a jeweils mit einem der Multiplexer 4, 5 verbunden, welche über die Leitungen 8a, 8b ebenfalls mit der DCSL-Testeinheit 8 verbunden sind. Der Ausgang jedes Multiplexers 4, 5 führt auf eine Umschalt- und Vergleichseinheit 9, deren Ausgang über die Leitung 17 an der DCSL-Testeinheit 8 liegt.
Die Umschalt- und Vergleicheinheit 9 führt über die in 2 nur angedeuteten Leitungen 10, 11 zurück an die Recheneinheiten 2, 3, wodurch Daten und Befehle von peripheren Einheiten 12, 13 weiter geleitet werden. Die Leitung 10 verbin det die Umschalt- und Vergleichseinheit 9 mit der Recheneinheit 2, während die Leitung 11 die Umschalt- und Vergleichseinheit 9 mit der Recheneinheit 3 verbindet. Darüber hinaus ist die Umschalt- und Vergleichseinheit 9 mit den peripheren Einheiten 12, 13 bidirektional verbunden, welche als ein Cache-Speicher, ein Datenbus o. ä. ausgebildet sein können und mit welchen die Recheneinheiten 2, 3 während des normalen Betriebsablaufes kommunizieren.
Auch bei dieser Anordnung wird von der DCSL-Testeinheit 8 ein Auswahlsignal 14 an die beiden Multiplexer 4, 5 ausgegeben, wenn sich die DCSL-Testeinheit 8 im Testmodus befindet. Hat die DCSL-Testeinheit 8 den Testmodus eingenommen, wird dies durch ein Statussignal 15, welches von der DCSL-Testeinheit 8 an die Umschalt- und Vergleichseinheit 9 ausgegeben wird, signalisiert. Dadurch wird die Umschalt- und Vergleichseinheit 9 veranlasst, über die Leitungen 19, 20, welche die Umschalt- und Vergleichseinheit 9 mit jeweils einer Recheneinheit 2, 3 verbindet, ein Hold-Signal auszugeben, um die Recheneinheiten 2, 3 in ihrem normalen Betriebsablauf zu stoppen.
Über die Leitung 18 gibt die Umschalt- und Vergleichseinheit 9 nach der Prüfung der Umschaltsignale ein Vergleichsergebnis aus, welches über die Leitung 17 auch an die DCSL-Testeinheit 8 zur Auswertung mit den erwarteten Ergebnissen geleitet wird.
Anhand von 3 sollen die möglichen Zustände der Umschalt- und Vergleichseinheit 9 im Normalbetrieb erläutert werden. Nach einem Reset des Rechnersystems 1 nimmt dieses den Zustand Z0 an, bei welchem sich die beiden Recheneinheiten 2, 3 in einem Performanzmodus befinden. Das bedeutet, dass beide Recheneinheiten unterschiedliche Programme abarbeiten. Hiermit beginnt eine Kommunikationsphase KPM innerhalb des Performanzmodus.
Durch die erste Recheneinheit 2 wird ein Umschaltwunsch usw2 ausgegeben, mit welchem eine Umschaltung in den Vergleichsmodus vorbereitet wird. Im Vergleichsmodus arbeiten die beiden Recheneinheiten 2, 3 dieselben Programme parallel oder mit einem Taktversatz ab. Die erste Recheneinheit 2 nimmt nach Ausgabe des Umschaltwunsches usw2 den Zustand Z1 ein. In diesem Zustand Z1 verharrt die erste Recheneinheit 2 solange, bis auch die zweite Recheneinheit 3 ein Umschaltsignal usw3 sendet. Erst wenn die Umschaltwünsche von beiden Recheneinheiten 2, 3 vorliegen, gehen beide Recheneinheiten 2, 3 in den Zustand Z3 über.
Alternativ kann auch die zweite Recheneinheit 3 zuerst einen Umschaltwunsch usw3 ausgeben. Die zweite Recheneinheit 3 nimmt dann den Zustand Z2 ein und wartet in diesem Zustand Z2 darauf, dass auch die erste Recheneinheit 2 einen Umschaltwunsch usw2 ausgibt, wonach beide Recheneinheiten 2, 3 anschließend in den Zustand Z3 übergehen.
Nach der Ausgabe des Umschaltwunsches usw2 bzw. usw3 wird für die Recheneinheit 2, 3, die den Umschaltwunsch ausgegeben hat, das jeweilige Haltesignal 19, 20 aktiviert.
Es besteht auch die Möglichkeit, dass alle beide Recheneinheiten 2, 3 ihre Umschaltwünsche usw2, usw3 gleichzeitig ausgeben, wonach beide Recheneinheiten 2, 3 direkt den Zustand Z3 einnehmen.
Aus dem Zustand Z3 gehen die beiden Recheneinheiten 2, 3 unmittelbar in den Zustand Z4 über, in welchen die Befehle und Daten der beiden Recheneinheiten 2, 3 auf eine gemeinsame Quelle, wie einen Cache-Speicher oder einen Datenbus umgeschaltet werden, wodurch eine Kommunikationsphase KVM in Vorbereitung und innerhalb des Vergleichsmodus startet. Für den Fall, dass das Statussignal, welches über die Leitung 15 von der DCSL-Testeinheit 8 an die Umschalt- und Vergleichseinheit 9 ausgegeben wird, noch nicht vorliegt, wird eine Taktumschaltung T aktiviert, beispielsweise durch eine Invertierung des Taktes für die Recheneinheit 2.
Nach einer fest vorgegebenen Anzahl von Takten w4 sind die Umschaltvorgänge abgeklungen und es wird der Zustand Z5 erreicht. Hier werden die Haltesignale der beiden Recheneinheiten 2, 3 bei Vorliegen eines Taktversatzes versetzt freigegeben, um den gewünschten Taktversatz zu erzielen. Ist kein Taktversatz erforderlich, werden die Haltesignal der beiden Recheneinheiten 2, 3 gleichzeitig freigegeben.
Nach einer weiteren vorgegebenen Anzahl von Takten w5 wird automatisch der Zustand Z6 erreicht. Nur in diesem Zustand ist die Umschalt- und Vergleichsein heit 9 aktiv und es werden die von der DCSL-Testeinheit 8 ausgegebenen Signale 8a, 8b anstelle der normalerweise von den Recheneinheiten 2, 3 ausgegebenen Signale 2a, 3a verglichen. Der Zustand Z6 wird nur verlassen, wenn entweder eine der beiden Recheneinheiten 2, 3 einen Umschaltwunsch usw. in den Performanzmodus ausgibt oder wenn bei Nichtanliegen des Statussignales über die Leitung 15 ein Vergleichsfehler error über die Leitung 17 von der DCSL-Testeinheit 8 erkannt wurde.
Da im Vergleichsmodus VM beide Recheneinheiten 2, 3 die gleichen Befehle abarbeiten, reicht es aus, wenn die Recheneinheit 2 einen Umschaltwunsch usw. in den Performanzmodus signalisiert. Daran schließt sich eine weitere Kommunikationsphase KPM in Vorbereitung des Performanzmodus an. In diesem Fall kann ein Zustand Z7 angenommen werden, in dem die Recheneinheit 3 angehalten wird. Dieses Vorgehen ermöglicht eine eindeutige Reaktion nur einer Recheneinheit 2 zur Organisation des Umschaltprozesses, indem beispielsweise ein Interrupt nur an der Recheneinheit 2 erfolgt. Nach einer Wartezeit w7 wird der Zustand Z8 eingenommen, welcher im Falle eines Vergleichsfehlers error auch direkt eingenommen wird. In diesem Zustand Z8 wird die Umschaltung im Zusammenhang mit dem Taktversatz wieder zurückgenommen und die Recheneinheit 3 wieder eigenständig mit dem Cache-Speicher oder dem Datenbus verbunden. Nach einer vorgegeben Anzahl von Takten wird wieder der Zustand Z0 eingenommen.
Im Testbetrieb werden die Umschaltsignale der Recheneinheiten 2, 3 durch Umschaltsignale der DCSL-Testeinheit 8 ersetzt. Durch das Statussignal (Testmodus), welches im Testbetrieb von der DCSL-Testeinheit 8 an die Umschalt- und Vergleichseinheit 9 ausgegeben wird, wird gewährleistet, dass der Vergleichsmodus im Falle eines von der DCSL-Testeinheit 8 provozierten Vergleichsfehlers nicht verlassen wird, wie dies im Normalbetrieb nach einem solchen Fehler vorgesehen ist.
4 zeigt ein zweites Ausführungsbeispiel für einen Dual Core Rechnersystem mit einer DCSL-Testeinheit. Anstelle der Multiplexer, welche die Signale der Recheneinheiten 2, 3 durch die Signale der DCSL-Testeinheit 8 ersetzt haben, werden hier die Signale der Recheneinheiten 2, 3 bzw. der DCSL-Testeinheit 8 auf zwei Verknüpfungseinheiten 21 und 22 geführt. Dabei ist die Recheneinheit 2 mit der Verknüpfungseinheit 21 und die Recheneinheit 3 mit der Verknüpfungseinheit 22 verbunden. Die Ausgänge der Verknüpfungseinheiten 21, 22 führen auf die Umschalt- und Vergleichseinheit 9.
In den Verknüpfungseinheiten 21, 22 erfolgt eine Verknüpfung des jeweiligen, von der Recheneinheit 2, 3 ausgesandten Signals 2a, 2b mittels einzelner oder mehrerer Signale 8a, 8b der DCSL-Testeinheit 8. So wird beispielsweise im Vergleichsmodus VM zu Testzwecken ein Datensignal der Recheneinheit 2 über eine EXOR-Funktion mit dem Signalwert 1 verknüpft. Dies hat zur Folge, dass dieses Datenbit invertiert weitergegeben wird, wodurch in der Umschalt- und Vergleichseinheit 9 zwangsweise ein Vergleichfehler erzeugt wird. Wird nun von der DCSL-Testeinheit 8 über die Leitung 15 kein Testmodus-Signal ausgegeben, so wird damit das Verlassen des Vergleichsmodus im Fehlerfall provoziert und geprüft.
Die Multiplexer 4, 5 und die Verknüpfungseinheiten 21, 22 können als externe Bauelemente eingesetzt werden. Alternativ besteht aber auch die Möglichkeit, dass sie Bestandteil der DCSL-Testeinheit 8 sind.
5 zeigt die Umschalt- und Vergleichseinheit 9, welche von der nicht weiter dargestellten DCSL-Testeinheit 8 über die Leitung 15 das Statussignal erhält, durch welches in der Umschalt- und Vergleichseinheit 9 zwei Verknüpfungselemente 23 und 24 aktiv geschaltet werden. Auf das Verknüpfungselement 23 werden neben dem Statussignal die von der Recheneinheit 2 ausgegebenen Adressen, Daten, Schreibsignale und Umschaltwünsche geleitet. Das Signal 2a der Recheneinheit 2 wird mit dem Statussignal in dem Verknüpfungselement 23 in einer solchen Art verknüpft, dass die Übertragung des Signals der Recheneinheit 2 unterbrochen wird. Dadurch wird sichergestellt, dass während des Tests keine Signale auf die periphere Einheit 12 gelangen.
Auf eine vergleichbare Art werden die Signale 3a, die die Adressen, Datensignale, Schreibsignale und Umschaltwünsche der zweiten Recheneinheit 3 enthalten, unterbunden, indem sie auf das Verknüpfungselement 24 geleitet werden und dort ebenfalls mit dem Statussignal verknüpft werden. Auch hier wird eine Weiterleitung der Signale 3a der zweiten Recheneinheit 3 an die periphere Einheit 13 während des Tests unterbrochen.
Alternativ kann die Umschalt- und Vergleichseinheit 9, solange das Statussignal aktiv ist, alle ausgehenden Daten verwerfen, so als wäre ein Vergleichsfehler aufgetreten.
Die Ausführung der Tests soll durch eine Software gestartet werden. Gemäß 6 besitzt die DCSL-Testeinheit 8 eine Schnittstelle 25, über welche die DCSL-Testeinheit 8 mit der Recheneinheit 2 verbunden ist. Die Schnittstelle 25 ist vorteilhafterweise als eine Busschnittstelle ausgebildet. Da die Software auf der Recheneinheit 2 läuft, greift die Recheneinheit 2 über diese Schnittstelle 25 auf die DCSL-Testeineit 8 zu und aktiviert diese.
Die Schnittstelle 25 verfügt über eine Konfigurationseinheit 26, die vorteilhafterweise als Register ausgebildet ist. Mittels dieser Konfigurationseinheit 26 ist die DCSL-Testeinheit 8 in der Lage, mehr als einen Test, d. h. verschiedene Tests durchzuführen. Dadurch können Tests unterschiedlicher Güte ausgelöst werden, die situationsabhängig einen unterschiedlichen Umfang aufweisen. Über die Software wird dann mit der von der Recheneinheit 2 ausgegebenen Testaufforderung der Test oder das gewünschte Testmuster ausgewählt.
Mit Hilfe von 7 soll eine mögliche Ausgestaltung des erfindungsgemäßen Verfahrens erläutert werden. Im Block 101 wird das Rechnersystem 1 initialisiert. Vor Durchführung des Tests wird im Block 101 ein Hardware-Timer gestartet, welcher nach der Durchführung ausgewertet wird, um die Länge des Tests zu messen und auch gegebenenfalls Fehler zu erkennen. In dieser Phase führt auch die DCSL-Testeinheit 8 einen Selbsttest aus.
Anschließend wird im Block 102 die DCSL-Testeinheit 8 durch die Recheneinheit 2 oder die Recheneinheit 3 aktiviert. Dazu wird der Software-Teil, welcher die DCSL-Testeinheit 8 aktivieren kann, in der Boot-Software des Rechnersystems 1 aufgerufen.
Im Block 103 wird von der DCSL-Testeinheit 8 festgelegt, in welchem Betriebsmodus sich das Rechensystem 1 befindet. Es wird beispielsweise der Performanzmodus eingestellt. Im Block 104 werden nun Umschaltwünsche durch die DCSL-Testeinheit 8 generiert, die eine Umschaltung vom Performancemodus in den Vergleichsmodus initiieren. Im Block 105 wird durch die DCSL-Testeinheit 8 überprüft, ob das Modussignal, welches angibt, ob der Performanzmodus- oder der Vergleichsmodus eingestellt ist, den richtigen Wert hat. Da die Modusumschaltung einen gewissen Zeitraum, welcher bekannt ist, in Anspruch nimmt, muss vor der Auswertung des Modussignals dieser Zeitraum abgewartet werden. Bei einer korrekten Arbeitsweise der Umschalt- und Vergleichseinheit 9 wird das Modussignal dann den Vergleichsmodus signalisieren.
Anschließend werden im Block 106 paarweise verschiedene Testmuster an die Umschalt- und Vergleichseinheit 9 angelegt, wodurch bei einer korrekten Arbeitsweise ein Vergleichsfehler angezeigt wird, den die DCSL-Testeinheit 8 entsprechend auswertet. Die Umschaltwünsche für die Rückschaltung aus dem Vergleichsmodus in den Performanzmodus werden im Block 107 erstellt. Damit wird sicher gestellt, dass zu Beginn und zu Ende des Tests immer der gleiche Modus, in diesem Fall der Performanzmodus vorliegt.
Nachdem der Test beendet ist, liegen im Block 108 entsprechende Fehlersignale vor, was durch die Recheneinheit 2 überprüft wird, auf welcher die Testsoftware installiert ist.
Optional ist es aber auch möglich beim Auftreten des ersten Fehlers den Test abzubrechen.
Die beschriebene Lösung ist in jedem sicherheitsrelevanten Steuergerät eines Kraftfahrzeuges einsetzbar, insbesondere bei Bremssystemen (ABS), bei Airbag-Systemen, Abstandskontrollsystemen (ACC) oder Steuergeräten mit Elektronischen Stabilitätsprogrammen (ESP).
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

- DE 10332700 A1 [0003]

Claims

Vorrichtung zur Prüfung der Arbeitsweise eines Rechnersystems, welches mindestens zwei Verarbeitungseinheiten (2, 3) aufweist, die in einem ersten Betriebsmodus arbeiten, in welchem die Verarbeitungseinheiten (2, 3) unterschiedliche Programme abarbeiten oder in einem zweiten Betriebsmodus arbeiten, in welchem die beiden Verarbeitungseinheiten (2, 3) identische Programme abarbeiten, wobei durch ein an eine Umschalteinheit (9) ausgegebenes Umschaltsignal zwischen den beiden Betriebsmodi umgeschaltet wird, dadurch gekennzeichnet, dass die Umschalteinheit (9) durch ein von einer Testeinheit (8) bewirktes Signal zur Umschaltung zwischen den beiden Betriebsmodi veranlasst wird, wobei ein von der Umschalteinheit (9) im Ergebnis der Umschaltung ausgegebenes Ausgangssignal an die Testeinheit (8) zur Prüfung der Funktionsfähigkeit der Umschalteinheit (9) zurück geführt ist.
Vorrichtung nach Anspruch 1 dadurch gekennzeichnet, dass die Testeinheit (8) und die Verarbeitungseinheiten (2, 3) mit einer Auswahleinheit (4, 5) verbunden sind, welche mindestens eines der von den Verarbeitungseinheiten (2, 3) an die Umschalteinheit (9) ausgegebenen Umschaltsignale durch ein Signal der Testeinheit (8) ersetzt.
Vorrichtung nach Anspruch 1 dadurch gekennzeichnet, dass die Testeinheit (8) und die Verarbeitungseinheiten (2, 3) mit einer Verknüpfungseinheit (21, 22) verbunden sind, die mindestens eines der von den Verarbeitungseinheiten (2, 3) an die Umschalteinheit (9) ausgegebenen Umschaltsignale mit einem Signal der Testeinheit (8) verknüpft.
Vorrichtung nach Anspruch 3 dadurch gekennzeichnet, dass die Verknüpfungseinheit (21, 22) mindestens eines der von den Verarbeitungseinheiten (2, 3) an die Umschalteinheit (9) ausgegebenen Umschaltsignale in Abhängigkeit von einem Signal der Testeinheit (8) mit einem festen Signalwert oder einem gespeicherten Signalwert oder einem aus mehreren Signalen erzeugten Signalwert verknüpft.
Vorrichtung nach einem der Ansprüche 2 bis 4 dadurch gekennzeichnet, die Testeinheit (8) eine Schnittstelle (25) aufweist, mittels welcher eine Verbindung zu mindestens einer der Verarbeitungseinheiten (2, 3) besteht.
Vorrichtung nach Anspruch 5 dadurch gekennzeichnet, dass die Schnittstelle (25) ein Konfigurationselement (26) zur Auswahl eines gewählten Testes oder eines Testmusters aufweist.
Vorrichtung nach einem der vorhergehenden Ansprüche 1 bis 4 dadurch gekennzeichnet, dass das Rechnersystem (1) im ersten Betriebsmodus arbeitet, wobei die Testeinheit (8) ein Umschaltsignal ausgibt, welches die Umschaltung von dem ersten Betriebsmodus in den zweiten Betriebsmodus durch die Umschalteinheit (9) bewirkt.
Vorrichtung nach einem der vorhergehenden Ansprüche 1 bis 4 dadurch gekennzeichnet, dass das Rechnersystem (1) im zweiten Betriebsmodus arbeitet, wobei die Testeinheit (8) ein Umschaltsignal ausgibt, welches die Umschaltung von dem zweiten Betriebsmodus in den ersten Betriebsmodus durch die Umschalteinheit (9) bewirkt.
Vorrichtung nach einem der vorhergehenden Ansprüche 1 bis 8 dadurch gekennzeichnet, dass die von den Verarbeitungseinheiten (2, 3) im zweiten Betriebsmodus ausgegebenen Signale der Umschalteinheit (9) zugeführt werden, welche die Signale vergleicht und bei Abweichungen der Signale voneinander ein Fehlersignal ausgibt.
Vorrichtung nach einem der Ansprüche 1 bis 9 dadurch gekennzeichnet, dass in der Umschalteinheit (9) ein Statussignal mit einem Schreibsignal zur Unterbindung der Einwirkung des Schreibsignals an periphere Einheiten (12, 13) über ein Verknüpfungselement (23, 24) miteinander verknüpft werden.
Vorrichtung nach einem der vorhergehenden Ansprüche dadurch gekennzeichnet, dass das Rechnersystem (1) im zweiten Betriebsmodus arbeitet, wobei mindestens ein von mindestens einer Verarbeitungseinheit (2, 3) ausgegebenes und von der Testeinheit (8) beeinflusstes Signal an die Umschalteinheit (9) geleitet wird, so dass ein Vergleichsfehlersignal von der Umschalteinheit (9) erzeugt wird und ein Wechsel von dem zweiten Betriebsmodus in den ersten Betriebsmodus vorgenommen wird.
Vorrichtung nach einem der vorhergehenden Ansprüche dadurch gekennzeichnet, dass das Rechnersystem (1) im zweiten Betriebsmodus arbeitet, wobei mindestens ein von mindestens einer Verarbeitungseinheit (2, 3) ausgegebenes und von der Testeinheit (8) beeinflusstes Signal an die Umschalteinheit (9) geleitet wird, dass ein Vergleichsfehlersignal von der Umschalteineinheit (9) erzeugt wird, wobei durch Ausgabe eines Statussignals durch die Testeinheit (8) ein Wechsel von dem zweiten Betriebsmodus in den ersten Betriebsmodus unterbunden wird.
Vorrichtung nach einem der vorhergehenden Ansprüche dadurch gekennzeichnet, dass die Testeinheit (8) einen Selbsttest ausführt.
Verfahren zur Prüfung der Arbeitsweise eines Rechnersystems, welches mindestens zwei Verarbeitungseinheiten (2, 3) aufweist, die in einem ersten Betriebsmodus arbeiten, in welchem die Verarbeitungseinheiten (2, 3) unterschiedliche Programme abarbeiten oder in einem zweiten Betriebsmodus arbeiten, in welchem die beiden Verarbeitungseinheiten (2, 3) identische Programme abarbeiten, wobei durch ein an eine Umschalteinheit (9) ausgegebenes Umschaltsignal zwischen den beiden Betriebsmodi umgeschaltet wird, dadurch gekennzeichnet, dass die Umschalteinheit (9) durch ein Testsignal (8a, 8b) zur Umschaltung zwischen den beiden Betriebsmodi veranlasst wird, wobei ein von der Umschalteinheit (9) im Ergebnis der Umschaltung ausgegebenes Ausgangssignal auf die Funktionsfähigkeit der Umschalteinheit (9) geprüft wird.
Verfahren nach Anspruch 14 dadurch gekennzeichnet, dass die von den Verarbeitungseinheiten (2, 3) im zweiten Betriebsmodus ausgegebenen Signale der Umschalteinheit (9) zugeführt werden, welche die Signale ver gleicht und bei Abweichungen der Signale voneinander ein Fehlersignal ausgibt.
Verfahren nach Anspruch 14 und 15 dadurch gekennzeichnet, dass das Rechnersystem (1) in einen Testmodus geschaltet wird, in welchem das Testsignal erzeugt wird.
Verfahren nach Anspruch 16 dadurch gekennzeichnet, dass die Prüfung der Umschalteinheit (9) beim Einschalten des Rechnersystems (1) durchführt wird.
Verfahren nach Anspruch 16 dadurch gekennzeichnet, dass die Prüfung der Umschalteinheit (9) periodisch durchgeführt wird.
Verfahren nach Anspruch 16 dadurch gekennzeichnet, dass die Prüfung der Umschalteinheit (9) nach einer vorgegebenen Betriebszeit durchgeführt wird.
Verfahren nach Anspruch 16 dadurch gekennzeichnet, dass der Testmodus durch eine Software, vorzugsweise während der Initialisierung des Rechnersystems (1) aktiviert wird.
Verfahren nach Anspruch 14 dadurch gekennzeichnet, dass das Umschaltsignal als ein Testmuster ausgegeben wird.
Verfahren nach Anspruch 14 und 15 dadurch gekennzeichnet, die Testsignale so ausgegeben werden, dass sich das Rechnersystem (1) nach der abschließenden Verarbeitung des Testsignals in demselben Betriebsmodus befindet, wie vor der Ausgabe des Testsignals.
Verfahren nach Anspruch 14 dadurch gekennzeichnet, dass bei Einschaltung des Testmodus die Verarbeitungseinheiten (2, 3) in der Abarbeitung ihrer Programme angehalten werden.