Mikroprozessor-Selbsttest durch Signatur-Vergleich / A method for self-testing microprocessors using signature-analysis

Werden beim Einsatz von Mikroprozessoren hohe Anforderungen an Sicherheit und Zuverlässigkeit des Systems gestellt (z. B. bei medizinischen Anwendungen, in Zugsteuerungen), sind redundante Systemauslegungen und sichere Mechanismen zur Fehlererkennung unumgänglich [1]. Mitunter genügt es jedoch auch, Fehlfunktionen innerhalb bestimmter Zeitintervalle zu erkennen. Das Gesamtsystem kann dann angehalten oder in einen sicheren Grundzustand überführt werden. Wenn die Zeitintervalle, in denen ein Fehler erkannt werden muß, ausreichend lang sein dürfen, kann die Überwachung des Systems vom Prozessor selbst durchgeführt werden. Ein wichtiger Abschnitt in diesem Test ist der Test des Prozessors selbst. Überlegungen zur Realisierung eines solchen Prozessortests ergaben für ein System, das Echtzeitanforderungen erfüllen soll, folgende Forderungen: kurze Testzeiten, um die Zeitintervalle, in denen Fehler erkannt werden, klein zu halten; geringer Speicherbedarf für die notwendige Testsoftware im Benutzeraddreßraum; Überwachung der zur Testdurchführung zusätzlich notwendigen Hardware; weitgehende Prozessorunabhängigkeit; Testablauf für den Anwender unsichtbar; nur geringe Leistungsminderung durch den Testablauf (etwa 2%); möglichst kurze testbedingte Interruptsperrzeiten. Die möglichen Testverfahren lassen sich nach der Art der Fehlererkennung in solche mit interner und solche mit externer Fehlererkennung aufteilen. Bei Testverfahren mit interner Fehlererkennung wird das Ergebnis einer vom Prozessor ausgeführten Operation durch andere als funktionsfähig erkannte oder vorausgesetzte Befehle überprüft [5; 6]. Im Fehlerfall läuft der Prozessor, soweit es noch möglich ist, auf einen HALTBefehl oder in eine Endlosschleife. Testverfahren mit externer Fehlererkennung erfordern zusätzliche Hardware. Der durch die Software erzeugte Primärdatenstrom wird von dieser Hardware auf Unregelmäßigkeit überprüft . Im Fehlerfall wird der Prozessor durch die Hardware angehalten, mit einem Fehlersignal kann das gesamte System in einen unkritischen Zustand versetzt werden. Zur Fehlererkennung wird bei diesem Verfahren ein Referenzdatenstrom entweder von einem zweiten parallel arbeitenden Prozessor erzeugt oder bei vorgegebenen Testsequenzen aus einem Speicher (z.B. PROM) ausgelesen und mit dem Primärdatenstrom verglichen. Setzt man einen parallel arbeitenden Vergleichsprozessor ein, so ist neben einer umfangreichen Taktsynchronisation für die beiden Prozessoren lediglich noch ein {Comparator zum Vergleich der beiden Prozessoren notwendig. Testsoftware wird benötigt, um die Funktionsfähigkeit des Komparators in regelmäßigen Abständen zu überprüfen.