CN111026573A - 一种多核处理***的看门狗***及控制方法 - Google Patents

Abstract

本发明提出了一种适用于混合安全等级多核处理***的硬件看门狗***及控制方法，使用可编程逻辑器件来实现硬件看门狗电路，利用多核处理器多个处理器核之间的共享存储空间来实现看门狗的控制方法。本发明看门狗***可以对多核处理器内的每个处理器核各自的任务运行情况进行单独监控，并且在不同处理器核之间建立了有效的故障隔离能力，使得运行低安全等级任务的处理器核发生故障时，不会影响到高安全等级任务的正常运行。本发明可以对多核处理***提供更全面的监控能力，并限制了其中单个处理器核故障的影响范围，从而有效地提高了多核处理***的可靠性。

Description

一种多核处理***的看门狗***及控制方法

技术领域

本发明属于嵌入式计算机设计领域，具体涉及一种适用于混合安全等级多核处理***的看门狗***及控制方法。

背景技术

在高可靠嵌入式计算机中，通常使用硬件看门狗来对处理器的任务运行状况进行监控。硬件看门狗本质上是一个定时器电路。处理器运行的任务会定期对看门狗定时器进行计数重置操作，通常称之为“喂狗”操作。当处理器因为某些故障(例如程序指针错误进入了非程序区，或者软件分支陷入死循环等等)无法继续正常运行其任务时，便无法定期进行喂狗操作，看门狗定时器不再被及时重置，会计数至定时终点，产生相应的输出信号，通常称为“狗叫”信号。狗叫信号通常会对处理器产生高优先级的看门狗中断，或者直接引起处理器复位。

硬件看门狗通过上述机制对处理器的任务运行状况进行监控，使其可以及时处理错误或复位重启，从而保障嵌入式计算机不会长时间丧失功能，因此硬件看门狗在高可靠嵌入式计算机领域中得到了广泛应用。

近年来，单核处理器的发展进入了瓶颈，仅仅提高单核处理器的主频无法带来显著的性能改善，反而产生过多热量，并且高频单核处理器的性价比也令人难以接受。而在同一个芯片中集成多个处理器核仍可以带来较大的运算能力提升，因此，越来越多的计算***采用多核处理器来作为运算核心。在一些复杂的高可靠嵌入式计算***中，出于对缩小体积，减轻质量，降低功耗的需求，需要将原本运行在多个计算机或多个单核处理器上的不同安全等级的任务，集中到同一个多核处理器中运行。这就使得在同一个多核处理器中，会存在有多种不同安全等级的任务同时运行。通常，这些不同安全等级的任务，分别运行在多核处理器的不同处理器核中。

传统的硬件看门狗机制是基于单核处理器进行设计的，只能监控一个处理器核的任务运行情况，并不能对多核处理器中的多个处理器核的任务运行情况进行全面的监控。近年来，随着多核处理器日益广泛的使用，从业人员开始研究应用于多核处理器的看门狗监控机制，例如“CN201610827586.8一种基于多核***的硬件看门狗控制方法及***”等等。但这些新型设计，其共同点是利用处理器核间通信，用一个硬件看门狗来对所有的处理器核的运行情况进行共同监控，当任何一个处理器核死机或者无法正常进行核间通信时，看门狗就发出狗叫信号，中断或复位整个多核处理器。这类新型设计存在两个缺点：1.看门狗无法对每个处理器核的运行情况单独进行监控，无法掌握多核处理器内每个处理器核各自的任务运行状态；2.并不适用于运行混合安全等级任务的多核处理器，当运行低安全等级任务的处理器核发生故障时，会导致看门狗叫中断/复位(或者故障处理器核可能对看门狗进行预期之外的非法访问，导致看门狗出现故障)，进而影响到高安全等级任务的正常运行，这在混合安全等级的任务***中是不可接受的。混合安全等级的任务***中，要求不同安全等级任务之间进行故障隔离，低安全等级的任务故障不能影响到高安全等级任务的正常运行。

发明内容

本发明的目的：本发明提供一种适用于混合安全等级多核处理***的看门狗***及控制方法，解决了目前多核处理***看门狗设计存在的问题，可以实时监控多核处理器内的每个处理器核各自的任务运行情况，并且适用于运行混合安全等级任务的多核处理器，当运行低安全等级任务的处理器核发生故障时，并不会影响到高安全等级任务的正常运行。

本发明的技术方案：

一种适用于混合安全等级多核处理***的看门狗***，包括：

一个多核处理器，其内部包含n个处理器核，即处理器核A、处理器核B……处理器核X；

一个可编程逻辑器件，其内部包含n个看门狗定时器和1个复位控制电路，n个看门狗定时器，即看门狗定时器A、看门狗定时器B……看门狗定时器X；

n-1个存储空间，即存储空间B……存储空间X；

其中，多核处理器中的处理器核A用于对可编程逻辑器件进行访问；看门狗定时器A、看门狗定时器B……看门狗定时器X分别对相应的处理器核A、处理器核B……处理器核X进行监控；存储空间B……存储空间X分别被对应的处理器核B……处理器核X访问，所有存储空间都被处理器核A访问。

所述复位控制电路，在看门狗定时器A发出狗叫信号，或者处理器核A发出复位命令时，向外发出复位信号，引起整个***复位。

一种适用于混合安全等级多核处理***的看门狗***控制方法，采用了看门狗***，控制方法如下：处理器核A直接访问自身对应的看门狗定时器A，对其进行喂狗、定时时长配置、使能、禁止操作，处理器核B……处理器核X不能直接访问自身对应的看门狗定时器，而是将所需进行的看门狗操作信息写入该处理器核对应的存储空间，并且写入看门狗操作心跳计数，处理器核A定期查询处理器核B……处理器核X的存储空间，获取其所需进行的看门狗操作信息及操作的心跳计数，当确认心跳计数更新时，处理器核A代理进行该处理器核所对应的看门狗定时器的操作；另外，处理器核A还会定期获取各个看门狗定时器的当前状态，并将看门狗定时器B……看门狗定时器X的当前状态写入到所对应的处理器核的存储空间，之后，处理器核B……处理器核X便可以从对应存储空间获知其看门狗定时器的当前状态。

当某一看门狗定时器未被及时喂狗操作时，该看门狗定时器发出狗叫信号；当有狗叫信号时，有两种中断上报方式：方式一，每个看门狗定时器，将所对应的狗叫中断信号以处理器外部中断的方式，传递给对应的处理器核，每个处理器核仅接收自身对应的看门狗定时器的狗叫中断；方式二，看门狗定时器A狗叫时，以处理器外部中断的方式，通知处理器核A，而其他看门狗定时器狗叫时，是由处理器核A定期获知其狗叫状态后，通过核间中断通知相应的处理器核。

本发明的优点与效果：

本硬件看门狗***，应用于多核处理***，有两项突出的优点：

1、本看门狗可以对多核处理器内的每个处理器核各自的任务运行情况进行单独监控；

2、本看门狗应用于混合安全等级的多核处理***时，限制了其中单个处理器核故障的影响范围，在运行不同安全等级任务的处理器核之间建立了较强的故障隔离能力，使得运行低安全等级任务的处理器核发生故障时，不会影响到高安全等级任务的正常运行。该故障隔离能力主要体现为下述特性：

a)运行较低安全等级任务的处理器核B、……、处理器核X发生故障时，即便向外发出预期之外的访问，也不会影响到其他处理器核所对应的看门狗的正常运行；

b)运行较低安全等级任务的处理器核B、……、处理器核X所对应的看门狗定时器发生狗叫时，其中断仅通知到发生异常的处理器核，不会影响到其他处理器核；

c)运行较低安全等级任务的处理器核B、……、处理器核X发生故障时，并不会导致整个***的复位。运行最高安全等级任务的处理器核A发生故障时，才会引起***复位。

本发明提出了一种适用于混合安全等级多核处理***的硬件看门狗及其控制方法，可以对多核处理器的多个处理器核提供更全面的监控能力，并限制了其中单个处理器核故障的影响范围，在处理器核之间建立了有效的故障隔离。本发明可以对混合安全等级多核处理***的可靠性提供有效保障。

附图说明

图1为本发明看门狗***的组成示意图(中断上报采用方式一)。

图2为本发明看门狗***的组成示意图(中断上报采用方式二)。

具体实施方式

本发明采用可编程逻辑器件、多核处理器、以及各处理器核的存储空间来共同构成硬件看门狗***。本发明使用可编程逻辑器件(通常为FPGA)来实现硬件看门狗电路，并利用多核处理器多个处理器核之间的共享存储空间来实现看门狗的控制方法。

所述看门狗***包括：

一个多核处理器，其内部包含n个处理器核，即处理器核A、处理器核B……处理器核X；

一个可编程逻辑器件，其内部包含n个看门狗定时器和1个复位控制电路，n个看门狗定时器，即看门狗定时器A、看门狗定时器B……看门狗定时器X；

n-1个存储空间，即存储空间B……存储空间X；

其中，多核处理器中的处理器核A用于对可编程逻辑器件进行访问；看门狗定时器A、看门狗定时器B……看门狗定时器X分别对相应的处理器核A、处理器核B……处理器核X进行监控；存储空间B……存储空间X分别被对应的处理器核B……处理器核X访问，所有存储空间都被处理器核A访问。

所述复位控制电路，在看门狗定时器A发出狗叫信号，或者处理器核A发出复位命令时，向外发出复位信号，引起整个***复位。

本发明的实现机理如图1所示。多核处理器中有n个处理器核，分别为处理器核A、处理器核B、……、处理器核X。混合安全等级的各任务中，安全等级最高的任务运行在处理器核A上，较低安全等级的任务运行在其他处理器核中。可编程逻辑器件内实现硬件看门狗电路，包括n个看门狗定时器，分别为A、B、……、X，每个看门狗定时器对相对应的处理器核的任务运行状况进行监控。此外，硬件看门狗电路中还包含复位控制电路，用于产生复位信号。仅处理器核A可以直接访问所有的看门狗电路，其他处理器核不允许直接访问看门狗电路。其他处理器核对自身对应的看门狗定时器的访问，可以通过处理器核A代理进行。为处理器核B、……、处理器核X各分配一段对应的存储空间(存储空间B、……、存储空间X)用于进行看门狗操作。运行较低安全等级任务的处理器核B、……、处理器核X仅可以访问自身对应的看门狗操作存储空间，而运行最高安全等级任务的处理器核A具有最高的访问权限，可以访问其他处理器核所对应的看门狗操作存储空间。(注：特定处理器核对特定地址空间的访问权限是通过管理权限较高的配置程序限定的，无法被较低管理权限的操作***或应用程序更改。)

处理器核A可以直接访问自身对应的看门狗定时器A，对其进行喂狗、定时时长配置、使能、禁止等操作。其他处理器核并不能直接访问自身对应的看门狗定时器，而是将所需进行的看门狗操作信息(喂狗、定时时长配置、使能、禁止等)写入本处理器核对应的存储空间，并且写入看门狗操作心跳计数(每次操作时，心跳计数加1，用于标记这是一次新的操作)。处理器核A定期查询其他处理器核的存储空间，获取其所需进行的看门狗操作信息及操作的心跳计数，当确认心跳计数更新时，代理进行该处理器核所对应的看门狗定时器的操作。处理器核A除了定期进行代理看门狗操作之外，还会定期获取各个看门狗定时器的当前状态(是否狗叫，已狗叫次数等)，并将看门狗定时器B、……、X的当前状态写入到所对应的处理器核的看门狗操作存储空间。之后，该处理器核便可以从对应存储空间获知其看门狗定时器的当前状态。

通过上述方式，处理器核A可直接访问自身对应的看门狗定时器A，其他处理器核也可以间接访问自身所对应的看门狗定时器。每个处理器核的任务运行情况，都被相应的看门狗定时器单独监控。处理器核A还可以获知当前所有处理器核的运行状况。

当处理器核A之外的其他处理器核任务运行出现异常，未能及时进行看门狗喂狗操作时，相应的看门狗定时器会计数至终点，产生狗叫信号。当处理器核A任务运行出现异常，未能及时进行各项看门狗操作时，所有看门狗定时器都会计数至终点，产生狗叫信号。当看门狗狗叫时，有两种中断上报方式：方式一如图1所示，每个看门狗定时器，将所对应的狗叫中断信号以处理器外部中断的方式，传递给对应的处理器核，每个处理器核仅接收自身对应的看门狗定时器的狗叫中断；方式二如图2所示，看门狗定时器A狗叫时，以处理器外部中断的方式，通知处理器核A，而其他看门狗定时器狗叫时，是由处理器核A定期获知其狗叫状态后，通过核间中断通知相应的处理器核。当多核处理器内部的处理器核数较少，外部中断数量足够时，可以采用方式一进行看门狗狗叫中断上报；当多核处理器内部的处理器核数较多，外部中断数量不足时，可以采用方式二进行看门狗狗叫中断上报。

本看门狗的复位控制电路在两种情况下向外发起复位信号：1.当运行最高安全等级任务的处理器核A出现异常，看门狗定时器A发生狗叫时，复位控制电路自动发起复位信号(也可设置为看门狗定时器A发生多次狗叫时才发起复位，以容忍一定程度的瞬时异常)；2.当处理器核A通过各看门狗定时器的状态获知其他处理器核已经严重异常，需要整个处理***进行整体复位时，处理器核A主动命令复位控制电路发起复位信号。

在本发明中，仅运行最高安全等级任务的处理器核A可直接访问看门狗电路，而运行较低安全等级任务的处理器核B、……、处理器核X无法直接访问看门狗电路，只能直接访问各自的看门狗操作存储空间。这种特定处理器核对特定地址空间的访问权限是通过管理权限较高的配置程序限定的，无法被较低管理权限的操作***或应用程序更改。因此，即便处理器核B、……、处理器核X发生故障，向外界发起预期之外的访问，这些访问也不会直接访问到看门狗电路(至多访问到故障处理器核所对应的看门狗操作存储空间)，也就无法对其他处理器核所对应的看门狗定时器造成预期之外的影响。这样，就在不同的处理器核之间，建立了有效的故障隔离，处理器核B、……、处理器核X发生故障时，不会影响到其他处理器核所对应的看门狗的正常运行。处理器核A发生故障时，可能会影响到其他处理器核的看门狗，但因为处理器核A所运行的任务是最高安全等级的，因此这并不违反混合安全等级任务***中，低安全等级任务故障不能影响高安全等级任务的要求。

通过上述方案，本硬件看门狗***，可以对多核处理器内的每个处理器核的任务运行情况进行单独监控，并且对其中单个处理器核故障的影响范围进行了有效的限制。各处理器核之间具有较强的故障隔离能力，运行较低安全等级任务的处理器核B、……、处理器核X发生故障时，即便向外发出预期之外的访问，也不会影响到其他处理器核所对应的看门狗的正常运行。处理器核B、……、处理器核X所对应的看门狗定时器发生狗叫时，其中断仅通知到发生异常的处理器核，不会影响到其他处理器核。运行较低安全等级任务的处理器核B、……、处理器核X发生故障时，并不会导致整个***的复位。运行最高安全等级任务的处理器核A发生故障时，才会引起***复位。此外在处理器核A判定当前其他处理器核已经严重异常时，会在不影响最高安全等级任务的情况下，主动发起***复位。处理器核A发生故障时，可能影响到其他处理器核及其看门狗定时器的正常运行，但是这并不违反混合安全等级任务***中，低安全等级任务故障不能影响高安全等级任务的要求。

因此，本看门狗适用于运行混合安全等级任务的多核处理器，在不同安全等级任务之间建立了较强的故障隔离能力，当运行低安全等级任务的处理器核发生故障时，不会影响到高安全等级任务的正常运行。

本发明可适用于同时运行多种不同安全等级任务的多核处理器。应用这样的设计，可以对多核处理器内的每个处理器核各自的任务运行情况进行单独监控，并且在运行不同安全等级任务的处理器核之间建立了有效的故障隔离能力。运行低安全等级任务的处理器核发生故障时，不会影响到高安全等级任务的正常运行。

一、运行最高安全等级任务的处理器核A对看门狗的控制方法如下：

1.在多核处理***启动后，将存储空间B、……、存储空间X内的看门狗操作信息、看门狗状态信息、看门狗操作心跳计数均清零，并在清零完成后，置相应的清零完成标志；

2.对看门狗定时器A进行初始化(定时时长配置、使能)；

3.定期对看门狗定时器A进行喂狗操作，防止看门狗定时器A发生狗叫；

4.定期查询存储空间B、……、存储空间X内的看门狗操作信息及对应的看门狗操作心跳计数；

5.如果看门狗操作心跳计数有更新，则代理执行相应的看门狗操作(对存储空间相对应的看门狗定时器进行所要求的操作)；

6.定期查询看门狗定时器B、……、看门狗定时器X的看门狗状态，并将各状态信息写入对应的存储空间B、……、存储空间X。

二、运行较低安全等级任务的其他处理器核对看门狗的控制方法如下：

1.在多核处理***启动后，查询本处理器核对应的看门狗操作存储空间，确认看门狗操作信息、看门狗状态信息、看门狗操作心跳计数均已经被清零，并且确认清零完成标志已被置为有效；

2.向本处理器核对应的看门狗操作存储空间，写入看门狗定时器初始化操作(定时时长配置、使能)，并且更新相应的看门狗操作心跳计数；

3.定期向本处理器核对应的看门狗操作存储空间，写入看门狗喂狗操作，并更新相应的看门狗操作心跳计数；

4.定期读取本处理器核对应的看门狗操作存储空间中的看门狗状态信息，获取本处理器核对应的看门狗定时器的当前状态。

三、各看门狗定时器的工作方式如下：

1.在被使能后，开始定时计数，定时时长为预设的值；

2.当被喂狗操作时，定时计数重置；

3.若未被及时喂狗，定时计数达到预设的定时时长，则发出一次狗叫信号；

4.狗叫后，定时器重置，重新开始一次新的计数循环，若仍未被及时喂狗导致定时计数再次达到定时时长，可重复发出狗叫信号，如此循环。

四、中断机制采用方式一时，各看门狗叫后，中断上报工作方式如下：

1.各看门狗狗叫后，通过外部中断信号，中断各个相应的处理器核；

2.处理器核收到相应的看门狗外部中断后，进行中断处理。

五、中断机制采用方式二时，各看门狗叫后，中断上报工作方式如下：

对于看门狗定时器A的狗叫处理方式为：

1.看门狗定时器A发生狗叫后，通过外部中断信号，中断处理器核A；

2.处理器核A收到看门狗外部中断后，进行中断处理。

对于其他看门狗定时器的狗叫处理方式为：

1.除看门狗定时器A之外的其他看门狗定时器发生狗叫；

2.处理器核A定期查询看门狗定时器B、……、看门狗定时器X的看门狗状态，获知某个看门狗定时器发生狗叫；

3.处理器核A通过核间中断，通知发生看门狗狗叫的相应处理器核；

4.相应处理器核接收到核间中断后，进行中断处理。

六、看门狗的复位控制电路工作方式如下：

1.当看门狗定时器A发生狗叫时，复位控制电路自动发起复位信号(也可设置为看门狗定时器A发生多次狗叫时才发起复位，以容忍一定程度的瞬时异常)；

2.处理器核A主动向复位控制电路发起复位命令时，复位控制电路发起复位信号。

Claims (4)

1.一种适用于混合安全等级多核处理***的看门狗***，其特征在于，包括：

一个多核处理器，其内部包含n个处理器核，即处理器核A、处理器核B……处理器核X；

一个可编程逻辑器件，其内部包含n个看门狗定时器和1个复位控制电路，n个看门狗定时器，即看门狗定时器A、看门狗定时器B……看门狗定时器X；

n-1个存储空间，即存储空间B……存储空间X；

其中，多核处理器中的处理器核A用于对可编程逻辑器件进行访问；看门狗定时器A、看门狗定时器B……看门狗定时器X分别对相应的处理器核A、处理器核B……处理器核X进行监控；存储空间B……存储空间X分别被对应的处理器核B……处理器核X访问，所有存储空间都被处理器核A访问。

2.如权利要求1所述的一种适用于混合安全等级多核处理***的看门狗***，其特征在于：所述复位控制电路，在看门狗定时器A发出狗叫信号，或者处理器核A发出复位命令时，向外发出复位信号，引起整个***复位。

3.一种适用于混合安全等级多核处理***的看门狗***控制方法，采用了如权利要求1或2所述的看门狗***，其特征在于控制方法如下：处理器核A直接访问自身对应的看门狗定时器A，对其进行喂狗、定时时长配置、使能、禁止操作，处理器核B……处理器核X不能直接访问自身对应的看门狗定时器，而是将所需进行的看门狗操作信息写入该处理器核对应的存储空间，并且写入看门狗操作心跳计数，处理器核A定期查询处理器核B……处理器核X的存储空间，获取其所需进行的看门狗操作信息及操作的心跳计数，当确认心跳计数更新时，处理器核A代理进行该处理器核所对应的看门狗定时器的操作；另外，处理器核A还会定期获取各个看门狗定时器的当前状态，并将看门狗定时器B……看门狗定时器X的当前状态写入到所对应的处理器核的存储空间，之后，处理器核B……处理器核X便可以从对应存储空间获知其看门狗定时器的当前状态。

4.如权利要求3所述的一种适用于混合安全等级多核处理***的看门狗***控制方法，其特征在于：当某一看门狗定时器未被及时喂狗操作时，该看门狗定时器发出狗叫信号；当有狗叫信号时，有两种中断上报方式：方式一，每个看门狗定时器，将所对应的狗叫中断信号以处理器外部中断的方式，传递给对应的处理器核，每个处理器核仅接收自身对应的看门狗定时器的狗叫中断；方式二，看门狗定时器A狗叫时，以处理器外部中断的方式，通知处理器核A，而其他看门狗定时器狗叫时，是由处理器核A定期获知其狗叫状态后，通过核间中断通知相应的处理器核。

Images