DE102011011333B4

DE102011011333B4 - Lesen in Peripheriegeräte und schreiben aus Peripheriegeräten mit zeitlich getrennter, redundanter Prozessorausführung

Info

Publication number: DE102011011333B4
Application number: DE102011011333.9A
Authority: DE
Inventors: Simon Brewerton; Glenn Ashley Farrall; Neil Stuart Hastie; Richard Knight
Original assignee: Infineon Technologies AG
Current assignee: Infineon Technologies AG
Priority date: 2010-02-23
Filing date: 2011-02-16
Publication date: 2022-07-14
Anticipated expiration: 2031-02-17
Also published as: JP5341928B2; DE102011011333A1; JP2011175641A; US20110208948A1

Abstract

Verfahren, das Folgendes umfasst:Identifizieren eines ersten Prozessors (102) als Hauptprozessor durch ein Bus-Seitenbandsignal, das in Beziehung zu einem Hauptprozessor-Identifizierungskennzeichen steht;Lesen von von einem Sensor gelieferten Daten aus einem Peripheriegerät (108) durch den ersten Prozessor (102);Kopieren der Daten in ein Register (110);wobei das Verfahren zusätzlich die Schritte umfasst, dass bei einem Versuch eines zweiten Prozessors (104), die Daten aus dem Peripheriegerät (108) zu lesen, der zweite Prozessor (104) unter Verwendung eines Bus-Adressdekoders auf der Basis des Vorhandenseins des Hauptprozessor-Identifizierungskennzeichens daran gehindert wird, die Daten aus dem Peripheriegerät (108) zu lesen, der Leseversuch des zweiten Prozessors (104) stattdessen zu dem Register (110) umgeleitet wird, und der zweite Prozessor (104) die Daten aus dem Register (110) ausliest.

Description

TECHNISCHES GEBIET DER ERFINDUNG
Die Erfindung bezieht sich allgemein auf Sicherheitssysteme und insbesondere auf eine zeitlich getrennte, redundante Prozessoranweisungsausführung, die in sicherheitskritischen Systemen oder in Systemen mit hoher Integrität anwendbar ist.
HINTERGRUND DER ERFINDUNG
Hoch-Integritäts-Software ist in einer Vielfalt von weitreichenden Anwendungen zu etwas Alltäglichem geworden. So weisen zum Beispiel viele Anwendungen im Automobilsektor, im Bankenwesen, in der Luft- und Raumfahrt, im Verteidigungs- und Abwehrsektor, im Bereich der Bezahlung über das Internet und viele andere Anwendungen kritische Pfade auf, die eine Validierung einer sicheren Operation bzw. eines sicheren Betriebs durch Redundanz, Diversität oder beides erfordern.
Die allgemeine Herangehensweise zur Garantierung einer sicheren Operation bzw. eines sicheren Betriebs eines kritischen Pfades liegt darin, dass zwei Algorithmen berechnet werden und die Ergebnisse in Bezug auf Übereinstimmung (Konsistenz) oder Plausibilität unter Verwendung eines unabhängigen Komparators verglichen werden. Im Allgemeinen ist dies bis jetzt mit Hilfe von zwei verschiedenen Verfahren implementiert worden. Bei dem ersten Verfahren können in einem System mit mehr als einem Verarbeitungskanal identische Algorithmen gleichzeitig berechnet werden, wobei jeweils ein Algorithmus in seinem eigenen Verarbeitungskanal verarbeitet wird, und die Ergebnisse in Bezug auf Übereinstimmung verglichen werden. Bei dem zweiten Verfahren können in einem System, das auf einen einzigen aktiven Verarbeitungskanal beschränkt ist, zwei (oder mehr) unterschiedliche Algorithmen mit einer zeitlichen Trennung berechnet werden. Diese Ergebnisse werden dann in Bezug auf Übereinstimmung oder Plausibilität gegenkontrolliert. Bei beiden Lösungswegen ist es notwendig zu gewährleisten, dass dieselbe Codeausführung in jedem Durchlauf die gleichen Daten gebraucht hat.
Bei beiden dieser Implementierungen gibt es Probleme. Vor allem existieren Probleme in Bezug auf das Lesen und Schreiben aus Schnittstellen-Peripheriegeräten oder gemeinsam genutzten Ressourcen. Wenn physisch getrennte Verarbeitungseinheiten verwendet werden, dann ist ein Hardware-Vergleich von Lesedaten möglich, da die Transaktionen gleichzeitig ausgegeben werden. Nur eine Verarbeitungseinheit steuert die Lesebustransaktion, und die Lesedaten für andere redundante Prozessoren werden durch die redundanten Prozessoren überwacht oder aus dem Bus „ausspioniert“ („snooped“), während diese ausgehend von gemeinsam genutzten Peripheriegeräten oder einem gemeinsam genutzten Speicher zu dem Hauptprozessor transferiert werden. In ähnlicher Weise geschieht dies mit den Schreibdaten, wobei nur eine Verarbeitungseinheit mit dem Bus selber verbunden ist, so dass der Schreibvorgang (Write) von dieser Verarbeitungseinheit zu der Aktuator-Steuerungs-Schnittstelle gesteuert wird. Das Problem liegt aber in dieser einzigen Transaktion auf Bus-Ebene. Da sowohl die Lese- als auch die Schreibbefehle nur eine einzige Transaktion auf Bus-Ebene sind, deckt die Redundanzprüfung nur den Prozessor ab und nicht den Transfer von Lese- oder Schreibdaten von dem Sensor-Subsystem durch alle dazwischen liegenden Brücken oder auf dem Chip integrierten Kommunikationsinfrastrukturen.
Im Gegensatz dazu ist dann in dem Fall, wenn eine einzige Verarbeitungseinheit verwendet wird und die Codesequenz wiederholt wird, um den Verarbeitungsvorgang zu überprüfen, ein direkter Vergleich von Hardware zu Hardware von Lese- oder Schreibdaten nicht möglich. Der Code für die redundante Ausführung muss geringfügig modifiziert werden, so dass die Daten von einem Lesevorgang (Read) oder Schreibvorgang (Write) von einer gemeinsam genutzten Ressource bei oder vor der ersten Ausführung in einen temporären Platz in einem Speicher kopiert werden. Nach der Durchführung des Algorithmus kann dieser temporäre Wert dann mit dem Wert des Hardware-Registers verglichen werden, welches den Wert des redundanten Durchlaufs enthalten würde. Also liegt hier die gleiche Beschränkung wie bei mehreren Prozessoren vor. Da sowohl die Lese- als auch die Schreibbefehle nur eine einzige Transaktion auf Bus-Ebene sind, deckt die Redundanzprüfung nur den Prozessor ab und nicht den Transfer von Lese- oder Schreibdaten von dem Sensor-Subsystem durch irgendwelche dazwischen liegende Brücken oder auf dem Chip integrierte Kommunikationsinfrastrukturen. Außerdem erzeugt das Erfordernis, dass die Codesequenz modifiziert werden muss, um eine anfängliche Kopie in einem Speicher für den nachfolgenden Vergleich aufzuzeichnen, nicht nur eine zusätzliche Komplikation für den Programmierer, sondern macht es auch schwierig zu gewährleisten, dass die zeitlich getrennten Durchläufe die exakt gleichen Anweisungen ausgeführt haben.
Die Publikation P. Subramanyan et al.: „Power efficient redundant execution for chip multiprocessors“, In: Workshop on Dependable and Secure nanocomputing, 2009 offenbart eine Mikroarchitektur, bei der ein Hauptkern und ein redundanter Kern die gleichen Instruktionen ausführen, wobei durch den Hauptkern geladene Werte repliziert werden und wobei der redundante Kern die replizierten Werte lädt.
Die Publikation S. Reinhardt et al.: „Transient fault detection via simultaneous multithreading“, In: ACM, 2000 offenbart ein Verfahren bei dem Datenschreibvorgänge von Threads protokolliert werden.
Die Publikation J. Smolens et al.: „Reunion: Complexity-effective multicore redundancy“, In: Proceedings of the 39th Annual IEEE/ACM International Symposium on Microarchitecture, IEEE Computer Society, 2006 offenbart ein System mit mehreren redundanten Kernen, wobei, wenn Kerne verschiedene geladene Werte empfangen, eine Fehlerdetektion und Wiederherstellung den Unterschied beheben kann.
US 5 226 152 A offenbart ein System mit redundanten Prozessoren.
ZUSAMMENFASSUNG DER ERFINDUNG
Ausführungsbeispiele beziehen sich auf Systeme und Verfahren zum Lesen aus Peripheriegeräten und Schreiben in Peripheriegeräte. In einem Ausführungsbeispiel umfasst ein Verfahren das Identifizieren eines ersten Prozessors als Hauptprozessor durch ein Bus-Seitenbandsignal, das in Beziehung zu einem Hauptprozessor-Identifizierungskennzeichen steht; das Lesen von einem Sensor gelieferten Daten aus einem Peripheriegerät durch den ersten Prozessor; das Kopieren der Daten in ein Register; das Hindern eines Leseversuchs bezüglich des Peripheriegeräts durch einen zweiten Prozessor unter Verwendung eines Bus-Adressdekoders auf der Basis des Vorhandenseins des Hauptprozessor-Identifizierungskennzeichens und das Umleiten zu dem Register; und das Lesen der Daten aus dem Register durch den zweiten Prozessor.
In einem Vergleichsbeispiel umfasst ein Verfahren das Schreiben von Daten in ein Peripheriegerät durch einen ersten Prozessor; das Protokollieren des Datenschreibvorgangs durch den ersten Prozessor durch eine Registriereinrichtung (eine Logger-Vorrichtung); das Versuchen des Schreibens von Daten in das Peripheriegerät durch einen zweiten Prozessor; das Protokollieren des Datenschreibvorgangs durch den zweiten Prozessor durch die Registriereinrichtung; und das Dekodieren des Datenschreibvorgangs durch den zweiten Prozessor zu einem Peripheriegerät, das keine Ausgabe erzeugt. In einem Ausführungsbeispiel umfasst ein System wenigstens zwei Prozessoren, wobei einer der wenigstens zwei Prozessoren ein Hauptprozessor ist; ein Peripheriegerät, das so konfiguriert ist, dass wenigstens einer von den wenigstens zwei Prozessoren aus diesem auslesen kann; ein Register, das so konfiguriert ist, dass es einen Datenlesevorgang bezüglich des Peripheriegeräts durch den Hauptprozessor kopiert wobei das System so ausgestaltet ist, dass ein erster Prozessors der wenigstens zwei Prozessoren durch ein Bus-Seitenbandsignal, das in Beziehung zu einem Hauptprozessor-Identifizierungskennzeichen steht, als Hauptprozessor identifiziert wird, dass ein zweiter Prozessor der wenigstens zwei Prozessoren bei einem Versuch des zweiten Prozessors, die Daten aus dem Peripheriegerät zu lesen, unter Verwendung eines Bus-Adressdekoders auf der Basis des Vorhandenseins des Hauptprozessor-Identifizierungskennzeichens daran gehindert wird, die Daten aus dem Peripheriegerät zu lesen, dass der Leseversuch des zweiten Prozessors stattdessen zu dem Register umgeleitet wird, und dass der zweite Prozessor die Daten aus dem Register ausliest..
In einem Vergleichsbeispiel umfasst ein System einen Prozessor, der einen ersten Ausführungsmodus und einen zweiten Ausführungsmodus aufweist; ein Peripheriegerät, das so konfiguriert ist, dass der Prozessor während des ersten Ausführungsmodus aus diesem lesen und in dieses schreiben kann; ein Register, das so konfiguriert ist, dass es einen Datenlesevorgang bezüglich des Peripheriegeräts durch den Prozessor in dem ersten Ausführungsmodus kopiert und den Datenlesevorgang dem Prozessor in dem zweiten Ausführungsmodus in Reaktion auf eine Leseanforderung bereitstellt; eine Zugriffs-Registriereinrichtung, die so konfiguriert ist, dass sie einen Datenschreibvorgang zu dem Peripheriegerät durch den Prozessor in dem ersten Ausführungsmodus protokolliert und den Datenschreibvorgang mit einem Datenschreibvorgang des Prozessors in dem zweiten Ausführungsmodus vergleicht; und ein Null-Antwort-Peripheriegerät, das so konfiguriert ist, dass es umgeleitete Datenschreibvorgänge von dem Prozessor in dem zweiten Ausführungsmodus empfängt.
Gemäß einem Aspekt wird ein Verfahren zur Verfügung gestellt, das Folgendes umfasst:

Identifizieren eines ersten Prozessors als Hauptprozessor durch ein Bus-Seitenbandsignal,
das in Beziehung zu einem Hauptprozessor-Identifizierungskennzeichen steht;
Lesen von von einem Sensor gelieferten Daten aus einem Peripheriegerät durch einen ersten Prozessor;
Kopieren der Daten in ein Register;
Verhindern eines Leseversuchs bezüglich des Peripheriegeräts durch einen zweiten Prozessor unter Verwendung eines Bus-Adressdekoders auf der Basis des Vorhandenseins des Hauptprozessor-Identifizierungskennzeichens und Umleiten des Leseversuchs zu dem Register; und
Lesen der Daten aus dem Register durch den zweiten Prozessor.

Vorteilhaft umfaßt das Verfahren des Weiteren das Feststellen, ob ein Leseversuch bezüglich des Peripheriegeräts zu dem Register umgeleitet werden soll, auf der Basis des Vorhandenseins oder des Nichtvorhandenseins eines Hauptprozessor-Identifizierungskennzeichens.
Vorteilhaft umfaßt das Kopieren der Daten das Kopieren der Daten in ein ,First in First out (FIFO)'-Register.
Vorteilhaft umfaßt das Verfahren des Weiteren das Ausführen von identischen Verarbeitungssequenzen durch den ersten Prozessor und den zweiten Prozessor.
Vorteilhaft umfaßt das Verfahren des Weiteren das Ausführen von zeitlich getrennten, identischen Verarbeitungssequenzen durch den ersten Prozessor und den zweiten Prozessor.
Vorteilhaft umfaßt das Verfahren des Weiteren das Überschreiben der in das Register kopierten Daten.
Vorteilhaft umfaßt das Verfahren des Weiteren das Deaktivieren des Registers zum Arbeiten in einem nicht redundanten Modus.
Vorteilhaft umfaßt der erste Prozessor einen ersten Betriebsmodus einer Verarbeitungseinheit und der zweite Prozessor einen zweiten Betriebsmodus der Verarbeitungseinheit, und wobei der ersten Betriebsmodus und der zweite Betriebsmodus mit zeitlicher Trennung von der Verarbeitungseinheit ausgeführt werden.
Vorteilhaft umfaßt das Verfahren des Weiteren das Auswählen des ersten Betriebsmodus oder des zweiten Betriebsmodus der Verarbeitungseinheit auf der Basis eines Seitenband-Tagging-Signals.
Vorteilhaft umfaßt das Verfahren des Weiteren Folgendes:

Schreiben von Daten in das Peripheriegerät durch den ersten Prozessor;
Protokollieren des Datenschreibvorgangs durch den ersten Prozessor durch eine Registriereinrichtung (Logger-Vorrichtung);
Versuchen des Schreibens von Daten in das Peripheriegerät durch den zweiten Prozessor;
Protokollieren des Datenschreibvorgangs durch den zweiten Prozessor durch die Registriereinrichtung; und
Dekodieren des Schreibvorgangs durch den zweiten Prozessor zu einem Peripheriegerät, das keine Ausgabe erzeugt.

Gemäß einem Vergleichsbeispiel wird ein Verfahren zur Verfügung gestellt, das Folgendes umfasst:

Schreiben von Daten in ein Peripheriegerät durch einen ersten Prozessor;
Protokollieren des Datenschreibvorgangs durch den ersten Prozessor durch eine Registriereinrichtung (Logger-Vorrichtung);
Versuchen des Schreibens von Daten in das Peripheriegerät durch den zweiten Prozessor;
Protokollieren des Datenschreibvorgangs durch den zweiten Prozessor durch die Registriereinrichtung; und
Dekodieren des Schreibvorgangs durch den zweiten Prozessor zu einem Peripheriegerät, das keine Ausgabe erzeugt.

Vorteilhaft umfaßt das Verfahren des Weiteren das Identifizieren des ersten Prozessors als einen Hauptprozessor.
Vorteilhaft umfaßt das Verfahren des Weiteren das Feststellen, ob Daten in das Peripheriegerät oder in das Peripheriegerät, das keine Ausgabe erzeugt, geschrieben werden sollen, auf der Basis des Vorhandenseins oder des Nichtvorhandenseins eines Hauptprozessor-Identifizierungskennzeichens.
Vorteilhaft umfaßt das Verfahren des Weiteren das Ausführen von identischen Verarbeitungssequenzen durch den ersten Prozessor und den zweiten Prozessor.
Vorteilhaft umfaßt das Verfahren des Weiteren das Ausführen von zeitlich getrennten, identischen Verarbeitungssequenzen durch den ersten Prozessor und den zweiten Prozessor.
Vorteilhaft umfaßt das Verfahren des Weiteren das Vergleichen von Schreibdaten von dem zweiten Prozessor mit Schreibdaten von dem ersten Prozessor.
Vorteilhaft umfaßt der erste Prozessor einen ersten Betriebsmodus einer Verarbeitungseinheit und der zweite Prozessor einen zweiten Betriebsmodus der Verarbeitungseinheit, und wobei der erste Betriebsmodus und der zweite Betriebsmodus mit einer zeitlichen Trennung von der Verarbeitungseinheit ausgeführt werden.
Vorteilhaft umfaßt das Verfahren des Weiteren Folgendes:

Lesen von Daten aus einem Peripheriegerät durch einen ersten Prozessor;
Kopieren der Daten in ein Register;
Umleiten eines Leseversuchs bezüglich des Peripheriegeräts durch einen zweiten Prozessor zu dem Register; und
Lesen der Daten aus dem Register durch den zweiten Prozessor.

Gemäß einem weiteren Aspekt wird ein System zur Verfügung gestellt, das Folgendes umfasst:

wenigstens zwei Prozessoren, wobei einer der wenigstens zwei Prozessoren ein Hauptprozessor ist;
ein Peripheriegerät, das so konfiguriert ist, dass wenigstens einer der wenigstens zwei Prozessoren aus diesem auslesen kann;
ein Register, das so konfiguriert ist, dass gelesene Daten in das Register kopiert werden;
wobei das System so ausgestaltet ist, dass ein erster Prozessors der wenigstens zwei Prozessoren durch ein Bus-Seitenbandsignal, das in Beziehung zu einem Hauptprozessor-Identifizierungskennzeichen steht, als Hauptprozessor identifiziert wird, dass ein zweiter Prozessor der wenigstens zwei Prozessoren bei einem Versuch des zweiten Prozessors, die Daten aus dem Peripheriegerät zu lesen, unter Verwendung eines Bus-Adressdekoders auf der Basis des Vorhandenseins des Hauptprozessor-Identifizierungskennzeichens daran gehindert wird, die Daten aus dem Peripheriegerät zu lesen, dass der Leseversuch des zweiten Prozessors stattdessen zu dem Register umgeleitet wird, und dass der zweite Prozessor die Daten aus dem Register ausliest.

Vorteilhaft umfaßt das Peripheriegerät einen Sensor oder eine Speichervorrichtung.
Vorteilhaft umfaßt das Register ein ,First in First Out (FIFO)'-Register.
Gemäß einem Vergleichsbeispiel wird ein System bereitgestellt, das Folgendes umfasst:

einen Prozessor, der einen ersten Ausführungsmodus und einen zweiten Ausführungsmodus aufweist;
ein Peripheriegerät, das so konfiguriert ist, dass der Prozessor während des ersten Ausführungsmodus aus diesem auslesen und in dieses schreiben kann;
ein Register, das so konfiguriert ist, dass es einen Datenlesevorgang bezüglich des Peripheriegeräts durch den Prozessor in dem ersten Ausführungsmodus kopiert und den Datenlesevorgang dem Prozessor in dem zweiten Ausführungsmodus in Reaktion auf eine Leseanforderung bereitstellt;
eine Zugriffs-Registriereinrichtung, die so konfiguriert ist, dass sie einen Datenschreibvorgang zu dem Peripheriegerät durch den Prozessor in dem ersten Ausführungsmodus protokolliert und den Datenschreibvorgang mit einem Datenschreibvorgang des Prozessors in dem zweiten Ausführungsmodus vergleicht; und ein Null-Antwort-Peripheriegerät, das so konfiguriert ist, dass es umgeleitete Datenschreibvorgänge von dem Prozessor in dem zweiten Ausführungsmodus empfängt.

Vorteilhaft sind Anweisungen, die in den ersten und zweiten Ausführungsmodi ausgeführt werden, identisch.
Vorteilhaft umfaßt das Peripheriegerät einen Sensor oder eine Speichervorrichtung.
Figurenliste
Die Erfindung kann im Hinblick auf die nachfolgende ausführliche Beschreibung verschiedener Ausführungsbeispiele der Erfindung in Verbindung mit den beigefügten Zeichnungen vollständiger verstanden werden, in denen:

1 ein Blockdiagramm eines Lesemodus eines Multi-Prozessor-Sicherheitssystems in Übereinstimmung mit einem Ausführungsbeispiel ist.
2 ein Ablaufdiagramm in Bezug auf das Ausführungsbeispiel von 1 ist.
3 ein Blockdiagramm eines Lesemodus eines Einzel-Prozessor-Sicherheitssystems in Übereinstimmung mit einem Ausführungsbeispiel ist.
4 ein Blockdiagramm eines Schreibmodus eines Multi-Prozessor-Sicherheitssystems in Übereinstimmung mit einem Ausführungsbeispiel ist.
5 ein Ablaufdiagramm in Bezug auf das Ausführungsbeispiel von 4 ist.
6 ein Blockdiagramm eines Schreibmodus eines Einzel-Prozessor-Sicherheitssystems in Übereinstimmung mit einem Ausführungsbeispiel ist.

Obwohl die Erfindung für verschiedene Modifikationen und alternative Formen zugänglich ist, sind spezifische Einzelheiten davon beispielshalber in den Zeichnungen gezeigt worden und werden nun ausführlich beschrieben werden. Es soll aber selbstverständlich sein, dass es nicht beabsichtigt ist, die Erfindung auf die speziellen, hier beschriebenen Ausführungsbeispiele zu beschränken. Im Gegenteil, die Erfindung soll alle Modifikationen, Äquivalente und Alternativen abdecken, die in den Erfindungsgedanken und Schutzumfang der Erfindung fallen, wie diese durch die angehängten Ansprüche definiert ist.
AUSFÜHRLICHE BESCHREIBUNG
Ausführungsbeispiele beziehen sich auf Systeme und Verfahren zum Lesen aus Schnittstellen-Peripheriegeräten oder anderen gemeinsam genutzten Ressourcen und zum Schreiben in Schnittstellen-Peripheriegeräte oder andere gemeinsam genutzte Ressourcen während einer robusten Datenverarbeitung, die eine zeitlich getrennte, redundante Ausführung verwendet. Ausführungsbeispiele können in sicherheitsrelevanten Anwendungen eingesetzt werden, die in Beziehung zu dem Automobilsektor, dem Banken- und Finanzwesen, der Luft- und Raumfahrt, dem Verteidigungs- und Abwehrsektor, dem Bereich der Bezahlung über das Internet stehen, und können auch in vielen andere Anwendungen eingesetzt werden. Die „Sicherheit“ kann sich dabei unter anderem auf die persönliche oder physische Sicherheit, wie etwa in einem Kraftfahrzeug-System, sowie auch auf Sicherheitskontexte, wie etwa in Bankgeschäft- und Finanzsystemen, beziehen. Verschiedene Ausführungsbeispiele weisen eine Anwendbarkeit auf Konfigurationen mit doppelter zentraler Verarbeitungseinheit (CPU; central processing unit) oder auf andere Konfigurationen mit mehreren CPUs auf, während Adaptationen auch für Konfigurationen mit nur einer einzigen CPU in Betracht gezogen werden. Konfigurationen mit einer einzigen CPU oder mit mehreren CPUs können in Ausführungsbeispielen in eine oder in mehrere integrierte Schaltung(en) und/oder in ein oder in mehrere IC-Packages (umhäuste integrierte Schaltungen) integriert sein.
Unter Bezugnahme auf 1 ist ein Blockdiagramm einer Sicherheitssystemarchitektur 100 dargestellt. Das System 100 umfasst eine erste CPU 102 und eine zweite CPU 104, obwohl in anderen Ausführungsbeispielen das System 100 auf jede beliebige Anzahl von parallelen Verarbeitungseinheiten ausgeweitet werden kann. Außerdem kann das System 100 auch eine einzige CPU umfassen, was unten noch ausführlicher erörtert werden wird. Die Beispiele mit mehreren CPUs, die hierin erörtert werden, werden sich in dem Kontext eines Ausführungsbeispiels mit einer doppelten CPU bewegen, wie dies in 1 dargestellt ist, ohne dass dies eine Beschränkung in Bezug auf Ausführungsbeispiele sein soll, die mehr oder weniger CPUs aufweisen.
Die CPUs 102 und 104 sind über eine gemeinsam genutzte Querverbindung (Verbindungsleitung) und eine Brücke 106 mit einem Peripherie-Subsystem gekoppelt. Das Peripherie-Subsystem umfasst ein oder mehrere Peripheriegeräte 108, wie etwa Sensoren, Speicherdatenstrukturen und andere. Das System 100 ist mit einem einzigen Peripheriegerät 108 dargestellt, obwohl andere Ausführungsbeispiele weitere und/oder mannigfaltige Peripheriegeräte 108 umfassen können.
Das System 100 umfasst in einem Ausführungsbeispiel auch eine Read-Snoop-,First in First out (FIFO)'-Vorrichtung 110 (im Folgenden kurz „FIFO 110“ genannt) (wobei „Read Snoop“ für das Ausspionieren, also Mitlesen und Überprüfen eines Lesevorgangs bzw. einer Lesetransaktion steht). Während des Betriebs führen die CPUs 102 und 104 identische Codesequenzen aus. In einem Ausführungsbeispiel erzeugt die CPU 104 aber separate Bustransaktionen zu dem Peripheriegerät 108. Eine Zugriffs-Registriereinrichtungs-Komponente des Peripheriegeräts 108 zeichnet diese Transaktionen auf, und die FIFO 110 stellt die Fähigkeit bereit zu gewährleisten, dass Lesedaten von dem Peripherie-Subsystem zu den CPUs 102 und 104 identisch sind, wenn die Lesedaten den bzw. die Prozessor(en) erreichen.
Nun wird auch Bezug auf 2 genommen. Dabei ist es erwünscht, dass die Verarbeitungssequenzen (d.h. Anweisungen, Lese- und Schreibdaten) für jede redundante Ausführung durch die CPU 102 und die CPU 104 identisch sind, um eine sichere Ausführung und Operation bzw. einen sicheren Betrieb zu gewährleisten. Aber anders als herkömmliche sogenannte „Lock Step“-Lösungsansätze („Gleichschritt“-Lösungsansätze) ermöglichen es Ausführungsbeispiele, dass Anweisungsausführungen zeitlich getrennt werden können. Bei 202 vergleicht sowohl die CPU 102 als auch die CPU 104 ihren Programmzähler mit dem bzw. den Programmzähler(n) der anderen CPUs im System 100, um festzustellen, welche CPU, nämlich 102 oder 104, die erste ist, um eine bestimmte Lesetransaktion auszuführen. Der erste Prozessor wird dann in der Programmsequenz als der „Hauptprozessor“ bezeichnet. Zum Zwecke eines Beispiels wird hier die CPU 102 als der Hauptprozessor bezeichnet werden. In einem Ausführungsbeispiel braucht der Hauptprozessor nicht permanent zugewiesen sein, so dass es möglich sein kann, dass eine andere CPU den Status als die Haupt-CPU (Master-CPU) übernehmen kann.
Der Haupt-CPU 102 ist es gestattet, bei 204 direkt aus dem Peripheriegerät 108 zu lesen, aber jegliche Daten, die von der Haupt-CPU 102 gelesen werden, werden in einem Ausführungsbeispiel bei 206 „ausspioniert“ und automatisch in die FIFO 110 geschrieben. Wenn andere Prozessoren, wie etwa die CPU 104, später bei 208 die gleiche Lesetransaktion ausführen, dann werden diese CPUs, die keine Haupt-CPUs sind, daran gehindert werden, aus dem Peripheriegerät 108 auszulesen, da der ausgelesene Wert sich von demjenigen, der von der Haupt-CPU 102 ausgelesen wurde, unterscheiden könnte. So kann sich zum Beispiel in einem Ausführungsbeispiel, in dem das Peripheriegerät 108 eine Sensorvorrichtung umfasst, ein Charakteristikum, das von dem Peripheriegerät 108 abgefühlt wurde, in der Zeit ändern, die zwischen einem Lesen durch die Haupt-CPU 102 und einem Lesen durch die CPU 104 vergeht. Das Hindern der CPUs, die keine Haupt-CPUs sind, daran, direkt aus dem Peripheriegerät 108 zu lesen, wird in einem Ausführungsbeispiel durch eine CPU-Hardware-Modifikation eines Bus-Seitenbandsignals erzielt, das in Beziehung zu einem Identifizierungskennzeichen der Haupt-CPU steht. Dieses Identifizierungskennzeichen (das sogenannte Identifizierungs-„Tag“) zeigt dem Bus-Adressdekoder an, dass die Transaktion von dem Peripheriegerät 108 zu einer speziellen Nebenvorrichtung (Slave-Vorrichtung) umgeleitet werden soll, die dann die ausspionierten Lesedaten von der FIFO 110 zur Verfügung stellt. Da es erwünscht ist, dass der Anweisungsstrom für jede CPU 102 und 104 identisch ist, gewährleistet das Lesen der ausspionierten Daten aus der FIFO 110, dass die Lesedaten für jede CPU 102 und 104 identisch sein werden. In einem Ausführungsbeispiel weist jede der CPUs 102 und 104 einen Lesezeiger in die FIFO 110 auf, der die aktuelle Position der jeweiligen CPU in der Leseanweisungssequenz angibt. Ein Datenwert in der FIFO 110 kann bei 210 invalidiert und überschrieben werden, nachdem jeder redundante Prozessor den Datenwert gelesen hat.
In einem Ausführungsbeispiel kann das oben erwähnte Haupt-CPU-Identifizierungskennzeichen auch dazu verwendet werden anzugeben, ob eine bestimmte CPU im Augenblick in einem redundanten Modus arbeitet oder nicht. Bei 205 kann eine Überprüfung durchgeführt werden. Wenn eine bestimmte CPU nicht in dem redundanten Modus arbeitet, dann kann das System 100 in einen Modus umschalten, in dem redundante Ausführungen nicht benötigt werden, derartig, dass die FIFO 110 und ein spezielles Busverhalten bei 212 deaktiviert werden können und Daten bei 214 direkt aus dem Peripheriegerät 108 gelesen werden können.
Eine weitere Adaptation zu dem System 100 erlaubt es dem System 100, das Ausspionieren (Snooping) in dem Kontext eines Ausführungsbeispiels mit nur einer einzigen CPU ein- und auszuschalten. In 3 umfasst das System 300 eine einzige CPU 102. Die CPU 102 arbeitet mit einer zeitlich getrennten, redundanten Ausführung und weist zwei Ausführungsmodi auf: einen Real-Modus (Real Mode) 112 und einen Prüfer-Modus (Checker Mode) 114. In dem Real-Modus 112 arbeitet die CPU 102 als eine Haupt-CPU und liest aus dem Peripheriegerät 108 aus. In einer nachfolgenden, zeitlich getrennten Ausführung arbeitet die CPU 102 in einem Prüfer-Modus 114 als eine Nicht-Haupt-CPU mit dem speziellen Busverhalten, das oben beschrieben ist, um aus der FIFO 110 auszulesen. Der Code, der in den Modi 112 und 114 ausgeführt wird, ist identisch, und ein Seitenband-Tagging/(Kennzeichensetzungs)-Signal ist implementiert, um anzugeben, ob die CPU 102 im Modus 112 oder im Modus 114 arbeitet. Somit bekommen sowohl der Real-Modus 112 als auch der Prüfer-Modus 114 der CPU 102 jeweils die gleichen Daten, die von dem Peripheriegerät 108 stammen, und die gleiche Sequenz von Anweisungen wird ausgeführt. Das Ausführungsbeispiel von 3 kann deshalb eine weniger teure Implementierung bereitstellen, ohne dass ein signifikantes Maß an Sicherheit geopfert wird.
Nun wird das Schreiben von Daten in Peripheriegeräte in Multi-Prozessor-Systemen beschrieben. Herkömmliche Systeme betreiben typischerweise mehrere Prozessoren in einem sogenannten Lock-Step-Betrieb (Gleichsschritt-Betrieb), wobei nur ein Prozessor mit dem Peripheriegerät verbunden ist, in das Daten geschrieben werden. Bei einer solchen Konfiguration ist ein Vergleich von redundanten Schreibdaten auf diesen Prozessor beschränkt und deckt nicht den Transfer der Daten durch die dazwischen liegende Infrastruktur ab. Aus diesem Grund sowie auch aus anderen Gründen besteht ein gesteigertes Risiko in solchen Systemen für sogenannte Common Cause Failures (systematische Mehrfachausfälle bzw. Fehler oder Ausfälle infolge gemeinsamer Ursache), die mehrere Prozessoren in Mitleidenschaft ziehen. Auch in Systemen mit nur einem einzigen Prozessor gibt es Nachteile, wie etwa die Notwendigkeit, Schreibvorgangsadressierungen in späteren Ausführungen modifizieren zu müssen.
Unter Bezugnahme auf 4 ermöglichen Ausführungsbeispiele auch das Schreiben in Peripheriegeräte, während gleichzeitig Nachteile vermieden werden, die mit herkömmlichen Einzel- und Multi-Prozessor-Sicherheitssystemen verbunden sind. Das System 400 ist dem oben erörterten System 100 ähnlich und umfasst Prozessoren 102 und 104, obwohl in anderen Ausführungsbeispielen jegliche Anzahl von parallelen Prozessoren verwendet werden kann. Ebenfalls ähnlich wie bei dem System 100 führen die CPUs 102 und 104 identische Codesequenzen während des Betriebs aus. Im Gegensatz zu herkömmlichen Systemen erzeugt die CPU 104 separate Bustransaktionen zu dem Peripheriegerät 108, und eine Registrierungseinrichtung bzw. Logger-Vorrichtung 116 zeichnet diese Transaktionen auf und stellt die Fähigkeit bereit, überprüfen zu können, dass die Transaktionen von jeder der CPU 102 und der CPU 104 identisch sind, wenn sie das Peripherie-Subsystem erreichen.
Wie im System 100 müssen die Anweisungen, die von den CPUs 102 und 104 im System 400 ausgeführt werden, identisch sein. Im Gegensatz zu herkömmlichen Lock-Step-Methoden (Gleichschritt-Methoden) können die Anweisungsausführungen durch jeweilige Prozessoren aber zeitlich getrennt sein. Im System 400 und auch unter Bezugnahme auf 5 sind mehrere redundante Schreibvorgänge durch parallele Prozessoren zu dem Peripheriegerät 108 zeitlich getrennt, wobei einer von einem Bus-Seitenbandsignal als eine „Haupt-Transaktion“ identifiziert wird. Einer der Prozessoren wird bei 502 als Hauptprozessor bezeichnet. Zum Zwecke des Beispiels wird die CPU 102 als Haupt-CPU 102 bezeichnet werden.
In einem Ausführungsbeispiel werden neue Codes für existierende ,FPI (Flexible Peripheral Interface/flexible Peripherie-Schnittstelle)'-Haupt-Identifizierungskennzeichen-Felder verwendet, die zusammen mit FPI-Adressphasen gesendet werden. Diese neuen Codes können eine CPU-Nummer und die Information, ob die CPU im Augenblick in einem Signaturanalysemodus arbeitet, enthalten, was bei 504 ermittelt werden kann. Ein Bus-Adressdekoder wird derart modifiziert, dass in einem Signaturanalysemodus nur Datenschreibvorgänge mit einem spezifischen CPU-Identifizierungskennzeichen (d.h. dem Haupt-Identifizierungskennzeichen bzw. dem Master-Tag) für das Peripheriegerät 108 bei 506 dekodiert werden. Datenschreibvorgänge mit anderen Identifizierungskennzeichen (d.h. Daten, die von einer CPU stammen, die nicht die Haupt-CPU 102 ist) werden von der Registriereinrichtung 116 immer noch protokolliert und bei 508 verglichen, aber dekodiert, um bei 510 einen Standard-Slave bzw. eine Standard-Nebeneinrichtung auszuwählen, der bzw. die eine Null-Antwort zurückschickt.
In einem anderen Ausführungsbeispiel werden Datenschreibvorgänge unter Verwendung der FIFO 110 geprüft, und zwar auf ähnliche Weise, wie dies in Bezug auf Datenlesevorgänge und 1 beschrieben worden ist, anstatt dass die Zugriffs-Registriereinrichtung 116 verwendet wird. Die Zugriffs-Registriereinrichtung 116 und das System 400 können Vorteile im Hinblick auf eine insgesamte Einfachheit im Vergleich zu einem Schreibdaten-Ausführungsbeispiel, das eine FIFO 110 verwendet, bereitstellen.
Ähnlich wie bei dem System 300 kann das System 400 auch so ausgelegt werden, dass das Registriereinrichtungs-Merkmal aktiviert und deaktiviert wird. Unter Bezugnahme auf 6 ermöglicht dies Ausführungsbeispiele mit nur einem einzigen Prozessor. Im System 600 weist die CPU 102 zwei Betriebsmodi auf, die redundant und zeitlich getrennt ablaufen: den Real-Modus 112 und den Prüfer-Modus 114. Im Real-Modus 112 schreibt die CPU 102 in das Peripheriegerät 108 und Schreibdaten werden in der Registriereinrichtung 116 protokolliert. In einer nachfolgenden Ausführung im Prüfer-Modus 114 werden Schreibdaten, die von der CPU 102 erzeugt werden oder von dieser stammen, gegenüber den Schreibdaten aus dem Real-Modus 112, die in der Registriereinrichtung 116 protokolliert sind, überprüft, um eine Übereinstimmung zu gewährleisten.
Im System 600 kann die Dekodiermaskierung, die oben unter Bezugnahme auf 4 beschrieben worden ist, unabhängig von dem Zustand das Signaturanalysemodus ein- und ausgeschaltet werden.
Deshalb stellen Ausführungsbeispiele mehrere nützliche Aspekte bereit, einschließlich der Möglichkeit festzustellen, dass identische Lesetransaktionen von redundanten Ausführungsabläufen ein Peripherie-Subsystem erreicht haben, und zu garantieren, dass Lesedaten, die CPUs erreichen, für jede redundante Ausführung identisch sind (d.h., dass die Lesedaten von einem einzigen Lesevorgang eines Peripheriegeräts hergeleitet worden sind). Auf der Schreibvorgangseite stellen Ausführungsbeispiele die Möglichkeit bereit, festzustellen, dass identische Schreibtransaktionen von redundanten Ausführungsabläufen das Aktuator-Peripherie-Subsystem erreicht haben, und zu gewährleisten, dass das Aktuator-Peripheriegerät selbst nur auf eine einzige Schreibtransaktion reagiert und redundante Schreibtransaktionen ignoriert werden. Das implizite Überprüfen über die Redundanz der gesamten Datenlese- und -schreibpfade in beiden Richtungen zwischen dem Peripherie-Subsystem und dem bzw. den Prozessor(en) wird somit in Ausführungsbeispielen bereitgestellt, ohne dass eine spezielle Codeaufbereitung notwendig ist.
Verschiedene Ausführungsbeispiele von Systemen, Vorrichtungen und Verfahren sind hier beschrieben worden. Diese Ausführungsbeispiele sind lediglich beispielshalber gegeben und sind nicht dafür gedacht, den Schutzumfang der Erfindung einzuschränken. Es soll darüber hinaus klar sein, dass die verschiedenen Merkmale der Ausführungsbeispiele, die beschrieben worden sind, auf verschiedene Weisen miteinander kombiniert werden können, um zahlreiche zusätzliche Ausführungsbeispiele zu erzeugen. Darüber hinaus können, obwohl verschiedene Materialien, Abmessungen, Formen, Implantationsstellen, etc. zur Verwendung mit den offenbarten Ausführungsbeispielen beschrieben worden sind, andere neben diesen, die offenbart worden sind, verwendet werden, ohne dass der Schutzumfang der Erfindung überschritten wird.
Durchschnittsfachleute auf den relevanten Fachgebieten werden erkennen, dass die Erfindung weniger Merkmale umfassen kann, als diese in irgendeinem einzelnen der oben beschriebenen Ausführungsbeispiele veranschaulicht sind. Die hierin beschriebenen Ausführungsbeispiele sind nicht als eine erschöpfende Darstellung der Möglichkeiten gedacht, in denen die verschiedenen Merkmale der Erfindung miteinander kombiniert werden können. Dementsprechend sind die Ausführungsbeispiele keine sich gegenseitig ausschließenden Kombinationen von Merkmalen; genauer gesagt kann die Erfindung eine Kombination aus verschiedenen Einzelmerkmalen umfassen, die aus verschiedenen einzelnen Ausführungsbeispielen ausgewählt werden, wie dies für Durchschnittsfachleute auf dem Fachgebiet selbstverständlich ist.
Jegliche Einfügung durch Bezugnahme darauf von Dokumenten oben ist so beschränkt, dass kein Gegenstand eingefügt wird, der im Gegensatz zu der hier expliziten Offenbarung steht. Jegliche Einfügung durch Bezugnahme darauf von Dokumenten oben ist des Weiteren so eingeschränkt, dass keine Ansprüche, die in den Dokumenten enthalten sind, durch Bezugnahme darauf hier eingefügt werden. Jegliche Einfügung durch Bezugnahme darauf von Dokumenten oben ist noch weiter so beschränkt, dass jegliche Definitionen, die in den Dokumenten bereitgestellt werden, nicht durch Bezugnahme darauf hier eingefügt werden, außer diese sind hier ausdrücklich einbezogen.

Claims

Verfahren, das Folgendes umfasst: Identifizieren eines ersten Prozessors (102) als Hauptprozessor durch ein Bus-Seitenbandsignal, das in Beziehung zu einem Hauptprozessor-Identifizierungskennzeichen steht; Lesen von von einem Sensor gelieferten Daten aus einem Peripheriegerät (108) durch den ersten Prozessor (102); Kopieren der Daten in ein Register (110); wobei das Verfahren zusätzlich die Schritte umfasst, dass bei einem Versuch eines zweiten Prozessors (104), die Daten aus dem Peripheriegerät (108) zu lesen, der zweite Prozessor (104) unter Verwendung eines Bus-Adressdekoders auf der Basis des Vorhandenseins des Hauptprozessor-Identifizierungskennzeichens daran gehindert wird, die Daten aus dem Peripheriegerät (108) zu lesen, der Leseversuch des zweiten Prozessors (104) stattdessen zu dem Register (110) umgeleitet wird, und der zweite Prozessor (104) die Daten aus dem Register (110) ausliest.
Verfahren nach Anspruch 1, wobei das Kopieren der Daten das Kopieren der Daten in ein ,First in First out (FIFO)'-Register umfasst.
Verfahren nach Anspruch 1, das des Weiteren das Ausführen von identischen Verarbeitungssequenzen durch den ersten Prozessor (102) und den zweiten Prozessor (104) umfasst.
System (100), das Folgendes umfasst: wenigstens zwei Prozessoren (102, 104), wobei einer der wenigstens zwei Prozessoren (102, 104) ein Hauptprozessor ist; ein Peripheriegerät (108), das so konfiguriert ist, dass der Hauptprozessor von einem Sensor gelieferte Daten aus dem Peripheriegerät (108) lesen kann; ein Register (100), das so konfiguriert ist, dass die gelesenen Daten in das Register (110) kopiert werden; wobei das System (100) so ausgestaltet ist, dass ein erster Prozessors (102) der wenigstens zwei Prozessoren (102, 104) durch ein Bus-Seitenbandsignal, das in Beziehung zu einem Hauptprozessor-Identifizierungskennzeichen steht, als Hauptprozessor identifiziert wird, dass ein zweiter Prozessor (104) der wenigstens zwei Prozessoren (102, 104) bei einem Versuch des zweiten Prozessors (104), die Daten aus dem Peripheriegerät (108) zu lesen, unter Verwendung eines Bus-Adressdekoders auf der Basis des Vorhandenseins des Hauptprozessor-Identifizierungskennzeichens daran gehindert wird, die Daten aus dem Peripheriegerät (108) zu lesen, dass der Leseversuch des zweiten Prozessors (104) stattdessen zu dem Register (110) umgeleitet wird, und dass der zweite Prozessor (104) die Daten aus dem Register (110) ausliest.
System (100) nach Anspruch 4, das des Weiteren eine Zugriffs-Registriereinrichtung aufweist, die so konfiguriert ist, dass sie einen Datenschreibvorgang zu dem Peripheriegerät (108) durch den Hauptprozessor protokolliert.
System (100) nach Anspruch 5, bei welchem die Zugriffs-Registriereinrichtung den Datenschreibvorgang mit einem Datenschreibvorgang eines anderen der wenigstens zwei Prozessoren (102, 104) vergleicht.
System (100) nach Anspruch 4, wobei das Peripheriegerät (108) eine Speichervorrichtung umfasst.
System (100) nach Anspruch 4, wobei das Register (110) ein ,First in First out (FIFO)'-Register umfasst.