CH684512A5

CH684512A5 - Verfahren zur Ermittlung kritischer Fehler insbesondere für ein Kommunikationssystem und eine nach diesem Verfahren arbeitende Schaltungsanordnung.

Info

Publication number: CH684512A5
Application number: CH260792A
Authority: CH
Inventors: Stephan Grossen; Juergen Orthmann; Robert Jaeger
Original assignee: Siemens Ag Albis
Priority date: 1992-08-21
Filing date: 1992-08-21
Publication date: 1994-09-30
Also published as: DE4302908C2; DE4302908A1

Description

1

CH 684 512 A5

2

Beschreibung

Die vorliegende Erfindung betrifft ein Verfahren nach dem Oberbegriff des Patentanspruchs 1 bzw. eine Schaltungsanordnung nach dem Oberbegriff des Patentanspruchs 9.

Komplexe elektronische Systeme, insbesondere rechnergesteuerte Kommunikationssysteme müssen normalerweise ständig betriebsbereit sein. Die systemzugehörige Sicherheitstechnik hat die Aufgabe, diesen hohen Grad an Verfügbarkeit insbesondere auch im Störungsfall zu gewährleisten. Mit geeigneten Massnahmen hat sie dafür zu sorgen, dass Fehler baugruppengenau lokalisiert und rasch behoben werden. Dadurch werden die Auswirkungen einer Störung auf ein Minimum beschränkt. Ferner sollen Störungen an das Wartungspersonal gemeldet werden. Die Funktionsweise der Sicherheitstechnik für das ISDN-Kommunikationssystem HICOM der Siemens AG ist z.B. aus H. Thomas und K. Wehrend, «Betriebs-Software des ISDN-Kommunikationssystems HICOM», veröffentlicht in «ISDN im Büro - HICOM», Siemens AG, Berlin und München 1985, ISBN 3-8009-38464, Seiten 95-106 bekannt.

Die sicherheitstechnischen Verfahren sind in drei Teilkomplexe gegliedert:

- Fehlererkennung

- Fehleranalyse und

- Fehlerbehandlung.

Funktionswichtige Bereiche des Systems, die durch Software nicht erreicht werden können oder bei denen es auf rasche Reaktionen ankommt, werden dabei oft durch Hardware-Überwachungsschaltungen gesichert. Weitere Bereiche werden vorzugsweise durch Prüfprogramme gesichert, die als «nicht betriebsstörende» Hintergrundtests für die regelmässige Prüfung der Hardware-Funktionen des Systems sorgen. Diese Prüfprogramme werden durch Prüfaufträge aktiviert, die periodisch von einer Routineprüfsteuerung oder gezielt durch eine Selbstdiagnoseeinheit oder das Wartungspersonal erteilt werden. Die Prüfaufträge sind gemäss der Hardware-Architektur des Systems hierarchisch gegliedert. So ist es möglich, mit jeweils nur einem Auftrag einzelne Hardware-Elemente oder grössere Bereiche prüfen zu lassen.

Durch die Fehleranalyse wird festgestellt, ob ein Fehler nur sporadisch oder konstant auftritt. Ferner wird der Ort des auftretenden Fehlers und dessen Ursache bestimmt. Die Massnahmen, die durch die Fehleranalyse eingeleitet werden, sind vom Ergebnis der vorausgegangenen Fehlerdiagnose abhängig. Sie reichen von der blossen Störstatistikzählung über Sperr- und Umschalteaufträge bis zu Re-covery-Massnahmen in ihren verschiedenen Stufen. Dadurch ist es möglich auf jede Störung angemessen zu reagieren.

Es ist daher wesentlich, zwischen den verschiedenen Fehlerarten genau unterscheiden zu können. Durch einen Schwellwert, der jedem zu berücksichtigenden Fehlerereignis zugeordnet wird, kann z.B. festgelegt werden, nach wieviel gleichartigen Fehlerereignissen besondere Massnahmen zu ergreifen sind. D.h., vor dem Überschreiten des Schwellwerts wird der Fehler als unkritisch und nach dem Überschreiten des Schwellwerts wird der mehrfach aufgetretene Fehler als kritisch eingestuft und entsprechende Massnahmen werden ergriffen. Diese Fehlerunterscheidung ist jedoch oft ungenügend, da auftretende Fehler den Schwellwert vielfach nicht überschreiten, sich jedoch während längerer Zeit knapp unterhalb des Schwellwertes bewegen. Derartige Fehler sind oft kritischer als Fehler, die den Schwellwert nur einmal kurz überschreiten und dann während langer Zeit nur noch sporadisch auftreten.

Für kritische Fehler können z.B. die nachfolgend genannten Recovery-Massnahmen vorgesehen sein, durch die das System, abgestuft von einem Neustart eines einzelnen Moduls bis zum Neustart des gesamten Systems in einen definierten Zustand gebracht wird:

- Soft-Restart

- Modul-Hard-Restart

- Modul-Reload

- System-Hard-Restart

- System Reload

Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren und eine Schaltungsanordnung anzugeben, durch die sich alle systemkritischen Fehler ermitteln lassen.

Diese Aufgabe wird durch die im kennzeichnenden Teil der Patentansprüche 1 bzw. 9 angegebenen Massnahmen gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind in weiteren Ansprüchen angegeben.

Das erfindungsgemässe Verfahren erlaubt die Ermittlung aller systemkritischen Fehler, für die besondere wartungstechnische Massnahmen, z.B. eine der obengenannten Recovery-Massnahmen, vorgesehen sind.

Die Erfindung wird nachfolgend anhand einer Zeichnung beispielsweise näher erläutert. Darin ist ein im normalen Betriebszustand befindliches System SUT gezeigt, das einerseits über eine Verbindungsleitung LK mit weiteren Systemen, z.B. Servern, Vermittlungszentralen, Anschlussgruppen, Rechnersystemen oder Endgeräten und andererseits über Daten- und Befehlsleitungen mit sicherheitstechnischen Einheiten SORT, EV und CORR verbunden ist. Das System SUT, das verschiedene Module oder Ressourcen R1, ..., Rn aufweist, unterliegt dabei einer dauernden Prüfung. In Kommunikationssystemen werden insbesondere Ressourcen R überprüft, die den vermittlungstechnischen Betrieb blockieren können, falls diese beim Verbindungsauf- oder -abbau fälschlicherweise nicht freigegeben werden bzw. grundlos belegt sind. Von den Ressourcen R abgegebene Fehlermeldungen werden der Einheit SORT zugeführt, in der die Fehlermeldungen nach vorgegebenen Kriterien (z.B. Art und Ursprung des Fehlers) gegliedert und der Einheit EV zugeführt werden. In der Einheit EV ist für jede der sortierten Fehlermeldungen A, B, C, D eine Stufe STA vorgesehen, in der ein Ereigniszäh-

5

10

15

20

25

30

35

40

45

50

55

60

65

2

3

CH 684 512 A5

4

1er EC, ein Zeitgeber TR und ein Schwellwertspeicher TH mit einer Auswerteschaltung BMS verbunden sind, die einen mit der Einheit EC sowie mehrere mit der Einheit CORR verbundene Ausgänge aufweist. Die Einheit CORR ist ferner mit der Einheit SUT und ebenso wie die Einheit SORT mit einem Drucker D verbunden.

Die erfindungsgemässe Schaltungsanordnung funktioniert wie folgt:

Für jede der Stufen STA wird entsprechend dem überwachten Fehler ein Schwellwert und ein Zeitintervall festgelegt und in den SchwelIwertspeicher TH bzw. den Zeitgeber TR eingespeichert. Durch den Ereigniszähler EC wird dabei jeweils die Anzahl auftretender Fehlerereignisse gezählt. Durch die Auswerteschaltung BMS wird dabei kontrolliert, ob der Inhalt des Ereigniszählers EC den vorgegebenen Schwellwert überschreitet. Nach dem Uberschreiten des Schwellwerts, sofort oder erst nach Ablauf eines durch den Zeitgeber bestimmten Zeitintervalls, wird dies an die Einheit CORR gemeldet. Falls nach Ablauf eines Zeitintervalls der Schwellwert nicht überschritten wird, wird durch die Auswerteschaltung BMS festgestellt, wie weit der Wert des Ereigniszählers EC vom Schwellwert abweicht. Falls die Anzahl Ereignisse die Hälfte des Schwellwerts nicht übersteigt, wird der Ereigniszähler EC zu Beginn des neuen Intervalls durch die Auswerteschaltung BMS auf Null gesetzt. Falls die Anzahl Ereignisse die Hälfte des Schwellwerts jedoch übersteigt, wird der Inhalt des Ereigniszähler EC nicht auf Null gesetzt, sondern um die Differenz zwischen dem Schwellwert und der im abgelaufenen Intervall festgestellten Anzahl Ereignisse reduziert. Bei einem Schwellwert von zehn würde bei fünf oder weniger tatsächlich auftretenden Ereignissen der Ereigniszähler EC immer auf Null zurückgesetzt. Bei sechs Ereignissen würde er auf zwei (6-(10-6)), bei sieben Ereignissen auf vier (7-(10-7)), bei acht Ereignissen auf sechs (8—(10—8)) und bei neun Ereignissen auf acht (9-(10-9)) zurückgesetzt. Durch dieses System werden Fehlerzahlen, die sich während mehreren Intervallen nahe dem Schwellwert bewegen stärker gewichtet. Falls im obenangeführten Beispiel (Schwellwert = 10) in drei aufeinanderfolgenden Intervallen jeweils eine Fehlerzahl von sechs auftritt, wird innerhalb bzw. nach Ablauf des dritten Intervalls das Auftreten eines kritischen Fehlers an die Einheit CORR gemeldet, obwohl während jedem Intervall tatsächlich nie mehr als neun Fehler aufgetreten sind. Bei Ablauf des ersten Intervalls weist der Ereigniszähler EC nämlich einen Inhalt von sechs (0 + 6), zu Beginn des zweiten Intervalls einen Inhalt von zwei (6-(10-6)), bei Ablauf des zweiten Intervalls einen Inhalt von acht (2 + 6), zu Beginn des dritten Intervalls einen Inhalt von sechs (8—(10—8) und bei Ablauf des dritten Intervalls einen Inhalt von zwölf (6 + 6) auf, wodurch der Schwellwert überschritten wird.

Ferner kann festgelegt werden, dass die Anzahl der Ereignisse, die im abgelaufenen Zeitintervall aufgetreten sind, weniger stark gewichtet werden soll. Zu diesem Zweck kann der Wert, mit dem zu Beginn des nächsten Zeitintervalls mit der Zählung der Fehlerereignisse begonnen wird, entsprechend der Anzahl Fehlerereignisse gewählt werden, um die die Hälfte des Schwellwerts während dem abgelaufenen Zeitintervall überschritten wurde. D.h., bei einem Schwellwert von zehn würde bei fünf oder weniger tatsächlich auftretenden Ereignissen der Ereigniszähler EC immer auf Null zurückgesetzt. Bei sechs Ereignissen würde er auf eins (6-(10:2)), bei sieben Ereignissen auf zwei (7-(10:2)), bei acht Ereignissen auf drei (8-(10:2)) und bei neun Ereignissen auf vier (9—(10:2)) zurückgesetzt. Falls im obenangeführten Beispiel (Schwellwert = 10) in aufeinanderfolgenden Intervallen jeweils wieder eine Fehlerzahl von sechs auftritt, wird innerhalb bzw. nach Ablauf des fünften Intervalls das Auftreten eines kritischen Fehlers an die Einheit CORR gemeldet, obwohl während jedem Intervall tatsächlich nie mehr als neun Fehler aufgetreten sind. Bei Ablauf des ersten Intervalls weist der Ereigniszähler EC nämlich einen Inhalt von sechs (0 + 6), zu Beginn des zweiten Intervalls einen Inhalt von eins (6-(10:2)), bei Ablauf des zweiten Intervalls einen Inhalt von sieben (1 + 6), zu Beginn des dritten Intervalls einen Inhalt von zwei (7-(10:2)), bei Ablauf des dritten Intervalls einen Inhalt von acht (2 + 6), zu Beginn des vierten Intervalls einen Inhalt von drei (8-10:5)), bei Ablauf des vierten Intervalls einen Inhalt von neun (3 + 6), zu Beginn des fünften Intervalls einen Inhalt von vier (9-(10:2)) und bei Ablauf des fünften Intervalls einen Inhalt von zehn (4 + 6) auf, wodurch der Schwellwert erreicht wird. Nach dieser Methode werden Fehlerraten, die sich nahe beim Schwellwert bewegen mit einer grösseren Verzögerung als mit der erstgenannten Methode erfasst (plus zwei Intervalle). Dabei geht die zu überschreitende Schwelle (Differenz von Schwellwert und Anfangsstand des Ereigniszählers EC) für relativ hohe Ereigniszahlen bei der ersten Methode nahe gegen null und bei der zweiten Methode gegen 50% des Schwellwertes. Bei der ersten Methode wird bei einem Schwellwert von 100 und der Anzahl in einem Intervall aufgetretenen Ereignisse von 99 der Ereigniszähler EC zu Beginn des neuen Intervalls auf 98 gesetzt. Durch zwei im neuen Intervall auftretende Ereignisse würde der Schwellwert daher erreicht. Die minimal zu überschreitende Schwelle würde daher nur 2% des Schwellwerts betragen. Bei der zweiten Methode wird bei einem Schwellwert von 100 und der Anzahl in einem Intervall aufgetretenen Ereignisse von 99 der Ereigniszähler EC zu Beginn des neuen Intervalls auf 49 gesetzt. Die minimal zu überschreitende Schwelle würde daher 51% des Schwellwerts betragen. Bei der zweiten Methode muss die Anzahl Ereignisse nicht nur kurz, sondern während längerer Zeit über 50% des Schwellwertes liegen, bevor ein Fehler als kritisch erkannt wird.

Durch beide Methoden sind kritische Fehler daher erfassbar, auch wenn sie den ursprünglich festgelegten Schwellwert tatsächlich nie überschreiten. Das Auftreten kritischer Fehler zeigt normalerweise an, dass ein Hard- oder Softwaremodul des Systems SUT derart unzuverlässig funktioniert, dass einfache Fehlerkorrekturmassnahmen, die beim jeweiligen Auftreten des Fehlers durch eine Wartungseinheit automatisch ausgeführt werden,

5

10

15

20

25

30

35

40

45

50

55

60

65

3

5

CH 684 512 A5

6

ungenügend sind. Bei Systemen, die im Tandembetrieb arbeiten, wird durch die Einheit CORR, der die kritischen Fehler gemeldet werden, vorgesehen, dass die fehlerhafte Einheit ausser Betrieb gesetzt und durch eine identische Einheit ersetzt wird. Falls nach dem Austausch eines Moduls die gleiche Fehlermeldung weiter auftritt, wird vorzugsweise vorgesehen, dass zwischen den identischen Einheiten nicht weiter umgeschaltet wird. Stattdessen wird eine weitere Einheit ausgetauscht, die als Fehlerquelle in Frage kommt. Die Reihenfolge, in der der Austausch von Einheiten vorgesehen wird, wird dabei vorzugsweise unter Berücksichtigung weiterer Fehlermeldungen festgelegt. Das Auftreten eines kritischen Fehlers kann aber auch bedeuten, dass ein Softwaremodul unzuverlässig arbeitet und der Revision bedarf. Es ist daher wesentlich, dass dem Wartungspersonal alle wesentlichen Daten zuführbar sind. Zu diesem Zweck sind die Einheiten SORT und CORR mit einem Drucker D oder einer anderen Ausgabeeinheit verbunden. Beim Ausfall bzw. Austausch einer Einheit wird dies unverzüglich angezeigt. Ferner wird vorzugsweise beim erstmaligen Auftreten eines Fehlers und nach dem Überschreiten des Schwellwerts eine Meldung ausgedruckt. Dadurch können beim Vergleich mehrerer Fehlermeldungen und unter Berücksichtigung von zeitlich bedingten Zustandsänderungen des Systems SUT Fehlerursachen leichter lokalisiert werden. Zur gezielten Fehlersuche kann die Signalisierung nur für bestimmte Fehlerklassen und Geräteeinheiten eingeschaltet werden. Ferner ist es sinnvoll, wenn der Fehler jeweils auch beim mehrmaligen Übertreten des Schwellwerts angezeigt wird.

Claims

Patentansprüche

1. Verfahren zur Ermittlung kritischer Fehler insbesondere für ein Kommunikationssystem, dadurch gekennzeichnet, dass Fehlermeldungen nach vorgegebenen Kriterien sortiert werden und dass jedem berücksichtigten Fehlerereignis ein einem Zeitintervall zugehöriger Schwellwert zugeordnet wird, nach dessen Überschreiten ein Fehler als kritisch eingestuft und gemeldet wird, dass falls die Anzahl der innerhalb eines Zeitintervalls auftretenden Fehlerereignisse kleiner als der Schwellwert ist, der Wert, mit dem zu Beginn des nächsten Zeitintervalls mit der Zählung der Fehlerereignisse begonnen wird, unter Berücksichtigung der während des letzten Zeitintervalls ermittelten Anzahl Fehlerereignisse festgelegt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass falls die Anzahl der innerhalb eines Zeitintervalls auftretenden Fehlerereignisse kleiner als die Hälfte des Schwellwerts ist, die Zählung der Fehlerereignisse bei Beginn des nächsten Zeitintervalls wieder bei Null beginnt und dass, falls die Anzahl der innerhalb eines Zeitintervalls auftretenden Fehlerereignisse grösser als die Hälfte, jedoch gleichzeitig kleiner als der ganze Schwellwert ist, der Wert, mit dem die Zählung bei Beginn des nächsten Zeitintervalls beginnt, derart gebildet wird, dass die Differenz zwischen dem Schwellwert und der Anzahl Fehlerereignisse von dieser beim abgelaufenen Zeitintervall ermittelten Anzahl Fehlerereignisse subtrahiert wird.

3. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der Wert, mit dem zu Beginn des nächsten Zeitintervalls mit der Zählung der Fehlerereignisse begonnen wird, entsprechend der Anzahl Fehlerereignisse gewählt wird, um die die Hälfte des Schwellwerts während dem abgelaufenen Zeitintervall überschritten wurde.

4. Verfahren nach einem der Ansprüche 1, 2 oder 3, dadurch gekennzeichnet, dass der Schwellwert und das entsprechende Zeitintervall für jedes berücksichtigte Fehlerereignis festgelegt werden.

5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der als kritisch eingestufte Fehler einer Stufe (CORR) gemeldet wird, durch die korrektive Massnahmen ergriffen oder Fehlermeldungen an das Wartungspersonal abgegeben werden.

6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das erstmalige Auftreten und das Auftreten des Fehlerereignisses gemeldet werden, durch das der Schwellwert überschritten wird.

7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass nach dem Auftreten eines kritischen Fehlers die diesen Fehler verursachende Einheit ersetzt wird.

8. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass ein Fehler jeweils beim erst- und mehrmaligen Überschreiten des Schwellwerts angezeigt wird.

9. Schaltungsanordnung zur Durchführung des Verfahrens nach Anspruch 1, dadurch gekennzeichnet, dass eine Einheit (SORT) vorgesehen ist, der die Fehlermeldungen eines zu testenden Systems (SUT) zugeführt werden und die die erhaltenen Fehlermeldungen geordnet an eine zumindest einen Zeitgeber (TR) und zumindest einen Schwellwertspeicher (TH) aufweisende Einheit (EV) abgibt, in der für jeden überwachten Fehler ein Ereigniszähler (EC) und eine damit verbundene Auswerteschaltung (BMS) verbunden ist, durch die aufgrund der vorgegebenen Schwellwerte und Zeitintervalle und der in den Zeitintervallen festgestellten Fehlerereignissen kritische Fehler ermittelt werden und der Ereigniszähler (EC) nach Ablauf eines Zeitintervalls jeweils auf den vorgesehenen Wert zurückgesetzt wird.

10. Schaltungsanordnung nach Anspruch 9, dadurch gekennzeichnet, dass die entsprechenden Ausgänge der Auswerteschaltungen (BMS) mit einer Einheit (CORR) verbunden sind, die mit dem zu testenden System (SUT) und/oder mit Ausgabeeinheiten (D) verbunden ist.

5

10

15

20

25

30

35

40

45

50

55

60

65

4