DD234510A1 - Anordnung zum testen und zur isolierung defekter rechnerknoten - Google Patents

Abstract

Die Anordnung zum Testen und zur Isolierung defekter Rechnerknoten hat das Ziel und die Aufgabe, den Selbsttest flexibel und unterbrechbar zu gestalten, mit grosser Sicherheit die Fehlererkennung bei geringem zeitlichem und materiellem Aufbau zu ermoeglichen sowie die Tolerierung von Teilausfaellen. Nach Ausgliederung fehlerhafter Baugruppen ist ein Restart durchzufuehren. Ein defekter Rechnerknoten ist zu isolieren, um das Senden bezueglich seiner Nachbarn zu verhindern. Erfindungsgemaess sind zum einen die Ausgaenge des parallelen n-Bit Signaturregisters auf einen n-Bit-Vergleicher und zum anderen die Leseausgaenge eines n-Bit-Festwertspeichers und mindestens eines n-Bit Schreib-Lese-Speichers auf den n-Bit-Vergleicher geschaltet. Die Schreibeingaenge sind ueber die Entkopplungsstufe mit der CPU verbunden. Weiterhin sind angeordnet eine Taktauswahlschaltung und ein Funktionsdekoder, deren Ausgangssignale auf das Signaturregister und eine Anordnung von Gattern arbeiten. Bei fehlerhaftem Pruefergebnis steht am Ausgang eines Gatters Restartsignal bzw. am Ausgang eines nachgeordneten Zeitgliedes ein Sendesperr- bzw. Rekonfigurationssignal an. Figur

Description

-2- 730 96

weitere Auswertung wird erst wieder bei erneutem Startsignal durchgeführt. Durch die Programmierung der Signale STOP 0 und STARTkönnen also bestimmte Testsequenzen ausgeblendet oder der Testablauf unterbrochen werden. Hieraus ergibt sich eine flexible Testgestaltung. Der Ausgang des zweiten ODER-Gatters ist auf das Signaturregister geschaltet.

Wenn die Sollsignaturen für Funktionsausfälle nicht vorher festgelegt wurden, kann man gemäß einem weiteren Merkmal der Erfindung, eine lernfähige Anpassung an tolerierbare Funktionsausfälle dadurch erreichen, daß die für den lokalisierten Fehler ermittelte Sollsignatur des Gesamttests vom parallelen Ausgängen des n-Bit-Signaturregisters durch die CPU gelesen, überprüft und an den Schreib-Lese-Speicher gegeben wird.

Die erfindungsgemäße Anordnung dient zum aufgabengemäßen Testen, Überwachen, Isolieren und Rekonfigurieren von Rechnerknoten, vor allem in dezentralen Mehrrechnersystemen. In diesem System ist eine Hauptforderung für die Nachbarschaftsdiagnose, daß defekte Rechnerknoten sich selbst mit hoher Zuverlässigkeit abschalten. Ein Rechnerknoten besteht mindestens aus einer CPU, ROM- und RAM-Speichern und einer Kommunikationsschnittstelle zu den Nachbarrechnerknoten,

Die erfindungsgemäße Anordnung wird jedem Rechnerknoten beigefügt und kann als integrierte Schaltung realisiert werden. Da ein Rechnerknoten in der Regel unterschiedliche Funktionen ausführt, bedingt der Ausfall einer Funktion (z. B. Anfall einer Peripherieleiterkarte) nicht notwendigerweise den Ausfall der anderen Funktionen bzw. des gesamten Rechnerknotens. Es sind zwei Testvorgänge zu unterscheiden, der Hardcoretest und der Gesamttest, wobei der Hardcoretest immer vor dem Gesamttest abläuft. Dabei muß ein Hardcorefehler zur Abschaltung und zu Restartversuchen führen, während ein Fehler im Gesamttest, sofern er tolerierbar ist, zur Rekonfiguration des Systems nach festen Vorgaben oder nach erlernbaren Vorgaben führen soll. Zum Selbsttestprogramm des Hardcoretestes gehört der CPU-Test, Bustest, ROM- und RAM-Test, Test der Kommunikationsschnittstellen. Dieser Teil ist für die Arbeit des Rechnerknotens unbedingt erforderlich. Im zweiten Teil werden in Reihenfolge alle Funktionen (Baugruppen) getestet. Bei Fehlern im ersten Teil handelt es sich, wenn Restartversuche erfolglos bleiben, um einen Totalausfall im zweiten Fall kann es sich um einen Teilausfall handeln. Beide Testabläufe bewirken die Erzeugung eines Sendesperrsignals an die Kommunikationsschnittstelle, so daß keine Sendevorgänge des Rechnerknotens an irgendeinen Nachbarn vorgenommen werden können. Lediglich die Nachbarn können beschränkt auf den Rechnerknoten wirken, z. B. zu Restartversuchen. Die Nachbarn können an der Kommunikationsschnittstelle Statusinformationen über den Zustand (Fehlerzustand), unter Umständen auch genauere Informationen (z. B. Testausfälle) über den Rechnerknoten mittels Mailbox erhalten.

Ausführungsbeispiel

Die Erfindung wird anschließend an einem Ausführungsbeispiel erläutert. Die zugehörige Zeichnung zeigt die erfindungsgemäße Anordnung.

Die Auswertung der Selbsttests eines Rechnerknotens kann auf einfache Weise durch ein über eine Entkopplungsschaltung 5 angeschaltetes paralleles n-Bit-Signaturregister 1 erfolgen. Da es zur Fehlererkennung ausreicht, die Datenleitungen parallel zu komprimieren, entspricht die Zahl η in der Regel der Datenbusbreite (z.B. 16bit-Datenbus—»n = 16). Das Signaturregister 1 kann aus einem linear rückgekoppelten Schieberegister mit parallelen Eingängen, einer kombinatorischen Realisierung von programmierbaren Logikarrays (PLAs) oder ähnlichem bestehen. Das parallele η-Bit Signaturregister 1, eine Taktauswahlschaltung 10, ein Funktionsdekoder 11 und ein Schreib-Lese-Speicher 4 sind jeweils mit Teilen des CPU-Busses über die Entkopplungsschaltung 5 verbunden. Die Taktauswahlschaltung 10 bildet das Taktsignal für das parallele n-Bit-Register 1, z. B. aus den Signalen

Takt = MEMORY-READ v MEMORY-WRITE.

Die Signale STOPO, STOP 1, STOP 2, START und RESET können vom Programm der CPU über den Funktionsdekoder 11 per Befehl auf das Signaturregister 1 gegeben werden und lassen eine flexible und unterbrechbare Programmgestaltung zu. Dabei sind die Stopsignale über ein zweites ODER-Gatter8.2 verknüpft. Das Resetsignal dient zum Rücksetzen des Signaturregisters und die Signale START und STOP zum Starten und Stoppen der taktweisen Verarbeitung der parallelen Daten. Der Programmteil für den Hardcoretest beginnt mit einem Resetsignal, einem Startsignal gefolgt von der Testsequenz und endet mit dem Signal STOP 1, das auch auf den Festwertspeichers geschaltet ist. Mit diesem Signal wird die Testauswertung durchgeführt. Im n-Bit-Vergleicher 2 wird die ermittelte Ist-Signatur mit der durch das Signal STOP 1 im n-Bit-Festwertspeicher 3 freigegebenen Sollsignatur verglichen. Sind beide nicht identisch, wird das negierte Ausgangssignal über ein drittes UND-Gatter 6,3, verknüpft mit dem Signal STOP 1, und über ein erstes ODER-Gatter8,1 als Resetsignal an ein Zeitglied 7 gegeben. Dieses wird dadurch zurückgesetzt und damit ein Sendesperrsignal an eine Kommunikationsschnittstelle 9 abgegeben. Am UND-Gatter 6,3 steht ein Restart-Signal an, das über die Entkopplungsschaltung 5 auf die CPU gegeben wird, wodurch die CPU eine begrenzte Zahl Wiederanlaufversuche, das heißt — Wiederholungen des Hardcoretests, einleiten kann — bevor auch die interne Abschaltung des Rechnerknotens erfolgen kann.

Wurde der erste Test erfolgreich absolviert, folgt der zweite Test, beginnend mit dem Startsignal- gefolgt von der Testsequenz, bept^Send aus Teiltestsequenzen für verschiedene möglichst ausgliederbare Funktionsgruppen und wird beendet durch das Signal STOi³ 2, das auch auf den Schreib-Lese-Speicher 4 und ein erste·" l . ^d zweites UND-Gatter 6,1; 6,2 geschaltet ist. Die <,- Auswertung erfolgt wieder im n-Bit-Vergleicher 2 durch Vergleich der berechneten Ist-Signatur und des Inhalts des durch das STOP 2 Signal lesbaren η-Bit Schreib-Lese-Speichers 4 als Sollsignatur. Sind beide Signaturen nicht identisch, bewirkt das negierte Ausgangssignal des Vergleichers 2, getort mit dem Signal STOP 2 über UND-Gatter 6,2 sowie über das erste ODER-Gatter 8,1 wiederum ein Resetsignal an das Zeitglied 7. Hierdurch wird das Sendesperrsignal an die Kommunikationsschnittstelle 9 und ein Rekonfigurationssignal an die Entkopplungsschaltung abgegeben. Das Rekonfigurationssignal bewirkt das Starten von Test- und Rekonfigurationsroutinen, die den Fehler auf ausgliederbaren Baugruppen lokalisieren, diese abschalten, unter Umständen die zugehörige Teiltestsequenz sperren, den Funktionsausfall an das Statusregister bzw. die Mailbox melden um die Nachbarn (Rechnerknoten) zu informieren. In den Schreib-Lese-Speicher wird die neue, den Funktionsausfall berücksichtigende, Signatur eingetragen, mit der dann ein neuer Selbsttestversuch gestartet wird.

Sind beide Signaturen am Ende des Gesamttests identisch, wird das Ausgangssignal des n-Bit-Vergleichers 2 über ein UND-Gatter 6,1, getort mit dem STOP 2 Signal, auf den Triggereingang des Zeitgliedes 7 geschaltet. Das heißt, immer wenn ein Gesamttest erfolgreich ablief, wird das Zeitglied angestoßen. Die Zeitkonstante wird in Abhängigkeit der Erfordernisse des Mehrrechnersystems festgelegt. Die Zeitkonstante legt die Maximalzeit zwischen zwei erfolgreichen Gesamttests z. B. durch ein abgekürztes Programm, wird ebenfalls das Sendesperrsignal und das Rekonfigurationssignal zur Lokalisierung des Fehlers

-з- 730 96

aktiviert. Durch Programmierung der Signale STOP 0 und START können bestimmte Testsequenzen ausgeblendet oder der Testablauf unterbrochen werden, wodurch sich eine flexible Testgestaltung ergibt.

Gemäß einem weiteren Merkmal der Erfindung werden zur lernfähigen Anpassung an tolerierbare Funktionsausfälle die Datenausgänge des parallelen η-Bit Signaturregisters 1 wahlweise über die Entkopplung 5 an die CPU geschaltet. Die Anordnung kann sowohl zur Überwachung als auch zur Auswertung genutzt werden. Wird überwacht, müssen die Seibsttestprogramme die Auswertung auf Fehlerfreiheit selbst vornehmen, wird die Schaltung zur Auswertung eingesetzt, brauchen die Programme nur Stimulierungscharakter zu haben. Hieraus ergibt sich der große Vorteil der zeitlichen Reduzierung der Testphase im Intaktfall, d. h. die Auswertung Gut-Schlecht wird durch den Signalvergleich vorgenommen. In diesem Fall müssen aber bei Funktionsauf al I, d. h. nach erzeugtem Rekonfigurationssignal, Diagnoseprogramme laufen, die fehlerhafte Funktionen erkennen, eliminieren und die erforderlichen Änderungen zum Restart vornehmen. Die Anordnung ist bis auf den mit unterbrochener Linie gemäß der Fig. eingegrenzte Schaltungsteil Eigenfehler sicher. Dieser Teil kann redundant ausgeführt werden. Eine andere Möglichkeit ist der Einsatz eines zweiten Zeitgebers der z. B. durch das Resetsignal des Funktionsdekoders angestoßen wird und dessen Ausgang in ODER-Verknüpfung bei abgelaufener Zeit als Sendesperrsignal und Restartsignal wirkt.

Claims (2)

1. -1- 730 96

   Erfindungsanspruch:

   1. Anordnung zum Testen und zur Isolierung defekter Rechnerknoten insbesondere unter Verwendung von Selbsttests in dezentralen Mehrrechnersystemen und zur Anpassung an tolerierbare Funktionsausfälle unter Verwendung eines an die CPU des Rechnerknotens über eine Entkopplungsstufe angekoppelten Signaturregisters, dadurch gekennzeichnet, daß die Entkopplungsstufe (5) verbunden ist mit einem parallelen n-Bit-Signaturregister (1), einer Taktauswahlstufe (10), einem Funktionsdekoder (11), den Schreibeingängen mindestens eines Schreib/Lese-Speichers (4) sowie dem Ausgang eines dritten UND-Gatters (6.3) für den Restart und dem Ausgang eines Zeitgliedes (7) für ein Rekonfigurationssignal, daß zum einen die Ausgänge des parallelen n-Bit-Signaturregisters (1) und zum anderen die Leseausgänge des Schreib-Lese-Speichers (4) und eines Festwertspeichers (3) auf einen n-Bit-Vergleicher (2) geschaltet sind, dessen Ausgang über ein erstes UND-Gatter (6.1) auf den Triggereingang des Zeitgliedes (7) und dessen negierter Ausgang über ein zweites und ein drittes UND-Gatter (6.2; 6.3) sowie ein erstes ODER-Gatter (8.1) auf den Reseteingang des Zeitgebers (7) geschaltet ist, daß das parallele n-Bit-Signaturregister (1) für den Takt mit der Taktauswahlstufe (10) und für die Signale RESET und START mit dem Funktionsdekoder (11) verbunden ist, an dessen Ausgänge Stop-Signale entstehen, wobei Signal-STOP 1 auf das dritte UND-Gatter (6.3) und den Festwertspeicher (3), Signal-STOP 2 auf das erste und zweite UND-GATTER (6.1; 6.2) und auf den Schreib-Lese-Speicher (4) und ein Signal STOP 0, gemeinsam mit den Signalen STOP 1 und STOP 2 über ein zweites ODER-Gatter (8.2) auf den Stop-Eingang des Signaturregisters geführt ist.
2. 2. Anordnung zum Testen und zur isolierung defekter Rechnerknoten nach Punkt 1, gekennzeichnet dadurch, daß zur lernfähigen Anpassung an tolerierbare Funktionsausfälle die Datenausgänge des parallelen n-Bit-Signaturregisters (1) wahlweise über die Entkopplungsschaltung (5) an die CPU geschaltet sind.

   Hierzu 1 Seite Zeichnung

   Anwendungsgebiet der Erfindung

   Die Erfindung betrifft eine Anordnung zum Testen und zur Isolierung defekter Rechnerknoten, zur Auswertung bzw. Überwachung von selbsttestenden Rechnerknoten. Eine sichere Isolierung defekter Rechnerknoten ist insbesondere in dezentralen Mehrrechnersystemen erforderlich.

   Charakteristik der bekannten technischen Lösungen

   Es sind Lösungen bekannt, die die Signaturanalyse zur Komprimierung von zu testenden Datenströmen benutzen z. B. BRD-OS G01 R31/282538651 und DD-WP H 03K13/3201 53943. Diese Lösungen sind zur Fehlerlokalisierung auf Leiterplatten gedacht und zur on-line-Rechnerdiagnose ungeeignet.

   Weiterhin ist ein Verfahren bekannt „Mikroprozessor-Selbsttest durch Signaturvergleich", Elektronische Rechenanlagen 1980 Heft 5 S. 237-242. Die Verarbeitung der Signale erfolgt multiplex, was bezüglich Verarbeitungszeit und Schaltungsaufwand nachteilig ist. Der Selbsttest ist auf die CPU beschränkt und benötigt einen zusätzlichen Speicher, der umgeschaltet wird. Das Testprogramm ist in sich nicht unterbrechbar und die Tests und deren Auswertung sind starr festgelegt. Das Verfahren ist nicht zur Tolerierung von Teilausfällen geeignet, nicht flexibel und relativ aufwendig.

   Des weiteren sind sogenannte Watchdog-timer-Schaltungen zur Programmüberwachung bekannt z.B. DE-OS G06F11/ 303232513 A1 und 3207633, 29431330, diese werden in der Regel per Programmbefehl getriggert, was einen großen Aufwand für die Programmherstellung bedeutet und was Mängel bezüglich der Sicherheit der Fehlererkennung aufweist. Diese Schaltungen sollen in der Regel ein „Sich Verlaufen" der Programmabarbeitung verhindern.

   Ziel der Erfindung

   Ziel der Erfindung ist es, den Selbsttest eines Rechnerknotens mit großer Sicherheit der Fehlererkennung bei geringem zeitlichen und materiellen Aufwand zu ermöglichen, sowie die Tolerierung von Teilausfällen.

   Darlegung des Wesens der Erfindung

   Aufgabe der Erfindung ist es, eine einfache Schaltungsanordnung zu schaffen, die den Selbsttest eines Rechnerknotens bewerten und überwachen kann, die im Falle eines Fehlers oder bei nicht rechtzeitiger Durchführung eines Selbsttests auf jeden Fall die Isolierung des Rechnerknotens von den Nachbarn bezüglich des Sendens vornimmt. Nach Ausgliederung der fehlerhaften Baugruppen, ist der Restart zu ermöglichen. Außerdem soll der Selbsttest unterbrechbar und flexibel gestaltet, bei gleichzeitig geringem Hardwareaufwand, sein.

   Erfindungsgemäß wird die Aufgabe unter Verwendung eines Signaturregisters und einer Entkopplungsschaltung dadurch gelöst, daß zum einen die Ausgänge eines parallelen η-Bit Signaturregisters auf einen n-Bit-Vergleicher und zum anderen die Leseausgänge eines η-Bit Festwertspeichers und mindestens eines η-Bit Schreib-Lese-Speichers auf den η-Bit Vergleicher geschaltet sind. Die Schreibeingänge des n-i_ it Schreib-Lese-Speichers sind über die Entkopplungsschaltung mit der CPU verbunden. Jeder Speicherplatz erhält eir> separates Stopsignal vom Funktionsdekoder. Das Ausgangssignal des n-Bit Vergleichers ist über ein erstes UND-Gatter, an dessen weiterem Eingang zweites Stopsignal anliegt, als Triggersignal auf ein Zeitglied geschaltet. Das negierte Ausgangssignal des Vergleichers ist über ein drittes UND-Gatter verknüpft mit einem ersten Stopsignal, als Restartsignal über die Entkopplungsschaitung an die CPU des Knotens und auf ein erstes ODER-Gatter geschaltet. Deren Ausgang arbeitet auf den Reseteingang des Zeitgliedes. An dem weiteren Eingang des ersten ODER-Gatters liegt über ein UND verknüpft das zweite Stopsignal und das negierte Ausgangssignal des Vergleichers an. Das Ausgangssignal des Zeitgliedes wird als Sendesperrsignal an die Kommunikationsschnittstelle und als Rekonfigurationssignal über die Entkopplungsschaltung an die CPU geschaltet. Das parallele η-Bit Signaturregister ist über eine Signalleitung Takt mit einer Taktauswahlschaltung und über Signalleitungen RESET und Start mit einem Funktionsdekoder verknüpft. Der Funktionsdekoder und die Taktauswahlschaltung sind ihrerseits über die Entkopplungsstufe mit der CPU verbunden. Das erste Stopsignal, das bei Beendigung des ordnungsgemäßen Hardcoretests, dem Grundfunktionstest, vom Funktionsdekoder auf den Festwertspeicher geschaltet, liegt gleichfalls an einem zweiten ODER-Gatter an. Auf dieses Gatter ist auch das zweite Stopsignal, daß bei Beendigung des Gesamttests ausgelöst wird, also der Beendigung des Tests auch ausgliederbaren Funktionen, geführt. Dieses zweite Stopsignal liegt auch am Schreib-Lese-Speicher an und schließlich ist auf das zweite ODER-GATTER ein Signal STOP 0geschaltet. Dieses Signal wird vom Funktionsdekoder ausgelöst, um nicht reproduzierbare Vorgänge auszublenden. Eine