Untersuchung von fehlertoleranten Prozessorarchitekturen für sicherheitsrelevante Automobilanwendungen (PDF)

In dieser Arbeit werden unterschiedliche fehlertolerante Prozessoren optimiert, entwickelt und verglichen unter Berücksichtigung eines Einsatzes in Automobilanwendungen. Als eine Option wird ein fehlererkennendes Zweiprozessorsystem (Dual Core) einer kompletten Fehleranalyse unterworfen und bezüglich Single Points of Failure und Common Cause Fehlermöglichkeiten optimiert. Dabei wird das Zweiprozessorsystem nicht speziell für einen bestimmten Prozessor ausgelegt. Vielmehr gelingt es, einen generischen Rahmen für ein Zweiprozessorsystem zu entwickeln. Dieser Rahmen ist für jeden Prozessor nach der Harvard Architektur einsetzbar, ohne dass Modifikationen an den Prozessoren selbst vorgenommen werden müssen. Des weiteren muss nur einmalig eine Sicherheitsanalyse für den Rahmen durchgeführt werden, die unabhängig von den einsetzbaren Prozessoren gültig ist. Ein Schwachpunkt bei Zweiprozessorsystemen ist, dass sie fehlerhafte Daten nach außen, z.B. in den Datenspeicher, propagieren können und dadurch ein Softwarerecovery erschweren. Dieser Schwachpunkt wird durch eine Fehlerkapselung behoben. Einen weiteren neuen Ansatz bei einem Zweiprozessorsystem gegenüber dem Stand der Technik stellt das rekonfigurierbare generische Zweiprozessorsystem dar. Zweiprozessorsysteme werden bisher entweder explizit nur zur Fehlererkennung oder explizit nur zur Performanzsteigerung eingesetzt. Das rekonfigurierbare Zweiprozessorsystem kann jedoch während des Betriebes innerhalb weniger Takte zwischen den beiden Modi Performanz und Sicherheit umschalten. Im Performanzmodus arbeiten beide Prozessoren unterschiedliche Tasks ab, während sie im Sicherheitsmodus dieselben Befehle abarbeiten und ihre Ausgangsdaten verglichen werden. Bei einer Umschaltung zwischen den beiden Modi wird auch der Takt des Prozessors 2 umgeschaltet: Im Sicherheitsmodus arbeitet Prozessor 2 mit einem Taktversatz von 1,5 Takten gegenüber Prozessor 1 und im Performanzmodus arbeitet er taktsynchron. Die Umschaltung des Taktes ist notwendig, um im Sicherheitsmodus eine Absicherung gegen Common Cause Fehler zu erreichen und um im Performanzmodus keine Leistungseinbußen zu erhalten. Auch für dieses System erfolgt eine generische Auslegung und die Durchführung einer Fehlerinjektion.