Untersuchung von fehlertoleranten Prozessorarchitekturen für sicherheitsrelevante Automobilanwendungen

Abstract

In dieser Arbeit werden verschiedene neue Implementierungen für einen sicheren Prozessor - auch bei Verwendung von Standardprozessoren - aufgezeigt und mit bestehenden Lösungen verglichen. Dazu erfolgt zunächst eine Analyse des Standes der Technik bezüglich fehlertoleranter Rechner. Die meisten Lösungen, die z.B. bei Großrechnern, in der Luft- und Raumfahrttechnik oder in der Automatisierungstechnik zum Einsatz kommen, scheinen im Automobilbereich nicht anwendbar zu sein. Daher werden die bestehenden Prozessorarchitekturen speziell für den späteren Einsatzort des Rechners im Auto bezüglich Fehlerentdeckungsrate und Kosten weiterentwickelt, bzw. neue Lösungswege aufgezeigt. Es ergeben sich folgende neue Lösungsansätze: Ein zwischen den beiden Modi "Sicherheit" und "Performanz" rekonfigurierbares generisches Zweirechnersystem, ein Rechner mit Eigenfehlererkennung und ein superskalarer Rechner, der ebenfalls zwischen den beiden Modi umschaltbar ist. Die einzelnen neu erarbeiteten Lösungsmöglichkeiten werden theoretisch bezüglich ihrer Fehlerentdeckungsrate und Anfälligkeit gegen Single Points of Failure und Common Cause Fehler untersucht und anschließend wird mit einer beispielhaften Prozessorimplementierung eine Fehlerinjektion zur Validierung durchgeführt. Schließlich werden diese unterschiedlichen Architekturkonzepte bezüglich ihrer Fehlerentdeckungsrate, ihrem Flächenaufwand, ihrem Entwicklungsaufwand und ihrer Performanz verglichen

Existing solutions of fault tolerant processor architectures are analyzed extensively concerning their error detection rate and are being further developed to new architectures. First an analysis of the state of the art with regard to fault tolerant processors is done. Most solutions which are used, e.g. by mainframes, in the aerospace and space technology, or in the automation engineering do not appear to be applicable in the automobile area. Therefore, the existing processor architectures are further developed for use in the car with regard to the error detection coverage and costs and also new solutions are elaborated: a generic dual core system, reconfigurable between the two modes "safety" and "performance", a single processor with intrinsic error detection mechanisms, and a superscalar processor with intrinsic error detection mechanisms which is also switchable between the two modes. The new solutions are examined theoretically with regard to their error detection coverage and predisposition against common cause faults.<br />Afterwards, a fault injection is executed for validation