Verifikation reaktiver Systeme - Universität Kaiserslautern

14
4 Industrieller Einsatz
Die Halbleiterindustrie musste schmerzlich feststellen, dass Fehler in der fertigen
Implementierung sie teuer zu stehen kommen. Im Gegensatz zur Software können
hier nicht einfach Updates durchgeführt werden um aufgetretene Fehler zu beseitigen.
Der der Öffentlichkeit bekannteste Fall trug sich 1994 zu. Intel musste
eine Rückrufaktion für seinen neuen P5 Chip starten, neben dem entstandenen
Imageverlust kostetet dies das Unternehmen nach vorsichtigen Schätzungen
mehr als 400 Millionen Dollar. Solche Fehler können schnell das Aus für ein
Unternehmen bedeuten. Gerade in der Entwicklung von neuen Chips, wie für
die neue Generation der UMTS-Handys, ist eine Verifikation unerlässlich. Die
Kommunikations- und Transaktionsprotokolle sind so komplex geworden, oft auf
Grund der Vielzahl der zu betrachtenden Parameter, dass eine Absicherung über
Testfälle nicht mehr in Frage kommt. Aus diesem Grund entwickelte die Firma
Infineon mit Siemes in den 90iger ein Tool namens CVE (circuit verification environment),
dass neben einem Äquivalenzvergleicher auch einen Eigenschaftsprüfer
auf Basis von bounded model checking beinhaltet.
Die Arbeitsweise dieses Tools namens gateprop soll im Folgenden exemplarisch
vorgestellt werden.
Die Schaltung die nun verifziert werden soll stellt einen ATM-Error-Controller
dar [8]. ATM ist die Abkürzung für asynchroner Transfer Modus und wir eingesetzt
bei breitbandigen Weitverkehrsnetzen. Die Merkmale sind eine verbindungsorientierte
Kommunikation mit Rahmen feste Länge, den sogenannten Zellen.
Zur Überprüfung der Zellen wird ein Cyclic Redundancy Check angewendet.
Da die Zellen eine Hämingdistanz von 4 besitzen ist es möglich 1-Bit-Fehler zu
erkennen und gleichzeitig zu korrigieren.
Die zu entwickelnde Schaltung soll hierbei die Aufgabe übernehmen zu entscheiden,
ob eine Zelle korrigierbar ist oder ob sie verworfen und neu angefordert
werden muss. Dieser ATM error controller (AEC) besitzt hierfür zwei Eingangsund
Ausgangsleitungen. Der Zusammenhang wird in der Tabelle verdeutlicht.
Eingänge
multiple error alter
Zustand
Ausgänge
correct it reject it
0 0 0 0 0 0
0 0 1 0 0 0
0 1 0 1 0 1
0 1 1 0 1 1
1 0 0 0 0 0
1 0 1 0 0 0
1 1 0 0 1 1
1 1 1 0 1 1
neuer
Zustand
Die wesentliche Aussage des Controllers soll sein, wenn nur ein einfacher Fehler
vorliegt (error = 1) dann soll er korrigiert werden und wenn ein mehrfacher