Optimierung einer Softwarebibliothek für sicherheitsrelevante

2 Grundlagen 28
Abbildung 21: Das allgemeine Fehlererkennungsprinzip[HAL99]
Zwei Modifikationen dieses Prinzips sind die Plausibilitätsprüfung und der Vergleich. Bei
der Plausibilitätsprüfung werden Werte auf Erfüllung des vorgegeben Zusammenhangs
geprüft 7 . Bei einem Vergleich werden die Prüfwerte auf ihre Gleichheit geprüft 8 .
2.5.1 CPU-Tests
Eine CPU ist das Rechenwerk des µControllers; funktioniert es nicht richtig, ist die korrekte
Funktion des sicherheitsgerichteten Systems unmöglich. Zudem ist es auch nicht
möglich andere Selbsttests durchzuführen. CPU-Tests basieren auf dem Vergleichsprinzip
der Fehleraufdeckung. Der Grundgedanke bei einem CPU-Test ist es: eine Operation
mit vorgegebenen Testvariablen durchzuführen und dann Ist- mit Soll-Werten zu vergleichen.
Wird eine Abweichung festgestellt, so wird auf dieses Ereignis in vordefinierter
Weise reagiert, sei es eine Fehlermeldung oder eine steuerungstechnische Reaktion.
Bei einem CPU-Test werden alle Befehle der CPU getestet. Diese können in folgende
Gruppen aufgeteilt werden: arithmetische(z.B. ADD), logische(z.B. AND), Transferbefehle(z.B.
MOV) sowie die Sprungbefehle.
Die Arithmetikbefehle wie Addition oder Multiplikation sollen deswegen geprüft werden,
da sie Berechnungen z. B. von neuen Koordinaten eines Roboterarms, der einem Menschen
einen Gegenstand überreicht, benutzt werden.
Die logischen Befehle müssen deswegen geprüft werden, da mit ihrer Hilfe meist Vergleiche
durchgeführt werden. Funktionieren diese nicht richtig, kann eine falsche Entscheidung
getroffen werden.
Die Transferbefehle werden benutzt um Daten von und zum Speicher, sowie Registern
zu bewegen. Funktionieren diese nicht richtig, werden trotz korrekter Funktion der restlichen
Befehle falsche Ergebnisse erzielt. Dies kann natürlich zum Verlust der Sicherheitsfunktion
führen.
Die bedingten sowie unbedingten Sprünge werden z.B. in Schleifen oder als die Unterprogrammaufrufe
benutzt. Die fehlerhafte Funktion bei einer Schleife kann zu einer endlosen
Schleife führen. Bei einem Unterprogrammsprung kommt hinzu, dass überhaupt
kein Sprung stattfinden kann. Diese Fehler werden durch den WD abgefangen.
7
z.B. wächst der Eingangswert, so soll auch der Ausgangswert wachsen
8
z.B. ein Operationsergebnis wird mit dem Sollergebnis verglichen