CN102770777A - 用于确定错误屏蔽因素的反向分析的改善 - Google Patents

Abstract

介绍一种用于在电子电路中确定错误可观测性的方法和装置。在该方法中，为每个元件确定时间间隔，在所述时间间隔中，出现的错误可能引起分析输出信号的偏差。

Description

用于确定错误屏蔽因素的反向分析的改善

技术领域

本发明涉及用于在电子电路中确定错误可观测性的方法和用于执行所述方法的装置。

背景技术

具有例如半导体器件的电子电路、尤其是数字电路遭受外部影响，所述外部影响可能不受欢迎地改变所述电子电路的行为。当例如运行电压、温度、机械负荷等所有运行参数处于特定的极限之内时，用户可以期望电路的正确的、无错误的行为。如果一个或多个参数处于所述极限之外，则系统错误行为可以被观测到。

但是错误行为也可能由例如电磁辐射的其他外部作用或例如宇宙辐射、放射性裂变产物等高能粒子触发。这种辐射影响的频率尤其是取决于电路的使用地点（地球表面上的地点、海平面上的高度、与特殊辐射源的靠近）和取决于电路本身的灵敏性。在此要注意的是，电路的灵敏性随着电路组成部分的结构大小下降而强烈减小。

出现的错误可以被分成两个组，也即导致电路持久改变和从而引起缺陷的永久错误和引起电路的状态或行为暂时改变的瞬时错误。

瞬时错误又可以被划分成两个组：

单事件瞬态（SET，Single-Event-Transient）：线路的电压电平中的短时干扰脉冲；

单事件翻转（SEU，Single-Event-Upset）：存储单元中的状态或信息的翻转或改变。

存在许多科学出版物，其研究尤其是在微处理器情况下SEU的错误屏蔽。在此情况下定义概念“体系结构正确执行（Architectural Correct Execution）”比特（ACE）。ACE比特是在错误时对系统输出有作用的所有存储单元。

此外，将不能影响处理器内的指令路径的所有比特称为“微体系结构Un-ACE”比特。这些比特可以在静止状态下或者在空闲状态时、在纯理论计算时或者在预测结构（“预测器”）中出现。在那里所计算的值经常不被使用并且因此也不具有作用（Un-ACE）。

将“体系结构Un-ACE”比特定义为第三组，所述“体系结构Un-ACE”比特虽然对单个指令的结果有作用但是对系统输出没有作用。这些“体系结构Un-ACE ”比特可能在NOP指令（NOP：无操作（No Operation））、提高性能的指示（诸如预取、具有判定寄存器的指令、操作数的逻辑屏蔽效应）情况下和在所谓的“动态死指令（dynamically dead instructions）”情况下出现。在此情况下还划分“第一级别动态死指令”（FDD）（例如在无中间地读取第一值的情况下对相同的地址的写访问）和“传递动态死指令”TDD（其产生在其方面仅由FDD或TDD使用的结果）。

对于前述实施，参照出版物Shubhendu S. Mukherjee, Christopher Weaver, Joel Emer, Steven K. Reinhardt, Todd Austin: “A Systematic Methodology to Compute the Architectural Vulnerability Factors for a High-Performance Microprocessor”, IEEE, 2003。

组合数字电路通过其确定性行为来表征。这导致，可以利用给定的数字逻辑函数和给定的输入值明确地确定输出值。如果现在在一个或多个输入信号情况下在具有一个输出（1比特）的逻辑函数处出现瞬时错误，则与输入信号和逻辑函数有关地可能出现有错误的输出信号。确定的错误是否在输出端之一处引起电路的期望的行为的偏差、也即错误变得可见，被称为可观测性或错误可观测性。在此情况下，应该注意，不是每个错误作为有错误的输出变得可见，这称为屏蔽或错误屏蔽。

关于特定错误的输入信号的特定组合的灵敏性可以用布尔差来确定。如果布尔差对于函数输入等于1，则该输入信号的变换引起输出信号处的变换。如果所述一个输入信号的改变引起输出信号的改变，则一般地谈及从输入到输出的灵敏路径。

布尔函数

布尔差

对于每个输入信号的布尔差的结果、特定输入组合的出现的时间分量和单个信号的错误的概率能够一起实现错误或错误屏蔽概率的计算。在多级逻辑情况下，必须借助于相关来结算各个级的结果。

对此参照Ming Zhang, Naresh R. Shanbhag的出版物: A Soft Error Rate Analysis (SERA) Methodology, IEEE, 2004, US 2007/0226572A1。

对于时序电路（同步电路技术），时间行为同样起大的作用。因此在每个较大的电路中存在多个节点，所述节点不是在每个时刻对于电路的功能均是重要的。因此也可以随着时间来观察错误屏蔽效应。电路的特性防止在输出处出现的错误的一部分可以变得可见。可见错误与实际出现的错误的比例在此被称为衰减因子（Derating Factor（降级因子））。

在该题目范围中使用以下概念：

定时降级（Timing Derating, TD）：

定时降级是通过信号从一个寄存器或锁存器到下一寄存器或锁存器的运行时间、也即在穿过级时在同步电路设计中产生的效应。

由于信号通过逻辑门以及在两个存储元件（寄存器或锁存器）之间的线路（逻辑路径）的运行时间，在开始时、在该逻辑路径的寄存器或锁存器处出现的错误（SEU）不能总是准时地在采样时刻到达该路径的末端。在该情况下，该错误也不能蔓延到电路的下一级中，而是被屏蔽掉。

用于在同步电路级内散布或传播信号的多余时间（时钟周期tClk-通过逻辑路径的信号运行时间tDelay）被称为时间裕量（Slack）。在逻辑路径的始端处在存储元件处的所有SEU（其在存储元件的采样时刻之前小于tDelay地在逻辑路径的末端处出现）对所采样的信号的值没有作用。因此，可以与时钟周期相比地将时间裕量看作定时降级因子。

逻辑降级（Logic Derating，LD）：

所谓的逻辑降级是由于电路的逻辑总函数与实际错误数相比可见错误的减少。逻辑降级取决于电路的应用以及电路本身的体系结构。每当寄存内容虽然是有错误的，但是其状态不再被进一步处理时，谈及逻辑降级，其中时钟门的信息或者在处理器情况下来自支路预报的信息可以被使用。在此情况下，可替代地也使用名称“软错误敏感性因子”或者“易受损因子”。

对此参照Hang T. Nguyen, Yoad Yagil, Norbert Seifert, Mike Reitsma的出版物: Chip-Level Soft Error Estimation Method, IEEE, 2005。

如果在唯一的因子中总结所有观察的屏蔽效应，则谈及体系结构易受损因子（Architectural Vulnerability Factor, AVF）。确定部件的错误对电路输出影响的概率在此从取决于技术的基础错误率与AVF相乘来计算。

在此情况下参照Shubhendu S. Mukherjee, Christopher Weaver, Joel Emer, Steven k, Reinhardt,Todd Austin的出版物: “A Systematic Methodology to Compute the Architectural Vulnerability Factors for a High-Performance Microprocessor”, IEEE, 2003。

除了分析方法之外存在可能性：通过电路仿真通过将错误馈入到电路中来确定整个屏蔽因子。在此对于固定的输入激励组存储电路的所有输出信号的变化曲线。这用作用于电路的无错误运行的参考。

在错误注入时，在整个电路上和在整个仿真时间间隔上随机分布地将有错误的值引入到电路中。在将单个错误馈入到错误地点处的信号的变化曲线之后，有规则地继续仿真并且对于预定义的时间间隔观测输出矢量、也即所有输出信号的整体。在该时间间隔内，将输出矢量与作为额定值的无错误的参考进行比较并且确定可能的差别。在至少一个可见的错误情况下，该仿真过程被评价为有错误的。错误地点和对输出的作用的关系被存储。

必须在整个活动中、也即在具有不同错误的许多仿真过程时执行错误注入。如此获得的结果现在对于每个错误地点被组合。对于每个错误地点，与所馈入的错误的数量相比地来观察有错误的仿真过程的数量。该比例是针对信号的错误屏蔽因子。

通过错误注入确定屏蔽因子需要非常高的计算耗费，因为在仿真时总是只能对于特定的错误作出陈述。通过错误注入的结果的精度取决于仿真过程的数量、也即所注入的错误的数量。只有从高数量起才达到高统计精度。

印刷品US 2005/0283950 A1描述了一种用于在微处理器中通过跟踪所谓的动态死指令来减小错误的有错误的检测的方法。在该方法中检验给定的指令是否是动态死指令。通过这种方式也可以减小假阳（falsche Positive）或虚伪肯定。

但是除了在电路运行期间出现的错误之外，也必须识别电路的制造错误。一般通过在生产车间中测试和可能在电路运行期间或在电路运行开始时通过施加定义的测试模式来识别电路错误。但是在产生该测试模式时经常还不知道哪些错误通过测试模式组被识别。自多年来就已经执行在具有组合功能的集成电路中对临界路径的跟踪（Critical Path Tracing CPT），以便从而能够确定测试模式组的测试覆盖。在CPT情况下，借助于布尔差计算从初级输出开始向初级输入的灵敏路径。许多科学出版物在该方法中尤其是也考虑再收敛路径的作用。这些路径一般通过设置再收敛图形被表示和分析。通过考虑图形的特定结构和特性可以考虑自屏蔽和多重路径仿真的效应。CPT作为结果对于电路状态提供电路的所有灵敏路径。灵敏路径意味着，在该灵敏路径中的所有路径节点均可以被观测，也即错误以有偏差的输出信号的形式将会变得可见。由此可以得出，目前所观察的电路状态的输入信号是所有灵敏路径中的所有电路节点的相反的（求反的）当前施加的数字信号电平的固定错误的测试矢量（例如对于测试s-a-o而言信号电平逻辑1，反之亦然）。CPT因此可以被用于快速并行地确定组合电路的测试覆盖（故障降级（Fault Grading））。通过扩展也可以将CPT用于时序电路，在此，将可能的可探测的错误的错误列表存储在时序元件中并且向前传播。只有当该错误列表到达初级输出时在该列表中所包含的错误才可以被探测。因为许多错误列表在非灵敏路径上被删除，所以产生高的不需要的计算耗费。

就此而论，参照Lei Wu, D. M. H. Walker的出版物: A Fast Algorithm for Critical Path Tracing in VLSI Digital Circuits, IEEE, 2005和P. Menon, Y. Levendel, M. Abramovici的出版物: SCRIPT: A Critical Path Tracing Algorithm for Synchronous Sequential Circuits, IEEE, 1991。

发明内容

以前述实施为背景介绍具有权利要求1的特征的方法和根据权利要求10所述的装置。实施形式从从属权利要求和说明书中得出。

因此描述了一种用于在电子电路中确定错误可观测性的方法。在该方法中，对于每个元件、尤其是对于每个存储元件确定时间间隔，在所述时间间隔中，出现的错误可能引起电路信号的自由选择的集合中的偏差。电路信号的该自由选择的集合对于要确定的错误可观测性因子是基准集合并且在下文中应该被称为分析输出信号的集合。该集合可以由任意的初级输出信号组成、但是也可以由任意的内部信号组成，其中假设这些是完全可观测的。

利用所介绍的方法从现在起尤其是可以例如对于电子电路中、尤其是数字半导体电路中的存储元件准确地确定错误屏蔽因子。所观察的错误例如由于单事件翻转（SEU）而产生。为了在半导体电路中尽可能准确地检测屏蔽效应，需要同时考虑所有迄今已知的效应。虽然每个效应可以由已知方法单独地检测。但是在联合所有这些结果时产生错误，因为结果不是完全彼此无关的。此外，不能考虑或者只能困难地考虑复杂的屏蔽效应、例如FDD和TDD。而迄今已知的方法也局限于纯应用于CPU-寄存器，使得从而一般不能对于同步半导体电路作出陈述。

此外，可以使用该方法用于对于给定的测试模式组确定可测试错误的集合（固定错误模型）。

可替代地或补充地可能的是，确定测试模式的错误覆盖。

所介绍的方法以简单的方式考虑尽可能多的已知屏蔽效应并且在实施该方法时没有特殊情况处理也行。提供以下可能性：考虑效应FDD和TDD。相对于利用蒙特卡罗仿真或错误注入对屏蔽因子的确定强烈地减少计算耗费。此外，该方法确定性地工作，不使用相关性来跨越一个或多个存储元件（例如CPU管线级）确定屏蔽因子。应该注意的是，分析的结果仅在应用单错误模型时有效，也即假设总是仅同时在电路中出现错误或者出现的错误在功能上彼此无关。

原则上将该方法的执行划分成两个步骤，其中第一步骤用于准备第二步骤。如果电路的行为已经是已知的，也即任意源的值变化曲线已经存在，则可以跳过该方法的第一步骤。

在第一步骤中，利用仿真模型和电路仿真器模拟电路的行为。仿真模型相比于真实硬件应该在存储元件和其逻辑连接方面具有尽可能类似结构。在仿真步骤中不需要对各个门的时间延迟行为进行仿真，门延迟的影响可以在分析步骤中再次一起被计算在内，而不遭受精度的损失。通常可以不使用行为模型，因为该方法的结果否则不具有可靠的陈述力。尤其是寄存器传递层面上的模型是适用的，因为所述模型准确地映射电路的数字行为并且同时非常接近于电路的物理实现。

电路的初级输入例如利用测试模式组（测试台）来仿真。仿真的执行不同于通常的电路仿真。在仿真期间典型地记录所有内部信号的值变化曲线（时刻和值）、波浪或波形式，使得其变化曲线可再次被调用。在仿真步骤中忽略延迟时间一般导致较小的波形文件并且减小后续步骤的实施时间。

在该方法的第二部分中，对于每个存储元件确定时间间隔，在该时间间隔中SEU可能引起分析输出中的偏差，也即在电路的分析输出处的错误变得可见。

为此可以使用电路的表示、例如定向图或仿真模型用于映射电路的结构和功能。该表示的电路状态、也即节点（信号）和存储元件的值现在借助于所存储的波形以时间相反的顺序来建立。从波形的记录的末尾开始到记录的开始，将值馈入到所述表示中。

对于发生电路的表示的状态改变的每个时刻，必须确定通过该改变触发的过程。对于存储元件，这意味着必须检验，是否施加输入信号，所述输入信号根据存储元件的功能可能引起所存储的值和/或输出信号的更新或改变。但是在此情况下必须提及的是，如果反方向执行仿真，则在边沿控制的组件、例如寄存器情况下，出现灵敏边沿方向的翻转。

总是何时在存储元件处出现这样的更新或改变，谈及写事件。在写事件情况下，存储元件的在其他宿中被命名的所有输入信号被读取。出现写事件的时刻、也即所谓的写事件时刻对于其他分析是重要的。

如果在仿真步骤中不考虑延迟时间，则在该方面必须附加地用触发信号的延迟时间修改写事件时刻，以便在本发明的意义上获得正确的分析结果。在使用在电路表示中所包含的结构情况下，现在可以从具有写事件的存储元件直至其源来反向跟踪所有输入信号。将所有存储元件和电路的初级输入看作源，而不将纯组合地工作的功能（逻辑门）看作源。

通过逻辑门可以借助于布尔代数定律和在使用当前状态情况下确定从源至宿的灵敏路径。但是该分析仅从存储元件出发来执行，在所述存储元件处恰好出现写事件。每个存储元件或其所存储的信息被看作是灵敏的，如果其处于灵敏路径的开始处的话。不处于灵敏路径的开始处的存储元件和其所存储的信息不被看作是灵敏的，因为它们对输入信号的值或宿不具有影响。

每个存储元件获得变量或标记，其在其他关联性标记中被命名。所述变量或标记陈述：当前所存储的信息在错误情况下是否能够引起在分析输出处和从而在分析输出信号中的可见错误（正标记）或者是否不能观测到错误（负标记）。

如果现在在存储元件处出现写事件并且该存储元件具有正关联性标记，则在灵敏路径的开始处的所有存储元件处发生读事件。这意味着，在那里所存储的值由后续的电路部分使用。如果在存储元件处发生读事件，则该存储元件获得正关联性标记。附加地在那里存储读事件的时刻。如果在那里已经存在正标记，则该正标记保持存在。关联性标记在写事件时被删除，也即负关联性标记被设置。

如果在存储元件处出现写事件并且该存储元件具有正关联性标记，由此在所属的时刻时也出现至少一个读事件，则读和写事件时刻确定灵敏时间间隔，在所述灵敏时间间隔中，存储元件包含在错误情况下对分析输出信号有可见作用的信息。通过对所有灵敏时间间隔进行仿真可以对于该存储元件确定整个灵敏时间。相比于在开始时仿真的总时间间隔的该和可以被解释为降级因子。

该方法（如迄今所述的该方法）通过非常小的扩展也可以用于执行错误分级或者说所谓的“Fault Grading”。在跟踪临界路径时可以简单地确定可测试的错误。从具有正关联性标记的初级输出或寄存器出发的临界路径上的所有信号也可以由分析输出信号观测。因此临界路径上的这些信号中的每一个均测试分别翻转的目前逻辑电平的固定（s-a-）错误。与Fault Grading（错误分级）的迄今已知的方法的不同在于应用反向仿真。如果路径表明是不可观测的，则由此不需要在时间正向上传播并且必要时抛弃错误列表。在反向仿真时可以直接读取可测试的错误，这减小所需要的计算耗费。

如果附加地应该考虑定时降级，则必须修改在出现读事件时存储的时刻。根据该方法的实现，将所存储的时刻在数值上提高或降低有关的灵敏路径上的信号的延迟时间。

可以对于仿真时间的结束（分析的开始）为电路的所有存储元件确定关联性的初始状态。两个可能的变型方案是：

在变型方案1时，所有存储元件是关联的，这在稍后时刻考虑关于电路的进一步运行的不确定性（悲观方案）。在变型方案2中仅电路的分析输出是关联的。如果电路随后不再被使用或者如果无关的任务被执行完成（乐观方案），则这是可想而知的。两种情况的任意组合同样是可设想的。

原则上可以在正向和/或在反向上执行电路仿真。也可以使用来自另外的源的信号变化曲线。

将正向的电路仿真理解为具有正常时间顺序的输入激励和未经修改的电路行为的通常的仿真。如果逻辑函数是已知的，则在该仿真时可以在两个任意的存储元件之间确定各个存储信息或电路输入的屏蔽或灵敏性。跨越存储元件的屏蔽或灵敏性很难确定，因为这里时序行为起作用。尤其是先前级上的级的屏蔽效应由于数据依赖性而难以确定。电路状态确定性地在时间正向上蔓延。

在反向电路仿真时，不以惯常的方式运行电路。电路状态在此应该以时间上相反的顺序被经过。但是，基于电路的预先给定的功能，一般不可能使电路功能仅通过输入激励反向地进行或者从电路状态出发确定可能的在前的电路状态，因为可能的电路状态的数量随着每个时间步骤爆炸式地增加。因此在反向仿真时不通过电路本身（仿真）来确定所有内部节点（存储元件和门输出）的值，而是从外部馈送。

关联性标记在电路中与数据流的方向相反地蔓延。关联性标记在反向仿真开始时按照固定的规定被产生。因此分析输出和从而分析输出信号是唯一的源。

两个方法的组合可以均衡每个单个方法的缺点。在正向仿真时，仅困难地能够或者根本不可能考虑传递屏蔽效应。为此可以简单地确定电路状态。在反向仿真时可以容易地确定屏蔽效应，但是电路状态的确定很难。如果现在对于每个时间步骤存储所有内部电路状态并且在第二仿真经过时以相反的顺序从外部馈入到电路中，则可以对于给定的测试模式组简单地和完全地确定屏蔽效应。

该方法可以应用于数字电路中的所有类型的存储器，可以观察触发器、锁存器、SRAM块，但是也可以观察DRAM。仅在监控输入信号和生成写事件的功能方面得出差别。在该方法中，可以通过简单的方式考虑不同的许多屏蔽效应。非强制性地需要在分析时考虑所有效应。由此可以将对于通过另外的方法确定的一个或多个屏蔽效应的结果事后引入到总结果中，而不对效应进行多次考虑。伴随所获得的结果的精度的随之出现的损失而言可以放弃部件特定的参量（延迟时间、设置时间、保持时间和时钟至Q（Clock-To-Q）时间、…）。该方法因此不必强制性地考虑所有屏蔽效应。

该方法本身可以被实现到多个类型。作为电路仿真器原则上可以使用用于数字电路的每种仿真器。分析函数可以作为独立的解利用传统的编程语言实现。对此替代地，提供至硬件描述语言的编程接口（VHDL

接口VHPI，Verilog

接口PLI）或者至通常的仿真器的接口（ModelSim SE

接口FLI）。

本发明的其他优点和扩展方案由说明书和附图得出。

不言而喻，前述的和下面还要阐述的特征不仅可以以分别所说明的组合的方式、而且可以以其他组合的方式或单独地被使用，而不偏离本发明的范围。

附图说明

图1示出灵敏路径。

图2示出用于说明时间裕量的信号变化曲线。

图3示出该方法在同步电路中的使用。

图4示出正向和反向仿真。

图5示出时间加权和。

具体实施方式

本发明根据实施形式在附图中示意性地示出并且参照附图详细地予以描述。

在图1中示出从输入到输出的灵敏路径，其中输入信号的改变引起输出信号的改变。

在该图示中示意性地示出了灵敏路径如何从寄存器（作为存储元件的例子）出发。假设，寄存器101至106的输出信号的占用是相应的，以便引起后续所采用的灵敏路径（连续箭头）。不进一步详细说明逻辑块201至207的功能。

从寄存器107出发得出经由逻辑门207、206、203至寄存器104和经由207、206、204至寄存器105和106的灵敏路径。没有灵敏路径引至寄存器101。寄存器102和103处于特殊的结构。两个寄存器是再收敛路径的开始。示出两种可能的情形。从205经由201或202至102的两个路径（点划线）表示多重路径仿真的可能性。如果在102处出现错误，则该错误由于再收敛结构可能导致205处的多重错误。即使205的每个单个输入被评估为非灵敏的，在多重错误的情况下该多重错误也可能能够继续传播到207。

从207经由门202、203、205、206的两个路径（虚线）表示错误自身屏蔽的可能性。如果在103处出现错误，则该错误可能经由两个所示路径传播到207。即使在那里在灵敏输入处存在错误，该错误也不与有错误的第二输入信号有关地引起输出信号的变换。错误自身屏蔽。

为了能够确定可测试的错误的集合，在该处必须在从具有正关联性标记的寄存器出发跟踪灵敏路径时在分析时实施附加的功能性。作为该灵敏路径的部分的每个信号的电平必须被读出。因为该观察的信号是灵敏路径的部分并且组合路径的末端处的寄存器具有正关联性标记，所以该信号的目前的逻辑电平在初级输出处可以被观测。对于灵敏路径上的每个信号，因此可测试固定错误，所述固定错误采取与翻转的目前的信号电平相对应的有错误的信号电平。

在还未被发现的可测试的错误情况下将项添加到全局错误列表。

在图2中示出信号变化曲线。该信号变化曲线说明，相比于时钟周期的时间裕量可以被看作定时降级因子。

示出两个存储元件或寄存器400和402，其非强制性地用相同的信号触发。在该情况下，使用共同的时钟信号CLK 404。示出了在第一寄存器400的输出处的分析输出信号S1 406、在延迟环节410之后的分析输出信号S2 408和在第二寄存器402的输出处的分析输出信号S3 412的变化曲线。

一般地使用在两个元件的息息相关的触发时刻（tDiff）之间的时间差。在两个元件之间的信号运行时间现在与tDiff一起确定剩余的时间间隔，在所述时间间隔中在在前的元件处必须出现错误，以便所述错误能够传播到电路的其他部分。剩余的时间间隔被称为时间裕量。时间裕量与tDiff的比例可以被解释为定时降级因子。

画阴影地示出了屏蔽窗414。在屏蔽窗之外出现的错误在输出处可以被识别。

在图3中示例性地示出了该方法在同步电路上的应用。在此，块200至204的功能没有进一步定义。但是应该假设，每个功能块的输入值的占用被施加，所述占用导致示例性假设的灵敏路径（粗体连续的）。

从在该时刻被看作是关联的寄存器108和109的电路输出出发，可以推断出先前级的寄存器的关联性。从寄存器108存在通过逻辑元件203至寄存器104（经由连接310和315）和至寄存器105（经由连接311和315）的路径。从寄存器109存在通过逻辑元件204至寄存器105（经由连接312和316）、寄存器106（经由连接313和316）和寄存器107（经由连接314和316）的路径。

假设，在时刻tCLk*(n-1)，寄存器104、105、106、107已经存储了值，所述值引起至输出寄存器108和109的敏感路径。基于逻辑元件204的逻辑函数和电路状态不产生从寄存器106至寄存器109的敏感路径。寄存器106的值因此对电路输出不具有影响。两个敏感路径从寄存器105出发。但是因此该寄存器105不比其他寄存器更敏感。出发的敏感路径足以将寄存器标记为关联的。

从寄存器100至103出发存在通过逻辑元件200至202至寄存器104至107的路径300至309。从现在起假设，在时刻t tCLk*(n-2)，寄存器100至103存储了值，所述值导致至寄存器104、105、107的敏感路径。由于寄存器102经由305通过逻辑元件202经由309至寄存器107不存在敏感路径和从寄存器102经由304通过逻辑元件201经由308至寄存器106的路径虽然是敏感的，但是寄存器106不被标记为关联的，所以寄存器102也不获得关联性标记。虽然敏感路径可以伸展到寄存器106（被标记为非关联的），但是关联性不经由该路径蔓延。

如果仅在正向上观察错误屏蔽，则在该例子中寄存器102不正确地被看作是关联的，因为稍后时刻的信息缺乏。

对于要分析的电路在分析开始时以图形结构创建。该数字半导体电路通过定向图G来表示：

。

节点N的集合组成4个子集的联合。

-寄存器R的集合（寄存器）

-具有组合行为L的电路功能的集合（逻辑）

-在无输入信号的情况下产生的信号（例如常数，特定HW信号）I的集合（独立的）

-电路E的输入和输出的集合（环境）

。

集合N中的每个节点对应于对象，所述对象包含关于与其他节点/对象的逻辑连接的信息。除了这些逻辑连接信息之外，这些对象还包括变量和具有关于对该对象的访问的信息的列表（在功能上作为逻辑块或寄存器）。

在反向仿真期间进行电路的行为的分析。产生自己的过程，所述过程识别在寄存器输入处确定的信号组合。如果识别处适当的状态，则随后从中找出用于有关的对象的分析功能。将分析分成两个部分、即用于信息源的部分和用于信息宿的部分。

作为第一部分，对于触发寄存器实施功能。当前的仿真时间被用作用于对该寄存器进行写访问的时刻。如果在生成仿真数据时不使用延迟时间，则在该处可以通过修改写访问的时刻来考虑延迟的影响。在反向仿真时也交换对寄存器的写和读访问的原则上的顺序，也即在寄存器内容被写或生产之前，所述寄存器内容首先被读或消费。对寄存器内容的读访问可以多次进行，写访问仅进行一次并且在反向仿真时结束寄存器内容的寿命。如果进行写访问，则将该寄存器的关联时间提高在过去最长时间的读访问和写访问的时刻之差。所有已经过去的读访问在后续的写访问时不再被考虑。如果在写访问时不存在读访问，则也不提高关联时间。如果在写访问时存在至少一个读访问，则寄存器内容被看作是关联的。

在分析阶段中，电路延迟也可以纯在计算上一起进入分析结果。因此存在两个变型方案：

-在有延迟的情况下仿真，在有延迟的情况下分析

-在没有延迟的情况下仿真、在分析时在计算上纳入延迟。

两个变型方案精确地提供相同的结果，但是第二变型方案提供在实施速度方面和在仿真数据的文件大小方面的优点。

在图4中示出在正向（4b）和在反向（图4c）上的仿真。

图4示意性地示出在电子电路503的两个存储元件或寄存器500和502的写访问和读访问之间的关系。此外，设置延迟环节506。

示出非必要的共同的时钟信号CLK 504、用于在前的寄存器500（中间线，指向下的箭头508用于写事件，指向上的箭头510用于读事件）和后续的寄存器502（下面的线，指向下的箭头512用于写事件，指向上的箭头514用于读事件）的从中得出的触发时刻，其同样不必强制性地是同时的。

在前的寄存器500的写事件时刻相对于时钟边沿的时刻的位移考虑寄存器的结构方式决定的大小（设置时间、保持时间、时钟至Q时间、…）以及在仿真阶段中延迟时间的缺乏的影响。这以位移522来概括。读事件时刻相对于时钟边沿的时刻的位移同样考虑寄存器的结构方式决定的大小以及位于寄存器之间的其他门和线路的延迟时间。位移的大小不与方向/符号有关，位移可以在正的方向以及在负的方向上进行。图4b示出在正向仿真时的情况，图4c示出在反向仿真时的情况。尤其是通过延迟环节506的读事件时刻的位移用双箭头520表明。

在第二部分中，确定灵敏路径和源寄存器。从已经触发分析的寄存器出发，用逻辑连接信息研究在前的逻辑块和寄存器。但是这只有当寄存器内容被看作是关联的时才发生（传递效应）。非关联的寄存器内容导致驱动寄存器的完全屏蔽。在关联的寄存器内容情况下，使用写事件时间作为读事件时间并且作为参数转交给要研究的对象。可以以递归模式来处理两种情况：

如果在前的对象是寄存器，则完全跟踪该路径直至其源。这里对于该路径而言递归结束。在寄存器中存储该读访问的时刻用于进一步处理。

如果在前的对象是组合块，则该路径还未完全被研究。根据输入信号和该块的逻辑函数，可以确定通过电路的灵敏路径的其他走向。为此参照通过逻辑函数的错误屏蔽。是灵敏路径上的直接前任的对象在接着的分析步骤中同样必须被研究。灵敏路径被继续跟踪，读事件时间被提高线路的延迟和恰好所观察的块的逻辑函数的运行时间并且作为经修改的参数被转交。

该方式如此长时间地被重复，直至灵敏路径的所有源寄存器被找到为止。

电路的时间行为对分析结果具有大的影响。为了考虑定时降级，需要每个对象的延迟或延时（Delay）值。该延时值通常从库中去除或者通过静态定时分析来产生。在产生图形结构用于分析电路时，该定时参数被读出并且分配给与其他对象的相应的逻辑连接。

在仿真期间，如果在前的对象被研究，则该特定路径的延时必须被考虑，以便与定时降级可比地相应地修改读访问的时刻。

来自正向仿真或其他源的电路的存在的信号变化曲线可以以时间上相反的顺序被引入到电路的表示中。但是在各个信号值变化之间的时间间距保持不变。内部节点的信号值可以用事先记录的信号值占用。

但是分析功能性的存在的过程以惯常的方式继续工作。因此如果满足相应的条件（输入信号组合），则负责分析的过程被触发。

必须主动地由分析方法执行的唯一过程是用所记录的值对电路的前述仿真。分析过程的激活间接地通过改变所仿真的信号来引起，其中边沿控制的过程必须对分别相反的边沿作出反应。对此参照图4，其中例如寄存器在正时钟边沿上触发

在反向仿真时分析过程在负时钟边沿触上发。仿真被执行如此长时间，直至达到所记录的值的开始。

为了确定寄存器输出的关联时间的分量，在仿真期间必须分析所有写访问。对应的写访问和读访问的差之和构成总的关联时间。

在电路仿真时可能发生，对不同的寄存器的多个写访问精确地在相同时刻出现。基于分析软件的时序结构以非强制性定义的顺序实施分析功能。但是该顺序对分析结果没有作用。（由后续的寄存器）生成读事件的时刻在每种情况下均早于该寄存器的写事件的生成（在具有时钟信号的电路情况下通常大约一个时钟周期）。在写事件情况下，仅考虑过去的读事件。由于未定义的顺序，在寄存器处也可以录入读事件，所述读事件已经在将来存在（由于读事件

）也即在分析接着的写事件时应该被使用。

为了得到正确的分析结果，在静态定时分析的意义上以正确起作用的电路为前提。

该方法的执行单独地为电路的每个寄存器提供灵敏性评估。通过该方法的特性可以考虑经由任意多寄存器级的传递屏蔽效应。

最简单的和最浅显的评估通过关联时间与总仿真时间的比例来发生。该比例反映出，在时间上相同分布地出现的错误的哪个分量在考虑电路的总功能的情况下在分析输出处变得可见。

此外，可以创建关于该寄存器的灵敏时间间隔的持续时间和频率的统计。从而同样可以选择合适的措施来减少错误率。

分析原则上可以分析每个可能的数字同步电路。为此需要代表性的测试模式组。通常这是电路的典型应用情况。分析基于单错误模型的假定，也即不考虑多个在时间上和空间上相邻的错误的作用。

单错误的这种假定与再收敛电路结构冲突。在再收敛电路部分的输出点之前或之处出现的所有错误可以作为多个假信号在收敛点处被消除。但是在确定所屏蔽的路径的情况下，仅假定单错误或无关的信号。

通过使用和生成被细微区别的关联性标记，也即存在级“关联的”、“非关联的”、“怀疑自屏蔽”和“怀疑多重路径仿真”，连同对在再收敛电路部分中的收敛点进行标识，可以考虑再收敛结构的作用。

但是附加的前提也是再收敛路径的信号的在时间上的相遇。在同步电路情况下，例如再收敛电路部分的不同路径上不同数量的寄存器级可以防止有关的信息在再收敛点处的相遇。只有当有关的信息在相同的时间在收敛点处被处理时才出现分析错误。

在反向仿真和分析时，从电路的分析输出至电路的输入的错误屏蔽被理解。在表示再收敛路径的收敛点的逻辑块处，计算所屏蔽的路径。该逻辑块的来自再收敛路径的输入信号既可以被看作是关联的也可以被看作是非关联的。在被看作是非关联的信号路径上，关联性标记也不在再收敛路径的输出点方向上被传播。在该输出点处，现在聚集所有到达的关联性标记（逻辑或），如果无标记到达，则也将在再收敛的输出点之前的电路部分看作是非关联的。从电路的该输出点起，分析结果在分析意义上不一定正确。

在图5中示出时间加权和。

错误屏蔽因子是统计平均值：错误的哪个分量导致系统输出的可见改变。但是错误屏蔽本身不具有离散性质，也即错误被抑制或者不被抑制。因此容易想到地通过时间加权和（错误屏蔽在时间上的积分）来将具有离散值（1或0，错误屏蔽是激活的或者不是激活的）的时间区域次序转换成连续值。这与假设错误在时间上相同分布地出现一致。得出的错误屏蔽因子从所有灵敏时间区域的长度的和相比于整个所观察的时间来计算。在图5中示例性地示出不同信号的灵敏时间区域的四个变化曲线600、602、604和606（画阴影的块）。得出的错误屏蔽因子对此分别在灵敏时间区域的右侧被说明。

所介绍的方法可以在软件工具中被使用，利用所述软件工具研究电子电路的功能安全性。利用所述工具原则上可以研究所有数字电子电路。所获得的结果可以在安全相关系统中被用于指示可靠性。应该注意的是，在复杂的系统情况下这样的自动化方法是有用的并且能够以高细节精度实现观察。

所介绍的方法的结果也可以被用于改善所研究的电路。仍处于开发阶段的系统可以在关于易出错性的缺点方面被研究。必要时可以通过设计改变来避免这些缺点。

如果该方法被用于确定测试覆盖，则全局错误列表包含在结束该方法之后对于所观察的测试模式组的所有可测试错误。所有可测试错误可以从中直接取得，不可测试错误的集合是关于所观察的电路的可能的整个错误集合的互补集合。

Claims (10)

1.用于在电子电路（503）中确定错误可观测性的方法，其中对于每个元件（400，402，500，502）确定时间间隔，在所述时间间隔中，出现的错误可能引起分析输出信号（406，408，412）的偏差。

2.根据权利要求1所述的方法，其中在第一步骤中在仿真阶段中利用仿真模型和电路仿真器模拟电子电路（503）的行为并且在第二步骤中在分析阶段中对于每个元件（400，402，500，502）确定时间间隔，在所述时间间隔中，出现的错误可能导致分析输出信号（406，408，412）的偏差。

3.根据权利要求2所述的方法，其中在仿真阶段中使用延迟，所述延迟在分析阶段中被考虑。

4.根据权利要求2所述的方法，其中在仿真阶段中不使用延迟，并且在分析阶段中在计算上纳入所述延迟。

5.根据权利要求1至4之一所述的方法，其中在正向上执行电路仿真。

6.根据权利要求1至4之一所述的方法，其中在反向上执行电路仿真。

7.根据权利要求1至6之一所述的方法，其中对于仿真时间的结束为所有元件（400，402，500，502）确定关联性的初始状态。

8.根据权利要求1至7之一所述的方法，其中该方法被用于确定电子电路（503）中的元件（400，402，500，502）的错误屏蔽因子。

9.根据权利要求1至8之一所述的方法，其中所述方法被用于确定测试模式的错误覆盖。

10.用于在电子电路（503）中确定错误可观测性的装置，尤其是用于执行具有权利要求1至9之一的特征的方法。

Images