CN103294049B - 用于基于签名的冗余比较的系统和方法 - Google Patents

Abstract

提供了一种用于基于签名的冗余比较的系统和方法，通过主控部分接收输入信号并通过主控部分产生二进制输出信号，基于输入信号产生延迟的输入信号；基于二进制输出信号产生第一输出签名，基于第一输出签名产生延迟的第一输出签名，基于延迟的输入信号产生延迟的二进制输出信号，基于延迟的二进制输出信号通过校验器部分产生延迟的第二输出签名，比较延迟的第一输出签名和延迟的第二输出签名，并产生误差信号，其中误差信号的状态基于比较结果。

Description

用于基于签名的冗余比较的系统和方法

相关申请的交叉引用

本申请涉及到序列号为__、名称为“用于比较二进制字符对的装置和方法”美国专利申请，且与其于__日同时提交，在此通过参考将其内容并入本文。

技术领域

本发明的某些实施例涉及在计算系统和方法中提供诊断覆盖。更具体地，本发明的某些实施例涉及在冗余系统内产生诊断签名的系统和方法，以用于故障检测，所述故障包括由一般原因故障(commoncausefaults)、逻辑固定型故障(stuck-at-faults)和交叉耦合故障导致的故障。

背景技术

在电子控制单元(ECU)内部的功能整合主要集中在安全微控制器周边，所述安全微控制器通过主办(hosting)临界计算和控制功能起到核心作用。作为亚微米技术的结果，其可以经济地整合ECU、微控制器、和其他类型集成电子和计算系统内部的大规模冗余结构(例如双工系统)，而不管这种系统是否涉及到安全相关的计算和/或控制功能。通常，这种系统形成安全软件所依赖的基本硬件结构(例如，需要ISO26262ASILD安全完整性等级的应用)。

但是，典型的双工系统需要每个功能输出的逐周期的基于硬件比较，以及基于延迟冗余部件一个或多个时钟周期的复杂的、一般原因的故障分析，例如会导致与微控制器内双工结构整合相关的大的功耗和大的芯片面积。

而且，大的双工系统导致的结果是输入和输出的延迟期成本，以及复杂的比较器逻辑。例如，对于2个周期的延迟，假设1000个输入和1000个输出，延迟成本是4000个触发器。除了整合大量触发器所需的面积之外，当扩展这种系统以及当在通常需要较高延迟(即较大数量的延迟周期)的较高频率下操作时，功耗成为限制因素。

有利的是，提供了这样的解决方案，该方案降低了功耗以及降低了在高度整合电子系统内部与整合冗余型结构相关的面积，同时保持了由这种冗余结构提供的高级别误差检测。对于提供检测内部故障和正常操作期间输出线上故障的冗余结构也很令人感兴趣。

发明内容

根据本发明的实施例，冗余系统包括被配置成接收输入信号并产生二进制输出信号的主控部分，被配置成接收输入信号并产生延迟的输入信号的第一时钟延迟，耦合到主控部分并被配置成接收二进制输出信号并产生第一输出签名的第一签名产生器，耦合到第一签名产生器并被配置成接收第一输出签名并产生延迟的第一输出签名的第二时钟延迟；耦合到第一时钟延迟且被配置成接收延迟的输入信号并产生延迟的二进制输出信号的校验器(checker)部分，耦合到校验器部分并被配置成接收延迟的二进制输出信号并产生延迟的第二输出签名的第二签名产生器，和耦合到第二时钟延迟和第二签名产生器的比较器，该比较器被配置成接收延迟的第一输出签名和延迟的第二输出签名，并产生误差信号，基于延迟的第一输出签名与延迟的第二输出签名的比较结果的误差信号的状态。

根据本发明的实施例，用于基于签名的冗余比较的方法包括通过主控部分接收输入信号并通过主控部分产生二进制输出信号，基于输入信号产生延迟的输入信号，基于二进制输出信号产生第一输出签名，基于第一输出签名产生延迟的第一输出签名，基于第一输出签名产生延迟的第一输出签名，基于延迟的输入信号产生延迟的二进制输出信号，基于延迟的二进制输出信号通过校验器部分产生延迟的第二输出签名，通过比较器比较延迟的第一输出签名和延迟的第二输出签名并产生误差信号，基于比较结果的误差信号的状态。

附图说明

图1是根据本发明实施例的双工系统的示意图；

图2是根据本发明实施例的线性压缩器(compactor)的示意图；

图3是根据本发明实施例的双工系统的示意图；

图4是根据本发明实施例自测试比较器的示意图；

图5是根据本发明实施例图4中的自测试比较器的中间值创建器和分配电路(assignmentcircuit)的示意图；和

图6是根据本发明实施例的双工系统的示意图。

具体实施方式

图1是根据本发明实施例的双工系统100的示意图。在所示出的示范性实施例中，双工系统100是安全相关部分101(例如微控制器)的部件，但是，双工系统可与任一种类型高整合度计算系统诸如银行系统以及其他类型安全相关系统诸如电子控制单元(ECU)整合(或者是其部件)。ECU例如可应用在各种类型的机械、电子、航空和汽车系统中。

双工系统100包括主控部分102、校验器部分104、第一签名产生器106、第二签名产生器108，双工系统比较器(DSC)110、任选的第一时钟延迟(DLn)112和任选的第二时钟延迟(DLn)114。主控部分102可以是处理单元诸如中央处理单元(CPU)。但是，本发明的范围覆盖了包括硬件和软件的任意组合的主控部分，其被设计成执行任意类型的电子功能。校验器部分104被设计成执行与主控部分102相同类型的电子功能。在一个实施例中，校验器部分104是主控部分102的复制品，但是，在其他实施例中，校验器部分104对功能输入执行与主控部分102相同的功能，但不是主控部分102严格的硬件和/或软件的复制品。在另一实施例中，可至少部分地共同实施或者优化校验器部分104和第二签名产生器108。主控部分和校验器部分可共同被称作双工系统100的冗余部分。尽管时钟延迟是任选的，但是通过在两个路径中增加暂时的差异，其可用于减少一般原因的影响。

尽管所示出的示范性实施例是双工系统100，但是本发明的范围覆盖了一般的冗余系统，诸如在集群器(cluster)中包括多个计算节点的冗余系统。该冗余部分可包括多个计算节点的任意子集，较大或等于两个计算节点的任意组合。在另一实施例中，冗余系统可包括在两个或多个集群器中的冗余节点。本发明的范围不限于双工系统。

第一签名产生器106接收自主控部分102的输出以及第二签名产生器108接收自校验器部分104的输出。第一签名产生器106对自主控部分102的输出操作以产生第一输出签名，以及第二签名产生器108对自校验器部分104的输出操作以产生第二输出签名。

在本发明的一个实施例中，第一签名产生器106是第一压缩器，其自主控部分102接收M个二进制输入并产生K个二进制输出，以及第二签名产生器108是第二压缩器，其自校验器部分104接收M个二进制输入并产生K个二进制输出，其中K＜M。下文将更加全面地描述签名产生器。

在本发明的一个实施例中，第二时钟延迟114将往校验器部分104的功能输入(也称作输入信号)延迟n个时钟周期，从而在冗余部分102和104之间增加时间差异(diversity)。在冗余部分之间增加时间差异有助于在统计上降低耦合因素的影响。典型的耦合因素是例如影响冗余部分任意门固有计数参数的电源干扰，这会导致建立或者保持时间(holdtimes)的干扰。第一时钟延迟112通过DSC110延迟接收由第一签名产生器106产生的第一输出签名，从而能使DSC110比较相应的输出签名以便检测是否存在误差。

DSC110比较两个延迟的输出签名，且基于比较结果产生特定状态的误差信号。以下将更全面地讨论DSC110。

在操作中，主控部分102和第二延迟114接收输入信号。第二延迟114将输入信号延迟n个时钟周期，以产生延迟的输入信号。主控部分102对输入信号操作以产生包括M个二进制分量的二进制输出信号，并且校验器部分104对延迟的输入信号操作以产生包括M个延迟的二进制分量的延迟的二进制输出信号。第一签名产生器106压缩二进制输出信号以产生包括K个二进制分量的第一输出签名。第二签名产生器108压缩延迟的二进制输出信号以产生包括K个二进制分量的延迟的第二输出签名。第一时钟延迟112延迟第一输出签名以产生延迟的第一输出签名。DSC110比较延迟的第一输出签名和延迟的第二输出签名，并基于该比较结果产生特定状态的误差信号。

在本发明的实施例中，内部安全监控器(ISM)116接收误差信号，并至少部分基于误差信号状态产生内部误差报告和/或外部误差报告信号。

在本发明的一个实施例中，安全相关部件101内部的一个或多个部件可自ISM116接收内部误差报告信号，并基于该信号状态(例如高、低或双轨)可使其失效、激活或者在减少功能的模式下操作。外部误差报告信号可由外部安全监控器(ESM)118接收。ESM118可基于所接收的外部误差报告信号产生安全状态控制信号。

在本发明的再一实施例中，在安全相关部件101外部的一个或多个部件可自ESM118接收安全状态控制信号，且基于该信号状态(例如高、低或者双轨)，也能使其失效、激活或者在减少功能的模式下操作。

图2是根据本发明实施例的线性压缩器200的示意图。第一签名产生器106和/或第二签名产生器108可被实施为线性压缩器200。所示出的线性压缩器200包括七个2-输入XOR-门201-207。压缩器200接收包括M＝6个二进制分量的M分量(即M维量)输入信号x，并产生包括4个二进制输出分量的K分量(即K维量)输出信号y。该输入信号x可等于由主控部分102产生的二进制输出信号或者等于由校验器部分104产生的延迟的二进制输出信号，如图1中所示。

尽管所示出的线性压缩器200包括在XOR-门、输入信号部件和输出信号部件之间具有特定互连的七个2-输入XOR-门201-207，以由6分量输入信号产生4分量输出信号，但是本发明的范围覆盖包括任意数量XOR-门的线性压缩器，不对由M分量输入信号产生K分量输出信号的XOR-门的特定互连产生任何限制。其中K＜M。

可将M维数输入x＝x_l，…，x_M表示为M维列向量，和K维数输出y＝y₁，…，y_k表示为K维列向量，其中

y＝H·x(1)

并且H是K行和M列的(K，M)矩阵。该矩阵H是线性压缩器200的压缩矩阵。作为以下讨论的示范性实施例的实例，将其看做M＝6和K＝4的压缩矩阵，其中

$H=\left(\begin{array}{cccccc}0& 0& 0& 1& 1& 1\\ 1& 0& 0& 1& 1& 0\\ 0& 1& 0& 1& 0& 1\\ 0& 0& 1& 0& 1& 1\end{array}\right)--\left(2\right)$

对于压缩输出向量y的分量y₁，y₂，y₃，y₄，来自公式(2)和(3)：

$y_1=x_4\⊕x_5\⊕x_6,$

$y_2=x_1\⊕x_4\⊕x_5,$

$y_3=x_2\⊕x_4\⊕x_6,$

$y_4=x_3\⊕x_5\⊕x_6,$

例如，输入向量x＝1，0，1，0，1，1被压缩为相应的输出向量y＝H·x＝0，0，1，1。

线性压缩器200具有如下特性：如果压缩矩阵H的每一列中的数目是奇数，且如果H的所有列都两两不同，与等式(2)的压缩矩阵H的情况相同，则反向输入向量的压缩输出向量等于输出向量y(x)的反向压缩的输出向量此外，线性压缩器200具有将输入向量压缩为输出向量的特性。

而且，如果线性压缩器200具有如下特性：H列包括奇数个列，且如果H的所有列都两两不同，与等式(2)的压缩矩阵H的情况相同，则压缩矩阵具有特性

和对于

换句话说，与1或2或3数位位置中的输入向量x不同的输入向量x′将导致与输入向量x的压缩输出向量不同的压缩输出向量y′。由于内部故障结果总是导致1数位误差、2数位误差或者3数位误差，从而改变了在1，2或3数位中的压缩器输入向量x，因此这是有利的。当通过DSC110比较具有这些特性的线性压缩器的压缩输出时，能够以100％的可能性检测这些误差中的任一个。

压缩矩阵H也可称作签名产生器106和108的转移函数。在本发明的一个实施例中，第一签名产生器106的转移函数等于第二签名产生器108的转移函数。但是，本发明的范围覆盖了具有不同转移函数的签名产生器。例如，第二签名产生器108的转移函数可以是第一签名产生器106的反向的转移函数。在另一实施例中，签名产生器也可实施非线性转移函数。由此，例如，签名产生器的输出向量也可以是Berger编码的校验位向量。判定Berger编码校验位对本领域技术人员是公知的，且例如在Berger，J.M.的“AnoteofErrorDetectionCodesforAsymmetricChannels”，InformationandControl，Vol.4，1961，pp.68-73中进行了描述。在另一实施例中，签名产生器也可含有延迟元件，与Mmgalsi，G等人的“FaultDiagnosisinDesignswithConvolutionalCompactors”，Proc.ITC2004，paper172，pp.498-507中描述的卷积压缩器的情况相同。

在本发明的再一实施例中，压缩器200接收M分量输入信号x并压缩M个二进制输入分量的子集。例如，如果线性压缩器压缩J个二进制输入分量以产生K个输出分量，则输出信号y将包括K＋(M-J)个二进制分量，其中K＜J≤M。

图3是根据本发明实施例的双工系统300的示意图。与双工系统100的元件相同的双双工.系统300的元件具有相同参考数字。双工系统300包括数据多样化(diversification)单元(DDU)。在本发明的一个实施例中，DDU是反相器302。

操作中，反相器302反向自校验器部分104接收的延迟二进制输出信号x₂以产生信号x_2′。第二签名产生器108可以是具有压缩矩阵H的线性压缩器。之后，第二签名产生器108产生延迟的第二输出签名y₂，其中y₂＝Hx_2′。第一签名产生器106也可以是具有与第二签名产生器108相同压缩矩阵H的线性压缩器，并对自主控部分102接收的二进制输出信号x₁操作以产生第一输出签名y₁′，其中y₁′＝Hx₁。如果矩阵H每一行中的数都是奇数，与等式(2)的压缩矩阵H的情况相同，则M的A1l-1向量x₁＝1，…，1都被压缩为K的A11-1向量y₁′＝1，…，1。由于压缩器是线性的，因此两个向量x和x′的XOR-总和被压缩为压缩器相应输出向量的XOR-总和。认为反向向量/x是向量x和All-1向量的分量间XOR总和。因此，第二签名产生器的反向输入向量的压缩输出向量等于第一签名产生器的反向压缩输出向量。如果在输出数据(如通过输出签名表示的)中没有误差，则y₂＝/y₁(即反向的y₁)，且将DSC110实施为两轨校验器。

在一个实施例中，如果DSC110判定y₂＝/y₁，则误差信号将为二进制低，否则误差信号为二进制高。但是，如下文将更全面讨论的，DSC110也可产生具有基于是否y₂＝/y₁的状态的双轨误差信号。

在本发明的一个实施例中，第一签名产生器106的转移函数不等于第二签名产生器108的转移函数。由于至第二签名产生器108的输入信号x_2′是至第一签名产生器106的输入信号x₁的反向，因此假定在任一输入信号中不存在数据误差，则通过本领域技术人员公知的方法可从第一签名产生器106的转移函数导出第二签名产生器108的转移函数，从而导致y₂＝/y₁。

双工系统诸如具有反相器302的双工系统300，该反相器302与具有不同转移函数的签名产生器一起，允许签名产生器之间的信息差异的结合。有效地，信息、差异的添加减轻了可能别的方式会检测不到的一般模式误差的影响(即对于具有相同转移函数的签名产生器和两两相同的输入一般的误差)。

图4是根据本发明实施例的自测试比较器(STC)400的示意图。如图1和3中所示的DSC110可实施做为STC400。STC400可接收并比较关于彼此反向或不反向的输入。

STC400包括第一组合电路402和第二组合电路404。在所示出的示范性实施例中，第一组合电路402是中间值构建器(IVB)电路402，其具有2n个二进制输入u₁，v₁，u₂，v₂，…u_n，v_n和n个二进制输出z₁，…，z_n。该n个输出信号z₁，…，z_n被称作中间信号。在一个实施例中，由如图3中所示DSC110接收的信号y₁包括分量v₁，v₂…v_n，和由DSC110接收的信号y₂包括分量u₁，u₂…u_n。IVB电路402被设计成使得中间值被确定为：

$z_1=u_1\⊕v_1\⊕a_1{u}_1\⊕a_2{u}_2\⊕...\⊕a_n{u}_n\⊕b_1{v}_1\⊕b_2{v}_2\⊕...\⊕b_n{b}_n\⊕A_1$

$z_2=u_2\⊕v_2\⊕a_1{u}_1\⊕a_2{u}_2\⊕...\⊕a_n{u}_n\⊕b_1{v}_1\⊕b_2{v}_2\⊕...\⊕b_n{b}_n\⊕A_2$

$z_n=u_n\⊕v_n\⊕a_1{u}_1\⊕a_2{u}_2\⊕...\⊕a_n{u}_n\⊕b_1{v}_1\⊕b_2{v}_2\⊕...\⊕b_n{b}_n\⊕A_n$

其中，a₁…a_n，b₁…b_n和A₁…A_n是二进制系数，条件为：

对于i＝1，...，，n，a_i∧b_j＝0

和

其中是逻辑排他的OR操作，∧是逻辑AND操作，∨是逻辑OR操作，和是逻辑求和(OR)操作。在本发明的一个实施例中，A_i是布尔常数。通过线性等式由输入值确定示范性实施例的自测试比较器(STC)的中间值。在所示出的示范性实施例中，第二组合电路404是分配电路404。分配电路404被设计成使得由中间值确定r个输出Error₁，…Error_r，r≥1，使得如果对于所有i∈{1，...，n}都具有z_i＝A_i或者则误差输出信号的误差将指示不存在误差。但是，如果该条件不成立，则误差输出信号将指示存在误差。

例如，如果r＝2，则分配电路404可被设计成使得

由此，如果对于i＝1，…，n，z_i＝A_i，则Error₁＝0且Error₂＝1，且如果对于i＝1，…，n，Error₁＝1和Error₂＝0。但是，如果不保持这些条件中任一个，则两个误差输出信号都高(即值1)，或者两个误差输出信号都低(即值0)。

图5是根据本发明实施例于图4中所示的STC400的IVB402和分配电路404的示意图。在所示出的示范性实施例中，IVB402包括XOR-门501-506，且分配电路404包括OR-门507和NAND-门508。

在所示出的示范性实施例中，n＝4，a₁＝a₂＝a₃＝a₄＝0，b₁＝1，b₂＝b₃＝b₄＝0，r＝2且A₁＝A₂＝A₃＝A₄＝0。尽管图5借助于实例示出了具体实施方式，但是本发明的范围覆盖了输入、输出和a₁…a_n；b₁…b_n；和A₁…A_n的相应值的任意组合。

对于所示出的示范性实施例，

$a_1{u}_1\⊕a_2{u}_2\⊕...\⊕a_n{u}_n\⊕b_1{v}_1\⊕b_2{v}_2\⊕...\⊕b_n{v}_n=v_1$

和将中间值确定为

z₁＝u₁，

$z_2=u_2\⊕v_2\⊕v_1,$

$z_3=u_3\⊕v_3\⊕v_1,$

$z_4=u_4\⊕v_4\⊕v_1.$

误差信号为

Error₁＝z₁∨z₂∨z₃∨z₄

可看出，由于将所有可能值00，01，10和11应用到XOR-门的输入，因此在正常操作期间(即无误差操作)完全测试了所有XOR-门501-506。

只要没有发生误差，OR-门507和NAND-门508的输入值就是0，0，0，0或者1，1，1，1。我们假设STC400用作等同校验器。换句话说，如果没有发生误差，则对于i＝1，…，n＝4，u₁＝v₁。

而且，借助于实例，假设u₁＝v₁＝0，u₂＝v₂＝1，u₃＝v₃＝1和u₄＝v₄＝0。则XOR-门501，503和505的输出分别等于1，1和0，XOR-门502、504和506的输出全部等于0，并且OR-门507和NAND-门508的全部输入等于0。这导致两轨或者互补误差信号Error₁＝0和Error₂＝1，这暗示了没有误差。

借助于另一实例，现在我们假设u₁＝v₁＝1，u₂＝v₂＝1，u₃＝v₃＝1和u₄＝v₄＝0。则XOR-门501，503和505的输出分别等于0，0和1，XOR-门502、504和506的输出全部等于1，并且OR-门507和NAND-门508的全部输入等于1。这导致两轨或者互补误差信号Error₁＝1和Error₂＝0，这也暗示了没有误差。

为了证明LCSS400的误差检测能力，现在我们假设u₁＝v₁＝u₂＝v₂＝1，u₃＝1，u₄＝v₄＝0但是v₃＝0。则XOR-门501，503和505的输出分别等于0，0和1。XOR-门502的输出等于1，XOR-门504的输出等于0并且XOR-门506的输出等于1。对于OR-门507和NAND-门508的输入值是1，1，0，1，导致非两轨误差信号(即非互补)Error₁＝1和Error₂＝1，由此表示有误差。

根据本发明的一个实施例，STC400的输出是两轨，其中(Error₁，Error₂)＝(1，0)或者(0，1)表示没有误差，和(Error₁，Error₂)＝(1，1)或者(0，0)表示有误差。

STC400也能接收彼此二进制互补(即反向)的输入。例如，如果没有发生误差，则如通过图5的示范性实施例执行的对STC400的输入信号为对于i＝1，…，n，

和确定中间值为：

$z_1=u_1=1\⊕v_1,$

$z_2=1\⊕v_1,$

$z_2=1\⊕v_1,$

$z_2=1\⊕v_1.$

对于v₁＝0，所有的中间值z₁，…z_n＝4都等于1，和对于v₁＝1，所有的中间值z₁，…z_n＝4都等于0。由此，对于v₁＝0，Error₁＝1和Error₂＝0。对于v₁＝1，Error₁＝0和Error₂＝1。换句话说，只要不发生误差，误差信号就是两轨的或者互补的(即是(1，0)或者(0，1))。也可看出来，对于不是所有输入都同时错误的输入处任意误差来说，误差信号Error₁和Error₂都是两轨(即为(1，1)或者(0，0))，且由此可检测误差。

图6是根据本发明实施例的双工系统600的示意图。与双工系统100和300的元件相同的双工系统600的元件具有相同参考数字。双工系统600包括临时数据编码(TDE)引擎602和604，种子产生器606和608。在所示出的示范性实施例中，临时数据编码引擎602和604是多输入线性反馈移位寄存器(MISR)602和604，但是本发明的范围包括对于本领域技术人员公知的其他临时数据引擎，诸如具有根据需要的反馈的CRC多项式产生器。示范性实施例也包括可配置的MISR比较器(CMC)610、控制单元(CFG)612和误差校验器614。在本发明的一个实施例中，误差校验器614是两输入或者双轨误差校验器(DREC)614。

如下文将更全面讨论的，MISR602和604能基于信号(即输出签名)y₁和y₂的累积历史(accumulatedhistories)产生临时签名。有效地，将双工系统600设计成比较(经由CMC610)包含在通过MISR产生的临时签名中所体现的信号y₁和y₂的累积历史，以及比较(经由DSC110)(即时的)输出签名y₁和y₂。

MISR602和604可以是K位移位寄存器。在本发明的一个实施例中，MISR602和604是32位移位寄存器。在操作中，每个种子产生器606和608都以1s和0s的预定组合启动其相应MISR。对于每个时钟周期，每个MISR602和604利用基于预定反馈数位位置和前一输出值和输入数据(即相应接收的输出签名y₁和y₂)的组合逻辑计算输出值(即临时签名)的逻辑功能。如此，每个MISR602和604产生一个临时签名(即相应的签名输出y₁和y₂的累积历史)。MISR602和604将反馈形式引入到系统600中，由于存储在每个MISR602和604中的当前值部分依赖于y₁和y₂的当前值以及y₁和y₂的前一值。存储在MISR602和604中的值也表示至CMC610的伪随机输入，由于每个所存储的值也都依赖于存储在K数位位置的最初种子值。

在本发明的一个实施例中，，可通过系统硬件和/或软件易于读取以及分析存储在每个MISR602和604中的值，共同称作TDE逻辑单元(例如，MISR逻辑单元)(未示出)。在操作中，预先配置的代码(也称作测试图形)可通过主控和校验器部分102和104执行。之后自每个MISR读取获得的临时签名，并且依赖于临时签名的值与所希望的签名值比较，，(基于最初种子值和在测试图形上主控和校验器部分的操作)，该系统能确定误差是否最初源自主控部分102或者校验器部分104。例如，如果校验器部分104产生误差，则系统600会指示(例如经由输出信号)微控制器的部件或者通过ECU控制的部件在操作的次优(即降低)等级下操作。

再次参考图6，CMC610自MISR602和604接收临时签名，且基于临时签名的比较结果，产生/误差信号(例如对于单轨输出，如果没有检测到误差，则产生1，和如果检测到误差则产生0)。在本发明的一个实施例中，CMC610等同于图4中所示的STC400。应当注意到，DSC110和CMC610的输出可以是单轨、双轨或者大于双轨或者是其他编码。本领域技术人员具有以下知识：基于误差信号的状态，设计DREC614以接收单轨或者双轨误差信号，确定是否存在误差，以及如果存在的话，误差是源自DSC110中的故障、CMC610中的故障或者是系统600的冗余部件中的故障。

例如，DREC614自CMC610接收/误差信号和自DSC110接收误差信号(在相应的两条线上形成互补值)。例如，假设误差信号是单轨的，如果DREC614自CMC610接收到1和自DSC110接收到0，则系统600由功能输入产生无误差的功能输出，且在一个实施例中，DREC614之后产生0。在一个实施例中，DREC614输出进一步与最初DSC110输出组合以形成其他误差，在相应线上与互补值一起发出信号，无论何时往ISM116的输入是非互补的(即非1，0或者0，1)，ISM116就产生具有值1的内部误差报告和/或外部误差报告，但是，否则的话，在无误差条件下产生具有值0的内部误差报告和/或外部误差报告。

在本发明的一个实施例中，CFG612包括控制电路和/或软件，其控制CMC610的一个或多个功能。例如，CGF612可被设计成基于用户命令或者内部系统信号(未示出)使得CMC610激活或者失效。尽管本发明图6的实施例描述了对于各种误差信号给定高和低值的特定响应，但是本发明的范围覆盖了基于误差信号值的不同组合检测数据误差的其他实施例。

虽然已经参考某些实施例描述了本发明，但是本领域技术人员应当理解，可作出各种变化且可替换等价物，而不会脱离本发明的范围。此外，可对本发明的教导作出很多修改以适应特定环境或材料而不脱离其范围。因此，意指本发明不限于所公开的特定实施例，而是本发明将包括落入所附权利要求范围内的全部实施例。

Claims (38)

1.一种冗余系统，包括：

主控部分，其被配置成接收输入信号并产生二进制输出信号；

第一时钟延迟，其被配置成接收输入信号并产生延迟的输入信号；

第一签名产生器，其耦合到主控部分并被配置成接收二进制输出信号并产生第一输出签名；

第二时钟延迟，其耦合到第一签名产生器并被配置成接收第一输出签名并产生延迟的第一输出签名；

校验器部分，其耦合到第一时钟延迟且被配置成接收延迟的输入信号并产生延迟的二进制输出信号；

第二签名产生器，其耦合到校验器部分并被配置成接收延迟的二进制输出信号并产生延迟的第二输出签名；和

比较器，其耦合到第二时钟延迟和第二签名产生器，该比较器被配置成接收延迟的第一输出签名和延迟的第二输出签名并产生误差信号，误差信号的状态基于延迟的第一输出签名与延迟的第二输出签名的所述比较。

2.如权利要求1所述的冗余系统，其中第一时钟延迟将所述输入信号延迟了n个时钟周期且第二时钟延迟将第一输出签名延迟了所述n个时钟周期。

3.如权利要求1所述的冗余系统，其中主控部分包括第一电路且校验器部分包括对第一电路冗余的第二电路。

4.如权利要求1所述的冗余系统，其中二进制输出信号包括M个二进制分量，和其中第一签名产生器是第一压缩器，第一压缩器被配置成将M个二进制分量压缩以产生包括K个二进制分量的第一输出签名，其中K<M。

5.如权利要求1所述的冗余系统，其中二进制输出信号包括M个二进制分量，和其中第一签名产生器是第一压缩器，该第一压缩器被配置成压缩M个二进制分量的子集J以产生包括K+(M-J)个二进制分量的第一输出签名，其中K个二进制分量由M个二进制分量的压缩子集J产生，且其中K<J≤M。

6.如权利要求4所述的冗余系统，其中第一压缩器包括压缩矩阵H，其中y′=Hx₁，其中向量y′是第一输出签名和向量x₁是主控部分的二进制输出信号。

7.如权利要求6所述的冗余系统，其中压缩矩阵H具有以下特性：如果向量x₁是M个All-1向量，则产生K个All-1向量的向量y′。

8.如权利要求6所述的冗余系统，其中压缩矩阵H的每一行中数量是奇数并且压缩矩阵H的列是成对不同的。

9.如权利要求6所述的冗余系统，其中第二签名产生器是第二压缩器，第二压缩器被配置成将延迟的二进制输出信号的M个二进制分量压缩以产生包括K个二进制分量的延迟的第二输出签名，其中K<M，和其中第二压缩器包括压缩矩阵H。

10.如权利要求6所述的冗余系统，还包括耦合在校验器部分和第二签名产生器之间的反相器，该反相器被配置成反向延迟的二进制输出信号以产生反向的延迟二进制输出信号，其中第二签名产生器是第二压缩器，第二压缩器被配置成压缩反向的延迟二进制输出信号的M个二进制分量，以产生包括K个二进制分量的反向的延迟第二输出签名，其中K<M，和其中第二压缩器包括压缩矩阵B，该压缩矩阵B被配置成产生反向的延迟第二输出签名，其是延迟的第一输出签名的反相。

11.如权利要求6所述的冗余系统，其中比较器是自测试比较器STC。

12.如权利要求11所述的冗余系统，其中自测试比较器STC包括耦合到分配电路的中间值构建器IVB电路，该中间值构建器IVB电路包括多个XOR-门且分配电路包括至少一个OR-门和至少一个NAND-门，该中间值构建器IVB被配置成接收共同包括2n个二进制输入的延迟的第一输出签名和延迟的第二输出签名，并产生n个中间二进制输出z₁，…，z_n，以及分配电路被配置成接收n个中间二进制输出z₁，…，z_n并产生r个误差信号Error₁，…Error_r，其中r≥1。

13.如权利要求12所述的冗余系统，其中

u₁…u_n，v₁…v_n是2n个二进制输入，其中对于i=1，…，n，a_i和b_i是二进制值，和其中

;

其中对于i=1，…，n，A_i是布尔常数。

14.如权利要求13所述的冗余系统，其中对于r=2，

，

。

15.如权利要求12所述的冗余系统，其中延迟的第一输出签名和延迟的第二输出签名是彼此的二进制补码。

16.如权利要求1所述的冗余系统，还包括：

第一临时数据编码器TDE，其耦合到第二时钟延迟和第一签名产生器；

耦合到第一临时数据编码器TDE的可配置的多输入线性反馈移位寄存器MISR比较器CMC；

耦合到可配置的多输入线性反馈移位寄存器比较器CMC和第二签名产生器的第二临时数据编码器TDE；和

误差校验器，其耦合到可配置的多输入线性反馈移位寄存器比较器CMC和比较器。

17.如权利要求16所述的冗余系统，其中误差校验器是双轨误差校验器DREC。

18.如权利要求16所述的冗余系统，其中第一临时数据编码器TDE被配置成基于延迟的第一输出签名的累积历史产生第一临时签名，第二临时数据编码器TDE被配置成基于延迟的第二输出签名的累积历史产生第二临时签名，该可配置的多输入线性反馈移位寄存器比较器CMC被配置成基于第一和第二临时签名的所述比较而产生第二误差信号，和误差校验器被配置成比较第二误差信号和所述误差信号以产生第三误差信号。

19.如权利要求18所述的冗余系统，还包括临时数据编码器TDE逻辑单元，其被配置成，如果第一、第二或第三误差信号中的任一个指示误差，则分析第一临时签名和第二临时签名以确定误差源自主控部分还是校验器部分，其中第一临时签名和第二临时签名从作为预定测试信号的输入信号中产生。

20.如权利要求1所述的冗余系统，其中至少部分地在组合电路中实现校验器部分和第二签名产生器。

21.一种冗余系统，包括：

主控部分，其被配置成接收输入信号并产生第一二进制输出信号；

校验器部分，其被配置成接收输入信号并产生第二二进制输出信号；

第一签名产生器，其耦合到主控部分并被配置成接收第一二进制输出信号并产生第一输出签名；

第二签名产生器，其耦合到校验器部分并被配置成接收第二二进制输出信号并产生第二输出签名；和

比较器，其耦合到第一签名产生器和第二签名产生器，该比较器被配置成接收第一输出签名和第二输出签名并产生误差信号，误差信号的状态基于第一输出签名与第二输出签名的所述比较。

22.一种用于基于签名的冗余比较的方法，包括：

通过主控部分接收输入信号并通过主控部分产生二进制输出信号；

基于输入信号产生延迟的输入信号；

基于二进制输出信号产生第一输出签名；

基于第一输出签名产生延迟的第一输出签名；

基于延迟的输入信号产生延迟的二进制输出信号；

基于延迟的二进制输出信号，通过校验器部分产生延迟的第二输出签名；

通过比较器比较延迟的第一输出签名和延迟的第二输出签名；和

产生误差信号，误差信号的状态基于所述比较。

23.如权利要求22所述的方法，其中输入信号被延迟了n个时钟周期，和第一输出签名延迟了所述n个时钟周期。

24.如权利要求22所述的方法，其中主控部分包括第一电路且校验器部分包括对第一电路冗余的第二电路。

25.如权利要求22所述的方法，其中二进制输出信号包括M个二进制分量且第一输出签名包括从M个二进制分量压缩的K个二进制分量，其中K<M。

26.如权利要求25所述的方法，其中压缩矩阵H具有K行和M列，其中y′=Hx₁，其中向量y′是第一输出签名和向量x₁是二进制输出信号。

27.如权利要求26所述的方法，其中压缩矩阵H具有以下特性：如果向量x₁包括M个二进制数，则产生包括K个二进制数的向量y′。

28.如权利要求26所述的方法，其中在压缩矩阵H的每一行中的数量是奇数，且压缩矩阵H的列是成对不同的。

29.如权利要求26所述的方法，其中延迟的二进制输出信号包括M个二进制分量而延迟的第二输出签名包括利用压缩矩阵H从M个二进制分量中压缩的K个二进制分量。

30.如权利要求26所述的方法，还包括反向延迟的二进制输出信号以产生反向的延迟二进制输出信号，其中反向的延迟二进制输出信号包括M个二进制分量和反向的延迟第二输出签名，该反向的延迟第二输出签名包括利用压缩矩阵B从M个二进制分量中压缩的K个二进制分量，该压缩矩阵B被配置成产生反向的延迟第二输出签名，以成为延迟的第一输出签名的反向。

31.如权利要求22所述的方法，其中比较器是自测试比较器STC，该自测试比较器STC包括中间值构建器IVB电路和分配电路，该中间值构建器IVB电路包括多个XOR-门且分配电路包括至少一个OR-门和至少一个NAND-门，该中间值构建器IVB被配置成接收共同包括2n个二进制输入的延迟的第一输出签名和延迟的第二输出签名，并产生n个中间二进制输出z₁，…，z_n，以及分配电路被配置成接收n个中间二进制输出z₁，…，z_n并产生r个误差信号Error₁，…Error_r，其中r≥1。

32.如权利要求31所述的方法，其中

u₁…u_n，v₁…v_n是2n个二进制输入，其中对于i=1，…，n，a_i和b_i和A_i是二进制值，和其中

。

33.如权利要求32所述的方法，其中对于r=2，，。

34.如权利要求31所述的方法，其中延迟的第一输出签名和延迟的第二输出签名是彼此的二进制补码。

35.如权利要求22所述的方法，还包括：

基于延迟的第一输出签名的累积历史产生第一临时签名；

基于延迟的第二输出签名的累积历史产生第二临时签名；

基于第一和第二临时签名的所述比较产生第二误差信号；和

比较第二误差信号和误差信号以产生第三误差信号。

36.如权利要求35所述的方法，还包括：如果第一、第二或第三误差信号中的任一个指示误差，则分析第一临时签名和第二临时签名以确定误差源自主控部分还是校验器部分，其中第一临时签名和第二临时签名从作为预定测试信号的输入信号中产生。

37.一种用于基于签名的冗余比较的方法，包括：

通过主控部分接收输入信号并通过主控部分产生第一二进制输出信号；

通过校验器部分接收输入信号并通过校验器部分产生第二二进制输出信号；

基于第一二进制输出信号产生第一输出签名；

基于第二二进制输出信号产生第二输出签名；

比较第一输出签名和第二输出签名；和

产生误差信号，误差信号的状态基于第一输出签名和第二输出签名的所述比较。

38.一种用于基于签名的冗余比较的系统，包括：

用于通过主控部分接收输入信号的装置和用于通过主控部分产生二进制输出信号的装置；

用于基于输入信号产生延迟的输入信号的装置；

用于基于二进制输出信号产生第一输出签名的装置；

用于基于第一输出签名产生延迟的第一输出签名的装置；

用于基于延迟的输入信号产生延迟的二进制输出信号的装置；

用于基于延迟的二进制输出信号通过校验器部分产生延迟的第二输出签名的装置；

用于比较延迟的第一输出签名和延迟的第二输出签名的装置；和

用于产生误差信号的装置，误差信号的状态基于所述比较。