CN117687395B - 微控制器功能模块安全机制的自检电路及自检方法 - Google Patents

Abstract

本发明提供一种微控制器功能模块安全机制的自检电路及自检方法，所述微控制器功能模块安全机制的自检电路包括相并联的功能模块、冗余模块、错误注入模块以及与所述功能模块、所述冗余模块、所述错误注入模块均分别相连的检测模块；所述错误注入模块仅包括第一错误注入触发器、第二错误注入触发器，所述第一错误注入触发器输出第一错误注入信号，所述第二错误注入触发器输出第二错误注入信号；所述第一错误注入信号为第一状态或第二状态、所述第二错误注入信号为第二状态，和/或所述第一错误注入信号为第二状态、所述第二错误注入信号为第一状态，所述自检电路进行自检。本发明自检电路及自检方法，占据芯片的面积很小，自检时间很也短。

Description

微控制器功能模块安全机制的自检电路及自检方法

技术领域

本发明涉及集成电路技术领域，具体涉及一种微控制器功能模块安全机制的自检电路及自检方法。

背景技术

目前的车规MCU（微控制器）的功能安全设计中，需要对关键的功能模块等进行有效的安全机制保护，例如对于关键的数字逻辑单元通过冗余设计一套一样功能的数字逻辑单元（可简称冗余单元），然后实时比较数字逻辑单元和冗余单元的输出来进行正常工作与否的检测，如果两者的输出相同，则表示此时工作正常，如果两者的输出不相同，则表示此时工作不正常。而对于安全机制在MCU运行过程中是否持续有效，技术人员则通过加入错误注入模块构成自检电路进行自检。但现有的自检电路中，错误注入模块占据芯片的面积很大，因为错误注入模块是由多个触发器并联而成，数字逻辑单元有多少个输出信号，则错误注入模块就包括多少个触发器，例如数字逻辑单元有1000个输出信号，则错误注入模块就包括1000个触发器，其占据芯片的面积可想而知的大。而且完成一次自检，花费的时间也很长，例如数字逻辑单元有1000个输出信号，则需要1000个时钟周期才能会完成一次全部的自检。

发明内容

本发明的目的在于提供一种微控制器功能模块安全机制的自检电路及自检方法，占据芯片的面积很小，自检时间很也短。

为达上述目的，本发明提供如下技术方案：

本发明提供一种微控制器功能模块安全机制的自检电路，所述微控制器功能模块安全机制的自检电路包括相并联的功能模块、冗余模块、错误注入模块以及与所述功能模块、所述冗余模块、所述错误注入模块均分别相连的检测模块；所述功能模块输出功能信号组，所述冗余模块与所述功能模块完全相同，输出冗余信号组，所述错误注入模块输出错误注入信号组，所述检测模块接收所述功能信号组、所述冗余信号组、所述错误注入信号组，进行处理运算，根据信号的相同与否判断安全机制是否正常；所述错误注入模块仅包括第一错误注入触发器、第二错误注入触发器，所述第一错误注入触发器输出第一错误注入信号，所述第二错误注入触发器输出第二错误注入信号，所述错误注入信号组仅包括所述第一错误注入信号、所述第二错误注入信号，所述第一错误注入信号、所述第二错误注入信号均具有第一状态、第二状态；所述第一错误注入信号为第一状态或第二状态、所述第二错误注入信号为第二状态，所述自检电路进行一次自检；所述第一错误注入信号为第二状态、所述第二错误注入信号为第一状态，所述自检电路进行另一次自检；

所述检测模块包括相连的错误注入信号混合处理子模块和信号判断子模块，所述错误注入信号混合处理子模块包括多个相并联的混合处理异或门电路和一个或门电路，所述第一错误注入触发器的输出端、所述第二错误注入触发器的输出端分别连接所述或门电路的两个输入端，所述或门电路的输出端与一个所述混合处理异或门电路的一个输入端相连，所述第二错误注入触发器的输出端与其他混合处理异或门电路的一个输入端均直接相连，各所述混合处理异或门电路的另一个输入端均与所述冗余模块相连，分别接收冗余信号组中的一个冗余信号，各所述混合处理异或门电路的输出端分别输出一个错误注入混合处理信号，共同组成错误注入混合处理信号组；

所述信号判断子模块包括多个相并联的信号判断异或门电路和与各所述信号判断异或门电路的输出端均相连的按位或检测电路，各所述信号判断异或门电路的一个输入端分别与一个所述混合处理异或门电路的输出端耦接，接收所述错误注入混合处理信号组中的一个错误注入混合处理信号，各所述信号判断异或门电路的另一个输入端均与所述功能模块相连，分别接收所述功能信号组中的一个功能信号，各所述信号判断异或门电路的输出端分别输出一个判断结果信号，共同组成判断结果信号组，发送给所述按位或检测电路，所述按位或检测电路对所述判断结果信号组中的各判断结果信号进行按位或运算，输出按位或检测结果；

所述信号判断子模块还包括按位与检测电路和第一选择器，所述按位与检测电路与所述按位或检测电路并联，所述按位与检测电路的输入端也与各所述信号判断异或门电路的输出端均相连，根据所述判断结果信号组中的各判断结果信号进行按位与运算，输出按位与检测结果，所述按位与检测电路的输出端、所述按位或检测电路的输出端分别与所述第一选择器的一个输入端相连，所述第一选择器的选择端与所述第二错误注入触发器的输出端耦接，根据所述第二错误注入信号的不同状态选择将所述按位与检测电路输出的按位与检测结果或所述按位或检测电路输出的按位或检测结果作为检测结果进行输出。

在一实施方式中，所述信号判断子模块还包括结果输出触发器，所述结果输出触发器的输入端与所述第一选择器的输出端相连，接收所述第一选择器输出的检测结果，产生最终的自检结果进行锁存并从所述结果输出触发器的输出端输出。

在一实施方式中，所述信号判断子模块还包括与门电路，所述与门电路的输出端与所述第一选择器的选择端相连，所述与门电路的一个输入端与所述第二错误注入触发器的输出端相连，所述与门电路的另一个输入端接收错误注入使能信号。

在一实施方式中，所述信号判断子模块还包括第二选择器，所述第二选择器的选择端接收所述错误注入使能信号，所述第二选择器的一个输入端与所述冗余模块相连，接收所述冗余信号组，所述第二选择器的另一个输入端与所有所述混合处理异或门电路的输出端相连，接收所述错误注入混合处理信号组，所述第二选择器的输出端连接各所述信号判断异或门电路的输入端。

在一实施方式中，所述功能模块为微控制器中的数字逻辑单元。

本发明还提供一种微控制器功能模块安全机制的自检方法，所述自检方法包括：采用如前所述的微控制器功能模块安全机制的自检电路，通过配置让第一错误注入触发器、第二错误注入触发器工作，输出第一错误注入信号、第二错误注入信号；第一错误注入信号为第一状态或第二状态、第二错误注入信号为第二状态时，检测模块进行检测输出一次自检结果；第一错误注入信号为第二状态、第二错误注入信号为第一状态时，检测模块进行检测输出另一次自检结果。

与现有技术相比，本发明的技术方案具有以下有益效果：

本发明所述微控制器功能模块安全机制的自检电路及自检方法，错误注入模块只有第一错误注入触发器、第二错误注入触发器两个触发器，很明显占据芯片的面积很小。进行自检，只需要第一错误注入触发器发出第一错误注入信号为第一状态或第二状态、第二错误注入触发器发出第二错误注入信号为第二状态，进行一次自检；第一错误注入触发器发出第一错误注入信号为第二状态、第二错误注入触发器发出第二错误注入信号为第一状态，进行一次自检，如此两个时钟周期即可完成自检，自检所花费的时间也很短。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明第一实施方式提供的一种微控制器功能模块安全机制的自检电路的功能结构框图；

图2为本发明第一实施方式提供的一种微控制器功能模块安全机制的自检电路中错误注入模块和检测模块的错误注入信号混合处理子模块的电路结构示意图；

图3为本发明第一实施方式提供的一种微控制器功能模块安全机制的自检电路中检测模块的信号判断子模块的电路结构示意图。

具体实施方式

下面将对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。需要说明的是，以下实施例的描述顺序不作为对本发明实施例优选顺序的限定。且在以下实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其它实施例的相关描述。

请结合参阅图1和图2所示，本发明第一实施方式提供一种微控制器功能模块安全机制的自检电路，包括相并联的功能模块10、冗余模块20、错误注入模块30以及与所述功能模块10、所述冗余模块20、所述错误注入模块30均分别相连的检测模块40；所述功能模块10输出功能信号组Func_Sig[W-1:0]，所述冗余模块20与所述功能模块10完全相同，输出冗余信号组Mon_Sig[W-1:0]，所述错误注入模块30输出错误注入信号组Inj_Sig[2:1]，所述检测模块40接收所述功能信号组Func_Sig[W-1:0]、所述冗余信号组Mon_Sig[W-1:0]、所述错误注入信号组Inj_Sig[2:1]，进行处理运算，根据信号的相同与否判断安全机制是否正常；所述错误注入模块30仅包括第一错误注入触发器DEF1、第二错误注入触发器DEF2，所述第一错误注入触发器DEF1输出第一错误注入信号Inj_Sig[1]，所述第二错误注入触发器DEF2输出第二错误注入信号Inj_Sig[2]，所述错误注入信号组Inj_Sig[2:1]仅包括所述第一错误注入信号Inj_Sig[1]、所述第二错误注入信号Inj_Sig[2]，所述第一错误注入信号Inj_Sig[1]、所述第二错误注入信号Inj_Sig[2]均具有第一状态、第二状态；所述第一错误注入信号Inj_Sig[1]为第一状态或第二状态、所述第二错误注入信号Inj_Sig[2]为第二状态，和/或所述第一错误注入信号Inj_Sig[1]为第二状态、所述第二错误注入信号Inj_Sig[2]为第一状态，所述自检电路进行自检。

前述W为所述功能模块10输出的信号数量，在一实施方式中，所述功能模块10为微控制器中的数字逻辑单元。相应的，所述数字逻辑单元（功能模块10）输出的（功能）信号组Func_Sig[W-1:0]包括W个功能信号Func_Sig[0]、Func_Sig[1]、……、Func_Sig[W-2]、Func_Sig[W-1]等；冗余模块20输出的冗余信号组Mon_Sig[W-1:0]包括W个冗余信号Mon_Sig[0]、Mon_Sig[1]、……、Mon_Sig[W-2] 、Mon_Sig[W-1]等；而且理想上，所述冗余信号组Mon_Sig[W-1:0]与所述功能信号组Func_Sig[W-1:0]完全相同，即其中各信号一一对应相同。而所述错误注入信号组Inj_Sig[2:1]只有两个错误注入信号，为所述第一错误注入信号Inj_Sig[1]和所述第二错误注入信号Inj_Sig[2]，分别由所述第一错误注入触发器DEF1和所述第二错误注入触发器DEF2输出。

本发明错误注入模块30只有第一错误注入触发器DEF1、第二错误注入触发器DEF2两个触发器，很明显占据芯片的面积很小。进行自检，只需要第一错误注入触发器DEF1发出第一错误注入信号Inj_Sig[1]为第一状态或第二状态、第二错误注入触发器DEF2发出第二错误注入信号Inj_Sig[2]为第二状态，进行一次自检；第一错误注入触发器DEF1发出第一错误注入信号Inj_Sig[1]为第二状态、第二错误注入触发器DEF2发出第二错误注入信号Inj_Sig[2]为第一状态，进行一次自检，如此两个时钟周期即可完成自检，自检所花费的时间也很短。下面将进一步详细描述本发明的自检电路和自检方法，为了方便理解和简化描述，本发明将以第一错误注入信号Inj_Sig[1]、第二错误注入信号Inj_Sig[2]的第一状态为0（为低），第一错误注入信号Inj_Sig[1]、第二错误注入信号Inj_Sig[2]的第二状态为1（为高）为例；本领域技术人员容易理解，也可以第一错误注入信号Inj_Sig[1]、第二错误注入信号Inj_Sig[2]的第一状态为1，第一错误注入信号Inj_Sig[1]、第二错误注入信号Inj_Sig[2]的第二状态为0，当然相应的电路也要做一些适应调整，此都应当包含在本发明的保护范围之中。

请继续参阅图2所示，在一实施方式中，所述检测模块40包括相连（此相连包括直接相连和间接相连）的错误注入信号混合处理子模块41和信号判断子模块42（图3所示），所述错误注入信号混合处理子模块41包括多个相并联的混合处理异或门电路XOR1和一个或门电路ORG，所述第一错误注入触发器DEF1的输出端、所述第二错误注入触发器DEF2的输出端分别连接所述或门电路ORG的两个输入端，所述或门电路ORG的输出端与一个所述混合处理异或门电路XOR1的一个输入端相连，所述第二错误注入触发器DEF2的输出端与其他混合处理异或门电路XOR1的一个输入端均直接相连，各所述混合处理异或门电路XOR1的另一个输入端均与所述冗余模块20相连，分别接收冗余信号组Mon_Sig[W-1:0]中一个冗余信号，各所述混合处理异或门电路XOR1的输出端分别输出一个错误注入混合处理信号，共同组成错误注入混合处理信号组MonInj_Sig[W-1:0]。

同样的，所述错误注入混合处理信号组MonInj_Sig[W-1:0]包括W个错误注入混合处理信号MonInj_Sig[0]、MonInj_Sig[1]、……、MonInj_Sig[W-2]、MonInj_Sig[W-1]。如前所述，以第一错误注入信号Inj_Sig[1]、第二错误注入信号Inj_Sig[2]的第一状态为0，第一错误注入信号Inj_Sig[1]、第二错误注入信号Inj_Sig[2]的第二状态为1为例。当第一错误注入信号Inj_Sig[1]、第二错误注入信号Inj_Sig[2]为0，则表示此错误注入信号不注入错误；第一错误注入信号Inj_Sig[1]、第二错误注入信号Inj_Sig[2]为1，则表示此错误注入信号注入错误。当第一错误注入信号Inj_Sig[1]为1、第二错误注入信号Inj_Sig[2]为0，所述或门电路ORG的输出为1，该输出与冗余信号组Mon_Sig[W-1:0]中的一个冗余信号Mon_Sig[0]进入一个混合处理异或门电路XOR1进行异或运算，该混合处理异或门电路XOR1输出的错误注入混合处理信号MonInj_Sig[0]是与输入的冗余信号Mon_Sig[0]相反，而其他混合处理异或门电路XOR1因为输入的第二错误注入信号Inj_Sig[2]为0，则该其他混合处理异或门电路XOR1输出的错误注入混合处理信号MonInj_Sig[1]、……、MonInj_Sig[W-2]、MonInj_Sig[W-1]与输入的冗余信号Mon_Sig[1]、……、Mon_Sig[W-2]、Mon_Sig[W-1]相同，即此时错误注入信号混合处理子模块41输出的错误注入混合处理信号组MonInj_Sig[W-1:0]中有一个错误注入混合处理信号MonInj_Sig[0]与冗余信号组Mon_Sig[W-1:0]中一个冗余信号Mon_Sig[0]相反，其他信号相同，此时也称为对一个信号进行错误注入。当第一错误注入信号Inj_Sig[1]为0、第二错误注入信号Inj_Sig[2]为1，所述或门电路ORG的输出为1（第一错误注入信号Inj_Sig[1]为1、第二错误注入信号Inj_Sig[2]为1，或门电路ORG的输出也为1），该输出与冗余信号组Mon_Sig[W-1:0]中的一个冗余信号Mon_Sig[0]进入一个混合处理异或门电路XOR1进行异或运算，该混合处理异或门电路XOR1输出的错误注入混合处理信号MonInj_Sig[0]是与输入的冗余信号Mon_Sig[0]相反，而其他混合处理异或门电路XOR1因为输入的第二错误注入信号Inj_Sig[2]为1，则该其他混合处理异或门电路XOR1输出的错误注入混合处理信号MonInj_Sig[1]、……、MonInj_Sig[W-2]、MonInj_Sig[W-1]与输入的冗余信号Mon_Sig[1]、……、Mon_Sig[W-2]、Mon_Sig[W-1]也相反，即此时错误注入信号混合处理子模块41输出的错误注入混合处理信号组MonInj_Sig[W-1:0]中所有错误注入混合处理信号与冗余信号组Mon_Sig[W-1:0]中所有冗余信号均相反，此时也称为对所有信号进行错误注入。对信号进行错误注入后，就可以进行信号判断，以确定电路中各模块是否正常。理想上，在对信号进行错误注入后，如果电路能将该错误判断出，则说明电路处于正常工作状态。具体请参阅下文描述。

请结合参阅图2和图3所示，所述信号判断子模块42包括多个相并联的信号判断异或门电路XOR2和与各所述信号判断异或门电路XOR2的输出端均相连的按位或检测电路ChkOrCct，各所述信号判断异或门电路XOR2的一个输入端分别与一个所述混合处理异或门电路XOR1的输出端耦接，接收所述错误注入混合处理信号组MonInj_Sig[W-1:0]中的一个错误注入混合处理信号，各所述信号判断异或门电路XOR2的另一个输入端均与所述功能模块10相连，分别接收所述功能信号组Func_Sig[W-1:0]中一个功能信号，各所述信号判断异或门电路XOR2的输出端分别输出一个判断结果信号，共同组成判断结果信号组XOR_Sig[W-1:0]，发送给所述按位或检测电路ChkOrCct，所述按位或检测电路ChkOrCct对所述判断结果信号组XOR_Sig[W-1:0]中的各判断结果信号进行按位或运算，输出按位或检测结果ChkOrOut。

首先说明，图3中，各信号判断异或门电路XOR2输入的一个信号为MonInt_Sig[0]、MonInt_Sig[1]、……、MonInt_Sig[W-2]、MonInt_Sig[W-1]，共有W个，本发明将此信号命名为比较信号，共同组成比较信号组MonInt_Sig[W-1:0]。而比较信号组MonInt_Sig[W-1:0]由一个选择器（后文命名为第二选择器S2）输出，而错误注入混合处理信号组MonInj_Sig[W-1:0]是为这个选择器的一个输入，本段落中暂先直接以比较信号组MonInt_Sig[W-1:0]作为错误注入混合处理信号组MonInj_Sig[W-1:0]进行理解，后文再对二者的关系以及第二选择器S2的功能用途进行说明。各信号判断异或门电路XOR2输入的是功能信号组Func_Sig[W-1:0]中的一个功能信号与比较信号组MonInt_Sig[W-1:0]中的一个比较信号，即功能信号组Func_Sig[W-1:0]中的一个功能信号与错误注入混合处理信号组MonInj_Sig[W-1:0]中的一个错误注入混合处理信号。结合前文所述，当第一错误注入信号Inj_Sig[1]为1、第二错误注入信号Inj_Sig[2]为0，错误注入混合处理信号组MonInj_Sig[W-1:0]中有一个错误注入混合处理信号MonInj_Sig[0]与冗余信号组Mon_Sig[W-1:0]中一个冗余信号Mon_Sig[0]相反、其他信号相同，而理论上冗余信号组Mon_Sig[W-1:0]与功能信号组Func_Sig[W-1:0]完全相同；所以，各信号判断异或门电路XOR2输出的判断结果信号组XOR_Sig[W-1:0]中应该有一个判断结果信号XOR_Sig[0]是1，其他判断结果信号XOR_Sig[1]、……、XOR_Sig[W-2]、XOR_Sig[W-1]均为0，按位或检测电路ChkOrCct对所有的判断结果信号进行按位或运算，理论上运算结果应为1。所以，此时如果按位或检测电路ChkOrCct输出的按位或检测结果ChkOrOut为1，则说明各电路此时工作正常，否则则表示此时工作异常。当然此时按位或检测电路ChkOrCct输出的按位或检测结果ChkOrOut为1也有可能是其他电路出现异常而使得其他信号有变化进而使得相应连接的信号判断异或门电路XOR2输出为1，所以此检测不完全准确。所以本发明还提供，将第一错误注入信号Inj_Sig[1]为0、第二错误注入信号Inj_Sig[1]为1（也可以是第一错误注入信号Inj_Sig[1]为1、第二错误注入信号Inj_Sig[1]为1），进行自检。此时，错误注入混合处理信号组MonInj_Sig[W-1:0]中所有错误注入混合处理信号与冗余信号组Mon_Sig[W-1:0]中所有冗余信号均相反，而理论上冗余信号组Mon_Sig[W-1:0]与功能信号组Func_Sig[W-1:0]完全相同，所以，各信号判断异或门电路XOR2输出的判断结果信号组XOR_Sig[W-1:0]中所有判断结果信号均应该为1，此时按位或检测电路ChkOrCct很容易输出1，因为只要判断结果信号组XOR_Sig[W-1:0]中只要有一个判断结果信号是1即可，而理论上此时判断结果信号组XOR_Sig[W-1:0]中有所有判断结果信号均应该为1，所以此时采用按位或检测电路ChkOrCct也并不完善，所以本发明还提供按位与检测电路ChkAndCct，请参阅下段内容。

在一实施方式中，所述信号判断子模块42还包括按位与检测电路ChkAndCct和第一选择器S1，所述按位与检测电路ChkAndCct与所述按位或检测电路ChkOrCct并联，所述按位与检测电路ChkAndCct的输入端也与各所述信号判断异或门电路XOR2的输出端均相连，根据所述判断结果信号组XOR_Sig[W-1:0]中的各判断结果信号进行按位与运算，输出按位与检测结果ChkAndOut，所述按位与检测电路ChkAndCct的输出端、所述按位或检测电路ChkOrCct的输出端分别与所述第一选择器S1的一个输入端相连，所述第一选择器S1的选择端与所述第二错误注入触发器DEF2的输出端耦接，根据所述第二错误注入信号Ing_Sig[2]的不同状态选择将所述按位与检测电路ChkAndCct输出的按位与检测结果ChkAndOut或所述按位或检测电路ChkOrCct输出的按位或检测结果ChkOrOut作为检测结果ChkOut进行输出。

预先说明，图3中，第一选择器S1的选择端连接的是结果输出选择信号Inj_active，而结果输出选择信号Inj_active是为一个与门电路ANDG的输出，第二错误注入信号Ing_Sig[2]是为这个与门电路ANDG的一个输入，本段落中，暂先直接以结果输出选择信号Inj_active作为第二错误注入信号Ing_Sig[2]进行理解，后文再具体描述二者的关系以及与门电路ANDG的功能用途。所述按位与检测电路ChkAndCc与所述按位或检测电路ChkOrCc并联，二者的输入端与各所述信号判断异或门电路XOR2的输出端均相连，即二者都在同时对信号判断异或门电路XOR2输出的判断结果信号组XOR_Sig[W-1:0]进行检测，但二者的输出却由第一选择器S1进行控制选择输出；当第二错误注入信号Ing_Sig[2]为第一状态（0，低）时，第一选择器S1选择将按位或检测电路ChkOrCct输出的按位或检测结果ChkOrOut作为检测结果ChkOut输出，当第二错误注入信号Ing_Sig[2]为第二状态（1，高）时，第一选择器S1选择将按位与检测电路ChkAndCct输出的按位与检测结果ChkAndOut作为检测结果ChkOut输出。即第二错误注入信号Ing_Sig[2]为第一状态（此时第一错误注入信号Ing_Sig[1]为第二状态）时，错误注入信号混合处理子模块41对一个信号进行错误注入，按位或检测电路ChkOrCct进行检测输出；第二错误注入信号Ing_Sig[2]为第二状态（此时第一错误注入信号Ing_Sig[1]为第一状态或第二状态）时，错误注入信号混合处理子模块41对所有信号进行错误注入，按位与检测电路ChkAndCct进行检测输出，既能简单快速的检测出电路中有无异常，又能全面检测电路中所有信号相关电路是否正常。两次检测可以分开单独进行，也可以合并共同作为一次完整自检的两个步骤进行。尤其是两次检测分步骤共同进行，第一步骤，第二错误注入信号Ing_Sig[2]为第二状态（此时第一错误注入信号Ing_Sig[1]为第一状态或第二状态）时，错误注入信号混合处理子模块41对所有信号进行错误注入，按位与检测电路ChkAndCct进行检测输出，此时可以检测功能模块10、冗余模块20、错误注入模块30、检测模块40的错误注入信号混合处理子模块41、信号判断异或门电路XOR2、按位与检测电路ChkAndCct是否工作正常；第二步骤，第二错误注入信号Ing_Sig[2]为第一状态（此时第一错误注入信号Ing_Sig[1]为第二状态）时，错误注入信号混合处理子模块41对一个信号进行错误注入，按位或检测电路ChkOrCct进行检测输出，与第一步骤的检测结果相结合，可以检测按位或检测电路ChkOrCct是否工作正常，因为按位或检测电路ChkOrCct其实也是安全机制的一部分，本发明自检电路对此按位或检测电路ChkOrCct进行了兼容兼用，具体容后详述。

在一实施方式中，所述信号判断子模块42还包括结果输出触发器DEFO，所述结果输出触发器DEFO的输入端与所述第一选择器S1的输出端相连，接收所述第一选择器S1输出的检测结果ChkOut，产生最终的自检结果Mon_Err进行锁存并从所述结果输出触发器DEFO的输出端输出。

在一实施方式中，所述信号判断子模块42还包括与门电路ANDG，所述与门电路ANDG的输出端与所述第一选择器S1的选择端相连，所述与门电路ANDG的一个输入端与所述第二错误注入触发器DEF2的输出端相连，所述与门电路ANDG的另一个输入端接收错误注入使能信号Inj_enable。

如先前所提及，本发明自检电路对安全机制进行了兼容兼用，而安全机制除了包括冗余模块20，还包括对功能模块10输出的功能信号组Func_Sig[W-1:0]与冗余模块20输出的冗余信号组Mon_Sig[W-1:0]进行判断检测的信号判断异或门电路XOR2以及按与或检测电路ChkOrCct。而自检（模式）与非自检模式（安全机制）的区分，则通过错误注入使能信号Inj_enable进行区分选择。当错误注入使能信号Inj_enable为0时，表示不进行自检，此时电路处于非自检模式，亦即工作在安全机制下，信号判断异或门电路XOR2以及按与或检测电路ChkOrCct作为安全机制的一部分对功能模块10输出的功能信号组Func_Sig[W-1:0]与冗余模块20输出的冗余信号组Mon_Sig[W-1:0]进行判断检测进而起到安全机制保护的作用（如背景技术部分所提及）；当错误注入使能信号Inj_enable为1时，表示进行自检，此时电路处自检模式，信号判断异或门电路XOR2以及按与或检测电路ChkOrCct作为自检电路的一部分进行判断检测。本发明通过与门电路ANDG，对错误注入使能信号Inj_enable和第二错误注入信号Inj_Sig[2]进行逻辑与运算，并通过第一选择器S1进行选择，当错误注入使能信号Inj_enable为0时，与门电路ANDG的运算结果为0，第一选择器S1选择按位或检测电路ChkOrCct输出的按位或检测结果ChkOrOut作为检测结果ChkOut进行输出，即此时按位或检测电路ChkOrCct和信号判断异或门电路XOR2是作为安全机制的一部分在工作；当错误注入使能信号Inj_enable为1时，则进一步看第二错误注入信号Inj_Sig[2]的状态为何而决定与门电路ANDG的运算结果，进而第一选择器S1进行选择（如前所述，此处不再赘述）。当然，此处只描述了安全机制下信号判断异或门电路XOR2和按位或检测电路ChkOrCct的输出，而安全机制要完整的工作，还需要确保信号的输入，本发明还提供了第二选择器S2，如下下段文字内容所描述。

在一实施方式下，所述信号判断子模块42还包括第二选择器S2，所述第二选择器S2的选择端接收所述错误注入使能信号Inj_enable，所述第二选择器S2的一个输入端与所述冗余模块20相连，接收所述冗余信号组Mon_Sig[W-1:0]，所述第二选择器S2的另一个输入端与所有所述混合处理异或门电路XOR1的输出端相连，接收所述错误注入混合处理信号组MonInj_Sig[W-1:0]，所述第二选择器S2的输出端连接各所述信号判断异或门电路XOR2的输入端。

本发明通过第二选择器S2，并由错误注入使能信号Inj_enable来控制选择。当错误注入使能信号Inj_enable为0时（如前所述，此时不进行自检，为非自检模式），第二选择器S2选择将冗余信号组Mon_Sig[W-1:0]作为比较信号组MonInt_Sig[W-1:0]输出给信号判断异或门电路XOR2进行判断；当错误注入使能信号Inj_enable为1时（如前所述，此时要进行自检，为自检模式），第二选择器S2选择将错误注入混合处理信号组MonInj_Sig[W-1:0]作为比较信号组MonInt_Sig[W-1:0]输出给信号判断异或门电路XOR2进行判断。如前所述，第二选择器S2输出的信号即被命名为比较信号组MonInt_Sig[W-1:0]。下表为本发明自检电路中各信号在各模式下的真值表，顺带说明，当第一错误注入信号Inj_Sig[1]、第二错误注入信号Inj_Sig[2]均为0时，表示不进行错误注入，此时也正好对应于错误注入使能信号Inj_enable为0时，即非自检模式。

以上是以将错误注入信号组Inj_Sig[2:1]与冗余信号组Mon_Sig[W-1:0]进行错误注入混合处理，然后与功能信号组Func_Sig[W-1:0]进行比较进行判断检测；其实也可以将错误注入信号组Inj_Sig[2:1]与功能信号组Func_Sig[W-1:0]进行错误注入混合处理，然后与冗余信号组Mon_Sig[W-1:0]进行比较进行判断检测，以上仅为理解而简单举例说明，本发明的保护范围也应当包含后者这个方案。

本发明第二实施方式提供一种微控制器功能模块安全机制的自检方法，所述自检方法包括：采用如前所述的微控制器功能模块安全机制的自检电路，通过配置让第一错误注入触发器、第二错误注入触发器工作，输出第一错误注入信号、第二错误注入信号；第一错误注入信号为第一状态或第二状态、第二错误注入信号为第二状态时，检测模块进行检测输出一次自检结果；第一错误注入信号为第二状态、第二错误注入信号为第一状态时，检测模块进行检测输出另一次自检结果。

与现有技术相比，本发明的技术方案具有以下有益效果：

本发明所述微控制器功能模块安全机制的自检电路及自检方法，错误注入模块只有第一错误注入触发器、第二错误注入触发器两个触发器，很明显占据芯片的面积很小。进行自检，只需要第一错误注入触发器发出第一错误注入信号为第一状态或第二状态、第二错误注入触发器发出第二错误注入信号为第二状态，进行一次自检；第一错误注入触发器发出第一错误注入信号为第二状态、第二错误注入触发器发出第二错误注入信号为第一状态，进行另一次自检，如此两个时钟周期即可完成自检，自检所花费的时间也很短。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。此外，说明书中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想，本说明书内容不应理解为对本发明的限制。

Claims (6)

1.一种微控制器功能模块安全机制的自检电路，其特征在于，所述微控制器功能模块安全机制的自检电路包括相并联的功能模块、冗余模块、错误注入模块以及与所述功能模块、所述冗余模块、所述错误注入模块均分别相连的检测模块；所述功能模块输出功能信号组，所述冗余模块与所述功能模块完全相同，输出冗余信号组，所述错误注入模块输出错误注入信号组，所述检测模块接收所述功能信号组、所述冗余信号组、所述错误注入信号组，进行处理运算，根据信号的相同与否判断安全机制是否正常；所述错误注入模块仅包括第一错误注入触发器、第二错误注入触发器，所述第一错误注入触发器输出第一错误注入信号，所述第二错误注入触发器输出第二错误注入信号，所述错误注入信号组仅包括所述第一错误注入信号、所述第二错误注入信号，所述第一错误注入信号、所述第二错误注入信号均具有第一状态、第二状态；所述第一错误注入信号为第一状态或第二状态、所述第二错误注入信号为第二状态，所述自检电路进行一次自检；所述第一错误注入信号为第二状态、所述第二错误注入信号为第一状态，所述自检电路进行另一次自检；

所述检测模块包括相连的错误注入信号混合处理子模块和信号判断子模块，所述错误注入信号混合处理子模块包括多个相并联的混合处理异或门电路和一个或门电路，所述第一错误注入触发器的输出端、所述第二错误注入触发器的输出端分别连接所述或门电路的两个输入端，所述或门电路的输出端与一个所述混合处理异或门电路的一个输入端相连，所述第二错误注入触发器的输出端与其他混合处理异或门电路的一个输入端均直接相连，各所述混合处理异或门电路的另一个输入端均与所述冗余模块相连，分别接收冗余信号组中的一个冗余信号，各所述混合处理异或门电路的输出端分别输出一个错误注入混合处理信号，共同组成错误注入混合处理信号组；

所述信号判断子模块包括多个相并联的信号判断异或门电路和与各所述信号判断异或门电路的输出端均相连的按位或检测电路，各所述信号判断异或门电路的一个输入端分别与一个所述混合处理异或门电路的输出端耦接，接收所述错误注入混合处理信号组中的一个错误注入混合处理信号，各所述信号判断异或门电路的另一个输入端均与所述功能模块相连，分别接收所述功能信号组中的一个功能信号，各所述信号判断异或门电路的输出端分别输出一个判断结果信号，共同组成判断结果信号组，发送给所述按位或检测电路，所述按位或检测电路对所述判断结果信号组中的各判断结果信号进行按位或运算，输出按位或检测结果；

所述信号判断子模块还包括按位与检测电路和第一选择器，所述按位与检测电路与所述按位或检测电路并联，所述按位与检测电路的输入端也与各所述信号判断异或门电路的输出端均相连，根据所述判断结果信号组中的各判断结果信号进行按位与运算，输出按位与检测结果，所述按位与检测电路的输出端、所述按位或检测电路的输出端分别与所述第一选择器的一个输入端相连，所述第一选择器的选择端与所述第二错误注入触发器的输出端耦接，根据所述第二错误注入信号的不同状态选择将所述按位与检测电路输出的按位与检测结果或所述按位或检测电路输出的按位或检测结果作为检测结果进行输出。

2.根据权利要求1所述的微控制器功能模块安全机制的自检电路，其特征在于，所述信号判断子模块还包括结果输出触发器，所述结果输出触发器的输入端与所述第一选择器的输出端相连，接收所述第一选择器输出的检测结果，产生最终的自检结果进行锁存并从所述结果输出触发器的输出端输出。

3.根据权利要求1所述的微控制器功能模块安全机制的自检电路，其特征在于，所述信号判断子模块还包括与门电路，所述与门电路的输出端与所述第一选择器的选择端相连，所述与门电路的一个输入端与所述第二错误注入触发器的输出端相连，所述与门电路的另一个输入端接收错误注入使能信号。

4.根据权利要求3所述的微控制器功能模块安全机制的自检电路，其特征在于，所述信号判断子模块还包括第二选择器，所述第二选择器的选择端接收所述错误注入使能信号，所述第二选择器的一个输入端与所述冗余模块相连，接收所述冗余信号组，所述第二选择器的另一个输入端与所有所述混合处理异或门电路的输出端相连，接收所述错误注入混合处理信号组，所述第二选择器的输出端连接各所述信号判断异或门电路的输入端。

5.根据权利要求1所述的微控制器功能模块安全机制的自检电路，其特征在于，所述功能模块为微控制器中的数字逻辑单元。

6.一种微控制器功能模块安全机制的自检方法，其特征在于，所述自检方法包括：采用如权利要求1-5任意一项所述的微控制器功能模块安全机制的自检电路，通过配置让第一错误注入触发器、第二错误注入触发器工作，输出第一错误注入信号、第二错误注入信号；第一错误注入信号为第一状态或第二状态、第二错误注入信号为第二状态时，检测模块进行检测输出一次自检结果；第一错误注入信号为第二状态、第二错误注入信号为第一状态时，检测模块进行检测输出另一次自检结果。