-
Die
Erfindung betrifft eine integrierte Schaltung mit Schutz gegen energiereiche
Strahlung und ein korrespondierendes Verfahren zum Erzeugen einer
solchen Schaltung.
-
Bei
integrierten Schaltungen sind sogenannte Single-Event-Effekte (SEE)
bekannt, welche durch energiereiche Strahlung, wie z.B. Protonen
oder schwere Ionen, ausgelöst
werden. Eine derartige Strahlung tritt unter anderem im Weltraum,
in Kernreaktoren oder Teilchenbeschleunigern auf. Bei den Single-Event-Effekten kann es
insbesondere zum ungewünschten
Umschalten eines gespeicherten Bitzustandes kommen, was als Single-Event-Upset
(SEU) bekannt ist. Darüber
hinaus sind die Single-Event-Latchups (SEL) bekannt, welche sich
in einem Kurzschluss der Betriebsspannung des Chips äußern. Der
Latchup-Effekt besteht üblicherweise darin,
dass eine PNPN-Struktur, welche als gestapelte PNP- und NPN-Transistoren
wirken, eine leitende Verbindung aufbaut, welche die Spannungsversorgung über die
elektronischen Bauteile kurzschließt. Infolge eines Latchup-Effekts
werden die beteiligten Komponenten zerstört, wenn nicht rechtzeitig
die Spannungsversorgung abgeschaltet wird. Die parasitäre Thy ristorstruktur
tritt als Teil eines PMOS- und NMOS-Transistorpaares auf. SEUs treten
im Vergleich zu SELs wesentlich häufiger auf. SEEs weisen im
Bezug auf die Taktfrequenz integrierter Schaltungen eine deutlich
höhere
Zeitkonstante auf und werden daher zeitlich als einzelne und nicht
etwa als gleichzeitig mehrfach auftretende Ereignisse betrachtet.
Sogenannte Multiple-Bit-Upsets (MBUs) können jedoch durch Summierung,
z.B. in einem Byte eines Speichers, über längere Zeiträume auftreten und sind dann
unter Umständen
nicht mehr korrigierbar oder nicht mehr erkennbar.
-
Um
die vorgenannten Fehler bzw. auf den genannten Effekten basierenden
Fehlfunktionen zu verhindern, werden bei herkömmlichen Schaltungen bestimmte,
redundante Schaltungsdesigns bevorzugt eingesetzt. Ein typischer
Vertreter ist das Triele-Module-Redundancy(TMR)-Design. Gegen die seltener
auftretenden Ereignisse, wie die SELs, werden spezielle Maßnahmen
im Layout, wie z.B. Schutzringe, eine spezielle Transistorform oder Ähnliches
eingesetzt. Eine nachträgliche
Korrektur dieser Fehler auf Chipebene ist nicht bekannt und wird
in Fachkreisen als zu aufwendig angesehen. Obwohl die bekannten
Maßnahmen
durchaus effektiv sind, kann ein sicherer SEL-Schutz damit nicht
garantiert werden. Andere bekannte Konzepte zur Vermeidung von SELs
bestehen darin, externe Überwachungsschaltungen
vorzusehen, welche die Stromaufnahme der zu schützenden integrierten Schaltung
dauerhaft überwachen
und die Schaltung beim Überschreiten vorgegebener
maximaler Werte für
die Stromaufnahme von der Spannungsversorgung trennen. Nachteilig
an diesen bekannten Konzepten sind die lange Zeitdauer, die erforderlich
ist, um den ursprünglichen Systemzustand
wieder herzustellen und ein eventueller Informationsverlust beim
Abschalten.
-
Es
ist eine Aufgabe der vorliegenden Erfindung, eine Schaltung bereitzustellen,
welche Single-Event-Effekte besser handhaben kann als herkömmliche
Schaltungen.
-
Gemäß einem
vorteilhaften Aspekt der vorliegenden Erfindung wird die Aufgabe
durch einen elektrischen Schaltkreis mit einem ersten Schaltkreisabschnitt
gelöst, wobei
erste Schaltmittel vorgesehen sind, um in Reaktion auf das Auftreten
eines Single-Event-Effekts in dem ersten Schaltkreisabschnitt, die
Stromaufnahme des ersten Schaltkreisabschnittes, zu begrenzen. Gemäß diesem
vorteilhaften Aspekt der vorliegenden Erfindung weist der erfindungsgemäße Schaltkreis
mindestens einen Schaltkreisabschnitt auf. Ein derartiger Schaltkreisabschnitt
kann z.B. aus einer Standardzelle aus einem oder mehreren digitalen
Gattern, Registern, Speicherelementen oder beliebigen anderen elektronischen
Komponenten, die zu einer Schaltung zusammengefügt sind, bestehen. Ein Schaltkreisabschnitt
im Sinne dieser Anmeldung umfasst den Schaltungsteil, der von mindestens
einem Schaltmittel (also Schalter oder einem Set von Schaltern)
abgeschaltet werden kann. Erfindungsgemäß ist ein erstes Schaltmittel,
wie z.B. ein Schalter aus einem Transistor, vorgesehen, welcher
die Stromaufnahme des ersten Schaltkreisabschnittes begrenzt, wenn ein
Single-Event-Effekt in dem entsprechenden ersten Schaltkreisabschnitt
auftritt. Hierdurch wird insbesondere solchen Single Event-Effekten
Rechnung getragen, welche sich in einer Erhöhung der Leistungs- bzw. Stromaufnahme
des ersten Schaltkreisabschnitts auswirken. Die Stromaufnahme des Schaltkreisabschnittes
kann insoweit entweder auf einen Maximalwert begrenzt werden, falls
die Schaltung durch Auftreten der Störung einen Strom aufnimmt,
welcher zur Zerstörung
der Schaltung oder zu Fehlfunktionen führen kann. Ebenso kann der
Strom dadurch begrenzt werden, dass die Strompfade komplett unterbrochen
werden und kein Strom mehr fließt.
Erfindungsgemäß wird das
erste Schaltmittel derart mit dem ersten Schaltkreisabschnitt gekoppelt, dass
nur der erste Schaltkreisabschnitt von der Spannungsversorgung getrennt
wird, bzw. nur die Stromaufnahme des ersten Schaltkreisabschnittes begrenzt
wird. Die übrigen
Teile des erfindungsgemäßen Schaltkreises
können
dadurch ihre bestimmungsgemäßen Funktionen
ungehindert weiter ausführen.
-
Gemäß einem
weiteren vorteilhaften Aspekt der Erfindung weist der elektrische
Schaltkreis ein dem ersten Schaltkreisabschnitt zugeordnetes Detektionsmittel
auf, das zum Detektieren eines Ereignisses, z.B. eines hohen Stromes,
vorgesehen ist, der auf einem Single-Event-Effekt beruht. Hierdurch wird
einer der vorgenannten, vorteilhaften Aspekte der Erfindung fortgebildet,
indem ein Detekti onsmittel (z.B. irgendeine Sensorik mittels Shunt-Widerständen oder Ähnlichem)
dem zu überwachenden
ersten Schaltkreisabschnitt zugeordnet wird. Eine derartige vorteilhafte
Ausgestaltung ermöglicht
die individuelle Überwachung
und das individuelle Strombegrenzen bzw. -abschalten des ersten
Schaltkreisabschnittes, ohne dass der verbleibende Teil des erfindungsgemäßen Schaltkreises
davon betroffen ist. Ein Schaltkreisabschnitt kann ein System beinhalten,
welches bestimmte Funktionen erfüllt.
So kann ein System spezifische logische Gatter, Latches, Flip-Flops, Speicher
etc. beinhalten.
-
Gemäß einem
vorteilhaften Aspekt der vorliegenden Erfindung umfasst der erfindungsgemäße Schaltkreis
auch noch einen zweiten Schaltkreisabschnitt mit diesem zugeordneten
zweiten Schaltmitteln, welche ausgestaltet sind, um in Reaktion
auf das Auftreten eines Single-Event-Effekts in dem zweiten Schaltkreisabschnitt
die Stromaufnahme des zweiten Schaltkreisabschnittes zu begrenzen.
Gemäß diesem
vorteilhaften Aspekt der Erfindung wird berücksichtigt, dass innerhalb
eines Schaltkreises zwei oder mehr unabhängige Schaltkreisabschnitte vorliegen
können,
die jeweils eigene Schaltmittel aufweisen, über welche die Stromaufnahme
individuell für
jeden Schaltkreisabschnitt unabhängig
begrenzt werden kann. Erfindungsgemäß kann nur der entsprechende
betroffene Schaltkreisabschnitt von der Stromversorgung getrennt
werden. Dies ermöglicht eine
Unterteilung eines erfindungsgemäßen Schaltkreises
in eine Mehrzahl von Schaltkreisabschnitten, welche alle individuell
bezüglich
des Auftretens von Single-Event-Effekten überwacht und ein- oder ausgeschaltet
werden können.
Hierdurch kann die Funktionsfähigkeit
des erfindungsgemäßen Schaltkreises weitestmöglich gewahrt
werden, auch wenn ein Teil der Schaltung, d.h. eine Komponente oder
mehrere Komponenten, durch energiereiche Strahlung gestört wurde.
Dieser Aspekt der Erfindung ermöglicht
in vorteilhafter Weise einen Schutz vor SELs, welcher als Mikroschutz
bezeichnet werden kann. Dabei wird eine Vielzahl sehr kleiner Layoutgebiete
z.B. einer integrierten Schaltung und damit auch verhältnismäßig kleiner
Latchupströme überwacht
und ggf. abgeschaltet. Schalter bzw. Schaltmittel zum Ein- und Ausschalten
der Betriebsspannung können
an zahlreichen Kreuzungspunkten der Versorgungsleitungen vorgesehen
sein. Eine derartige Gebietsaufteilung ermöglicht eine deutlich feinere und
damit bessere Überwachung
komplexer digitaler oder analoger Schaltungen auf das Auftreten
unerwünschter
Ereignisse wie Single Event-Effekte.
-
Gemäß einem
weiteren vorteilhaften Aspekt der Erfindung erstreckt sich das vorteilhafte
Aufteilen in individuell steuerbare erste und zweite Schaltkreisabschnitte
auf Schaltungen, welche redundant aufgebaut sind. Bei derartigen
Schaltungen sind ein oder mehrere Teile der Schaltung nicht nur
einmal, sondern mehrfach vorgesehen, so dass eine geringere Anfälligkeit
gegen Fehler besteht. Werden derartige redundante Schaltungsteile
individuell auf das Auftreten eines Single-Event-Effekts überwacht
und entsprechend strombegrenzt bzw. abgeschaltet, sobald für diesen
Schaltkreisabschnitt ein solches Event auftritt, dann kann aufgrund
der Redundanz der Schaltung erfindungsgemäß ein nach außen ungestörter Betrieb
der Schaltung gewährleistet
werden. Sobald beispielsweise ein erster Schaltkreisabschnitt in
Reaktion auf einen Single Event-Effekt abgeschaltet wird, kann die
bestimmungsgemäße Funktion
von dem zweiten Schaltkreisabschnitt, welcher die gleichen Aufgaben
erfüllt
wie der erste Schaltkreisabschnitt, übernommen werden. Besonders
vorteilhaft ist es, wenn die Schaltkreisabschnitte parallel arbeiten.
Dann kann der Betrieb, trotz auftreten eines Ereignisses, ohne Unterbrechung
fortgesetzt werden.
-
Gemäß einem
weiteren vorteilhaften Aspekt der vorliegenden Erfindung wird zur
Umsetzung der Erfindung ein Steuerungsmittel vorgesehen, welches ausgestaltet
ist, um das zweite Schaltmittel zu betätigen, um in Reaktion auf das
Auftreten eines Single-Event-Effekts in dem zweiten Schaltkreisabschnitt die
Stromaufnahme des zweiten Schaltkreisabschnittes zu begrenzen. Eine
derartige Ausgestaltung begünstigt
den effektiven Aufbau und das effektive Design von Schaltkreisabschnitten,
in dem jeder Schaltkreisabschnitt ein Steuerungsmittel umfasst,
welches die Überwachung
bzw. die Detektion von Single-Event-Effekten in einem jeweils anderen
Schaltkreisabschnitt übernimmt
und die Schaltmittel des jeweils anderen Schaltkreisabschnittes
entsprechend betätigt.
Hierzu kann vorteilhaft eine bestimmte digitale Steuerungslogik
vorgesehen sein. Damit die Steuerungslogik nicht etwa selbst von
dem gleichen Single Event-Effekt betroffen ist, ist es besonders vorteilhaft,
wenn diese jeweils einem anderen Schaltkreisabschnitt zugeordnet
ist, als demjenigen, welcher von der Steuerungslogik überwacht
und ggf. abgeschaltet wird. Die Steuerungsmittel sind weiterhin vorteilhaft
ausgestaltet um die Steuerung der Schaltkreisabschnitte auch für andere
Zwecke, insbesondere im Hinblick auf ein effektives Power-Management
vorzunehmen.
-
Gemäß einem
weiteren vorteilhaften Aspekt der Erfindung umfasst der erfindungsgemäße Schaltkreis
eine Auswahllogik, welche z.B. auch als Voter bezeichnet wird, die
basierend auf einer Mehrzahl von korrespondierenden Signalen redundanter Schaltkreisabschnitte
ein gültiges
Auswahlsignal selektiert. Dies ermöglicht es, in vorteilhafter
Weise redundante Schaltungskonzepte mit den erfindungsgemäßen Aspekten
zu kombinieren. Hierdurch wird ermöglicht, dass ein erfindungsgemäßer Schaltkreis die
bestimmungsgemäßen Funktionen
trotz Single-Event-Effekts fortsetzen kann, ohne dass für andere
Schaltungen, welche mit dem erfindungsgemäßen Schaltkreis gekoppelt sind,
eine Fehlfunktion in Erscheinung tritt. Sobald jeweils ein Single-Event-Effekt in
einem der ersten oder zweiten Schaltkreisabschnitte auftritt, sorgt
die Auswahlschaltung dafür, dass
für die
weitere Signalverarbeitung ein nicht beeinträchtigtes Signal verwendet wird.
Für diesen
Auswahlvorgang kommen unterschiedliche Mechanismen in Betracht,
welche alle die Vorteile dieses erfindungsgemäßen Aspekts nutzen. Eine derartige
Auswahllogik lässt
sich vorteilhaft sowohl für
doppelt redundante Systeme (Double Module Redundancy = DMR) als
auch für
Systeme mit stärkerer
Redundanz einsetzen.
-
Gemäß einem
weiteren vorteilhaften Aspekt der vorliegenden Erfindung ist in
dem erfindungsgemäßen Schaltkreis
noch ein dritter Schaltkreisabschnitt mit dritten Schaltmitteln
vorgesehen, welche ausgestaltet sind, um in Reaktion auf das Auftreten eines
Single-Event-Effekts in dem dritten Schaltkreisabschnitt die Stromaufnahme
des dritten Schaltkreisabschnittes zu begrenzen. Bei einer derartigen
Ausgestaltung kann weiterhin vorteilhaft vorgesehen werden, dass
der erste, zweite und dritte Schaltkreisabschnitt jeweils erste,
zweite und dritte Steuerungsmittel zum Betätigen der ersten, zweiten und
dritten Schaltmittel aufweisen, wobei die Steuerungsmittel derart
mit den Schaltmitteln gekoppelt sind, dass jeweils die Steuerungsmittel
eines Schaltkreisabschnittes die Schaltmittel eines anderen Schaltkreisabschnittes
betätigen.
Hierdurch ergibt sich eine vorteilhafte paarweise Überwachung
und Steuerung von Schaltkreisabschnitten, so dass jeder Schaltkreisabschnitt
die Steuerungsmittel zur Steuerung eines jeweils nächsten anderen
Schaltkreisabschnittes aufweist. Hierdurch kann die Funktionalität der Schaltung
gewährleistet
werden.
-
Um
den Betrieb der Schaltung in vorteilhafter Weise erfindungsgemäß zu gewährleisten,
weist der erfindungsgemäße Schaltkreis
außerdem
Synchronisationsmittel auf, welche sicherstellen, dass beim Auftreten
eines Single-Event-Effektes
in einem der Schaltkreisabschnitte und der darauf folgenden Strombegrenzung
bzw. dem darauf folgenden Abschalten dieses Schaltkreisabschnittes
der Betrieb mit der erforderlichen Synchronität bzw. mit dem erforderlichen
Timing fortgesetzt werden kann. Hierzu kann es erforderlich sein,
bestimmte Taktflanken für eine
gewisse Zeit zu unterdrücken
oder zu verzögern,
um die Auswahl eines geeigneten Signals durch die Auswahlschaltung
zu gewährleisten.
Sobald der Auswahlvorgang abgeschlossen ist, wird dann mit dem richtigen
Timing und mit der erforderlichen Synchronität der Betrieb fortgesetzt.
Erfindungsgemäß sorgen
die Synchronisationsmittel demnach dafür, dass diese ein digitales
Taktsignal derart anpassen, dass wenn ein Fehler infolge eines Single-Event-Effekts
auftritt, das digitale Taktsignal eine wirksame Ausgabe eines Signals
erst indiziert, wenn der Fehler kompensiert ist.
-
Gemäß diesem
Aspekt der vorliegenden Erfindung wird die bereits vorhandene Redundanz
des elektrischen Schaltkreises ausgenutzt, indem für jeden
Teil der elektrischen Schaltung, welcher aufgrund der Redundanz
mehrfach ausgeführt
ist, eine eigene Schaltvorrichtung vorgesehen ist, um nur diesen
Bereich von der Spannungsversorgung zu entkoppeln.
-
Gemäß einem
weiteren vorteilhaften Aspekt der Erfindung weisen das erste Detektionsmittel
und das erste Schaltmittel gemeinsame elektronische Komponenten
auf. Dies gelingt z.B. durch Verwendung eines Schalttransistors
in einem Pfad der Versorgungsspannung, welcher als Schaltmittel
verwendet wird. Tritt ein entsprechender Single-Event-Effekt auf,
wird der Schalttransistor dazu verwen det, den ersten Schaltkreisabschnitt
von der Spannungsversorgung zu trennen. Gleichzeitig wird der Spannungsabfall
zum Detektieren eines Stromes verwendet, welcher einen bestimmten
maximalen Wert überschreitet.
Hierdurch werden mittels derselben Komponente ein Teil der Detektionsfunktion
und eine Strombegrenzung vorgenommen.
-
Gemäß einem
weiteren vorteilhaften Aspekt der Erfindung sind einer oder mehrere
Teile der Schaltkreisabschnitte als Standardzellen ausgestaltet.
Dies ermöglicht
eine kompakte und einfache Anordnung von erfindungsgemäßen Schaltkreisabschnitten
beim Entwurf integrierter digitaler Schaltungen. Die Anschlüsse für die erforderlichen
Eingänge und
Ausgänge,
um die Schaltmittel zu betätigen, müssen dabei
derart angeordnet sein, dass eine einfache Verdrahtung im Rahmen
eines Standardzellenlayouts möglich
ist.
-
Die
Aufgabe wird ebenfalls erfindungsgemäß durch ein Verfahren zum Entwerfen
eines elektronischen Schaltkreises gelöst, welcher die Schritte beinhaltet:
Anordnen einer Mehrzahl redundanter Schaltkreisabschnitte, Anordnen
von Schaltmitteln, welche ausgestaltet sind, die Stromaufnahme des betroffenen
Schaltkreisabschnittes zu begrenzen, Anordnen von Steuerungsmitteln,
welche ausgestaltet sind, um die einem jeweiligen anderen Schaltkreisabschnitt
zugeordneten Schaltmittel in Reaktion auf einen Single-Event-Effekt
in dem anderen Schaltkreisabschnitt dazu zu veranlassen, den Schaltkreisabschnitt
von der Versorgungsspannung zu trennen.
-
Ein
Aspekt der vorliegenden Erfindung besteht also darin, alle Schaltungsteile
innerhalb einer integrierten Schaltung mit Vorrichtungen zum Ausschalten
oder Einschalten der Betriebsspannung in Reaktion auf das Auftreten
eines Ereignisses, wie eines SEL (Latchup), zu versehen. Dafür können Schalter
verwendet werden, die als MOS-Transistoren mit niedrigem ON-Widerstand
ausgestaltet sind, um Leistungsverluste möglichst gering zu halten. Ein positiver
Nebeneffekt der zu diesem Zweck vorgesehenen Schalter besteht in
der automatischen Strombegrenzung, wodurch die Auswirkungen eines
SEL auf einen begrenzten, lokalen Bereich beschränkt werden. Das Abschalten
der Versorgungsspannung mittels der Schalter beim Auftreten eines
SEL muss erfindungsgemäß sehr schnell
erfolgen, um die thermische Zerstörung der MOS-Transistoren zu
vermeiden. Dies ermöglicht
es, bereits im Hinblick auf SEUs geschützte Schaltkreise zusätzlich gegen
SELs zu schützen.
Insbesondere kann eine zusätzliche
Schaltung vorgesehen sein, welche den redundanten Aufbau bereits
vorhandener Komponenten ausnutzt. Weiter sind Schalter zum Ein-
und Ausschalten der Betriebsspannung und eine korrespondierende
Steuerungslogik vorzusehen. Diesbezüglich ist vor allem die einfache
Realisierung einer derartigen Schaltung hervorzuheben. Eine weitere
Möglichkeit
besteht darin, den SEU- und SEL-Schutz
bereits auf Systemebene zu kombinieren. Hierfür werden drei redundante und
separat versorgte Systeme vorgesehen, welche zusätzlich je eine Auswahlschaltung
(Voter) für den
TMR SEU-Schutz erhalten. Hieran ist vorteilhaft, dass ein geringerer
Schaltungsaufwand als bei der ersten Alternative auftritt. Wird
der Schutz gegen SEL auf Systemebene und gegen SEU auf Zellebene kombiniert,
ist es erfindungsgemäß möglich, ein TMR-Design über drei
redundante und getrennt versorgte Systeme zu realisieren. Insbesondere
ist hierdurch ein umfassender MBU-Schutz realisierbar.
-
Die
Ausführungsbeispiele
der vorliegenden Erfindung werden im Folgenden beispielhaft unter Bezugnahme
auf die beigefügten
Figuren erläutert. Es
zeigt:
-
1 eine
vereinfachte Illustration des redundanten Aufbaus einer Schaltung
gemäß dem Stand
der Technik,
-
2 eine
vereinfachte Darstellung eines ersten Ausführungsbeispiels gemäß einem
vorteilhaften Aspekt der vorliegenden Erfindung,
-
3 eine
vereinfachte Darstellung eines zweiten Ausführungsbeispiels gemäß einem
vorteilhaften Aspekt der vorliegenden Erfindung,
-
4 eine
vereinfachte Darstellung eines dritten Ausführungsbeispiels gemäß einem
vorteilhaften Aspekt der vorliegenden Erfindung,
-
5 eine
vereinfachte Darstellung eines vierten Ausführungsbeispiels gemäß einem
vorteilhaften Aspekt der vorliegenden Erfindung,
-
6 eine
vereinfachte Darstellung eines fünften
Ausführungsbeispiels
gemäß einem
vorteilhaften Aspekt der vorliegenden Erfindung, und
-
7 eine
vereinfachte Darstellung eines sechsten Ausführungsbeispiels gemäß einem
vorteilhaften Aspekt der vorliegenden Erfindung.
-
1 zeigt
eine vereinfachte Darstellung eines redundanten Schaltkreises zur
Vermeidung von Single-Event-Upsets (SEU). Hierbei handelt es sich um
ein TMR-Design. Die herkömmliche
Schaltung umfasst eine kombinatorische Logik CL1 zur Bereitstellung
der erforderlichen logischen Funktionen. Auf die kombinatorische
Logik CL1 folgt die sequentielle Logik SL1. Die sequentielle Logik
SL1 setzt sich im Wesentlichen aus Flipflops, z.B. D Flipflops,
zusammen. Auf die sequentielle Logik SL1 folgt eine Auswahlschaltung,
die als eine Gruppe von Votern VOT1 ausgestaltet ist, welche die
Ausgangssignale der sequentiellen Logik SL1, d.h. der Flipflops,
selektiert und für
eine darauf folgende weitere Schaltung auswählt. Die kombinatorische Logik
CL1 und sequentielle Logik SL1 ist redundant, d.h. dreifach, in
gleicher Weise aufgebaut. Die Funktionen jedes der drei Teile sind
dabei identisch. Im Normalfall sollten alle Flipflops der sequentiellen
Logik SL1 das gleiche Ausgangssignal produzieren. Weicht aufgrund
eines Ereignisses, wie einem SEU, ein Ausgang eines Flipflops vom
richtigen Wert ab, so wird anhand der anderen Ausgänge in Form
einer Mehrheitsentscheidung entschieden, welches das richtige Ausgangssignal
ist. Liegen z.B. zwei Ausgänge
auf logisch '1' und nur ein Ausgang
auf logisch '0', so entscheiden die
Voter VOT1, dass die logische '1' der richtige Wert ist.
Bei einer derartigen, Anordnung ist auf Schaltungsebene kein weiterer
Schutz vor anderen Ereignissen, wie z.B. SEL, vorgesehen.
-
2 zeigt
eine vereinfachte Darstellung eines ersten Ausführungsbeispiels gemäß einem
vorteilhaften Aspekt der vorliegenden Erfindung. Die Schaltkreisabschnitte
SAA und SAB beinhalten
jeweils die Systeme SYSA, SYSB und
die Steuerungslogik CTLA und CTLB. Es sind zwei Systeme SYSA und SYSB vorgesehen, welche als redundante Schaltungskomponenten
beide die gleiche Funktion innerhalb der Schaltung erfüllen. Wie
bezüglich 1 bereits
erläutert,
könnte
es sich hierbei um Flipflops der sequentiellen Logik, aber auch
um jedwede digitale Schaltung, Logik, Speicher etc. handeln. Im
Schaltkreisabschnitt SAA erhält die Steuerungslogik
CTLA am Eingang LUB ein
Signal, welches von der Spannungsversorgung VDDB des
Schaltkreisabschnittes SAB abgeleitet ist.
In Reaktion auf dieses Signal wird am Ausgang SWB ein
Steuersignal für
den Schalter SB bereitgestellt, welcher
den Schaltkreisabschnitt SAB (die Steuerungslogik
CTLB und das System SYSB)
von der Spannungsversorgung trennen kann. Quasi spiegelbildlich
hierzu erhält
die Steuerungslogik CTLB des Schaltkreisabschnittes
SAB ein entsprechendes Signal am Eingang
LUA, welches von der Spannungsversorgung
VDDA des Schaltkreisabschnittes SAA abgeleitet ist. In Reaktion auf dieses
Signal erzeugt die Steuerungslogik CTLB am
Ausgangs SWA des Schaltkreisabschnittes
SAB ein Steuersignal für den Schalter SA,
welcher ausgestaltet ist, um den Schaltkreisabschnitt SAA von der Spannungsversorgung VDDA zu trennen. Die Steuerungslogik CTLA erzeugt am Ausgang SYNCB ein
weiteres Steuersignal, um das System SYSA mit
dem System SYSB zu synchronisieren. Entsprechend
gelangt ein weiteres Synchronisationssignal von der Steuerungslogik CTLB des Schaltkreisabschnittes SAB vom
Ausgang SYNCA zum Eingang SYNCA des
Systems SYSA. Eingabe- und Ausgabeleitungen
der Systeme IB/OA bzw.
IA/OB sind über eine
Anzahl von 2k Leitungen miteinander gekoppelt, wenn k die Anzahl
der gespeicherten Zustände,
z.B. Flipflops, eines Systems ist. Die Eingänge IN umfassen i Leitungen,
und die Ausgänge
OUT j Leitungen. Tritt nun ein Fehlerereignis, wie bspw. ein SEL
auf, dann wird der betroffene Schaltkreisabschnitt SAA oder
SAB und damit eines der Systeme SYSA oder SYSB und die
entsprechende Steuerungslogik CTLA oder
CTLB von der Spannungsversorgung VDDA bzw. VDDB getrennt.
Auf Basis der Fehlerbestimmung wird anschließend das richtige Signal OUT
ermittelt und zur Weiterverarbeitung verwendet. Nach dem Ende des
Auftretens eines Fehlerereignisses, also eines SEL o.Ä., synchronisieren
sich die Systeme SYSA, SYSB über die
Synchronisationsein- bzw. -ausgänge
SYNCA, SYNCB sowie
die Daten Ein-/Ausgänge
der Flipflops IB/OA bzw.
IA/OB Der Vorteil
dieser Anordnung besteht darin, dass das System sich trotz eines
SEL wie ein störungsfreies
System nach außen
verhalten kann. Die in 2 dargestellte Ausgestaltung
ist besonders günstig
für Systemkomponenten
mit begrenzter Komplexität
(bezogen auf den bereits im System integrierten SEU-Schutz).
-
3 zeigt
eine vereinfachte Darstellung eines weiteren Ausführungsbeispiels
der vorliegenden Erfindung. Hierbei sind nun drei Schaltkreisabschnitte
SAA, SAB, SAC vorgesehen. Diese beinhalten die Systeme
SYSA, SYSB, SYSC, welche gemäß der Erfindung ausgestaltet
sind. Jedes der Systeme SYSA, SYSB, SYSC wird an die
Spannungsversorgung VDD angeschlossen. Aufgrund der Schalter SA, SB, SC erhält ergibt
sich nach dem Schalter eine jeweilige Spannungsversorgung VDDA, VDDB, VDDC für
jeden Schaltkreisabschnitt, so dass jeder Schaltkreisabschnitt individuell
abschaltbar ist. Der jeweilige Schalter SA,
SB, SC dient dazu,
das System von der Spannungsversorgung zu trennen. Die Signale LUA, LUB, LUC geben an, ob ein SEL oder ein anderes Ereignis
eingetreten ist, bzw. signalisieren die Strom- bzw. Leistungsaufnahme
eines entsprechenden Schaltkreisabschnittes SAA,
SAB, SAC. In Reaktion auf
die Signale LUA, LUB,
LUC gibt die jeweilige Steuerungslogik CTLA, CTLB, CLTC des jeweils angesprochenen Schaltkreisabschnittes
SAA, SAB, SAC ein Signal SWA,
SWB, SWC an den
jeweiligen Schalter SA, SB,
SC aus, um den betroffenen Schaltkreisabschnitt von
der Spannungsversorgung zu trennen. Beim Auftreten eines SEL in
einem der drei Schaltkreisabschnitte SAA,
SAB, SAC kann demnach
das entsprechende zugehörige
System SYSA, SYSB,
SYSC von einem nicht betroffenen System
bzw. dessen Steuerungslogik CTLA, CTLB, CTLC von der Spannungsversorgung
getrennt werden. Die Ausgangssignale der Systeme SYSA,
SYSB, SYSC werden
in den Votern VOTA, VOTB,
VOTc überprüft. Die
Signale SEU_SYSA, SEU_SYSB, SEU_SYSC zeigen der jeweiligen Steuerungslogik CTLA, CTLB, CTLC eines anderen Systems an, dass dieses seinen
Nachbarn synchronisieren soll, ohne jedoch einen der Schalter SA, SB, SC zu
betätigen.
Die Voter VOTA, VOTB,
VOTC nehmen eine Auswahl vor, die typischerweise
basierend auf einer Mehrheitsentscheidung erfolgt. Dabei wird festgestellt,
ob ein Ausgangssignal bzw. die Ausgangssignale eines Systems SYSA, SYSB oder SYSC von den anderen beiden Systemen abweicht.
Ist dies der Fall, wird das abweichende System als fehlerhaft betrachtet
und mit den Ausgangssignalen der anderen beiden Systeme in Übereinstimmung
gebracht. Also handelt es sich auch hierbei um ein redundantes System.
Die dreifache Redundanz (TMR) ermöglicht es, dass mittels der
Voter und über
eine Mehrheitsentscheidung eine Feststellung getroffen werden kann,
welches der Systeme fehlerhaft gearbeitet hat. Zur Synchronisation
werden die Signale SYNCA, SYNCB,
SYNCC ausgegeben, und ebenso werden die
Ausgangssignale OUTA, OUTB und
OUTC der drei Systeme den jeweils anderen
Systemen übermittelt, so
dass eine Anpassung der Ausgangssignale innerhalb der Systeme SYSA, SYSB, SYSC erfolgen kann. Auf diese Art und Weise
ist ein Schutz gegen SEUs außerhalb
der einzelnen Systeme möglich,
was den Schaltungsaufwand und damit die erforderliche Chipfläche reduziert.
Nach außen
treten einzelne Fehler nicht in Erscheinung, es besteht jedoch kein
vollständiger
Schutz gegen MBUs.
-
4 zeigt
eine vereinfachte Darstellung eines weiteren Ausführungsbeispiels
der vorliegenden Erfindung. Die grundsätzliche Funktion stimmt mit der
bezüglich 3 beschriebenen
Funktion einer dreifach redundanten Ausführungsform der vorliegenden
Erfindung überein.
Demnach sind auch hier drei Systeme SYSA,
SYSB, SYSC vorgesehen,
welche jeweils über
Schalter SA, SB,
SC mit der Spannungsversorgung VDDA, VDDB, VDDC gekoppelt sind, um im Fehlerfall das jeweilige
betroffene System von der Spannungsversorgung zu trennen. Im Unterschied zum
Ausführungsbeispiel
gemäß 4 befinden sich
die Voter nun integriert im jeweiligen System SYSA,
SYSB, SYSC. Dadurch
steigt der Verdrahtungsaufwand, da z.B. jedes Flip-Flop eines Systems
mit einem Voter versehen werden muss, dessen Eingänge mit
allen 3 Systemen verbunden sind (vorher gab es nur 3 Voter pro Ausgangssignal).
Dafür wird
jedoch voller MBU-Schutz erreicht und die Synchronisierung kann
entfallen. Gleichzeitig wird hieran deutlich, dass erfindungsgemäß sowohl
eine Realisierung der Voter VOTA, VOTB, VOTC (aus 3)
als zusätzliche
Komponenten zu bereits existierenden Systemen SYSA,
SYSB, SYSC, sowie
eine Realisierung als kompakte, komplette Schaltungssysteme SYSA, SYSB, SYSC mit integrierten Votern bzw. Auswahlschaltungen
vorgesehen ist. Die vereinfachte Darstellung gibt nicht alle erforderlichen
Verbindungen wieder. Die SEUs werden gemäß dieser Anordnung vorteilhaft
im folgenden Taktzyklus beseitigt und das Gesamtsystem ist daher
nicht MBU-empfindlich. Nach außen
treten die Fehler nicht in Erscheinung.
-
5 zeigt
eine vereinfachte Darstellung eines möglichen Layouts der Systeme.
Gemäß dieser Ausgestaltung
lassen sich die erfindungsgemäßen Schalkreisabschnitte
SAA, SAB und SAC vorteilhaft im Standardzellendesign realisieren.
Das jeweilige System SYSA, SYSB,
SYSC ist wiederum über die Schalter SA,
SB, SC an die Versorgungsspannung
gekoppelt. Vorteilhaft befinden sich im oberen Bereich, also der
Spannungsversorgung VDDA, VDDB,
VDDC, zugeordnet die Steuerungslogikeinheiten
CTLA, CTLB, CTLC. Die Ansteuerung der Schalter SA, SB, SC ist
hier nicht dargestellt, erfolgt jedoch genauso wie bezüglich der
vorangegangenen Figuren erläutert.
Im mittleren Bereich befinden sich die logischen Zellen (Logic Cells),
welche die Funktion bzw. die entsprechende Logik zur Umsetzung der
Funktionen, die das System realisieren soll, beinhalten. Weiter
sind die Flip-Flops
FFA, FFB, FFC vorgesehen, welche grundsätzlich genauso
agieren wie anhand der Systeme bezüglich 3 und 4 beschrieben.
Die Voter sind hier als einzelne Blöcke VOTA,
VOTB, VOTC dargestellt.
Diese nehmen die Auswahl der entsprechenden Ausgangssignale vor
und entscheiden, welcher der Schaltkreisabschnitte SAA,
SAB, SAC einen Fehler
verursacht hat und daher über
die nicht von einem SEL oder ähnlichen
Ereignis betroffenen Systeme synchronisiert werden muss. Bei der
in 5 dargestellten Anordnung der einzelnen Komponenten bzw.
der erforderlichen Blöcke
kann der Verdrahtungsaufwand in sehr vorteilhafter Weise minimiert werden.
-
6 zeigt
eine vereinfachte Darstellung eines Ausführungsbeispiels der vorliegenden
Erfindung für
Speicher. Die Schaltkreisabschnitte SAA und SAB beinhalten Speicher MEMA und
MEMB, Fehlerdetektions- und Korrekturblöcke EDACA und EDACB und SEL-Steuerungslogik
CTLA für
den Schaltkreisabschnitt SAB und eine SEL-Steuerungslogik
CTLB für
den Schaltkreisabschnitt SAA . Bei
derartigen Speichern handelt es sich bevorzugt um integrierte Halbleiterspeicher.
Die Steuerungslogik CTLA und die Steuerungslogik
CTLB überwachen
in der zuvor beschriebenen Weise die Spannungsversorgung VDDA bzw. VDDB. Die
Schalter SA bzw. SB werden
betätigt, wenn
im jeweilig anderen Schaltkreisabschnitt ein Fehler mittels der
Signale LUA bzw. LUB detektiert wird.
Die Synchronisationsaufforderung erfolgt über die Signale SYNCA bzw. SYNCB, welche
an die zusätzlichen
Blöcke
EDACA und EDACB ausgegeben werden.
Die EDAC-Blöcke
detektieren und korrigieren zunächst
alle Fehler, die z.B. durch SEU auftreten. Dies wird z.B. durch
zusätzliche
Parity-Bits bzw. Hamming-Codes ermöglicht. Falls ein SEL aufgetreten
ist, wird das anschließend,
d.h. nach dem Wiedereinschalten der Betriebsspannung über die
Signale SYNCA bzw. SYNCB mitgeteilt
und beide EDAC-Blöcke
EDACA und EDACB übernehmen
dann die Synchronisierung. Der nicht SEL-betroffene EDAC-Controller
liest sämtliche
Daten aus seinem Speicher und leitet sie direkt dem anderen SEL-Controller
zu. Der schreibt parallel alle Daten in seinen zu synchronisierenden
Speicher. Gleichzeitig werden natürlich auch eventuelle, z.B.
durch SEU entstandene, Bitfehler z.B. durch die oben genannten Hamming-Codes
erkannt und korrigiert. Diese Kontrolle bzw. Korrektur wird im normalen
Betrieb (d.h. ohne aufgetretenen SEL) ergänzt durch den Vergleich der Daten
DATAA, DATAB der
beiden redundanten Speicher MEMA, MEMB. Dieser Vergleich hat Vorteile, wenn ein
EDAC-Controller z.B. wegen MBU nicht mehr in der Lage ist einen
Fehler zu korrigieren. In einem solchen Fall kann der richtige Wert
vom jeweils anderen Speicher übernommen
werden.
-
7 zeigt
eine vereinfachte Darstellung eines weiteren Ausführungsbeispiels
der vorliegenden Erfindung, welches im Unterschied zum vorangegangenen
Ausführungsbeispiel
für Speicher
auch Echtzeitanwendungen ermöglicht.
Auch bei diesem Ausführungsbeispiel
sind Speichervorrichtungen MEMA, MEMB mit einer Fehlerdetektions- und Korrekturlogik EDAC1A bzw. EDAC1B und
EDAC2A bzw. EDAC2B und
Steuerungslogik CTLA, CTLB ausgestattet.
Die Schaltkreisabschnitte SAA und SAB sind mittels der Schalter SA und
SB von der Spannungsversorgung in Reaktion
auf das Auftreten eines Ereignisses, wie einem SEL, trenn bar. Die
Schaltkreisabschnitte SAA und SAB umfassen Steuerungslogik CTLA und
CTLB, sowie Speicher MEMA und
MEMB. Die grundsätzlichen Abläufe bezüglich der
Signale LUA, LUB und SYNCA bzw. SYNCB auf
die Schalter SA, SB erfolgt wie
bereits erläutert.
In dem hier dargestellten Beispiel sind die Speicherkomponenten
MEMA und MEMB als
Dual Port Memories ausgeführt.
Die Synchronisierung der Speicherkomponenten MEMA und MEMB wird dadurch von externen Zugriffen unabhängig. Außerdem ist
es möglich,
in einem sogenannten Refresh im Hintergrund MBUs zu vermeiden. Bei
einem derartigen Refresh wird der gesamte Speicher zyklisch ausgelesen
und eventuelle Fehler werden sofort korrigiert. Diese Art des Refresh
ist von dem Speicher-Refresh bei dynamischen Speichern zu unterscheiden,
die ohne Refresh ihre in Kondensatoren gespeicherten Daten verlieren
würden.
Die Schreib- und Lesezugriffe auf die Speicherkomponenten können parallel
erfolgen. Hierdurch wird eine Reduzierung der Synchronisationszeiten
möglich.
Außerdem besteht
die Möglichkeit,
dass die Fehler nach außen völlig unbemerkt
bleiben. Tritt nun ein Fehler auf, können die Daten der Speicher
intern synchronisiert werden, ohne dass diese nach außen hin
auftauchen. Hierzu sind zwei Datenbusse DATA2A und DATA2B vorgesehen. Außerdem sind gegenüber dem Ausführungsbeispiel
auf 6 zusätzliche
Korrekturblöcke
EDAC2A und EDAC2B vorgesehen,
welche eine interne Synchronisation ermöglichen. Der Austausch der
Daten von dem jeweilig nicht betroffenen Speicherbaustein MEMA bzw. MEMB zu dem
betroffenen Baustein MEMB bzw. MEMA kann nun intern über die Datenbusse DATA2A, und DATA2B erfolgen,
ohne dass die Synchronisierung nach außen hin in Erscheinung tritt.
Die Zeiten für
die Synchronisierung und den Refresh sind unabhängig von der Frequenz der externen
Speicherzugriffe über
die Datenbusse DATA1A und DATA1B.
Ein zusätzlicher
Schutz vor Fehlerereignissen wie MBUs kann durch Vergleich der Daten
beider Speicher erreicht werden.
-
Eines
der zentralen Probleme nach dem Auftreten und der Detektion eines
SEL und dem Wiedereinschalten der Betriebsspannung ist die möglichst schnelle
Synchronisierung der betroffenen Baugruppen (d.h. Schaltkreisabschnitte),
um den Schutz des Gesamtsystems vor weiteren SELs oder auch SEUs wieder
herzustellen. Vorteilhaft und angestrebt ist eine Behandlung der
Fehler, welche nach außen nicht
in Erscheinung tritt. Vorstellbar sind demnach auch eine parallele
Synchronisierung, eine serielle Synchronisierung und weitere spezielle
Synchronisierungsmechanismen für
Speicher und Register. Bei der parallelen Synchronisierung entsprechend
der ersten zwei Ausführungsbeispiele
erfolgt die Synchronisierung der gestörten Komponenten asynchron über den
Set/Reset-Eingang
der Flipflops direkt nach einer Datenübernahme von der ungestörten Seite.
Generell ist damit ein höherer
Verdrahtungsaufwand zwischen den Flipflops der redundanten Schaltkreisabschnitte
erforderlich. Bei einer etwas verminderten, aber konstanten Taktfrequenz kann
vermieden werden, dass die Fehler nach außen hin in Erscheinung treten.
Diesbezüglich
ist vorteilhaft eine Verzögerungszeit
für die
Synchronisation zu berücksichtigen.
Wird eine höhere
Taktfrequenz gewünscht,
kann z.B. eine Taktperiode des Systemtakts während der Synchronisation ausgelassen
werden. Bei der seriellen Synchronisation kann z.B. eine für Testzwecke
bereits vorhandene Scan-Chain eingesetzt werden. Dabei ist die Verzögerung abhängig von
der Anzahl der Komponenten, wie z.B. der Flipflops. Das System kann
während
dieser Synchronisation nicht weiterarbeiten. Eine zusätzliche
Implementierung von Schieberegistern ermöglicht, dass das System weiterarbeiten
kann und Fehler nach außen
hin nicht in Erscheinung treten. Neben der speziellen Synchronisation
für Speicher-
und Registerbänke
sind die Speicherbaugruppen mit SEU-Schutzbits (z.B. Parity) und
zugehörige
Auswerte-/Steuerlogik versehen. Außerdem kann die Steuerlogik
für einen
vorstehend beschriebenen Refresh im Hintergrund eingesetzt werden,
um MBUs zu vermeiden. Dabei wird der gesamte Speicher zyklisch ausgelesen,
und eventuelle Fehler werden sofort korrigiert.
-
Zur
Reduzierung des Verdrahtungsaufwands kann die Anordnung im Layout
angepasst werden. Es werden immer abwechselnd die redundanten und
getrennt versorgten Zellen in jeweils drei nebeneinander liegende
Spalten angeordnet. An jedem Kreuzungspunkt der Versorgungsleitungen
können
die benötigten
Schalter (Schaltmittel) und die Detektionsmittel (z.B. Komparatoren)
angeordnet werden. Auf diese Art und Weise kann auch ungenutzte
Chipfläche
vorteilhaft verwendet werden. Der restliche Teil der erforderlichen
Steuerung kann sowohl dezentral als auch zentral an einer Stelle
für alle
erforderlichen Steuerungsaufgaben ange ordnet sein. Es bietet sich
an, basierend auf den vorteilhaften Aspekten der vorliegenden Erfindung
eigene Standardzellen zu entwerfen, welche z.B. Flipflops mit Votern oder
Makrozellen für
jeweils drei redundante und getrennt versorgte Standardzellen beinhalten.
-
Die
erfindungsgemäßen Schaltmittel,
also Transistoren etc. lassen sich darüber hinaus bei allen vorstehenden
Ausführungsbeispielen
nicht nur für SELs
einsetzen, sondern können
generell für
ein verbessertes Power-Management verwendet werden.
-
Bei
einer weiteren vorteilhaften Ausgestaltung der vorliegenden Erfindung
werden viele Schalter zum Schutz vor Mikro-SELs eingesetzt. Die Schalter
sind dann vorzugsweise sehr klein auszuführen. Beim Einsatz vieler solcher
kleinen Schalter kann bei einem SEL die durch den eingeschalteten Schalter
hervorgerufene Strombegrenzung unter dem Thyristor-Haltestrom liegen.
In einer solchen Situation ist ein aufwändiges SEL-Management überflüssig, denn
während
des SEL sorgen die Voter für das
richtige Ausgangssignal und nach dem SEL ist der Kurzschluss automatisch
behoben. Demnach können
also die Schaltkreisabschnitte und die zugehörigen Schalter so ausgestaltet
sein, dass ein SEL in einem Schaltkreisabschnitt einen Strom zur
Folge hat, welcher unter dem Thyristor-Haltestrom liegt, so dass
es nicht zu einer dauernden Stromerhöhung kommt.
-
Bei
einer anderen vorteilhaften Ausgestaltung der vorstehenden Ausführungsbeispiele
können die
Controller und Voter so umgeschaltet werden, dass auch eine separate
Nutzung der redundanten Systeme – also z.B. ohne SEU/SEL Schutz
möglich ist.
Außerdem
kann die Logik vorsehen, dass redundante Systeme abgeschaltet werden,
wenn die Systeme (also ein erfindungsgemäßer elektronischer Schaltkreis
mit entsprechenden Schaltkreisabschnitten) in einer strahlensicheren
Umgebung eingesetzt werden. Dadurch kann vorteilhaft Strom eingespart werden.