DE102010031030B3

DE102010031030B3 - Datenschnittstelle mit eigensicherer, integrierter Fehlererkennung

Info

Publication number: DE102010031030B3
Application number: DE102010031030A
Authority: DE
Inventors: Natalja Kehl; Siegbert Steinlechner
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2010-07-07
Filing date: 2010-07-07
Publication date: 2011-11-17
Anticipated expiration: 2030-07-08
Also published as: JP2013534108A; KR20130093583A; WO2012004065A1; US20130176050A1; EP2591552A1; CN102986141A; US9083331B2; JP5638131B2; CN102986141B

Abstract

Die Erfindung betrifft eine eigensichere digitale Schaltung (70, 80, 900, 1000, 1100, 1400, 1500, 1600, 1700, 1800, 123, 120, 131) mit mindestens einem Ausgangssignal (S0, y0, y1) und mindestens vier Eingangssignalen (Sin, a0, a1, b0, b1) zum Feststellen eines potentiellen Fehlers in der Schaltung (70, 80, 900, 1000, 1100, 1400, 1500, 1600, 1700, 1800, 123, 120, 131) und/oder in einem ihrer Eingangssignale (Sin, a0, a1, b0, b1), wobei mindestens vier Eingangssignale (a0, a1, b0, b1) zwei zweigleisig invertierte Eingangssignalpaare (a, b) bilden und mindestens zwei Ausgangssignale (y0, y1) ein zweigleisig invertiertes Ausgangssignalpaar (y) bilden, dadurch gekennzeichnet, dass das Ausgangssignalpaar (y) eine Information übermittelt, die der eines Eingangssignalpaares (a) gleicht, wenn der Fehler nicht vorliegt.

Description

Stand der Technik
Die Erfindung geht aus von einer Schaltung oder einem Verfahren nach Gattung der unabhängigen Ansprüche.
Die Erfindung betrifft die Erkennung von Fehler oder Störungen in digitalen Schaltungen.
Sicherheitskritische Anwendungen erfordern Schaltungen, die eine Erkennung eines vorliegenden permanenten oder transienten Fehlers erlauben. Aus Parag K. Lala, „Self-Checking and fault tolerant digital design”, Academic Press 2001, ist bekannt, dass dazu eine invertiert verdoppelte Schaltung verwendet wird. Die Ausgänge dieser Schaltung sind im Fehlerfall gleich, so dass für eine nachfolgende Schaltung ein Fehler signalisiert wird. Ferner sind sogenannte eigensichere Two-Rail-Checker bekannt, die zu einer Signalisierung eines Fehlers zwei Ausgänge nutzen, so dass ein Defekt an einem der beiden eigenen Ausgänge ebenfalls erkannt wird. Ein herkömmlicher Two-Rail-Checker besitzt in seiner Grundform zwei Eingangssignalpaare, bestehend jeweils aus einem Signal und seinem invertierten Signal, und ein Ausgangssignalpaar zur Fehlererkennung. Ein Signalpaar wird üblicherweise als Two-Rail-Signal bezeichnet. Ein Two-Rail-Signal wird als gültig angesehen, wenn seine Einzelsignale nicht gleich im Boolschen Sinne sind. Mehrere solcher Two-Rail-Checker können in einer Schaltung kombiniert werden, um mehr als zwei Eingangssignalpaare auf Fehler zu überprüfen.
In 2 ist ein Ersatzschaltbild eines herkömmlichen Two-Rail-Checkers 20 mit einem ersten Eingangs-Two-Rail-Signal a gezeigt, bestehend aus einem Eingangssignal a₁ und einem Eingangssignal a₀, und einem zweiten Eingangs-Two-Rail-Signal b, bestehend aus einem Eingangssignal b₁ und einem Eingangssignal b₀, und einem Ausgangs-Two-Rail-Signal y, bestehend aus einem Ausgangsignal y₁ und einem Ausgangsignal y₀.
1 zeigt eine Wahrheitstabelle 10 für einen herkömmlichen Two-Rail-Checker 20. Die Wahrheitstabelle 10 zeigt für jede gültige Eingangskombination der Eingangssignale a₀, a₁, b₀, b₁ die gültigen Ausgangssignale y₀, y₁. Die in der Wahrheitstabelle dargestellten Kombinationen stehen für den fehlerfreien Fall, d. h. anhand des Ausgangssignalpaares y kann auf gültige Eingangssignalpaare a, b geschlossen werden. Ein ungültiges Eingangssignalpaar führt zu einem ungültigen Ausgangssignalpaar, das durch die Gleichheit seiner einzelnen Ausgangssignale y₀ und y₁ erkannt wird. Zeigen die Ausgangssignale y₀ = 1 und y₁ = 0 bzw. y₀ = 0 und y₁ = 1, liegt also kein Fehler vor, zeigen die Ausgangssignale y₀ = 0 und y₁ = 0 bzw. y₀ = 1 und y₁ = 1 liegt ein Fehler vor.
3 stellt eine Umsetzung eines Two-Rail-Checkers 20 dar. Der Two-Rail-Checker 20 besteht aus vier UND-Gattern 30, 31, 32, 33 und zwei ODER-Gattern 34 und 35. Anhand der Ausgabesignale y₀, y₁ eines auf diese Weise realisierten Two-Rail-Checker kann sowohl erkannt werden, ob die Eingangssignale a₀, a₁, b₀, b₁ gültig sind, als auch ob der Two-Rail-Checker 20 fehlerfrei arbeitet. Um die Fehlerfreiheit des Two-Rail-Checkers 20 zu ermitteln, ist ein Test mit den vier gültigen Eingangskombinationen durchzuführen.
4 zeigt eine Fehlerüberprüfungsschaltung 40 mit vier Eingangssignalpaaren a, b, c, d. Dazu werden drei Two-Rail-Checker 20, 20', 20'' in einer Kaskade zusammengeschaltet, und damit zu einem Ausgangssignalpaar y kombiniert.
5 zeigt ein Beispiel einer Schaltung 50, die aus mehreren Signalverarbeitungsblöcken 51, 52, 53, 54 besteht. Ein Eingangssignal S_in wird in der Schaltung zu einem Ausgangssignal S_out verarbeitet. Jeder Signalverarbeitungsblock 51, 52, 53, 54 ist an eine Fehlererkennungsschaltung 55, 56, 57, 58 angeschlossen, Jede der Fehlererkennungsschaltungen 55, 56, 57, 58 hat ein Ausgangssignalpaar d, c, b, a. Die Ausgangssignalpaare d, c, b, a sind wiederum Eingangssignalpaare für die Fehlerüberprüfungsschaltung 40 und werden zu einem einzigen Ausgangssignalpaar y zusammenführt. Das Ausgangssignal y zeigt, ob ein Fehler in der Schaltung 50 vorliegt oder nicht.
Offenbarung der Erfindung
Vorteile der Erfindung
Die erfindungsgemäße Schaltung mit den Merkmalen des unabhängigen Anspruchs 1 hat demgegenüber den Vorteil, dass die eigensichere Schaltung zusätzlich zur Funktion der Fehlererkennung im fehlerfreien Fall eine Information eines Eingangssignalpaares über ein Ausgangssignalpaar überträgt. Dies eröffnet die Möglichkeit, mit der Schaltung zur Fehlerüberprüfung eine zusätzliche Funktion zu erfüllen, nämlich die Übermittelung einer Information, gleichzeitig zur Funktion der Fehlererkennung.
Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen der im unabhängigen Anspruch angegebenen Vorrichtung möglich.
Besonders vorteilhaft ist, wenn die Information eine Parität eines oder mehrerer weiterer Ausgangssignale trägt. Damit kann die nachfolgende Einrichtung zusätzlich überprüfen, ob hinter der überwachten Schaltung ein Fehler aufgetreten ist, der die Ausgangssignale gestört hat.
Zweckmäßiger Weise wird eine Schaltung mit mehreren Eingangssignalen und oder Ausgangssignalen, die eine Fehlererkennung integriert, so aufgebaut, dass intern baugleich Teilschaltungen verwendet werden. Solche Teilschaltungen können kostengünstig mit einer geringen Anzahl von CMOS-Transistoren hergestellt werden.
Vorteilhaft ist die Verwendung einer Datenschnittstelle zu der abgesicherten Schaltung, wobei ein Ausgangssignal eine Wortbreite von mehreren Bit aufweist, und das Ausgangssignalpaar im Nicht-Fehlerfall, ein weiteres Bit liefert.
Besonders vorteilhaft ist, wenn die weitere Information als 1-Bit-Information die Parität des mehrere Bit breiten Ausgangssignals darstellt, da somit in einer getakteten Schaltung, eine Fehlerüberprüfung eines nachfolgenden Registers ermöglicht wird.
Kurze Beschreibung der Zeichnungen
Es zeigen
1 eine Wahrheitstabelle eines bekannten Two-Rail-Checkers, der dem Stand der Technik entspricht,
2 ein Ersatzschaltbild für einen bekannten Two-Rail-Checker, der dem Stand der Technik entspricht,
3 eine Ausführungsform einer abgesicherten Schaltung für einen bekannten Two-Rail-Checker, der dem Stand der Technik entspricht,
4 eine abgesicherte Schaltung zur Reduktion von vier Two-Rail-Signalen auf ein Two-Rail-Signal, die dem Stand der Technik entspricht,
5 eine mehrstufige abgesicherte Schaltung mit Fehlererkennung in jeder Stufe, die dem Stand der Technik entspricht,
6 eine Wahrheitstabelle eines erfindungsgemäßen Two-Rail-Checkers,
7 ein Ersatzschaltbild für einen erfindungsgemäßen Two-Rail-Checker,
8–11 verschiedene Ausführungsformen einer abgesicherten Schaltung eines erfindungsgemäßen Two-Rail-Checkers,
12 eine abgesicherte Schaltung zur Reduktion von vier Two-Rail-Signalen auf ein erfindungsgemäßes Two-Rail-Signal,
13 eine abgesicherte Schaltung mit Ausgangsregister, und
14–18 verschiedene Ausführungsformen einer abgesicherten Schaltung eines erfindungsgemäßen Two-Rail-Checkers.
Ausführungsformen der Erfindung
In 7 ist ein Ersatzschaltbild eines erfindungsgemäßen Two-Rail-Checkers 70 gezeigt. Der erfindungsgemäße Two-Rail-Checker 70 weist ein erstes Eingangssignalpaar a, bestehend aus einem ersten Eingangssignal a₀ und einem zweiten Eingangssignal a₁, und ein Eingangssignalpaar b, bestehend aus einem dritten Eingangssignal b₀ und einem vierten Eingangssignal b₁, sowie ein Ausgangssignalpaar y, bestehend aus einem ersten Ausgangssignal y₀ und einem zweitem Ausgangssignal y₁, auf.
In 6 ist eine Wahrheitstabelle 60 eines erfindungsgemäßen Two-Rail-Checkers 70 für gültige, d. h. fehlerfreie, Fälle gezeigt. Die Wahrheitstabelle eines erfindungsgemäßen Two-Rail-Checker zeigt für ein Eingangssignalpaar a und ein Eingangssignalpaar b alle gültigen Kombinationen und die Belegung des Ausgangssignalpaares y. Die Wahrheitstabelle 60 zeigt, dass das Ausgangssignalpaar y das Eingangssignalpaar a reproduziert. Liegt kein Fehler vor, kann über das Eingangssignalpaar a, bzw. über eines seiner beiden Eingangssignale a₀ oder a₁, eine Information zum Ausgangssignalpaar y, bzw. zu einem seiner beiden Ausgangssignale y₀ oder y₁, übertragen werden. Ist als Information beispielsweise der Wert 0 gewünscht von dem Eingangssignal a₀ zu dem Ausgangssignal y₀ durch den erfindungsgemäßen Two-Rail-Checker 70 zu übertragen, wird das Eingangssignal a₀ auf 0 und das Eingangssignal a₁ auf 1 gesetzt. In diesem Fall müssen das Eingangsignal a₀ und das Eingangssignal a₁ unterschiedlich sein, um ein gültiges Eingangssignalpaar a ergeben.
Im Fehlerfall wird die übertragene Information nicht ausgewertet, da nicht sicher gestellt ist, dass die Information gültig ist. Der Fehlerfall liegt vor, wenn das Ausgangssignalpaar y ungültig ist, d. h. seine beiden Ausgangssignale y₀ und y₁ sind gleich, also y₀ = y₁ = 1 oder y₀ = y₁ = 0. Liegt der Fehlerfall vor, kann die übertragende Information nicht verwertet werden.
In 8 ist eine Ausführungsform einer erfindungsgemäßen Schaltung 80 für einen erfindungsgemäßen Two-Rail-Checker 70 gezeigt, die auch als Teilschaltung eingesetzt werden kann. Die Schaltung 80 besteht aus zwei herkömmlichen identischen Two-Rail-Checker 81, 82, zwei Eingangssignalpaaren a, b, und einem Ausgangssignalpaar y. Die Signaleingänge und Signalausgänge der herkömmlichen Two-Rail-Checkern 81, 82 sind speziell verschaltet, dass im fehlerfreien Fall für eine Belegung der Eingangssignalpaare a, b das Ausgangssignalpaar y der Wahrheitstabelle 60 entspricht. Die Schaltung 80 für einen Two-Rail-Checker 70 ist ebenso wie ein herkömmlicher Two-Rail-Checker eigensicher.
9 zeigt eine weitere Ausführungsform einer erfindungsgemäßen eigensicheren Schaltung 900 für einen erfindungsgemäßen Two-Rail-Checker 70. Die Schaltung besteht aus den UND-Gattern 90, 91, 92, 93, 98, 99 und den ODER-Gattern 94, 95, 96, 97.
10 zeigt eine weitere Ausführungsform einer erfindungsgemäßen eigensicheren Schaltung 1000 für einen erfindungsgemäßen Two-Rail-Checker 70. Die Schaltung besteht aus den UND-Gattern 104, 105, 106, 107, den ODER-Gattern 100, 101, 102, 103, 108, 109 und den Invertierungen 1080, 1090.
11 zeigt eine weitere Ausführungsform einer erfindungsgemäßen eigensicheren Schaltung 1100 für einen erfindungsgemäßen Two-Rail-Checker 70. Die Schaltung besteht aus den UND-Gattern 110, 111, 112, 113, 118, 119, den ODER-Gattern 114, 115, 116, 117 und den Invertierungen 1180, 1190.
14 zeigt eine weitere Ausführungsform einer erfindungsgemäßen eigensicheren Schaltung 1400 für einen erfindungsgemäßen Two-Rail-Checker 70. Die Schaltung besteht aus den UND-Gattern 144, 145, 146, 147 und den ODER-Gattern 140, 141, 142, 143, 148, 149.
15 zeigt eine weitere Ausführungsform einer erfindungsgemäßen eigensicheren Schaltung 1500 für einen erfindungsgemäßen Two-Rail-Checker 70. Die Schaltung besteht aus den UND-Gattern 150, 151, 156, 157, den ODER-Gattern 152, 153, 154, 155 und den Invertierungen 158, 159.
16 zeigt eine weitere Ausführungsform einer erfindungsgemäßen eigensicheren Schaltung 1600 für einen erfindungsgemäßen Two-Rail-Checker 70. Die Schaltung besteht aus den UND-Gattern 162, 163, 164, 165, den ODER-Gattern 160, 161, 166, 167 und den Invertierungen 168, 169.
17 zeigt eine weitere Ausführungsform einer erfindungsgemäßen eigensicheren Schaltung 1700 für einen erfindungsgemäßen Two-Rail-Checker 70. Die Schaltung besteht aus den UND-Gattern 170, 171, 176, 177, den ODER-Gattern 172, 173, 174, 175 und den Invertierungen 178, 179.
18 zeigt eine weitere Ausführungsform einer erfindungsgemäßen eigensicheren Schaltung 1800 für einen erfindungsgemäßen Two-Rail-Checker 70. Die Schaltung besteht aus den UND-Gattern 182, 183, 184, 185, den ODER-Gattern 180, 181, 186, 187 und den Invertierungen 188, 189.
12 zeigt eine Schaltung 120 einer Kaskade, die zwei herkömmliche Two-Rail-Checker 121, 121 und einen erfindungsgemäßen Two-Rail-Checker 123 aufweist, und zur Fehlerüberprüfung von vier Eingangssignalpaaren a, b, c, d dient. Dabei sind die Two-Rail-Checker so kombiniert, dass als zusätzliche Information das Eingangssignalpaar a übertragen wird.
13 zeigt eine abgesicherte Schaltung 130. Die Schaltung 130 weist einen Signalverarbeitungsblock 131 und ein Register 132 auf. In den Signalverarbeitungsblock 131 geht ein Eingangssignal S_in. Das Eingangssignal S_in kann aus mehreren Eingangssignalen bestehen, also eine beliebige Wortbreite haben. Der Signalverarbeitungsblock weist ein Ausgangssignal S_out und ein Ausgangssignalpaar y auf. Das Ausgangssignal S_out kann aus mehreren Ausgangssignalen bestehen, also eine beliebige Wortbreite haben. Das Ausgangssignalpaar y besteht aus den beiden Ausgangssignalen y₀ und y₁. In das Register 132 führen das Ausgangssignal S_out und das Ausgangssignalpaar y hinein. Das Register 132 weist als Ausgabesignal S_out' und das Ausgabesignalpaar y' auf. Das Ausgangssignal S_out' kann aus mehreren Ausgangssignalen bestehen, also eine beliebige Wortbreite haben. Das Ausgangssignalpaar y' besteht aus den beiden Ausgangssignalen y₀' und y₁'. Ferner ist das Register mit einem Takt T versehen. Der Signalverarbeitungsblock 131 verwendet einen erfindungsgemäßen Two-Rail-Checker.
Die übertragende Information im fehlerfreien Fall im Ausgabesignalpaar y ist die Parität des Ausgabesignals S_out. Eine nachfolgende Schaltung kann aus dem Signal S_out' und dem Ausgabesignalpaar y' auswerten, ob sowohl der Signalverarbeitungsblock 131 als auch das Register 132 und die Verbindungen fehlerfrei funktionieren. Dazu wertet die nachfolgende Schaltung, z. B. ein übergeordnetes Steuergerät, zuerst aus, ob das Ausgabesignalpaar y' einen fehlerhaften Fall anzeigt. Damit wird ermittelt, ob die Signalverarbeitung korrekt funktioniert. Ferner bestimmt die nachfolgende Schaltung, die Parität des Ausgabesignals S_out' und vergleicht die Parität mit der durch das Ausgangssignalpaar y' übertragenen Parität. Sind die beiden Paritäten ungleich, liegt ein Fehler im Register oder bei der Übertragung vor.

Claims

Eigensichere digitale Schaltung (70, 80, 900, 1000, 1100, 1400, 1500, 1600, 1700, 1800, 123, 120, 131) mit mindestens zwei Ausgangssignalen (S_out, y₀, y₁) und mindestens vier Eingangssignalen (S_in, a₀, a₁, b₀, b₁) zum Feststellen eines potentiellen Fehlers in der Schaltung (70, 80, 900, 1000, 1100, 1400, 1500, 1600, 1700, 1800, 123, 120, 131) und/oder in einem ihrer Eingangssignale (S_in, a₀, a₁, b₀, b₁), wobei mindestens vier Eingangssignale (a₀, a₁, b₀, b₁) zwei zweigleisig invertierte Eingangssignalpaare (a, b) bilden und mindestens zwei Ausgangssignale (y₀, y₁) ein zweigleisig invertiertes Ausgangssignalpaar (y) bilden, dadurch gekennzeichnet, dass das Ausgangssignalpaar (y) eine Information übermittelt, die der eines Eingangssignalpaares (a) gleicht, wenn der Fehler nicht vorliegt
Eigensichere digitale Schaltung (70, 80, 900, 1000, 1100, 1400, 1500, 1600, 1700, 1800, 123, 120, 131) nach Anspruch 1, wobei die Schaltung (70, 80, 900, 1000, 1100, 123, 120, 131) ein oder mehrere weitere Ausgangssignale (S_out) aufweist, die nicht zur Fehlerfeststellung dienen, und die übermittelte Information eine Paritätsinformation dieser weiteren Ausgangssignale (S_out) ist.
Eigensichere digitale Schaltung (70, 80, 900, 1000, 1100, 1400, 1500, 1600, 1700, 1800, 123, 120, 131) nach einem der Ansprüche 1–2, wobei die Schaltung (70, 80, 900, 1000, 1100, 123, 120, 131) intern mindestens eine zweigleisige invertiert verdoppelte eigensichere digitale Teilschaltung (70, 80, 900, 1000, 1100, 1400, 1500, 1600, 1700, 1800, 123) zum Feststellen eines Fehlers in einem ersten binären Eingangssignalspaar (a), bestehend aus einem ersten Eingangssignal (a₀) und einem zweiten Eingangssignal (a₁), und/oder zum Feststellen eines Fehlers in einem zweiten binären Eingangssignalpaar (b), bestehend aus einem dritten Eingangssignal (b₀) und vierten Eingangssignal (b₁), mit einem binären Ausgangssignalpaar (y), bestehend aus einem ersten Ausgangssignal (y₀) und einem zweiten Ausgangssignal (y₁), aufweist, wobei im fehlerfreien Zustand das zweite Eingangssignal (a₁) das invertierte erste Eingangssignal (a₀) anzeigt und das vierte Eingangssignal (b₁) das invertierte dritte Eingangssignal (b₀) anzeigt, das erste Ausgangssignal (y₀) gleich dem ersten Eingangssignal (a₀) ist, das zweite Ausgangssignal (y₁) gleich dem zweiten Eingangssignal (a₁) ist und das zweite Ausgangssignal (y₁) ungleich dem ersten Ausgangssignal (y₀) ist
Datenschnittstelle zu einer eigensicheren digitalen Schaltung (70, 80, 900, 1000, 1100, 1400, 1500, 1600, 1700, 1800, 123, 120, 131) nach einem der Ansprüche 1–3 mit einem Ausgangssignal (S_out), das eine Wortbreite von mehreren Bit aufweist, mit einem Fehlersignal (y), das ein erstes Bit (y₀) und ein zweites Bit (y₁) aufweist, wobei ein Fehler der abgesicherten Schaltung signalisiert wird, wenn das erste Bit (y₀) des Fehlersignals und das zweite Bit (y₁) des Fehlersignals gleich sind, dadurch gekennzeichnet, dass das erste Bit (y₀) des Fehlersignals oder das zweite Bit (y₁) des Fehlersignals eine 1-Bit-Information aus der abgesicherten Schaltung (70, 80, 900, 1000, 1100, 1400, 1500, 1600, 1700, 1800, 123, 120, 131) übermittelt, wenn kein Fehler signalisiert wird.
Datenschnittstelle nach Anspruch 4, wobei die 1-Bit-Information eine Paritätsinformation des Datenausgangs (S_out) ist
Verfahren zur Fehlererkennung in einer digitalen Schaltung (70, 80, 900, 1000, 1100, 1400, 1500, 1600, 1700, 1800, 123, 120, 131) und/oder ihrer Eingangssignale (a₀, a₁, b₀, b₁, S_in), wobei mindestens vier Eingangssignale (a₀, a₁, b₀, b₁) zwei zweigleisig invertierte Eingangssignalpaare (a, b) bilden, wobei mindestens zwei Ausgangssignale (y₀, y₁) ein zweigleisig invertiertes Ausgangssignalpaar (y) bilden, dadurch gekennzeichnet, dass die beiden Ausgangssignale (y₀, y₁) des Ausgangssignalpaares (y) verglichen werden, wobei ein Fehler festgestellt wird, wenn beide Ausgangssignale (y₀, y₁) gleich sind, wobei kein Fehler festgestellt wird, wenn beide Ausgangssignale (y₀, y₁) ungleich sind, wobei eine Information über das Ausgangssignalpaar (y) übertragen wird, wenn kein Fehler festgestellt wird.