-
Die vorliegende Erfindung betrifft ein abgesichertes Master-Slave-Flipflop, einen Integrierten Schaltkreis (IC) mit einem solchen abgesicherten Master-Slave-Flipflop und ein Kraftfahrzeug mit einem sicherheitskritischen Regelungssystem, das einen solchen Integrierten Schaltkreis enthält.
-
Stand der Technik
-
Mit fortschreitender Miniaturisierung Integrierter Schaltkreise steigt die Wahrscheinlichkeit, dass in einem Integrierten Schaltkreis dauerhaft oder vorübergehend gespeicherte Information durch Störeinflüsse wie kosmische Strahlung oder Alphateilchen zerstört oder verfälscht wird. Insbesondere können Informationsbits in RAM-Zellen, in Latches und in Master-Slave-Flipflops von einem gewünschten gespeicherten Zustand in den zu diesem inversen Zustand wechseln. Die in heutigen CMOS-Technologien gefertigten RAM-Zellen und Flipflops weisen eine Fehlerrate von etwa einem falschen Bit in 1000 Speicherzellen innerhalb eines Zeitraumes von 10^9 Betriebsstunden auf. Allerdings umfassen moderne Integrierte Schaltkreise tausende bis Millionen solcher Speicherzellen auf, so dass wenigstens für sicherheitskritische Anwendungen trotz der scheinbar geringen Fehlerrate einer einzelnen Speicherzelle ein inakzeptabel hohes Risiko einer Fehlfunktion des Gesamtsystems besteht. Für kraftfahrzeugbezogene Anwendungen wie Anti-Blockier-System, Elektronisches Sicherheitsprogramm (ESP), oder Lenkungs- und Bremskontrolle werden durch die Sicherheitsnorm ISO26262 zukünftig hohe Anforderungen gestellt, die sich ohne Absicherungen gegenüber solchen zufälligen Fehlfunktionen kaum einhalten lassen werden.
-
Um von äußeren Störungen verursachte Fehler zu erkennen oder sogar zu korrigieren, wurde in den letzten Jahren eine Vielzahl von Verfahren wie Prüfsummen, Hamming-Codes und dergleichen mehr entwickelt. Solche Verfahren sind jedoch in Integrierten Schaltkreisen nicht immer und überall praktikabel einsetzbar, weshalb grundsätzlich ein Bedürfnis nach einer möglichst fehlerunanfälligen Speicherzelle besteht. Zudem können solche abgesicherten Speicherzellen unter Umständen in Kombination mit Fehlererkennungs- und -korrekturverfahren eingesetzt werden, um eine noch geringere Wahrscheinlichkeit einer Fehlfunktion zu erreichen. Es sind daher besondere Schaltungen für Speicherzellen vorgeschlagen worden, die jedoch die Zahl der zu einer Speicherzelle verschalteten Transistoren stark erhöhen. Solche speziellen Schaltungen erfordern im automatisierten Schaltungsentwurf wie beispielsweise bei der automatisierten Schaltungssynthese aus in einer Beschreibungssprache wie VHDL oder Verilog abgefassten Beschreibungen angepasste Bibliotheken, die solche besonderen abgesicherten Speicherzellen aufweisen und nicht überall zur Verfügung stehen. Es ist daher eine abgesicherte Speicherzelle erstrebenswert, die selbst aus Standardzellen aufgebaut ist.
-
Aus der Schrift
US 7,164,302 B1 ist eine gegenüber Störsignalen abgesicherte Schaltgruppe bekannt, bei der ein erster und ein zweiter Serien-Parallel-Wandler Signale von einem Eingangselement und einem Taktgeber erhalten. Zur Sicherung gegenüber Störsignalen sind Prüfschaltungen vorgesehen, die in Abhängigkeit von den Ausgangssignalen der Serien-Parallel-Wandler Ausgangssignale erzeugen.
-
Offenbarung der Erfindung
-
Erfindungsgemäß wird daher ein abgesichertes Master-Slave-Flipflop mit einem Dateneingang, einem Takteingang und einem ersten Ausgang eingeführt. Das abgesicherte Master-Slave-Flipflop besitzt ein Haupt-Flipflop, ein Hilfs-Flipflop und eine Prüfschaltung. Das Haupt-Flipflop und das Hilfs-Flipflop besitzen jeweils einen mit dem Dateneingang des abgesicherten Master-Slave-Flipflops verbundenen Dateneingang, einen mit dem Takteingang des abgesicherten Master-Slave-Flipflops verbundenen Takteingang, sowie einen ersten Ausgang. Die Prüfschaltung weist mit den ersten Ausgängen des Haupt-Flipflops und des Hilfs-Flipflops verbundene erste Eingänge und einen mit dem ersten Ausgang des abgesicherten Master-Slave-Flipflops verbundenen ersten Ausgang auf. Die Prüfschaltung ist ausgebildet, einen an seinen ersten Eingängen anliegenden logischen Pegel zu speichern und einen von dem gespeicherten logischen Pegel abhängigen ersten logischen Ausgangspegel an seinen ersten Ausgang auszugeben, wenn ein logischer Pegel auf dem ersten Ausgang des Haupt-Flipflops gleich einem logischen Pegel auf dem ersten Ausgang des Hilfs-Flipflops ist, und andernfalls einen vorherigen gespeicherten logischen Pegel beizubehalten.
-
Die Erfindung besitzt den Vorteil, aus Standardzellen aufgebaut werden zu können. Da eine äußere Störung gewöhnlich nur örtlich stark begrenzte Auswirkungen hat, senkt die Abhängigkeit des Ausgangswertes des abgesicherten Master-Slave-Flipflops von den Ausgangswerten zweier parallel geschalteter Flipflops die Fehlerrate beträchtlich. Über eine einfache redundante Anordnung zweier oder mehrerer Flipflops hinaus ermöglicht die Erfindung durch die Prüfschaltung einen Schutz gegen transiente Fehler, also Fehler, die nicht mit einer Taktflanke zusammenfallen, da die Prüfschaltung nur dann ihren logischen Zustand ändert, wenn alle an ihren Eingängen anliegenden logischen Pegel übereinstimmend einen Wechsel des Eingangswertes der Prüfschaltung anzeigen. Da die Prüfschaltung selbst nicht flankengetriggert arbeitet, wird ein durch eine äußere Störung veränderter logischer Zustand der Prüfschaltung sofort durch die weiterhin anliegenden korrekten Eingangswerte korrigiert. Dies bedeutet, dass die logischen Zustände wenigstens zweier von drei Speicherzellen (Haupt-Flipflop, Hilfs-Flipflop, Prüfschaltung) durch eine äußere Störung verändert werden müssen, um den Ausgangswert des abgesicherten Master-Slave-Flipflops der Erfindung verfälschen zu können.
-
Die Erfindung kann dabei selbstredend auch mit einer größeren Anzahl von parallel geschalteten Flipflops und einer Prüfschaltung mit einer entsprechend erhöhten Anzahl von Eingängen verwirklicht werden, was die Sicherheit gegenüber Fehlern entsprechend erhöht.
-
Das abgesicherte Master-Slave-Flipflop wird bevorzugt mit differentiellen Logikpegeln ausgeführt. Dabei weisen das Haupt-Flipflop und das Hilfs-Flipflop jeweils einen mit zweiten Eingängen der Prüfschaltung verbundenen zweiten Ausgang auf. Die Prüfschaltung ist dann außerdem dazu ausgebildet, den an seinen ersten Eingängen anliegenden logischen Pegel zu speichern und den von dem gespeicherten logischen Pegel abhängigen ersten logischen Ausgangspegel an seinen ersten Ausgang auszugeben, wenn ein logischer Pegel auf dem zweiten Ausgang des Haupt-Flipflops gleich einem logischen Pegel auf dem zweiten Ausgang des Hilfs-Flipflops ist, und andernfalls den vorherigen gespeicherten logischen Pegel beizubehalten.
-
Dabei sind die ersten Ausgänge des Haupt-Flipflops und des Hilfs-Flipflops vorzugsweise ein ausgewählter Ausgang aus einer Gruppe von einem nichtinvertierenden Ausgang und einem invertierenden Ausgang und die zweiten Ausgänge des Haupt-Flipflops und des Hilfs-Flipflops ein verbleibender Ausgang der Gruppe von dem nichtinvertierenden Ausgang und dem invertierenden Ausgang. Da das Haupt-Flipflop und das Hilfs-Flipflop bei dieser Ausführungsform Ausgänge mit zueinander inversen logischen Pegeln haben, werden bevorzugt beide Ausgänge der beiden Flipflops durch die Prüfschaltung auf eine Abweichung der beiden von den Flipflops gespeicherten Zustände ausgewertet. Da in einem typischen Flipflop einer der beiden Ausgänge durch einfache Inversion von dem anderen abgeleitet wird, erhöht die Auswertung beider Ausgänge die Fehlersicherheit, weil einer der beiden Ausgänge seinen logischen Pegel im Fall eines fehlerhaften Kippens des Flipflops schneller als der andere ändern wird. Indem beide Ausgänge durch die Prüfschaltung ausgewertet werden, wird diese auch möglichst schnell in einen Zustand schalten, der eine Änderung des in der Prüfschaltung gespeicherten Wertes verhindert, bis wieder die Ausgangspegel beider Flipflops übereinstimmen.
-
Die Prüfschaltung enthält vorzugsweise ein erstes Logikgatter und eine bistabile Kippschaltung, wobei das erste Logikgatter mit den ersten Eingängen der Prüfschaltung verbunden und ausgebildet ist, ein erstes Vergleichssignal mit einem ersten logischen Pegel an die bistabile Kippschaltung auszugeben, wenn beide an den ersten Eingängen der Prüfschaltung anliegenden logischen Pegel einen vorbestimmten Pegel besitzen, und ansonsten das erste Vergleichssignal mit einem von dem ersten logischen Pegel verschiedenen zweiten logischen Pegel an die bistabile Kippschaltung auszugeben. Diese Ausführungsform beschreibt eine einfache Implementation der Erfindung, die auf eine minimale Zahl von Standardkomponenten zurückgreift.
-
Die Prüfschaltung kann zusätzlich ein mit den zweiten Eingängen der Prüfschaltung verbundenes zweites Logikgatter enthalten, das dazu ausgebildet ist, ein zweites Vergleichssignal mit dem ersten logischen Pegel an die bistabile Kippschaltung auszugeben, wenn beide an den zweiten Eingängen der Prüfschaltung anliegenden logischen Pegel den vorbestimmten Pegel besitzen, und ansonsten das zweite Vergleichssignal mit dem zweiten logischen Pegel an die bistabile Kippschaltung auszugeben. Die bistabile Kippschaltung ist dabei dazu ausgebildet, den an den ersten Eingängen der Prüfschaltung anliegenden logischen Pegel zu speichern, wenn jeweils genau eines von erstem und zweitem Vergleichssignal den ersten und zweiten logischen Pegel anzeigt. Diese Ausführungsform der Erfindung kann mit insgesamt zwei Flipflops und vier Logikgattern aufgebaut werden, wodurch sich ein geringer Mehraufwand für die Absicherung des Master-Slave-Flipflops ergibt.
-
Das erste Logikgatter kann ein erstes AND-Gatter und das zweite Logikgatter ein zweites AND-Gatter sein. In einer gleichwertigen alternativen Ausführung kann das erste Logikgatter ein erstes OR-Gatter und das zweite Logikgatter ein zweites OR-Gatter sein.
-
Die bistabile Kippschaltung kann zwei NOR-Gatter oder zwei NAND-Gatter umfassen.
-
Besonders bevorzugt wird die Prüfschaltung als Komplex-Gatter in CMOS-Schaltungstechnik aufgebaut.
-
Ein zweiter Aspekt der Erfindung führt einen Integrierten Schaltkreis mit einem abgesicherten Master-Slave-Flipflop gemäß dem ersten Erfindungsaspekt ein.
-
Die Erfindung betrifft außerdem ein Kraftfahrzeug mit einem sicherheitskritischen Regelungssystem, insbesondere einem Anti-Blockier-System (ABS) oder einem Elektronischen Stabilitätsprogramm (ESP), wobei das sicherheitskritische Regelungssystem einen Integrierten Schaltkreis gemäß dem vorhergehenden Erfindungsaspekt umfasst.
-
Zeichnungen
-
Ausführungsbeispiele der Erfindung werden anhand der Zeichnungen und der nachfolgenden Beschreibung näher erläutert, wobei gleiche Bezugszeichen gleiche oder funktional gleichartige Komponenten bezeichnen. Es zeigen:
-
1 ein erstes Ausführungsbeispiel der Erfindung,
-
2 ein zweites Ausführungsbeispiel der Erfindung,
-
3 ein drittes Ausführungsbeispiel der Erfindung,
-
4 ein erstes Ausführungsbeispiel einer als Komplex-Gatter ausgeführten Prüfschaltung, und
-
5 ein zweites Ausführungsbeispiel einer als Komplex-Gatter ausgeführten Prüfschaltung.
-
Ausführungsformen der Erfindung
-
1 zeigt ein erstes Ausführungsbeispiel der Erfindung. Das abgesicherte Master-Slave-Flipflop 1, das funktional einem gewöhnlichen Flipflop entspricht und dementsprechend einen Dateneingang D, einen Takteingang CLK und einen Datenausgang Q besitzt, enthält zwei parallel geschaltete Flipflops 11 und 12 sowie eine Prüfschaltung 13. Wie bei allen Ausführungsformen der Erfindung kann auch eine höhere Anzahl von Flipflops parallel geschaltet werden, um die Störunanfälligkeit des abgesicherten Flipflops weiter zu erhöhen. Hierzu muss lediglich die Prüfschaltung 13 sowie die darin enthaltene Logik mit entsprechend mehr Eingängen versehen werden.
-
Die Prüfschaltung 13 ist eingangsseitig mit den parallel geschalteten Flipflops und ausgangsseitig mit dem Ausgang des abgesicherten Master-Slave-Flipflops 1 verbunden. Die Prüfschaltung 13 enthält im gezeigten Beispiel ein Logikgatter 131, das vorliegend als Äquivalenzgatter ausgebildet ist, und eine bistabile Kippschaltung (Latch) 133. Das Latch 133 besitzt einen Enable-Eingang EN, der mit dem Ausgang des Logikgatters 131 verbunden ist. Das Latch 133 schaltet bei einem hohen logischen Pegel am Enable-Eingang EN seinen Eingang D auf seinen Ausgang Q durch (Enable-Zustand) und speichert bei niedrigem logischen Pegel am Enable-Eingang EN den zuletzt an seinem Eingang D anliegenden logischen Pegel (Disable-Zustand). Die Erfindung macht sich diese wohlbekannte Eigenschaft zunutze, indem sie das Latch 133 im Enable-Zustand EN hält, solange die Ausgangswerte der parallel geschalteten Flipflops 11 und 12 einander gleichen, also entweder beide einen hohen logischen Pegel oder beide einen niedrigen logischen Pegel aufweisen. In diesem Fall wird angenommen, dass der von den beiden Flipflops 11 und 12 gespeicherte Wert nicht durch äußere Störeinflüsse verfälscht wurde, weshalb der Ausgangswert des Latches 133 demjenigen der beiden Flipflops 11 und 12 folgen soll. Dies soll selbstredend insbesondere auch dann geschehen, wenn beide Flipflops 11 und 12 im Betrieb aufgrund geänderter Eingangswerte ihren gespeicherten Wert ändern.
-
Unterscheiden sich hingegen die beiden Ausgangswerte der parallel geschalteten Flipflops 11 und 12 voneinander, wird angenommen, dass der gespeicherte Pegel eines der beiden Flipflops 11 oder 12 durch eine äußere Störung verfälscht wurde. Daher schaltet das Logikgatter 131 das Latch 133 in den Disable-Zustand, um den im Latch 133 gespeicherten Wert vor dem Störeinfluss zu schützen. Je nach innerem Aufbau von Logikgatter 131 und Latch 133 kann es dabei sinnvoll sein, ein Verzögerungselement 132 vorzusehen, damit ein bereits durch einen äußeren Störeinfluss verfälschter Wert nicht schon in das Latch 133 eingeschrieben werden kann, bevor das Latch 133 in den Disable-Zustand geschaltet wird. Ein solches Verzögerungselement 132 kann beispielsweise eine Kette von Invertern enthalten, die den logischen Pegel des Eingangswertes für das Latch 133 nicht verändert, sondern lediglich aufgrund der Gatterlaufzeiten im Verzögerungselement 132 das Erscheinen einer Verfälschung am Dateneingang des Latches 133 verzögern.
-
2 zeigt ein zweites Ausführungsbeispiel der Erfindung. Das abgesicherte Master-Slave-Flipflop 2 des zweiten Ausführungsbeispiels besitzt zwei Flipflops 21 und 22, die komplementäre Ausgänge Q und /Q besitzen. Der Ausgang /Q gibt dabei die logische Inverse des Ausgangswertes des Ausgangs Q aus. Das zweite Ausführungsbeispiel besitzt den Vorteil, dass der Aufwand für die Prüfschaltung gegenüber dem ersten Ausführungsbeispiel deutlich reduziert ist; in üblicher CMOS-Gatter-Technologie benötigt die Prüfschaltung des ersten Ausführungsbeispiels 28 Transistoren. Die Prüfschaltung 23 des zweiten Ausführungsbeispiels besitzt außerdem eine bistabile Kippschaltung 233, die hier aus zwei NOR-Gattern 2331 und 2332 aufgebaut ist, welche beide einen auf einen Eingang des jeweils anderen NOR-Gatters 2331, 2332 rückgekoppelten Ausgang aufweisen.
-
Die Struktur der bistabilen Kippschaltung 233 ist im Stand der Technik wohlbekannt. Der von der bistabilen Kippschaltung 233 eingenommene Zustand wird festgelegt, indem jeweils genau einer ihrer Eingänge einen hohe logischen Pegel beziehungsweise einen niedrigen logischen Pegel erhält. Werden beide Eingänge auf einen niedrigen logischen Pegel gesetzt, behält die bistabile Kippschaltung 233 ihren vorherigen Zustand bei. Hierzu kommt es, wenn beide AND-Gatter 231 und 232 unterschiedliche Eingangswerte erhalten, die von den Flipflops 21 und 22 gespeicherten Werte also voneinander abweichen. Zu einem Zustand, bei dem beide Eingänge der bistabilen Kippschaltung 233 einen hohen logischen Pegel erhalten, kann es nicht kommen, weil dazu bei beiden Flipflops 21 und 22 die zueinander logisch inversen Ausgänge Q und /Q einen hohen logischen Pegel ausgeben müssten.
-
3 zeigt ein drittes Ausführungsbeispiel der Erfindung, das als äquivalente Alternative zum zweiten Ausführungsbeispiel anzusehen ist. Die Prüfschaltung 33 umfasst hierbei eine aus zwei NAND-Gattern 3331 und 3332 aufgebaute bistabile Kippschaltung 333, die ebenfalls im Stand der Technik gut bekannt ist. Anstelle der beiden AND-Gatter sind beim dritten Ausführungsbeispiel aufgrund der alternativen Ausführungsform der bistabilen Kippschaltung 333 jedoch zwei OR-Gatter 331 und 332 vorgesehen. Die prinzipielle Funktionsweise des dritten Ausführungsbeispiels der Erfindung unterscheidet sich jedoch von der des zweiten Ausführungsbeispiels lediglich dadurch, dass die bistabile Kippschaltung 333 in den Disable-Zustand geschaltet wird, indem ihre beiden Eingänge einen hohen logischen Pegel erhalten. Dies geschieht dann, wenn beide Flipflops 31, 32 unterschiedliche Ausgangswerte ausgeben, weil dann jedes der OR-Gatter 331 und 332 an einem seiner Eingänge einen hohen logischen Pegel erhält und deshalb auch einen hohen logischen Pegel ausgibt.
-
4 zeigt ein erstes Ausführungsbeispiel einer aus zwei Komplex-Gattern ausgeführten Prüfschaltung. Wie aus der CMOS-Schaltungstechnik bekannt ist, können logische Funktionen mehrerer aufeinander folgender Gatter in einem Komplex-Gatter zusammengefasst werden. 4 zeigt eine solche Implementation für die Prüfschaltung 23 des zweiten Ausführungsbeispiels der Erfindung. Dabei bezeichnen die Eingänge A und /A die Ausgänge Q und /Q eines der beiden Flipflops 21 oder 22, die Eingänge B und /B diejenigen des verbleibenden der beiden Flipflops 21 oder 22. Die Ausgänge Q und /Q des Komplex-Gatters stellen die Ausgänge der Prüfschaltung 23 dar.
-
5 zeigt ein zweites Ausführungsbeispiel einer aus zwei Komplex-Gattern ausgeführten Prüfschaltung, diesmal für die Prüfschaltung 33 des dritten Ausführungsbeispiels der Erfindung. Für die Eingänge gilt das zur 4 Gesagte, übertragen auf die Flipflops 31 und 32 des dritten Ausführungsbeispiels der Erfindung.
-
Die Komplex-Gatter der 4 und 5 besitzen den Vorteil einer Implementierung der Erfindung mit einer möglichst geringen Anzahl von Transistoren. Eine derart implementierte Prüfschaltung kann als Grundzelle in einer Bibliothek von Schaltungselementen definiert werden, so dass sie im Rahmen der Register-Transfer-Level-Schaltungsentwicklung oder einer automatisierten Schaltungssynthese verwendet werden kann.
