DE60125442T2

DE60125442T2 - Dreifachredundante selbstschrubbende integrierte Schaltung

Info

Publication number: DE60125442T2
Application number: DE60125442T
Authority: DE
Inventors: Kirk Fullerton Kohnen
Original assignee: Boeing Co
Current assignee: Boeing Co
Priority date: 2000-02-29
Filing date: 2001-02-07
Publication date: 2007-10-11
Anticipated expiration: 2021-02-08
Also published as: DE60125442D1; EP1130515A2; US6637005B1; EP1130515B1; EP1130515A3

Description

TECHNISCHES GEBIET
Die vorliegende Erfindung betrifft allgemein fehlertolerante Vorrichtungen, insbesondere eine selbstnachbessernde integrierte Schaltung mit dreifacher Redundanz.
ALLGEMEINER STAND DER TECHNIK
Integrierte Schaltungen (ICs), die in Computern und anderen Elektroniksystemen an Bord von Weltraumfahrzeugen benutzt werden, sind empfindlich gegenüber einem Phänomen, das als „Single Event Upset" oder „SEU" bekannt ist. Single Event Upset tritt auf, wenn Strahlung, die durch eine integrierte Schaltung hindurchgeht, Streuladungen in der Vorrichtung erzeugt, die dazu führen, dass eines ihrer Register gestört wird.
Eine Technik zur Reduzierung von Single Event Upset besteht darin, die Inhalte der Register mit einer Art von Fehlerkorrektur zu kodieren. Allerdings benötigen herkömmliche Fehlerkorrekturtechniken einen „Reinigungs-" bzw. „Nachbesse rungs"-Prozess, bei dem Daten regelmäßig aus einem Register ausgelesen, korrigiert, neu kodiert und wieder in dem Register abgespeichert werden. Dieser Nachbesserungszyklus unterbricht die normale Benutzung des Registers und falls mehrere Fehler zwischen Nachbesserungszyklen auftreten, kann der Nachbesserungsprozess zur Korrektur der Fehler nicht erfolgreich sein.
US-Patent Nr. 5,031,180 offenbart ein fehlertolerantes Register mit dreifacher Redundanz. Dieser Lösungsweg besitzt den Vorteil einer „Selbstnachbesserung", d.h. ein SEU kann keine permanente Änderung des Status eines Speicherelements innerhalb des Registers verursachen. Die Implementierung dieses Lösungswegs ist jedoch effizienter bei einer Kooperation mit einem Händler von semi-custom-integrierten Schaltungen. Dies deshalb, weil zur Benutzung des Verfahrens von US-Patent Nr. 5,031,180 die Erfindung am besten in einem halbkundenspezifischen Bibliothekselement von einem Händler von integrierten Schaltungen entworfen wird.
US 4,785,200 offenbart ein selbstkorrigierendes CMOS-Register, das singleevent-upset-robust ist, welches einen Masterteil und einen Slaveteil umfasst. Der Masterteil ist mit einer Datenquelle gekoppelt und umfasst ein Feedbackmittel, derart, dass der Masterteil die Daten während der ersten Phase eines zweiphasigen Taktsignals speichern kann. Ein Slaveteil, der einen zweiten Feedbackpfad umfasst, besitzt einen Eingang, der mit dem Ausgang-Offset-Masterteil verbunden ist, und besitzt einen Ausgang, der mit dem Ausgang des Registers verbunden ist. Eine ungerade Anzahl von Invertierern ist in Reihe in dem Feedbackpfad platziert, um jeden Knoten zu isolieren, der einen möglichen Ort für das Eintreffen von Partikeln hoher Energie von anderen Knoten in der Schleife ist und um jegliche Impulse zu dämpfen und zu verzögern, derart, dass der Zustand des Fehlerimpulses nicht aufrechterhalten werden kann, um somit der Slaveschleife zu ermöglichen, in dem Zustand zu verbleiben, der von dem vorhergehenden Datenimpuls bestimmt wurde.
US 4,375,683 offenbart ein fehlertolerantes Computersystem mit einer Voter- bzw. Wahlschaltung, die Eingangssignale von mehreren Computervorrichtungen empfängt und ein Ausgangssignal in einer Übereinstimmung mit einer Mehrheit der Eingangssignale erzeugt. Ebenfalls ist eine Taktschaltung zur Synchronisierung der Datenausgänge von den Computervorrichtungen enthalten, so dass der Eingang der Wahlschaltung synchronisiert ist. Das System kann zur Fehlererfassung angepasst werden, indem die Ausgangssignalwahlschaltung mit den Ausgangssignalen jedes Computerkanals verglichen wird.
Die Nachteile, die mit diesen herkömmlichen Fehlerschutztechniken verknüpft sind, haben offenbart, dass eine neue Technik zum Schutz von IC-Registern gegen Single Event Upset benötigt werden. Vorzugsweise ist die neue Technik selbst nachbessernd. Die neue Technik sollte auch keine starke Vergrößerung des Schaltungsgebiets erforderlich machen.
ZUSAMMENFASSUNG DER ERFINDUNG
Es ist deshalb eine Aufgabe der Erfindung, eine verbesserte und zuverlässige selbstnachbessernde integrierte Schaltung mit dreifacher Redundanz anzugeben. Eine andere Aufgabe der Erfindung besteht darin, eine gegen Single-Event-Upset resistente Vorrichtung bereitzustellen, die keine halbkundenspezifischen integrierten Schaltungen benötigt.
Bei einer Ausführungsform der Erfindung, die im Detail in dem angehängten unabhängigen Anspruch 1 definiert ist, benutzt eine fehlertolerante integrierte Schaltung, einen Datenspeicher mit dreifacher Redundanz und einer kontinuierlichen Abstimmung, um Daten gegenüber Single Event Upset oder SEU zu schützen. Die integrierte Schaltung umfasst drei oder mehr Register und einen Majority Voter. Die drei Register sind in Reihe miteinander verbunden, wobei der Ausgang des ersten Registers mit dem Eingang des zweiten Registers und der Ausgang des zweiten Registers mit dem Eingang des dritten Registers verbunden sind. Der Majority Voter ist mit dem Ausgang jedes Registers verbunden und erzeugt ein Signal entsprechend der Mehrheit aller Registerausgänge. Der Ausgang des Majority Voters ist mit dem Eingang des ersten Registers verbunden, um damit jedes nicht richtige Datum zu korrigieren, das in den Registern gespeichert ist.
Die vorliegende Erfindung erreicht somit eine verbesserte selbstnachbessernde integrierte Schaltung mit dreifacher Redundanz. Die vorliegende Erfindung ist vorteilhaft insoweit als sie nicht die Erzeugung von neuen Bibliothekselementen erfordert, und sie ist selbst nachbessernd.
Zusätzliche Vorteile und Merkmale der vorliegenden Erfindung ergeben sich aus der nachfolgenden Beschreibung zusammen mit den begleitenden Zeichnungen, und können mittels der Einrichtungen und Kombinationen realisiert werden, die in den angehängten Ansprüchen ausgeführt sind.
KURZE BESCHREIBUNG DER ZEICHNUNG
Um die Erfindung besser zu verstehen, werden nun einige Ausführungsformen beschrieben, die beispielhaft angegeben sind, wobei auf die begleitenden Zeichnungen Bezug genommen wird, in denen:
1 ein Satellitensystem darstellt, in dem eine fehlertolerante integrierte Schaltung entsprechend der vorliegenden Erfindung verwendet werden kann;
2 eine fehlertolerante integrierte Schaltung entsprechend einer bevorzugten Ausführungsform der vorliegenden Erfindung schematisch darstellt;
3 eine äquivalente fehlertolerante integrierte Schaltung entsprechend einer bevorzugten Ausführungsform der vorliegenden Erfindung schematisch darstellt, mit einem nicht aktiven Lastfreigabesignal.
BESTE MODI ZUR AUSFÜHRUNG DER ERFINDUNG
Bezugnehmend auf 1 ist ein Satellitensystem 10 dargestellt, in dem eine fehlertolerante integrierte Schaltung entsprechend der vorliegenden Erfindung verwendet werden kann. Das Satellitensystem 10 umfasst einen oder mehrere Satelliten 12, die in Kommunikation mit einer Bodenstation 14 stehen, die sich auf der Erde 16 befindet. Jeder Satellit 12 enthält einen oder mehrere fehlertolerante integrierte Schaltungen 18.
Das Satellitensystem 10 ist verantwortlich für den Schutz von Daten gegen Single Event Upset oder SEU. Integrierte Schaltungen, die in Computern und anderen elektronischen Systemen an Bord von Weltraumfahrzeugen verwendet werden, sind empfänglich für ein Phänomen, das als Single Event Upset oder SEU bekannt ist. Single Event Upset tritt auf, wenn Strahlung durch eine integrierte Schaltung hindurchgeht und Streuladungen in der Vorrichtung hervorruft, die eines ihrer Register stört. Mehrere Fehlerschutztechniken können verwendet werden, um die Anzahl von SEUs zu reduzieren, die in integrierten Schaltungen auftreten, die an Bord von Weltraumfahrzeugen verwendet werden, aber diese herkömmlichen Techniken haben mehrere Nachteile.
Bezugnehmend auf 2 ist eine schematische Darstellung einer fehlertoleranten integrierten Schaltung 18 entsprechend einer bevorzugten Ausführungsform der vorliegenden Erfindung gezeigt. Die fehlertolerante integrierte Schaltung 18 umfasst drei Register R₁, R₂ und R₃ und einen Majority Voter 20. Jedes Register umfasst zwei Eingänge A und B und einen einzelnen Ausgang. Das erste Register R₁ umfasst einen ersten Eingang A₁, einen ersten Ausgang und einen vierten Eingang B₁. Das zweite Register R₂ umfasst einen zweiten Eingang A₂, einen zweiten Ausgang und einen fünften Eingang B₂. Das dritte Register R₃ umfasst einen dritten Eingang A₃, einen dritten Ausgang und einen sechsten Eingang B₃. Der Majority Voter 20 umfasst eine Vielzahl von Voter-Eingängen und einen Voter-Ausgang. In einer anderen Ausführungsform der vorliegenden Erfindung können ein oder mehrere vierte Register, die vierte Ausgänge haben, verwendet werden. Ein Fachmann wird erkennen, dass eine ungerade Anzahl von Registern, d.h. drei, fünf, sieben etc., effizienter ist als eine gerade Anzahl von Registern.
Die fehlertolerante integrierte Schaltung 18 umfasst eine Vielzahl von Leitungen zum Verbinden verschiedener Komponenten. Ein Datensignal auf Leitung 22 wird parallel als viertes, fünftes und sechstes Eingangssignal B₁, B₂ und B₃ zugeführt. Der erste Ausgang des ersten Registers R₁ auf Leitung 24 wird einem zweiten Eingang A₂ und einem der Vielzahl von Voter-Eingängen zugeführt. Der zweite Ausgang des zweiten Registers R₂ auf Leitung 26 wird dem dritten Eingang A₃ und einem der Vielzahl von Voter-Eingängen zugeführt. Der dritte Ausgang des dritten Registers R₃ auf Leitung 28 wird einem der Vielzahl von Voter-Eingängen zugeführt. Der Voter-Ausgang des Majority Voters 20 auf Leitung 30 wird einem ersten Eingang A₁ zuge führt und entspricht einer Mehrheit von erstem, zweitem und drittem Ausgang auf Leitungen 24, 26 und 28.
Die Übertragung der Daten von entweder A- oder B-Eingang zu dem Registerausgang wird erreicht durch Verwendung eines Freigabesignals und eines Taktsignals. Das Freigabesignal auf Leitung 32 wird parallel dem ersten, dem zweiten und dem dritten Register R₁, R₂ und R₃ zur Aktivierung der A-Eingänge zugeführt, wenn das Freigabesignal inaktiv ist und zum Aktivieren der B-Eingänge, wenn das Freigabesignal aktiv ist. Das Taktsignal auf Leitung 34 wird parallel dem ersten, dem zweiten und dem dritten Register R₁, R₂ und R₃ zugeführt und treibt jedes Register an, um Daten von dessen aktivem Eingang, wie durch das Freigabesignal bestimmt, zum Ausgang jedes Registers zu übertragen, wann immer das Taktsignal von low nach high übergeht.
Abhängig von Systemanforderungen kann die vorliegende Erfindung ein schnelles Ausgangssignal oder ein langsames Ausgangssignal liefern. Der erste Ausgang auf Leitung 24 wird kurz nach den Taktsignalübergängen von low nach high aktualisiert und kann deshalb als ein schnelles Ausgangssignal benutzt werden. Der Voter-Ausgang auf Leitung 30 benötigt mehr Zeit zur Aktualisierung seines Werts nach dem Taktsignalübergang von low nach high und kann deshalb als ein langsames Ausgangssignal verwendet werden.
Im Betrieb, wenn das Freigabesignal aktiv ist, d.h. die Schaltung ist belastet, empfangen die B-Eingänge aller drei Register das Datensignal auf der Leitung 22. Wenn das Taktsignal von low nach high übergeht, werden die Register mit dem neuen Eingangswert aktualisiert. Der Wert wird sofort dem ersten Ausgang oder schnellen Ausgang auf Leitung 24 zugeführt. Nachdem alle drei Registerausgänge durch den Majority Voter 20 hindurch gelaufen sind, wird der Voter-Ausgang oder langsame Ausgang gesetzt.
Wenn das Freigabesignal inaktiv ist, arbeitet die fehlertolerante integrierte Schaltung 18 wirksam, wie in 3 gezeigt, eine schematische Darstellung einer äquivalenten fehlertoleranten integrierten Schaltung mit einem nicht aktiven Lastfreigabesignal 18' entsprechend einer bevorzugten Ausführungsform der vorliegenden Erfindung. Wenn das Freigabesignal inaktiv ist, werden die drei Register R₁, R₂ und R₃ zusammengezogen, so dass der Voter-Ausgang auf Leitungen 24, 26 und 28 aller drei Register R₁, R₂ und R₃ den ersten Eingang A₁ des ersten Registers R₁ auf Leitung 30 versorgt. In gleicher Weise versorgt der erste Ausgang des ersten Registers R₁ den zweiten Eingang A₂ des zweiten Registers R₂ auf Leitung 24 und der zweite Ausgang des zweiten Registers R₂ versorgt den dritten Eingang A₃ des dritten Registers R₃ auf Leitung 26.
Falls alle Register R₁, R₂ und R₃ den gleichen binären Wert (0 oder 1) aufweisen, werden sie bei diesem Wert bleiben. Falls jedoch eines der Register durch einen SEU gestört wird, wird der Ausgang eines der Register R₁, R₂ und R₃ sich von den anderen beiden unterscheiden. Der Majority Voter 20 wird dann den nicht richtigen Wert korrigieren, da die Mehrheit der Ausgänge immer noch richtig ist. Der korrigierte Wert wird dann durch jedes Register R₁, R₂ und R₃ geführt, wobei der gesetzte Wert zu höherwertigen Registern mit jedem Taktsignalzyklus auf Leitung 34 wandert, bis alle drei Register korrigiert sind. Ein Fachmann wird erkennen, dass ein oder mehrere vierte Register in einer ähnlichen Art und Weise hinzugefügt werden können, um einen Schutz gegen mehrere SEUs bereitzustellen. Zusätzlich, da der Majority Voter nur ein Register versorgt, falls es einen SEU empfängt, kann nur das erste Register im Ergebnis gestört werden und der Fehler wird herausgelöscht werden.
Aus dem Vorhergehenden ist ersichtlich, dass dem Stand der Technik eine neue und verbesserte selbstnachbessernde integrierte Schaltung mit dreifacher Redundanz hinzugefügt wurde. Es versteht sich, dass die vorherige Beschreibung der bevorzugten Ausführungsform rein erläuternden Charakter besitzt und für einige der vielen spezifischen Ausführungsformen steht, die die Anwendung der Prinzipien der vorliegenden Erfindung darstellen. Zahlreiche Anordnungen und andere Anordnungen ergeben sich für den Fachmann, ohne den Umfang der Erfindung, wie er in den nachfolgenden Ansprüchen definiert ist, zu verlassen.

Claims

Fehlertolerante integrierte Schaltung (18) mit: einem ersten Register (R₁) mit einem ersten Eingang (A₁) und einem ersten Ausgang; einem zweiten Register (R₂) mit einem zweiten Eingang (A₂) und einem zweiten Ausgang, wobei der zweite Eingang (A₂) mit dem ersten Ausgang verbunden ist; einem dritten Register (R₂) mit einem dritten Eingang (A₃) und einem dritten Ausgang, wobei der dritte Eingang (A₃) mit dem zweiten Ausgang verbunden ist; und einem Majority-Voter (20) mit einer Vielzahl von Votereingängen und einem Voterausgang, wobei die Vielzahl von Votereingängen mit dem ersten, dem zweiten und dem dritten Ausgang verbunden ist, der Voterausgang mit dem ersten Eingang (A₁) verbunden ist, wobei der Voterausgang einer Mehrheit des ersten, zweiten und dritten Ausgangs entspricht und dadurch nicht korrekte Daten korrigiert, die in dem ersten (R₁), dem zweiten (R₂) oder dem dritten Register (R₃) gespeichert sind.
Fehlertolerante integrierte Schaltung (18) nach Anspruch 1, gekennzeichnet durch ein oder mehrere vierte Register, die in Reihe mit dem dritten Ausgang verbunden sind, wobei die vierten Register parallel zu der Vielzahl von Votereingängen verbunden sind, wobei der Voterausgang einer Mehrheit der ersten, zweiten, dritten und einem oder mehreren vierten Ausgängen entspricht.
Fehlertolerante integrierte Schaltung (18) nach Anspruch 1 oder 2, gekennzeichnet durch ein Taktsignal zum Ansteuern des ersten (R₁), des zweiten (R₂) und des dritten Registers (R₃), wobei das erste (R₁), das zweite (R₂), und das dritte Register (R₃), Daten basierend auf dem Zustand des Taktsignals speichern.
Fehlertolerante integrierte Schaltung (18) nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass das erste Register (R₁) einen vierten Eingang (B₁), das zweite Register (R₂) einen fünften Eingang (B₂) und das dritte Register (R₃) einen sechsten Eingang (B₃) aufweist.
Fehlertolerante integrierte Schaltung (18) nach Anspruch 4, dadurch gekennzeichnet, dass der vierte (B₁), der fünfte (B₂) und der sechste Eingang (B₃) parallel zu einem Datensignal verbunden sind.
Fehlertolerante integrierte Schaltung (18) nach Anspruch 4 oder 5, gekennzeichnet durch ein Freigabesignal, das den ersten (A₁), den zweiten (A₂) und den dritten Eingang (A₃) aktiviert, wenn das Freigabesignal inaktiv ist, und das Freigabesignal den vierten (B₁), den fünften (B₂) und den sechsten Eingang (B₃) aktiviert, wenn das Freigabesignal aktiv ist.
Fehlertolerante integrierte Schaltung (18) nach einem der Ansprüche 1 bis 6, gekennzeichnet durch einen schnellen Ausgang, der mit dem ersten Ausgang verbunden ist.
Fehlertolerante integrierte Schaltung (18) nach einem der Ansprüche 1 bis 7, gekennzeichnet durch einen langsamen Ausgang, der mit dem Voterausgang verbunden ist.
Satelliten-System mit fehlertoleranter integrierter Schaltung (10) mit: einer Bodenstation (14); einem Satelliten (12) in der Umlaufbahn und in Kommunikation mit der Bodenstation (14), wobei der Satellit (12) eine fehlertolerante integrierte Schaltung (18) nach Anspruch 1 aufweist.
Satellitensystem mit fehlertoleranter integrierter Schaltung (10) nach Anspruch 9, gekennzeichnet durch ein oder mehrere vierte Register, die in Reihe mit dem dritten Ausgang verbunden sind, wobei das vierte Register parallel zu der Vielzahl von Votereingängen verbunden ist, wobei der Voterausgang einer Mehrheit des ersten, des zweiten, des dritten und einem oder mehreren vierten Ausgängen entspricht.