EP1776637A2 - Verfahren zur verzögerung von zugriffen auf daten und/oder befehle eines zweirechnersystems sowie entsprechende verzögerungseinheit - Google Patents

Verfahren zur verzögerung von zugriffen auf daten und/oder befehle eines zweirechnersystems sowie entsprechende verzögerungseinheit

Info

Publication number
EP1776637A2
EP1776637A2 EP05764000A EP05764000A EP1776637A2 EP 1776637 A2 EP1776637 A2 EP 1776637A2 EP 05764000 A EP05764000 A EP 05764000A EP 05764000 A EP05764000 A EP 05764000A EP 1776637 A2 EP1776637 A2 EP 1776637A2
Authority
EP
European Patent Office
Prior art keywords
delay unit
data
computer
commands
computer system
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
EP05764000A
Other languages
English (en)
French (fr)
Inventor
Bernd Mueller
Werner Harter
Thomas Kottke
Andreas Steininger
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Robert Bosch GmbH
Original Assignee
Robert Bosch GmbH
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Robert Bosch GmbH filed Critical Robert Bosch GmbH
Publication of EP1776637A2 publication Critical patent/EP1776637A2/de
Withdrawn legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1629—Error detection by comparing the output of redundant processing systems
    • G06F11/1641—Error detection by comparing the output of redundant processing systems where the comparison is not performed by the redundant processing components
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1675—Temporal synchronisation or re-synchronisation of redundant processing components
    • G06F11/1679—Temporal synchronisation or re-synchronisation of redundant processing components at clock signal level
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/1695—Error detection or correction of the data by redundancy in hardware which are operating with time diversity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/845—Systems in which the redundancy can be transformed in increased performance

Definitions

  • the invention is based on a method for delaying the access to data and / or commands of a dual-computer system and a corresponding delay unit according to the features of the independent claims known from the prior art.
  • dual-computer systems or dual-processor systems are today's computer systems for safety-critical applications, in particular in vehicles such as for anti-lock braking systems, electronic stability program (ESP), X-by-wire systems such as drive-by-wire or steer-by-wire as well as break-by-wire, etc. or other networked systems.
  • ESP electronic stability program
  • X-by-wire systems such as drive-by-wire or steer-by-wire as well as break-by-wire, etc. or other networked systems.
  • powerful error mechanisms and error handling mechanisms are required, in particular to counteract transient errors that arise, for example, in miniaturization of the semiconductor structures of the computer systems.
  • Component such as a memory or other input / output elements, passed before it is ensured that the data and / or commands are correct. This can then lead to accesses, ie write operations and / or read operations, being performed on erroneous data and / or commands, in particular in the case of errors in memory accesses. This issue can lead to errors in restoring a particular system state, turning off the consequences of an error, generating correct data after a crash, restoring a system to breakdown, or returning to its original state circuitry (referred to as recovery hereafter) arise or this be possible only at very high cost.
  • Such errors when accessed by at least one computer of the dual-computer system, in the form of write operations and / or read operations, may result in errors in the entire system and devices connected thereto, all the more serious that it is not possible to determine which data and / or instructions were changed incorrectly.
  • the invention is based on a method and a delay unit for delaying accesses to data and / or commands of a computer system
  • the delay unit is adapted to compensate for the duration between the instantaneous access to data and / or commands and the error detection.
  • the invention is further based on a method for delaying access as write operations and / or read operations on data and / or commands of a dual-computer system with a first and second computer, wherein the first and second computer are operated with a, in particular predeterminable, time offset and this Time offset is compensated in the two-computer system in the accesses to data and / or commands in at least one of the two computers, including a delay unit according to the invention is designed accordingly, is used.
  • a delay unit and a method are proposed in which an error is detected by comparing the data and / or commands of the first computer with the data and / or commands of the second computer, wherein the delay unit is configured or a delay is such that the accesses, ie the write operations and / or read operations, are delayed with respect to the data and / or instructions of the two-processor system, in particular in the case of a computer, until the error detection is performed, whereby it is possible to prevent erroneous data and / or commands from accessing, ie undergo a write operation and / or a read operation.
  • the two computers of the dual-computer system or the dual-computer system itself is connected via a data bus with at least one first component, wherein the
  • Delay unit between at least one computer of the dual-computer system and the at least one first component is located on the data bus.
  • the dual-computer system or the two computers can be connected via a command bus with at least one second component, in which case advantageously the delay unit between at least one computer of the dual-computer system and the at least one second component is connected to the command bus or is located there.
  • the method is advantageously designed such that the delay unit is designed in such a way that only write operations and read operations, or only write operations and possibly only the read operations are delayed as accesses.
  • the delay unit advantageously includes a delay element, in particular with a predefinable or adjustable delay, as well as a change-over module, in particular as a multiplex component and thereby more convenient
  • the secure multiplexing module is designed such that bit switching elements are provided and a switchover between the delay of the accesses and brinVerzögerung the accesses by a drive signal, in particular a read / write signal or a signal derived therefrom, which in a test unit, in particular a Totally Self
  • TSC Checking
  • the delay unit may advantageously be designed such that it itself, in particular by the test unit, has a fault-detecting effect, that is to say is implemented in error-detecting manner and outputs a further usable error signal which can be used in particular for error handling.
  • the delay unit is advantageously designed such that change signals are provided by which a write operation is changed to a read operation, such that a erroneous writing of data and / or commands is avoided.
  • Such a delay unit according to the invention can thus be used equally for synchronous, ie in particular clock-synchronous, non-clock synchronous, ie non-synchronous two-processor systems or for dual-computer systems, as well as for other computers with error detection mechanisms in which the error only occurs during the output the data or after the date of the date can be detected and thereby not in time with the output of the data, the error signal is available in time for error prevention.
  • the aforementioned errors in the accesses to the data and / or commands are to be avoided, in particular it can be ensured that the data and / or commands relating to a memory access can not be destroyed by errors in the two-processor or dual-computer system.
  • the difficulties mentioned in the recovery of the dual-computer system can be avoided.
  • FIG. 1 shows a dual-processor system or two-processor system with a delay unit according to the invention.
  • FIG. 2 shows a first embodiment of a delay unit according to the invention.
  • FIG. 3 shows a second embodiment of a delay unit according to the invention.
  • FIG. 4 shows a multiplex component, in particular a secure multiplexer, of a delay unit according to the invention.
  • FIG. 1 shows a dual-computer system with a first computer 100, in particular a master computer and a second computer 101, in particular a slave computer.
  • the entire system is operated with a predeterminable clock or in predeterminable clock cycles (clock cycle) CLK.
  • CLK clock cycle
  • a dual-computer system contains, by way of example, a special feature for error detection, in which the first computer 100 and the second computer 101 work with a time offset, in particular a predefinable time offset or a specifiable clock offset.
  • a time offset in particular a predefinable time offset or a specifiable clock offset.
  • any time for a time offset can be predetermined and any clock with respect to an offset of
  • Clock cycles This may be an integer offset of the clock cycle, but just as shown in this example, for example, an offset of 1.5 clock cycles, in which case the first computer 100 just works 1.5 clock cycles before the second computer 101 respectively operated becomes.
  • This offset can be used to avoid common mode failures, the computers or
  • components 103 and 104 are provided which are connected via buses 116, consisting of the bus lines 116A and 116B and 116C and 117, consisting of the bus lines 117A and 117B to the two computers 100 and 101 , 117 is a command bus in which 117A is a command address bus and 117B is the partial command (data) bus.
  • Address bus 117A is connected to computer 100 via a command address connection IA1 (instruction address 1) and to computer 101 via an instruction address connection IA2 (instruction address 2).
  • the instructions themselves are transmitted via the sub-command bus 117B, which is connected to computer 100 via a command terminal II (Instruction 1) and to computer 101 via a command terminal 12 (Instruction 2).
  • this command bus 117 consisting of 117A and 117B is a component 103 z.
  • B. an instruction memory, in particular a secure instruction memory or the like interposed. This component, in particular as a command memory is operated in this example with the clock CLK.
  • a data bus is shown which includes a data address bus or a data address line 116A and a data bus or a data line 116B.
  • 116A that is to say the data address line
  • DA1 data address 1
  • DA2 data address 2
  • DA1 data address 1
  • DA2 data address 2
  • Data terminal DOl Data Out 1
  • DO2 Data Out 2
  • the data bus line 116C which is connected to computer 100 or computer 101 via a data connection Dil (Data In 1) and a data connection DI2 (Data In 2), respectively is.
  • a component 104 is interposed, for example a data memory, in particular a secure data memory o. ⁇ . This component 104 is also supplied with the clock CLK in this example.
  • the components 103 and 104 are representative of any components which are connected via a data bus and / or command bus to the computers of the dual-computer system and corresponding to the accesses via data and / or commands of the dual-processor system with respect to write operations and / or read operations erroneous data and / or commands receive or give away.
  • error prevention are indeed
  • Error detection generators 105, 106 and 107 are provided which generate an error detection such as a parity bit or other error code such as an error correction code, so ECC, o. ⁇ .. are also provided the corresponding Starbuckskennungsprüf healthyen or check Means 108 and 109 for checking the respective misrecognition, for example, the
  • Parity bit or other error code such as ECC.
  • Clock offset a computer here in particular computer 100 erroneous data and / or commands in components, in particular external components such. B. here in particular the memory 103 or 104, but also with respect to other participants or actuators or sensors write or read. Thus, it may also erroneously perform a write access instead of a designated read access by this clock offset.
  • these scenarios lead to errors in the entire system, in particular without clear display possibility which data and / or commands have just been changed incorrectly, which also causes the recovery problem.
  • a delay unit 102 is now connected as shown in the lines of the data bus and / or in the command bus. For reasons of clarity, only the activation in the data bus is shown.
  • This delay unit 102 or the delay unit delays the accesses, here in particular the memory accesses, in such a way that a possible time or clock offset is compensated, in particular for an error detection, for example via the comparators 110 and 111, for example at least until the error signal is generated in the dual-computer system. So the error detection is performed in the dual-computer system.
  • Different variants can be implemented:
  • Delay the write and read operations delay only the write operations, or, although not preferred, delay the read operations. It can be converted by a change signal, in particular the error signal, a delayed write operation in a read operation to prevent erroneous writing.
  • the purpose of the delay unit ie the delay unit 102, is to delay accesses within the said time offset or clock cycle offset in order to compensate for this, in particular to write operations of the delay unit
  • Calculator 100 to a component in particular external component to verify and thus correctness of the corresponding data and / or commands or the respective addresses to achieve.
  • the delay unit can also be implemented in such a way that it recognizes errors in itself and signals this by an error signal EO to the outside, this will be explained in more detail with reference to Figures 2 and 3.
  • FIG. 2 now shows a delay unit with two switching modules 201 and 200, in particular multiplex modules, a delay element 204 and a test device or test device 203, in particular a TSC checker.
  • the delay unit consists of two branches, a reading branch which corresponds to the lower input path of the multiplexer 200 (the lower three arrows) including multiplexer 201, and a write branch, ie the upper input path of multiplexer 200 (the upper three arrows). Ie. the delay unit exists, especially if it should only delay write operations from two paths between which by a switching device, in particular a multiplexer 200, can be switched.
  • the data and / or commands go here the data from DOl (Data Out 1), the corresponding addresses, here DAl (Data Address 1) and here in particular additional memory control signals MC (Memory Control) without delay, in the other branch delayed by the delay element 204.
  • a delay of two clock cycles occurs at a predetermined delay of 1.5 clock cycles as previously described and is thus longer than the required minimum of 1.5 clock cycles, thereby allowing a memory to be used same clock input CLK to be served. That the delay is at least as long as the intended time offset (here 1.5 clock cycles), but may be larger, as in this example.
  • the associated address and control signals are equally delayed. As already stated, this is just as possible for the data bus (as exemplified for the data bus with DA1 and DO1) as well as conceivable for the command bus. The representation would thus be easily transferable to a command bus for IAI.
  • bit numbers at the individual connections in Figures 2 and 3 are exemplified, i.
  • 64-bit plus parity bit or wider error detections is easily possible and conceivable according to the invention.
  • the choice of 4 bits for the memory control signal MC is exemplary.
  • number 5 bit is to be regarded as exemplary by the additionally injected R / W invert bit on 5 bit (4 bit + IR / W invert ⁇ 5 bit).
  • the delay is bypassed by switching means 200, thus bypassed, controlled by a switching signal (in particular by using the read / write signal R / W or the derived Invert R / W).
  • the second switching module 200 in particular the second multiplexer, which combines the data and / or commands (in this case the data, for example) again, is likewise triggered by this signal, in particular the read / write signal R / W and the signal inverted thereto.
  • the signal from the delayed path that is to say behind the delay element 204, is advantageous here, as described below.
  • a gap of the duration of the write operation occurs at the output of the switching block 200.
  • the switch block 200 ie the multiplexer, would activate the read branch, ie the three lower inputs of multiplexer 200, the non-delayed data or addresses and control information of this branch still belonging to the write operation.
  • the previous operation get on the bus switching device 201 is provided, which in this case uncritical constants z. 2, to the lower input of the multiplexer 200 while this waiting time exists until, under some circumstances, multiplexer 200 switches to the three upper input paths, ie the delayed one, and executes the current write operation.
  • the signals data address DAl (data address), data output DOl (data out) and control signal (memory control) MC are each a simple one in this example Parity bit secured. This parity is protected by the check units 109 and 108 for the command bus, wherein, as not shown in Figure 1, the memory control signal MC is secured by an additional memory checker 202. The parity bit of this signal MC is equally delayed by the delay element 204 as are the other signals. Since the signals of each signal type DAl, DOl and MC are independent in the
  • Delay unit are performed, this simple parity bit sufficient protection against single error. With multi-error detection or protection as well as correction of multiple errors, as already mentioned, more powerful error detections can be used.
  • An additional function can be realized via the path DAE / DOE, 206, 207 and 208.
  • a protection of write operations in the event of a failure in standard components such as a fail-safe memory or just as in the switching of a write operation in a read operation can be achieved.
  • the DAE / DOE dual core is available as dual rail code. This is converted into a single-rail signal before a time offset between them. This takes place in a comparison block 206 which can be embodied, in particular, as an XOR block. At the same time, the XOR gate 206 makes a single signal from the multiple signal.
  • a time delay of 0.5 clock cycles is now added in a delay element 207 in order to achieve a time alignment of the resulting error signal with the corresponding data word in the delay unit. This is because the delay unit in our example delays by 2 clock cycles according to delay 204. Is then as block 208 z. B. an AND gate used, the read / write signal R / W can be masked to block a write access as shown in connection with the wiring of block 208.
  • the error signal from the computers can also like the parity bit of the memory controller MC from 202 and the respective switching or Change signal of the switching devices 201 and 202, so in particular the read / write signal R / W and the derived inverse write / read signal (Invert R / W) the test module 203 (in particular designed as a TSC checker) are fed, resulting in a further error handling usable error signal EO (Error Out) results.
  • EO Error Out
  • an either non-delayed or delayed data signal or data output signal DOId data out delayed depending on a read operation or write operation and in this particular example if a memory device is used as component, especially external component, a memory control signal or memory control signal MCd (Memory Control delayed ) which is either not delayed or delayed.
  • FIG. 3 once again shows a delay unit in a second embodiment, where the delay unit can also be designed as shown only from one switching module or multiplexer 200 and two branches.
  • the second multiplexer 200 is used from Figure 2 so that the inputs DAl, DOl and MC are fed directly to this.
  • the same inputs are delayed as before via a delay element 204 and also supplied to the multiplexer 200.
  • the data in this case data address DA1, data DO1 and memory controller MC
  • write operations in the non-delayed path are converted into read operations.
  • This change or switching of the write operations in read operations can also be performed inverted by the read / write signals R / W or the R / W derived therefrom.
  • the second embodiment is constructed similar to the first
  • Embodiment except for the fact that the first multiplexer 201 has been omitted, whereby also the designations and the functions, if present, are identical.
  • the exception is the test unit, since these are supplied by the missing multiplexer 201 fewer signals and therefore may be slightly differently structured and therefore here is designated 303.
  • the reusable error signal EO which can be used in the context of error handling, likewise outputs.
  • safe multiplexers according to FIG. 4 can be used as switching modules or multiplexers.
  • the data is by a
  • Error detection code here, for example, a parity bit hedged and the control signals so switching or change signals, in particular the
  • Read / write signal R / W and the inverse read / write signal RIW derived from it are also protected, here by way of example in dual rail logic. That the R / W and the inverse signal are first supplied to the secure multiplexer and from there to
  • Test unit to the TSC checker 203 or 303.
  • an error affecting a track of the write / read signal is detected by the test unit TSC 203 or 303 while a single error in the multiplex circuit will affect a simple output bit and thus by the parity Check can be determined. That the data and / or commands as previously executed are switched as in a standard multiplexer, wherein in addition the parity bit or another error identifier are switched.
  • the control signals ie changeover or change signals R / W and R / W Invert, are first fed to all switches for the individual bits, here represented in the blocks 401 to 406, in particular as AND gates, to which the respective inputs 110, Il 1, 120, 121 are fed to InO, InI.
  • Output signals from 401-406 are then combined in blocks 407-409, respectively, as shown in FIG.
  • the blocks 407-409 are designed in particular as OR gates. This then results in outputs of the multiplex block Ol, 02 to On.
  • the structure shown in FIG. 4 is only a section of the overall structure of a multiplex module according to FIGS. 2 and 3 with the bit widths of 17 bits or 5 bits per signal path illustrated by way of example therein.
  • both multiplex modules 201 and 200 corresponding to FIGS. 2 and 3 are advantageously designed in the form of FIG. 4 in order to make it possible to identify a data path which has been incorrectly switched over as already described, and To simplify error detection. Such errors could not be determined by pure parity checking, since also the data of the wrong signal path have the correct parity, if there is no bit dump.
  • This security package is concluded by securing the interface to a component, in particular an external component corresponding to 103 and 104 from FIG. 1, by error detection units for generation of the error identification 105-107 and error checking units for checking the error detection such as 108 and 104 as already illustrated in FIG 109 are provided, in particular, as party bit checkers and party bit generators.
  • error detection units for generation of the error identification 105-107
  • error checking units for checking the error detection such as 108 and 104 as already illustrated in FIG 109 are provided, in particular, as party bit checkers and party bit generators.
  • the resulting error signals can then just as DAE / DOE signals according to Figure 2 and Figure 3 just as Data Address Error or Data Out Error in the delay module as described are used.
  • Switching or change signals R / W and R / W Invert are first passed to all switches for the individual bits and only then checked in the TSC Checker, errors in the control signals can thus be detected by the test of these or if only one bit is switched incorrectly, this is detected by the data encoding of the data to be switched.
  • the invention thus provides a considerable increase in security in the context of a dual-computer system with relatively simple means.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Hardware Redundancy (AREA)

Abstract

Verzögerungseinheit (102) und Verfahren zur Verzögerung der Zugriffe auf Daten und/oder Befehle eines Zweirechnersystems mit einem ersten (100) und einem zweiten Rechner (101), wobei der erste gegenüber dem zweiten Rechner mit einem Zeitversatz arbeitet und die Verzögerungseinheit derart ausgebildet ist, dass dieser Zeitversatz in dem Zweirechnersystem bei den Zugriffen auf Daten und/oder Befehle kompensiert wird sowie Verfahren und Verzögerungseinheit zur Verzögerung der Zugriffe auf Daten und/oder Befehle eines Rechnersystems mit Fehlerentdeckungsmechanismen zur Fehlererkennung dadurch gekennzeichnet, dass die Dauer zwischen einem unverzögerten Zugriff auf Daten und/oder Befehle und der Fehlererkennung kompensiert wird.

Description

Verfahren zur Verzögerung von Zugriffen auf Daten und/oder Befehle eines
Zweirechnersystems sowie entsprechende Verzögerungseinheit
Stand der Technik
Die Erfindung geht aus von einem Verfahren zur Verzögerung der Zugriffe auf Daten und/oder Befehle eines Zweirechnersystems sowie einer entsprechenden Verzögerungseinheit gemäß den aus dem Stand der Technik bekannten Merkmale der unabhängigen Ansprüche.
In zukünftigen Anwendungen, wie insbesondere im Kraftfahrzeug oder im
Industriegüterbereich also z.B. Maschinenbereich und in der Automatisierung werden ständig mehr und mehr mikroprozessor- oder rechnerbasierte Steuerungs- und Regelungssysteme für sicherheitskritische Anwendungen eingesetzt. Dabei sind Zweirechnersysteme oder Zweiprozessorsysteme (Dual Cores) heutzutage gängige Rechnersysteme für sicherheitskritische Anwendungen, insbesondere im Fahrzeug wie beispielsweise für Antiblockiersysteme, das Elektronische Stabilitätsprogramm (ESP), X- by-Wire-Systeme wie Drive-by-Wire oder Steer-by-Wire sowie Break-by-Wire, usw. oder auch bei sonstigen vernetzten Systemen. Um diese hohen Sicherheitsansprüche in zukünftigen Anwendungen zu befriedigen, sind mächtige Fehlermechanismen und Fehlerbehandlungsmechanismen erforderlich, insbesondere um transienten Fehler, die beispielsweise bei Verkleinerung der Halbleiterstrukturen der Rechnersysteme entstehen, zu begegnen. Dabei ist es relativ schwierig den Core selbst, also den Prozessor zu schützen. Eine Lösung hierfür ist wie erwähnt die Verwendung eines Zweirechnersystems oder Dual Core-Systems zur Fehlerdetektion. Ein Problem bei solchen Zweirechnersystemen ist aber, dass der Vergleich von Daten, insbesondere von Ausgangsdaten zur Fehlererkennung erst bei der Ausgabe, bzw. nach der Ausgabe erfolgt. D. h. die Daten werden schon zu einer externen Senke, also beispielsweise eine über einen Datenbus oder einen Befehlsbus angeschlossene
Komponente, wie ein Speicher oder sonstige Ein-/ Ausgabeelemente, geleitet, bevor sichergestellt ist, dass die Daten und/oder Befehle korrekt sind. Dies kann dann dazu führen, dass Zugriffe, also Schreiboperationen und/oder Leseoperationen auf fehlerhafte Daten und/oder Befehle ausgeführt werden, insbesondere bei Fehlern in Speicherzugriffen. Durch diese Problematik können bei der Wiederherstellung eines bestimmten Systemzustandes, Ausschalten der Folgen eines Fehlers, bei Erzeugung korrekter Daten nach Fehlerabbruch, der Wiederbereitmachung eines Systems nach Zusammenbruch sowie bei einer Schaltungsanordnung der Rückkehr in den Ursprungszustand (was im Weiteren zusammengefasst als Recovery bezeichnet wird) Fehler entstehen oder dies nur unter sehr hohem Aufwand mögleich sein. Solche Fehler können durch den Zugriff in Form von Schreiboperationen und/oder Leseoperationen durch wenigstens einen Rechner des Zweirechnersystems Fehler im gesamten System und daran angeschlossener Einheiten nach sich ziehen, wobei umso schwerer wiegt, dass es nicht möglich ist festzustellen, welche Daten und/oder Befehle fehlerhaft verändert wurden.
Es ist daher Aufgabe der Erfindung, die genannte Problematik zu lösen, insbesondere die Fehler bei Zugriff eines Zweirechnersystems, also bei Schreiboperationen und/oder Leseoperationen zu erkennen, zu vermeiden und damit die Schwierigkeiten insbesondere beim Recovery des Zweirechnersystems zu verhindern.
Vorteile der Erfindung
Die Erfindung geht aus von einem Verfahren und einer Verzögerungseinheit zur Verzögerung der Zugriffe auf Daten und/oder Befehle eines Rechnersystems mit
Fehlerentdeckungsmechanismen wobei die Verzögerungseinheit derart ausgebildet ist, dass die Dauer zwischen dem unverzögerten Zugriff auf Daten und/oder Befehle und der Fehlererkennung kompensiert wird. Die Erfindung geht weiterhin aus von einem Verfahren zur Verzögerung von Zugriffen als Schreiboperationen und/oder Leseoperationen auf Daten und/oder Befehle eines Zweirechnersystems mit einem ersten und zweiten Rechner, wobei der erste und zweite Rechner mit einem, insbesondere vorgebbaren, Zeitversatz betrieben werden und dieser Zeitversatz in dem Zweirechnersystem bei den Zugriffen auf Daten und/oder Befehle bei wenigstens einem der beiden Rechner kompensiert wird, wozu eine erfindungsgemäße Verzögerungseinheit die entsprechend ausgestaltet ist, eingesetzt wird.
Vorteilhafterweise wird eine Verzögerungseinheit und ein Verfahren vorgeschlagen, bei dem durch Vergleich der Daten und/oder Befehle des ersten Rechners mit den Daten und/oder Befehlen des zweiten Rechners eine Fehlererkennung erfolgt, wobei die Verzögerungseinheit derart ausgestaltet ist bzw. eine Verzögerung derart erfolgt, dass die Zugriffe, also die Schreiboperationen und/oder Leseoperationen, bezüglich der Daten und/oder Befehle des Zweiprozessorsystems insbesondere bei einem Rechner solange verzögert werden, bis die Fehlererkennung durchgeführt ist, wodurch vermieden werden kann, dass fehlerhafte Daten und/oder Befehle einen Zugriff, also eine Schreiboperation und/oder eine Leseoperation erfahren.
Die beiden Rechner des Zweirechnersystem bzw. das Zweirechnersystem selbst ist dabei über einen Datenbus mit wenigstens einer ersten Komponente verbunden, wobei die
Verzögerungseinheit zwischen wenigstens einem Rechner des Zweirechnersystems und der wenigstens einen ersten Komponente am Datenbus lokalisiert ist.
Dabei kann das Zweirechnersystem, bzw. die beiden Rechner über einen Befehlsbus mit wenigstens einer zweiten Komponente verbunden sein, wobei dann vorteilhafter Weise die Verzögerungseinheit zwischen wenigstens einem Rechner des Zweirechnersystems und der wenigstens einen zweiten Komponente am Befehlsbus geschaltet ist bzw. dort lokalisiert ist.
In einer weiteren Ausführungsform mit gemischtem Daten- /Befehlsbus ist das
Zweirechnersystem bzw. die beiden Rechner des Zweirechnersystems mit wenigstens einer dritten Komponente verbunden, wobei die Verzögerungseinheit dann zweckmäßigerweise zwischen wenigstens einem Rechner des Zweirechnersystems und der wenigstens einen dritten Komponente an dem gemischten Daten-/ Befehlsbus - A -
lokalisiert bzw. dort eingeschaltet ist. Dabei ist das Verfahren vorteilhafter Weise so gestaltet, bzw. die Verzögerungseinheit derart ausgebildet, dass als Zugriffe eben Schreiboperationen und Leseoperationen, oder nur Schreiboperationen sowie unter Umständen lediglich die Leseoperationen verzögert werden. Durch Verzögerung der Schreiboperationen des wenigstens einen Rechners bezüglich einer ersten und/oder zweiten Komponente mit entsprechender Anbindung am Datenbus und/oder Befehlsbus kann somit die fehlerhafte Datenausgabe und/oder Befehlsausgabe, insbesondere das fehlerhafte Einschreiben in einen Speicher verhindert werden, so dass die vorher angesprochenen Folgen insbesondere für das Gesamtsystem nicht auftreten.
Ebenso ist es möglich, die Leseoperationen gleichzeitig oder exklusiv zu verzögern, so dass auch bei der Eingabe von Daten und/oder Befehlen bezüglich wenigstens einen Rechners des Zweirechnersystems eine Fehlervermeidung erfolgen kann, da zum einen nicht ungeprüfte Daten und/oder Befehle übernommen werden oder durch ein unkoordiniertes Übernehmen Systemfehler entstehen können. Gleichzeitig können
Probleme beim Recovery vermieden werden.
Dabei enthält die Verzögerungseinheit vorteilhafter Weise ein Verzögerungsglied, insbesondere mit einer vorgebbaren oder einstellbaren Verzögerung, sowie einen Umschaltbaustein, der insbesondere als Multiplex-Baustein und dabei zweckmäßiger
Weise als sicherer Multiplex-Baustein ausgeführt ist. Dabei ist der sichere Multiplex- Baustein derart ausgebildet, dass Bit-Umschaltelemente vorgesehen sind und eine Umschaltung zwischen Verzögerung der Zugriffe und NichtVerzögerung der Zugriffe durch ein Ansteuersignal, insbesondere ein Schreib- /Lesesignal oder ein daraus abgeleitetes Signal erfolgt, welches in einer Testeinheit, insbesondere einem Totally-Self-
Checking (TSC)-Checker, geprüft wird, wobei das Ansteuersignal erst den Bit- Umschaltelementen und danach der Testeinheit zugeführt wird.
Dabei kann die Verzögerungseinheit vorteilhafter Weise so ausgebildet sein, dass sie selbst, insbesondere durch die Testeinheit, fehlererkennend wirkt, also fehlererkennend implementiert ist und ein weiter nutzbares, insbesondere zu einer Fehlerbehandlung nutzbares Fehlersignal ausgibt. Um Fehler zu vermeiden, die beispielsweise durch eine Schreiboperation ausgelöst werden, indem eben fehlerhafte Daten und/oder Befehle geschrieben werden, wird die Verzögerungseinheit vorteilhafter Weise derart ausgebildet, dass Änderungssignale vorgesehen sind, durch welche eine Schreiboperation in eine Leseoperation geändert wird, so dass ein fehlerhaftes Schreiben von Daten und/oder Befehlen vermieden wird.
Eine solche erfϊndungsgemäße Verzögerungseinheit, respektive ein solches erfindungsgemäßes Verfahren zur Verzögerung kann damit gleichermaßen für synchrone, also insbesondere taktsynchrone, sowie für nichttaktsynchrone, also nicht synchrone Zweiprozessorsysteme bzw. Zweirechnersysteme verwendet werden als auch bei sonstigen Rechnern mit Fehlerentdeckungsmechanismen bei denen der Fehler erst während der Ausgabe der Daten oder nach Ausgabe der Date erkannt werden kann und dadurch nicht im Takt der Ausgabe der Daten das Fehlersignal rechtzeitig zur Fehlervermeidung zur Verfügung steht. Damit sind die vorgenannten Fehler bei den Zugriffen bezüglich der Daten und/oder Befehle zu vermeiden, insbesondere kann sichergestellt werden, dass die Daten und/oder Befehle bezüglich eines Speicherzugriffs nicht durch Fehler in dem Zweiprozessor oder Zweirechnersystem zerstört werden können. Darüber hinaus können die genannten Schwierigkeiten beim Recovery des Zweirechnersystems vermieden werden.
Weitere Vorteile und vorteilhafte Ausgestaltungen ergeben sich aus der Beschreibung der Ausführungsbeispiele sowie den Merkmalen der Ansprüche.
Zeichnung
Die Erfindung wird im Weiteren anhand der in der Zeichnung dargestellten Figuren näher erläutert.
Dabei zeigt Figur 1 ein Zweirechnersystem oder Zweiprozessorsystem mit einer erfindungsgemäßen Verzögerungseinheit.
In Figur 2 ist eine erste Ausführungsform einer erfindungsgemäßen Verzögerungseinheit dargestellt. In Figur 3 ist eine zweite Ausführungsform einer erfindungsgemäßen Verzögerungseinheit dargestellt.
Figur 4 schließlich zeigt einen Multiplex-Baustein insbesondere einen sicheren Multiplexer einer erfindungsgemäßen Verzögerungseinheit.
Die Erfindung wird im Weiteren anhand der Ausfuhrungsbeispiele näher erläutert.
Beschreibung der Ausfuhrungsbeispiele
Figur 1 zeigt ein Zweirechnersystem mit einem ersten Rechner 100, insbesondere einem Masterrechner und einem zweiten Rechner 101, insbesondere einem Slave-Rechner. Das gesamte System wird dabei mit einem vorgebbaren Takt bzw. in vorgebbaren Taktzyklen (clock cycle) CLK betrieben. Über den Takteingang CLKl des Rechners 100 sowie über den Takteingang CLK2 des Rechners 101 wird diesem der Takt zugeführt. Bei diesem
Zweirechnersystem ist darüber hinaus beispielhaft ein spezielles Merkmal zur Fehlererkennung enthalten, in dem nämlich der erste Rechner 100 sowie der zweite Rechner 101 mit einem Zeitversatz, insbesondere einem vorgebbaren Zeitversatz bzw. einem vorgebbaren Taktversatz arbeiten. Dabei ist jede beliebige Zeit für einen Zeitversatz vorgebbar und auch jeder beliebige Takt bezüglich eines Versatzes der
Taktzyklen. Dies kann ein ganzzahliger Versatz des Taktzyklus (clock cycle) sein, aber eben auch wie in diesem Beispiel dargestellt, beispielsweise ein Versatz von 1,5 Taktzyklen, wobei hier der erste Rechner 100 eben 1,5 Taktzyklen vor dem zweiten Rechner 101 arbeitet respektive betrieben wird. Durch diesen Versatz kann vermieden werden, dass Gleichtaktfehler, sogenannte common mode failures, die Rechner oder
Prozessoren, also die Cores des Dual Cores Systems, gleichartig stören und damit unerkannt bleiben. D.h. solche Gleichtaktfehler betreffen durch den Versatz die Rechner zu unterschiedlichen Zeitpunkten im Programmablauf und bewirken demnach unterschiedliche Effekte bezüglich der beiden Rechner wodurch Fehler erkennbar werden. Gleichartige Fehlerwirkungen ohne Taktversatz wären u.U. in einem Vergleich nicht erkennbar, dies wird dadurch vermieden. Um diesen Versatz bezüglich der Zeit oder des Taktes, hier insbesondere 1,5 Taktzyklen im Zweirechnersystem zum implementieren sind die Versatzbausteine 112 bis 115 implementiert. Um die genannten Gleichtaktfehler zu erkennen ist dieses System eben beispielsweise dazu ausgelegt in einem vorgegebenen Zeitversatz oder Taktzyklenversatz zu arbeiten, insbesondere hier 1,5 Taktzyklen, d.h. während der eine Rechner, z. B. Rechner 100 direkt die Komponenten, insbesondere die externen Komponenten 103 und 104 anspricht, arbeitet der zweite Rechner 101 mit einer Verzögerung von genau 1,5 Taktzyklen dazu.
Um in diesem Fall die gewünschte Eineinhalbzyklusverzögerung, also von 1,5 Taktzyklen zu erzeugen wird Rechner 101 mit der invertierten Clock, also dem invertierten Takt am Takteingang CLK2 gespeist. Dadurch müssen aber auch die vorgenannten Anschlüsse des Rechners also seine Daten bzw. Befehle über die Busse um die genannten Taktzyklen, also hier insbesondere 1,5 Taktzyklen verzögert werden, wozu eben wie gesagt die Versatz- oder Verzögerungsbausteine 112 bis 115 vorgesehen sind. Neben den beiden Rechnern oder Prozessoren 100 und 101 sind Komponenten 103 und 104 vorgesehen, die über Busse 116, bestehend aus den Busleitungen 116A und 116B und 116C sowie 117, bestehend aus den Busleitungen 117A und 117B mit den beiden Rechnern 100 und 101 in Verbindung stehen. 117 ist dabei ein Befehlsbus, bei welchem mit 117A ein Befehlsadressbus und mit 117B der Teil-Befehls(daten)bus bezeichnet ist. Der Adressbus 117A ist über einen Befehlsadressanschluss IAl (Instruction Adress 1) mit Rechner 100 und über einen Befehlsadressanschluss IA2 (Instruction Adress 2) mit Rechner 101 verbunden. Die Befehle selbst werden über den Teil-Befehlsbus 117B übertragen, der über einen Befehlsanschluss Il (Instruction 1) mit Rechner 100 und über einen Befehlsanschluss 12 (Instruction 2) mit Rechner 101 verbunden ist. In diesem Befehlsbus 117 bestehend aus 117A und 117B ist eine Komponente 103 z. B. ein Befehlsspeicher, insbesondere ein sicherer Befehlsspeicher oder dergleichen zwischengeschaltet. Auch diese Komponente, insbesondere als Befehlsspeicher wird in diesem Beispiel mit dem Takt CLK betrieben. Daneben ist mit 116 ein Datenbus dargestellt, welcher einen Datenadressbus oder eine Datenadressleitung 116A und einen Datenbus oder eine Datenleitung 116B enthält. Dabei ist 116A, also die Datenadressleitung, über einen Datenadressanschluss DAl (Data Adress 1) mit dem Rechner 100 und über einen Datenadressanschluss DA2 (Data Adress 2) mit Rechner 101 verbunden. Ebenso ist der Datenbus oder die Datenleitung 116B über einen
Datenanschluss DOl (Data Out 1) und einen Datenanschluss DO2 (Data Out 2) mit Rechner 100 bzw. Rechner 101 verbunden. Weiterhin zu Datenbus 116 gehört die Datenbusleitung 116C, welche über einen Datenanschluss Dil (Data In 1) und einen Datenanschluss DI2 (Data In 2) jeweils mit Rechner 100 bzw. Rechner 101 verbunden ist. In diesem Datenbus 116 bestehend aus den Leitungen 116A, 116B und 116C ist eine Komponente 104 zwischengeschaltet, beispielsweise ein Datenspeicher, insbesondere ein sicherer Datenspeicher o. ä . Auch diese Komponente 104 wird in diesem Beispiel mit dem Takt CLK versorgt.
Dabei stehen die Komponenten 103 und 104 stellvertretend für beliebige Komponenten die über einen Datenbus und/oder Befehlsbus mit den Rechnern des Zweirechnersystems verbunden sind und entsprechend der Zugriffe über Daten und/oder Befehle des Zweirechnersystems bezüglich Schreiboperationen und/oder Leseoperationen fehlerhafte Daten und/oder Befehle erhalten oder abgeben können. Zur Fehlervermeidung sind zwar
Fehlerkennungsgeneratoren 105, 106 und 107 vorgesehen welche eine Fehlerkennung erzeugen wie beispielsweise ein Parity-Bit oder auch einen anderen Fehlercode wie beispielsweise einen Error- Correction-Code, also ECC, o. ä.. Dazu vorgesehen sind dann auch die entsprechenden Fehlerkennungsprüfeinrichtungen oder Check-Einrichtungen 108 und 109 zur Überprüfung der jeweiligen Fehlerkennung also beispielsweise des
Parity-Bit oder eines anderen Fehlercodes wie ECC.
Der Vergleich der Daten und/oder Befehle bezüglich der redundanten Ausführung im Zweirechnersystem erfolgt in den Vergleichern oder Komparatoren 110 und 111 wie in Figur 1 dargestellt. Existiert nun aber ein Zeitversatz, insbesondere ein Takt- oder
Taktzyklusversatz zwischen den Rechnern 100 und 101, entweder hervorgerufen durch ein nichtsynchrones Zweiprozessorsystem oder bei einem synchronen Zweiprozessorsystem durch Fehler in der Synchronisierung oder auch wie in diesem speziellen Beispiel durch einen zur Fehlererkennung gewünschten Zeit- bzw. Taktzyklusversatz, insbesondere hier von 1,5 Taktzyklen, so kann in diesem Zeit- oder
Taktversatz ein Rechner hier insbesondere Rechner 100 fehlerhafte Daten und/oder Befehle in Komponenten, insbesondere externe Komponenten wie z. B. hier insbesondere die Speicher 103 oder 104, aber auch bezüglich anderen Teilnehmern oder Aktuatoren oder Sensoren schreiben oder lesen. So kann er auch in fehlerhafter Weise einen Schreibzugriff anstatt eines vorgesehenen Lesezugriffs durch diesen Taktversatz durchführen. Diese Szenarien führen selbstverständlich zu Fehlern im gesamten System, insbesondere ohne klare Anzeigemöglichkeit welche Daten und/oder Befehle gerade fehlerhaft geändert wurden, wodurch auch die Recovery-Problematik entsteht. Um diese Problematik zu lösen wird nun eine Verzögerungseinheit 102 wie dargestellt in die Leitungen des Datenbusses und/oder in den Befehlsbus geschaltet. Aus Gründen der Übersichtlichkeit ist nur die Einschaltung in den Datenbus dargestellt. Bezüglich des Befehlsbusses ist dies natürlich genauso möglich und denkbar. Diese Verzögerungseinheit 102 oder die Delay Unit verzögert die Zugriffe, hier insbesondere die Speicherzugriffe so, dass ein möglicher Zeit- oder Taktversatz kompensiert wird, insbesondere bei einer Fehlererkennung beispielsweise über die Komparatoren 110 und 111 z.B. mindestens solange, bis das Fehlersignal im Zweirechnersystem erzeugt ist, also die Fehlererkennung im Zweirechnersystem durchgeführt ist. Dabei können verschiedene Varianten implementiert sein:
Verzögerung der Schreib- und Leseoperationen, Verzögerung nur der Schreiboperationen oder auch, wenn auch nicht bevorzugt, eine Verzögerung der Leseoperationen. Dabei kann durch ein Änderungssignal, insbesondere das Fehlersignal, eine verzögerte Schreiboperation in eine Leseoperation gewandelt werden um fehlerhaftes Schreiben zu unterbinden.
Verschiedene Arten der Implementierung der Verzögerungseinheit 102 sind in den Figuren 2 und 3 dargestellt. Der Zweck der Verzögerungseinheit also der Delay Unit 102 ist Zugriffe im Rahmen des genannten Zeitversatzes oder Taktzyklenversatzes zu verzögern um diesen zu kompensieren, insbesondere um Schreiboperationen des
Rechners 100 zu einer Komponente insbesondere externen Komponente bis zur Überprüfung und damit Korrektheit der entsprechenden Daten und/oder Befehle bzw. der jeweiligen Adressen zu erzielen. Dabei kann die Verzögerungseinheit auch in der Weise implementiert sein, dass sie Fehler in sich selbst erkennt und dies durch ein Fehlersignal EO nach außen signalisiert, dies wird dann anhand der Figuren 2 und 3 nochmals näher erläutert.
Figur 2 zeigt nun eine Verzögerungseinheit mit zwei Umschaltbausteinen 201 und 200, insbesondere Multiplex-Bausteinen, einem Verzögerungsglied 204 und einer Prüfeinrichtung oder Testeinrichtung 203 insbesondere einem TSC-Checker. Dabei besteht die Verzögerungseinheit aus zwei Zweigen, einem Lesezweig, der dem unteren Eingangspfad des Multiplexers 200 (die unteren drei Pfeile) einschließlich Multiplexer 201 entspricht, und einem Schreibzweig, also dem oberen Eingangspfad von Multiplexer 200 (die oberen drei Pfeile). D. h. die Verzögerungseinheit besteht, insbesondere wenn sie nur Schreiboperationen verzögern soll aus zwei Pfaden zwischen denen durch eine Umschalteinrichtung, insbesondere einen Multiplexer 200, umgeschaltet werden kann. In dem einen Pfad gehen die Daten und/oder Befehle hier die Daten von DOl (Data Out 1), die entsprechenden Adressen, hier DAl (Data Adress 1) und hier insbesondere zusätzlich Speicherkontrollsignale MC (Memory Control) unverzögert durch, im anderen Zweig werden diese durch das Verzögerungsglied 204 verzögert. Die Umschaltung zwischen den beiden Pfaden erfolgt durch ein Umschaltsignal, insbesondere das Schreib/Lesesignal R/W bzw. dessen Invertierung, also ein daraus abgeleitet Signal Invert R/W (= R/W = R/W mit dem Strich darüber in den Figuren 2 bis 4).
Im Schreibzweig also dem Zweig mit dem Verzögerungsglied 204 erfolgt beispielsweise eine Verzögerung um zwei Taktzyklen bei einer vorgegebenen Verzögerung von 1,5 Taktzyklen wie vorher beschrieben und ist damit länger als das benötigte Minimum von 1,5 Taktzyklen, wodurch einem Speicher erlaubt wird, mit dem gleichen Takteingang CLK bedient zu werden. D.h. die Verzögerung ist mindestens so groß wie der vorgesehene Zeitversatz (hier 1,5 Taktzyklen), kann aber wie in diesem Beispiel auch größer sein. Um Konsistenz herzustellen, werden die zugehörigen Adress- und Kontrollsignale gleichermaßen verzögert. Dies ist wie gesagt ebenso für den Datenbus (wie beispielhaft für den Datenbus eben mit DAl und DOl dargestellt) möglich wie für den Befehlsbus denkbar. Die Darstellung wäre somit leicht auf einen Befehlsbus für IAl übertragbar.
Die Bitzahlen an den einzelnen Verbindungen in Figur 2 und 3 sind beispielhaft gewählt, d.h. es wird hier in diesem Beispiel ein 16Bit-System plus einem Parity-Bit (16Bit+lParity=17Bit) vorgeschlagen. Eine Übertragung auf andere Bitbreiten wie 8, 32,
64 Bit plus Parity-Bit oder breitere Fehlerkennungen ist dabei problemlos möglich und erfindungsgemäß vorstellbar. Ebenso ist die Wahl der 4 Bit für das Speicherkontrollsignal MC (Memory Control) beispielhaft. Ebenso ist Zahl 5 Bit durch das zusätzlich eingekoppelte R/W-Invert-Bit auf eben dann 5Bit (4Bit+lR/W invert^5Bit) als beispielhaft anzusehen. Im unteren Eingangszweig des Umschaltbausteins 200 (die unteren drei Pfeile und hier eingeschlossen Umschaltbaustein 201), wird die Verzögerung durch Umschalteinrichtung 200 gebypasst, also vorbeigeleitet, gesteuert durch ein Umschaltsignal (insbesondere durch Benutzung des Schreib/Lesesignals R/W bzw. des daraus abgeleiteten Invert R/W). Bei Benutzung von R/W (Schreib/Lesesignal) wird dieses durch das Invertierungsglied 205 zum invertierten Schreib/Lesesignal. Der zweite Umschaltbaustein 200 insbesondere der zweite Multiplexer der die Daten und/oder Befehle (hier beispielhaft die Daten) wieder zusammenführt, wird ebenfalls durch dieses Signal, insbesondere das Schreib/Lesesignal R/W und das dazu invertierte angesteuert. Vorteilhaft ist hierbei wie nachfolgend beschrieben das Signal aus dem verzögerten Pfad, also hinter dem Verzögerungsglied 204 zu entnehmen.
Zweckmäßigerweise wird also das verzögerte Schreib/Lesesignal R/W bzw. das daraus invertierte Invert-R/W (=R/W) gewählt, weil sonst unter Umständen ein Zugriff, insbesondere ein Schreibzugriff, initiiert würde ohne die gewünschte Verzögerung von hier beispielhaft zweit Taktzyklen zu erreichen bevor die anderen verbundenen Signale vorliegen. Dies würde unter Umständen zu Problemen bei einer Umschaltung zwischen Lese- und Schreibzugriff führen. Wenn z. B. ein Lesezugriff (eine Leseoperation) direkt hinter einem Schreibzugriff (einer Schreiboperation) erfolgt, müssten der verzögerte Schreibzugriff und der direkt darauf folgende Lesezugriff parallel ausgeführt werden.
D.h. es sollte kein exakter Abstand von 2 Takten zwischen einer Schreiboperation und einer darauffolgenden Leseoperation sein, bzw. ist es einfacher zu verwirklichen wenn ein Minimalabstand von hier zwei Taktzyklen zwischen einer Schreiboperation und einer darauffolgenden Leseoperation erfolgen. Bei einer Schreiboperation tritt eine Lücke von der Dauer der Schreiboperation am Ausgang des des Umschaltbausteins 200 auf.
Während dieser Lücke würde der Umschaltbaustein 200, also der Multiplexer, den Lesezweig, also die drei unteren Eingänge von Multiplexer 200 aktivieren, wobei die nichtverzögerten Daten bzw. Adressen und Steuerinformationen diese Zweigs immer noch zur Schreiboperation gehören. Um zu vermeiden dass diese Informationen, also der vorhergehenden Operation auf den Bus gelangen ist Umschalteinrichtung 201 vorgesehen, welche in diesem Fall unkritische Konstanten z. B. die No Operation NO wie hier in Figur 2 dargestellt, zum unteren Eingang des Multiplexers 200 liefert während diese Wartezeit besteht, bis Multiplexer 200 unter Umständen zu den drei oberen Eingangswegen, also den verzögerten, umschaltet und die aktuelle Schreiboperation ausführt.
Um die Schnittstellen in diesem Fall gegenüber anderen Komponenten abzusichern sind die Signale Daten Adresse DAl (Data Adress), Datenausgabe DOl (Data Out) und Steuersignal (Memory Control) MC jeweils in diesem Beispiel durch ein einfaches Parity-Bit abgesichert. Dieses Parity wird durch die Checkeinheiten 109 bzw. 108 für den Befehlsbus abgesichert, wobei, da in Figur 1 nicht dargestellt, das Speicherkontrollsignal MC durch einen zusätzlichen Memory Checker 202 abgesichert ist. Das Parity Bit dieses Signals MC ist gleichermaßen durch das Verzögerungsglied 204 wie die übrigen Signale verzögert. Da die Signale jeder Signalart DAl, DOl und MC unabhängig in der
Verzögerungseinheit geführt sind, ermöglicht dieses einfache Parity-Bit ausreichenden Schutz gegen Einzelfehler. Bei Mehrfehlererkennung oder Absicherung sowie Korrektur von Mehrfachfehlern können wie schon gesagt mächtigere Fehlerkennungen verwendet werden.
Da das Umschaltsignal bzw. Änderungssignal also hier das Schreib-/Lesesignal R/W zur Steuerung der Umschalteinheiten eine spezielle Rolle ausfüllt soll dieses noch einmal in einer besonderen Ausführung konkret abgesichert werden. Dies soll durch einen dual rail code (also auf zwei Spuren) direkt beim Eingang in die Verzögerungseinheit erfolgen wobei dies noch einmal im Hinblick auf Figur 4 genauer beschrieben wird.
Eine zusätzliche Funktion kann über den Pfad DAE/DOE, 206, 207 und 208 realisiert werden. Darüber ist ein Schutz von Schreiboperationen im Falle eines Fehlers bei Standardkomponenten wie beispielsweise einem Fail Safe Speicher oder genauso bei der Umschaltung einer Schreiboperation in eine Leseoperation erzielbar. Das Fehlersignal
DAE/DOEdes Dual Cores liegt als dual rail Code vor. Dieser wird in ein single-rail Signal gewandelt Und zwar bevor ein Zeitversatz dazwischen liegt. Dies erfolgt in einem Vergleichsbaustein 206 der insbesondere als XOR-Baustein ausgeführt sein kann. Das XOR-Glied 206 macht dabei gleichzeitig aus dem Mehrfachsignal ein Einfachsignal. Optional wird nun ein Zeitverzug von 0,5 Taktzyklen in einem Verzögerungsglied 207 beigefügt um eine zeitliche Ausrichtung des resultierenden Fehlersignals mit dem korrespondierenden Datenwort in der Verzögerungseinheit zu erzielen. Dies, da die Verzögerungseinheit in unserem Beispiel um 2 Taktzyklen gemäß Verzögerungsglied 204 verzögert. Wird dann als Block 208 z. B. ein UND-Gatter verwendet, kann das Schreib-/Lesesignal R/W maskiert werden um einen Schreibzugriff zu blockieren wie dies im Zusammenhang mit der Beschaltung von Block 208 dargestellt ist.
Dieser DAE/DOE Eingang, also das Fehlersignal aus den Rechnern kann ebenfalls wie das Parity-Bit der Speichersteuerung MC aus 202 sowie das jeweilige Umschalt- bzw. Änderungssignal der Umschalteinrichtungen 201 und 202, also insbesondere das Schreib/Lesesignal R/W sowie das daraus abgeleitete inverse Schreib/Lesesignal (Invert R/W) dem Testbaustein 203 (insbesondere als TSC-Checker ausgebildet) zugeführt werden woraus sich ein für eine weitere Fehlerbehandlung nutzbares Fehlersignal EO (Error Out) ergibt. Die Verwendung der Schreib/Lesesignale R/W und R/W zur
Umschaltung im Multiplexer sowie deren Überprüfung wird wie bereits erwähnt in Figur 4 näher erläutert.
In der Verzögerungseinheit nach Figur 2 ergibt sich nach den Ausführungen nun am Ausgang ein entweder nicht verzögertes oder verzögertes Datenadresssignal DAId (Data
Adress delayed), ein entweder nicht verzögertes oder verzögertes Datensignal oder Datenausgangssignal DOId (Data Out delayed) in Abhängigkeit einer Leseoperation oder Schreiboperation sowie in diesem speziellen Beispiel wenn als Komponente, insbesondere externe Komponente ein Speicherbaustein verwendet wird ein Speichersteuerungssignal oder Speicherkontrollsignal MCd (Memory Control delayed) das ebenfalls entweder nicht verzögert oder verzögert ist.
Figur 3 zeigt nun nocheinmal in einer zweiten Ausführungsform eine Verzögerungseinheit wobei die Verzögerungseinheit wie dargestellt auch nur aus einem Umschaltbaustein oder Multiplexer 200 und zwei Zweigen ausgeführt sein kann. Hierbei wird aus Figur 2 nur der zweite Multiplexer 200 verwendet sodass die Eingänge DAl, DOl und MC diesem direkt zugeführt werden. Die gleichen Eingänge werden wie vorher schon über ein Verzögerungsglied 204 verzögert und ebenfalls dem Multiplexer 200 zugeführt. Dabei gehen die Daten (also hier Datenadresse DAl, Daten DOl und Speichersteuerung MC) gleichzeitig in beide Zweige, wobei Schreiboperationen in dem nicht verzögerten Pfad in Leseoperationen umgewandelt werden. Diese Änderung oder Umschaltung der Schreiboperationen in Leseoperationen kann ebenfalls durch die Schreib-/Lesesignale R/W bzw. das daraus abgeleitete R/W invertiert erfolgen.
Im übrigen ist die zweite Ausführungsform vergleichbar aufgebaut wie die erste
Ausführungsform, bis auf die Tatsache dass der erste Multiplexer 201 weggelassen wurde wodurch auch die Bezeichnungen und die Funktionen soweit vorhanden identisch sind. Ausnahme ist die Testeinheit, da dieser durch den fehlenden Multiplexer 201 weniger Signale zugeführt werden und darum geringfügig anders aufgebaut sein kann und deswegen hier mit 303 bezeichnet ist. Aber gleichermaßen das weiterverwendbare im Rahmen einer Fehlerbehandlung benutzbare Errorsignal EO ausgibt.
Insbesondere bei einer von Neumann Architektur bei der die Komponente an einem allgemeinen Bus angehängt ist, ist es vorteilhaft, wenn nur die Schreiboperation verzögert wird. Zweckmäßigerweise erfolgen die Befehlsspeicherzugriffe und die Leseoperationen ohne Verzögerung im Rahmen der von Neumann Architektur.
Bei der Verzögerungseinheit können als Umschaltbausteine oder Multiplexer sichere Multiplexer gemäß Figur 4 verwendet werden. Hierbei werden die Daten durch einen
Fehlererkennungscode, hier beispielsweise ein Parity-Bit abgesichert und die Ansteuersignale also Umschalt- bzw. Änderungssignale, hier insbesondere das
Schreib/Lesesignal R/W und das daraus abgeleitete inverse Schreib/Lesesignal RIW werden ebenso abgesichert, hier beispielhaft in Dual Rail Logic. D.h. das R/W sowie das inverse Signal werden zuerst dem sicheren Multiplexer zugeführt und von dort zur
Testeinheit dem TSC-Checker 203 bzw. 303. Unter diesen Vorgaben wird ein Fehler der eine Spur des Schreib/Lesesignals betrifft durch die Testeinheit TSC 203 bzw. 303 detektiert während ein Einfachfehler im Multiplexschaltkreis ein einfaches Output-Bit betreffen wird und damit durch den Parity Check ermittelbar ist. D.h. die Daten und/oder Befehle wie vorher ausgeführt werden wie in einem Standardmultiplexer umgeschalten, wobei zusätzlich noch das Parity-Bit oder eine andere Fehlerkennung umgeschalten werden. Die Ansteuersignale also Umschalt- oder Änderungssignale R/W und R/W Invert werden zunächst an alle Umschalter für die einzelnen Bits geführt, hier dargestellt in den Bausteinen 401 bis 406 insbesondere als UND-Gatter, denen ebenso die jeweiligen Eingänge 110, Il 1, 120, 121 bis InO, InI zugeführt werden. Die Bausteine bzw. deren
Ausgangssignale aus 401-406 werden dann jeweils in den Bausteinen 407 bis 409 wie in Figur 4 dargestellt zusammengefasst. Dazu sind die Bausteine 407-409 insbesondere als ODER-Gatter ausgeführt. Dabei ergeben sich dann Ausgänge des Multiplexbausteins Ol, 02 bis On. Die in Figur 4 dargestellte Struktur ist nur ein Ausschnitt aus der Gesamtstruktur eines Multiplexbausteins gemäß den Figuren 2 und 3 mit den darin beispielhaft dargestellten Bit-Breiten von 17Bit bzw. 5Bit pro Signalweg. D.h. beide Multiplexbausteine 201 und 200 entsprechend den Figuren 2 und 3 sind vorteilhafterweise in Form der Figur 4 ausgeführt um einen fälschlicherweise umgeschalteten Datenweg wie bereits beschrieben erkennbar zu machen und die Fehlerkennung zu vereinfachen. Solche Fehler könnten nicht durch reines Parity- Checking ermittelt werden, da auch die Daten des falschen Signalweges die korrekte Parity aufweisen, sofern kein Bitkipper vorliegt.
Abgeschlossen wird dieses Sicherheitspaket durch die Absicherung der Schnittstelle zu einer Komponente, insbesondere einer externen Komponente entsprechend 103 und 104 aus Figur 1, indem wie bereits in Figur 1 dargestellt Fehlerkennungseinheiten zur Generation der Fehlerkennung 105-107 und zur Fehlerüberprüfungseinheiten zur Überprüfung der Fehlerkennung wie 108 und 109 insbesondere als Party-Bit-Überprüfer und Party-Bit-Generatoren vorgesehen sind. Die dabei entstandenen Fehlersignale können dann eben als DAE/DOE-Signale gemäß Figur 2 und Figur 3 eben als Data Adress Error oder Data Out Error auch im Verzögerungsbaustein wie beschrieben verwendet werden.
Die Verwendung eines sicheren Multiplexers, bei dem die Ansteuersignale bzw.
Umschalt- oder Änderungssignale R/W und R/W Invert zuerst an alle Umschalter für die einzelnen Bits geführt und erst danach im TSC-Checker überprüft werden, können Fehler in den Ansteuersignalen somit durch den Test von diesen erkannt werden bzw. wenn nur ein Bit fehlerhaft umgeschaltet wird, wird dies durch die Datenkodierung der umzuschaltenden Daten erkannt.
Durch die Erfindung ist somit eine beträchtliche Erhöhung der Sicherheit im Rahmen eines Zweirechnersystems mit relativ einfachen Mitteln möglich.

Claims

Ansprüche:
1. Verzögerungseinheit ( 102) zur Verzögerung der Zugriffe auf Daten und/oder
Befehle eines Rechnersystems mit Fehlerentdeckungsmechanismen wobei die Verzögerungseinheit derart ausgebildet ist, dass die Dauer zwischen dem unverzögerten Zugriff auf Daten und/oder Befehle und der Fehlererkennung kompensiert wird.
2. Verzögerungseinheit (102) zur Verzögerung der Zugriffe auf Daten und/oder
Befehle eines Zweirechnersystems mit einem ersten (100) und einem zweiten Rechner (101), wobei der erste und zweite Rechner mit einem Zeitversatz arbeiten und die Verzögerungseinheit derart ausgebildet ist, dass dieser Zeitversatz in dem Zweirechnersystem bei den Zugriffen auf Daten und/oder Befehle bei wenigstens einem der beiden Rechner kompensiert wird.
3. Verzögerungseinheit nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass durch Vergleich der Daten und/oder Befehle des ersten Rechners (100) mit den Daten und/oder Befehlen des zweiten Rechners (101) eine Fehlererkennung erfolgt wobei die Verzögerungseinheit (102) derart ausgestaltet ist, dass diese die Zugriffe auf die Daten und/oder Befehle des Zweiprozessorsystems solange verzögert bis die Fehlererkennung durchgeführt ist.
4. Verzögerungseinheit nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass das Zweirechnersystem über einen Datenbus (116) mit wenigstens einer ersten Komponente
(104) verbunden ist und die Verzögerungseinheit (102) zwischen wenigstens einem Rechner (100) des Zweirechnersystems und der wenigstens einen ersten Komponente (104) am Datenbus lokalisiert ist.
5. Verzögerungseinheit nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass das Zweirechnersystem über einen Befehlsbus (117) mit wenigstens einer zweiten Komponente (103) verbunden ist und die Verzögerungseinheit (102) zwischen wenigstens einem Rechner (100) des Zweirechner Systems und der wenigstens einen zweiten Komponente (103) am Befehlsbus lokalisiert ist.
6. Verzögerungseinheit nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass das Zweirechnersystem über gemischten Daten-/Befehlsbus mit wenigstens einer dritten Komponente verbunden ist und die Verzögerungseinheit zwischen wenigstens einem Rechner des Zweirechnersystems und der wenigstens einen dritten Komponente am gemischten Daten-/Befehlsbus lokalisiert ist.
7. Verzögerungseinheit nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Verzögerungseinheit derart ausgestaltet ist, dass als Zugriffe Schreiboperationen und Leseoperationen verzögert werden.
8. Verzögerungseinheit nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Verzögerungseinheit derart ausgestaltet ist, dass als Zugriffe nur Schreiboperationen verzögert werden.
9. Verzögerungseinheit nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die Verzögerungseinheit derart ausgestaltet ist, dass als Zugriffe nur Leseoperationen verzögert werden.
10. Verzögerungseinheit nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass diese ein Verzögerungsglied (204) und einen Umschaltbaustein (200) enthält.
11. Verzögerungseinheit nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass diese derart ausgestaltet ist, dass diese zwischen Verzögerung der Zugriffe und Nicht- Verzögerung der Zugriffe umschaltbar ist.
12. Verzögerungseinheit nach Anspruch 11, dadurch gekennzeichnet, dass die Umschaltung durch ein Schreib-/Lesesignal (R/W) oder ein daraus abgeleitetes Signal (Invert R/W) eingeleitet wird.
13. Verzögerungseinheit nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass diese derart ausgebildet ist, dass diese selbst fehlererkennend ist.
14. Verzögerungseinheit nach Anspruch 10, dadurch gekennzeichnet, dass der Umschaltbaustein (200) als sicherer Multiplexbaustein ausgeführt ist.
15. Verzögerungseinheit nach Anspruch 11 und 14, dadurch gekennzeichnet, dass der sichere Multiplexbaustein derart ausgebildet ist, dass ein Bitumschaltelement (401,
402) vorgesehen ist und eine Umschaltung durch ein Ansteuersignal (R/W) erfolgt, welches in einer Testeinheit (TSC) geprüft wird, wobei das Ansteuersignal erst dem Bitumschaltelement und danach der Testeinheit zugeführt wird.
16. Verzögerungseinheit nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die
Zugriffe als Schreiboperationen oder Leseoperationen ausgebildet sind und die Verzögerungseinheit derart ausgebildet ist, dass Änderungssignale vorgesehen sind, durch welche eine Schreiboperation in eine Leseoperation geändert wird.
17. Zweirechnersystem mit einer Verzögerungseinheit nach Anspruch 1 oder 2.
18. Verfahren zur Verzögerung von Zugriffen auf Daten und/oder Befehle eines Zweirechnersystems mit einem ersten (100) und einem zweiten Rechner (101), wobei der erste und zweite Rechner mit einem Zeitversatz arbeiten und dieser Zeitversatz in dem Zweirechnersystem bei den Zugriffen auf Daten und/oder Befehle bei wenigstens einem der beiden Rechner kompensiert wird.
19. Verfahren zur Verzögerung der Zugriffe auf Daten und/oder Befehle eines Rechnersystems mit Fehlerentdeckungsmechanismen zur Fehlererkennung dadurch gekennzeichnet, dass die Dauer zwischen einem unverzögerten Zugriff auf Daten und/oder Befehle und der Fehlererkennung kompensiert wird.
EP05764000A 2004-08-06 2005-08-03 Verfahren zur verzögerung von zugriffen auf daten und/oder befehle eines zweirechnersystems sowie entsprechende verzögerungseinheit Withdrawn EP1776637A2 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102004038590A DE102004038590A1 (de) 2004-08-06 2004-08-06 Verfahren zur Verzögerung von Zugriffen auf Daten und/oder Befehle eines Zweirechnersystems sowie entsprechende Verzögerungseinheit
PCT/EP2005/053791 WO2006015964A2 (de) 2004-08-06 2005-08-03 Verfahren zur verzögerung von zugriffen auf daten und/oder befehle eines zweirechnersystems sowie entsprechende verzögerungseinheit

Publications (1)

Publication Number Publication Date
EP1776637A2 true EP1776637A2 (de) 2007-04-25

Family

ID=35521152

Family Applications (1)

Application Number Title Priority Date Filing Date
EP05764000A Withdrawn EP1776637A2 (de) 2004-08-06 2005-08-03 Verfahren zur verzögerung von zugriffen auf daten und/oder befehle eines zweirechnersystems sowie entsprechende verzögerungseinheit

Country Status (7)

Country Link
US (1) US20070283061A1 (de)
EP (1) EP1776637A2 (de)
JP (1) JP2008509466A (de)
KR (1) KR20070038543A (de)
CN (1) CN1993680A (de)
DE (1) DE102004038590A1 (de)
WO (1) WO2006015964A2 (de)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5142312B2 (ja) * 2007-02-19 2013-02-13 日東電工株式会社 光学積層体の製造方法、及び画像表示装置
US8275977B2 (en) * 2009-04-08 2012-09-25 Freescale Semiconductor, Inc. Debug signaling in a multiple processor data processing system
JP5925507B2 (ja) * 2012-02-07 2016-05-25 株式会社日立製作所 データ照合装置、照合方法及びそれを用いた安全保安システム
US9118351B2 (en) * 2012-02-15 2015-08-25 Infineon Technologies Ag System and method for signature-based redundancy comparison
US8819485B2 (en) 2012-03-12 2014-08-26 Infineon Technologies Ag Method and system for fault containment
CN107885611B (zh) * 2017-11-24 2021-02-19 西安微电子技术研究所 可主动回写的分级指令存储器结构容错方法和装置
JP7208448B2 (ja) * 2019-02-01 2023-01-19 富士通株式会社 情報処理装置、情報処理プログラム、及び情報処理方法
KR20220127855A (ko) * 2020-09-23 2022-09-20 창신 메모리 테크놀로지즈 아이엔씨 데이터 통로 인터페이스 회로, 메모리 및 저장 시스템

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE2729362C2 (de) * 1977-06-29 1982-07-08 Siemens AG, 1000 Berlin und 8000 München Digitale Datenverarbeitungsanordnung, insbesondere für die Eisenbahnsicherungstechnik, mit in zwei Kanälen dieselben Informationen verarbeitenden Schaltwerken
AU625293B2 (en) * 1988-12-09 1992-07-09 Tandem Computers Incorporated Synchronization of fault-tolerant computer system having multiple processors
US5430886A (en) * 1992-06-15 1995-07-04 Furtek; Frederick C. Method and apparatus for motion estimation
US5790776A (en) * 1992-12-17 1998-08-04 Tandem Computers Incorporated Apparatus for detecting divergence between a pair of duplexed, synchronized processor elements
FR2748136B1 (fr) * 1996-04-30 1998-07-31 Sextant Avionique Module electronique avec architecture redondante pour controle d'integrite du fonctionnement
GB2317032A (en) * 1996-09-07 1998-03-11 Motorola Gmbh Microprocessor fail-safe system
US6279119B1 (en) * 1997-11-14 2001-08-21 Marathon Technologies Corporation Fault resilient/fault tolerant computing
US6243829B1 (en) * 1998-05-27 2001-06-05 Hewlett-Packard Company Memory controller supporting redundant synchronous memories
GB2399913B (en) * 2002-03-19 2004-12-15 Sun Microsystems Inc Fault tolerant computer system
EP1398701A1 (de) * 2002-09-12 2004-03-17 Siemens Aktiengesellschaft Verfahren zur Ereignissynchronisation, insbesondere für Prozessoren fehlertoleranter Systeme
US20050039074A1 (en) * 2003-07-09 2005-02-17 Tremblay Glenn A. Fault resilient/fault tolerant computing
US20060020852A1 (en) * 2004-03-30 2006-01-26 Bernick David L Method and system of servicing asynchronous interrupts in multiple processors executing a user program
US20050240806A1 (en) * 2004-03-30 2005-10-27 Hewlett-Packard Development Company, L.P. Diagnostic memory dump method in a redundant processor

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See references of WO2006015964A2 *

Also Published As

Publication number Publication date
WO2006015964A2 (de) 2006-02-16
US20070283061A1 (en) 2007-12-06
CN1993680A (zh) 2007-07-04
WO2006015964A3 (de) 2006-05-11
KR20070038543A (ko) 2007-04-10
DE102004038590A1 (de) 2006-03-16
JP2008509466A (ja) 2008-03-27

Similar Documents

Publication Publication Date Title
EP1810145B1 (de) Verfahren und vorrichtung zur synchronisierung in einem mehrprozessorsystem
EP1776637A2 (de) Verfahren zur verzögerung von zugriffen auf daten und/oder befehle eines zweirechnersystems sowie entsprechende verzögerungseinheit
DE10349581A1 (de) Verfahren und Vorrichtung zur Umschaltung zwischen wenigstens zwei Betriebsmodi einer Prozessoreinheit
EP3475824B1 (de) Verfahren und vorrichtung zur redundanten datenverarbeitung
WO2006015955A2 (de) Verfahren zur fehlerregistrierung und entsprechendes register
WO2007057270A1 (de) Programmgesteuerte einheit und verfahren zum betreiben derselbigen
EP1680737B1 (de) Verfahren und vorrichtung zur operandenverarbeitung in einer prozessoreinheit
EP1618476A2 (de) Programmgesteuerte einheit und verfahren
DE102004051952A1 (de) Verfahren zur Datenverteilung und Datenverteilungseinheit in einem Mehrprozessorsystem
DE10340236B4 (de) Anordnung mit einer Datenverarbeitungseinrichtung und einem Speicher
DE102004051937A1 (de) Verfahren und Vorrichtung zur Synchronisierung in einem Mehrprozessorsystem
DE102010062588B4 (de) Abgesichertes Master-Slave-Flipflop
DE3211265A1 (de) Zweikanaliges fail-safe-mikrocomputerschaltwerk, insbesondere fuer eisenbahnsicherungsanlagen
DE102004051964A1 (de) Verfahren und Vorrichtung zur Überwachung einer Speichereinheit in einem Mehrprozessorsystem
DE10317651A1 (de) Verfahren und Vorrichtung zum Vergleichen von binären Datenworten
DE10360198B4 (de) Schaltungsanordnung und Verfahren zur Überwachung eines Adressdecoders
DE10360196A1 (de) Schaltungsanordnung und Verfahren zur Überwachung eines Adressdecoders
DE19734554A1 (de) Elektronische Anordnung zur sicheren Datenverarbeitung
DE102004051950A1 (de) Verfahren und Vorrichtung zur Taktumschaltung bei einem Mehrprozessorsystem
EP2527932A2 (de) Sicherheitssensor
DD278435A1 (de) Schaltungsanordnung zur signaltechnisch sicheren ausgabe von prozessdaten
DD217054A1 (de) Schaltungsanordnung mit diagnoserechner und ausserhalb des datenflusses angeordneten vergleichern

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

17P Request for examination filed

Effective date: 20070306

AK Designated contracting states

Kind code of ref document: A2

Designated state(s): AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LI LT LU LV MC NL PL PT RO SE SI SK TR

R17P Request for examination filed (corrected)

Effective date: 20070306

17Q First examination report despatched

Effective date: 20070529

DAX Request for extension of the european patent (deleted)
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION IS DEEMED TO BE WITHDRAWN

18D Application deemed to be withdrawn

Effective date: 20071009