JPH08171581A

JPH08171581A - 誤り検出機能付き論理回路及びそれを用いたフォールトトレラントシステム

Info

Publication number: JPH08171581A
Application number: JP6313492A
Authority: JP
Inventors: Nobuyasu Kanekawa; 信康金川; Hiroshi Sato; 佐藤　　寛; Shoji Suzuki; 昭二鈴木; Yoshimichi Sato; 美道佐藤; Shinya Otsuji; 信也大辻; Makoto Nomi; 誠能見
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 1994-12-16
Filing date: 1994-12-16
Publication date: 1996-07-02

Abstract

(57)【要約】【目的】冗長化した機能ブロックで同一の誤りが発生
するのを防ぎ、検出率を向上させる。【構成】同一の機能を有する機能ブロックを少なくと
も２重化して持つ冗長論理システムであって、前記機能
ブロックをハードウェア記述言語による記述に基づき自
動論理合成または自動配線する際に、設計制約条件を変
えてＮ通り（Ｎは２以上の整数）の論理または配線パタ
ーンを生成し、Ｎ通りの論理または配線パターンの中か
ら少なくとも２通りの論理または配線パターンを選択
し、前記少なくとも２重化された各機能ブロックを異な
る論理または配線パターンで生成する。あるいは、多重
化した機能ブロックの動作タイミングをずらしたり、物
理的な配置位置を離したりする。これにより、同一の誤
りが発生するのを防ぐことができる。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明はセルフチェック回路及び
その構成方法に係り、特に、高信頼システム構築に好適
な論理システムに関する。

【０００２】

【従来の技術】航空機，列車，自動車などの交通機関の
エネルギー（燃料）効率の向上，操作性の向上，乗り心
地の向上，安全性向上，高速化等のために高度な制御が
要求されるにつれて、これらの制御装置の電子化が進ん
でいる。これらの交通機関の安全な運行のためには制御
装置の信頼性，フェイルセーフ性（障害発生により危険
側出力が出されないこと）が強く求められている。

【０００３】制御装置の信頼性フェイルセーフ性を保証
するためには、制御装置の障害発生を検出できること、
すなわちセルフチェッキング性が重要である。セルフチ
ェッキング性を実現するため、Ｍ−out−of−Ｎ符号や
二線論理（１−out−of−２符号すなわちＭ−out−of−
Ｎ符号の一種と考えることができる）などの符号間の
ハミング距離を２以上としたいわゆる冗長符号による方
法が広く用いられている（文献：当麻喜弘監修、コン
ピュータシステムの高信頼化技術入門−フォールトトレ
ラントシステムの基礎、日本規格協会、Ｐ．３７）。こ
の方法によれば、単一のフォールトに関しては完全に検
出することが可能である。

【０００４】以上のような冗長符号を用いてセルフチェ
ッキング回路を実現する方法として以下の２つの方法が
ある。 (1) 回路全体を冗長符号により構成する方法 (2) 機能ブロック部を２重化し、機能ブロック部の出力
を冗長符号により構成されたセルフチェッキング比較回
路で比較する方法 (1）の方法はセルフチェッキング化のために新規に設計
しなければならないほか、回路の動作速度の最適化が困
難であるという問題がある。

【０００５】一方、(2）の方法によれば、比較回路のみ
を冗長論理で新規に設計すればよいので、既存のプロセ
ッサ，メモリ等を機能ブロック部に使用することができ
るため開発コストを大幅に低減することができる上、最
新の半導体技術を活用でき、高速化が容易に図れる。こ
の方法のセルフチェッキング性は比較器のセルフチェッ
キング性および、２重化した機能ブロックの誤りの独立
性（つまり、同時に同一の誤りを生じないこと）に依る
ところが大きい。

【０００６】

【発明が解決しようとする課題】上記従来技術が有効な
のは、二重化した機能ブロックの誤りが独立、即ち同時
に同一の誤りが発生しないという前提のもとでである。
万一、両方の機能ブロックが同時に同一の誤りを発生し
た場合には、誤った出力同士が一致してしまうために、
出力の比較チェックによる方法では誤りを検出すること
ができない。このことは二重化した機能ブロックを同一
の半導体チップ内に配置する場合には特に大きな課題で
ある。

【０００７】本発明の目的は、二重化した機能ブロック
の誤りの独立性を保証し、機能ブロックの出力の比較チ
ェックによる方法で誤りを検出できる論理システムを提
供することにある。

【０００８】

【課題を解決するための手段】二重化した機能ブロック
の誤りの独立性を保証するために、以下に示すようなダ
イバーシティと呼ばれる手段をとる。

【０００９】（１）設計ダイバーシティ設計ダイバーシティは設計に起因する誤り、障害の影響
を除去するのに有効な方法である。特にソフトウェアに
ついては同一の仕様で独立に開発されてＮ個のバージョ
ンのプログラムを同時に実行させるN-Version Programm
ingが有名である。ハードウェアにおいても同一の仕様
の回路を独立にＮ通り開発すれば同様に設計ダイバーシ
ティが実現できる。しかし以上述べた方法によれば、設
計、開発にＮ倍の工数と経費が必要となり効率的ではな
い。

【００１０】そこでハードウェアの設計の場合には以下
のような方法により工数と経費の削減が可能である。

【００１１】最近ではハードウェアを設計する際にＨＤ
Ｌ(Hardware Description Language:ハードウェア記述
言語)により論理回路を機能または仕様レベルで記述し
たファイル(以下、論理記述と呼ぶ)を作成し、ＨＤＬを
基に論理合成ツールを用いて論理回路のつながりを記述
したファイル(以下、論理ネットリスト)を生成すること
が主流になっている。さらに論理ネットリストを基にし
て自動配線ツールで実際の半導体上のトランジスタ間の
配線、配置を記述したファイル(以下、物理ネットリス
トと呼ぶ)に変換して、マスクを作成して半導体素子を
製造する。

【００１２】ここで、論理合成、自動配線の際に遅延時
間や占有面積などの設計制約や、使用するアルゴリズム
を変えることにより、生成される論理ネットリスト、物
理ネットリストを多様化させることができる。

【００１３】そこで二重化した機能ブロックを実現する
場合に、機能ブロックの論理記述を基にして以上のよう
にして多様化させて得られた複数の物理ネットリストの
中から２つの物理ネットリストを選んでチップ内で二重
化した機能ブロックとする。

【００１４】複数の物理ネットリストの中から２つを選
ぶためにはそれぞれの物理ネットリストｋ1，ｋ2がどの
程度類似しているかを表す下記数７の相関関数Φk1k2を
定義し、その相関関数が最小となる組合せを選べばよ
い。この場合、相関関数は半導体素子の故障特性を反映
したものである必要がある。一般に半導体素子の弱点と
して配線の交差が挙げられる。配線が交差している部分
は、２つの配線同士が薄い酸化膜で隔てられているだけ
なので、配線間の短絡や、クロストークなどの混触が生
じやすい。また、配線が交差している部分では一方の配
線が他方の上を乗り越えているために、段差のところで
配線にストレスが加わり断線しやすくなる。つまり、配
線間の交差の状況が半導体素子の故障特性を反映してい
るといえる。従って、以下のようにすれば、半導体素子
の故障特性を反映した相関関数を定義することができ
る。

【００１５】

【数７】

【００１６】ただし、φijｋm（m＝１，２）は配線ネッ
ト間の交差の有無を表し以下のように定義する。

【００１７】

【数８】

【００１８】（２）時間ダイバーシティ同一の設計の機能ブロックでも、動作するタイミングを
ずらすことにより電気雑音等による障害の影響を防ぐこ
とができる。時間ダイバーシティを実現するために、二
重化した機能ブロックの動作のタイミングを決定するク
ロック信号や入力信号を一方の機能ブロックについてだ
け遅延回路を介して入力することにより動作タイミング
をずらすことができる。また、機能ブロックの出力信号
を比較する際に他方の機能ブロックの出力信号だけに遅
延回路を介することにより比較器では同一のタイミング
で出力信号を比較することができる。

【００１９】（３）空間ダイバーシティ二重化した機能ブロック間の距離を離すことにより、電
気雑音、宇宙線、放射線等による一時的な障害、チップ
の部分破壊に起因する障害の影響を防ぐことができる。
チップ内で機能ブロックを二重化してセルフチェック化
する場合、空間ダイバーシティの効果を最大にするため
には、機能ブロックを同じ向きに同形に配置するのがよ
い。以上のようにすれば、二重化した機能ブロックの対
応する部分同士が全て同一の距離を持つことになり、対
応する部分同士が著しく接近して、空間ダイバーシティ
の効果が低下することがない。

【００２０】

【作用】本発明によれば、出力の比較による誤り検出の
対象となる機能ブロックは設計ダイバーシティ、時間ダ
イバーシティ、空間ダイバーシティにより誤りの独立性
が保証されるので、同時に同一の誤りが相関を持って発
生することがなくなり、出力の比較チェックにより誤り
を検出することができる。

【００２１】

【実施例】以下、本発明の一実施例を図面を参照して説
明する。まず、本発明の実施例の説明に先立ち、セルフ
チェッキング論理について説明する。

【００２２】図８は比較器の説明図である。機能ブロッ
クＡからの信号ａ0〜ａnには、パーミュータ(permuter)
８０〜８ｎにより、直交波形生成回路１００で生成され
た直交波形（テストパターン）に従ってテストのための
誤りを注入される。誤り注入後の信号をａ0’〜ａn’と
する。なお、パーミュータ８０〜８ｎは、図に示すよう
に、排他的論理和(Exclusive OR)で構成され、テストの
ために疑似的に誤りを注入する機能を持つ。誤り注入後
の信号ａ0’〜ａn’は比較回路３0〜３nで機能ブロック
Ｂからの信号ｂ0〜ｂnと比較され、比較結果ｃ0〜ｃn
は、集成回路５に集められる。集成回路５では、比較結
果ｃ0〜ｃnが正常なシグナチャを示しているときのみ、
シグナチャ出力６に正常であることを示すシグナチャ信
号を出力する。

【００２３】ここで、誤り注入後の信号ａ0’〜ａn’の
うち任意の１つをａi’と表すと、

【００２４】

【数９】ａi’＝ａi＾ｐｉただし、ｉ：信号の番号（ｉ：０…ｎ）ｐi：直交波形生成回路１００で生成された直交波形(テ
ストパターン) ＾：排他的論理和(Exclusive OR)の演算子となる。さらに、比較結果ｃ0〜ｃnのうち任意の１つを
ｃiと表すと、

【００２５】

【数１０】ｃｉ＝ａi’＾ｂi ＝ａi＾ｐi＾ｂi となる。ここで、機能ブロックＡ，Ｂが正常なときには
ａi＝ｂiであるからａi＾ｂi＝０である。したがって、

【００２６】

【数１１】ｃｉ＝ｐｉとなる。

【００２７】ここで、任意のｐi(ｉ：１…ｎ)が相互に
直交であるから、ｃi，ｃj(ｉ≠ｊ)も直交である。ａ
i，ｐiが統計的に独立すなわち直交であると仮定すれ
ば、ａi，ａi’も互いに直交で、さらにｂi ，ａi’も
互いに直交である。従ってこれらの波形群のうち直交で
なく相関があるのは、ａｉ，ｂｉの間及び、ｐｉ，ｃｉ
の間である。そこで、先に述べた混触による偽造シグナ
チャの発生を防ぐために、ａｉ，ｂｉの間及び、ｐｉ，
ｃｉの間は物理的に離すように回路レイアウト上考慮す
れば、混触による偽造シグナチャの発生の影響を防ぐこ
とができる。なお、この回路レイアウトの例については
後述（図２２）する。

【００２８】この例によれば、特殊な配線制約などを必
要とせずに完全セルフチェッキング比較器を提供するこ
とができる。

【００２９】なお、図９において、機能ブロックＡ（１
１０），機能ブロックＢ（１１１）は常時有効な信号ａ
0〜ａn，ｂ0〜ｂnを出しているとは限らず、信号ａ0〜
ａn，ｂ0〜ｂnが有効であることを示すストローブ信号
と共に出力されることが多い。このような場合には、図
９に示すように、ストローブ信号１３０，１３１により
信号ａ0〜ａn，ｂ0〜ｂnが有効なときにラッチ１２０，
１２１で保持すればよい。マイクロプロセッサを用いた
回路のストローブ信号として用いる信号の種類はマイク
ロプロセッサによって異なり、アドレス信号，コントロ
ール信号についてはＡＳ(Address Strobe)，ＢＳ(Bus S
tart)など、データ信号についてはＴＡ(TransferAcknow
ledge)，ＤＴＡＣＫ(Data Transfer Acknowledge）など
の信号がストローブ信号として使用できる。

【００３０】図１０は、上記の比較器を、文献（当麻
喜弘編：「フォールトトレラントシステム論」，電子情
報通信学会(1990)）のＲＣＣＯツリーによる比較器に適
用した例である。機能ブロックＡからの信号ａ0〜ａnに
は、パーミュータ８0〜８nにより、直交波形生成回路１
００で生成された直交波形（テストパターン）に従って
テストのための誤りを注入され、誤り注入後の信号ａ
0’〜ａn’が、ＲＣＣＯツリー３に入力される。なお、
ＲＣＣＯツリーの場合、シグナチャ出力６も二線論理と
なる。

【００３１】ＲＣＣＯツリー３内部では、図８の例と同
様に、ＲＣＣＯの入出力は直交となり、混触による偽造
シグナチャの発生の影響を防ぐことができる。

【００３２】なお、以降の説明では、図８に示す比較回
路に基づいて説明を進めるが、特にことわりのないかぎ
り、ＲＣＣＯツリーによる比較回路についても同様であ
る。

【００３３】図１１は、機能ブロックＢからの信号ｂ0
〜ｂnにも、直交波形生成回路１００による直交波形に
より、パーミュータ９0〜９nで誤り注入する例である。
本例により、ｂiが長時間同じ値を採る場合に、比較回
路の入力のstack故障が潜在化するのを防ぐことができ
る。例えば、ｂi がアドレス信号で、プログラムが特定
の領域のアドレスしか使用しない場合には、アドレスの
上位ビットの値は長時間一定の値となる。

【００３４】図１２は、機能ブロックＡと機能ブロック
Ｂとに別々に独立した直交波形生成回路１００，１０１
を持たせた例である。本例によれば、直交波形生成回
路１００，１０１が２重化してあるので、直交波形生成
回路１００，１０１いずれか一方の障害を検出し、報告
することができる。さらに本例によれば、図２２で後述
するようなレイアウト上、２つの系の独立性を活かすこ
とができる。

【００３５】図１３は、直交波形として各配線ネット固
有のタイムスロットに、パルスがオンする波形を用いた
例である。本例により、直交波形生成回路１００の出力
パターンｐ0〜ｐnおよび機能ブロックＡ（１１０），Ｂ
（１１１）がともに正常であるときの比較結果ｃ0〜ｃ
ｎは、図１３のようになる。

【００３６】図１４は、図１３に示すようなパターンを
発生する直交波形生成回路１００の構成図である。シス
テムのパワーオンリセット時にＲＥＳＥＴ信号がアクテ
ィブになり、フリップフロップ１００１がプリセット
(初期値として“１”が設定される。)され、フリップフ
ロップ１００２〜１００ｍがリセット(初期値として
“０”が設定される)される。すなわち、フリップフロ
ップ列１００１〜１００ｍには１，０，０，０，０，
…，０の値が設定される。パワーオンリセット後にはＣ
ＬＫ(クロック)信号に従い、１，０，０，０，０，…，
０のパターンが順にシフトして、図１３のパターンが生
成される。フリップフロップ１００１〜１００ｍを冗長
化し、さらに各段ごとに冗長なフリップフロップの出力
の多数決をとれば、ノイズ，放射線などによるフリップ
フロップのソフトエラーやシングルイベントアップセッ
トなどと呼ばれている一時的なエラー(トランジェント
フォールト)の影響を防ぐことができ、さらに信頼性を
上げることができる。なお、この直交波形生成回路１０
０は、図１０のＲＣＣＯツリー３にも用いることができ
るのはいうまでもない。

【００３７】図１５は、図１３のパターンに適した集成
回路５の例である。図１３のパターンによれば、図１５
に示すような単純なＯＲ(論理和)は異なる波形となるの
で、故障の発生を知ることができる。この時に配線ネッ
ト間に混触が発生した場合でも、ｐ２，ｃ２の正当なシ
グナチャを使用している配線ネットは他には存在してい
ないので、正当なシグナチャが誤ってシグナチャ出力６
に表れることすなわち偽造シグナチャが出力されること
はない。従って、混触による偽造シグナチャが発生した
場合であっても、フェイルセーフ性を保証することが可
能となる。

【００３８】図１８は、図１５の集成回路のパルス抜け
検出機能に加えて、過剰パルス検出機能を加えた例であ
る。ここで、過剰パルスとは信号ｃ0〜ｃnのうちいずれ
かの信号が同時にオンとなる現象である。図１６のよう
にｃ0〜ｃnのうちいずれか１つの信号がオンとなる場合
には、ＯＲ（論理和）５０，ＥＯＲ（排他的論理和）５
１ともに図１６に示すようなシグナチャ出力を生成す
る。ここで、図１９に示すように、ｃ２，ｃｎで同時に
パルスがオンとなった場合には、図１９に示すように、
シグナチャ出力６１のパルスが抜けて、正当なシグナチ
ャとは異なる波形となるので、故障の発生を知ることが
できる。

【００３９】図２０は、さらにパルスの到来順序を考慮
した集成回路５の例である。正常に比較結果のシグナチ
ャのパルスがｃ0，ｃ1，ｃ2，…，ｃnと順番に到来すれ
ば、シグナチャ出力６はｃn のシグナチャパルスの到来
の度に、図２１に示すようにレベルが反転する。しか
し、シグナチャのパルスｃ0，ｃ1，ｃ2，…，ｃnのいず
れかが抜けた場合には、シグナチャ出力６が反転しなく
なるか、著しく周期が長くなる。本例によれば、故障に
よりシグナチャ出力６の周期が著しく変化するので故障
検出が容易である。

【００４０】図２２は、回路レイアウトの例を示す図で
ある。機能ブロックＡ（１１０）からの信号ａ0〜ａn
は、ストローブ信号１３０によりラッチ１２０でラッチ
され、直交波形生成回路１００の直交波形とパーミュー
タ８０〜８ｎで排他的論理和が採られ、信号ａ0’〜ａ
n’となる。同様にして、機能ブロックＢ（１１１）か
らの信号ｂ0〜ｂnは、ストローブ信号１３１によりラッ
チ１２１でラッチされ、直交波形生成回路１０１の直交
波形とパーミュータ９０〜９ｎで排他的論理和が採ら
れ、信号ｂ0’〜ｂn’となる。このようにして生成され
た信号ａ0’〜ａn’，ｂ0’〜ｂn’は、比較回路３0〜
３nで比較されて比較結果ｃ0〜ｃnとなり、集成回路５
でシグナチャ出力６となる。ここまでは以上述べてきた
例の通りである。

【００４１】ここで、比較回路３0〜３nおよび集成回路
５を領域０(２００)とし、機能ブロックＡ（１１０）と
ラッチ１２０と直交波形生成回路１００とパーミュータ
８０〜８ｎとを領域１（２０１）とし、機能ブロックＢ
（１１１）とラッチ１２１と直交波形生成回路１０１と
パーミュータ９０〜９ｎとを領域２(２０２)とする。つ
まり、回路全体を領域０，１，２の３つの領域に分け
る。これらの回路を個別のチップにする場合には、領域
０(２００)，領域１(２０１)，領域２（２０２）ごとに
別チップにする。また、これらの回路を同一のチップに
納める場合には、レイアウトにより領域０（２００），
領域１（２０１），領域２（２０２）相互間に距離をお
いたり、電源グランドを別々にしたりすれば、障害の波
及を防止できる。このようなレイアウトにすることで、
相関のある信号、すなわちａｉ，ｂｉの間及び、ｐｉ，
ｃｉの間を幾何学的，物理的、あるいは電気的に隔離す
ることができ、混触による偽造シグナチャの発生の影響
を防ぐことができる。

【００４２】高性能なＬＳＩを設計する際には、大まか
なレイアウト（フロアプラン）は人間の経験と直感とい
った発見的手法に頼り、細部を一定のアルゴリズムに基
づいて自動的に配線する方法が一般には効率が良い。従
って、既存の自動配線ツールの多くは大まかなレイアウ
ト（フロアプラン）を人間が入力して、細部の配線を自
動的に配線する機能を持っている。従って、上記方法
は、既存の自動配線ツールの機能との整合性（相性）が
良く、これらの自動配線ツールの機能を最大限に活用す
ることができる。

【００４３】以上述べた例によれば、通常の論理設計に
よる機能ブロックを単に論理的にあるいは光学的にコピ
ーして、比較回路３0〜３n，集成回路５から構成される
領域０（２００）と組み合わせることにより容易にセル
フチェック化でき、信頼性を向上できるだけでなく、開
発コスト工数を大幅に削減することができる。

【００４４】図２３は、セルフチェッキングコンピュー
タの例である。それぞれの機能ブロックＡ（１１０），
Ｂ（１１１）には、ＭＰＵ(Micro−Processing Unit)，
ＷＤＴ（Watch Dig Timer ），ＩＮＴＣ(割込みコント
ローラ)などのコンピュータの構成要素が、内部バス２
１２，２１３に接続されている。また、それぞれの機能
ブロックでは、インタフェース２０４，２０５を経て外
部バス２０６，２０７に接続している。比較器２００
は、内部バス２１２，２１３の信号に、直交波形生成回
路１００，１０１で生成されたパターンに従いパーミュ
ータ８0〜８n，９0〜９nによりシグナチャが重畳された
信号を比較し、機能ブロックＡ（１１０），Ｂ（１１
１）の正常／異常を判定する。

【００４５】内部バス２１２，２１３の信号が一致した
場合には、領域０にある比較器２００は、シグナチャ信
号をシグナチャ出力６に出す。さらに図２３に示すよう
に、機能ブロックＡ（１１０）を領域１にレイアウト
し、機能ブロックＢ（１１１）を領域２にレイアウトす
ることで領域相互間の距離をおいたり、電源グランドを
分離したりしたうえで１つのチップ上に配置すれば、ワ
ンチップセルフチェッキングマイクロコンピュータを実
現できる。なお簡単のために図中、ラッチ１２０，１２
１は省略している。

【００４６】内部バス２１２，２１３の他に、外部バス
２０６，２０７を比較器２００でチェックすれば、さら
にインタフェース２０４，２０５の動作を含めたＬＳＩ
全体の動作を監視することができる。

【００４７】このように、通常の設計によるＭＰＵ(Mic
ro−Processing Unit)，WDT (WatchDig Timer），ＩＮ
ＴＣ（割込みコントローラ）などのマイクロコンピュー
タの構成要素から構成されるマイクロコンピュータの機
能ブロックを単に論理的にあるいは光学的に（マスクパ
ターンレベルで）コピーして別々の領域で２重化し、更
に別の領域に設けた比較回路，集成回路と組み合わせる
ことで、容易にセルフチェッキングマイクロコンピュー
タを実現することができ、より少ない開発工数，コスト
で高信頼なセルフチェッキング回路を実現することがで
きる。

【００４８】図２４は、セルフチェッキングコンピュー
タを用いたフォールトトレラントコンピュータシステム
の例である。セルフチェッキングコンピュータ２０３，
２０３’から外部バス２０６（２０７），２０６’（２
０７’）へ出力された信号は、出力選択回路２１０によ
り選択されて最終出力２１１となる。出力選択回路２１
０は、シグナチャ出力６，６’に基づいて切替制御回路
２０８で生成された切替制御信号２０９により制御され
る。つまり、セルフチェッキングコンピュータ２０３，
２０３’からのシグナチャ出力６，６’に基づき、正常
と見なされるセルフチェッキングコンピュータの出力が
選択される。

【００４９】図２５は、切替制御回路２０８の構成図で
ある。シグナチャ監視回路２１２，２１３はシグナチャ
出力６，６’を監視し、シグナチャ出力６，６’が正常
な場合には監視結果２１４，２１５に「正常」を表す信
号を出力し、シグナチャ出力６，６’が異常な場合には
監視結果２１４，２１５に「異常」を表す信号を出力す
る。判定論理２１６では、シグナチャ出力６が異常かつ
シグナチャ出力６’が正常な場合のみ切替制御信号２０
９に「外部バス２０６’(２０７’)を選択する」意味の
信号を出力し、それ以外の場合には「外部バス２０６
(２０７)を選択する」意味の信号を出力する。

【００５０】なお、図面では簡単のために監視結果２１
４，２１５の「正常」を表す信号を通常の二値論理のＨ
レベルで、「異常」を表す信号をＬレベルで、切替制御
信号２０９の「外部バス２０６’(２０７’)を選択す
る」意味の信号をＨレベルで、「外部バス２０６(２０
７)を選択する」意味の信号をＬレベルで示している。
しかし、これらの信号は二値論理に限らず、二線論理な
どの冗長論理，周波数論理、そしてネットごとの固有シ
グナチャを使用すれば、切替制御回路２０８の高信頼化
が図れ、システム全体の信頼性をさらに向上させられ
る。

【００５１】シグナチャ監視回路２１２，２１３につい
て説明を加える。シグナチャ出力６が図１６に示すよう
な周期的な波形の場合、カウンタで一定間隔でパルスが
到達することを監視すれば、シグナチャ監視回路２１
２，２１３は実現できる。また、シグナチャ出力６がさ
らに複雑な波形である場合には基準（テンプレート）と
なる波形との相関をとり、相関が“１.０” の場合には
正常と判断し、“１.０” に満たない場合には異常と判
断すればシグナチャ監視回路２１２，２１３は実現でき
る。

【００５２】このように、セルフチェッキングコンピュ
ータ２０３が主系で、セルフチェッキングコンピュータ
２０３’が従系（待機系）であるホットスタンバイ方式
のフォールトトレラントシステムを構築できる。しか
も、検出漏れの少ない誤り検出方式により、従来よりも
高信頼なシステムを提供することができる。

【００５３】図２６は、セルフチェッキング比較器の構
成図である。ここで、比較回路３0〜３n，集成回路５を
領域０に設け、ラッチ１２０，直交波形生成回路１０
０，パーミュータ８0〜８nを領域１に設け、ラッチ１２
１，直交波形生成回路１０１，パーミュータ９0〜９nを
領域２に設け、レイアウトにより領域０，領域１，領域
２相互間に距離をおいたり、電源グランドを別々にして
障害の波及を防止し、これらの回路を同一のチップに納
め、比較器２１７としている。比較器２１７は外部の機
能ブロックＡ（１１０），機能ブロックＢ（１１１）に
接続され、その出力を比較する。この比較器によれば、
図２２に示す実施例と同様に、相関のある信号、すなわ
ちａｉ，ｂｉの間及び、ｐｉ，ｃｉの間を幾何学的，物
理的、あるいは電気的に隔離することができるので、混
触による偽造シグナチャの発生の影響を防ぐことがで
き、セルフチェッキング比較器を実現することができ
る。

【００５４】本発明は、上述した論理システムにおい
て、以下に説明するような各種ダイバーシティと呼ばれ
る手段をとることにより、二重化した機能ブロックの誤
りの独立性を保証し、信頼性の効果を高めることを目的
とする。

【００５５】（１）設計ダイバーシティ設計ダイバーシティは設計に起因する誤り、障害の影響
を除去するのに有効な方法である。特にソフトウェアに
ついては同一の仕様で独立に開発されてＮ個のバージョ
ンのプログラムを同時に実行させるN-Version Programm
ingが有名である。ハードウェアにおいても同一の仕様
の回路を独立にＮ通り開発すれば同様に設計ダイバーシ
ティが実現できる。しかし以上述べた方法によれば、設
計、開発にＮ倍の工数と経費が必要となり効率的ではな
い。そこでハードウェアの設計の場合には以下のような
方法により工数と経費の削減が可能である。

【００５６】最近ではハードウェアを設計する際に図１
のようにＨＤＬ(Hardware Description Language:ハー
ドウェア記述言語)により論理回路を機能または仕様レ
ベルで記述したファイル（以下、論理記述と呼ぶ）３０
０を作成し、論理記述３００を基に論理合成ツール３１
０を用いて論理回路のつながりを記述したファイル（以
下、論理ネットリスト）３２０を生成することが主流に
なっている。さらに論理ネットリスト３２０を基にして
自動配線ツール３３０で実際の半導体上のトランジスタ
間の配線、配置を記述したファイル（以下、物理ネット
リストと呼ぶ）３４０に変換して、マスクを作成して半
導体素子３５０を製造する。

【００５７】ここで、論理合成、自動配線の際に遅延時
間や占有面積などの設計制約や、使用するアルゴリズム
を変えることにより、図２に示すように多様化した論理
ネットリスト３２０〜３２Ｎ、物理ネットリスト３４０
〜３４Ｎを生成させることができる。

【００５８】そこで、二重化した機能ブロックを実現す
る場合に、機能ブロックの論理記述を基にして、多様化
させて得られた複数の物理ネットリストの中から２つの
物理ネットリストを選んでチップ内で二重化した機能ブ
ロックＡ（１１０）、Ｂ（１１１）とする。複数の物理
ネットリストの中から２つを選ぶには、図３のようにそ
れぞれの物理ネットリストがどの程度類似しているかを
表す相関関数を定義して相関を求め(手続３６０)、その
相関関数が最小となる１組を選択(手続３７０)すればよ
い。この場合、相関関数は半導体素子の故障特性を反映
したものである必要がある。一般に半導体素子の弱点と
して配線の交差が挙げられる。配線が交差している部分
は、２つの配線同士が薄い酸化膜で隔てられているだけ
なので、配線間の短絡や、クロストークなどの混触が生
じやすい。また、配線が交差している部分では一方の配
線が他方の上を乗り越えているために、段差のところで
配線にストレスが加わり断線しやすくなる。つまり、配
線間の交差の状況が半導体素子の故障特性を反映してい
るといえる。従って、以下のようにすれば、半導体素子
の故障特性を反映した相関関数を定義することができ
る。

【００５９】

【数１２】

【００６０】ただし、φijｋm（m＝１，２）は配線ネッ
ト間の交差の有無を表し次式で定義される。

【００６１】

【数１３】

【００６２】（２）時間ダイバーシティまた、同一の設計の機能ブロックでも、動作するタイミ
ングをずらすことにより電気雑音等による障害の影響を
防ぐことができる。図４，図５，図６は時間ダイバーシ
ティを実現するためのシステムの実施例である。

【００６３】図４の実施例では、二重化した機能ブロッ
クＡ（１１０）、Ｂ（１１１）の動作のタイミングを決
定するクロック信号４００、４０１のうち一方の機能ブ
ロックＢ（１１１）へのクロック信号４０１についてだ
け遅延時間Ｔdelayを持つ遅延回路４２０を介して入力
することにより動作タイミングをずらしている。この場
合、機能ブロックＡ（１１０）の出力４３０よりも機能
ブロックＢ（１１１）の出力４３１の方が遅延時間Ｔde
layだけ遅れているので、機能ブロックＡ（１１０）の
出力４３０を遅延回路４２１により遅延時間Ｔdelayだ
け遅らせて、出力４３０、出力４３１を比較器２１７で
比較する。

【００６４】本実施例によれば、機能ブロックＡ（１１
０）、Ｂ（１１１）を異なるタイミングで動作させるこ
とができるので、電源ノイズ等に起因する誤動作が機能
ブロックＡ（１１０）、Ｂ（１１１）双方で同時に発生
することを防止できる。従って、二重化して出力を比較
チェックすることにより完全なセルフチェッキング論理
を実現することができる。

【００６５】なお二重化した機能ブロックＡ（１１
０）、Ｂ（１１１）への入力信号４１０、４１１がある
場合には、図５のように一方の機能ブロックＢ（１１
１）への入力信号４０１についてだけ遅延時間Ｔdelay
を持つ遅延回路４２２を介して入力すればよい。

【００６６】以上述べた実施例では、任意の遅延時間Ｔ
delayを選ぶことができる。二重化した機能ブロックＡ
（１１０）、Ｂ（１１１）間の障害の相関を小さくする
という見地からは、遅延時間Ｔdelayはなるべく大きい
方が望ましい。しかし、動作、障害検出の高速化という
見地からは、遅延時間Ｔdelayはなるべく小さい方が望
ましい。さらに、デジタル回路の電源のノイズはクロッ
ク信号に同期して発生することを考慮し、ノイズによる
機能ブロックＡ（１１０）、Ｂ（１１１）相互間の影響
を最小にするためには、遅延時間ＴdelayをＴdelay＝Ｎ＋１／２［クロックサイクル］但し、Ｎ＝０，１，．．．とするのが望ましい。

【００６７】以上の事を考慮して、ノイズの影響、動作
速度の両方を満足させるためには、遅延時間Ｔdelayは
１／２［クロックサイクル］とするのが最適であること
が判る。

【００６８】図６は、遅延時間Ｔdelayを１／２［クロ
ックサイクル］とした場合の実施例である。二重化した
機能ブロックＡ（１１０）、Ｂ（１１１）のクロック信
号４００、４０１の２倍の周波数を持つ原クロック信号
４０３はフリップフロップ４４１で分周されると共に、
互いに位相の１８０度ずれた即ち１／２［クロックサイ
クル］ずれたクロック信号４００，４０１となり、それ
ぞれ機能ブロックＡ（１１０）、Ｂ（１１１）に入力さ
れる。また、入力信号ＩＮsync.、ＩＮasync.は機能ブ
ロックＡ（１１０）へは遅延させずに入力し、機能ブロ
ックＢ（１１１）それぞれフリップフロップ４４４、４
４５(遅延回路４２２に相当)で１／２［クロックサイク
ル］遅延させて入力する。なお、ここで入力信号ＩＮsy
nc.はクロック４００に同期している入力信号で、ＩＮa
sync.はクロック４００に同期していない入力信号、す
なわち非同期入力信号であることを示す。従って、非同
期であるＩＮasync.をフリップフロップ４４２、４４３
によりクロック４００に同期化する。機能ブロックＡ
（１１０）の出力４３０はフリップフロップ４４６(遅
延回路４２１に相当)により１／２［クロックサイク
ル］遅延させて、比較器２１７で機能ブロックＢ（１１
１）の出力４３１と比較させる。

【００６９】（３）空間ダイバーシティ二重化した機能ブロック間の距離を離すことにより、電
気雑音、宇宙線、放射線等による一時的な障害、チップ
の部分破壊に起因する障害の影響を防ぐことができる。
チップ内で機能ブロックを二重化してセルフチェック化
する場合、空間ダイバーシティの効果を最大にするため
には、図７の実施例のように機能ブロックＡ（１１
０），Ｂ（１１１）を同じ向きに同形に配置するのがよ
い。以上のようにすれば、二重化した機能ブロックの対
応する部分同士が全て同一の距離を持つことになり、対
応する部分同士が著しく接近して、空間ダイバーシティ
の効果が低下することがない。

【００７０】また、出力を比較するための比較回路３0
〜３n、集成回路５からなる領域０（２００）、直交波
形生成回路１００，１０１、パーミュタ８0〜８n、９0
〜９n、ラッチ１２０，１２１は対称配置として、配線
長を短くかつ配線の交差を減らして接続性を向上させて
いる。これらの部分を対称配置すると、機能ブロックＡ
（１１０），Ｂ（１１１）からの出力ａ0'−ａn'、ｂ0'
−ｂn'が領域０（２００）で最も接近するが、それぞれ
に直交波形を重畳させて波形間に相関が無いようにして
いるために、混触等による障害の波及を防ぐことができ
る。

【００７１】以上述べた本実施例によれば、空間ダイバ
ーシティの効果を活かして誤りの独立性と配線の接続性
とを両立して、セルフチェッキング性(検出率、検出カ
バレッジ)が高く、小型のセルフチェッキング論理回路
を実現できる。

【００７２】以上述べた実施例では、設計ダイバーシテ
ィ，時間ダイバーシティ，空間ダイバーシティ個々につ
いて述べたが、これら各種のダイバーシティを複数種組
みあせて採用することで、更にシステムの信頼性が向上
することはいうまでもない。

【００７３】

【発明の効果】本発明によれば、混触による偽造シグナ
チャが発生してもフェイルセーフ性が保証できる。ま
た、本発明は、フェイルセーフ論理回路の実現に当って
特殊な制約を必要とせず、既存の半導体技術，設計自動
化ツール等の恩恵を受けられ、開発にかかるコスト，時
間ともに大幅な低減が期待できる。

【図面の簡単な説明】

【図１】自動論理合成ツール、自動配線ツールによる設
計自動化の説明図である。

【図２】制約条件の多様化による設計の多様化の説明図
である。

【図３】多様化した設計成果の中からの設計成果を抽出
させる手順の説明図である。

【図４】動作時間を多様化させる実施例の構成図であ
る。

【図５】動作時間を多様化させる実施例の構成図であ
る。

【図６】動作時間を多様化させる実施例の構成図であ
る。

【図７】チップ内レイアウトの実施例の構成図である。

【図８】本発明実施例の適用対象とする論理回路システ
ムの構成図である。

【図９】機能ブロックに対応した論理システムの構成図
である。

【図１０】ＲＣＣＯツリーの構成図である。

【図１１】機能ブロックＢからの出力にも直交波形を付
加する論理システムの構成図である。

【図１２】直交波形生成回路を２重化した論理システム
の構成図である。

【図１３】直交関数波形の例を示す図である。

【図１４】直交波形生成回路の構成図である。

【図１５】集成回路の構成図である。

【図１６】直交関数波形とシグナチャ出力の例を示す図
である。

【図１７】障害時の直交関数波形とシグナチャ出力の例
を示す図である。

【図１８】集成回路の構成図である。

【図１９】障害時の直交関数波形とシグナチャ出力の例
を示す図である。

【図２０】集成回路の構成図である。

【図２１】直交関数波形とシグナチャ出力の例を示す図
である。

【図２２】回路レイアウトである。

【図２３】セルフチェッキングコンピュータの構成図で
ある。

【図２４】セルフチェッキングコンピュータを用いたフ
ォールトトレラントコンピュータシステムの構成図であ
る。

【図２５】切替制御回路内部の構成図である。

【図２６】セルフチェッキング比較器構成図である。

【符号の説明】

ａ0〜ａn…機能ブロックＡからの信号、ｂ0〜ｂn…機能
ブロックＢからの信号、３…ＲＣＣＯ、３0〜３n…比較
回路、ｃ0〜ｃn…比較結果、５…集成回路、６…出力信
号、８0〜８n，９0〜９n…パーミュータ、１００，１０
１…直交波形生成回路、１１０…機能ブロックＡ、111
…機能ブロックＢ、１２０，１２１…ラッチ、２０３，
２０３’…セルフチェッキングコンピュータ、２１７…
比較器。

───────────────────────────────────────────────────── フロントページの続き (72)発明者佐藤美道茨城県日立市大みか町七丁目１番１号株式会社日立製作所日立研究所内 (72)発明者大辻信也茨城県日立市大みか町七丁目１番１号株式会社日立製作所日立研究所内 (72)発明者能見誠茨城県ひたちなか市市毛1070番地株式会社日立製作所水戸工場内

Claims

【特許請求の範囲】

【請求項１】同一の機能を有する機能ブロックを少な
くとも２重化して持つ冗長論理システムであって、前記
機能ブロックをハードウェア記述言語による記述に基づ
き自動論理合成または自動配線する際に、設計制約条件
を変えてＮ通り（Ｎは２以上の整数）の論理または配線
パターンを生成し、Ｎ通りの論理または配線パターンの
中から少なくとも２通りの論理または配線パターンを選
択し、前記少なくとも２重化された各機能ブロックを異
なる論理または配線パターンで生成してあることを特徴
とする冗長論理システム。
【請求項２】請求項１において、設計制約条件を変え
て生成した前記Ｎ通りの論理または配線パターンの中か
ら、相関関数が最小となる少なくとも２通りの論理また
は配線パターンを選択することを特徴とする冗長論理シ
ステム。
【請求項３】請求項２において、前記相関関数が配線
ネットの交差の状況を反映するように定義されているこ
とを特徴とする冗長論理システム。
【請求項４】請求項２または請求項３において、ｋ1
という物理ネットリストとｋ2という物理ネットリスト
との前記相関関数を【数１】ただし、φijｋm（m＝１,２）は配線ネット間の交差の
有無を表し【数２】と定義することを特徴とする冗長論理システム。
【請求項５】同一の機能を有する機能ブロックを少な
くとも２重化し、少なくとも２重化された機能ブロック
の出力がすべて一致したときのみ、出力を外部に出力
し、出力がすべて一致していない時には外部への出力を
停止するかまたは安全側の動作を保証する出力を外部に
出力するフェールセーフシステムにおいて、前記機能ブ
ロックをハードウェア記述言語による記述に基づき自動
論理合成または自動配線する際に、設計制約条件を変え
てＮ通り（Ｎは２以上の整数）の論理または配線パター
ンを生成し、Ｎ通りの論理または配線パターンの中から
少なくとも２通りの論理または配線パターンを選択し、
前記少なくとも２重化された各機能ブロックを異なる論
理または配線パターンで生成したことを特徴とするフェ
ールセーフシステム。
【請求項６】請求項５において、設計制約条件を変え
て生成した前記Ｎ通りの論理または配線パターンの中か
ら、相関関数が最小となる少なくとも２通りの論理また
は配線パターンを選択することを特徴とするフェールセ
ーフシステム。
【請求項７】請求項６において、前記相関関数が配線
ネットの交差の状況を反映するように定義されているこ
とを特徴とするフェールセーフシステム。
【請求項８】請求項６または請求項７において、ｋ1
という物理ネットリストとｋ2という物理ネットリスト
との前記相関関数を【数３】ただし、φijｋm（m＝１,２）は配線ネット間の交差の
有無を表し【数４】と定義することを特徴とするフェールセーフシステム。
【請求項９】同一の機能を有する機能ブロックを少な
くとも２重化して持ち、各機能ブロックの出力同士を比
較することにより機能ブロックの誤りを検出する誤り検
出機能付き論理システムであって、前記機能ブロックを
ハードウェア記述言語による記述に基づき自動論理合成
または自動配線する際に、設計制約条件を変えてＮ通り
（Ｎは２以上の整数）の論理または配線パターンを生成
し、Ｎ通りの論理または配線パターンの中から少なくと
も２通りの論理または配線パターンを選択し、少なくと
も２重化された各機能ブロックを異なる論理または配線
パターンで生成したことを特徴とする誤り検出機能付き
論理システム。
【請求項１０】請求項９において、設計制約条件を変
えて生成した前記Ｎ通りの論理または配線パターンの中
から、相関関数が最小となる少なくとも２通りの論理ま
たは配線パターンを選択することを特徴とする誤り検出
機能付き論理システム。
【請求項１１】請求項１０において、前記相関関数が
配線ネットの交差の状況を反映するように定義されてい
ることを特徴とする誤り検出機能付き論理システム。
【請求項１２】請求項１０または請求項１１におい
て、ｋ1という物理ネットリストとｋ2という物理ネット
リストとの前記相関関数を【数５】ただし、φijｋm（m＝１,２）は配線ネット間の交差の
有無を表し【数６】と定義することを特徴とする誤り検出機能付き論理シス
テム。
【請求項１３】同一の機能を有する機能ブロックを少
なくとも２重化して持つ冗長論理システムであって、各
機能ブロックを一定の時間Ｔdelayだけ時刻をずらして
動作させる手段を備えることを特徴とする冗長論理シス
テム。
【請求項１４】同一の機能を有する機能ブロックを少
なくとも２重化して持つ冗長論理システムであって、各
機能ブロックのうち第一の機能ブロックへの入力信号ま
たはクロック信号を一定時間Ｔdelayだけ遅延させて入
力する手段と、第二の機能ブロックの出力信号を一定時
間Ｔdelayだけ遅延させてから第一の機能ブロックの出
力と比較する手段とを備えることを特徴とする冗長論理
システム。
【請求項１５】請求項１３または請求項１４におい
て、Ｔdelayがクロックの半周期の奇数倍であることを
特徴とする冗長論理システム。
【請求項１６】同一の機能を有する機能ブロックを少
なくとも２重化し、各機能ブロックの出力がすべて一致
したときのみ出力を外部に出力し、出力がすべて一致し
ていない時には外部への出力を停止するかまたは安全側
の動作を保証する出力を外部に出力するフェールセーフ
システムにおいて、各機能ブロックを一定の時間Ｔdela
yだけ時刻をずらして動作させる手段を備えることを特
徴とするフェールセーフシステム。
【請求項１７】同一の機能を有する機能ブロックを少
なくとも２重化し、各機能ブロックの出力がすべて一致
したときのみ出力を外部に出力し、出力がすべて一致し
ていない時には外部への出力を停止するかまたは安全側
の動作を保証する出力を外部に出力するフェールセーフ
システムにおいて、各機能ブロックのうち第一の機能ブ
ロックへの入力信号またはクロック信号を一定時間Ｔde
layだけ遅延させて入力する手段と、第二の機能ブロッ
クの出力信号を一定時間Ｔdelayだけ遅延させてから第
一の機能ブロックの出力と比較する手段とを備えること
を特徴とするフェールセーフシステム。
【請求項１８】請求項１６または請求項１７におい
て、Ｔdelayがクロックの半周期の奇数倍であることを
特徴とするフェールセーフシステム。
【請求項１９】同一の機能を有する機能ブロックを少
なくとも２重化して持ち、各機能ブロックの出力同士を
比較することにより機能ブロックの誤りを検出する誤り
検出機能付き論理システムであって、各機能ブロックを
一定の時間Ｔdelayだけ時刻をずらして動作させる手段
を備えることを特徴とする誤り検出機能付き論理システ
ム。
【請求項２０】同一の機能を有する機能ブロックを少
なくとも２重化して持ち、各機能ブロックの出力同士を
比較することにより機能ブロックの誤りを検出する誤り
検出機能付き論理システムであって、各機能ブロックの
うち第一の機能ブロックへの入力信号またはクロック信
号を一定時間Ｔdelayだけ遅延させて入力する手段と、
第二の機能ブロックの出力信号を一定時間Ｔdelayだけ
遅延させてから第一の機能ブロックの出力と比較する手
段とを備えることを特徴とする誤り検出機能付き論理シ
ステム。
【請求項２１】請求項１９または請求項２０におい
て、Ｔdelayがクロックの半周期の奇数倍であることを
特徴とする誤り検出機能付き論理システム。
【請求項２２】請求項１，請求項１３，請求項１４の
いずれかに記載の冗長論理システム、または請求項５，
請求項１７，請求項１８のいずれかに記載のフェールセ
ーフシステム、または請求項９，請求項１９，請求項２
０のいずれかに記載の誤り検出機能付き論理システムか
ら構成される第１及び第２の論理回路と、該第１及び第
２の論理回路の出力のうちいずれか一方を選択し外部へ
出力する切替制御回路とを有し、該切替制御回路は前記
第１及び第２の論理回路より出力される誤り検出信号に
基づいていずれか一方の論理回路出力を選択することを
特徴とするフォールトトレラントシステム。
【請求項２３】同一の機能を有する機能ブロックを少
なくとも２重化して持ち、各機能ブロックの出力同士を
比較することにより機能ブロックの誤りを検出する誤り
検出機能付き論理システムであって、各機能ブロックの
対応する部分同士が全て同一の距離となるように二重化
した各機能ブロックを同じ向きに同形に並べて配置した
ことを特徴とする論理システム。