WO2006045789A1 - Verfahren und vorrichtung zur modusumschaltung und zum signalvergleich bei einem rechnersystem mit wenigstens zwei verarbeitungseinheiten - Google Patents

Abstract

Verfahren und Vorrichtung zur Umschaltung und zum Signalvergleich bei einem Rechnersystem mit wenigstens zwei Verarbeitungseinheiten, wobei Umschaltmittel vorgesehen sind und zwischen wenigstens zwei Betriebsmodi umgeschaltet wird, wobei Vergleichsmittel vorgesehen sind und ein erster Betriebsmodus einem Vergleichsmodus und ein zweiter Betriebsmodus einem Performanzmodus entspricht, dadurch gekennzeichnet, dass wenigstens zwei analoge Signale der Verarbeitungseinheiten verglichen werden, indem wenigstens ein analoges Signal in wenigstens einen digitalen Wert gewandelt wird.

Description

Verfahren und Vorrichtung zur Umschaltung und zum Signalvergleich bei einem

Rechnersystem mit wenigstens zwei Verarbeitungseinheiten

Stand der Technik

Ein Verfahren zur Erkennung von Fehlern in einem Vergleichsmodus ist in Wo 01/46806 Al beschrieben. Dabei werden die Daten in einem Verarbeitungseinheit mit zwei Verarbeitungseinheiten ALUs parallel verarbeitet und verglichen. Bei einem Fehler (Soft-Error, transienter Fehler) arbeiten dort beide ALUs solange unabhängig voneinander, bis die fehlerhaften Daten entfernt sind und eine erneute (teilweise wiederholte) redundante Verarbeitung vorgenommen werden kann. Das setzt voraus, dass beide ALUs synchron zueinander arbeiten und die Ergebnisse taktgenau verglichen werden können.

Im Stand der Technik sind Verfahren bekannt, wie zwischen einem Vergleichsmodus zur Fehlererkennung, in dem Aufgaben redundant abgearbeitet werden, und einem Performanzmodus zur Erzielung einer höheren Leistungsfähigkeit umgeschaltet werden kann.

Voraussetzung ist hier, dass die Verarbeitungseinheiten für den Vergleichsmodus gegenseitig synchronisiert werden. Dazu ist es notwendig, dass beide Verarbeitungseinheiten angehalten werden können und taktgenau synchron arbeiten, um die Ergebnisdaten beim Schreiben in den Speicher miteinander vergleichen zu können. Dazu sind Eingriffe in die Hardware notwendig, einzelne Lösungen werden vorgeschlagen.

In der Patentschrift EP 0969373 A2 wird dem gegenüber ein Vergleich der Ergebnisse von redundant arbeitenden Verarbeitungseinheiten oder Verarbeitungseinheiten auch dann gewährleistet, auch wenn diese asynchron zueinander arbeiten, d.h. nicht taktgleich oder mit einem unbekannten Taktversatz.

Aus der Flugzeugindustrie sind Votingsysteme bekannt, die Inputs von Standardrechnern verwenden können und diese durch einen Mehrheitsentscheid sicher verarbeiten und damit sicherheitsrelevante Aktionen auslösen können. Ein System, das inter- Verarbeitungseinheit und inter-Control-Unit Kommunikation miteinander kombiniert, ist das FME-System, bei dem durch einen hohen Grad von Redundanz auch im Falle von einzelnen oder gar mehreren Fehlern das System noch arbeitsfähig bleibt und von der DASA für die Raumfahrt entwickelt wurde (Urban, et al: A survivable avioncs System for Space applications, Int. Symposium on Fault-tolerant

Computing, FTCS-28 (1998),pp.372-381). Dieses System kann sogar byzantinische Fehler (d.h. besonders bösartige Fehler, bei denen nicht alle Komponenten die gleiche Informationen erhalten, sondern von einem Intriganten sogar „vorsätzlich" unterschiedlich falsche Informationen an verschiedene Komponenten verteilt werden) tolerieren. Ein solches System ist wegen des hohen Aufwandes kommerziell anwendbar für besonders kritische Systeme, die in sehr geringen Stückzahlen gefertigt werden. Eine kostengünstige Lösung, die in großen Stückzahlen herstellbar ist und zusätzlich noch Umschaltmöglichkeiten besitzt, ist nicht bekannt. Es besteht deshalb die Aufgabe, eine Umschalt- und Vergleichseinheit zu schaffen, die es erlaubt, den Betriebsmodus von zwei oder mehreren Verarbeitungseinheiten umzuschalten und dabei ohne Eingriffe in die Struktur dieser Verarbeitungseinheiten auskommt und auch keinen zusätzlichen Signale zu diesem Zweck benötigt. Dabei soll es möglich sein, verschiedene digitale oder analoge Signale von verschiedenen Verarbeitungseinheiten in einem Vergleichmodus gegenseitig zu vergleichen. Dabei soll dieser Vergleich unter Umständen auch dann möglich sein, wenn die Verarbeitungseinheiten mit verschiedenen Taktsignalen betrieben werden und nicht synchron zueinander arbeiten. Es besteht darüber hinaus die Aufgabe,

Verfahren und Mittel zur Verfügung zu stellen, die es ermöglichen den Vergleich von analogen Signalen unter Zuhilfenahme von digitalen Vergleichsmitteln durchzuführen

Vorteile

Vorteilhafterweise verwendet man ein Verfahren zur Umschaltung und zum Signalvergleich bei einem Rechnersystem mit wenigstens zwei Verarbeitungseinheiten, wobei Umschaltmittel vorgesehen sind und zwischen wenigstens zwei Betriebsmodi umgeschaltet wird, wobei Vergleichsmittel vorgesehen sind und ein erster Betriebsmodus einem Vergleichsmodus und ein zweiter Betriebsmodus einem Performanzmodus entspricht, dadurch gekennzeichnet, dass wenigstens zwei analoge Signale der Verarbeitungseinheiten verglichen werden, indem wenigstens ein analoges Signal in wenigstens einen digitalen Wert gewandelt wird.

Vorteilhafterweise verwendet man ein Verfahren, bei dem wenigstens zwei der analogen Signale asynchron sein können.

Vorteilhafterweise verwendet man ein Verfahren, bei dem das digitale Signal für eine vorgebbare Zeit zwischengespeichert wird, damit ein direkter Vergleich erfolgen kann.

Vorteilhafterweise verwendet man ein Verfahren, bei dem die Wandlung wenigstens eines Signals in wenigstens einer Verarbeitungseinheit vorgenommen wird.

Vorteilhafterweise verwendet man ein Verfahren, bei dem wenigstens ein analoges Signal digital gewandelt wird, für eine vorgebbare Zeit gespeichert wird und für den Vergleich wieder in ein analoges Signal rückgewandelt wird.

Vorteilhafterweise verwendet man ein Verfahren, bei dem beide analogen Signale digital gewandelt werden, um dann digital zur gleichen Zeit durch Zwischenspeicherung wenigstens des gewandelten digitalen Wertes zum Vergleich zur Verfügung zu stehen.

Vorteilhafterweise verwendet man ein Verfahren, bei dem der digitale Wert jedes Signals mehrere Bits umfasst und abhängig von einer vorgebbaren Genauigkeit eine entsprechend vorgebbare Anzahl an Bits miteinander verglichen werden.

Vorteilhafterweise verwendet man ein Verfahren, bei dem die analogen Signale und deren digitale Werte redundant miteinander verglichen werden.

Vorteilhafterweise verwendet man ein Verfahren, bei dem bei der Wandlung in einen digitalen Wert dem analogen Signal eine Kennung zugeordnet wird.

Vorteilhafterweise verwendet man ein Verfahren, bei dem die Kennungen zweier Signale die verglichen werden sollen zuordenbar sind, und nur solche Signale und/oder deren digitale - A -

Werte verglichen werden deren Kennungen zuordenbar sind.

Vorteilhafterweise verwendet man eine Vorrichtung zur Umschaltung und zum Signalvergleich bei einem Rechnersystem mit wenigstens zwei Verarbeitungseinheiten, wobei Umschaltmittel vorgesehen sind und zwischen wenigstens zwei Betriebsmodi umgeschaltet wird, wobei Vergleichsmittel vorgesehen sind und ein erster Betriebsmodus einem Vergleichsmodus und ein zweiter Betriebsmodus einem Performanzmodus entspricht, dadurch gekennzeichnet, dass wenigstens zwei analoge Signale der Verarbeitungseinheiten verglichen werden, und ein Analog-Digital- Wandler enthalten ist, wobei wenigstens eines der analogen Signale in wenigstens einen digitalen Wert gewandelt wird.

Vorteilhafterweise verwendet man eine Vorrichtung, bei der wenigstens zwei der analogen Signale asynchron sein können.

Vorteilhafterweise verwendet man eine Vorrichtung, bei der das digitale Signal für eine vorgebbare Zeit zwischengespeichert wird, damit ein direkter Vergleich erfolgen kann.

Vorteilhafterweise verwendet man eine Vorrichtung, bei der die Wandlung wenigstens eines Signals in wenigstens einer Verarbeitungseinheit vorgenommen wird.

Weitere Vorteile und vorteilhafte Ausgestaltungen ergeben sich aus den Merkmalen der Ansprüche sowie der Beschreibung.

Figuren

Figur 1 zeigt die Grundfunktion einer Umschalt- und Vergleichseinheit für zwei Verarbeitungseinheiten

Figur Ia zeigt eine verallgemeinerte Darstellung eines Vergleichers

Figur Ic zeigt eine erweiterte Darstellung eines Vergleichers

Figur Ib zeigt eine verallgemeinerte Darstellung einer Umschalt- und Vergleichseinheit Figur 2 zeigt eine detailliertere Darstellung der Umschalt-und Vergleichseinheit für zwei Verarbeitungseinheiten

Figur 3 zeigt eine mögliche Realisierung einer Umschalt- und Vergleichseinheit für zwei

Verarbeitungseinheiten

Figur 4 zeigt eine mehr detaillierte Dartstellung einer Umschalt- und Vergleichseinheit für mehr als zwei Verarbeitungseinheiten

Figur 5 zeigt eine mögliche Realisierung einer Umschalt- und Vergleichseinheit für mehr als zwei Verarbeitungseinheiten

Figur 6 zeigt eine mögliche Realisierung eines Controlregisters

Figur 7 zeigt eine Votingeinheit für zentrales Voting

Figur 8 zeigt eine Votingeinheit für dezentrales Voting

Figur 9 zeigt ein Synchronisationselement

Figur 10 zeigt ein Handshake-Interface

Figur 11 zeigt einen Differenzverstärker

Figur 12 zeigt einen Komparator für positive Spannungsdifferenz

Figur 13 zeigt einen Komparator für negative Spannungsdifferenz

Figur 14 zeigt eine Schaltung zur Speicherung eines Fehlers

Figur 15 zeigt einen Analogz-zu-Digitalkonverter mit Ausgangsregister Figur 16 zeigt die Darstellung eines digitalgewandelten Analogwertes mit Kenung und Analogbit

Figur 17 zeigt die Darstellung eines Digitalwertes als Digitalwort mit Digitalbit

Beschreibung der Ausfuhrungsbeispiele

Eine Ausführungseinheit oder Verarbeitungseinheit kann im Folgenden sowohl einen Prozessor/Core/CPU, als auch eine FPU (Floating Point Unit), DSP (Digitaler Signalprozessor),

Coprozessor oder ALU (Arithmetic logical Unit) bezeichnen.

Es wird ein System von zwei oder mehr Verarbeitungseinheiten betrachtet. Grundsätzlich gibt es in sicherheitsrelevanten Systemen die Möglichkeit, solche Ressourcen entweder zur Erhöhung der Leistungsfähigkeit zu verwenden, in dem man die verschiedenen Verarbeitungseinheiten möglichst mit verschiedenen Aufgaben versorgt. Alternativ kann man einige der Ressourcen auch redundant zueinander verwenden, indem man sie mit der gleichen Aufgabe versorgt und bei ungleichem Resultat auf einen Fehler erkennt. Je nachdem, wie viele Verarbeitungseinheiten es gibt, sind mehrere Modi denkbar. In einem Zweier-System existieren die beiden Modi „Vergleich" und , ,Performanz", wie oben beschrieben. In einem Dreier-System kann man neben dem reinen Performanz-Modus, in dem alle drei Verarbeitungseinheiten parallel arbeiten, und dem reinen Vergleichsmodus, in dem alle drei Verarbeitungseinheiten redundant rechnen und verglichen wird, auch einen 2aus3-Voting Modus realisieren, in dem alle drei Verarbeitungseinheiten redundant rechnen und eine Majoritätsauswahl vorgenommen wird. Weiter kann man auch einen gemischten Modus realisieren, bei dem z.B. zwei der Verarbeitungseinheiten redundant zueinander rechnen und die

Ergebnisse verglichen werden, während die dritte Verarbeitungseinheit eine andere, parallele Aufgabe bearbeitet. In einem vier-oder mehr- Verarbeitungseinheiten System sind offensichtlich noch weitere Kombinationen denkbar.

Die zu lösende Aufgabe ist es, dass die zur Verfügung stehenden Verarbeitungseinheiten in einem System im Betrieb variabel eingesetzt werden können, ohne einen Eingriff in die bestehende Struktur dieser Verarbeitungseinheiten (z.B. zu Synchronisationszwecken) notwendig zu machen. In einer speziellen Ausführung soll jede Verarbeitungseinheit mit einem eigenen Takt arbeiten können, d.h. die Abarbeitung gleicher Aufgaben zum Zwecke des Vergleichs auch asynchron zueinander abarbeiten können.

Diese Aufgabe wird dadurch gelöst, dass ein universelles, breit einsetzbares IP geschaffen wird, das eine Umschaltung der Betriebsmodi (z.B. Vergleichs-, Performanz- oder Voting Modus) zu beliebigen Zeitpunkten ohne vorheriges Abschalten der Verarbeitungseinheiten ermöglicht und den Vergleich oder das Voting der zueinander möglicherweise asynchronen Datenströme managt. Dieses IP kann als Chip ausgeführt werden, oder es kann zusammen mit einer oder mehreren Verarbeitungseinheiten auf einem Chip integriert werden. Weiter ist es nicht Voraussetzung, dass dieser Chip nur aus einem Stück Silizium besteht, es ist durchaus auch möglich, dass dieses aus getrennten Bausteinen realisiert wird.

Um die Synchronität zwischen unterschiedlichen Verarbeitungseinheiten zu gewährleisten, sind Signale notwendig, die eine ständig weitergehende Programmabarbeitung einzelner Verarbeitungseinheiten verhindern. Dazu ist üblicherweise ein WAIT-Signal vorgesehen. Falls eine Ausführungseinheit nicht über ein Wait-Signal verfügt, kann sie auch über einen

Interrupt synchronisiert werden. Dazu wird das Synchronisationssignal (z.B. M140 in Figur 2) nicht an einen Wait-Eingang geführt, sondern auf einen Interrupt gelegt. Dieser Interrupt muss eine genügend hohe Priorität gegenüber dem Verarbeitungsprogramm und auch gegenüber anderen Interrupts haben, um die normale Arbeitsweise zu unterbrechen. Die zugehörige Interrupt-Routine führt nur eine bestimmte Anzahl von NOPs (Leerbefehle ohne Auswirkung auf Daten) aus, bevor wieder in das unterbrochene Programm zurückgesprungen wird, und verzögert damit die weitere Abarbeitung des Verarbeitungsprogramms. Gegebenenfalls müssen in der Interruptroutine noch die üblichen Speicheroperationen am Anfang und am Ende vorgenommen werden, um die normale Programmabarbeitung nicht durch den Interrupt zu beeinträchtigen.

Dieser Vorgang wird solange fortgesetzt, bis die Synchronität hergestellt wurde (z.B. liefern andere Verarbeitungseinheiten die erwarteten Vergleichsdaten ab). Eine genaue Taktsynchronität und insbesondere Phasengleichheit mit anderen Verarbeitungseinheiten kann jedoch mit diesem Verfahren nur bedingt garantiert werden. Es ist deshalb zu empfehlen, dass bei einer Benutzung des Interrupt-Signals zur Synchronisation die zu vergleichenden Daten in der UVE zwischengespeichert werden, bevor sie verglichen werden.

Der Vorteil der Erfindung ist, dass beliebige kommerziell verfügbare Standard-Strukturen eingesetzt werden können, weil keine zusätzlichen Signale benötigt werden (keine Eingriffe in die Hardwarestruktur) und beliebige Ausgangssignale dieser Komponenten überwacht werden können, die beispielsweise direkt zur Ansteuerung von Aktoren verwendet werden. Das schließt die Überprüfung von Wandlerstrukturen wie DACs und PWMs mit ein, die bisher nach dem Stand der Technik so nicht direkt durch einen Vergleich prüfbar sind. Sofern die Überprüfung für einzelne Aufgaben oder SW-Tasks nicht benötigt wird, ist aber auch eine Umschaltung in einen Performanzmodus möglich, in dem unterschiedliche Tasks auf verschiedene Verarbeitungseinheiten verteilt werden.

Ein weiterer Vorteil ist es, dass in einem Vergleichs- oder Votingmodus nicht alle Daten verglichen werden müssen. Nur die zu vergleichenden oder zu votenden Daten werden in der Umschalt- und Vergleichseinheit zueinander synchronisiert. Die Auswahl dieser Daten ist durch das gezielte Ansprechen der Umschalt- und Vergleichseinheit variabel (programmierbar) und kann an die jeweilige Verarbeitungseinheitarchitektur sowie an die Anwendung angepasst werden. Damit ist auch die Verwendung von diversitären μC oder Softwareteilen leicht möglich, da nur Ergebnisse, die sinnvollerweise verglichen werden können, tatsächlich auch verglichen werden.

Weiter kann jeder Zugriff zu einem (z.B. externen) Speicher damit überwacht werden oder auch nur die Ansteuerung externer I/O Module. Interne Signale können über die softwaregesteuerte zusätzliche Ausgabe zum Umschaltmodul auf dem externen Daten- und/oder Adressbus geprüft werden. Alle Steuersignale für die Vergleichsoperationen werden in der vorzugsweise programmierbaren Umschalt- und Voting-Einheit erzeugt und der Vergleich findet auch dort statt. Die Verarbeitungseinheiten (z.B. Prozessoren), deren Ausgaben miteinander verglichen werden sollen, können das gleiche Programm benutzen, ein dupliziertes Programm (was zusätzlich die Erkennung von Fehlern beim Speicherzugriff ermöglicht) oder auch ein diversifϊziertes Programm zur Erkennung von Software-Fehlern. Dabei müssen nicht alle von den Verarbeitungseinheiten bereitgestellten Signale miteinander verglichen werden, sondern es ist auch möglich, mittels einer Kennung (Adress- oder Steuersignale) bestimmte Signale für den Vergleich vorzusehen oder auch nicht. Diese Kennung wird in der Umschalt- und Vergleicheinrichtung ausgewertet und damit der Vergleich gesteuert. Separate Timer überwachen Abweichungen im Zeitverhalten über ein vorgebbares Limit hinaus.

Einige oder auch alle Module der Umschalt- und Vergleichseinheit können auf einem Chip integriert sein, auf einem gemeinsamen Board oder auch räumlich getrennt untergebracht sein. Im letzteren Fall werden die Daten und Steuersignale über geeignete Bussysteme miteinander ausgetauscht. Register vor Ort werden dann über das Bussystem beschrieben und steuern die Vorgänge mittels der darin abgespeicherten Daten und/oder Adressen/Steuersignale.

In Figur 1 ist die Grundfunktion der erfindungsgemäßen Umschalteinheit BOl für die Anwendung in Verbindung mit zwei Verarbeitungseinheiten BIO und BI l gezeigt.

Verschiedene Ausgangssignale, wie Daten, Steuer- und Adresssignale B20 bzw. B21 der Verarbeitungseinheiten BIO und BIl sind mit der Umschalteinheit BOl verbunden. Darüber hinaus gibt es mindestens ein Synchronisationssignal, in Ausgestaltung der erfindungsgemäßen Anordnung die beiden Ausgangssignale B40 und B41, das mit einer der Vergleichseinheiten verbunden sind.

Die Umschalteinheit enthält mindestens ein Steuerregister B 15, das mindestens ein Speicherelement für ein binäres Zeichen (Bit) B 16 besitzt, das den Modus der Vergleichseinheit umschaltet. B16 kann mindestens die beiden Werte 0 und 1 annehmen und kann sowohl durch die Signale B20 oder B21 der Verarbeitungseinheiten oder durch interne Prozesse der Umschalteinheit gesetzt oder rückgesetzt werden.

Ist B 16 auf den ersten Wert gesetzt, so arbeitet die Umschalteinheit im Vergleichsmodus. In diesem Modus werden alle ankommenden Datensignale aus B20 mit den Datensignalen aus B21 verglichen, sofern bestimmte vorgebbare Vergleichs-Bedingungen der Steuer- und/oder Adresssignale aus den Signalen B20 und B21 erfüllt sind, die die Gültigkeit der Daten und den vorgesehenen Vergleich für diese Daten signalisieren .

Sind diese Vergleichs-Bedingungen an beiden Signalen B20 und B21 gleichzeitig erfüllt, so werden die Daten aus diesen Signalen unmittelbar verglichen und bei Ungleichheit wird ein Fehlersignal B17 gesetzt. Ist nur die Vergleichs-Bedingung aus entweder den Signalen B20 bzw. B21 erfüllt, so wird das entsprechende Synchronisationssignal B40 bzw. B41 gesetzt. Dieses Signal bewirkt in der entsprechenden Verarbeitungseinheit BIO bzw. BI l ein Anhalten der Verarbeitung, und damit eine Verhinderung der Weiterschaltung der entsprechenden Signale, die bisher nicht miteinander verglichen werden konnten. Das Signal B40 bzw. B41 bleibt solange gesetzt, bis die entsprechende Vergleichs-Bedingung der jeweils anderen Verarbeitungseinheit B21 bzw. B20 erfüllt ist. In diesem Fall wird der Vergleich ausgeführt und das entsprechende Synchronisationssignal zurückgesetzt.

Um den Vergleich bei der beschriebenen ungleichzeitigen Bereitstellung der zu vergleichenden Daten durch die beiden Verarbeitungseinheiten sicherzustellen, ist es entweder notwendig, dass die Daten und Vergleichs-Bedingungen der entsprechenden Verarbeitungseinheit solange auf den entsprechenden Werten gehalten werden, bis das entsprechende Synchronisationssignal B40 bzw. B41 zurückgesetzt wurde, oder es müssen die zuerst bereitgestellten Daten in der Umschalteinheit bis zum Vergleich gespeichert werden.

Je nachdem, welche Verarbeitungseinheit zuerst Daten bereitstellt, muss diese mit der Weiterabarbeitung ihres Programms oder ihrer Prozesse solange warten, bis die andere Verarbeitungseinheit die entsprechenden Vergleichsdaten bereitstellt.

In einer speziellen Ausführung der Umschalteinheit nach Figur 1 kann auf eines der Signale B40 bzw. B41 verzichtet werden, wenn immer gewährleistet ist, dass die zugehörige Verarbeitungseinheit nicht eher Vergleichsdaten bereitstellt, als die andere Verarbeitungseinheit. Ist B16 auf den zweiten Wert gesetzt, so sind die Synchronisationssignale B20 und B21 sowie das Fehlersignal B 17 immer inaktiv, beispielsweise auf den Wert 0 gesetzt. Es findet auch kein Vergleich statt und beide Verarbeitungseinheiten arbeiten voneinander unabhängig.

Eine wesentliche Komponente in dem erfindungsgemäßen System ist der Vergleicher. In der einfachsten Form ist er in Figur Ia dargestellt. Die Vergleichskomponente M500 kann zwei

Inputsignale M510 und M511 aufnehmen. Sie vergleicht diese dann auf Gleichheit, im hier dargestellten Kontext vorzugsweise im Sinne einer Bit-weisen Gleichheit. Falls sie Ungleichheit detektiert wird das Fehlersignal M530 aktiviert und das Signal M520 deaktiviert. Im Gleichheitsfalle wird der Wert der Inputsignale M510, M511 auf das Outputsignal M520 gegeben und das Fehlersignal M530 wird nicht aktiv, d.h. es signalisiert den „Guf'-Zustand.

Von diesem Basis-System aus sind eine Vielzahl von erweiterten Ausführungsformen denkbar. Zunächst kann die Komponente M500 als so genannte TSC- Komponente (totally seif checking) ausgeführt werden. In diesem Fall wird das Fehlersignal M530 auf mindestens zwei Leitungen („dual rail") nach außen geführt, und es ist durch interne Design- und Fehlerentdeckungsmaßnahmen sichergestellt, dass in jedem möglichen Fehlerfall der

Vergleichskomponente dieses Signal korrekt oder erkennbar unkorrekt vorliegt. Eine bevorzugte Ausführungsform in der Benutzung des erfindungsgemäßen Systems ist es, einen solchen TSC- Vergleicher zu verwenden. Eine zweite Klasse von Ausführungsformen kann dahingehend unterschieden werden, welchen Grad der Synchronität die beiden Inputs M510, M511 (bzw. M610, M611) haben müssen. Eine möglich Variante ist durch taktweise Synchronität gekennzeichnet, d.h. der Vergleich der Daten kann in einem Takt durchgeführt werden. Eine leichte Änderung entsteht dadurch, dass bei einem festen Phasenversatz zwischen den Inputs ein synchrones Verzögerungselement verwendet wird, das die entsprechenden Signale beispielsweise um ganzahlige oder auch halbe Taktperioden verögert. Ein solcher Phasenversatz ist nützlich um Common Cause Fehler zu vermeiden, d.h. das sind solche Fehler, die gleichzeitig auf mehrere Verarbeitungseinheiten wirken können. In Figur Ic ist daher über die Komponenten aus Bild M5 hinaus die Komponente M640 eingefügt, die den früheren Input um den Phasenversatz verzögert. Vorzugsweise ist dieses Verzögerungselement im Vergleicher untergebracht, um dieses Element nur im Vergleichsmodus zu verwenden. Alternativ oder ergänzend kann man, um Asynchronitäten ebenfalls tolerieren zu können, Zwischenpuffer in die Inputkette legen. Vorzugsweise werden diese als FIFO-Speicher ausgelegt. Falls ein solcher Puffer vorliegt, kann man auch Asynchronitäten bis zur maximalen Tiefe des Puffers tolerieren. In diesem Fall muss ein Fehlersignal auch dann ausgegeben werden, wenn der Puffer überläuft.

Weiter kann man im Vergleicher Ausführungsformen danach unterscheiden, wie das Signal M520 (oder M620) generiert wird. Eine bevorzugte Ausführungsform ist es, die Inputsignale M510, M511 (bzw. M610, M611) auf den Ausgang zu legen und die Verbindung durch Schalter unterbrechbar zu machen. Der besondere Vorteil dieser Variante ist es, dass zur Umschaltung zwischen Performanzmodus und möglichen verschiedenen Vergleichsmodi dieselben Schalter verwendet werden können. Alternativ können die Signale auch aus vergleicherinternen Zwischenspeichern generiert werden.

Eine letzte Klasse von Ausführungsformen kann dahingehend unterschieden werden, wie viele Inputs am Vergleicher vorliegen und wie der Vergleicher reagieren soll. Bei drei Inputs kann ein Majoritätsvoting, ein Vergleich von allen drei oder ein Vergleich von nur zwei Signalen vorgenommen werden. Bei vier oder mehr Inputs sind entsprechend mehr Varianten denkbar. Diese Varianten sind vorzugsweise mit den verschiedenen Betriebsmodi des Gesamtsystems zu koppeln.

Um den allgemeinen Fall darzulegen wird in Figur Ib eine verallgemeinerte Darstellung einer

Umschalt- und Vergleichseinheit dargestellt, wie sie vorzugsweise verwendet werden soll. Von den n zu berücksichtigenden Ausführungseinheiten gehen n Signale N140,..., N14n an die Umschalt- und Vergleichskomponente NlOO. Diese kann bis zu n Ausgangssignale N160,..., N16n aus diesen Eingangssignalen erzeugen. Im einfachsten Fall, dem „reinen Performanzmodus", werden alle Signale N14i auf die entsprechenden Ausgangssignale N16i geleitet. Im entgegen gesetzten Grenzfall, dem „reinen Vergleichsmodus" werden alle Signale N 140,..., N14n nur auf genau eines der Ausgangssignale N16i geleitet. An dieser Figur lässt sich darlegen, wie die verschiedenen denkbaren Modi entstehen können. Dazu ist in dieser Figur die logische Komponente einer Schaltlogik Nl 10 enthalten. Die Komponente muss nicht als solche existieren, entscheidend ist, dass ihre Funktion vorhanden ist. Sie legt zunächst fest, wie viele Ausgangssignale es überhaupt gibt. Weiter legt die Schaltlogik Nl 10 fest, welche der Eingangssignale zu welchem der Ausgangssignale beitragen.

Dabei kann ein Eingangssignal zu genau einem Ausgangssignal beitragen. In mathematischer Form anders formuliert ist also durch die Schaltlogik eine Funktion definiert, die jedem Element der Menge {N140,..., N14n} ein Element der Menge {N160,..., N16n} zuordnet.

Die Funktion der Verarbeitungslogik N120 legt dann zu jedem der Ausgänge N16i fest, in welcher Form die Eingänge zu diesem Ausgangsignal beitragen. Auch diese Komponente muss nicht als eigene Komponente vorhanden sein. Entscheidend ist wieder, dass die beschriebenen Funktionen im System realisiert sind. Um beispielhaft die verschiedenen Variationsmöglichkeiten zu beschreiben, sei ohne Beschränkung der Allgemeinheit angenommen, dass der Ausgang N 160 durch die Signale N141, ..., N 14m erzeugt wird. Falls m

= 1 entspricht dies einfach einer Durchschaltung des Signals, falls m = 2 dann werden die Signale N141, N142 verglichen. Dieser Vergleich kann synchron oder asynchron durchgeführt werden, er kann bitweise oder nur auf signifikante Bits oder auch mit einem Toleranzband durchgeführt werden. Falls m >= 3 gibt es mehrere Möglichkeiten.

Eine erste Möglichkeit besteht darin, alle Signale zu vergleichen und bei Vorhandensein mindestens zweier verschiedener Werte einen Fehler zu detektieren, den man optional signalisieren kann. Eine zweite Möglichkeit besteht darin, dass man eine k aus m -Auswahl vornimmt (k >m/2). Diese kann durch Verwendung von Vergleichern realisiert werden. Optional kann ein

Fehlersignal generiert werden, wenn eines der Signale als abweichend erkannt wird. Ein möglicherweise verschiedenes Fehlersignal kann generiert werden, wenn alle drei Signale verschieden sind. Eine dritte Möglichkeit besteht darin, diese Werte einem Algorithmus zuzuführen. Dies kann beispielsweise die Bildung eines Mittelwerts, eines Medianwert, oder die Verwendung eines fehlertoleranten Algorithmus (FTA) darstellen. Ein solcher FTA beruht darauf, Extremwerte der Eingangswerte weg zu streichen und eine Art der Mittelung über die restlichen Werte vorzunehmen. Diese Mittelung kann über die gesamte Menge der restlichen Werte, oder vorzugsweise über eine in HW leicht zu bildenden Teilmenge vorgenommen werden. In diesem FaIl ist es nicht immer notwendig, die Werte tatsächlich zu vergleichen. Bei der Mittelwertbildung muss beispielsweise nur addiert und dividiert werden, FTM, FTA oder Median erfordern eine teilweise Sortierung. Gegebenenfalls kann auch hier bei hinreichend großen Extremwerten optional ein Fehlersignal ausgegeben werden Diese verschiedenen genannten Möglichkeiten der Verarbeitung mehrerer Signale zu einem

Signal werden der Kürze wegen als Vergleichsoperationen bezeichnet. Die Aufgabe der Verarbeitungslogik ist es also, die genaue Gestalt der Vergleichsoperation für jedes Ausgangssignal - und damit auch für die zugehörigen Eingangssignale - festzulegen. Die Kombination der Information der Schaltlogik Nl 10 (d.h. die o.g. Funktion) und der Verarbeitungslogik (d.h. die Festlegung der Vergleichsoperation pro Ausgangssignal, d.h. pro

Funktionswert) ist die Modusinformation und diese legt den Modus fest. Diese Information ist im allgemeinen Fall natürlich mehrwertig, d.h. nicht nur über ein logisches Bit darstellbar. Nicht alle theoretisch denkbaren Modi sind in einer gegebenen Implementierung sinnvoll, man wird vorzugsweise die Zahl der erlaubten Modi einschränken. Zu betonen ist, dass im Fall von nur zwei Ausführungseinheiten, wo es nur einen Vergleichsmodus gibt, die gesamte Information auf nur ein logisches Bit kondensiert werden kann.

Eine Umschaltung von einem Performanz- in einen Vergleichsmodus ist im allgemeinen Fall dadurch charakterisiert, dass Ausführungseinheiten, die im Performanzmodus auf verschiedene Ausgänge hin abgebildet werden, im Vergleichsmodus auf den gleichen Ausgang hin abgebildet werden. Vorzugsweise ist dies dadurch realisiert, dass es ein Teilsystem von

Ausführungseinheiten gibt, bei dem im Performanzmodus alle Eingangssignale N14i, die im Teilsystem zu berücksichtigen sind, direkt auf korrespondierende Ausgangssignale N16i geschalten werden, während sie im Vergleichsmodus alle auf einen Ausgang hin abgebildet sind. Alternativ kann eine solche Umschaltung auch dadurch realisiert werden, dass Paarungen geändert werden. Es ist dadurch dargestellt, dass man im allgemeinen Fall nicht von dem

Performanzmodus und dem Vergleichsmodus sprechen kann, obwohl man in einer gegebenen Ausprägung der Erfindung die Menge der erlaubten Modi so einschränken kann, dass dies der Fall ist. Man kann aber immer von einer Umschaltung vom Performanz- in den Vergleichsmodus (und umgekehrt) sprechen. Zwischen diesen Modi kann, über Software gesteuert, dynamisch im Betrieb umgeschaltet werden. Ausgelöst wird die Umschaltung dabei beispielsweise über die Ausführung von speziellen Umschaltinstruktionen, speziellen Instruktionssequenzen, explizit gekennzeichneten Instruktionen oder durch den Zugriff auf bestimmte Adressen durch wenigstens eine der Ausführungseinheiten des Multiprozessorsystems. In Figur 2 ist ein detaillierter beschriebenes Zwei-Prozessor- oder Zwei μC-System mit einer erfindungsgemäßen Umschalt- und Vergleichseinheit MlOO dargestellt, bei dem optional auch verschiedene der eingezeichneten Signale entfallen können. Es besteht aus zwei Verarbeitungseinheiten (Ml 10, Ml I l) und einer Umschalt- und Vergleichseinheit M100. Von jeder Verarbeitungseinheit gehen Datensignale (M120, M121) und Adress/Steuersignale (M130, M131) zu der Umschalteinheit, und jede Verarbeitungseinheit bekommt optional auch von der Umschalteinheit Daten (M150, M151) und Steuersignale (M140, M141) zurück. Die Einheit MlOO gibt Daten (M 160, M161) und Statusinformationen M 169 aus und empfängt Signale wie z.B. Daten (M170, M171) und Steuersignale M179, die auch an die Verarbeitungseinheiten weitergeleitet werden können. Über M 170, Ml 71 und M 179 kann optional auch der Betriebsmodus der Einheit M100 unabhängig von den Verarbeitungseinheiten eingestellt werden; ebenso können die Prozessoren über die Ausgänge M120, M121 (z.B. Datenbus) und die Steuer- und Adresssignale M130, M131 (z.B. Write) in der Einheit M100 den Betriebsmodus einstellen - z.B. Performanzmodus (ohne Vergleich) oder Vergleichsmodus (mit

Vergleich der Signale M120, M121 und/oder der Signale M170, M171, die z.B. von peripheren Einheiten kommen). Im Performanzmodus werden die Ausgänge M120, M121 gegebenenfalls in Verbindung mit Steuersignalen auf die Ausgänge M 160, M161 weitergeleitet und umgekehrt die Eingänge M170, M171 auf M150, M151. Im Vergleichsmodus werden die Ausgänge verglichen und vorteilhafterweise nur im fehlerfreien Fall an M 160, M 161 weitergeleitet, wobei wahlweise beide Ausgänge benutzt werden, oder nur einer von beiden. Ebenso ist eine Überprüfung von Eingangsdaten M 170, M171 möglich, die an die Verarbeitungseinheiten weitergeleitet werden. Bei einem fehlerhaften Vergleich der Signale im Vergleichsmodus wird ein Fehlersignal generiert und - z.B. mittels double-rail Signalen: fehlersicher - nach außen signalisiert (Bestandteil der Statusinformation M169). Der Status M169 kann auch den

Betriebsmodus oder Informationen über den zeitlichen Versatz der Signale der Ausführungseinheiten beinhalten. Im Falle der Nichtbereitstellung von Vergleichsdaten einer Verarbeitungseinheit in einem vorgegebenen (programmierbaren) Zeitintervall wird das Fehlersignal auch aktiviert. Im Falle eines Fehlers können die Ausgänge M 160, M161 gesperrt werden (fail silent Verhalten). Das kann sowohl digitale als auch analoge Signale betreffen.

Diese Ausgangstreiberstufen können aber auch die unverzögerten (nicht zwischengespeicherten) Ausgangssignale M120, M121 einer Verarbeitungseinheit ausgeben, mit der Möglichkeit der nachträglichen Fehlerentdeckung. Das wird von einem sicherheitsrelevanten System toleriert, solange die Fehlertoleranzzeit nicht überschritten wird, d.h. die Zeit, die ein (träges) System noch nicht katastrophal auf Fehler reagiert und deshalb noch die Möglichkeit der Korrektur besteht.

Auch Ausgangssignale M 180, Ml 81, die nicht in die UVE geführt werden und interne Signale einer Verarbeitungseinheit, können zumindest bezüglich ihres berechneten Wertes verglichen werden, indem man diesen Wert auf den Ausgängen M120, M121 zum Zwecke des Vergleichs ausgibt. Entsprechendes kann auch mit Eingangssignalen Ml 90, Ml 91, die nicht über M100 kommen, durchgeführt werden.

Um die Einheit M100 zu überwachen kann es für ausgewählte oder auch alle Signale M 160, M 161 möglich sein, sie über M 170, M171 oder auch M 190, M191 zurück zu lesen. Damit kann man auch im Vergleichsmodus sicherstellen, dass fehlerhafte Signale aus der Einheit M100 detektiert werden. Durch einen geeigneten Abschaltpfad, auf den (in einer ODER- Verknüpfung) MlOO, Ml 10, Ml 11 Zugriff haben, kann damit ein fail-silence Verhalten des gesamten Systems hergestellt werden.

In Figur 3 ist eine mögliche Implementierung der Umschalt- und Vergleichseinheit M100 aus

Figur 2 im Detail dargestellt. Die Einheit M100 enthält ein Controlregister M200 mit mindestens einem Bit, das den Modus (Performanz/Vergleich) darstellt und ein Statusregister M220 mit mindestens einem Bit, das den Fehlerzustand im Vergleichsmodus darstellt. Die Wait- und Interruptsignale werden von weiteren Bits im Controlregister für jeweils beide Verarbeitungseinheiten gesteuert. Dabei ist auch gegebenenfalls zwischen verschiedenen

Interrupts zu unterscheiden, wie zum Beispiel für Synchronisationszwecke, zum Vorbereiten auf die Betriebsmodusumschaltungen sowie für die Fehlerbehandlung. Optional gibt es weitere Controlregister, wie z.B. M240, das die maximal erlaubte Zeitzdifferenz (in Anzahl von Taktperioden) zwischen den Verarbeitungseinheiten zur Ansteuerung eines internen oder externen Watchdogs enthält, sowie M241 mit dem

Zeitdifferenzwert (Taktperiodenanzahl), ab welchem der schnellste Prozessor mittels WAIT- oder Interrupt-Signalen zeitweise angehalten bzw. verzögert werden soll, um beispielsweise einen Überlauf von Datenregistern zu verhindern. Im Statusregister M220 wird z.B. neben dem Error-Bit auch gespeichert, wie groß der Taktversatz zwischen den Verarbeitungseinheiten aktuell ist. Dazu wird z.B. mindestens ein

Timer M230 immer von einer Verarbeitungseinheit gestartet wenn ein (über Adress-und Steuersignale, z.B. bestimmter Adressbereich) besonders gekennzeichneter Datenwert zuerst bereitgestellt wird und der Wert des Timers immer dann ins Statusregister übernommen, wenn der entsprechende Datenwert von der zweiten Verarbeitungseinheit bereitgestellt wird. Der Timer wird darüber hinaus vorzugsweise so eingestellt, dass auch bei unterschiedlichen Programmabläufen entsprechend der WCET (worst case execution time) garantiert alle Verarbeitungseinheiten ein Datum liefern müssen. Falls der vorgegebene Wert vom Timer überschritten wird, wird ein Fehlersignal ausgegeben. Die Ausgänge M120, M121 der Verarbeitungseinheiten sind in MlOO insbesondere für den

Vergleichsmodus in einem Pufferspeicher M250, M251 zu speichern, sofern es sich um digitale Daten handelt und sie nicht taktgenau bereitgestellt werden können. Vorzugsweise kann dieser Speicher als FIFO ausgeführt sein. Besitzt dieser Speicher nur eine Tiefe von 1 (Register), so ist z.B. durch Wait-Signale dafür zu sorgen, dass die Ausgabe weiterer Werte bis zum erfolgten Vergleich verzögert wird, um einen Datenverlust zu vermeiden.

Weiterhin gibt es eine Vergleichseinheit M210, die die digitalen Daten aus den Eingangsspeichern M250, M251, den direkten Eingängen M120, M121 oder M170, M171 miteinander vergleicht. Diese Vergleichseinheit kann auch serielle digitale Daten (z.B. PWM- Signale) miteinander vergleichen, wenn man z.B. in der Speichereinheit M250, M251 die seriellen Daten empfangen und in parallele Daten umwandeln kann, die dann in M210 verglichen werden. Ebenso können asynchrone digitale Eingangssignale M 170, M 171 über zusätzliche Speichereinheiten M270, M271 synchronisiert werden. Wie auch für die Eingangssignale 120, 121, werden diese vorzugsweise in einem FIFO zwischengepuffert. Die Umschaltung zwischen Performance- und Vergleichsmodus erfolgt durch Setzen oder Rücksetzen des Modus-Bits im Controlregister, wodurch z.B. entsprechende Interrupts in den beiden Verarbeitungseinheiten verursacht werden. Der Vergleich selbst wird durch die bereitgestellten Daten M 120, M121 sowie den dazugehörigen Adressen und Steuersignalen M130, M131 everanlasst. Dabei können bestimmte Signale aus M120 und M130 bzw. M121 und M131 als Kennung fungieren, die angibt, ob ein Vergleich der zugeordmneten Daten erfolgen soll.

Dies ist eine weitere Ausführungsform gegenüber der einfachen Umschaltung in Figur 1. Hier sind vorteilhafterweise beim Übergang in einen Vergleichsmodus mittels der Interrupt-Routinen verschiedene Vorbereitungen zu treffen, damit gleiche Anfangs-Bedingungen für beide Verarbeitungseinheiten geschaffen werden. Ist die Verarbeitungseinheit damit fertig, wird von ihr das prozessorspezifische Ready-Bit im Controlregister gesetzt und die Verarbeitungseinheit bleibt im Wartezustand, bis auch der andere Verarbeitungseinheit seine Bereitschaft durch sein Ready-Bit signalisiert (siehe auch Beschreibung des Contolregisters in Figur 6). In dieser Vergleichseinheit können ebenso analoge Daten in einer speziell dafür geeigneten analogen Vergleichseinheit M211 (analog compare unit) miteinander verglichen werden. Das setzt aber voraus, dass die Ausgabe der analogen Signale genügend synchron zueinander erfolgt oder dass man in der analog compare unit eine Speicherung der durch einen dort implementierten ADC digitalisierten Daten vorsieht (siehe dazu weitere Ausführungen zu den

Figuren 12 bis 14). Die Synchronität kann man erreichen, indem man die digitalen Ausgaben der Verarbeitungseinheiten (Daten, Adress- und Steuersignale) wie oben beschrieben miteinander vergleicht und die zu schnellen Verarbeitungseinheit warten lässt. Zu diesem Zwecke kann man auch die digitalen Signale, die als Quelle der analogen Signale im Verarbeitungseinheit verarbeitet werden, über die Ausgänge M120, M121 an die Einheit MlOO geben, obwohl diese Signale sonst extern nicht benötigt werden. Dieser redundante Vergleich zusätzlich zum Vergleich der analogen Signale sorgt dafür, dass ein Fehler in der Berechnung schon frühzeitiger erkannt werden kann und außerdem erleichtert das die Synchronisation der Verarbeitungseinheiten. Der Vergleich der analogen Signale bewirkt eine zusätzliche Fehlererkennung für den DAC (digital to analog Converter) der Verarbeitungseinheit. In anderen

Strukturen der DCSL-Architekturen ist eine solche Möglichkeit nicht gegeben. Für analoge Eingangssignale von den peripheren Einheiten ist auch ein Vergleich möglich. Insbesondere wenn es sich um redundante Sensorsignale des gleichen Systemparameters handelt, benötigt man dann keine zusätzlichen Synchronisationsmaßnahmen, sondern nur gegebenenfalls ein Steuersignal, das die Gültigkeit der Sensorsignale anzeigt. Die Realisierung eines Vergleichs analoger Signale wird im Detail noch gezeigt.

Figur 4 zeigt ein Multiprozessorsystem mit wenigstens n+1 Verarbeitungseinheiten, wobei jede dieser Komponenten wiederum auch aus mehreren Teil- Verarbeitungseinheiten (CPUs, ALUs, DSPs mit entsprechenden Zusatzkomponenten) bestehen kann. Die Signale dieser

Verarbeitungseinheiten werden genauso mit einer Umschalt- und Vergleichseinheit verbunden, wie es im Zweier-System nach Figur 2 beschrieben wurde. Alle Komponenten und Signale in dieser Figur haben deshalb inhaltlich die gleiche Bedeutung wie die entsprechenden Komponenten und Signale in Figur 2. Die Umschalt- und Vergleichseinheit M300 kann im Multiprozessor-System unterscheiden zwischen dem Performanzmodus (alle

Verarbeitungseinheiten arbeiten verschiedene Tasks ab), verschiedenen Vergleichsmodi (die Daten zweier oder auch mehrerer Verarbeitungseinheiten sollen verglichen werden und bei Abweichungen soll ein Fehler signalisiert werden) und verschiedenen Votingmodi (Mehrheitsentscheid bei Abweichung nach unterschiedlichen vorgebbaren Algorithmen). Für jede Verarbeitungseinheit kann dabei separat entschieden werden, in welchem Modus sie arbeitet und mit welchen anderen Verarbeitungseinheiten zusammen sie gegebenenfalls in diesen Modi arbeitet. Wie die Umschaltung genau erfolgt, wird im Anschluss bei der Beschreibung der Controlregister nach Figur 6 weiter ausgeführt.

Figur 5 zeigt eine mögliche Implementierung einer Umschalteinheit für ein Multiprozessorsystem mit n+1 Verarbeitungseinheiten. Für jeden Verarbeitungseinheit ist mindestens ein Controlregister M44i in der Steuereinheit des Umschalt- und Vergleichsmoduls vorgesehen. Ein bevorzugter Satz von Controlregistern ist in Figur 6 ausführlich gezeigt und beschrieben. Dabei entspricht M44i jeweils dem Controlregister Ci.

Verschiedene Ausführungsformen im Controlregister sind denkbar. Es kann über geeignete Bitkombinationen beschrieben werden, ob ein Fehlererkennungs- oder ein Fehlertoleranzmuster verwendet werden soll. Je nach Aufwand, den man in die Einheit M300 steckt, kann man auch noch angeben, welchen Typ von Fehlertoleranzmuster (2 aus 3, Median, 2 aus 4, 3 aus 4, FTA, FTM...) man verwenden will. Weiter kann man es konfigurierbar gestalten, welchen Ausgang man durchschaltet. Man kann auch danach Ausführungsformen bilden, welche Komponenten für welches Datum auf diese Konfiguration Einfluss nehmen können.

Die Ausgangssignale der beteiligten Verarbeitungseinheiten werden dann in der Umschalteinheit miteinander verglichen. Da die Signale nicht notwendigerweise taktgenau verarbeitet werden, ist eine Zwischenspeicherung der Daten erforderlich. Dabei können auch Daten in der Umschalteinheit verglichen werden, die mit einer größeren Zeitdifferenz von den verschiedenen Verarbeitungseinheiten an die Umschalteinheit gegeben werden. Durch die Verwendung eines Zwischenspeichers (z.B. ausgebildet als FIFO-Speicher: first in - fϊrst out oder auch in einer anderen Pufferform) können auch zunächst von einem Verarbeitungseinheit mehrere Daten empfangen werden, während andere Verarbeitungseinheiten noch keine Daten bereitstellen. Dabei ist ein Maß für die Synchronität der beiden Verarbeitungseinheiten der Füllstand des FIFO-Speichers. Wird ein bestimmter vorgebbarer Füllstand überschritten, so wird die in der Bearbeitung am weitesten vorangeschrittene Verarbeitungseinheit entweder durch ein vorhandenes WAIT-Signal oder durch geeignete Interrupt-Routinen zeitweise angehalten, um auf die langsamer in der Bearbeitung voranschreitenden Verarbeitungseinheiten zu warten. Die Überwachung sollte dabei auf alle extern verfügbaren Signale einer Verarbeitungseinheit ausgedehnt werden; das schließt auch analoge Signale oder PWM-Signale mit ein. In der Umschalteinheit sind dazu Strukturen vorzusehen, die einen Vergleich solcher Signale zulassen. Zusätzlich wird vorgeschlagen, eine maximale Zeitabweichung zwischen den zu vergleichenden Daten vorzugeben und mittels mindestens eines Timers zu überwachen.

Werden im allgemeinen Fall mehr als zwei Verarbeitungseinheiten durch eine gemeinsame Umschalteinheit miteinander verbunden, so ist für jede diese Verarbeitungseinheiten oder

Verarbeitungseinheiten ein Controlregister erforderlich. Eine spezielle Ausführung dieser Controlregister ist in Figur 6 erklärt.

Die (n+1) unteren Bits B500x bis B50nx des jeweiligen Controlregisters Cx sind den n+1 Prozessoren/Verarbeitungseinheiten eindeutig zugeordnet. Das Bit B514x des Controlregisters Cx schaltet zwischen Vergleich/Voting einerseits und paralleler Arbeit andererseits um und entspricht dem Wert von B 16 aus Figur 1. Das Bit B513x zeigt an, ob die betreffende Verarbeitungseinheit bereit zum Vergleich ist (Ready), das Bit B512x steuert das Synchronisationssignal (WAIT oder INTERRUPT) und das Bit B511x kann benutzt werden, um die entsprechende Verarbeitungseinheit x durch einen Interrupt auf den Vergleich vorzubereiten. Entsprechend steuert das Bit B5110x einen Interrupt, der die

Verarbeitungseinheit in den Parallelmodus zurückschaltet.

Sind B50ik und B50kk des Controlregisters Ck auf Eins gesetzt (0 < i, k < n)., so bedeutet das in dieser ausführungsform, daß die Ausgänge der Verarbeitungseinheit i mit denen vom Verarbeitungseinheit k verglichen werden sollen. Ist zusätzlich auch B50jk gleich Eins, dann soll zwischen i, j und k gevotet werden und das Votingergebnis wird am Ausgang k der UVE ausgegeben (0 < i, j, k < n). Dazu kann für jede Gruppe von Verarbeitungseinheiten eine spezielle Art des Votings oder auch nur eines mehrheitlichen Vergleichs festgelegt werden, wie schon in der Erläuterung zum Bild M4 aufgezählt wurde. Allgemein müssen alle Bits B50ik für die zu vergleichenden/zu votenden Verarbeitungseinheiten i (im Controlregister Ck) gesetzt sein, wenn am Ausgang k der UVE das Votingergebnis ausgegeben werden soll. Eine parallele Ausgabe auf anderen Ausgängen ist möglich.

Eine Eins in B50ii des Controlregisters i (0 < i,< n) gibt an, daß der Ausgang i der Vergleichseinheit aktiv sein soll. Tragen alle Controlregister Ci nur in den entsprechenden

Speicherstellen B50ii eine Eins (i = 0, 1, ...n), so arbeiten alle Verarbeitungseinheiten im Performanzmodus mit beliebig unterschiedlichen Programmen und eigenen Ausgangssignalen. Sind alle n+1 unteren Bits B50ik gleich Eins (i = 0, 1, ...n), und ist außerdem B514k gesetzt, dann werden die Ausgangssignale aller Verarbeitungseinheiten durch Mehrheitsentscheid (Voting) ausgewählt und auf den Ausgang k der UVE ausgegeben; bei n=l findet nur ein Vergleich statt.

In den folgenden Ausführungen wird beispielhaft beschrieben, wie ein Ablauf beim Übergang zu einem Vergleich/Voting in einem System mit mehreren Verarbeitungseinheiten aussehen kann.

Das Bit B514i im Controlregister Ci wird gesetzt, um den Vergleich oder das Voting zu aktivieren. Dieses Bit kann sowohl durch den Verarbeitungseinheit selbst gesetzt werden, als auch von den Umschalt-und Vergleichseinheit in Abhängigkeit von bestimmten Systemzuständen, Zeitbedingenungen oder anderen Bedingungen (wie zum Beispiel Zugriffen auf bestimmte Speicherbereiche, Fehler oder Unplausibilitäten). Werden mit B514i die Bits B50ii und B5(M gesetzt, werden durch die UVE automatisch die Bits B51 Ii und B51 Ik gesetzt und dadurch Interrupts in den Verarbeitungseinheiten i und k ausgelöst. Diese Interrupts bewirken, daß die Verarbeitungseinheiten an eine bestimmte Programmstelle springen, bestimmte Initialisierungsschritte für den Übergang zum zum Vergleichsmodus durchführen und dann eine Rückmeldung (Ready) an die Umschalt- und Vergleichseinheit ausgeben. Das Ready-Signal bewirkt ein automatisches Zurücksetzen des Interrupt-Bits B511i im jeweiligen Controlregister Ci der Verarbeitungseinheit und gleichzeitig das Setzen des Wait-Bits B512i. Wenn alle Wait-Bits der beteiligten Verarbeitungseinheiten gesetzt sind, werden sie von der Umschalt- und Vergleichseinheit gleichzeitig zurückgesetzt. Die Verarbeitungseinheiten beginnen dann mit der Abarbeitung der zu überwachenden Programmteile. In einer vorteilhaften Ausführungsform ist ein Schreiben auf ein Controlregister Ci mit gesetztem Bit B514i durch Verriegelung (HW oder SW) verhindert. Das bewirkt sinnvollerweise, dass die Konfiguration des Vergleichs nicht während der Abarbeitung geändert werden kann. Eine Änderung im Controlregister Ci ist erst nach dem Rücksetzen des Bits B514i möglich. Dieses Rücksetzen bewirkt Interrupts in den betreffenden Verarbeitungseinheiten durch Setzen der Bits B510x in den Controlregistern aller beteiligten Verarbeitungseinheiten zum Übergang in den Normalmodus (parallele Arbeitsweise). Die Konsistenz aller Controlregister zueinander wird entsprechend Anwendervorgaben überwacht und im Fehlerfalle wird ein Fehlersignal generiert, das Bestandteil der

Statusinformationen ist. So darf es zum Beispiel nicht vorkommen, dass eine Verarbeitungseinheit gleichzeitige für mehrere unabhängige Vergleichs- oder Votingprozesse verwendet werden, weil dann die Synchronisation nicht gewährleistet ist. Denkbar ist aber ein Vergleich auch mehrerer Verarbeitungseinheiten ohne eine Ausgabe der Datensignale, sondern nur zu dem Zwecke, ein Fehlersignal bei Ungleichheit zu erzeugen.

In einer weiteren Ausfuhrungsform ist der Eintrag in mehreren oder allen Controlregistern der an einem Vergleich oder einem Voting beteiligten Verarbeitungseinheiten gleichartig vorzunehmen, d.h. die entsprechenden Bits dieser Verarbeitungseinheiten sind dort gleichartig zu setzen, ggf. mit Ausnahme des eigenen Bits i, das die Ausgabe steuert.

In Figur 7 ist die Voting-Einheit QlOO für zentrales Voting dargestellt. Das Voten kann sowohl mittels geigneter Hardware als auch softwaremäßig durchgeführt werden. Der Voting- Algorithmus (z.B. bitgenaues Voting) ist dazu vorzugeben. Die Voting-Einheit Q100 erhält dabei mehrere Signale QI lO, Ql I l, Q112 und bildet aus diesen ein Ausgangssignal Q 120, das durch Voting (z.B. eine m aus n-Auswahl) entsteht.

Tritt ein Fehler beim Vergleich auf, wird in dem betreffenden Controlregister das Error-Bit gesetzt. Bei einem Voting wird das Datum der betreffenden Verarbeitungseinheit ignoriert; bei einem einfachen Vergleich der Ausgang gesperrt.

Alle Daten, die nicht rechtzeitig vor Ablauf der programmierten Zeit bereitstehen, werden wie Fehler behandelt. Das Rücksetzen der Error-Bits erfolgt systemabhängig und ermöglicht gegebenenfalls eine Reintegration der betreffenden Verarbeitungseinheit Für den Fall, daß die Verarbeitungseinheiten und/oder der Voter nicht räumlich konzentriert angeordnert sind, ist auch ein dezentrales Voting in Verbindung mit einem geeigneten

Bussystem gemäß Figur 8 möglich. In Figur 8 wird eine dezentrale Votingeinheit Q200 von eine Steuereinheit Q210 kontrolliert. Sie ist über Bussysteme Q221, Q222 angebunden, erhält Daten über diese Bussysteme und gibt sie auch dort wieder aus. Die Rücksetzung des Vergleichs- und Votingbits in einem Controlregister mit aktivem Ausgangsbit bewirkt einen Interrupt in den beteiligten Verarbeitungseinheiten, die dann wieder in eine parallele Arbeitsweise zurückgeführt werden. Dabei kann jeder Verarbeitungseinheit eine unterschiedliche Einsprungadresse besitzen, die separat verwaltet wird. Die Programmabarbeitung kann auch dann vom gleichen Programmspeicher aus erfolgen. Die Zugriffe sind aber separat und in der Regel zu unterschiedlichen Adressen. Sofern der sicherheitsrelevante Teil gering ist im Vergleich zu den parallelen Modi ist abzuwägen, ob ein eigener Programmspeicher mit dupliziertem Sicherheitspart eventuell weniger aufwändig ist. Auch der Datenspeicher kann im Performance-Mode gemeinsam benutzt werden. Die Zugriffe erfolgen dann nacheinander beispielsweise mittels des AHB/ABP-Bus. AIs Besonderheit ist noch zu erwähnen, daß die Error-Bits vom System ausgewertet werden müssen. Um eine sichere Abschaltung im Fehlerfalle zu gewährleisten, sind die sicherheitsrelevanten Signale in geeigneter Form redundant zu realisieren (zum Beispiel im 1- aus-2 Code). In den bisherigen UVEs nach den Figuren 1, 2,3,4 und 5 wurde zunächst angenommen, dass die

Verarbeitungseinheiten mit gleichen oder voneinander abgeleiteten Takten arbeiten, die zueinander in einer konstanten Phasenbeziehung stehen. Werden für die Verarbeitungs¬ einrichtungen auch Takte von verschiedenen Oszillatoren und Generatoren verwendet, bei denen sich die Phasenbeziehungen ändern, so muss man die damit erzeugten Signale synchronisieren, wenn sie die Taktdomäne wechseln. Ein Synchronisationelement M800 ist dazu in Figur 9 gezeigt. Um insbesondere die digitalen Daten sicher abzuspeichern und zu vergleichen sind dann Synchronisationseinrichtungen M800 erforderlich, die an beliebigen Stellen im Signalfluss angebracht werden können. Diese gewährleisten einmal das Abspeichern der Daten M820 mit dem Takt M830 der Verarbeitungseinheit, die diese Daten bereitstellt. Zum Lesen wird dann der Takt benutzt, mit dem das Datum M840 weiterverarbeitet wird. Eine solche Synchronisationsstufe M800 kann als FIFO ausgebaut sein, um mehrere Daten speichern zu können (siehe Figur 9). Im allgemeinen Fall reicht die Synchronisation der Daten allein nicht aus, sondern es ist auch das Bereitstellungssignal der Daten mit dem Empfangstakt zu synchronisieren. Dazu ist darüber hinaus ein Handshake-Interface erforderlich (Figur 10), dass durch

Anforderungsisgnale M850 und Quittungssignale M880 die Übernahme gewährleistet. Ein solches Interface ist immer dann notwendig, wenn sich die Taktdomäne ändert, um eine sichere Übertragung der Daten von einer Taktdomäne zur anderen zu gewährleisten. Beim Schreiben werden dabei die Daten M820 aus dem Bereich Q305 mit dem Takt M830 in den Registerzellen M800 synchronisiert zur Verfügung gestellt und ein Schreibanforderungssignal M850 zeigt die

Bereitstellung der Daten an. Dieses Schreibanforderungssignal wird von dem Bereich Q306 mit dem Takt M860 in ein Speicherelement M801 übernommen und als synchronisiertes Signal M870 zeigt es die Bereitstellung der Daten an. Mit der nächsten aktiven Taktflanke von Takt M860 wird daraufhin das synchronisierte Datum M840 übernommen und dabei ein Bestätigungssignal M880 zurückgesendet. Dieses Bestätigungssignal wird vom Takt M830 in einem weiteren Speicherelement M801 synchronisiert zum Signal M890 und damit wird die Bereitstellung der Daten beendet. Es können dann neue Daten in das betreffende Register geschrieben werden. Solche Interfaces sind Stand der Technik und bekannt und können in speziellen Ausführungsformen durch eine zusätzliche Codierung besonders schnell arbeiten, ohne auf ein Quittungssignal warten zu müssen.

In einer besonderen Ausführungsform sind die Speicherelemente M800 als FIFO-Speicher (fϊrst- in, first-out) ausgestaltet.

Die Schaltungen zum Vergleich analoger Signale von Figur 11 bis Figur 14 setzen voraus, dass die Verarbeitungseinheiten, die die zu vergleichenden analogen Signale liefern, miteinander so synchronisiert sind, dass der Vergleich sinnvoll ist. Die Synchronisation kann durch die entsprechenden Signale B40 und B41 von Figur 1 erreicht werden.

Figur 11 zeigt einen Differenzverstärker. Mit Hilfe dieses Elementes können zwei Spannungen miteinander verglichen werden.

Dabei ist BlOO ein Operationsverstärker, auf dessen negativen Eingang BlOl ein Signal B 141 geschaltet ist, das über einen Widerstand Bl 10 mit dem Wert R_1n mit dem Eingangssignal BlI l verbunden ist, an dem der Spannungswert Vi anliegt. Der positive Eingang B 102 ist mit dem

Signal B 142 verbunden, das über den Widerstand B 120 mit dem Wert R_1n mit dem Eingang B 121 verbunden, an dem der Spannungswert V₂ anliegt. DerAusgang B 103 dieses Operationsverstärkers ist mit dem Ausgangssignal B 190 verbunden, das den Spannungswert V_0Ut besitzt. Das Signal B190 ist über den Widerstand B140 mit dem Wert R_f mit dem Signal B141 verbunden und das Signal B142 ist über den Widerstand B130 mit dem Wert R_f mit dem

Signal B131 verbunden, das den Spannungswert des analogen Bezugspunktes V_agn(j trägt. Die Ausgangsspannung kann mit den oben angegebenen Spannungs- und Widerstandswerten nach folgender Formel berechnet werden:

V_0nJ = R_f Z Rj_n ( V₂ - V₁). (1) Wird der Differenzverstärker nur mit einer positiven Betriebsspannung betrieben, wie üblicherweise bei CMOS, so wird als Analog-Ground V_agn(j eine Spannung zwischen Betriebsspannung und Digital-Ground gewählt, üblicherweise das mittlere Potential. Sind die zwei analogen Eingangsspannungen Vi und V₂ nur geringfügig unterschiedlich, so wird die Ausgangsspannung V_out nur eine geringe Differenz V^_ff zu dem analogen Ground aufweisen (positiv oder negativ).

Mit Hilfe von 2 Komparatoren wird nun geprüft, ob die Ausgangsspannung oberhalb V_agn(i + V_<hff (Figur 12) bzw. unterhalb V_agn(i - V^_ff zudem analogen Bezugspunkt liegt (Figur 13). Dabei wird in Figur 12 das Eigangssignal B221 über den Widerstand B150 mit dem Wert Ri an das Signal B242 angeschlossen, das mit dem positiven Eingang B202 des Operationsverstärkers B200 verbunden ist. Weiterhin wird das Signal B242 über den Widerstand B 160 mit dem Wert R₂ an das Signal B231 angeschlosssen , das als digitales Bezugspotential V_dgng benutzt wird. Der negative Eingang B201 des Operationsverstärkers wird mit dem Einganssignal 211 verbunden, das den Spannungswert einer Referenzspannung V_ref trägt. Der Ausgang B203 des Operationsverstärkers B200 ist mit dem Ausgangssignal B290 verbunden, das den

Spannungswert V_Oben trägt.

In Figur 13 wird entsprechend das Eingangssignal B321 über den Widerstand B 170 mit dem Wert R₃ an das Signal B342 angeschlossen, das mit dem negativen Eingang B301 des Operationsverstärkers B300 verbunden ist. Dieses Signal B342 ist weiterhin über den Widerstand B 180 mit dem Wert R4 an das Signal B331 angeschlossen, das auch das digitale

Bezugspotential V_dgnd trägt. Der positive Eingang B302 des Operationsverstärkers B300 ist mit dem Einganssignal B311 verbunden, das Spannungswert einer Referenzspannung V_ref trägt. Der Ausgang B303 des Operationsverstärkers B300 ist mit dem Ausgangssignal B390 verbunden, das den Spannungswert

Das wird dadurch erreicht, indem die Widerstände B150, B160, B170 und B180 mit ihren Werten Ri, R₂, R₃ und R₄ in Beziehung zu der festen Referenzspannung V_ref, die an den Signalen B211 und B311 anliegt, wie folgt dimensioniert werden:

V_ref = ( V_agnd + V_1Ua) * R₂ / (R₁ + R₂) (2) V- = (

- VdM) * R. / (R₃ + R₄) (3)

V_di_ff = (( V_2max - V_lmin) * R_f / R_ta) - V_agnd (4)

Mit V_2max wird dabei der maximal tolerierte Spannungswert von V₂ an Signal B 121 und mit Vi_mi_n der minimal tolerierte Spannungswert von Vi an Signal Bl I l bezeichnet. Die Referenzspannungsquelle kann von extern zur Verfügung gestellt werden, oder aber durch eine intern realisierte bandgap (temperaturkompensierte und betriebsspannungsunabhängige

Referenzspannung) realisiert werden. In Gleichung (4) wird die maximale tolerierte Differenz V_di_ff aus der maximalen positiven Abweichung V_2max und der zugehörigen maximalen negativen Abweichung Vi_nJ_n bestimmt, d.h. ( V_2max - Vi_nJ_n) ist die maximal tolerierte Spannungsabweichung redundanter analoger Signale zueinander, die miteinander verglichen werden sollen.

Wird einer der Spannungswerte an den beiden Signale B290 oder B390 (V_Oben oder Vun_ten) positiv, so liegt eine größere Abweichung der Analogsignale vor, als sie toleriert werden soll. Sofern die Prozessoren, die diese Analogsignale liefern, synchronisiert sind, liegt somit ein Fehler vor, der gespeichert werden muß und ggf. zum Abschalten der Ausgangssignale führt. Die Synchronität ist gegeben, wenn zum Beispiel das Ready-Signal im Controlregister der entsprechenden Verarbeitungseinheiten aktiv ist, oder bestimmte digitale Signale an die UVE gesendet werden, die einen bestimmten Zustand des betreffenden Analogsignals und damit auch den zu vergleichenden Wert im Sinne einer Kennung signalisieren. Eine Schaltung, die den Fehler einspeichert, ist in Figur 14 gezeigt. In dieser Schaltung sind die beiden Eingangssignale

B390 und B290 über eine NOR-Schaltung (logische ODER-Schaltung mit nachfolgender Invertierung) B410 zum Ausgangssignal B411 verknüpft. Dieser Signal B411 wird mit dem Eingangssignal B421 in einem weiteren NOR-Element B420 zum Ausgangssignal B421 verknüpft. Dieses Signal B421 wird in einer ODER-Schaltung B430 mit dem Signal B401 zum Signal B431 verknüpft, das als Eingangssignal für das Speicherelement (D-Flip-Flop) B400 dient. Das Ausgangssignal B401 dieses Elements B400 zeigt mit dem Wert 1 einen Fehler an. Das D-Flip-Flop B400 speichert mit dem Takt B403 eine 1 ein, wenn einer der beiden Spannungswerte V_unten oder V_Oben an den Signalen B390 bzw. B290 positiv, also als digitales Signal den Wert high trägt, das Signal B421 nicht aktiv ist und kein Reset-Signal B402 anliegt. Der Fehler bleibt solange gespeichert, bis das Signal Reset wenigstens einmal aktiv war.

Zu beachten ist bei der Dimensionierung der Schaltungen Figur 11 bis Figur 13, daß die Widerstände zueinander matchen, d.h. daß die Widerstandsverhältnisse von R_f und R_1n, Ri und R₂ sowie R₃ und R₄ möglichst unabhängig von Fertigungstoleranzen konstant sind. Mit dem Signal B421 kann man steuern, ob die Schaltung aktiv sein soll, oder gerade eine Synchronisation derVerarbeitungseinheiten stattfindet, bei der nicht verglichen werden soll. Das

Signal B402 setzt einen vorherigen Fehler zurück und ermöglicht deshalb einen neuen Vergleich.

Figur 15 zeigt einen ADC. Dieser ADC kann je nach den bestehenden Anforderungen, wie z.B. bezüglich Wandlunggeschwindigkeit, Genauigkeit, Auflösung, Störfestigkeit, Linearität und

Frequenzspektrum mit den verschiedenen bekannten Wandlungsmethoden realisiert werden. So kann man zum Beispiel das Prinzip der sukzessiven Approximation wählen, wo man das Analogsignal mit einem generiertem Signal aus einem Digital-to-Analog-Converter (DAC) mittels eines Komparators vergleicht, wobei man die digitalen Eingangsbits des DAC systematisch vom MSB (most significant bit - höchstwertiges Bit) zum LSB (least significant bit - niedrigstwertiges Bit) probeweise auf high setzt und genau dann wieder zurücksetzt, wenn das analoge Ausgangssignal des DAC einen höheren Wert als das analoge Eingangssignal (das zu wandelnde Signal) hat. Der DAC steuert mit seinen Digitalbits vom LSB zum MSB entweder Widerstände oder Kapazitäten mit den Wichtungen 1, 2, 4, 8, 16, ... in der Weise, daß das Setzen des nächsthöheren Bits immer die doppelt so große Auswirkung auf den Analogwert hat, wie das vorherige. Nachdem alle Bits probeweise gesetzt und ggf. wieder zurückgesetzt wurden, entspricht der Wert des Digitalworts der digitalen Representation des analogen Eingangssignals. Für höhere Geschwindigkeitsanforderungen kann bei kontinuierlichen Datenströmen auch ein Konverter verwendet werden, der kontinuierlich das analoge Signal verarbeitet und ein serielles digitales Signal ausgibt, das diesen analogen Datenstrom durch die serielle Bitfolge annähert. Das Digitalwort ist hier durch die in einem Schieberegister gespeicherte Bitfolge repräsentiert. Solche Wandler setzen aber voraus, daß im Wandlungszeitraum ständig Änderungen des analogen Signals erfolgen, weil sie keine konstanten Werte verarbeiten können. Für niedrigere Geschwindigkeitsanforderungen können auch Wandler nach dem Zählprinzip benutzt werden, die zum Beispiel mittels der Eingansspannung oder des Eingansstroms eine entsprechende konstante Auf- oder Entladung eines zu einem Integrator geschalteten Kondensators bewirken. Die dazu notwendige Zeit wird gemessen und ins Verhältnis gesetzt zu der Zeit, die in der Gegenrichtung zur Ent- bzw. Aufladung des gleichen Kondensators (Integrators) mittels einer Referenzspannungsquelle bzw. eines entsprechenden Referenzstromes notwendig ist. Die Zeiteinheit wird in Takten gemessen und die Zahl der benötigten Takte ist ein Maß für den analogen Eingangswert. Ein solches Verfahren ist zum Beispiel das dual-slope Verfahren, bei dem die eine Flanke (slope) durch die Entladung entsprechend dem Analogwert bestimmt ist und die zweite Flanke durch die Wiederaufladung entsprechend dem Referenzwert bestimmt ist (siehe auch httpV/www.exstrom.com/journal/adc/dsadc.html).

Der ADC B600 von Figur 15 wird gesteuert durch ein Triggersignal B602, das üblicherweise ein Ausgangssignal des Prozessors ist, der das Analogsignal bereitstellt und optional eine Kennung B603, die Auskunft über die Art des analogen Signals gibt, das gerade bereitgestellt wird, um eine Unterscheidung von mehreren analogen Signalen zu ermöglichen. Mit dem Triggersignal B602 wird das gewandelte Analogwort in den Speicherbereich B640 als

Digitalwert in ein Register B610 übernommen und optional zusammen mit der Kennung B603, die in B620 abgespeichert wird und eventuell einem zusätzlichen Signal B604 (das ist 1 für die Kennzeichnung eines analogernWertes), die in dem Speicher B630 abgelegt wird. Der Speicherbereich B640 kann vorteilhafterweise auch als FIFO (first-in, first-out) realisiertwerden, wenn mehrere Werte abgespeichert werden sollen und der zuerst abgespeicherte Wert auch zuerst wieder ausgfegeben werden soll. Wird der Speicherbereich B640 sowohl für digitale als auch für digitalisierte analoge Werte benutzt, so werden vorteilhafterweise alle Digitalwerte um ein Bit A=O an der MSB-Stelle ergänzt, entsprechend zu B630, um sie von digitalisierten Analogwerten mit A=I (B630) zu unterscheiden (siehe Figuren 16 und 17). Sowohl B602 als auch B603 sind Bestandteil der digitalen Ausgangsdaten O₁ eines Prozessors i. In Figur 16 sind die Teile des abgespeicherten digitalisierten Analogwertes separat dargestellt, wie sie in dem Speichj erbereich abgelegt werden. Dabei ist B710 der digitalisiete Analogwert selbst, B720 die dazugehörige Kennuing und B730 das Analogbit, das in diesem Fall als 1 abzuspeichern ist. In Figur 17 ist eine Variante eines in dem gleichen Speicherbereich abgelegten Digitalwertes zu sehen. In B810 ist der Digitalwert selbst gespeichert, in B820 dazu optiona eine Kennung, die zum Beispiel darüber auskunft gibt, ob der Digitalwert überhaupt verglichen werden soll oder auch weitere Bedingungen für den Vergleich enthalten kann. In B830 ist dann der Wert 0 eingespeichert um zu kennzeichnen, dass es sich um einen Digitalwert handelt.

Zum Vergleich der zwischengespeicherten digitalen und analogen Signale werden die Reihenfolge der Abspeicherung und ggf. das A-Bit (B730 bzw. B830) sowie die Kennung B720 oder B820 in Verbindung mit dem gewandelten Digitalwert B710 bzw. der Digitalwert B810 geprüft. Es besteht auch die Möglichkeit, z.B. wegen unterschiedlicher Bitbreite, die analogen und die digitalen Signale in getrennten Speichern (zwei FIFOs) unterzubringen. Der Vergleich erfolgt dann ereignisgesteuert: immer wenn ein Wert eines Prozessors zur UVE übertragen wird, wird geprüft, ob die anderen beteiligten Prozessoren einen solchen Wert schon bereitgestellt haben. Sofern das nicht der Fall ist, wird der Wert im entsprechenden FIFO oder Speicher abgelegt, im anderen Fall der Vergleich unmittelbar durchgeführt, wobei auch hier der

FIFO als Speicher dienen kann. Ein Vergleich wird zum Beispiel immer dann dann absolviert, wenn die beteiligten FIFOs nicht leer sind. Bei mehr als zwei beteiligten Prozessoren bzw. Vergleichssignalen kann durch ein Voting ermittelt werden, ob alle Signale zur Verteilung zugelassen werden (fail silent Verhalten) oder ob ggf. nur durch ein Error-Signal der Fehlerzustand signalisiert wird.

Claims

Patentansprüche

1. Verfahren zur Umschaltung und zum Signalvergleich bei einem Rechnersystem mit wenigstens zwei Verarbeitungseinheiten, wobei Umschaltmittel vorgesehen sind und zwischen wenigstens zwei Betriebsmodi umgeschaltet wird, wobei Vergleichsmittel vorgesehen sind und ein erster Betriebsmodus einem Vergleichsmodus und ein zweiter Betriebsmodus einem Performanzmodus entspricht, dadurch gekennzeichnet, dass wenigstens zwei analoge Signale der Verarbeitungseinheiten verglichen werden, indem wenigstens ein analoges Signal in wenigstens einen digitalen Wert gewandelt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass wenigstens zwei der analogen Signale asynchron sein können.

3. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das digitale Signal für eine vorgebbare Zeit zwischengespeichert wird, damit ein direkter Vergleich erfolgen kann.

4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Wandlung wenigstens eines Signals in wenigstens einer Verarbeitungseinheit vorgenommen wird.

5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass wenigstens ein analoges Signal digital gewandelt wird, für eine vorgebbare Zeit gespeichert wird und für den Vergleich wieder in ein analoges Signal rückgewandelt wird.

6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass beide analogen Signale digital gewandelt werden, um dann digital zur gleichen Zeit durch Zwischenspeicherung wenigstens des gewandelten digitalen Wertes zum Vergleich zur Verfügung zu stehen.

7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der digitale Wert jedes Signals mehrere Bits umfasst und abhängig von einer vorgebbaren Genauigkeit eine entsprechend vorgebbare Anzahl an Bits miteinander verglichen werden.

8. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die analogen Signale und deren digitale Werte redundant miteinander verglichen werden.

9. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass bei der Wandlung in einen digitalen Wert dem analogen Signal eine Kennung zugeordnet wird.

10. Verfahren nach Anspruch 9, dadurch gekennzeichnet, dass die Kennungen zweier Signale die verglichen werden sollen zuordenbar sind, und nur solche Signale und/oder deren digitale Werte verglichen werden deren Kennungen zuordenbar sind.

11. Vorrichtung zur Umschaltung und zum Signalvergleich bei einem Rechnersystem mit wenigstens zwei Verarbeitungseinheiten, wobei Umschaltmittel vorgesehen sind und zwischen wenigstens zwei Betriebsmodi umgeschaltet wird, wobei Vergleichsmittel vorgesehen sind und ein erster Betriebsmodus einem Vergleichsmodus und ein zweiter

Betriebsmodus einem Performanzmodus entspricht, dadurch gekennzeichnet, dass wenigstens zwei analoge Signale der Verarbeitungseinheiten verglichen werden, und ein Analog-Digital- Wandler enthalten ist, wobei wenigstens eines der analogen Signale in wenigstens einen digitalen Wert gewandelt wird.

12. Vorrichtung nach Anspruch 11, dadurch gekennzeichnet, dass wenigstens zwei der analogen Signale asynchron sein können.

13. Vorrichtung nach einem der Ansprüche 11 bis 12, dadurch gekennzeichnet, dass das digitale Signal für eine vorgebbare Zeit zwischengespeichert wird, damit ein direkter Vergleich erfolgen kann.

14. Vorrichtung nach einem der Ansprüche 11 bis 13, dadurch gekennzeichnet, dass die Wandlung wenigstens eines Signals in wenigstens einer Verarbeitungseinheit vorgenommen wird.