WO2015068207A1 - プログラマブルデバイス - Google Patents

プログラマブルデバイス Download PDF

Info

Publication number
WO2015068207A1
WO2015068207A1 PCT/JP2013/079916 JP2013079916W WO2015068207A1 WO 2015068207 A1 WO2015068207 A1 WO 2015068207A1 JP 2013079916 W JP2013079916 W JP 2013079916W WO 2015068207 A1 WO2015068207 A1 WO 2015068207A1
Authority
WO
WIPO (PCT)
Prior art keywords
circuit
error
circuits
copy
logic circuit
Prior art date
Application number
PCT/JP2013/079916
Other languages
English (en)
French (fr)
Inventor
山田　弘道
山田　勉
島村　光太郎
雄介 菅野
真 佐圓
鳥羽　忠信
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to PCT/JP2013/079916 priority Critical patent/WO2015068207A1/ja
Priority to JP2015546177A priority patent/JPWO2015068207A1/ja
Publication of WO2015068207A1 publication Critical patent/WO2015068207A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H03—ELECTRONIC CIRCUITRY
    • H03K—PULSE TECHNIQUE
    • H03K19/00—Logic circuits, i.e. having at least two inputs acting on one output; Inverting circuits
    • H03K19/02—Logic circuits, i.e. having at least two inputs acting on one output; Inverting circuits using specified components
    • H03K19/173—Logic circuits, i.e. having at least two inputs acting on one output; Inverting circuits using specified components using elementary logic circuits as components
    • H03K19/177—Logic circuits, i.e. having at least two inputs acting on one output; Inverting circuits using specified components using elementary logic circuits as components arranged in matrix form
    • H03K19/17748—Structural details of configuration resources
    • H03K19/17764—Structural details of configuration resources for reliability
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1415—Saving, restoring, recovering or retrying at system level
    • G06F11/142—Reconfiguring to eliminate the error
    • H—ELECTRICITY
    • H03—ELECTRONIC CIRCUITRY
    • H03K—PULSE TECHNIQUE
    • H03K19/00—Logic circuits, i.e. having at least two inputs acting on one output; Inverting circuits
    • H03K19/003—Modifications for increasing the reliability for protection
    • H03K19/00392—Modifications for increasing the reliability for protection by circuit redundancy
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G06F11/183—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits by voting, the voting not being performed by the redundant components

Definitions

  • the present invention relates to a technique effective when applied to a programmable device in which an internal logic circuit can be defined and changed by a user after manufacture.
  • FPGA Field Programmable Gate Array
  • the logic circuit information When power is turned on to the FPGA, the logic circuit information is loaded into the internal CRAM (configuration RAM), and the FPGA determines the logic circuit and starts operation. To do.
  • CRAM configuration RAM
  • the FPGA determines the logic circuit and starts operation.
  • a soft error occurs in the CRAM due to the influence of cosmic rays and the logic circuit information is rewritten, and the logic circuit is changed to a wrong function (failed) and malfunctions.
  • a triple as a method of preventing an output error even if a logic circuit fails.
  • the majority of the output of the triple logic circuit is processed, and when the result becomes 2 to 1, the result of which the two match is selected.
  • the logic circuit that outputs a result that does not match is regarded as a failure and stops its operation.
  • Such triplet is called non-repair triplet. Designing a non-repair triple circuit as a logic circuit is effective to some extent against FPGA soft error countermeasures. However, if one logic circuit fails, majority processing can no longer be performed. If one of them fails, an output error cannot be prevented.
  • Some of the latest FPGAs have a dynamic partial reconfiguration function, and a part of logic circuit information can be reloaded from an external flash ROM to CRAM during operation. If this function is used, when the output of the triple logic circuit is divided into two-to-one, it is considered that the logic circuit that has output that does not match is faulty, and the logic circuit information in the CRAM is It can be reloaded to repair a failed logic circuit. Even if the logic circuit is repaired, the data held by the sequential circuit FF (flip-flop) does not always match the normal logic circuit. Therefore, a method of copying and matching data from the FF at the same position of the normal logic circuit to the FF of the repaired logic circuit can be considered.
  • Patent Document 1 discloses that in an FPGA having a dynamic partial reconfiguration function, a logic circuit is tripled and majority processing is performed, and when an error is detected, an unused portion of the FPGA is replaced.
  • a method is disclosed in which a logic circuit is configured and data is copied in one cycle from all FFs of a normal logic circuit to all FFs of the newly configured logic circuit.
  • Such a triple that can repair a failed logic circuit is called a repair triple.
  • the repair system triple even if a logic circuit breaks down, it can be repaired and the original triple can be restored, so that higher reliability can be obtained than the non-repair system triple.
  • the logic circuit for generating the copy data and the wiring between the FFs are required for the number of FFs, which consumes the logic cells and wiring resources of the FPGA and deteriorates the mounting efficiency, and the maximum delay. There was a problem that power consumption increased.
  • An object of the present invention is to provide a technology for realizing a triple repair system of an FPGA while suppressing the consumption of the logic cells and wiring resources of the FPGA.
  • a programmable device having a dynamic partial reconfiguration function for reloading a part of logic circuit information from an external storage medium during operation, a triple logic circuit, and a large number of outputs of the triple logic circuit
  • the input data of some sequential circuits is one of the other two Is output to the logic circuit as copy data, and the copy data from another logic circuit and the data generated by the own logic circuit are selected and input to the sequential circuit.
  • a copy circuit configured as described above, and error control for executing partial reconfiguration by inputting the error signal and overwriting logic circuit information on the configuration memory of the logic circuit in which an error has occurred by the partial reconfiguration function
  • the sequential circuit from the logic circuit that is operating normally to the logic circuit in which the error has occurred is changed to a multistage number of sequential circuits that are not connected to the copy circuit.
  • a sequential circuit copy control circuit for executing control for copying by applying a plurality of corresponding copy cycles is provided.
  • the copy circuit selects input data or output data to some sequential circuits in each of the triple logic circuits. Output to one of the other two logic circuits as copy data, and select the copy data from the other logic circuit and the data generated by its own logic circuit and input to the sequential circuit. It is characterized by being.
  • the number of copy cycles corresponding to the multi-stage number of sequential circuits not connected to the copy circuit has an allowable value.
  • the copy circuit is connected to a sequential circuit in the middle of a sequence circuit sequence not connected to the multi-stage continuous copy circuit, thereby reducing the number of copy cycles required for copying all the sequential circuits. It is characterized by that.
  • a copy circuit is connected to a part of the sequential circuit, and a plurality of copy cycles corresponding to the number of stages of the sequential circuit not connected to the copy circuit is performed.
  • FIG. 3 is an equivalent logic diagram of the majority circuit in the first embodiment.
  • 3 is a truth table of the majority circuit in the first embodiment.
  • 3 is a process flowchart of an error control circuit according to the first exemplary embodiment.
  • 3 is a flowchart of error processing of a triple logic circuit MA according to the first embodiment.
  • 3 is a timing chart of error processing of the logic circuit MA1 according to the first embodiment.
  • FIG. 2 is a block diagram of a triple logic circuit MA and an FF copy control circuit (FFCOPY) in Embodiment 1.
  • FIG. 2 is a configuration diagram of an FF copying circuit from a triple logic circuit MA0 to MA1 in Embodiment 1.
  • FIG. 3 is a timing chart of FF copying from a triple logic circuit MA0 to MA1 in the first embodiment. It is an example of a timing chart of copying failure. It is an example of a timing chart of successful copying.
  • FIG. 1 shows a first embodiment to which the present invention is applied.
  • a logic circuit is tripled and majority processing is performed, and a failed logic circuit is reloaded into a CRAM.
  • FIG. 3 is a block diagram of a repair-type triple logic circuit configured to be able to copy data from another logic circuit to a repair and a part of the FF of the repaired logic circuit.
  • the logic circuit information of the FPGA 1 is held in an external flash ROM (FR) 2.
  • FR external flash ROM
  • the FPGA 1 includes a user logic circuit 3, a CRAM 4, and a CRAM access interface circuit (CRAM_ACC_IF) 5.
  • the user logic circuit 3 includes three types of logic circuits MA, MB, and MC, each of which is tripled.
  • MA is tripled into MA0 (10), MA1 (11), and MA2 (12), processes the input signal INA, and outputs 13, 14, and 15 are majority determined by the majority circuit V16 (V is an abbreviation for Voter).
  • the output signal OUTA is processed, and the error signal 18 at the time of occurrence of the error is input to the error control circuit ERRNG40.
  • the logic circuit MB is tripled into MB0 (20), MB1 (21), and MB2 (22), processes the input signal INB, and outputs 23, 24, and 25 are processed by the majority circuit V26 to output the output signal 27.
  • the error signal 28 is input to the ERRNG 40.
  • the logic circuit MC is tripled to MC0 (30), MC1 (31), MC2 (32), processes the signal 27, and outputs 33, 34, 35 are processed by the majority circuit V36 to become an output signal OUTC.
  • the error signal 38 is input to the ERRNG 40.
  • CRAM 4 includes triple logic circuits MA0, MA1, MA2, MB0, MB1, MB2, MC0, MC1, MC2, and majority circuit V, error control circuit ERRMNG, partial reconfiguration control circuit PTRCFG, and FF copy control circuit FFCOPY. An area for storing logic circuit information is divided.
  • PTRCFG 50 designates the address area of FR2 and CRAM4 where the information of the failed logic circuit is stored in CRAM_ACC_IF5, and requests reloading from FR2 to CRAM4 (51).
  • the CRAM_ACC_IF 5 outputs an address to the FR 2 in accordance with the request 51 (6), reads the logic circuit information (7), outputs the address and the logic circuit information to the CRAM 4 and performs overwriting (8).
  • the CRAM_ACC_IF 5 outputs an end signal 9 to the PTRCFG 50
  • the PTFRFG 50 outputs an end signal 52 to the ERRNG 40.
  • ERRMNG 40 requests the FF copy control circuit FFCOPY 60 to make an FF copy of the repaired logic circuit (42).
  • the FFCOPY 60 executes FF copying of the failed logic circuit in accordance with the request 42.
  • 61 is an MA copy control signal
  • 62 is an MB copy control signal
  • 63 is an MC copy control signal.
  • the FFCOPY 60 outputs an end signal 64, and the ERRMNG 40 recognizes that the repair of the logic circuit that detected the error has been completed. If the repaired logic circuit is operating normally, the majority circuit error output should disappear. If an error is output from the same logic circuit, it is not a CRAM soft error but a logic circuit hardware failure is suspected.
  • ERRMNG 40 confirms whether the error disappears after the repair, and if it does not disappear, outputs an error signal ERR to notify the system of the abnormality.
  • the ERRMNG 40 may have a register or a memory for recording information on the occurrence of an error. As information to be stored, an identifier of a module in which an error has occurred, the number of times an error has occurred, an error occurrence timing, and the like can be considered.
  • FIG. 2 is an equivalent logic diagram of the majority circuit V in the first embodiment.
  • the output signals of the triple logic circuit are input to vin0, vin1, and vin2, respectively.
  • N circuits are connected for each bit.
  • vout is a majority output signal
  • err [1: 0] is an error signal.
  • FIG. 3 is a truth table of the majority circuit V in the first embodiment.
  • the input signals vin0, vin1, and vin2 each take a value of 0 or 1, and there are 8 combinations.
  • the majority output signal vout outputs the larger value of the three inputs.
  • the error signal err [1: 0] is 00 (no error) when all three input signals match, and the input signal identification number that does not match when divided into 2: 1 (in the case of vin0, 01, in case of vin1) 10. When vin2, 11) is output.
  • FIG. 4 is a process flowchart of the error control circuit ERRNG 40 in the first embodiment.
  • process P1 the error signals of the majority circuits (V) 16, 26, and 36 are checked. If there is no error in the branch process S1, the process ends. If there is an error, the process proceeds to branch process S2, and if MA is an error, MA error process (P2) is executed. If MA is not an error, the process proceeds to branch process S3. If MB is an error, MB error process (P3) is executed. If the MB is not an error, MC error processing (P4) is executed. If a plurality of MAs, MBs, and MCs are in error, error processing is executed with a priority order of MA> MB> MC.
  • FIG. 5 is a flowchart of error processing of the triple logic circuit MA in the first embodiment.
  • the error signal 18 of the majority circuit (V) 16 is checked. If MA0 is an error in branch processing S20, MA0 is partially reconfigured in process P21, and FF of MA0 is copied from MA2 in process P22. If MA0 is not an error, the process proceeds to branch process S21. If MA1 is an error, MA1 is partially reconfigured in process P23, and FF of MA1 is copied from MA0 in process P24. If MA1 is not an error, MA2 is partially reconstructed in process P25, and the FF of MA2 is copied from MA1 in process P26.
  • FIG. 6 is a timing chart example of MA1 error processing in the first embodiment. It is assumed that the logic circuit information (CRAM) of MA0, MA1, and MA2 is normal in the cycle in which the clock clk is 1. Since the user logic circuits (MA0, MA1, MA2) operate normally and the inputs of the majority circuit (V) match, vout is normal and err is error free. If a soft error occurs in the MA1 logic circuit information on the CRAM in the cycle where the clock clk is 4 and a failure occurs (information error), the MA1 logic circuit fails (function error) and malfunctions.
  • CRAM logic circuit information
  • the MA2 logic circuit fails and malfunctions.
  • MA0 and MA1 match the inputs of the majority circuit, and MA2 does not match the others, so the outputs of MA0 and MA1 are regarded as normal values for vout. And that err is output that MA2 is an error.
  • MA2 is repaired by partial reconstruction and FF copying.
  • the repair system triple prevents the two logic circuits from failing at the same time by repairing the failed logic circuit and restoring the triple.
  • the free-run counter is an N-bit FF with a reset input (rst) and is initialized to all 0s by rst. When rst is released, the free-run counter is incremented by 1 every time the clock clk is input. The free-run counter adds 1 to the output data q by an incrementer to obtain FF input data d.
  • the output data q forms a feedback loop for determining the input data d, and FF copying is essential to update the FF.
  • the next state d is determined in the combinational circuit C by the output data q of the FF which is the current state and the input i.
  • the output data q of the FF forms a feedback loop that determines the input data d, and FF copying is essential to update the FF.
  • the non-enable register is a temporary storage circuit for data that does not form a feedback loop.
  • the input data d of the FF becomes output data q with a delay of one clock cycle. In this type, the output data q of the FF does not affect the input data d, and if d becomes normal, q becomes normal in the next cycle, so the necessity for FF copying is low.
  • (1) the free-run counter and (2) the state machine require FF copying, and the registers (3) and (4) may be written with a normal input d within an allowable cycle time. Copy only at low points. A part of the FFs of the logic circuit are copied to normalize, and the other FFs wait until the input becomes normal as the cycle progresses and is written and normalized.
  • FIG. 8 is a block diagram of the triple logic circuit MA and the FF copy control circuit (FFCOPY) in the first embodiment.
  • F is a register without enable and FE is a register with enable.
  • C is a combinational circuit.
  • the first and fourth FFs are copied and the second and third FFs are not copied.
  • 70 is copy data from MA0 to MA1
  • 71 is copy data from MA1 to MA2
  • 72 is copy data from MA2 to MA0.
  • the FFCOPY 60 executes the FF copy of the failed logic circuit in accordance with the FF copy request 42 from the error control circuit ERRMNG 40.
  • Reference numeral 610 denotes FF copy control of MA0
  • 611 denotes FF copy control of MA1
  • 612 denotes FF copy control of MA2.
  • the MA copy control signal 61 in FIG. 1 is a bundle of three signals 610, 611 and 612.
  • the FFCOPY 60 has a copy cycle setting information storage unit CPCYC 65, and executes copying according to the stored information (cycle).
  • the CPCYC65 stored information may be a constant or a variable (register setting).
  • FIG. 9 is a configuration diagram of the FF copying circuit from the triple logic circuit MA0 to MA1 in the first embodiment.
  • MA0 10
  • the outputs d101 and en102 of the combinational circuit 100 are the input data and enable of the FF (FE) 107 with enable before the copying circuit is added.
  • ma2_ff_out72 is copy data from MA2 (not shown).
  • copy_ff_ma0 (610) is an FF copy control signal of MA0.
  • the multiplexer MUX 103 generates the input data d_mux 104 of the FE 107. When copy_ff_ma0 (610) is 0, d101 is selected, and when it is 1, ma2_ff_out72 is selected.
  • the logical sum circuit 105 generates the enable 106 of the FE 107 (logical sum of en102 and copy_ff_ma0 (610)).
  • the multiplexer MUX 109 generates copy data ma0_ff_out70 from MA0 to MA1.
  • en102 is 0, the output data q108 of the FE 107 is selected, and when it is 1, d101 is selected.
  • the internal configuration of MA1 is the same as MA0.
  • ma0_ff_out70 becomes FE output data q108 when en102 is 0, and becomes d101 when en102 is 1, and becomes data held by the FE 107 in the next cycle.
  • copy_ff_ma1) 1, which coincides with the data held in FE 107 of MA0 in the next cycle.
  • FIG. 10 is a timing chart of FF copying from the triple logic circuit MA0 to MA1 in the first embodiment.
  • FF is a 4-bit enabled register.
  • the FF input data d, the FF output data q, and the FF copy data ma0_ff_out are expressed as 4-bit binary numbers.
  • clk the FF input data d, enable en, and output data q do not match between MA0 and MA1.
  • the FF copy control signal copy_ff_ma1 from MA0 to MA1 is asserted in a cycle in which clk is 2.
  • FIG. 11 is a timing chart of copying failure due to one-cycle copying.
  • FIG. 12 is a timing chart of successful copying by multiple cycle copying. Since there are two FFs that do not perform FF copying before the fourth stage FF with enable, the arrival of correct data is delayed by two cycles. Therefore, FF copying is performed in 3 cycles with 2 cycles added. By doing so, it becomes possible to copy only a part of the FFs and normalize the entire FFs.
  • the logic circuits MA0 (10), MA1 (11), and MA2 (12) in FIG. 8 copied only the FF (FE) with enable and did not copy the FF (F) without enable. FF copying may be effective.
  • a copy cycle until the entire FF is made normal can be shortened by configuring the FF in the middle to be copied. For example, when 100 stages of FFs are connected, if copying is not performed at all, 100 cycles are required until correct data is output from the 100th stage of FFs. Halve to 51 cycles.
  • an embodiment in which the non-enable FF is copied is also conceivable.
  • ERRNGG40, PTFCFG50, and FFCOPY60 are doubled and the respective output signals are compared to detect a failure is also conceivable. Since ERRMNG 40, PTFCFG 50, and FFCOPY 60 are also made of FPGA user logic circuits, there is a possibility that the logic circuits may fail due to CRAM soft errors.
  • both logic circuits When one of the duplicated logic circuits is the main logic circuit and the other is the auxiliary logic circuit, the outputs of both logic circuits are compared, and if they match, the output of the main logic circuit is used. If an error occurs, both logic circuits can be partially reconfigured and restarted by initialization. Since all of ERRMNG40, PTRCFG50, and FFCOPY60 are not large in circuit scale, the time required for partial reconfiguration is not large. Therefore, when a failure is detected in these circuits, these functions are stopped, and partial reconfiguration is performed. Let it resume.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Mathematical Physics (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • General Physics & Mathematics (AREA)
  • Hardware Redundancy (AREA)
  • Logic Circuits (AREA)

Abstract

　動的部分再構成機能を有するプログラマブルデバイスにおいて、論理回路を３重化して多数決を行い、誤りを検出すると故障した論理回路を部分再構成し、順序回路の複写用論理セルと配線のリソース消費を抑えて、その全ての順序回路を正しいデータに更新して３重化を復旧させる。　そのために、各論理回路において一部のＦＦの入力データを他の論理回路に複写用として出力するとともに、他の論理回路からの複写用データと自身の入力データを選択するように構成し、多数決処理で誤りを検出すると故障と判定した論理回路情報をＣＲＡＭに再ロードして修理し、その複写可能に構成されたＦＦを論理回路独自に設定されるサイクル数をかけて複写を行い、複写が完了すると３重化を復旧する手段を提供する。

Description

プログラマブルデバイス
　本発明は、製造後にユーザによって内部論理回路を定義・変更できるプログラマブルデバイスに適用して有効な技術に関する。
　家電製品、ＡＶ機器、携帯電話、自動車、産業機械等の機器には、専用ＬＳＩ（ＡＳＩＣ）が数多く使用されているが、機器の高性能化・高機能化・小型化・低消費電力化・低コスト化に欠かせない重要な部品である。近年半導体プロセスの微細化により開発費が高騰し、ＡＳＩＣの開発が困難になってきている。内部論理回路が固定のＡＳＩＣに対し、ユーザによって内部論理回路を定義・変更できるプログラマブルデバイスであるＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）はＡＳＩＣと比べると製品価格は高いが開発費が安価であるため、特に少量多品種の開発が主体となる産業機器においてはＦＰＧＡの活用が期待されている。ＦＰＧＡの論理回路情報は外部のフラッシュＲＯＭに保持されており、ＦＰＧＡに電源が投入されると論理回路情報が内部のＣＲＡＭ（コンフィギュレーションＲＡＭ）にロードされ、ＦＰＧＡは論理回路が決定し動作を開始する。しかしながら、宇宙線の影響によりＣＲＡＭにソフトエラーが発生して論理回路情報が書き変わり、論理回路が誤った機能に変更（故障）して誤動作するという課題があった。
　論理回路が故障しても出力を誤らなくする方法として３重化がある。３重化した論理回路の出力を多数決処理して、結果が２対１になったときには２つが一致する方の結果を選択する。一致しない結果を出力した論理回路は故障しているとみなし動作を停止させる。このような３重化は非修理系３重化と呼ばれる。論理回路を非修理系３重化の設計とすることはＦＰＧＡのソフトエラー対策にある程度有効であるが、１つの論理回路が故障してしまうと、もはや多数決処理は行えず、２つの論理回路のうちどちらかが故障すると、出力の誤りを防ぐことはできない。
　最新のＦＰＧＡには動的部分再構成機能を有するものがあり、論理回路情報の一部を動作中に外部のフラッシュＲＯＭからＣＲＡＭに再ロードすることができる。この機能を利用すれば、３重化した論理回路の出力が２対１に分かれた場合に、一致しない出力を出した論理回路が故障しているとみなして、ＣＲＡＭにあるその論理回路情報を再ロードして、故障した論理回路を修理することができる。論理回路が修理されても、順序回路であるＦＦ（フリップフロップ）が保持するデータは正常な論理回路と一致するとは限らない。そこで、修理した論理回路のＦＦに正常な論理回路の同じ位置のＦＦからデータを複写して一致させる方法が考えられる。
　特開２０１１－２１６０２０号公報(特許文献１)には、動的部分再構成機能を有するＦＰＧＡにおいて、論理回路を３重化して多数決処理を行い、誤りを検出するとＦＰＧＡの未使用部分に代わりの論理回路を構成し、その新たに構成した論理回路の全てのＦＦに正常な論理回路の全てのＦＦから１サイクルでデータを複写する方法が開示されている。このように故障した論理回路を修理できる３重化は修理系３重化と呼ばれる。修理系３重化は論理回路が故障しても修理して元の３重化を復旧できるため、非修理系３重化より高い信頼性を得ることができる。
特開２０１１－２１６０２０号公報
　特許文献１に開示される上記方法は、修理対象の論理回路の全てのＦＦを複写対象としている。実施例ではイネーブル無しＦＦの複写が記載されており、ＦＦの入力データを３重化している他の論理回路に複写データとして出力し、出力先のＦＦの入力部で自身の論理回路の入力データと選択するようにして、通常は自身の入力データを選択し、複写時には他の論理回路からの複写データを選択するようにしている。また、ＦＦにはイネーブル付きのタイプがあり、特許文献１には開示されていないが、イネーブルが０の場合は現在保持している信号を複写し、イネーブルが１の場合には入力データを複写する必要がある。全てのＦＦを複写対象にすると、複写データを生成する論理回路およびＦＦ間の配線がＦＦの個数分必要になり、ＦＰＧＡの論理セルと配線のリソースを消費して実装効率を悪化させ、最大ディレイと消費電力が増加するという問題があった。
　本発明の目的は、ＦＰＧＡの論理セルと配線のリソースの消費を抑えて、ＦＰＧＡの修理系３重化を実現する技術を提供することにある。
　上記課題を解決するために本発明では、電源が投入されると外部の記憶媒体に保持された論理回路情報を内部のコンフィギュレーションメモリにロードして論理回路を構成して動作を開始し、かつ動作中に論理回路情報の一部を外部の記憶媒体から再ロードする動的部分再構成機能を有するプログラマブルデバイスを、３重化した論理回路と、前記３重化した論理回路の出力を多数決して出力するとともに、出力が不一致となった論理回路を特定するエラー信号を出力する多数決回路と、前記３重化した論理回路のそれぞれにおいて、一部の順序回路の入力データを他の２つのいずれかの論理回路に複写データとして出力するとともに、他の論理回路からの複写データと自身の論理回路で生成したデータを選択して前記順序回路に入力するように構成された複写回路と、前記エラー信号を入力して、前記部分再構成機能によりエラーを発生した前記論理回路の前記コンフィギュレーションメモリ上の論理回路情報を上書きする部分再構成を実行するエラー制御回路と、エラーを発生した前記論理回路の部分再構成後に、エラーを発生した前記論理回路に正常に動作している論理回路から順序回路を、前記複写回路を接続しない順序回路の多段階数に応じた複数の複写サイクルを掛けて複写する制御を実行する順序回路複写制御回路を備えて構成した。
　また、上記課題を解決するために本発明では、前記プログラマブルデバイスにおいて、前記複写回路が、前記３重化した論理回路のそれぞれにおいて、一部の順序回路への入力データ、または出力データを選択して他の２つのいずれかの論理回路に複写データとして出力するとともに、他の論理回路からの複写データと自身の論理回路で生成したデータを選択して前記順序回路に入力するように構成されていることを特徴とする。
　また、上記課題を解決するために本発明では、前記プログラマブルデバイスの前記３重化した論理回路のそれぞれにおいて、前記複写回路を接続しない順序回路の多段階数に応じた複写サイクル数が許容値を超えないようにするために、多段に連続した前記複写回路を接続しない順序回路の列の途中の順序回路に、前記複写回路を接続して、全ての順序回路の複写に要する複写サイクル数を抑えたことを特徴とする。
　本発明のプログラマブルデバイスでは、３重化した論理回路のそれぞれにおいて、順序回路の一部に複写回路を接続して、前記複写回路を接続しない順序回路の多段階数に応じた複数の複写サイクルを掛けて全ての順序回路を複写する順序回路更新手段を備えることにより、従来方式と比べて少ない論理セルと配線リソースで実現できるため、ＦＰＧＡの実装効率が改善し、最大ディレイと消費電力の増加を軽減できる。
本発明を適用した第１の実施例で、動的部分再構成機能を有するＦＰＧＡにおいて、論理回路を３重化して多数決処理を行い、故障した論理回路のＣＲＡＭの再ロードによる修理と、修理した論理回路の一部のＦＦに他の論理回路からデータを複写可能に構成した修理系３重化論理回路のブロック図である。 実施例１における多数決回路の等価論理図である。 実施例１における多数決回路の真理値表である。 実施例１におけるエラー制御回路の処理フローチャートである。 実施例１における３重化論理回路ＭＡのエラー処理のフローチャートである。 実施例１における論理回路ＭＡ１のエラー処理のタイミングチャートである。 順序回路のＦＦの型の分類図である。 実施例１における３重化論理回路ＭＡとＦＦ複写制御回路（ＦＦＣＯＰＹ）のブロック図である。 実施例１における３重化論理回路ＭＡ０からＭＡ１へのＦＦ複写回路の構成図である。 実施例１における３重化論理回路ＭＡ０からＭＡ１へのＦＦ複写のタイミングチャートである。 複写失敗のタイミングチャートの例である。 複写成功のタイミングチャートの例である。
　以下、図面を参照しながら、実施の形態について詳細に説明する。
　図１は本発明を適用した第１の実施例を示し、動的部分再構成機能を有するＦＰＧＡにおいて、論理回路を３重化して多数決処理を行い、故障した論理回路のＣＲＡＭへの再ロードによる修理と、修理した論理回路の一部のＦＦに他の論理回路からデータを複写可能に構成した修理系３重化論理回路のブロック図である。
　ＦＰＧＡ１は論理回路情報が外部のフラッシュＲＯＭ（ＦＲ）２に保持されており、ＦＰＧＡ１に電源が投入されると論理回路情報がＣＲＡＭ４にロードされ、ＦＰＧＡ１は論理回路が決定し動作を開始する。
  ＦＰＧＡ１の内部はユーザ論理回路３、ＣＲＡＭ４、ＣＲＡＭアクセスインタフェース回路（ＣＲＡＭ＿ＡＣＣ＿ＩＦ）５から構成される。ユーザ論理回路３には３種類の論理回路ＭＡ，ＭＢ，ＭＣがあり、それぞれ３重化されている。ＭＡはＭＡ０（１０），ＭＡ１（１１），ＭＡ２（１２）に３重化され、入力信号ＩＮＡをそれぞれ処理して、出力１３，１４，１５が多数決回路Ｖ１６（ＶはＶｏｔｅｒの略）で多数決処理されて出力信号ＯＵＴＡとなり、エラー発生時のエラー信号１８がエラー制御回路ＥＲＲＭＮＧ４０に入力される。論理回路ＭＢはＭＢ０（２０），ＭＢ１（２１），ＭＢ２（２２）に３重化され、入力信号ＩＮＢをそれぞれ処理して、出力２３，２４，２５が多数決回路Ｖ２６で処理されて出力信号２７となり、エラー信号２８がＥＲＲＭＮＧ４０に入力される。論理回路ＭＣはＭＣ０（３０），ＭＣ１（３１），ＭＣ２（３２）に３重化され、信号２７をそれぞれ処理して、出力３３，３４，３５が多数決回路Ｖ３６で処理されて出力信号ＯＵＴＣとなり、エラー信号３８がＥＲＲＭＮＧ４０に入力される。
　ＥＲＲＭＮＧ４０はエラー信号１８，２８，３８にエラーがあることを検出すると、部分再構成制御回路ＰＴＲＣＦＧ５０に故障した論理回路の部分再構成を要求する（４１）。ＣＲＡＭ４は３重化された論理回路ＭＡ０，ＭＡ１，ＭＡ２，ＭＢ０，ＭＢ１，ＭＢ２，ＭＣ０，ＭＣ１，ＭＣ２および、多数決回路Ｖ、エラー制御回路ＥＲＲＭＮＧ、部分再構成制御回路ＰＴＲＣＦＧ、ＦＦ複写制御回路ＦＦＣＯＰＹの論理回路情報を記憶する領域が分かれている。
　ＰＴＲＣＦＧ５０はＣＲＡＭ＿ＡＣＣ＿ＩＦ５に故障した論理回路の情報が記憶されているＦＲ２のアドレス領域とＣＲＡＭ４のアドレス領域を指定し、ＦＲ２からＣＲＡＭ４への再ロードを要求する（５１）。ＣＲＡＭ＿ＡＣＣ＿ＩＦ５は要求５１に従い、ＦＲ２にアドレスを出力して（６）、論理回路情報を読み出し（７）、ＣＲＡＭ４にアドレスと論理回路情報を出力して上書きを行う（８）。再ロードが終了すると、ＣＲＡＭ＿ＡＣＣ＿ＩＦ５は終了信号９をＰＴＲＣＦＧ５０に出力し、ＰＴＲＣＦＧ５０は終了信号５２をＥＲＲＭＮＧ４０に出力する。ＥＲＲＭＮＧ４０はＦＦ複写制御回路ＦＦＣＯＰＹ６０に修理した論理回路のＦＦ複写を要求する（４２）。ＦＦＣＯＰＹ６０は要求４２に従い、故障した論理回路のＦＦ複写を実行する。６１はＭＡの複写制御信号、６２はＭＢの複写制御信号、６３はＭＣの複写制御信号である。複写が終了すると、ＦＦＣＯＰＹ６０は終了信号６４を出力し、ＥＲＲＭＮＧ４０はエラーを検出した論理回路の修理が完了したことを認識する。修理した論理回路が正常に動作しているならば、多数決回路のエラー出力は無くなるはずである。もし同じ論理回路からエラーが出力されるならＣＲＡＭのソフトエラーではなく、論理回路のハード故障が疑われる。ＥＲＲＭＮＧ４０は修理後にエラーが無くなるかを確認し、無くならない場合は外部にエラー信号ＥＲＲを出力し、システムに異常を通知する。ＥＲＲＭＮＧ４０はエラー発生の情報を記録するレジスタあるいはメモリを有することもできる。記憶する情報としては、エラーを発生したモジュールの識別子、エラーの発生回数、エラーの発生タイミングなどが考えられる。
　図２は実施例１における多数決回路Ｖの等価論理図である。ｖｉｎ０，ｖｉｎ１，ｖｉｎ２にはそれぞれ３重化された論理回路の出力信号を入力する。出力信号がＮビットある場合には、Ｎ個の回路をビットごとに接続する。ｖｏｕｔは多数決出力信号、ｅｒｒ［１：０］はエラー信号である。
　図３は実施例１における多数決回路Ｖの真理値表である。入力信号ｖｉｎ０，ｖｉｎ１，ｖｉｎ２はそれぞれ０または１の値をとり、組み合わせは８通りである。多数決出力信号ｖｏｕｔは３入力の多い方の値を出力する。エラー信号ｅｒｒ［１：０］は３つの入力信号が全て一致する場合には００（エラー無し）、２対１に分かれる場合には一致しない入力信号の識別番号（ｖｉｎ０の場合０１、ｖｉｎ１の場合１０、ｖｉｎ２の場合１１）を出力する。
　図４は実施例１におけるエラー制御回路ＥＲＲＭＮＧ４０の処理フローチャートである。処理Ｐ１において多数決回路（Ｖ）１６，２６，３６のエラー信号をチェックする。分岐処理Ｓ１において、エラーが無い場合には終了となる。エラーがある場合は分岐処理Ｓ２へ移り、ＭＡがエラーの場合はＭＡのエラー処理（Ｐ２）を実行する。ＭＡがエラーでない場合には分岐処理Ｓ３へ移り、ＭＢがエラーの場合はＭＢのエラー処理（Ｐ３）を実行する。ＭＢがエラーでない場合にはＭＣのエラー処理（Ｐ４）を実行する。ＭＡ，ＭＢ，ＭＣの複数がエラーの場合は、ＭＡ＞ＭＢ＞ＭＣの優先順位でエラー処理が実行される。
　図５は実施例１における３重化論理回路ＭＡのエラー処理のフローチャートである。処理Ｐ２０において多数決回路（Ｖ）１６のエラー信号１８をチェックする。分岐処理Ｓ２０においてＭＡ０がエラーの場合は処理Ｐ２１でＭＡ０を部分再構成し、処理Ｐ２２でＭＡ０のＦＦをＭＡ２より複写する。ＭＡ０がエラーでない場合には分岐処理Ｓ２１へ移り、ＭＡ１がエラーの場合は処理Ｐ２３でＭＡ１を部分再構成し、処理Ｐ２４でＭＡ１のＦＦをＭＡ０より複写する。ＭＡ１がエラーでない場合には処理Ｐ２５でＭＡ２を部分再構成し、処理Ｐ２６でＭＡ２のＦＦをＭＡ１より複写する。
　図６は実施例１におけるＭＡ１のエラー処理のタイミングチャート例である。クロックｃｌｋが１のサイクルでは、ＭＡ０，ＭＡ１，ＭＡ２の論理回路情報（ＣＲＡＭ）は正常であるとする。ユーザ論理回路（ＭＡ０，ＭＡ１，ＭＡ２）は正常に動作し、多数決回路（Ｖ）の入力は一致するため、ｖｏｕｔは正常でｅｒｒはエラー無しとなる。
  クロックｃｌｋが４のサイクルで、ＣＲＡＭ上のＭＡ１の論理回路情報にソフトエラーが発生して故障(情報のエラー)すると、ＭＡ１の論理回路が故障(機能のエラー)して誤動作となる。
  クロックｃｌｋが７のサイクルで誤動作の影響が出力に現れると、多数決回路の入力はＭＡ０とＭＡ２が一致し、ＭＡ１が他と不一致となるため、ｖｏｕｔにはＭＡ０およびＭＡ２の出力を正常な値とみなして出力し、ｅｒｒにはＭＡ１がエラーであることを出力する。
  ＥＲＲＭＮＧ４０はＰＴＲＣＦＧ５０にＭＡ１の再構成を要求する（ｃｌｋ＝１０）。
  ＰＴＲＣＦＧ５０はＣＲＡＭ＿ＡＣＣ＿ＩＦ５に要求を出し、ＭＡ１の論理回路情報を外部のフラッシュＲＯＭ２からＣＲＡＭ４にロードさせる。論理回路情報のロードに要する時間(再構成時間)は、ＭＡ１の回路規模に依存するが、本実施例では１２００ｃｌｋ要するとする。
  ロードが完了すると（ｃｌｋ＝１２１５）、ＥＲＲＭＮＧ４０はＦＦＣＯＰＹ６０にＦＦ複写を要求し、ＦＦＣＯＰＹ６０は修理された論理回路ＭＡ１のＦＦ複写を実行する（ｃｌｋ＝１２２０）。状態故障(ゲートや配線(回路)は正しく直ったが、ＦＦの値は間違っている状態)していたＭＡ１が正常になったため、多数決回路の入力は一致するようになりｅｒｒはエラー無しとなる。
　クロックｃｌｋが１３０２のサイクルで、ＣＲＡＭ上のＭＡ２の論理回路情報にソフトエラーが発生して故障すると、ＭＡ２の論理回路が故障して誤動作となる。ｃｌｋが１３０５のサイクルで誤動作の影響が出力に現れると、多数決回路の入力はＭＡ０とＭＡ１が一致し、ＭＡ２が他と不一致となるため、ｖｏｕｔにはＭＡ０およびＭＡ１の出力を正常な値とみなして出力し、ｅｒｒにはＭＡ２がエラーであることを出力する。ＭＡ１の場合と同様に、部分再構成とＦＦ複写によってＭＡ２の修理が実行される。以上のように修理系３重化は故障した論理回路を修理して３重化を復旧させることによって、２つの論理回路が同時に故障することを防いでいる。
　本発明の特徴であるＦＦの部分複写の説明をする前に、図７を用いて順序回路であるＦＦの型について説明する。
  （１）フリーランカウンタはリセット入力（ｒｓｔ）付きのＮビットのＦＦで、ｒｓｔで全ビット０に初期化され、ｒｓｔが解除されるとクロックｃｌｋが入力されるごとに１ずつカウントアップする。フリーランカウンタは、出力データｑをインクリメンタで１加算し、ＦＦの入力データｄとする。出力データｑが入力データｄを決定するフィードバックループを形成しており、ＦＦを更新するためにはＦＦ複写が必須である。
  （２）ステートマシンは現在のステートであるＦＦの出力データｑと入力ｉにより組合わせ回路Ｃにおいて次のステートｄが決まる。ステートマシンでは、ＦＦの出力データｑが入力データｄを決定するフィードバックループを形成しており、ＦＦを更新するためにはＦＦ複写が必須である。
  （３）イネーブル無しレジスタはフィードバックループを形成しないデータの一時記憶回路である。ＦＦの入力データｄが１クロックサイクル遅れで出力データｑとなる。この型はＦＦの出力データｑが入力データｄに影響を与えず、ｄが正常になれば次のサイクルでｑが正常となるためＦＦ複写の必要性は低い。ただし、この型のＦＦが多段に接続されている場合には、初段のＦＦの入力が正常になってから最終段のＦＦの出力が正常になるまでにＦＦの段数分のサイクルが必要であることを考慮しなくてはならない。
  （４）イネーブル付きレジスタはイネーブルｅｎが１の場合の入力データｄが１クロック遅れで出力データｑとなる。この型はＦＦの出力データｑが入力データｄに影響を与えないが、ｄが正常になってもイネーブルｅｎが１にならないとｑが更新されない。ＦＦ複写の必要性はｅｎの頻度に依存し、ｅｎが１になる頻度が高ければＦＦ複写の必要性は低いが、頻度が低ければその必要性は高い。
　本発明では、（１）フリーランカウンタと（２）ステートマシンはＦＦ複写を必須とし、（３）と（４）のレジスタは、許容できるサイクル時間内に正常な入力ｄが書き込まれる可能性が低い個所だけ複写を行うようにする。論理回路の一部のＦＦを複写して正常にし、その他のＦＦはサイクルの経過によって入力が正常になり、それが書き込まれて正常化するまで待つ。
　図８は実施例１における３重化論理回路ＭＡとＦＦ複写制御回路（ＦＦＣＯＰＹ）のブロック図である。論理回路ＭＡ０（１０），ＭＡ１（１１），ＭＡ２（１２）において、Ｆはイネーブル無しレジスタ、ＦＥはイネーブル付きレジスタである。Ｃは組み合わせ回路である。この実施例では１段目と４段目のＦＦを複写し、２段目と３段目のＦＦは複写しない。７０はＭＡ０からＭＡ１への複写データ、７１はＭＡ１からＭＡ２への複写データ、７２はＭＡ２からＭＡ０への複写データである。ＦＦＣＯＰＹ６０はエラー制御回路ＥＲＲＭＮＧ４０からのＦＦ複写要求４２に従い、故障した論理回路のＦＦ複写を実行する。６１０はＭＡ０のＦＦ複写制御、６１１はＭＡ１のＦＦ複写制御、６１２はＭＡ２のＦＦ複写制御である。図１におけるＭＡの複写制御信号６１は、６１０，６１１，６１２の３本を束ねたものである。ＦＦＣＯＰＹ６０には複写サイクル設定情報記憶部ＣＰＣＹＣ６５があり、この記憶情報(サイクル)に従って複写を実行する。ＣＰＣＹＣ６５記憶情報は定数でも変数（レジスタ設定）でも良い。ＦＦＣＯＰＹ６０はＦＦ複写を実行するとＥＲＲＭＮＧ４０に終了信号６４を出力する。
　図９は実施例１における３重化論理回路ＭＡ０からＭＡ１へのＦＦ複写回路の構成図である。ＭＡ０（１０）において、組み合わせ回路１００の出力ｄ１０１とｅｎ１０２は複写回路を付加する前のイネーブル付きＦＦ（ＦＥ）１０７の入力データとイネーブルである。ｍａ２＿ｆｆ＿ｏｕｔ７２は図示していないＭＡ２からの複写データである。ｃｏｐｙ＿ｆｆ＿ｍａ０（６１０）はＭＡ０のＦＦ複写制御信号である。マルチプレクサＭＵＸ１０３はＦＥ１０７の入力データｄ＿ｍｕｘ１０４を生成し、ｃｏｐｙ＿ｆｆ＿ｍａ０（６１０）が０の場合はｄ１０１を選択し、１の場合はｍａ２＿ｆｆ＿ｏｕｔ７２を選択する。論理和回路１０５はＦＥ１０７のイネーブル１０６を生成する（ｅｎ１０２とｃｏｐｙ＿ｆｆ＿ｍａ０（６１０）の論理和）。マルチプレクサＭＵＸ１０９はＭＡ０からＭＡ１への複写データｍａ０＿ｆｆ＿ｏｕｔ７０を生成し、ｅｎ１０２が０の場合はＦＥ１０７の出力データｑ１０８を選択し、１の場合はｄ１０１を選択する。ＭＡ１の内部構成はＭＡ０と同じである。
　ＭＡ０からＭＡ１へのＦＦ複写を実行すると、ｃｏｐｙ＿ｆｆ＿ｍａ０＝０，ｃｏｐｙ＿ｆｆ＿ｍａ１＝１となる。ＭＡ０においては、ＦＥ１０７の入力データｄ＿ｍｕｘ１０４＝ｄ１０１，イネーブル１０６＝ｅｎ１０２となり、通常通りの動作となる。またｍａ０＿ｆｆ＿ｏｕｔ７０はｅｎ１０２が０の場合はＦＥ出力データｑ１０８となり、１の場合はｄ１０１となるので、次のサイクルでＦＥ１０７が保持するデータになる。ＭＡ１においては、ＦＥ１１７の入力データｄ＿ｍｕｘ１１４＝ｍａ０＿ｆｆ＿ｏｕｔ７０，イネーブル１１６＝（ｅｎ１１２｜ｃｏｐｙ＿ｆｆ＿ｍａ１）＝１となり、次のサイクルでＭＡ０のＦＥ１０７が保持するデータと一致する。
　図１０は実施例１における３重化論理回路ＭＡ０からＭＡ１へのＦＦ複写のタイミングチャートである。ＦＦは４ビットのイネーブル付きレジスタであるとする。ＦＦの入力データｄ、ＦＦの出力データｑ、ＦＦ複写データｍａ０＿ｆｆ＿ｏｕｔは４ビットの２進数として表記している。ｃｌｋが１のサイクルではＦＦの入力データｄ、イネーブルｅｎ、出力データｑがＭＡ０とＭＡ１で一致していない。ｃｌｋが２のサイクルでＭＡ０からＭＡ１へのＦＦ複写制御信号ｃｏｐｙ＿ｆｆ＿ｍａ１がアサートされる。ＭＡ０においてｅｎが１であるためＦＦ複写データｍａ０＿ｆｆ＿ｏｕｔは入力データｄ＝０１０１となり、ＭＡ０とＭＡ１のＦＦにデータ０１０１が書き込まれ、ｃｌｋが３のサイクルでＦＦの出力データｑがＭＡ０とＭＡ１で一致する。
　図１１と図１２を用いて複数サイクル複写の必要性について説明する。図１１は１サイクル複写による複写失敗のタイミングチャートである。論理回路は図８と同じ４段のＦＦが接続された構成とし、複写先のＦＦの信号を示している。ｃｌｋが１のサイクルで４つのＦＦは入力および出力が誤っているとする。１段目のイネーブル付きＦＦは図に示す６サイクルにはイネーブルｅｎ１がアサートされない。２段目と３段目はイネーブル無しのＦＦである。４段目のイネーブル付きＦＦはｃｌｋが１と４のサイクルでイネーブルｅｎ４がアサートされる。ｃｌｋが２のサイクルでＦＦ複写制御信号ｆｆ＿ｃｏｐｙがアサートされると、１段目と４段目のイネーブル付きＦＦに複写が行われ、ｃｌｋが３のサイクルで１段目のＦＦの出力データｑ１と４段目のＦＦの出力データｑ４が正しくなる。このサイクルでは２段目と３段目のイネーブル無しＦＦの出力データｑ２，ｑ３は誤っている。ｃｌｋが４のサイクルでｑ２が正しくなり、ｃｌｋが５のサイクルでｑ３が正しくなる。ところが、ｃｌｋが４のサイクルで４段目のイネーブル付きＦＦのイネーブルｅｎ４がアサートされてしまい、３段目のＦＦの誤った出力データｑ３で生成されたｄ４を書き込んでしまい、ｃｌｋが５のサイクルでｑ４は誤ったデータになってしまう。これを複写失敗と呼ぶ。このようにＦＦが多段に接続された構成で、前(入力側の接続)に複写を行わないＦＦが存在すると、自身は複写を実行して出力が正しくなったＦＦでも、その後の入力データが正しくなるまでにサイクルが必要となることが判る。
　図１２は複数サイクル複写による複写成功のタイミングチャートである。４段目のイネーブル付きＦＦの前にはＦＦ複写を行わないＦＦが２段あるので、正しいデータの到着が２サイクル遅れる。そこでＦＦ複写を２サイクル追加した３サイクルで行う。このようにすることで、一部のＦＦだけを複写して、全体のＦＦを正常にすることが可能になる。
　図８の論理回路ＭＡ０（１０），ＭＡ１（１１），ＭＡ２（１２）はイネーブル付きＦＦ（ＦＥ）だけを複写し、イネーブル無しＦＦ（Ｆ）を複写しなかったが、論理回路によってはイネーブル無しＦＦの複写が有効な場合がある。イネーブル無しＦＦが多段に接続される論理回路の場合、途中のＦＦを複写するように構成することで、全体のＦＦを正常にするまでの複写サイクルを短くできる。例えば、１００段のＦＦが接続されている場合、全く複写を行わなければ正しいデータが１００段目のＦＦから出力されるまでに１００サイクルを必要とするが、５０段目のＦＦを複写すれば５１サイクルに半減する。このように、イネーブル無しＦＦを複写するようにした実施例も考えられる。
　図１において、ＥＲＲＭＮＧ４０，ＰＴＲＣＦＧ５０，ＦＦＣＯＰＹ６０を２重化し、それぞれの出力信号を比較して故障を検出する構成とする実施例も考えられる。ＥＲＲＭＮＧ４０，ＰＴＲＣＦＧ５０，ＦＦＣＯＰＹ６０もＦＰＧＡのユーザ論理回路で作られているため、ＣＲＡＭのソフトエラーによって論理回路が故障する可能性がある。
　２重化した一方の論理回路を主の論理回路として、もう一方を補助の論理回路として、両方の論理回路の出力を比較して、一致する場合は、主の論理回路の出力を使用する。エラーが発生したら、両論理回路ともに部分再構成して、初期化することで再開させることができる。ＥＲＲＭＮＧ４０，ＰＴＲＣＦＧ５０，ＦＦＣＯＰＹ６０のいずれも回路規模は大きくないので、部分再構成に要する時間も大きくないため、これらの回路で故障が検出されたらこれらの機能を停止させ、部分再構成を行って動作を再開させる。
１　ＦＰＧＡ
２　フラッシュＲＯＭ
３　ＦＰＧＡ内部のユーザ論理回路
４　ＦＰＧＡ内部のコンフィギュレーションＲＡＭ
５　ＦＰＧＡ内部のＣＲＡＭアクセスインタフェース回路
１０，１１，１２　３重化論理回路ＭＡ
２０，２１，２２　３重化論理回路ＭＢ
３０，３１，３２　３重化論理回路ＭＣ１６，２６，３６　多数決回路
４０　エラー制御回路
５０　部分再構成制御回路
６０　ＦＦ複写制御回路
６５　複写サイクル設定情報記憶部

Claims (8)

  1. 　電源が投入されると外部の記憶媒体に保持された論理回路情報を内部のコンフィギュレーションメモリにロードして論理回路を構成して動作を開始し、かつ動作中に論理回路情報の一部を外部の記憶媒体から再ロードする動的部分再構成機能を有するプログラマブルデバイスにおいて、
    　３重化した論理回路と、
    　前記３重化した論理回路の出力を多数決して出力するとともに、出力が不一致となった論理回路を特定するエラー信号を出力する多数決回路と、
    　前記３重化した論理回路のそれぞれにおいて、一部の順序回路の入力データを他の２つのいずれかの論理回路に複写データとして出力するとともに、他の論理回路からの複写データと自身の論理回路で生成したデータを選択して前記順序回路に入力するように構成された複写回路と、
    　前記エラー信号を入力して、前記部分再構成機能によりエラーを発生した前記論理回路の前記コンフィギュレーションメモリ上の論理回路情報を上書きする部分再構成を実行するエラー制御回路と、
    　エラーを発生した前記論理回路の部分再構成後に、エラーを発生した前記論理回路に正常に動作している論理回路から順序回路を、前記複写回路を接続しない順序回路の多段階数に応じた複数の複写サイクルを掛けて複写する制御を実行する順序回路複写制御回路を有することを特徴とするプログラマブルデバイス。
  2. 　前記複写回路が、前記３重化した論理回路のそれぞれにおいて、一部の順序回路への入力データ、または出力データを選択して他の２つのいずれかの論理回路に複写データとして出力するとともに、他の論理回路からの複写データと自身の論理回路で生成したデータを選択して前記順序回路に入力するように構成されていることを特徴とする請求項１に記載のプログラマブルデバイス。
  3. 　前記３重化した論理回路のそれぞれにおいて、前記複写回路を接続しない順序回路の多段階数に応じた複写サイクル数が許容値を超えないようにするために、多段に連続した前記複写回路を接続しない順序回路の列の途中の順序回路に、前記複写回路を接続して、全ての順序回路の複写に要する複写サイクル数を抑えたことを特徴とする請求項１に記載のプログラマブルデバイス。
  4. 　請求項１に記載のプログラマブルデバイスにおいて、
    　前記順序回路複写制御回路は、順序回路を複写するサイクル数を事前に設定する記憶部を有し、該記憶部から複写サイクル数を読み出して、全ての順序回路を複写する制御を行なうことを特徴とするプログラマブルデバイス。
  5. 　請求項１に記載のプログラマブルデバイスにおいて、
    　前記エラー制御回路は更に、前記順序回路複写制御回路が複写を完了した後、前記多数決回路のエラー出力を監視し、エラーが無くならなければ修理が完了していないとみなして外部に異常発生信号を出力することを特徴とするプログラマブルデバイス。
  6. 　請求項１に記載のプログラマブルデバイスにおいて、
    　前記３重化した論理回路のそれぞれに含まれる複写を行う順序回路はフィードバックループを形成する順序回路だけに限定することを特徴とするプログラマブルデバイス。
  7. 　請求項１に記載のプログラマブルデバイスにおいて、
    　前記エラー制御回路と前記順序回路複写制御回路をそれぞれ２重化して、それぞれ２重化した両回路の出力信号を比較して不一致となった場合に故障を検出し、これらの回路で故障が検出されたらこれらの回路を停止させ、両回路の部分再構成を行って動作を再開させることを特徴とするプログラマブルデバイス。
  8. 　請求項１に記載のプログラマブルデバイスにおいて、
    　前記エラー制御回路は、エラーを発生したモジュールの識別子、エラーの発生回数、エラーの発生タイミングを記憶する記憶部を有し、外部から読み出し可能とすることを特徴とするプログラマブルデバイス。
PCT/JP2013/079916 2013-11-05 2013-11-05 プログラマブルデバイス WO2015068207A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/JP2013/079916 WO2015068207A1 (ja) 2013-11-05 2013-11-05 プログラマブルデバイス
JP2015546177A JPWO2015068207A1 (ja) 2013-11-05 2013-11-05 プログラマブルデバイス

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2013/079916 WO2015068207A1 (ja) 2013-11-05 2013-11-05 プログラマブルデバイス

Publications (1)

Publication Number Publication Date
WO2015068207A1 true WO2015068207A1 (ja) 2015-05-14

Family

ID=53041015

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/079916 WO2015068207A1 (ja) 2013-11-05 2013-11-05 プログラマブルデバイス

Country Status (2)

Country Link
JP (1) JPWO2015068207A1 (ja)
WO (1) WO2015068207A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3316135A1 (en) 2016-10-26 2018-05-02 Hitachi, Ltd. Control system
JP6490316B1 (ja) * 2018-02-28 2019-03-27 三菱電機株式会社 出力判定回路

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009534738A (ja) * 2006-04-21 2009-09-24 ハネウェル・インターナショナル・インコーポレーテッド フォールト・トレランス・コンピューティング・システムにおけるエラー・フィルタリング
JP2012118725A (ja) * 2010-11-30 2012-06-21 Mitsubishi Electric Corp エラー検出修復装置
JP2013046181A (ja) * 2011-08-24 2013-03-04 Hitachi Ltd プログラマブルデバイス、プログラマブルデバイスのリコンフィグ方法および電子デバイス

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009534738A (ja) * 2006-04-21 2009-09-24 ハネウェル・インターナショナル・インコーポレーテッド フォールト・トレランス・コンピューティング・システムにおけるエラー・フィルタリング
JP2012118725A (ja) * 2010-11-30 2012-06-21 Mitsubishi Electric Corp エラー検出修復装置
JP2013046181A (ja) * 2011-08-24 2013-03-04 Hitachi Ltd プログラマブルデバイス、プログラマブルデバイスのリコンフィグ方法および電子デバイス

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
MAKOTO FUJINO ET AL.: "Context Synchronization Method for Reliable Softcore Processor System", IEICE TECHNICAL REPORT. RECONF, vol. 111, no. 31, 5 May 2011 (2011-05-05), pages 25 - 30, Retrieved from the Internet <URL:http://ci.nii.ac.jp/naid/110008725913> [retrieved on 20131226] *
YOSHIHIRO ICHINOMIYA ET AL.: "Recovery and syncronization technique for TMR softcore processor", IEICE TECHNICAL REPORT. RECONF, vol. 109, no. 26, 7 May 2009 (2009-05-07), pages 49 - 54, Retrieved from the Internet <URL:http://ci.nii.ac.jp/naid/110007226121> [retrieved on 20131226] *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3316135A1 (en) 2016-10-26 2018-05-02 Hitachi, Ltd. Control system
US10313095B2 (en) 2016-10-26 2019-06-04 Hitachi, Ltd. Control system
JP6490316B1 (ja) * 2018-02-28 2019-03-27 三菱電機株式会社 出力判定回路
WO2019167193A1 (ja) * 2018-02-28 2019-09-06 三菱電機株式会社 出力判定回路

Also Published As

Publication number Publication date
JPWO2015068207A1 (ja) 2017-03-09

Similar Documents

Publication Publication Date Title
US10230495B2 (en) CRC calculation circuit, semiconductor device, and radar system
US20130162290A1 (en) Partial reconfiguration circuitry
CN109558277B (zh) 微控制器及其控制方法
JP6373154B2 (ja) 半導体装置
CN104866390B (zh) 异步随机静态存储器三模冗余控制器
WO2015068207A1 (ja) プログラマブルデバイス
US10318376B2 (en) Integrated circuit and programmable device
Miculka et al. Generic partial dynamic reconfiguration controller for transient and permanent fault mitigation in fault tolerant systems implemented into fpga
US9292378B2 (en) Single event upset protection circuit and method
JP2014229130A (ja) 高信頼プロセッサおよびそれを用いた高信頼制御装置
US11282554B2 (en) Data storage circuit and electronic apparatus
US9542266B2 (en) Semiconductor integrated circuit and method of processing in semiconductor integrated circuit
JP6973877B2 (ja) 基本論理素子、それを備えた半導体装置、基本論理素子の出力制御方法及び制御プログラム
JP6960453B2 (ja) 再構成制御装置
EP3296874B1 (en) Apparatus and associated method
JP6490316B1 (ja) 出力判定回路
KR20200030981A (ko) 고장 감내 동작을 제공하기 위한 인터페이스 회로 및 그것을 포함하는 고장 감내 시스템
KR102200665B1 (ko) 면적-효율적인 내결함성을 갖는 선형 피드백 시프트 레지스터와 이를 이용한 오류 검출 방법
JP7567399B2 (ja) 情報処理装置及び情報処理方法
KR100538487B1 (ko) 철도신호 제어장치의 다수결 투표기
WO2015011792A1 (ja) フィールドプログラマブルゲートアレイおよび制御装置
JP2017045344A (ja) フォールトトレラントシステム
JP2023175145A (ja) 半導体装置
JP4114722B2 (ja) ステート回路
GB2617176A (en) Method and circuit for performing error detection on a clock gated register signal

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13896890

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2015546177

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13896890

Country of ref document: EP

Kind code of ref document: A1