WO2016132432A1 - プロセッサ及びマイクロコンピュータ - Google Patents

プロセッサ及びマイクロコンピュータ Download PDF

Info

Publication number
WO2016132432A1
WO2016132432A1 PCT/JP2015/054132 JP2015054132W WO2016132432A1 WO 2016132432 A1 WO2016132432 A1 WO 2016132432A1 JP 2015054132 W JP2015054132 W JP 2015054132W WO 2016132432 A1 WO2016132432 A1 WO 2016132432A1
Authority
WO
WIPO (PCT)
Prior art keywords
processor
failure
mask
functional elements
functional
Prior art date
Application number
PCT/JP2015/054132
Other languages
English (en)
French (fr)
Inventor
橋本　茂
Original Assignee
三菱電機株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱電機株式会社 filed Critical 三菱電機株式会社
Priority to PCT/JP2015/054132 priority Critical patent/WO2016132432A1/ja
Publication of WO2016132432A1 publication Critical patent/WO2016132432A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/18—Error detection or correction of the data by redundancy in hardware using passive fault-masking of the redundant circuits
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements

Definitions

  • the present invention relates to a technique for masking functional elements mounted on a processor.
  • a technique for masking functional elements mounted on a processor is demonstrated.
  • a clock synchronous lock step is generally configured by a plurality of processors.
  • the output of each processor is compared, and a processor failure can be detected if the processor outputs do not match. If some of the functional elements of the processor are faulty, the faulty functional elements are masked so that the processor having the faulty part of the functional elements can be used again. . However, since a difference occurs in output between the processor that masks the failed functional element and the processor that remains normal, the processor outputs do not match and a failure is erroneously detected. As a technique for avoiding such erroneous detection, for example, there are a technique disclosed in Patent Document 1 and a technique disclosed in Patent Document 2.
  • Japanese Patent Application Laid-Open No. 2004-151867 inputs a data processing result processed so as to be compatible with two or more systems with respect to a common data processing target, and performs data verification with respect to the processing results with the two or more systems. Is disclosed. Further, in Patent Document 1, the data collating apparatus determines that the processing result in the two or more systems is performed on a common data processing target as data commonality, and the processing in the two or more systems is performed. It is disclosed to determine whether the result is within an allowable range as data admissibility. Patent Document 1 discloses that the data collation is performed based on the data commonality and data admissibility.
  • Patent Document 2 discloses a microcomputer including an output comparison unit, a shift result comparison unit, a table storage unit, and a control unit.
  • the output comparison unit compares the outputs of the main core and the checker core in the normal operation mode.
  • the shift result comparison unit compares the outputs of the scan chains of the main core and the checker core in the mismatch location specifying mode.
  • the table storage unit stores a table in which information on a plurality of flip-flops and a plurality of functional blocks is stored.
  • the control unit switches the mode to the mismatch location specifying mode when a mismatch is detected by the output comparison unit, and is specified based on the comparison result of the shift result comparison unit in the mismatch location specifying mode.
  • a function block corresponding to the flip-flop is extracted from the table, and the function of the function block is stopped.
  • Patent Document 1 when all the processing results have data commonality and the processing results have no data tolerance, data is inconsistent when a data mismatch occurs due to a failure of a part function, as in a normal redundant system. There is a problem that the verification device cannot operate.
  • Patent Document 2 a function block corresponding to a flip-flop identified by a scan chain mismatch is extracted and the function of the function block is stopped.
  • the first CPU (Central Processing Unit) core and the first CPU core are redundant. Since both functional blocks of the second CPU core having the configuration are similarly stopped, there is a problem that the function stops other than the malfunctioning function.
  • CPU Central Processing Unit
  • the main object of the present invention is to solve the above-mentioned problems, minimizing the deterioration of functions and performance, and the output of a processor in which a failure has occurred and the output of a normal processor in which no failure has occurred.
  • the main purpose is to obtain a configuration that matches the above.
  • a processor includes: A processor included in a processor system including a plurality of processors each having a plurality of functional elements mounted thereon, A detector that inspects the plurality of functional elements mounted on the processor and detects a functional element in which a failure has occurred among the plurality of functional elements; Receives a mask number notification for notifying the maximum value among the number of functional elements in which a failure has been detected in each processor as a mask number, and includes the functional elements detected by the detection unit. And a mask generation unit for masking the functional elements.
  • a functional element in which a failure has occurred is masked, and the number of functional elements to be masked matches the maximum value among the number of functional elements in which a failure has occurred in each processor. For this reason, it is possible to make the output of a processor in which a failure has occurred coincide with the output of a normal processor in which no failure has occurred while minimizing deterioration in function and performance.
  • FIG. 3 illustrates a configuration example of a microcomputer according to Embodiment 1;
  • FIG. 3 is a diagram illustrating a configuration example of a failure register, a mask register, and a configuration register according to the first embodiment.
  • FIG. 3 is a flowchart showing a fault register setting method according to the first embodiment.
  • FIG. 3 is a flowchart showing a mask value generation method by a mask generation unit according to the first embodiment.
  • FIG. 6 illustrates a configuration example of a microcomputer according to a second embodiment.
  • FIG. 6 illustrates a configuration example of a microcomputer according to a third embodiment.
  • FIG. 3 is a diagram illustrating a specific operation example of the microcomputer according to the first embodiment.
  • FIG. 10 is a diagram illustrating a specific operation example of the microcomputer according to the second embodiment.
  • FIG. 10 is a diagram illustrating a specific operation example of the microcomputer according to the third embodiment.
  • Embodiment 1 FIG.
  • a microcomputer incorporating a plurality of processors constituting a synchronous lock step will be described. More specifically, a microcomputer that masks a failed functional element and masks a functional element of a processor in which no failure has occurred when any functional element of any processor fails will be described.
  • the microcomputers of this embodiment and the following embodiments it is possible to match the output of a processor in which a failure has occurred with the output of a normal processor in which no failure has occurred.
  • FIG. 1 shows a configuration example of a microcomputer 1 according to this embodiment.
  • FIG. 2 shows the structure and bit meanings of the fault register 13, mask register 6, and configuration register 7 in the processor 2 included in the microcomputer 1.
  • the microcomputer 1 includes N (N ⁇ 2) processors 2.
  • N processors constitute a clock-synchronized lockstep.
  • the processor 2 is, for example, a CPU.
  • the N processors 2 are referred to as a processor system 200.
  • a bus input 8 of the processor which is an input signal to the processor 2 is input to the bus 11.
  • Each processor 2 outputs a processor bus output 9 to the comparative majority circuit 10.
  • the comparative majority circuit 10 it is confirmed whether or not the bus outputs 9 of all the processors match. If the bus outputs 9 of all the processors match, the processor bus output 9 is output to the bus 11 as the bus output 20 of the checked processor. If the bus outputs 9 of all processors do not match, the comparison majority circuit 10 detects an error.
  • FIG. 1 shows only an internal configuration example of the processor # 0, but other processors have the same internal configuration as the processor # 0.
  • Each processor 2 has m (m ⁇ 2) functional element modules 3.
  • Each functional element module 3 includes a plurality of functional elements 4.
  • the functional element module 3 includes n (n ⁇ 2) functional elements 4 from element 0 to element (n ⁇ 1).
  • Each functional element 4 is a target of inspection for failure by the detection unit 12 described later.
  • a plurality of functional elements 4 included in one functional element module 3 are functionally equivalent.
  • the functional element modules 3 having the same number include the same functional element 4. That is, the functional elements 4 included in the m-th functional element module 3 are common to the N processors 2.
  • the functional element 4 is, for example, a cache memory block (way) as described later.
  • each processor 2 is mounted with a plurality of functional elements in common.
  • Each processor 2 includes a plurality of detection units 12 that are checkers.
  • the detection unit 12 is provided for each functional element module 3.
  • the detection unit 12 inspects the presence or absence of a failure for each functional element 4 of the corresponding functional element module 3.
  • the detection unit 12 outputs the detection results 105 in order from the smallest number so that the element numbers (0 to (n ⁇ 1)) of the functional elements 4 uniquely correspond to the bits of the failure register 13. That is, the detection unit 12 outputs the detection result 105 of the functional element 4 with the element number n to the nth bit of the failure register 13. More specifically, the detection unit 12 outputs the value 0 to the bit of the functional element 4 having no failure and the value 1 to the bit of the functional element 4 having the failure.
  • the detection unit 12 detects the functional element 4 in which a failure has occurred among the plurality of functional elements 4.
  • the failure register 13 records the detection result 105.
  • the failure register output 106 of the failure register 13 is input to the failure element counter 14.
  • the failure element counter 14 counts the number of failure elements by counting bits whose value is 1. That is, the failure element counter 14 counts the number of functional elements 4 in which the failure detected by the detection unit 12 has occurred.
  • the failure element counter 14 outputs the calculation result as the number of failure elements 107 in the function element module 3.
  • the failure element count 107 of the functional element modules 3 of all the processors 2 is input to the maximum value calculator 18.
  • the maximum value calculator 18 calculates the maximum value of the number of failed elements 107 at the inputs from all the processors 2.
  • the maximum value calculator 18 outputs the calculated maximum value as the maximum value 108 of the number of failure elements. That is, the maximum value calculator 18 receives a notification from each processor 2 of the number of functional elements 4 in which the failure detected in each processor 2 has occurred. Then, the maximum value calculator 18 determines the maximum value among the number of functional elements 4 in which the failure detected by each processor 2 has occurred, and generates the maximum value 108 of the number of failure elements.
  • the maximum value 108 of the number of faulty elements is input to all the processors 2.
  • the maximum value 108 of the number of failure elements is a signal for notifying each processor 2 of the number of functional elements 4 to be masked (mask number).
  • the maximum value 108 of the number of failure elements is also referred to as a mask number notification.
  • the maximum value 108 of the number of failure elements is input to the mask generation unit 5.
  • the mask generation unit 5 also receives a failure register output 106 and a failure element number 107.
  • the mask generation unit 5 generates a mask value from the failure register output 106, the number of failure elements 107, and the maximum value 108 of the number of failure elements.
  • the mask generation unit 5 generates mask values for the functional elements 4 corresponding to the number of masks notified by the maximum value 108 of the number of failure elements, including the functional elements 4 detected by the detection unit 12.
  • the mask generation unit 5 outputs the generated mask value as the mask register setting value 102.
  • the mask register set value 102 is input to the mask register 6 and set in the mask register 6.
  • the mask register 6 outputs the mask register setting value 102 as the mask register output 101.
  • the mask register output 101 is input to the functional element module 3.
  • the functional element module 3 masks the corresponding functional element 4 according to the value of the mask register output 101. That is, the mask generation unit 5 masks the functional elements 4 corresponding to the number of masks notified by the maximum value 108 of the number of faulty elements including the functional elements 4 detected by the detection unit 12 via the mask register 6. Thereafter, the processors 2 start executing instructions all at once.
  • each processor 2 is included in the processor system 200 together with the other processors 2 on which the same plurality of functional elements 4 are mounted.
  • the mask generation unit 5 receives the maximum value (mask number notification) of the number of functional elements in which the failure detected in each processor 2 has occurred. Then, the mask generation unit 5 masks the functional elements 4 for the maximum value including the functional elements 4 detected by the detection unit 12. As a result, each processor 2 can mask the functional element 4 in which a failure has occurred, and the number of masks of each processor 2 can be made the same.
  • the detection unit 12 sets the functional element module 3 to the test mode based on the detection unit output 103 at the time of activation.
  • the processing from S102 to S108 is a loop.
  • the processing from S102 to S108 is repeated for the number of functional elements in the functional element module 3.
  • the detection unit 12 selects one functional element 4 having the smallest number among the functional elements 4 not yet tested in the functional element module 3. Then, the detection unit 12 inputs a test pattern to the selected functional element 4 through the detection unit output 103.
  • the detection unit 12 obtains the output of the selected functional element 4 from the detection unit input 104.
  • the detection unit 12 compares the detection unit input 104 with an expected value held in the detection unit 12. In S106, the detection unit 12 determines whether the detection unit input 104 matches the expected value. If the detection unit input 104 matches the expected value, the process proceeds to S110. In S107, the detection unit 12 sets the value of the bit of the failure register 13 corresponding to the selected functional element 4 to 1. In S110, the detection unit 12 sets the value of the bit of the failure register 13 corresponding to the selected functional element 4 to 0. After exiting the loop, in S109, the detection unit 12 switches the functional element module 3 from the test mode to the normal mode by the detection unit output 103.
  • a mask value generation method by the mask generation unit 5 will be described using the flowchart of FIG.
  • the mask generation unit 5 sets the value of the failure register output 106 in the output register for the mask register setting value 102 in the mask generation unit 5.
  • the mask generation unit 5 subtracts the number of failure elements 107 from the maximum value 108 of the number of failure elements of all the processors 2, and the number of function elements 4 that must be masked among the function elements 4 that have not failed. Is calculated.
  • the processing from S203 to S209 is a loop. The processing from S203 to S209 is repeated for the number of functional elements calculated in S202.
  • the mask generation unit 5 exits the loop and ends the process.
  • the mask generation unit 5 selects the bit with the smallest number among the bits not yet inspected in the output register for the mask register set value 102, and checks the selected bit. In S206, if the value of the bit selected in S205 is 1, the process proceeds to S209. If the value of the bit selected in S205 is 0, the process proceeds to S207. In S207, the mask generation unit 5 sets the value of the bit corresponding to the checked element of the output register for the mask register setting value 102 to 1. In S208, the mask generation unit 5 subtracts 1 from the number of functional elements 4 that must be masked among functional elements 4 that have not failed.
  • FIG. 7 shows an application example of this embodiment to a microcomputer in which a lock step is configured by two processors 2 and each processor 2 has a cache memory.
  • the cache memory is composed of eight ways, and each way is detected as a failure and can be masked individually.
  • the cache memory in FIG. 7 corresponds to the functional element module in FIG. 1, and each way in FIG. 7 corresponds to the functional element 4 in FIG. In FIG. 7, elements other than those necessary for explanation are not shown.
  • the way number of the cache memory corresponds to the bit number of the failure register and the mask register. Assume that processor A has failed in way 2 and way 3 of the cache memory.
  • the value of the bit of the failure register 13 of the processor A is “00110000” in order from the bit 0.
  • the value of the bit of the failure register 13 of the processor B is “01010101” in order from the bit 0.
  • the failure element counters 14 of the processor A and the processor B count the bits whose values are 1 from the respective failure registers 13.
  • the counter value of the failure element counter 14 of the processor A is 2, and the counter value of the failure element counter 14 of the processor B is 4.
  • the value of the failure element counter 14 of each processor is input to the maximum value calculator 18.
  • the maximum value calculator 18 outputs the value 4 of the failure element counter 14 of the processor B which is larger than the value 2 of the failure element counter 14 of the processor A.
  • the mask generation unit 5 receives the input from the maximum value calculator 18 and the value of the failure register 13.
  • the mask generation unit 5 of the processor A generates a mask value that masks all ways of the cache memory in which the processor A has failed.
  • the mask generator 5 of the processor A generates the same number of mask values as the input from the maximum value calculator 18.
  • the mask generation unit 5 of the processor A generates mask values in order from the way assigned to the smaller bits of the mask register among the ways that have not failed.
  • the mask value generated by the processor A is “11110000” in order from the bit 0. This mask value is set in the mask register 6, and the way of the cache of the processor A is masked.
  • the mask generation unit 5 generates a mask value that masks all the ways of the cache memory in which the processor B has failed.
  • the mask generator 5 of the processor B When the number of elements to be masked is less than the input from the maximum value calculator, the mask generator 5 of the processor B generates a mask value in the same manner as the mask generator 5 of the processor A. That is, the same number of mask values as the input from the maximum value calculator 18 are generated in order from the way assigned to the smaller bits of the mask register among the ways that have not failed.
  • the mask values generated by the processor B are “01010101” in order from bit 0. This mask value is set in the mask register 6, and the way of the cache of the processor B is masked.
  • FIG. 5 shows a configuration example of the microcomputer 1 according to the present embodiment.
  • the mask register output 101 output from the mask register 6 is input to the normal element counter 21.
  • the normal element counter 21 counts the number of bits that are not masked in the mask register output 101. That is, the normal element counter 21 counts the number of functional elements 4 that are not masked by the mask generation unit 5.
  • the normal element counter 21 outputs the count result as the normal element number 109.
  • the normal element number 109 is input to the configuration register 7, and the program can refer to the normal element number 109 in the configuration register 7.
  • FIG. 8 shows an application example of this embodiment to a microcomputer in which a lock step is constituted by two processors 2 and each processor 2 has a cache memory.
  • the cache memory is composed of eight ways, and each way is detected as a failure and can be masked individually.
  • illustrations are omitted except for elements necessary for the description. Note that the process up to the generation of the mask is the same as that of the first embodiment, and thus the description thereof is omitted.
  • the normal element counter 21 of the processor A counts the number of unmasked bits (number of 0s) in the mask register 6.
  • the normal element counter 21 of the processor A stores four count results in the portion indicating the number of ways in the configuration register 7. Also in the processor B, the normal element counter 21 counts the number of unmasked bits (number of 0s) in the mask register 6. Here, it is assumed that the contents of the mask register 6 are “01010101” in order from bit 0. Then, the normal element counter 21 of the processor B stores four count results in the portion indicating the number of ways in the configuration register 7.
  • the configuration register of each processor can indicate the number of ways that are not masked.
  • the program can obtain the number of unmasked functional elements of the functional element module without referring to the value of the mask register.
  • Embodiment 3 According to the method shown in the first embodiment, the output of a processor in which a failure has occurred can be matched with the output of a normal processor in which no failure has occurred.
  • the configuration of the microcomputer is different from the configuration assumed by the program. For this reason, the program may become inoperable or the performance of the program may deteriorate.
  • the program detects the configuration of the microcomputer and changes the setting and control method according to the configuration of the microcomputer. For this reason, it seems that the above problem can be solved by reading the mask value by the program.
  • the mask value is different for each processor, the read result will be different and an error will be detected incorrectly. Resulting in.
  • a microcomputer capable of operating a program in accordance with the configuration of a processor after masking functional elements will be described.
  • FIG. 6 shows a configuration example of the processor 2 according to the present embodiment.
  • the program 22 designates an element by a logical number 110 when accessing the functional element 4 of the functional element module 3.
  • the logical number 110 is input to the number management unit 23.
  • a mask register output 101 output from the mask register 6 is also input to the number management unit 23.
  • the number management unit 23 refers to the value of the mask register output 101 one bit at a time, associates the physical number 111 at the bit position of the value 0 with the logical number 110, and converts between the logical number 110 and the physical number 111. Do.
  • the number management unit 23 selects the functional element 4 corresponding to the physical number 111 and accesses the selected functional element 4.
  • the configuration inside the microcomputer 1 other than the processor 2 is as shown in FIG.
  • FIG. 9 shows an application example of the present embodiment to a microcomputer in which a lock step is constituted by two processors 2 and each processor 2 has a cache memory.
  • the cache memory is composed of eight ways, and each way is detected as a failure and can be masked individually.
  • illustrations are omitted except for elements necessary for the description. Note that the process up to the generation of the mask is the same as that of the first embodiment, and thus the description thereof is omitted.
  • the number management unit 23 of the processor A checks the unmasked bits of the mask register 6 in order from bit 0.
  • the number management unit 23 associates the bit number of the first found bit with the logical number WAY 0 as a physical number. Then, each time the number management unit 23 detects an unmasked bit, the number management unit 23 increments the logical number such as WAY1, WAY2,..., And links the found bit number as a physical number. In this example, logical numbers WAY0, WAY1, WAY2, and WAY3 are linked to physical numbers WAY4, WAY5, WAY6, and WAY7. Similarly, the number management unit 23 of the processor B checks the unmasked bits of the mask register 6 in order from bit 0.
  • the number management unit 23 associates the bit number of the first found bit with the logical number WAY 0 as a physical number. Then, each time the number management unit 23 detects an unmasked bit, the number management unit 23 increments the logical number such as WAY1, WAY2,..., And links the found bit number as a physical number.
  • the logical numbers WAY0, WAY1, WAY2, and WAY3 are linked to the physical numbers WAY0, WAY2, WAY4, and WAY6.
  • the number management unit 23 converts the logical number into the physical number when the program accesses the cache way with the logical number according to the rule for conversion between the logical number and the physical number in the number management unit 23 thus obtained.
  • the way corresponding to the physical number obtained by the conversion is accessed. For this reason, even if the ways masked by both processors are different, it is possible to access an unmasked way that is uniquely determined from the logical number by using the same logical number in both processors.
  • the number management unit 23 performs conversion from a logical address to a physical address in advance, stores the result in a table in the number management unit 23, and refers to the table when actually accessing. It may be. In this way, it is not necessary to check each bit of the mask register output 101 for each conversion, and the physical number 111 can be obtained at high speed.
  • the mask generation unit 5, the detection unit 12, and the number management unit 23 described in the third embodiment described in the first to third embodiments may be realized by a program or a circuit.
  • a program that realizes the functions of the mask generation unit 5, the detection unit 12, and the number management unit 23 is stored in the ROM 15, for example. This program is loaded into the RAM 16, read into the processor 2, and executed by the processor 2.
  • circuits corresponding to the mask generation unit 5, the detection unit 12, and the number management unit 23 are provided in the processor 2, and each unit includes Corresponding circuits are wired to other circuits (functional element module 3, failure register 13, mask register 6, configuration register 7, failure element counter 14).

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Hardware Redundancy (AREA)

Abstract

　各プロセッサ（２）には、複数の機能要素（４）が実装されている。各プロセッサ（２）において、検出部（１２）は、複数の機能要素（４）を検査して、複数の機能要素（４）のうち故障が発生している機能要素（４）を検出する。各プロセッサ（２）において、マスク生成部（５）は、各プロセッサ（２）で検出された故障が発生している機能要素（４）の個数のうちの最大値をマスク数として通知するマスク数通知を受信し、検出部（３）により検出された機能要素（４）を含む、マスク数分の機能要素（４）をマスクする。

Description

プロセッサ及びマイクロコンピュータ
　この発明は、プロセッサに実装されている機能要素をマスクする技術に関する。
　以下では、マイクロコンピュータに含まれるプロセッサに実装されている機能要素をマスクする例を説明する。
　例えば、車載向けのマイクロコンピュータでは、高い信頼性が求められる。
　このような高い信頼性が求められるマイクロコンピュータでは、複数のプロセッサによりクロック同期式のロックステップが構成されることが一般的である。
　ロックステップでは、各プロセッサの出力が比較され、プロセッサの出力が不一致の場合に、プロセッサの故障を検出することが可能である。
　そして、プロセッサの一部の機能要素が故障している場合は、故障している機能要素をマスクすることで、一部の機能要素が故障しているプロセッサを再び使用することができるようになる。
　しかしながら、故障した機能要素をマスクしたプロセッサと正常なままのプロセッサでは出力に差異が生じるため、プロセッサ出力が一致せず、故障が誤検出されてしまう。
　このような誤検出を回避するための技術として、例えば、特許文献１に開示された技術及び特許文献２に開示された技術がある。
　特許文献１には、共通のデータ処理対象に対して２以上の系で互換が可能に処理された処理結果を入力し、前記２以上の系での処理結果に対してデータ照合するデータ照合装置が開示されている。
　また、特許文献１では、データ照合装置が、前記２以上の系での処理結果が互いに共通のデータ処理対象に対してなされたことをデータ共通性として判断し、前記２以上の系での処理結果が許容範囲であるかをデータ許容性として判断することが開示されている。
　また、特許文献１では、前記データ照合は、前記データ共通性及びデータ許容性によってなされることが開示されている。
　また、特許文献２には、出力比較部と、シフト結果比較部と、テーブル記憶部と、制御部とを備えるマイクロコンピュータが開示されている。
　出力比較部は、通常動作モードでメインコア及びチェッカーコアのそれぞれの出力を比較する。
　シフト結果比較部は、不一致箇所特定モードでメインコア及びチェッカーコアのそれぞれのスキャンチェーンの出力を比較する。
　テーブル記憶部は、複数のフリップフロップと複数の機能ブロックとの情報が格納されたテーブルを記憶する。
　制御部は、通常動作モードにて、出力比較部により不一致が検出された場合に不一致箇所特定モードにモードを切り替えるとともに、不一致箇所特定モードにて、シフト結果比較部の比較結果に基づき特定されたフリップフロップに対応する機能ブロックを前記テーブルの中から抽出し、当該機能ブロックの機能を停止させる。
特開２００６－３４４０８６号公報 特開２０１４－１３２３８４号公報
　特許文献１では、全ての処理結果がデータ共通性を有し、処理結果にデータ許容性の無い場合には、通常の冗長系と同様に、一部機能の故障によりデータ不一致が生じる場合にデータ照合装置が動作できなくなるという課題がある。
　特許文献２では、スキャンチェーンの不一致により特定されたフリップフロップに対応する機能ブロックを抽出し、当該機能ブロックの機能を停止させるが、第１ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）コアと前記第１ＣＰＵコアと冗長な構成を有する第２ＣＰＵコアの双方の機能ブロックを同じく機能停止させるため、故障した機能以外にも機能停止が及んでしまうという課題がある。
　この発明は上記のような課題を解決することを主な目的としており、機能や性能の劣化を最小限に抑えて、故障が発生したプロセッサの出力と故障が発生していない正常なプロセッサの出力とを一致させる構成を得ることを主な目的とする。
　本発明に係るプロセッサは、
　それぞれに複数の機能要素が実装されている複数のプロセッサで構成されるプロセッサシステムに含まれるプロセッサであって、
　前記プロセッサに実装されている前記複数の機能要素を検査して、前記複数の機能要素のうち故障が発生している機能要素を検出する検出部と、
　各プロセッサで検出された故障が発生している機能要素の個数のうちの最大値をマスク数として通知するマスク数通知を受信し、前記検出部により検出された機能要素を含む、前記マスク数分の機能要素をマスクするマスク生成部とを有する。
　本発明によれば、故障が発生している機能要素がマスクされるとともに、マスクされる機能要素の個数が各プロセッサで故障が発生している機能要素の個数のうちの最大値に一致する。
　このため、機能や性能の劣化を最小限に抑えて、故障が発生したプロセッサの出力と故障が発生していない正常なプロセッサの出力とを一致させることができる。
実施の形態１に係るマイクロコンピュータの構成例を示す図。 実施の形態１に係る故障レジスタ、マスクレジスタ、構成レジスタの構成例を示す図。 実施の形態１に係る故障レジスタのセット方法を示すフローチャート図。 実施の形態１に係るマスク生成部によるマスク値の生成方法を示すフローチャート図。 実施の形態２に係るマイクロコンピュータの構成例を示す図。 実施の形態３に係るマイクロコンピュータの構成例を示す図。 実施の形態１に係るマイクロコンピュータの具体的な動作例を示す図。 実施の形態２に係るマイクロコンピュータの具体的な動作例を示す図。 実施の形態３に係るマイクロコンピュータの具体的な動作例を示す図。
　実施の形態１．
　本実施の形態及び以降の実施の形態では、同期式のロックステップを構成する複数のプロセッサを内蔵したマイクロコンピュータを説明する。
　より具体的には、いずれかのプロセッサのいずれかの機能要素が故障した際に、故障した機能要素をマスクするとともに、故障が発生していないプロセッサの機能要素もマスクするマイクロコンピュータを説明する。
　本実施の形態及び以降の実施の形態のマイクロコンピュータにより、故障が発生したプロセッサの出力と故障が発生していない正常なプロセッサの出力とを一致させることができる。
＊＊＊構成の説明＊＊＊
　図１は、本実施の形態に係るマイクロコンピュータ１の構成例を示す。
　また、図２は、マイクロコンピュータ１に含まれるプロセッサ２内の故障レジスタ１３、マスクレジスタ６、構成レジスタ７の構造とビットの意味を示す。
　図１に示すように、マイクロコンピュータ１には、Ｎ（Ｎ≧２）個のプロセッサ２が存在する。
　Ｎ個のプロセッサは、クロック同期したロックステップを構成する。
　プロセッサ２は、例えばＣＰＵである。
　以下、Ｎ個のプロセッサ２をプロセッサシステム２００という。
　バス１１には、プロセッサ２への入力信号であるプロセッサのバス入力８が入力されている。
　また、各プロセッサ２からは比較多数決回路１０に対してプロセッサのバス出力９が出力される。
　比較多数決回路１０では、全てのプロセッサのバス出力９が一致しているか否かが確認される。
　全てのプロセッサのバス出力９が一致していた場合は、プロセッサのバス出力９はチェックされたプロセッサのバス出力２０としてバス１１に出力される。
　全てのプロセッサのバス出力９が一致していない場合は、比較多数決回路１０はエラーを検出する。
　また、バス１１には、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）１５、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）１６、各種ＩＯ（Ｉｎｐｕｔ　Ｏｕｔｐｕｔ）デバイス１７が接続されている。
　本実施の形態及び以降の実施の形態は、主にプロセッサ２に関するため、ＲＯＭ１５、ＲＡＭ１６、各種ＩＯデバイス１７の説明は省略する。
　また、図１では、プロセッサ＃０の内部構成例のみを示しているが、他のプロセッサでも、プロセッサ＃０と同じ内部構成を有している。
　各プロセッサ２は、ｍ（ｍ≧２）個の機能要素モジュール３を有する。
　各機能要素モジュール３には、複数の機能要素４が含まれる。
　図１では、機能要素モジュール３に、要素０～要素（ｎ－１）のｎ（ｎ≧２）個の機能要素４が含まれている。
　各機能要素４は、後述する検出部１２による故障有無の検査の対象となる。
　１つの機能要素モジュール３に含まれる複数の機能要素４は、機能的に等価である。
　また、Ｎ個のプロセッサ２において、番号が共通する機能要素モジュール３には同じ機能要素４が含まれている。
　つまり、ｍ番の機能要素モジュール３に含まれる機能要素４は、Ｎ個のプロセッサ２で共通している。
　機能要素４は、例えば、後述するように、キャッシュメモリのブロック（ウェイ）である。
　このように、各プロセッサ２には、複数の機能要素が共通に実装されている。
　また、各プロセッサ２は、チェッカーである複数の検出部１２を有する。
　検出部１２は、機能要素モジュール３ごとに設けられている。
　検出部１２は、対応する機能要素モジュール３の機能要素４ごとに故障の有無を検査する。
　検出部１２は、機能要素４の要素番号（０～（ｎ－１））が故障レジスタ１３のビットに一意に対応するように検出結果１０５を小さい番号から順に出力する。
　つまり、検出部１２は、要素番号ｎの機能要素４の検出結果１０５を故障レジスタ１３のｎ番目のビットに出力する。
　より具体的には、検出部１２は、故障のない機能要素４のビットには値０を、故障のある機能要素４のビットには値１を出力する。
　このように、検出部１２は、複数の機能要素４のうち故障が発生している機能要素４を検出する。
　故障レジスタ１３は、検出結果１０５を記録する。
　故障レジスタ１３の故障レジスタ出力１０６は、故障要素カウンタ１４に入力される。
　故障要素カウンタ１４は、値が１であるビットをカウントすることで故障要素数をカウントする。
　つまり、故障要素カウンタ１４は、検出部１２により検出された故障が発生している機能要素４の個数をカウントする。
　故障要素カウンタ１４は、計算結果を機能要素モジュール３における故障要素数１０７として出力する。
　全プロセッサ２の機能要素モジュール３の故障要素数１０７は、最大値計算器１８に入力される。
　最大値計算器１８は、全プロセッサ２からの入力における故障要素数１０７の最大値を計算する。
　また、最大値計算器１８は、計算した最大値を故障要素数の最大値１０８として出力する。
　つまり、最大値計算器１８は、各プロセッサ２から各プロセッサ２で検出された故障が発生している機能要素４の個数の通知を受ける。
　そして、最大値計算器１８は、各プロセッサ２で検出された故障が発生している機能要素４の個数のうちの最大値を判別し、故障要素数の最大値１０８を生成する。
　故障要素数の最大値１０８は、全プロセッサ２に入力される。
　故障要素数の最大値１０８は、マスクする機能要素４の数（マスク数）を各プロセッサ２に通知する信号である。
　故障要素数の最大値１０８は、マスク数通知ともいう。
　各プロセッサ２では、故障要素数の最大値１０８がマスク生成部５に入力される。
　また、マスク生成部５には、故障レジスタ出力１０６と故障要素数１０７も入力される。
　マスク生成部５は、故障レジスタ出力１０６と故障要素数１０７と故障要素数の最大値１０８から、マスク値を生成する。
　具体的には、マスク生成部５は、検出部１２により検出された機能要素４を含む、故障要素数の最大値１０８で通知されたマスク数分の機能要素４へのマスク値を生成する。
　そして、マスク生成部５は、生成したマスク値をマスクレジスタ設定値１０２として出力する。
　マスクレジスタ設定値１０２は、マスクレジスタ６に入力され、マスクレジスタ６に設定される。
　マスクレジスタ６は、マスクレジスタ設定値１０２をマスクレジスタ出力１０１として出力する。
　マスクレジスタ出力１０１は、機能要素モジュール３に入力される。
　機能要素モジュール３は、マスクレジスタ出力１０１の値に従い、対応する機能要素４をマスクする。
　つまり、マスク生成部５は、マスクレジスタ６を介して、検出部１２により検出された機能要素４を含む、故障要素数の最大値１０８で通知されたマスク数分の機能要素４をマスクする。
　その後、各プロセッサ２は、一斉に命令の実行を開始する。
　このように、各プロセッサ２は、同じ複数の機能要素４が実装されている他のプロセッサ２とともにプロセッサシステム２００に含まれる。
　そして、各プロセッサ２において、マスク生成部５は、各プロセッサ２で検出された故障が発生している機能要素の個数の最大値（マスク数通知）を受信する。
　そして、マスク生成部５は、検出部１２により検出された機能要素４を含む、最大値分の機能要素４をマスクする。
　この結果、各プロセッサ２では、故障が発生している機能要素４をマスクすることができ、また、各プロセッサ２のマスク数を同数にすることができる。
＊＊＊動作の説明＊＊＊
　次に、図３のフローチャートを使用して、故障レジスタ１３のセット方法を説明する。
　Ｓ１０１で、検出部１２は、起動時に、検出部出力１０３により、機能要素モジュール３をテストモードにする。
　Ｓ１０２からＳ１０８までの処理はループである。
　Ｓ１０２からＳ１０８までの処理は、機能要素モジュール３内の機能要素数分繰り返される。
　Ｓ１０３では、検出部１２が、機能要素モジュール３内部のまだテストされていない機能要素４の中で最も番号の小さい機能要素４を一つ選択する。
　そして、検出部１２は、選択した機能要素４に検出部出力１０３によりテストパターンを入力する。
　Ｓ１０４では、検出部１２は、選択した機能要素４の出力を検出部入力１０４から得る。
　Ｓ１０５では、検出部１２は、検出部入力１０４と検出部１２の内部に持つ期待値とを比較する。
　Ｓ１０６では、検出部１２は、検出部入力１０４と期待値とが一致しているかを判定し、検出部入力１０４と期待値とが一致していれば、処理がＳ１１０に進む。
　Ｓ１０７では、検出部１２は、選択した機能要素４に対応する故障レジスタ１３のビットの値を１にする。
　Ｓ１１０では、検出部１２は、選択した機能要素４に対応する故障レジスタ１３のビットの値を０にする。
　ループから抜けた後、Ｓ１０９で検出部１２は、検出部出力１０３により、機能要素モジュール３をテストモードからノーマルモードに切り替える。
　図４のフローチャートを使用して、マスク生成部５によるマスク値の生成方法を説明する。
　Ｓ２０１で、マスク生成部５は、故障レジスタ出力１０６の値をマスク生成部５内のマスクレジスタ設定値１０２用の出力レジスタにセットする。
　Ｓ２０２で、マスク生成部５は、全プロセッサ２の故障要素数の最大値１０８から故障要素数１０７を引き、故障をしていない機能要素４の中でマスクをしなければならない機能要素４の数を算出する。
　Ｓ２０３からＳ２０９までの処理はループである。
　Ｓ２０３からＳ２０９までの処理は、Ｓ２０２で算出した機能要素数分繰り返される。
　Ｓ２０４では、故障をしていない機能要素４の中でマスクをしなければならない機能要素４の数が０であったら、マスク生成部５は、ループから抜けて処理を終了する。
　Ｓ２０５では、マスク生成部５は、マスクレジスタ設定値１０２用の出力レジスタの未だ検査していないビットの中で最も番号の小さいビットを選択し、選択したビットをチェックする。
　Ｓ２０６では、Ｓ２０５で選択されたビットの値が１であれば、処理はＳ２０９に進む。
　Ｓ２０５で選択されたビットの値が０であれば、処理はＳ２０７に進む。
　Ｓ２０７では、マスク生成部５は、マスクレジスタ設定値１０２用の出力レジスタのチェックした要素に対応するビットの値を１にする。
　Ｓ２０８では、マスク生成部５は、故障をしていない機能要素４の中でマスクをしなければならない機能要素４の数から１を引く。
　本実施の形態に係るマイクロコンピュータ１の動作を具体例を用いて説明する。
　図７に、２個のプロセッサ２でロックステップを構成し、各プロセッサ２がキャッシュメモリを持つマイクロコンピュータへの本実施の形態の適用例を示す。
　図７では、キャッシュメモリは８個のウェイで構成され、それぞれのウェイは故障検出され、個別にマスクすることができる。
　図７のキャッシュメモリが図１の機能要素モジュールに対応し、図７の各ウェイが図１の機能要素４に対応する。
　なお、図７では、説明に必要な要素以外の要素は図示を省略している。
　また、キャッシュメモリのウェイの番号と、故障レジスタ及びマスクレジスタのビット番号は対応している。
　プロセッサＡはキャッシュメモリのウェイ２、ウェイ３が故障しているものとする。
　この場合、プロセッサＡの故障レジスタ１３のビットの値はビット０から順に「００１１００００」となる。
　プロセッサＢはキャッシュメモリのウェイ１、ウェイ３、ウェイ５、ウェイ７が故障しているものとする。
　この場合、プロセッサＢの故障レジスタ１３のビットの値はビット０から順に「０１０１０１０１」となる。
　プロセッサＡ及びプロセッサＢの故障要素カウンタ１４は、それぞれの故障レジスタ１３から値が１であるビットをカウントする。
　プロセッサＡの故障要素カウンタ１４のカウンタ値は２となり、プロセッサＢの故障要素カウンタ１４のカウンタ値は４となる。
　各プロセッサの故障要素カウンタ１４の値は最大値計算器１８に入力される。
　最大値計算器１８はプロセッサＡの故障要素カウンタ１４の値２よりも大きいプロセッサＢの故障要素カウンタ１４の値４を出力する。
　プロセッサＡでは、最大値計算器１８からの入力と故障レジスタ１３の値をマスク生成部５が入力される。
　プロセッサＡのマスク生成部５は、プロセッサＡの故障したキャッシュメモリのウェイを全てマスクするマスク値を生成する。
　マスクするウェイの数が最大値計算器１８からの入力に満たない場合は、プロセッサＡのマスク生成部５は、最大値計算器１８からの入力と同数のマスク値を生成する。
　プロセッサＡのマスク生成部５は、故障していないウェイのうちマスクレジスタの小さいビットに割り当てられているウェイから順にマスク値を生成する。
　プロセッサＡで生成されたマスク値は、ビット０から順に「１１１１００００」となる。
　このマスク値がマスクレジスタ６に設定されて、プロセッサＡのキャッシュのウェイがマスクされる。
　プロセッサＢでも同様に、マスク生成部５はプロセッサＢの故障したキャッシュメモリのウェイを全てマスクするマスク値を生成する。
　マスクする要素の数が最大値計算器からの入力に満たない場合は、プロセッサＢのマスク生成部５は、プロセッサＡのマスク生成部５と同様の方法で、マスク値を生成する。
　つまり、故障していないウェイのうちマスクレジスタの小さいビットに割り当てられているウェイから順に、最大値計算器１８からの入力と同数のマスク値を生成する。
　プロセッサＢで生成されたマスク値は、ビット０から順に「０１０１０１０１」となる。
　このマスク値がマスクレジスタ６に設定されて、プロセッサＢのキャッシュのウェイがマスクされる。
＊＊＊効果の説明＊＊＊
　本実施の形態に係るマイクロコンピュータはこのように構成されているので、各プロセッサの故障した機能要素は必ずマスクされており、また、各プロセッサでマスクされた機能要素の数は全プロセッサでの故障要素数の最大値に一致する。
　このため、ロックステップを構成するプロセッサの中に故障した機能要素を含むプロセッサが存在し、それぞれのプロセッサの間で故障した機能要素の番号、個数が異なる場合でも、最小限のマスクで、全プロセッサを機能的に等価とすることができる。
　また、プロセッサの一部の機能要素が故障した場合でも、機能や性能の劣化を最小限に抑えた、ロックステップにより故障検出が可能なマイクロコンピュータを実現することが可能になる。
　実施の形態２．
＊＊＊構成の説明＊＊＊
　図５は、本実施の形態に係るマイクロコンピュータ１の構成例を示す。
　図５において、マスクレジスタ６の出力するマスクレジスタ出力１０１は、正常要素カウンタ２１に入力される。
　正常要素カウンタ２１は、マスクレジスタ出力１０１においてマスクされていないビット数をカウントする。
　つまり、正常要素カウンタ２１は、マスク生成部５によりマスクされていない機能要素４の個数をカウントする。
　また、正常要素カウンタ２１は、カウント結果を正常要素数１０９として出力する。
　正常要素数１０９は構成レジスタ７に入力され、プログラムは構成レジスタ７内の正常要素数１０９を参照することができる。
＊＊＊動作の説明＊＊＊
　本実施の形態に係るマイクロコンピュータ１の動作を具体例を用いて説明する。
　図８に、２個のプロセッサ２でロックステップを構成し、各プロセッサ２がキャッシュメモリを持つマイクロコンピュータへの本実施の形態の適用例を示す。
　図８では、キャッシュメモリは８個のウェイで構成され、それぞれのウェイは故障検出され、個別にマスクすることができる。
　この図８では、説明に必要な要素以外は図示が省略されている。
　なお、マスクの生成までの過程は実施の形態１と同じなため説明を省略する。
　プロセッサＡの正常要素カウンタ２１は、マスクレジスタ６のマスクされていないビットの数（０の数）をカウントする。
　ここでは、マスクレジスタ６の内容はビット０から順に「１１１１００００」であるとする。
　そして、プロセッサＡの正常要素カウンタ２１は、カウント結果である４個を構成レジスタ７中のウェイ数を示す部分に格納する。
　プロセッサＢにおいても、正常要素カウンタ２１はマスクレジスタ６のマスクされていないビットの数（０の数）をカウントする。
　ここでは、マスクレジスタ６の内容はビット０から順に「０１０１０１０１」であるとする。
　そして、プロセッサＢの正常要素カウンタ２１は、カウント結果である４個を構成レジスタ７中のウェイ数を示す部分に格納する。
＊＊＊効果の説明＊＊＊
　このように、故障しているウェイやマスクレジスタの値がプロセッサ間で異なる場合でも、各プロセッサの構成レジスタはマスクされていないウェイ数を示すことができる。
　これにより、プログラムは、マスクレジスタの値を参照しなくても、機能要素モジュールのマスクされていない機能要素の数を取得することができる。
　そして、プロセッサに故障がある場合でも、機能をマスクした後のプロセッサの構成に応じたプログラムの動作が可能な、ロックステップにより故障検出が可能なマイクロコンピュータを実現することが可能になる。
　実施の形態３．
　実施の形態１に示す方法により、故障が発生したプロセッサの出力と故障が発生していない正常なプロセッサの出力とを一致させることができる。
　しかしながら、機能構成をマスクした場合は、マイクロコンピュータの構成が、プログラムが前提としている構成と異なってしまう。
　このため、プログラムが動作不能になったり、プログラムの性能が劣化してしまう場合がある。
　一般的には、マイクロコンピュータが起動した後、プログラムがマイクロコンピュータの構成を検知し、マイクロコンピュータの構成に合わせて設定や制御方法を変える。
　このため、プログラムがマスク値を読み出すことで、上記の問題は解決可能のように思えるが、ロックステップを構成する場合は、プロセッサごとにマスク値が異なると、読み出し結果が異なり、エラーを誤検出してしまう。
　本実施の形態では、機能要素をマスクした後のプロセッサの構成に応じたプログラムの動作が可能なマイクロコンピュータを説明する。
　さらに、機能要素をマスクした状態で、プログラムが、マスクしていない機能要素を選択して制御する場合は、プロセッサごとにマスクしている機能要素が異なると、機能要素を選択する際のプログラムの動作がプロセッサごとに異なってしまう。
　この結果、ロックステップにおいて、プロセッサごとの動作の違いによりエラーが誤検出されてしまう場合がある。
　本実施の形態では、エラーの誤検出を発生させずに、プログラムが、マスクされていない機能要素を選択することが可能なマイクロコンピュータを説明する。
＊＊＊構成の説明＊＊＊
　図６は、本実施の形態に係るプロセッサ２の構成例を示す。
　図６において、プログラム２２は、機能要素モジュール３の機能要素４にアクセスする際に、論理番号１１０により要素を指定する。
　論理番号１１０は、番号管理部２３に入力される。
　番号管理部２３には、マスクレジスタ６の出力するマスクレジスタ出力１０１も入力されている。
　番号管理部２３は、マスクレジスタ出力１０１の値を１ビットずつ参照して、値０のビット位置の物理番号１１１を論理番号１１０に対応付け、論理番号１１０と物理番号１１１との間の変換を行う。
　そして、番号管理部２３は、物理番号１１１に対応する機能要素４を選択し、選択した機能要素４にアクセスする。
　プロセッサ２以外のマイクロコンピュータ１内の構成は、図１に示す通りである。
＊＊＊動作の説明＊＊＊
　本実施の形態に係るマイクロコンピュータ１の動作を具体例を用いて説明する。
　図９に、２個のプロセッサ２でロックステップを構成し、各プロセッサ２がキャッシュメモリを持つマイクロコンピュータへの本実施の形態の適用例を示す。
　図９では、キャッシュメモリは８個のウェイで構成され、それぞれのウェイは故障検出され、個別にマスクすることができる。
　この図９では、説明に必要な要素以外は図示が省略されている。
　なお、マスクの生成までの過程は実施の形態１と同じなため説明を省略する。
　プロセッサＡの番号管理部２３は、マスクレジスタ６のマスクされていないビットをビット０から順にチェックする。
　ここでは、マスクレジスタ６の内容は、ビット０から順に「１１１１００００」であるとする。
　番号管理部２３は、最初に見つかったビットのビット番号を物理番号として論理番号のＷＡＹ０と結び付ける。
　そして、番号管理部２３は、以後、マスクされていないビットを検出するたびに、ＷＡＹ１、ＷＡＹ２、…と論理番号をインクリメントして、見つかったビット番号を物理番号として結び付けていく。
　この例では論理番号のＷＡＹ０、ＷＡＹ１、ＷＡＹ２、ＷＡＹ３が物理番号のＷＡＹ４、ＷＡＹ５、ＷＡＹ６、ＷＡＹ７に結び付けられる。
　同様にプロセッサＢの番号管理部２３は、マスクレジスタ６のマスクされていないビットをビット０から順にチェックする。
　ここでは、マスクレジスタ６の内容は、ビット０から順に「０１０１０１０１」であるとする。
　番号管理部２３は、最初に見つかったビットのビット番号を物理番号として論理番号のＷＡＹ０と結び付ける。
　そして、番号管理部２３は、以後、マスクされていないビットを検出するたびに、ＷＡＹ１、ＷＡＹ２、…と論理番号をインクリメントして、見つかったビット番号を物理番号として結び付けていく。
　この例では論理番号のＷＡＹ０、ＷＡＹ１、ＷＡＹ２、ＷＡＹ３が物理番号のＷＡＹ０、ＷＡＹ２、ＷＡＹ４、ＷＡＹ６に結び付けられる。
　このように求められた番号管理部２３での論理番号と物理番号の変換の規則により、プログラムがキャッシュのウェイに論理番号でアクセスする際に番号管理部２３が論理番号を物理番号に変換し、変換により得られた物理番号に対応するウェイにアクセスをする。
　このため、双方のプロセッサでマスクしているウェイが異なる場合でも、双方のプロセッサで同じ論理番号を使用して、論理番号から一意に求まるマスクしていないウェイにアクセスすることが可能になる。
＊＊＊効果の説明＊＊＊
　これにより、プログラムからは、マスクされた機能要素がどれであるかを知らなくても、論理番号により機能要素にアクセスすることが可能になる。
　そして、プロセッサに故障がある場合でも、機能をマスクした後のプロセッサで、プログラムがマスクされていない機能を選択して制御することが可能な、ロックステップにより故障検出が可能なマイクロコンピュータを実現することが可能になる。
　なお、番号管理部２３が、論理アドレスから物理アドレスへの変換をあらかじめ行っておき、結果を番号管理部２３内部にあるテーブルに記憶しておき、実際のアクセスの際は、テーブルを参照することにしてもよい。
　このようにすれば、変換ごとのマスクレジスタ出力１０１の各ビットのチェックが不要になり、高速に物理番号１１１を求めることができる。
　実施の形態１～３で説明したマスク生成部５、検出部１２及び実施の形態３で説明した番号管理部２３は、プログラムで実現してもよいし、回路で実現してもよい。
　マスク生成部５、検出部１２及び番号管理部２３をプログラムで実現する場合は、マスク生成部５、検出部１２及び番号管理部２３の機能を実現するプログラムが例えばＲＯＭ１５に記憶されている。
　そして、このプログラムが、ＲＡＭ１６にロードされ、プロセッサ２に読み込まれ、プロセッサ２によって実行される。
　また、マスク生成部５、検出部１２及び番号管理部２３を回路で実現する場合は、マスク生成部５、検出部１２及び番号管理部２３に対応する回路がプロセッサ２に配設され、各部に対応する回路が他の回路（機能要素モジュール３、故障レジスタ１３、マスクレジスタ６、構成レジスタ７、故障要素カウンタ１４）と配線接続されている。
　１　マイクロコンピュータ、２　プロセッサ、３　機能要素モジュール、４　機能要素、５　マスク生成部、６　マスクレジスタ、７　構成レジスタ、８　プロセッサのバス入力、９　プロセッサのバス出力、１０　比較多数決回路、１１　バス、１２　検出部、１３　故障レジスタ、１４　故障要素カウンタ、１５　ＲＯＭ、１６　ＲＡＭ、１７　ＩＯデバイス、１８　最大値計算器、１９　プロセッサのバス出力、２０　チェックされたプロセッサのバス出力、２１　正常要素カウンタ、２２　プログラム、２３　番号管理部、１０１　マスクレジスタ出力、１０２　マスクレジスタ設定値、１０３　検出部出力、１０４　検出部入力、１０５　検出結果、１０６　故障レジスタ出力、１０７　故障要素数、１０８　故障要素数の最大値、１０９　正常要素数、１１０　論理番号、１１１　物理番号、２００　プロセッサシステム。

Claims (6)

  1. 　それぞれに複数の機能要素が実装されている複数のプロセッサで構成されるプロセッサシステムに含まれるプロセッサであって、
    　前記プロセッサに実装されている前記複数の機能要素を検査して、前記複数の機能要素のうち故障が発生している機能要素を検出する検出部と、
    　各プロセッサで検出された故障が発生している機能要素の個数のうちの最大値をマスク数として通知するマスク数通知を受信し、前記検出部により検出された機能要素を含む、前記マスク数分の機能要素をマスクするマスク生成部とを有するプロセッサ。
  2. 　前記プロセッサは、更に、
    　前記検出部により検出された故障が発生している機能要素の個数をカウントし、
    　各プロセッサから各プロセッサで検出された故障が発生している機能要素の個数の通知を受け、各プロセッサで検出された故障が発生している機能要素の個数のうちの最大値を判別し、前記マスク数通知を生成する最大値計算器に、カウントした機能要素の個数を通知する故障要素カウンタを有し、
    　前記マスク生成部は、
    　前記最大値計算器から、前記マスク数通知を受信する請求項１に記載のプロセッサ。
  3. 　前記プロセッサは、
    　前記プロセッサシステムに含まれる他のプロセッサとともにロックステップを構成する請求項２に記載のプロセッサ。
  4. 　前記プロセッサは、更に、
    　前記マスク生成部によりマスクされていない機能要素の個数をカウントする正常要素カウンタを有する請求項１に記載のプロセッサ。
  5. 　前記複数の機能要素には物理番号が設定されており、
    　前記プロセッサは、更に、
    　前記マスク生成部によりマスクされていない機能要素の物理番号に論理番号を対応付け、論理番号と物理番号との間の変換を行う番号管理部を有する請求項１に記載のプロセッサ。
  6. 　請求項１に記載のプロセッサシステムに含まれる複数のプロセッサを、ロックステップを構成する複数のプロセッサとして含むマイクロコンピュータ。
PCT/JP2015/054132 2015-02-16 2015-02-16 プロセッサ及びマイクロコンピュータ WO2016132432A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2015/054132 WO2016132432A1 (ja) 2015-02-16 2015-02-16 プロセッサ及びマイクロコンピュータ

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2015/054132 WO2016132432A1 (ja) 2015-02-16 2015-02-16 プロセッサ及びマイクロコンピュータ

Publications (1)

Publication Number Publication Date
WO2016132432A1 true WO2016132432A1 (ja) 2016-08-25

Family

ID=56692052

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/054132 WO2016132432A1 (ja) 2015-02-16 2015-02-16 プロセッサ及びマイクロコンピュータ

Country Status (1)

Country Link
WO (1) WO2016132432A1 (ja)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0816533A (ja) * 1994-06-30 1996-01-19 Hitachi Ltd フォールトトレラントコンピュータ及びそのプロセッサモジュールとオンライン拡張方法
JP2004046599A (ja) * 2002-07-12 2004-02-12 Nec Corp フォルトトレラントコンピュータ装置、その再同期化方法及び再同期化プログラム
JP2009003537A (ja) * 2007-06-19 2009-01-08 Mitsubishi Electric Corp 計算機
JP2010061419A (ja) * 2008-09-04 2010-03-18 Hitachi Ltd 制御装置
JP2011186606A (ja) * 2010-03-05 2011-09-22 Nec Corp コンピュータシステム、およびそのチェックポイントリスタート方法
JP2013214210A (ja) * 2012-04-02 2013-10-17 Nec Corp フォールトトレラントシステム、ｃｐｕの動作周波数変更方法、及びプログラム

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0816533A (ja) * 1994-06-30 1996-01-19 Hitachi Ltd フォールトトレラントコンピュータ及びそのプロセッサモジュールとオンライン拡張方法
JP2004046599A (ja) * 2002-07-12 2004-02-12 Nec Corp フォルトトレラントコンピュータ装置、その再同期化方法及び再同期化プログラム
JP2009003537A (ja) * 2007-06-19 2009-01-08 Mitsubishi Electric Corp 計算機
JP2010061419A (ja) * 2008-09-04 2010-03-18 Hitachi Ltd 制御装置
JP2011186606A (ja) * 2010-03-05 2011-09-22 Nec Corp コンピュータシステム、およびそのチェックポイントリスタート方法
JP2013214210A (ja) * 2012-04-02 2013-10-17 Nec Corp フォールトトレラントシステム、ｃｐｕの動作周波数変更方法、及びプログラム

Similar Documents

Publication Publication Date Title
US8589737B2 (en) Memory system with redundant data storage and error correction
JP6599054B2 (ja) 異常判定装置、異常判定方法及び異常判定プログラム
US10761925B2 (en) Multi-channel network-on-a-chip
EP1890239B1 (en) Memory contoller and method of controlling memory
US9535784B2 (en) Self monitoring and self repairing ECC
JP6050083B2 (ja) 半導体装置
US8650440B2 (en) Processor based system having ECC based check and access validation information means
TW201743202A (zh) 於鎖步雙核或三重模組冗餘(tmr)系統中用於假通偵測之系統及方法
JP2015115727A (ja) プログラマブルロジックデバイス
JP7490334B2 (ja) アラーム信号を処理する方法および装置
US9678870B2 (en) Diagnostic apparatus, control unit, integrated circuit, vehicle and method of recording diagnostic data
JP2009129301A (ja) 自己診断回路及び自己診断方法
WO2016132432A1 (ja) プロセッサ及びマイクロコンピュータ
CN111880961A (zh) 用于透明寄存器数据错误检测和纠正的系统和方法
CN106716387B (zh) 存储器诊断电路
WO2014115289A1 (ja) プログラマブルデバイス及び電子システム装置
JP6710142B2 (ja) 制御システム
JP4357373B2 (ja) 高信頼性制御装置
WO2011099233A1 (ja) 多重化システム
US11132483B2 (en) Method and arrangement for forming an electronic circuit
JP6670703B2 (ja) Ｉｃ内蔵向け機能信頼性確認用回路
FI72396C (fi) Foerfarande foer aostadkommande av ett elektroniskt system som tolererar fel samt motsvarande system.
WO2016042751A1 (ja) メモリ診断回路
WO2022240396A1 (en) Method of generating and monitoring a digital signature
CN115543681A (zh) 半导体装置和错误检测方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15882537

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

NENP Non-entry into the national phase

Ref country code: JP

122 Ep: pct application non-entry in european phase

Ref document number: 15882537

Country of ref document: EP

Kind code of ref document: A1