(57)【要約】第１の計算機（１００）と第２の計算機（１０１）を有するダブル計算機システムのデータおよび／または指令へのアクセスを遅延させる遅延ユニット（１０２）と方法であって、その場合に第１の計算機と第２の計算機とがタイムオフセットをもって作動し、遅延ユニットは、このタイムオフセットがダブル計算機システム内でデータおよび／または指令へアクセスする場合に２つの計算機の少なくとも１つにおいて補償されるように形成されており、エラー発見機構を有する計算機システムのデータおよび／または指令へのアクセスを遅延させる方法と遅延ユニットは、データおよび／または指令への遅延されないアクセスとエラー認識との間の期間が補償されることを特徴としている。【選択図】図１
2008509466.tif 000002
【特許請求の範囲】
【請求項１】
エラー発見機構を有する計算機システムのデータおよび／または指令へのアクセスを遅延させる遅延ユニット（１０２）であって、
前記遅延ユニットは、データおよび／または指令への遅延されないアクセスとエラー認識との間の期間が補償されるように形成されることを特徴とする、遅延ユニット。
【請求項２】
第１の計算機（１００）と第２の計算機（１０１）とを有するダブル計算機システムのデータおよび／または指令へのアクセスを遅延させる遅延ユニット（１０２）であって、
前記第１の計算機と前記第２の計算機とはタイムオフセットをもって作動し、
前記遅延ユニットは、データおよび／または指令へアクセスする際のダブル計算機システム内の前記タイムオフセットが、前記２つの計算機の少なくとも１つにおいて補償されるように形成されていることを特徴とする、遅延ユニット。
【請求項３】
第１の計算機（１００）のデータおよび／または指令を、第２の計算機（１０１）のデータおよび／または指令と比較することによってエラー認識が行われ、
前記遅延ユニットは、ダブルプロセッサシステムのデータおよび／または指令へのアクセスをエラー認識が実施されるまで遅延させるように形成されることを特徴とする、請求項１または２に記載の遅延ユニット。
【請求項４】
ダブル計算機システムは、データバス（１１６）を介して少なくとも１つの第１のコンポーネント（１０４）と接続されており、
前記遅延ユニット（１０２）は、データバスにおいてダブル計算機システムの少なくとも１つの計算機（１００）と少なくとも１つの第１のコンポーネント（１０４）との間に位置づけられることを特徴とする、請求項１または２に記載の遅延ユニット。
【請求項５】
ダブル計算機システムは、指令バス（１１７）を介して少なくとも１つの第２のコンポーネント（１０３）と接続されており、
前記遅延ユニット（１０２）は、指令バスにおいてダブル計算機システムの少なくとも１つの計算機（１００）と少なくとも１つの第２のコンポーネント（１０３）との間に位置づけられることを特徴とする、請求項１または２に記載の遅延ユニット。
【請求項６】
ダブル計算機システムは、混合されたデータ／指令バスを介して少なくとも１つの第３のコンポーネントと接続されており、
前記遅延ユニットは、混合されたデータ／指令バスにおいてダブル計算機システムの少なくとも１つの計算機と少なくとも１つの第３のコンポーネントとの間に位置づけられることを特徴とする、請求項１または２に記載の遅延ユニット。
【請求項７】
前記遅延ユニットは、アクセスとして書込み操作と読取り操作が遅延されるように形成されることを特徴とする、請求項１または２に記載の遅延ユニット。
【請求項８】
前記遅延ユニットは、アクセスとして書込み操作のみが遅延されるように形成されることを特徴とする、請求項１または２に記載の遅延ユニット。
【請求項９】
前記遅延ユニットは、アクセスとして読取り操作のみが遅延されるように形成されることを特徴とする、請求項１または２に記載の遅延ユニット。
【請求項１０】
前記遅延ユニットは、遅延素子（２０４）と切替モジュール（２００）とを有することを特徴とする、請求項１または２に記載の遅延ユニット。
【請求項１１】
前記遅延ユニットは、アクセスの遅延とアクセスの非遅延との間で切り替え可能であるように形成されることを特徴とする、請求項１または２に記載の遅延ユニット。
【請求項１２】
前記切り替えは、書込み／読取り信号（Ｒ／Ｗ）またはこれから導き出された信号（反転Ｒ／Ｗ）によって導入されることを特徴とする、請求項１１に記載の遅延ユニット。
【請求項１３】
前記遅延ユニットは、遅延ユニット自身がエラー認識するように形成されることを特徴とする、請求項１または２に記載の遅延ユニット。
【請求項１４】
遅延ユニット切替モジュール（２００）は、安全性の確保された多重モジュールとして形成されることを特徴とする、請求項１０に記載の遅延ユニット。
【請求項１５】
前記多重ジュールは、ビット切替素子（４０１、４０２）を備えて、前記切り替えが駆動信号（Ｒ／Ｗ）によって行われるように形成されており、
前記駆動信号がテストユニット（ＴＳＣ）内で検査されるとき、前記駆動信号は、前記ビット切替素子へ供給された後テストユニットへ供給されることを特徴とする、請求項１１または１４に記載の遅延ユニット。
【請求項１６】
アクセスは、書込み操作または読取り操作として形成されており、
前記遅延ユニットは、変化信号を備え、該変化信号によって書込み操作が読取り操作へ変更されるように形成されることを特徴とする、請求項１または２に記載の遅延ユニット。
【請求項１７】
請求項１または２に記載の遅延ユニットを有するダブル計算機システム。
【請求項１８】
第１の計算機（１００）と第２の計算機（１０１）を有するダブル計算機システムのデータおよび／または指令へのアクセスを遅延させるアクセス遅延方法であって、
前記第１の計算機と前記第２の計算機とがタイムオフセットをもって作動し、前記タイムオフセットがダブル計算機システム内でデータおよび／または指令へアクセスする場合に前記２つの計算機の少なくとも１つにおいて補償されることを特徴とする、アクセス遅延方法。
【請求項１９】
エラー認識するためのエラー発見機構を有する計算機システムのデータおよび／または指令へのアクセスを遅延させるアクセス遅延方法において、
データおよび／または指令への遅延されないアクセスとエラー認識との間の期間が補償されることを特徴とする、アクセス遅延方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、従来技術から知られた、独立請求項の特徴として記載の、ダブル計算機システムのデータおよび／または指令へのアクセスを遅延させる方法とそれに応じた遅延ユニットに関する。
【背景技術】
【０００２】
特に自動車、工業商品領域、例えば機械領域および自動化におけるような、将来適用が考えられる分野において、安全性を重要視した適用のために、マイクロプロセッサベースまたは計算機ベースの開ループ制御および閉ループ制御システムがますます多く使用されるようになる。このとき、ダブル計算機システムまたはダブルプロセッサシステム（Ｄｕａｌ  Ｃｏｒｅ）は、例えばアンチブロッキングシステム、電子安定化プログラム（ＥＳＰ）、ドライブ−バイ−ワイヤ（Ｄｒｉｖｅ−ｂｙ−Ｗｉｒｅ）、ステア−バイ−ワイヤ（Ｓｔｅｅｒ−ｂｙ−Ｗｉｒｅ）およびブレーキ−バイ−ワイヤ（Ｂｒｅａｋ−ｂｙ−Ｗｉｒｅ）等のＸ−バイ−ワイヤ−システムシステム（Ｘ−ｂｙ−Ｗｉｒｅ−Ｓｙｓｔｅｍ）、特に車両内の安全性を重要視した適用のため、または他のネットワーク化されたシステムにおいて現在普及している計算機システムである。将来の適用において高い安全性要求を満足させるために、特に、例えば計算機システムの半導体構造を小型化する際に生じる過渡的エラーに対処するために、強力なエラー機構とエラー処理機構が必要である。このとき、コア自体、すなわちプロセッサを支援することは比較的困難である。この解決策としては、上述したように、エラー検出のためにダブル計算機システムまたはデュアルコアシステムを使用することである。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかし、このようなダブル計算機システムにおける問題は、データ、特に出力データの比較が、出力の際に初めて、または出力後に行われることにある。すなわち、データおよび／または指令の正確性が保証される前に、データがすでに外部のシンクへ、例えばデータバスまたは指令バスを介して接続されているメモリまたはその他の入／出力素子へ案内されてしまう。この場合、特にメモリアクセスにエラーがある場合、誤ったデータおよび／または指令に応じてアクセス、すなわち書込み操作および／または読取り操作が実施されてしまうおそれがある。かかる問題によって、所定のシステム状態の再形成、エラーの結果の遮断、エラー打切り後の正しいデータの発生、崩壊後のシステムの再準備および回路配置における初期状態への復帰（以下においてこれを要約してリカバリーと称する）を行う場合に、エラーが発生したり、あるいは、これが極めて大きい手間とコストを生じさせる可能性がある。この種のエラーは、ダブル計算機システムの少なくとも１つの計算機による書込み操作および／または読取り操作の形式のアクセスによって、システム全体とそれに接続されているユニット内にエラーをもたらす可能性がある。このとき、どのデータおよび／または指令が誤って変更されたかを検出することが困難であるほど、重大な問題となる。
【０００４】
したがって、本発明の課題は、上述した問題を解決し、特にダブル計算機システムのアクセスの際の、すなわち書込み操作および／または読取り操作の際のエラーを認識して回避することによって、特にダブル計算機システムのリカバリーが困難となることを防止することにある。
【発明の利点】
【０００５】
本発明は、エラー発見機構を有する計算機システムのデータおよび／または指令へのアクセスを遅延させる方法と遅延ユニットに基づいている。このとき、遅延ユニットは、データおよび／または指令への遅延されないアクセスとエラー認識との間の期間が補償されるように形成される。
【０００６】
本発明は、さらに、第１の計算機と第２の計算機を有するダブル計算機システムのデータおよび／または指令への書込み操作および／または読取り操作としてのアクセスを遅延させる方法に基づいている。このとき、第１の計算機と第２の計算機とが、特に予め設定可能なタイムオフセットをもって駆動され、かつこのタイムオフセットがダブル計算機システム内でデータおよび／または指令へアクセスする場合に、２つの計算機の少なくとも１つにおいて補償されるように形成された本発明に基づく遅延ユニットが使用される。
【０００７】
好ましくは、第１の計算機のデータおよび／または指令を第２の計算機のデータおよび／または指令と比較することによってエラー認識を行う遅延ユニットおよびその方法が提案される。このとき、遅延ユニットは、ダブル計算機システムのデータおよび／または指令に関するアクセス、特に書込み操作および／または読取り操作が、特に一方の計算機においてエラー認識が実施されるまで遅延されるように形成され、または、遅延がそのように行われることによってエラーのあるデータおよび／または指令がアクセス、すなわち書込み操作および／または読取り操作を行うことを回避することができる。
【０００８】
ここで、ダブル計算機システムの２つの計算機またはダブル計算機自体は、データバスを介して少なくとも１つの第１のコンポーネントと接続されている。このとき、遅延ユニットは、データバスにおいてダブル計算機システムの少なくとも１つの計算機と少なくとも１つの第１のコンポーネントとの間に位置づけられている。
【０００９】
このとき、ダブル計算機システムあるいは２つの計算機は、指令バスを介して少なくとも１つの第２のコンポーネントと接続することができる。このとき、好ましくは、遅延ユニットが指令バスにおいてダブル計算機システムの少なくとも１つの計算機と少なくとも１つの第２のコンポーネントとの間に接続され、あるいは位置づけられている。
【００１０】
混合されたデータおよび／または指令バスを有する他の実施形態において、ダブル計算機システムあるいはダブル計算機システムの２つの計算機が、少なくとも１つの第３のコンポーネントと接続されている。このとき、遅延ユニットは、好ましくは、混合されたデータおよび／または指令バスにおいてダブル計算機システムの少なくとも１つの計算機と少なくとも１つの第３のコンポーネントとの間に位置づけられ、あるいはそこに接続されている。この場合、本方法あるいは遅延ユニットは、好ましくはアクセスとして書込み操作および読取り操作、または書込み操作のみが、場合によっては読取り操作のみが遅延されるように形成されている。したがって、データおよび／または指令バスへのそれに応じた結合を有する第１および／または第２のコンポーネントに関して、少なくとも１つの計算機の書込み操作を遅延させることによって、エラーのあるデータ出力および／または指令出力、特にメモリへのエラーのある書込みを阻止することができる。これにより、特にシステム全体について上述した結果が生じることがない。
【００１１】
同様に、読取り操作を同時に、あるいは排他的に遅延させることが可能であるので、ダブル計算機システムの少なくとも１つの計算機に関してデータおよび／または指令を入力する場合にエラー回避を行うことができる。かかる理由には、検査されていないデータおよび／または指令は受け取られないことや、調整されない受け取りによってシステムエラーが生じないことがある。同時に、リカバリーの際の問題を回避することができる。
【００１２】
この場合、遅延ユニットは、特に予め設定可能な、または調節可能な遅延を有する遅延素子と切替モジュールを有している。切替えモジュールは、特に多重モジュール（マルチプレクスモジュール；Ｍｕｌｔｉｐｌｅｘ−Ｂａｕｓｔｅｉｎ）として、好ましくは安全な多重モジュールとして形成されている。このとき、安全な多重モジュールは次のように形成されている。すなわち、ビット切替素子が設けられており、アクセスの遅延とアクセスの非遅延との間の切替えが駆動信号、特に書込み／読取り信号あるいはそれから導き出される信号によって行われる。その信号がテストユニット、特にトータリーセルフチェッキング（Ｔｏｔａｌｌｙ−Ｓｅｌｆ−Ｃｈｅｃｋｉｎｇ；ＴＳＣ）チェッカー内でチェックされる。このとき、駆動信号がまず切替素子へ供給され、その後テストユニットへ供給される。
【００１３】
このとき、遅延ユニットは、好ましくはそれ自体、特にテストユニットによって、エラーを認識するように作用する。したがって、遅延ユニットは、エラーを認識するように実装されており、かつ他の利用可能な、特にエラー処理のために利用できるエラー信号を出力するように、形成することができる。
【００１４】
例えば、書込み操作により、エラーのあるデータおよび／または指令が書き込まれることによってもたらされるエラーを回避するために、遅延ユニット、好ましくは変化信号が設けられている。この変化信号によって書込み操作が読取り操作に変更されるので、データおよび／または指令の誤った書込みが回避される。
【００１５】
したがって、このような本発明に基づく遅延ユニットあるいは遅延させる方法は、同期の、特にクロック同期のダブルプロセッサシステムまたはダブル計算機システムにも、非クロック同期の、したがって非同期のそれにも使用することができる。そしてまた、エラーがデータの出力の間あるいはデータの出力後に初めて認識されることによってデータの出力のクロックでエラー信号が正しい時期にエラー処理のために提供されない、エラー発見機構を有するその他の計算機においても同様に使用することができる。したがって、データおよび／または指令に関するアクセスの際の上述したエラーが回避され、特に、メモリアクセスに関するデータおよび／または指令が、ダブルプロセッサまたはダブル計算機システム内のエラーによって妨げられないことを保証することができる。さらに、ダブル計算機システムのリカバリーにおける上述した問題を回避することができる。
【００１６】
他の利点と好ましい形態が、実施例の説明と請求項の特徴から明らかにされる。
【実施例の説明】
【００１７】
以下、図面に示す図と実施例とを用いて、本発明を詳細に説明する。
【００１８】
図１は、第１の計算機１００、特にマスター計算機と第２の計算機１０１、特にスレーブ計算機を有するダブル計算機システムを示している。このとき、システム全体が、予め設定可能なクロックで、あるいは予め設定可能なクロックサイクル（ｃｌｏｃｋ  ｃｙｃｌｅ）ＣＬＫで駆動される。計算機１００のクロック入力ＣＬＫ１を介して、かつ計算機１０１のクロック入力ＣＬＫ２を介して同システムへクロックが供給される。このダブル計算機システムには、さらに、例えばエラー認識するための特殊な特徴が設けられている。すなわち、その特徴において第１の計算機１００と第２の計算機１０１が、タイムオフセット、特に予め設定可能なタイムオフセットあるいは予め設定可能なクロックオフセットをもって作動する。このとき、タイムオフセットのために各任意の時間を、そしてクロックサイクルのオフセットに関しても各任意のクロックを予め設定することができる。これは、クロックサイクル（ｃｌｏｃｋ  ｃｙｃｌｅ）の整数のオフセットとすることができるが、この例に示すように、例えば１．５のオフセットも可能である。この場合、第１の計算機１００は、第２の計算機１０１の１．５クロックサイクル前に作動し、あるいは駆動される。
【００１９】
このオフセットによって、同クロックエラー、いわゆるコモンモードエラー、計算機またはプロセッサ、すなわちデュアルコアシステムのコアが同じように故障し、すなわち認識されないままとなることを回避することができる。このようなコモンモードエラーは、オフセットによってプログラムシーケンス内の異なる時点で計算機に関係して、２つの計算機に関して異なる効果をもたらす。これにより、エラーが認識可能となる。それによって、クロックオフセットなしの同種のエラー作用は、場合によっては比較において認識できないが、回避される。ダブル計算機システム内の時間またはクロックに関するこのオフセット、特に１．５クロックサイクルを実装するために、オフセットモジュール１１２から１１５が実装されている。
【００２０】
上述したコモンモードエラーを認識するために、このシステムは、例えば、予め設定されたタイムオフセットまたはクロックサイクルオフセット（ここでは特に１．５クロックサイクル）で作動するように設計されている。すなわち、一方の計算機、例えば計算機１００は直接コンポーネント、特に外部のコンポーネント１０３と１０４に応答し、第２の計算機１０１はそれに対して正確に１．５クロックサイクル遅延して作動する。このとき、所望の１と半分の、すなわち１．５クロックサイクルの遅延を発生させるために、計算機１０１に反転クロックが、すなわちクロック入力ＣＬＫ２に反転クロックが供給される。しかし、これにより、計算機の上述した接続、すなわちデータあるいは指令もバスを介して上述したクロックサイクル、つまりここでは特に１．５クロックサイクルだけ遅延されなければならず、そのために上述したようにオフセットモジュールあるいは遅延モジュール１１２から１１５が設けられている。
【００２１】
２つの計算機またはプロセッサ１００と１０１の他に、コンポーネント１０３と１０４が設けられている。これらは、バス線１１６Ａ、１１６Ｂおよび１１６Ｃからなるバス１１６と、バス線１１７Ａ、１１７Ｂからなるバス１１７とを介して２つの計算機１００、１０１と接続されている。この場合、１１７は指令バスであって、１１７Ａは指令アドレスバスを示し、１１７Ｂは部分指令（データ）バスを示している。アドレスバス１１７Ａは、指令アドレス接続端ＩＡ１（Ｉｎｓｔｒｕｃｔｉｏｎ  Ａｄｒｅｓｓ  １）を介して計算機１００と、そして指令アドレス接続端ＩＡ２（Ｉｎｓｔｒｕｃｔｉｏｎ  Ａｄｒｅｓｓ  ２）を介して計算機１０１と接続されている。指令自体は、部分指令バス１１７Ｂを介して伝送され、その部分指令バスは指令接続端Ｉ１（Ｉｎｓｔｒｕｃｔｉｏｎ  １）を介して計算機１００と、指令接続端Ｉ２（Ｉｎｓｔｒｕｃｔｉｏｎ  ２）を介して計算機１０１と接続されている。１１７Ａと１１７Ｂからなるこの指令バス１１７内に、コンポーネント１０３、例えば指令メモリ、特に安全な指令メモリなどが中間接続されている。特に指令メモリとしてのこのコンポーネントも、本例においては、クロックＣＬＫで駆動される。
【００２２】
その他、符号１１６はデータバスであり、そのデータバスはデータアドレスバスまたはデータアドレス線１１６Ａとデータバスまたはデータ線１１６Ｂとを有している。この場合、１１６Ａ、すなわちデータアドレス線は、データアドレス接続端ＤＡ１（Ｄａｔａ  Ａｄｒｅｓｓ  １）を介して計算機１００と、そしてデータアドレス接続端ＤＡ２（Ｄａｔａ  Ａｄｒｅｓｓ  ２）を介して計算機１０１と接続されている。同様にデータバスまたはデータ線１１６Ｂは、データ接続端ＤＯ１（Ｄａｔａ  Ｏｕｔ  １）とデータ接続端ＤＯ２（Ｄａｔａ  Ｏｕｔ  ２）を介して計算機１００あるいは計算機１０１と接続されている。さらにデータバス１１６には、データバス線１１６Ｃが属しており、このデータバス線は、データ接続端ＤＩ１（Ｄａｔａ  Ｉｎ  １）とデータ接続端ＤＩ２（Ｄａｔａ  Ｉｎ  ２）を介してそれぞれ計算機１００あるいは計算機１０１と接続されている。導線１１６Ａ、１１６Ｂおよび１１６Ｃからなるデータバス１１６内に、コンポーネント１０４、例えばデータメモリ、特に安全なデータメモリなどが中間接続されている。コンポーネント１０４も、本例においてはクロックＣＬＫが供給される。
【００２３】
このとき、コンポーネント１０３と１０４は、データバスおよび／または指令バスを介してダブル計算機システムの計算機と接続され、ダブル計算機システムのデータおよび／または指令を介してのアクセスにしたがって書込み操作および／または読取り操作に関してエラーのあるデータおよび／または指令を受け取り、あるいは出力する可能性のある、任意のコンポーネントを代表している。エラーを回避するために、特にエラー認識ジェネレータ１０５、１０６および１０７が設けられている。これらは例えば、パリティビットのようなエラー認識または例えばエラー補正コード、すなわちＥＣＣなどのような他のエラーコードを発生させる。さらに、それぞれのエラー認識、すなわち例えばパリティビットまたはＥＣＣのような他のエラーコードを検査するための適切なエラー認識検査装置またはチェック装置１０８、１０９も設けられている。
【００２４】
ダブル計算機システム内の冗長な形態に関してデータおよび／または指令を比較することは、図１に示すように、比較器またはコンパレータ１１０、１１１内で行われる。しかし、非同期のダブルプロセッサシステム、あるいは同期のダブルプロセッサシステムにおいては、同期化におけるエラーによって、あるいはこの特殊な例におけるようにエラー認識のために望まれるタイムオフセットまたはクロックサイクルオフセットによってもたらされる、タイムオフセット、特にクロックオフセットまたはクロックサイクルオフセットが計算機１００と１０１の間に存在する場合には、このタイムオフセットまたはクロックオフセット内で計算機、ここでは特に計算機１００がエラーのあるデータおよび／または指令をコンポーネント、特に、例えばここでは特にメモリ１０３または１０４のような外部のコンポーネント内に、そしてまた他の加入者、アクチュエータまたはセンサに関して、書き込みあるいは読み出す可能性がある。すなわち、この計算機は、タイムオフセットによって設けられている読み取りアクセスの代わりに誤って書込みアクセスを実施する可能性がある。このシナリオは、もちろんどのデータおよび／または指令がまさに誤って変更されたかについて明確に表示される可能性はなく、システム全体内のエラーをもたらすとともにリカバリー問題も生じる。
【００２５】
この問題を解決するために、図示のように、データバスの導線内および／または指令バス内に遅延ユニット１０２が接続されている。見易さの観点から、データバス内への接続のみを示す。もちろんこれは指令バスに関しても可能であると考えられる。この遅延ユニット１０２またはディレイユニットは、アクセス、ここでは特にメモリアクセスを、可能なタイムオフセットまたはクロックオフセットが補償されるように、特に、例えば比較器１１０、１１１を介してエラー認識する場合に、例えば少なくとも、ダブル計算機システム内にエラー信号が発生され、ダブル計算機システム内でエラー認識が実施されるまでの間遅延させる。このとき、以下の種々の変形例を実装することができる：書込み操作と読取り操作の遅延、書込み操作のみの遅延、あるいは、好ましくはないが読取り操作の遅延。この場合、変化信号、特にエラー信号によってエラーのある書込みを禁止するために、遅延された書込み操作を読取り操作に変換することができる。
【００２６】
遅延ユニット１０２の実装例を図２および図３に示す。遅延ユニット、すなわちディレイユニット１０２の目的は、上述したタイムオフセットまたはクロックサイクルオフセットの枠内でアクセスを遅延させることによってそれを補償し、特に計算機１００のコンポーネント、特に外部のコンポーネントへの書込み操作を、該当するデータおよび／または指令またはそれぞれのアドレスの検査とその検査が正しいと判断されるまで遅延させることである。この場合、遅延ユニットは、この遅延ユニットが自らの中のエラーを認識して、それをエラー信号ＥＯによって外部に知らせるように実装することもできる。これについて、図２および図３を用いて再度詳細に説明する。
【００２７】
図２は、２つの切替モジュール２０１、２００、特に多重モジュール、遅延素子２０４および検査装置またはテスト装置２０３、特にＴＳＣチェッカーを有する、遅延ユニットを示している。この場合、遅延ユニットは、２つのルート、マルチプレクサ２０１を含むマルチプレクサ２００の下方の入力パス（下方の３本の矢印）に相当する読取りルートと、マルチプレクサ２００の上方の入力パス（上方の３本の矢印）からなる。すなわち、遅延ユニットは、特に書込み操作のみを遅延させようとする場合に２つのパスからなり、これらの間で切替装置、特にマルチプレクサ２００によって切り替えることができる。一方のパス内では、データおよび／または指令、ここではアドレスＤＡ１（Ｄａｔａ  Ａｄｒｅｓｓ  １）に相当するＤＯ１（Ｄａｔａ  Ｏｕｔ  １）のデータと、ここでは特に付加的にメモリコントロール信号ＭＣ（Ｍｅｍｏｒｙ  Ｃｏｎｔｒｏｌ）とが遅延されずに通過し、他方のパス内ではこれらは遅延素子２０４によって遅延される。２つのパス間の切替えは、切替信号、特に書込み／読取り信号Ｒ／Ｗあるいはその反転、すなわちそこから導き出される信号Ｉｎｖｅｒｔ  Ｒ／Ｗ（＝Ｒ／Ｗ＝図２〜図４において上にバーを有するＲ／Ｗ）によって行われる。
【００２８】
したがって書込みルート、すなわち遅延素子２０４を有するルートにおいては、上述したように１．５クロックサイクルの遅延が予め設定されている場合に、２クロックサイクルだけ、すなわち必要とされるミニマムの１．５クロックサイクルよりも長く遅延が行われる。これにより、メモリに同じクロック入力ＣＬＫで操作されることが許される。すなわち、遅延は、少なくとも予め設定されたタイムオフセット（ここでは１．５クロックサイクル）と同じ大きさであるが、この例においては、より大きくすることもできる。一貫性を成すために、付属のアドレス信号とコントロール信号とが同様に遅延される。これは、説明したように、データバス（例えばＤＡ１とＤＯ１とを有するデータバスについて例示されているように）についても指令バスについても可能であると考えられる。したがって、表示をＩＡ１のための指令バスに容易に移し替えることができる。
【００２９】
図２および図３の個々の接続におけるビット数は、例として選択されたものである。すなわち、この例においては、１６ビットシステムプラスパリティビット（１６ビット＋パリティビット＝１７ビット）が提案される。この場合、８、３２、６４ビットプラスパリティビットあるいはより広いエラー認識への移し替えも問題なく可能であって、本発明に基づいて考えられる。同様に、メモリコントロール信号ＭＣ（Ｍｅｍｏｒｙ  Ｃｏｎｔｒｏｌ）のために選択された４ビットも一例である。同様に、付加的に結合されたＲ／Ｗ反転ビットによって５ビット（４ビット＋１Ｒ／Ｗ反転ビット＝５ビット）になる、５ビットの数も例と見なされる。切替モジュール２００の下方の入力ルート（下方の３本の矢印とこれに含まれる切替モジュール２０１）内では、切替信号によって（特に書込み／読取り信号Ｒ／Ｗとそれから導き出される反転Ｒ／Ｗの利用によって）制御されて、切替装置２００による遅延はバイパス、すなわち迂回して案内される。Ｒ／Ｗ（書込み／読取り）を利用する場合、これは反転素子２０５によって反転された読取り／書込み信号になる。データおよび／または指令（この例ではデータ）を再びまとめる、切替モジュール２００、特に第２のマルチプレクサは、同様にこの信号、特に書込み／読取り信号Ｒ／Ｗとこれに対して反転された信号によって駆動される。この場合、好ましくは以下で説明するように、信号は遅延されたパスから、すなわち遅延素子２０４の後方で取り出される。
【００３０】
したがって好ましくは、遅延された書込み／読取り信号Ｒ／Ｗあるいはそれから反転された反転Ｒ／Ｗ’（図２〜４におけるＲ／Ｗにバーを付した記号を示す。以下において、この記号を「Ｒ／Ｗ’」と記載する。）が選択される。これは、そうでないと場合によっては、他の接続されている信号が存在する前に、ここで例えば２クロックサイクルの所望の遅延なしで、アクセス、特に書込みアクセスが開始されてしまうからである。これが場合によっては読取りアクセスと書込みアクセスの間を切り替える場合に問題をもたらすおそれがある。例えば、読取りアクセス（読取り操作）が書込みアクセス（書込み操作）のすぐ後で行われる場合に、遅延された書込みアクセスとすぐそれに続く読取りアクセスがパラレルに実施されなければならなくなる。すなわち書込み操作とそれに続く読取り操作の間に正確な２クロックの間隔がなくなり、あるいは、書込み操作とそれに続く読取り操作の間にここでは２クロックサイクルの最小間隔が設けられる場合に、より簡単に実現される。書込み操作の場合に、切替素子２００の出力に書込み操作の期間のギャップが生じる。このギャップの間に、切替モジュール２００、すなわちマルチプレクサが読取りルートを、すなわちマルチプレクサ２００の下方の３つの入力を能動化する。この場合、このルートの遅延されないデータあるいはアドレスと制御情報とは、常にまだ書込み操作に属している。この情報、すなわち先行する操作がバスへ達することを回避するために切替素子２０１が設けられており、この切替素子がこの場合にクリティカルでない定数、例えば図２に示すようなノーオペレーションＮＯをマルチプレクサ２００の下方の入力へ供給し、マルチプレクサ２００が場合によって上方の３つの入力ルート、すなわち遅延されたルートへ切り替えて実際の書込み操作を実施するまでに待機時間が生じる。
【００３１】
この場合において、インターフェイスを他のコンポーネントに対して安全確保するために、信号データアドレスＤＡ１（Ｄａｔａ  Ａｄｒｅｓｓ）、データ出力ＤＯ１（Ｄａｔａ  Ｏｕｔ）および制御信号（Ｍｅｍｏｒｙ  Ｃｏｎｔｒｏｌ）ＭＣは、それぞれこの例において単純なパリティビットによって安全性が確保されている。このパリティビットは、指令バスのためのチェックユニット１０９あるいは１０８によって安全性が確保される。この場合、図１には示されていないが、メモリコントロール信号ＭＣは付加的なメモリチェッカー２０２によって安全性が確保されている。この信号ＭＣのパリティビットは、残りの信号と同様に、遅延素子２０４によって遅延される。各信号種類ＤＡ１、ＤＯ１およびＭＣの信号は遅延ユニット内で独立して案内されているので、この単純なパリティビットによって個別エラーに対する十分な保護が可能となる。多重エラーの多重エラー認識または安全確保および補正において、すでに説明したように、より強力なエラー認識を使用することができる。
【００３２】
切替ユニットを制御するための切替信号あるいは変化信号、すなわちここでの書込み／読取り信号Ｒ／Ｗは、特殊な役割を果たす。ここで、この切替信号について、再度特別な形態において具体的に安全性を確保しようとしている。これは、デュアルレールコード（すなわち２本のトラック）によって遅延ユニットへ入力する際に直接行われる。この場合については、再度図４に関して詳細に説明する。
【００３３】
付加的な機能は、パスＤＡＥ／ＤＯＥ、２０６、２０７および２０８を介して実現することができる。さらに、エラーの場合における書込み操作の保護は、例えばフェイルセーフメモリのような標準コンポーネントにおいて、より正確には書込み操作を読取り操作に切替えることによって得ることができる。デュアルコアのエラー信号ＤＡＥ／ＤＯＥは、デュアルレールコードとして存在する。これが、タイムオフセットが介在する前に、シングルレール信号に変換される。これは、特にＸＯＲモジュールとして形成することができる、比較モジュール２０６内で行われる。このとき、ＸＯＲモジュール２０６は、同時に、マルチ信号からシングル信号を形成する。選択的に、比較ユニット内で生じるエラー信号を対応するデータ値と時間的に整合させるために、遅延ユニット２０７における０．５クロックサイクルの時間遅延が挿入される。これは、本例において遅延ユニットが遅延素子２０４にしたがって２クロックのタイムサイクルだけ遅延させるからである。この場合にブロック２０８として、例えばアンドゲートが使用される場合には、ブロック２０８との関連において示すように、書込みアクセスをブロックするために書込み／読取り信号Ｒ／Ｗをマスクすることができる。
【００３４】
ＤＡＥ／ＤＯＥ入力、すなわち計算機からのエラー入力は、メモリ制御ＭＣからのパリティビットおよび切替装置２０１、２０２のそれぞれの切替信号あるいは変化信号、特に書込み／読取り信号Ｒ／Ｗとそれから導き出される反転された書込み／読取り信号（反転Ｒ／Ｗ）と同様に、テストモジュール２０３（特にＴＳＣチェッカーとして形成）へ供給することができる。これ以降のエラー処理のために利用可能なエラー信号ＥＯ（Ｅｒｒｏｒ  Ｏｕｔ）が得られる。マルチプレクサ内で切り替えるための書込み／読取り信号Ｒ／ＷとＲ／Ｗの使用およびその検査は、すでに説明したように、図４で詳細に説明される。
【００３５】
図２に示す遅延ユニットにおいて、説明したように、出力として、遅延されないあるいは遅延されたデータアドレス信号ＤＡ１ｄ（Ｄａｔａ  Ｓｄｒｅｓｓ  ｄｅｌａｙｅｄ）、遅延されないあるいは遅延されたデータ信号またはデータ出力信号ＤＯ１ｄ（Ｄａｔａ  Ｏｕｔ  ｄｅｌａｙｅｄ）が、読取り操作または書込み操作にしたがって、かつこの特殊な例において、コンポーネント、特に外部のコンポーネントとしてメモリモジュールが使用される場合に、同様に遅延されないあるいは遅延されたメモリ制御信号またはメモリコントロール信号ＭＣｄ（Ｍｅｍｏｒｙ  Ｃｏｎｔｒｏｌ  ｄｅｌａｅｄ）が生じる。
【００３６】
図３は、遅延ユニットを再度他の実施形態において示している。この場合、遅延ユニットは、図示のように切替モジュールまたはマルチプレクサ２００と２つのルートから形成することができる。このとき図２より、第２のマルチプレクサ２００のみが使用されるので、入力ＤＡ１、ＤＯ１およびＭＣは直接これに供給される。同じ入力が、前と同様すでに遅延素子２０４を介して遅延されて、同様にマルチプレクサ２００へ供給される。この場合、データ（ここではデータアドレスＤＡ１、データＤＯ１およびメモリ制御ＭＣ）は同時に２つのルートへ入り、書込み操作は遅延されないルート内で読取り操作に変換される。このように、書込み操作を読取り操作に変更あるいは変換することは、同様に書込み／読取り信号Ｒ／Ｗあるいはそこから導き出される、反転されたＲ／Ｗによって行うことができる。
【００３７】
その他において、第２の実施形態は、第１のマルチプレクサ２０１が省かれている事実に至るまで第１の実施形態と同様に構築されており、名称および機能も存在する限り同一である。例外は、テストユニットである。というのは、テストユニットには、マルチプレクサ２０１がないことにより少ない信号しか供給されないため、少し異なるように形成することができる。ここで、テストユニットは符号３０３で示されている。しかし同様に、エラー処理の枠内で利用可能であり、以降で利用可能なエラー信号ＥＯを出力する。
【００３８】
特に、コンポーネントが一般的なバスに接続されているノイマンアーキテクチャにおいては、書込み操作のみを遅延させると効果的である。好ましくは指令メモリアクセスと読取りアクセスは、ノイマンアーキテクチャの枠内で遅延なしに行われる。
【００３９】
遅延ユニットにおいて、切替モジュールまたはマルチプレクサとして、図４に示す安全なマルチプレクサを使用することができる。このとき、データはエラー認識コード、ここでは例えばパリティビットによって安全性が確保される。駆動信号、すなわち切替信号あるいは変化信号、ここでは特に書込み／読取り信号Ｒ／Ｗとこれから導き出される反転された書込み／読取り信号Ｒ／Ｗ’も同様に、例えばデュアルレールロジックによって安全性が確保される。すなわちＲ／Ｗと反転された信号は、まず安全なマルチプレクサへ供給されて、そこからテストユニット、ＴＳＣチェッカー２０３、３０３へ供給される。この設定の元で、書込み／読取り信号の１つのトラックに該当するエラーは、テストユニットＴＳＣ２０３、３０３によって検出され、マルチプレクス回路内のシングルエラーは単純なアウトプットビットに関するものであって、パリティチェックによって求めることができる。すなわち、データおよび／または指令は、上述したように、標準マルチプレクサ内で切り替えられ、このときさらにパリティビットまたは他のエラー認識が切り替えられる。
【００４０】
駆動信号、すなわち切替信号または変化信号Ｒ／Ｗおよび反転されたＲ／Ｗは、まず個々のビットのためのすべての切替器、ここでは特にアンドゲートとしてのモジュール４０１から４０６へ供給され、これらのモジュールに同様にそれぞれの入力Ｉ１０、Ｉ１１、Ｉ２０、Ｉ２１からＩｎ０、Ｉｎ１までが供給される。４０１−４０６からなるモジュールまたはその出力信号は、その後それぞれ図４に示すようにモジュール４０７−４０９内でまとめられる。このために、モジュール４０７−４０９は、特にオアゲートとして形成されている。このとき、多重モジュールＯ１、Ｏ２からＯｎまでの出力が生じる。図４に示す構造は、図２および図３に示す多重モジュールの基本構造の一部のみであって、その中にシングルルート当たり１７ビット〜５ビットのビット幅が例示される。すなわち図２および図３に示す２つの多重モジュール２０１と２００は、好ましくは、誤って切り替えられたデータパスをすでに説明したように認識できるようにし、かつエラー認識を簡単にするために、図４に示す形式に形成されている。このようなエラーは、純粋なパリティチェックによっては求めることはできない。というのは、誤ったシングルパスのデータも、ビットトグルが存在しない限り、正しいパリティを有するからである。
【００４１】
この安全パケットは、すでに図１に示されている、エラー認識を形成するためのエラー認識ユニット１０５−１０７および１０８、１０９のようなエラー認識をチェックするための、特にパリティビットチェッカーおよびパリティビットジェネレータとしてのエラーチェックユニットが設けられていることによって、図１の１０３および１０４に示すようなコンポーネント、特に外部のコンポーネントへのインターフェイスの安全性確保によって終了される。この場合に生じるエラー信号は、図２および図３に示すＤＡＥ／ＤＯＥ信号として、特にデータアドレスエラーまたはデータアウトプットエラーとして、遅延ユニット内でもすでに説明したように使用することができる。
【００４２】
駆動信号あるいは切替信号または変化信号Ｒ／Ｗと反転Ｒ／Ｗがまず、個々のビットのためのすべての切替器へ供給されて、その後初めてＴＳＣチェッカー内で検査される、安全なマルチプレクスの使用によって、駆動信号内のエラーはそれをテストすることにより認識することができる。また、１ビットだけ誤って切り替えられた場合にも、それが切り替えるべきデータのデータコード化によって認識される。
【００４３】
したがって本発明によれば、比較的簡単な手段でダブル計算機システムの枠内で安全性の著しい向上が可能である。
【図面の簡単な説明】
【００４４】
【図１】本発明に基づく遅延ユニットを有するダブル計算機システムまたはダブルプロセッサシステムを示している。
【図２】本発明に基づく遅延ユニットの第１の実施形態を示している。
【図３】本発明に基づく遅延ユニットの第２の実施形態を示している。
【図４】本発明に基づく遅延ユニットのマルチプレクスモジュール、特に安全なマルチプレクサを示している。
【図１】
2008509466.tif 000003
【図２】
2008509466.tif 000004
【図３】
2008509466.tif 000005
【図４】
2008509466.tif 000006
【国際調査報告】
2008509466.tif 000007
2008509466.tif 000008
2008509466.tif 000009
2008509466.tif 000010
2008509466.tif 000011
2008509466.tif 000012